Аналитика на отечественной базе: Dataplan и РЕД ОС 8 как фундамент для безопасной инфраструктуры ритейла
Российские разработчики NGR Softlab и РЕД СОФТ официально подтвердили совместимость аналитической платформы сбора событий Dataplan с операционной системой РЕД ОС версии 8. По данным издания «Компьютерра», это решение позволяет компаниям строить замкнутый контур мониторинга ИТ-инфраструктуры исключительно на базе отечественного программного обеспечения, что критически важно в текущих регуляторных условиях. Для руководителей ИТ-департаментов в российском ритейле этот прецедент означает возможность легитимного масштабирования систем анализа аномалий не только на серверные сегменты, но и на парк мобильных устройств сотрудников.
Что произошло
С технической точки зрения подтверждена корректная работа агента или коннектора платформы Dataplan внутри окружения РЕД ОС 8. Платформа от NGR Softlab специализируется на сборе, нормализации и корреляции данных из различных источников (логов приложений, сетевого трафика, баз данных) для выявления отклонений от нормального поведения (UEBA/UBA).
РЕД ОС 8, построенная на пакетной базе RHEL, предоставляет стабильное окружение уровня ядра и системных библиотек, необходимое для работы высоконагруженных сервисов обработки данных. Совместимость гарантирует:
- Отсутствие конфликтов зависимостей при установке пакетов аналитики через менеджер
dnfилиyum. - Корректную работу механизмов аудита безопасности самой ОС (
auditd), которые являются основным источником телеметрии для обнаружения вторжений. - Стабильную интеграцию со стеком отечественных СУБД (например, Postgres Pro), часто используемых в связке с этой ОС в госсекторе и крупном бизнесе.
Ранее подобные системы класса SIEM или NDR чаще всего ориентировались на зарубежные дистрибутивы Linux (Ubuntu LTS, CentOS Stream) или Windows Server. Теперь же у интеграторов есть подтвержденный стек целиком из Реестра российского ПО Минцифры.
Почему это важно
Для розничного бизнеса переход на полностью отечественный стек — это не просто вопрос импортозамещения ради галочки, а способ управления конкретными рисками.
1. Соответствие требованиям регуляторов. Крупные торговые сети обрабатывают колоссальные объемы персональных данных клиентов (152-ФЗ) и работают с системами лояльности. Использование сертифицированной ФСТЭК РЕД ОС совместно с анализатором логов упрощает прохождение аттестаций по требованиям к защите информационных систем персональных данных (УЗ-1, УЗ-2). Это напрямую связано с практиками комплаенса, описанными в нашей документации /docs/152-fz.
2. Контроль кассовой зоны и терминалов самообслуживания (ТСД). Современные кассы всё чаще работают под управлением модифицированных сборок Linux. Если ваша инфраструктура ТСД мигрирует на РЕД ОС, наличие нативной поддержки Dataplan позволяет внедрить централизованный мониторинг попыток несанкционированного доступа к ADB-интерфейсу или изменений в загрузчике устройства прямо из единой консоли SOC.
3. Сквозная видимость без слепых зон. В ритейле инциденты часто начинаются на периферии (смартфон курьера, планшет мерчандайзера) и заканчиваются попыткой выгрузки базы контрагентов из внутренней ERP. Когда мобильные рабочие места управляются через MDM (например, Komendant), а ядро инфраструктуры мониторится Dataplan на РЕД ОС, вы получаете единую цепочку доказательств: от блокировки экрана сотрудником до подозрительного запроса к БД.
4. Экономическая предсказуемость. Отказ от зарубежных лицензий на операционные системы и средства защиты снижает риски внезапной остановки обновлений сигнатур или прекращения поддержки драйверов специфического торгового оборудования (сканеров ШК, фискальных регистраторов).
Типичный сценарий риска: сотрудник использует личный смартфон с установленным корпоративным профилем. При попытке копирования клиентской базы во внешнее облако, агент MDM фиксирует событие Data Loss Prevention. Однако злоумышленник может попытаться закрепиться в инфраструктуре через компрометацию учетной записи сервисного инженера склада. Именно здесь Dataplan на РЕД ОС зафиксирует нетипичный вход в систему ночью и выполнение команд сканирования портов, сопоставив это с данными о геолокации сотрудника из вашей директории.
Что делать
Интеграция аналитической платформы требует планомерного подхода. Руководителям ИТ-безопасности ритейла рекомендуется следующий алгоритм действий:
1. Инвентаризация узлов на базе Linux
Необходимо выявить все серверы и специализированные узлы (включая тяжелые промышленные планшеты на складе), работающие на любых версиях Linux. Оцените готовность их аппаратной части к миграции на РЕД ОС 8. Особое внимание уделите драйверам для узкоспециализированного железа (принтеры этикеток, весовые комплексы).
2. Развертывание тестового стенда Dataplan
Установите платформу на виртуальную машину под управлением РЕД ОС 8. Используйте штатные репозитории разработчика. Проверьте потребление ресурсов (CPU/RAM/IOPS) при эмуляции потока событий хотя бы от 50–100 условных точек продаж. Важно настроить ротацию журналов так, чтобы локальный диск сервера аналитики не переполнился раньше времени.
3. Настройка политик аудита (Auditd)
В РЕД ОС необходимо тонко настроить подсистему аудита ядра. Это база для любой аномалийной аналитики. Пример базовой политики отслеживания выполнения привилегированных команд администратором:
# Добавление правила в audit.rules
-w /usr/bin/sudo -p x -k privileged_execution
-w /usr/bin/su -p x -k privileged_execution
Эти события будут уходить в Dataplan, где настроятся пороги срабатывания (baseline): если один пользователь выполняет более 10 таких команд за минуту — создается инцидент.
4. Синхронизация идентификаторов пользователей (SCIM/SSO)
Чтобы аналитика была персонализированной, платформа должна знать, кто такой uid=1001. Интегрируйте Dataplan с вашим каталогом пользователей (Active Directory, FreeIPA или Samba DC) через протокол SCIM. Подробно о механизмах синхронизации можно прочитать в разделе /docs/scim. Без этого данные об аномалиях останутся набором цифр IP-адресов, бесполезным для расследования инцидентов в рознице.
5. Связка алертов с мобильным контентом
Настройте трансляцию оповещений из Dataplan в вашу систему управления задачами или непосредственно в интерфейс MDM. Если система обнаруживает массовую утечку токенов авторизации API курьерского приложения, политика MDM должна автоматически перевести соответствующие Android-устройства в режим "Quarantine" (блокировка запуска всех приложений кроме телефона и мессенджера службы поддержки).
6. Формирование сценариев UEBA для ритейла
Забудьте про абстрактные киберугрозы. Создайте профили поведения для ролей:
- Администратор магазина: обычно заходит с утра, работает с бэкапами касс.
- Аномалия: вход в панель управления ассортиментом в 3 часа ночи из другого региона + попытка экспорта CSV-файла.
- Действие: автоматическое требование повторной аутентификации и блокировка экспортных функций до подтверждения руководителем СБ.
Этот подход превращает пассивный сбор логов в активный инструмент предотвращения потерь товарных запасов и кражи ПДн покупателей.
Источник: https://www.computerra.ru/360993/podtverzhdena-sovmestimost-analiticheskoj-platformy-dataplan-i-red-os-8/