Проектируем, строим и обслуживаем комплексные системы физической и информационной безопасности ЦОД и каналов связи между ними
Обсудить проектОт аудита и проектирования до монтажа, пусконаладки и последующего сопровождения. Работаем с объектами любого масштаба — от серверных комнат до распределённых ЦОД.
Физическая безопасность — первый и наиболее критичный уровень защиты. Мы проектируем и реализуем многоуровневые системы защиты по модели Defense in Depth в соответствии с TIA-942 и ISO/IEC 27001.
Каждый реализованный нами дата-центр включает минимум 6 эшелонов защиты:
Для доступа в серверные залы мы реализуем комбинацию минимум двух факторов:
Двойная дверь с блокировкой — следующая не откроется, пока не закроется предыдущая. Предотвращает tailgating.
Мы проектируем объекты от Tier II до Tier IV в соответствии с классификацией Uptime Institute. Выбор уровня зависит от требований бизнеса заказчика.
Каналы связи между дата-центрами (DCI) — одна из наиболее уязвимых точек. Данные покидают физически защищённый периметр и передаются по линиям, проходящим через территорию третьих сторон. Мы проектируем защиту на всех уровнях.
| Тип | Описание | Скорость | Безопасность |
|---|---|---|---|
| Dark Fiber | Арендованное волокно без оборудования провайдера. Полный контроль. | До 400 Gbps+ | Высокая |
| DWDM | Dense Wavelength Division Multiplexing — до 96 каналов в одном волокне. | До 38.4 Tbps | Средняя |
| MPLS L2/L3 VPN | Виртуальные каналы через сеть оператора. Изоляция на уровне меток. | До 100 Gbps | Средняя |
| IPsec VPN | Шифрованный туннель через публичный интернет. | Зависит от канала | Требует шифрования |
| SD-WAN | Программно-определяемая WAN с маршрутизацией и шифрованием. | Агрегация каналов | Зависит от реализации |
Дата-центр A Дата-центр B
┌──────────────────┐ ┌──────────────────┐
│ ┌────────────┐ │ Dark Fiber / DWDM (Layer 1) │ ┌────────────┐ │
│ │ Серверы │ │ ═════════════════════════════════ │ │ Серверы │ │
│ └─────┬──────┘ │ │ └─────┬──────┘ │
│ │ │ MACsec (Layer 2) │ │ │
│ ┌─────┴──────┐ │ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ │ ┌─────┴──────┐ │
│ │ Коммутатор│ │ │ │ Коммутатор│ │
│ └─────┬──────┘ │ IPsec / WireGuard (Layer 3) │ └─────┬──────┘ │
│ │ │ ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ │ │ │
│ ┌─────┴──────┐ │ │ ┌─────┴──────┐ │
│ │ Маршрут. │──│──────────── WAN Link ──────────────│──│ Маршрут. │ │
│ └────────────┘ │ │ └────────────┘ │
│ │ TLS 1.3 (Layer 4-7) │ │
│ ┌────────────┐ │ ································ │ ┌────────────┐ │
│ │ Приложения │ │ │ │ Приложения │ │
│ └────────────┘ │ │ └────────────┘ │
└──────────────────┘ └──────────────────┘
│ │ │
┌─────┴────┐ ┌──────┴─────┐ ┌─────┴────┐
│Шифрование│ │ Мониторинг │ │Шифрование│
│ на всех │ │ OTDR + │ │ на всех │
│ уровнях │ │ IDS/IPS │ │ уровнях │
└──────────┘ └────────────┘ └──────────┘
AES-256-GCM на уровне оптического транспорта без потери пропускной способности.
Шифрование кадров Ethernet. Каждый кадр шифруется и аутентифицируется индивидуально.
Современный VPN с минимальной поверхностью атаки (~4000 строк кода).
Обязательно для репликации БД, API, передачи данных хранилищ.
Физический перехват оптоволокна (fiber tapping) — реальная угроза. Существуют коммерчески доступные clip-on coupler с затуханием всего 0.5–1.0 dB. Мы внедряем следующие методы обнаружения:
Наши решения учитывают полный спектр угроз — от физического проникновения до перехвата данных на каналах связи. Каждый проект начинается с анализа модели угроз.
| Угроза | Вектор атаки | Риск | Наши контрмеры |
|---|---|---|---|
| Несанкционированный доступ | Social engineering, клонирование RFID, tailgating, подкуп | Высокий | Мантрап, биометрия, anti-passback, background check |
| Insider Threat | Сотрудник или подрядчик с легальным доступом | Высокий | Разграничение доступа, DLP, аудит действий, четырёхглазый принцип |
| Кража/подмена оборудования | Вынос дисков, установка закладного устройства | Средний | Chassis intrusion, FDE, блокировка USB, Asset Management |
| Стихийные бедствия | Наводнение, пожар, землетрясение | Средний | Георезервирование (100+ км), сейсмоустойчивость, пожаротушение |
| ЭМ-атака | HERF, EMP-устройство | Низкий | Экранирование (Faraday cage), заземление, фильтрация |
| Диверсия инфраструктуры | Повреждение кабелей питания или охлаждения | Средний | Резервирование путей, подземная прокладка, мониторинг |
| Угроза | Описание | Риск | Наши контрмеры |
|---|---|---|---|
| Fiber Tapping | Физическое подключение к оптоволокну (clip-on coupler, затухание 0.5–1 dB) | Высокий | OTDR-мониторинг, Layer 1 шифрование, QKD |
| Man-in-the-Middle | Перехват и модификация трафика на промежуточном узле | Высокий | mTLS, IPsec с сертификатами, certificate pinning, RPKI |
| BGP Hijacking | Ложные анонсы маршрутов для перенаправления трафика | Высокий | RPKI, BGP-SEC, мониторинг (BGPStream, RIPE RIS) |
| Повреждение кабеля | Строительные работы, вандализм, стихия | Средний | Разнесённые трассы, автопереключение, мониторинг |
| Компрометация оператора | Доступ к оборудованию оператора связи | Высокий | End-to-end шифрование, Zero Trust |
Массовый перехват данных с подводных оптоволоконных кабелей через физические сплиттеры. Обрабатывалось до 21 Пб данных в день. Это подтвердило необходимость end-to-end шифрования.
Полное уничтожение ЦОД. Потеря 3.6 млн веб-сайтов. У многих клиентов бэкапы хранились на том же сайте — данные утрачены безвозвратно.
Группировка Netwalker атаковала крупнейшего оператора ЦОД через фишинг сотрудника подрядной организации. Требование выкупа: $4.5 млн.
Перехват данных на незашифрованных каналах между ЦОД Google через программу MUSCULAR. После этого Google внедрил шифрование всех межсайтовых соединений.
Мы успешно реализовали проекты различного масштаба для заказчиков в Санкт-Петербурге и Москве. Ниже — характерные примеры.
Полный цикл работ: проектирование, поставка оборудования, монтаж и пусконаладка 6-зонной системы физической безопасности. СКУД с биометрией, мантрапы, система видеонаблюдения на 120+ IP-камер с AI-аналитикой, интеграция с SIEM.
Проектирование и внедрение MACsec-шифрования на Dark Fiber между основным ЦОД и резервной площадкой. OTDR-мониторинг 40 км оптоволокна, IPsec-backup через независимого оператора, мониторинг BGP-аномалий.
Аудит существующей инфраструктуры, проектирование и реализация модернизации: замена СКУД, установка системы раннего обнаружения пожара VESDA, внедрение газового пожаротушения Novec 1230, организация резервного электропитания N+1.
Проектирование и внедрение архитектуры Zero Trust для компании с 3 площадками. Service Mesh на базе Istio с mTLS, микросегментация, PKI с автоматической ротацией сертификатов через SPIRE, интеграция PAM и NDR.
В каждом проекте мы используем проверенные решения мирового уровня, адаптированные под требования российского законодательства и специфику заказчика.
Модель Zero Trust (NIST SP 800-207) — ни один сегмент сети не является доверенным, включая внутренние соединения между дата-центрами.
[Client Service] ──mTLS──> [Service Mesh Sidecar (Envoy/Istio)]
│
┌───────┴───────┐
│ Policy Engine │ ← проверка identity,
│ (OPA / SPIRE) │ namespace, labels
└───────┬───────┘
│
┌───────────┼───────────┐
▼ ▼ ▼
[Service A] [Service B] [Service C]
(DC-East) (DC-West) (DC-South)
# Каждый hop зашифрован mTLS, авторизован политикой
# Компрометация одного сервиса не даёт доступ к остальным┌────────────────────────────────────────────────────────────┐ │ Дата-центр │ │ │ │ ┌──── Зона DMZ ────┐ ┌── Зона приложений ──┐ │ │ │ Load Balancer │ │ App Server 1 │ │ │ │ WAF │──>│ App Server 2 │ │ │ │ Reverse Proxy │ │ App Server N │ │ │ └──────────────────┘ └─────────┬───────────┘ │ │ │ │ │ ┌─── Зона данных ───┐ │ │ │ │ Database Master │<───────────┘ │ │ │ Database Replica │ │ │ │ Object Storage │ ┌── Зона управления ──┐ │ │ └───────────────────┘ │ Ansible/Terraform │ │ │ │ Monitoring (SNMP) │ │ │ │ IPMI/iLO (OOB) │ │ │ └─────────────────────┘ │ │ │ │ Firewall: DENY ALL + explicit ALLOW между зонами │ └────────────────────────────────────────────────────────────┘
Платформа для детекции инцидентов информационной безопасности, оперативного оповещения и координации реагирования в режиме реального времени.
SC Incident Monitor — web-платформа с открытым REST API для интеграции с существующей инфраструктурой безопасности. Собирает события из SIEM, NDR, СКУД, DCIM и систем видеонаблюдения в единую панель управления с мгновенным оповещением ответственных специалистов.
REST API с подробной документацией позволяет подключить существующие системы безопасности в кратчайшие сроки. Поддержка webhook-ов, Server-Sent Events для потоковой передачи и стандартные форматы данных (JSON, CEF, Syslog).
Платформа устанавливается на инфраструктуре заказчика — данные не покидают периметр. Поддержка виртуализации (VMware, Proxmox, KVM) и контейнеризации (Docker, Kubernetes). Минимальные требования: 4 vCPU, 8 GB RAM.
Нативные приложения для Android и iOS обеспечивают мгновенный доступ к панели инцидентов, push-уведомления и возможность координации реагирования в любом месте. Поддержка биометрической авторизации и работа в защищённых сетях.
Используйте этот чек-лист для самостоятельной оценки. Если более 30% пунктов не выполнено — свяжитесь с нами для проведения профессионального аудита.
Все наши проекты реализуются в соответствии с требованиями российских и международных стандартов.
| Стандарт | Область | Ключевые требования |
|---|---|---|
| ISO/IEC 27001:2022 | Информационная безопасность | Физический доступ, криптография, сетевая безопасность |
| ГОСТ Р 57580 | Финансовые организации (РФ) | Защита информации, физическая безопасность, каналы связи |
| TIA-942-B | Инфраструктура ЦОД | Tier-классификация, питание, охлаждение, безопасность |
| SOC 2 Type II | Аудит контролей | Security, Availability, Confidentiality, Privacy |
| PCI DSS v4.0 | Платёжные данные | Физический доступ, шифрование передачи, логирование |
| 152-ФЗ | Персональные данные (РФ) | Защита ПДн, требования к операторам, локализация |
| 187-ФЗ (КИИ) | Критическая инфраструктура (РФ) | Категорирование объектов, требования к защите |
Свяжитесь с нами удобным способом. Мы ответим в течение одного рабочего дня.