Федеральная служба по техническому и экспортному контролю внезапно выкатила рекомендации по безопасной настройке виртуальной инфраструктуры на базе VMware. Тот факт, что на дворе 2026 год, а Broadcom (владелец VMware) ушел из России в марте 2022, уже никого не смущает 👨🦳
Документ, кстати, толковый. Никакой воды, а только суровый харднинг. Ниже вычленил ключевые требования, которые теперь станут обязательными для КИИ:
🟢Нужен тотальный логгинг... Необходимо настроить отправку Syslog на удаленный сервер (TCP 514). Хранить логи локально - завязывайте. Прямо указано мониторить
/var/log/shell.log и /var/log/auth.log на предмет выполнения команд типа sudo ./encryptor (на чек шифровальщиков).🟢Запрет на запуск левого кода... Требуется включить режим
execInstalledOnly и Secure Boot через TPM. Если VIB-пакет не подписан сертификатом VMware, то он не должен запуститься. Это реально мощная защита от малвари, которая пытается пролезть в гипервизор 👍🟢Доступ по SSH для root должен быть выпилен (
esxcli system ssh set --enabled=false). Если очень надо, то только по ключам и с тайм-аутом сессии.🟢Правило 3-2-1 теперь закон... Регулятор официально требует хранить три копии данных на двух разных носителях, и одну копию - в изолированном сегменте. Наконец-то здравый смысл победил экономию на дисках 🎩, можно смело показывать это требование руководству.
А на вкусное - самый интересный пункт с требованием осуществлять регулярные обновления ПО. Как именно обновлять ESXi, который нельзя скачать без тоннеля и действующего контракта, ФСТЭК тактично умалчивает... Видимо, подразумевается метод Parallel Import & Torrent Edition 😂
В общем, если у вас в контуре до сих пор крутится Сфера... ой, простите 😬, vSphere 7.0 или 8.0, то смело забирайте документ в работу. Там есть готовые команды для
esxcli, чтобы закрыть периметр.Типичный 🥸 Сисадмин