Все ФЗ про ИБ (vseFZ) — сообщения группы в Telegram

13 августа 2026

Ивандругой пример. есть коммутатор в составе ИС, реализует функции безопасности. На рынке, вроде как, нет сертифцированных коммутаторов, придется ставить сертифицированные межсетевые экраны?

Если явно не говорить что мы защищаем VLAN сеть, то сертифицированные коммутаторы не нужны, так как вы на уровне Сети МСЭ будете применять. А прямого требования фильтровать на VLAN нет.

09:03

И
Иван
так 117 приказ требует создание отдельных vlan
09:04
1. А
  Андрей Владимирович
  покажите, не видел. Сегмент = VLAN
  09:04
  1. Z
    Zануда [Сергей]
    Сегментирование на уровне ИС. МСЭ.1.
    09:12
    1. А
      Андрей Владимирович
      Так, а почему я должен это делать на канальном, а не сетевом уровне?
      09:17
      1. Z
        Zануда [Сергей]
        Но не запрещают, верно?
        09:35
    2. E
      Eugene
      Там ни слова не сказано про коммутаторы с их вланами. Там написано с применением МЭ, Многофункциональных МЭ, однонаправленные диоды или физическая изоляция.
      09:21
      1. Z
        Zануда [Сергей]
        Там нет слова "исключительно".
        09:36
D
Dmitry Kuznetsov
А как вы можете этого не сказать? Первый же пристальный взгляд покажет, что в модуле коммутатора больше link up'ов, чем заявлено серверов в ИС. И любой, кому знакомо слово "крммутатор" тут же уточнит, он в одном VLAN или в разных
09:57
1. А
  Андрей Владимирович
  Именно по этому сначала обследование инфраструктуры которая существует, а потом модернизация, чтобы к таким вопросам быть готовыми
  10:00
  1. D
    Dmitry Kuznetsov
    Так ответ на этот вопрос будет или очевидной неправдой, или относить коммутатор к средствам защиты Неправда будет во-первых, нправдоподобной, а во-вторых легко проверяемой просьбой посмотреть конфиги
    10:03
    1. А
      Андрей Владимирович
      Как Вы решаете данные ситуации?
      10:04
      1. D
        Dmitry Kuznetsov
        В бытность, когда моему прежнему работодателю это было актуально - аргументом "слава богу, вы на рынке не единственный лицензиат" :)
        10:06

Вся ветка · 12 ответов →

Dmitry Kuznetsov

Смотрите Есть меры защиты, которые вы должны реализовать. Как вы их реализовали, вы должны описать в техпроекте Если в техпроекте написано, что вот такуюое требование к вот такой мере защиты вы реализовали с помощью коммутатора - да, на коммутатор должен быть сертификат Причем сертификат не абы какой, а на такие требования ФСТЭК или на такие технические условия, в которых прописано требование к этой используемой функции

09:04

Андрей Владимирович

да, закон не требует защищаться на уровне VLAN. Он оставляет возможность реализовывать как считаете нужным.

09:37

Иван

так влан создаются на коммутаторах, а МЭ обеспечивает контроль и маршрутизацию трафика между разными вланами

09:53

А
Андрей Владимирович
МЭ обеспечивает разграничение доступа(фильтрацию пакетов) на уровне сети, а передачу пакетов из одной сети в другую обеспечивает маршрутизатор, но ради истины одна железяка может совмещать эти функции и многие другие. Не хочется углубляться в теорию. Сначала рисуете проект технический что, чем и как вы будете реализовывать, а потом вопросов не останется
09:55
1. D
  Dmitry Kuznetsov
  В core network он может это обеспечить только в комбинации с корректной обработкой тегов VLAN коммутаторами. А это - фунеция сегментиирования, реализуемая коммутатором, как ни крути Выделять на каждую ИС отдельный пул физических коммутаторов - ни одна крупная,организация на такое не пойдет
  10:02

Вся ветка · 2 ответа →

Иван

ну и в больших сетях, без L3 коммутатора не обойтись, нынешние сертифицированные ngfw не тянут такой объем трафика, так что по факту фильтрацию и маршрутизацию трафика внутри сети обеспечивается l3 коммутаторами

09:57

Dmitry Kuznetsov

Сейчас, если припрет, придется элтексовские коммутаторы покупать, наверное

10:07

Андрей Владимирович

Если не говорить о том, что вы сегментируете в рамках реализации мер защиты информации протокол VLAN на коммутаторах в тех. проекте, то МСЭ же с этим справляется и обрабатывает нормально все пакеты с VLAN так как у него есть этот функционал и он сертифицирован. А что там айтишники настроили на коммутаторах это "их забота". Не понятно почему настройку VLAN относят не к конфигурации ИС, а именно системы защиты информации

10:51

D
Dmitry Kuznetsov
У меня на одном модуле коммутатора висят две ИС Я выделил для них два VLAN: - 192.168.0.0 на портах 0-31 для ИС 1 - 192.168.1.0 на портах 32-63 для ИС 2 Маршрутизацию между VLAN делает сертифицированный МЭ, куда трафик пробрасывается через транк Вот в этот момент ваш собоседник должен вас остановить и с ленинским прищуром поинтересоваться: - А что заставляет вас думать, что мафынка, включенная в порт 2, не видит Ethernet-кадры, которые передаются между мафынками, подключенными к портам 33 и 35?
11:12
1. V
  Vinni Puh
  Вера в светлое будущее))))
  11:23
2. А
  Андрей Владимирович
  А как можно пользоваться софтом если в нем есть возможные уязвимости? Это погрешность с которой мы живем, испытания проводить
  11:43
  1. D
    Dmitry Kuznetsov
    Я ж не говорю, что так нипочем нельзя. Просто придется обзавестись отдельными физическими коммутаторами, в которые якобы будут воткнуты железки только рдной ИС. Главное, говоря об этом, точно выбирать формулировки Когда группа ученых в Америке получила 2 миллиграмма гидроокиси плутония, то от любопытных, жаждавших увидеть новый элемент, не было отбоя. Но рисковать драгоценными кристаллами было нельзя, и ученые насыпали в пробирку кристаллики гидроокиси алюминия и, подкрасив их зелеными чернилами, выставили для всеобщего обозрения. «Содержимое пробирки представляет собой гидроокись плутония», — невозмутимо заявляли они посетителям. Те уходили удовлетворенными
    11:51

Вся ветка · 4 ответа →