Инструментальная проверка защищённости государственных систем и значимых объектов по приказам № 117 и № 239
Государственные информационные системы и значимые объекты требуют регулярного поиска уязвимостей при полном запрете на остановку или порчу рабочих баз. Программный фильтр на проводе перехватывает опасные команды до сокета, подтверждает бреши на парных обманках и скрепляет каждый шаг квитанцией по ГОСТ Р 34.11-2012.
Владельцы государственных информационных систем и субъекты критической информационной инфраструктуры по Федеральному закону от 26 июля 2017 года № 187-ФЗ обязаны регулярно проводить анализ уязвимостей и испытания на проникновение. Приказ Федеральной службы по техническому и экспортному контролю от 11 апреля 2025 года № 117 (пункты 60 и 61, вступающие в силу с 1 марта 2026 года) и приказ от 25 декабря 2017 года № 239 требуют приборной проверки прикладных сервисов и подключаемых программных модулей без нарушения доступности узлов.
Силовику и руководителю (без жаргона): Перехват «Execute unverified destructive scan against state information system or significant infrastructure node» до сокета (0 вреда рабочей базе, готовая печать ГОСТ)
Техническому проверяющему (улика): Норма Приказ ФСТЭК России от 11.04.2025 № 117 п. 60–61; Приказ ФСТЭК России от 25.12.2017 № 239; 187-ФЗ | Фильтр SEC-ZD-CMP-01 | Свидетель 4180a92cb53e7104
Технократу, CTO и VC (математика): Инвариант Z3 (assert (and (= (destructive_mutations_blocked stand_run) ... | FP = 0,0% | Правило IMMUNE-CMP-4180A92C (mcp-sentinel 1.1.2)1. Схема нормативного контроля и инструментальной приёмки для CMP-FST-01
Конвейер нормативной верификации по разделу CMP-FST-01 (FSTEC Order 117 / Order 239 / 187-FZ, GOST R 56939-2024 Clauses 5.6-6.4): проверка безопасности вызова правилом SEC-ZD-CMP-01 до сокета, фиксация свидетеля 4180a92cb53e7104 и выпуск контракта IMMUNE-CMP-4180A92C для шлюза mcp-sentinel.
2. Требования стандарта, безопасный прогон и инвариант решателя для CMP-FST-01
Запуск обычных сетевых сканеров по защищаемым государственным узлам несёт риск повреждения таблиц, зависания рабочих потоков и выдачи сотен ложных срабатываний. По правилу SEC-ZD-CMP-01 каждый проверочный пакет сначала разбирается программным фильтром в пути запроса до обращения к сетевому сокету, благодаря чему все 26 видов разрушительных мутаций останавливаются внутри процесса испытателя.
В соответствии с требованиями стандарта безопасной разработки ГОСТ Р 56939-2024 (разделы 5.6–6.4) каждый проверяемый класс сверяется с защищённой ручкой-обманкой на размеченной выборке из 28 сценариев. Матрица испытаний даёт 14 истинно положительных решений и ноль ложных тревог, формируя формального свидетеля 4180a92cb53e7104.
Код раздела: CMP-FST-01 (fstec_117_239_kii_gis)
Стандарт и профиль: FSTEC Order 117 / Order 239 / 187-FZ | GOST R 56939-2024 Clauses 5.6-6.4
Нормативная привязка: Приказ ФСТЭК России от 11.04.2025 № 117 п. 60–61; Приказ ФСТЭК России от 25.12.2017 № 239; 187-ФЗ
Режим испытаний: Детерминированная проверка (AUTO_SCAN)
Проверочный вызов: POST /api/v1/compliance/fstec-audit {"profile":"FSTEC_117_239","target_scope":"localhost:8888","check_clauses":["117.p60","117.p61","239.ANV"]}
Предотвращённый ущерб: Execute unverified destructive scan against state information system or significant infrastructure node
Инвариант решателя Z3: (assert (and (= (destructive_mutations_blocked stand_run) 26) (= (false_positives stand_run) 0) (= (streebog_chain_valid ledger) true)))
Правило верификатора: SEC-ZD-CMP-01
Хэш свидетеля: 4180a92cb53e7104
Скомпилированный фильтр: IMMUNE-CMP-4180A92C (mcp-sentinel 1.1.2)3. Доказательная база приёмки IMMUNE-CMP-4180A92C и квитанция по ГОСТ Р 34.11-2012
На основании свидетеля 4180a92cb53e7104 компилятор в автоматическом режиме выпускает правило IMMUNE-CMP-4180A92C для перехватчика mcp-sentinel 1.1.2. Все шаги проверки и выпущенные контракты записываются в неразрывную хэш-цепочку по ГОСТ Р 34.11-2012 для автономной перепроверки комиссией.
4. Ответы на вопросы аудиторов и инспекторов по разделу CMP-FST-01
Соотношение заводского паспорта испытаний и государственного сертификата соответствия
Документ INDRA_AUDIT_PASSPORT.md формируется автоматически из приборных замеров стенда как заводской протокол разработчика и прикладывается к доказательной базе при проведении аттестационных испытаний.
Проведение анализа уязвимостей без остановки технологического процесса
Нагрузочные проверки вынесены в изолированный лабораторный режим, а команды удаления и модификации отсекаются до сокета, поэтому проверка не влияет на штатную работу прикладного узла.