Домашняя лаборатория ИБ: теория ФСТЭК в практике

«Сборка домашней лаборатории по ИБ, это не вопрос финансов. Это вопрос превращения абстрактных требований 152-ФЗ и приказов ФСТЭК в конкретные команды в терминале, наблюдаемые процессы и логи в syslog. Это способ увидеть, как на самом деле работает сегментация сети или контроль учётных записей, когда вы сами задаете правила и сами их нарушаете.»

Зачем это нужно и что такое домашняя лаборатория

В российской регуляторике часто встречается разрыв: требования написаны на языке контролеров и аудиторов, а реализация — на языке системных администраторов и инженеров. Вы читаете приказ ФСТЭК о порядке создания систем защиты информации, где указано «обеспечить контроль сетевого трафика между сегментами». Но как это выглядит на уровне конфигурационного файла межсетевого экрана? Как это влияет на маршрутизацию и доступность сервисов? Домашняя лаборатория, это изолированная среда, где можно проверить гипотезу, сломать сервис, увидеть в логах следы некорректной настройки и исправить ошибку, не опасаясь штрафов или остановки бизнес-процессов. Это полигон для переводчика, который превращает регуляторные нормы в технические инструкции.

Бюджетный подход: что можно использовать бесплатно

Ключевая идея — эмуляция реальной инфраструктуры на одном физическом компьютере. Никаких покупок выделенных серверов или маршрутизаторов не требуется.

• Виртуализация: Oracle VM VirtualBox — полностью бесплатное решение. VMware Workstation Player также имеет бесплатную версию для некоммерческого использования. Для Linux подойдёт KVM — встроенный гипервизор без лицензионных ограничений.
• Операционные системы: Используйте дистрибутивы Linux: AlmaLinux или Rocky Linux как бесплатные и юридически безопасные замены CentOS для серверной части, Ubuntu для клиентских машин. Для изучения AD можно использовать Samba4 в роли контроллера домена.
• Сетевая эмуляция: GNS3 или Eve-NG Community Edition позволяют собирать сложные топологии с виртуальными маршрутизаторами Cisco, используя официальные образы для обучения или бесплатные альтернативы на базе VyOS/OpenWrt.
• Программное обеспечение ИБ: Бесплатные версии коммерческих SIEM и сканеров уязвимостей часто имеют ограничения на число узлов или источников данных, но для лаборатории с 3-5 машинами они подходят идеально. Открытые проекты — Suricata для обнаружения вторжений, Wazuh как легковесная SIEM-платформа, OpenSCAP для проверки соответствия политикам.

Сборка базовой инфраструктуры

Первый шаг — создать простую, но полную рабочую модель, которую позже можно расширять.

Шаг 1: Хост-система

Это ваш обычный компьютер. Процессор должен поддерживать аппаратную виртуализацию — эта функция почти во всех современных CPU. Объем памяти — критичный параметр. Для базового комплекта из четырех машин достаточно 8 ГБ, но для комфортной работы с сетевыми эмуляторами и одновременным запуском всех узлов лучше иметь 16 ГБ или больше. Диск — SSD, от 256 ГБ.

Шаг 2: Создание виртуальной сети

Изоляция лаборатории от вашей реальной сети — первое правило безопасности при тестировании. В VirtualBox это делается через создание внутренней сети (Internal Network). Она существует только внутри гипервизора, не имеет связи с физическим адаптером хоста.

VBoxManage natnetwork add --netname LAB-NET --network "192.168.100.0/24" --enable

Эта команда создаёт сеть с именем LAB-NET и диапазоном адресов 192.168.100.0/24. Все виртуальные машины будут подключены к этой сети через виртуальный адаптер.

Шаг 3: Развёртывание узлов

Создайте четыре виртуальные машины с минимальными характеристиками (1-2 ГБ RAM, 10-20 ГБ диска) и подключите их к LAB-NET.

1. Целевая система: Веб-сервер на AlmaLinux с уязвимым старым приложением (например, WordPress с известными CVE). Это объект защиты и проверки.
2. Атакующая система: Дистрибутив с предустановленным набором инструментов для пентеста. Здесь можно экспериментировать с сканированием, эксплуатацией уязвимостей.
3. Сервер мониторинга: Машина для установки Wazuh или аналогичной SIEM. Она будет собирать логи всех остальных узлов.
4. Шлюз/Межсетевой экран: Виртуальная машина с pfSense или IPFire. Она эмулирует периметр сети, здесь можно настраивать правила фильтрации и сегментации.

Практические сценарии для отработки

Лаборатория должна решать конкретные задачи, а не просто запускать машины. Вот сценарии, напрямую связанные с регуляторными требованиями.

Сценарий 1: Аудит конфигурации ОС по требованиям 152-ФЗ

На целевой системе (AlmaLinux) установите веб-сервер Nginx и базу данных PostgreSQL. Затем, используя методические рекомендации ФСТЭК, выполните:

• Настройку политик паролей через PAM: минимальная длина, история, сложность.
• Отключение ненужных сетевых служб (например, avahi-daemon).
• Настройку прав доступа к критичным файлам конфигураций (chmod 600 на конфиги сервисов).
• Включение и конфигурацию аудита через auditd для отслеживания изменений в этих файлах.

После этого с сервера мониторинга попробуйте собрать эти audit-логи и проанализировать их. Вы увидите не абстрактный пункт требования, а конкретные записи в логах, которые подтверждают или не подтверждают выполнение нормы.

Сценарий 2: Моделирование инцидента и работа с SIEM

Из атакующей системы выполните сканирование портов целевой системы с помощью nmap, затем попытку подбора пароля к SSH. На сервере мониторинга, где установлен Wazuh, заранее создайте правило корреляции, которое связывает эти два события (сканирование + множественные неудачные попытки аутентификации) и генерирует алерт о потенциальной атаке. Отработайте процесс: просмотр алерта, поиск по raw-логам, подтверждение инцидента, принятие мер — например, добавление правила на pfSense для блокировки IP атакующей машины.

Сценарий 3: Настройка сегментации сети

Этот сценарий напрямую соответствует требованиям о зонировании из приказов ФСТЭК. На виртуальном МЭ (pfSense) создайте несколько внутренних интерфейсов и подключите их к разным виртуальным сетям в гипервизоре.

• Сеть DMZ (например, 192.168.100.10/24) — для целевого веб-сервера.
• Сеть внутренних сервисов (например, 192.168.101.10/24) — для базы данных PostgreSQL.
• Сеть администраторов (например, 192.168.102.10/24) — для сервера мониторинга и атакующей машины (в роли тестирующего администратора).

Настройте правила firewall на pfSense: разрешите HTTP-трафик из внешней сети (эмулируемой другой VM) только в DMZ, запретите любые прямые соединения из внешней сети или DMZ в сеть внутренних сервисов. Реализуйте правило «администраторы могут подключаться к любым сегментам». Проверьте работоспособность: веб-страница доступна из «интернета», но прямой запрос к порту PostgreSQL из того же источника блокируется.

Где брать образы и уязвимые системы

Для обучения используйте только легальные и безопасные источники. Коммерческие решения имеют пробные или бесплатные версии для небольших сред.

• Официальные дистрибутивы: Скачивайте ISO-образы AlmaLinux, Rocky Linux, Ubuntu с официальных сайтов или российских зеркал.
• Готовые обучающие образы: Существуют проекты, предоставляющие преднастроенные виртуальные машины с уязвимыми веб-приложениями или сценарии лабораторных работ. Они позволяют сразу начать практику без долгой подготовки окружения.
• Бесплатные версии коммерческих продуктов: Многие вендоры средств защиты информации предоставляют бесплатные версии своих продуктов для образовательных целей или для оценки с ограничением на число узлов. Используйте их для знакомства с интерфейсом и логикой работы коммерческих SIEM или сканеров.
• Открытые инструменты: Suricata, Wazuh, OpenVAS — проекты с открытым исходным кодом, которые можно развернуть на своей лаборатории без ограничений.

Организация и развитие лаборатории

Создайте начальный снапшот каждой виртуальной машины в её базовом состоянии. Это точка отката после экспериментов. Не стремитесь сразу к сложной архитектуре — сначала добивайтесь работоспособности базовых сценариев.

Дальнейшее развитие зависит от изучаемых тем:

• Для углубления в сетевую безопасность: Добавьте в топологию виртуальные маршрутизаторы из GNS3, эмулируйте сложную сеть с несколькими площадками.
• Для изучения управления доступом: Разверните домен на базе Samba4, создайте пользователей, группы, политики GPO в стиле Active Directory, попробуйте атаки на домен.
• Для анализа защищенности приложений: Добавьте в лабораторию уязвимое веб-приложение с известными CVE и настроите сканер уязвимостей для его периодической проверки.

Ключ — в последовательном усложнении и документировании каждого шага. Фактически, вы создаете свою методику реализации требований регуляторов в конкретной технологической среде. Это тот опыт, который напрямую применим при построении или аудите реальных систем защиты информации в рамках требований 152-ФЗ и ФСТЭК.