Анализатор соответствия ФСТЭК

В Sambryx встроен модуль автоматизированного аудита конфигурации Samba на соответствие методическим рекомендациям ФСТЭК России по безопасной настройке программного обеспечения Samba.

Вкладка «ФСТЭК» работает в режиме ТОЛЬКО ДЛЯ ЧТЕНИЯ (Read-Only). Она считывает эффективную конфигурацию сервера (включая значения параметров по умолчанию) и формирует отчёт с оценкой соответствия и рекомендациями по устранению несоответствий. Приложение не вносит изменений в файлы сервера автоматически.

Статусы проверок

Каждое правило оценивается в один из четырёх статусов:

Статус	Описание
OK	Конфигурация полностью удовлетворяет требованию рекомендации.
FAILED	Значение параметра не соответствует требованию или параметр отсутствует в `smb.conf`, и действует небезопасное значение по умолчанию.
MANUAL	Проверка не может быть проведена исключительно анализом `smb.conf` (регламентные процедуры: резервное копирование, аудит состава группы Domain Admins, аудит GPO). Отображается как напоминание администратору.
NOT_APPLICABLE	Правило неприменимо к текущей роли сервера (например, требования контроллера домена Active Directory на автономном файловом сервере).

Расчёт процента соответствия

Итоговый процент соответствия вычисляется по формуле:

$$\text{Соответствие (\%)} = \frac{\text{OK}}{\text{OK} + \text{FAILED}} \times 100$$

Правила со статусами MANUAL и NOT_APPLICABLE в расчёт процента не входят.

Проверяемые требования

Пункт	Требование	Область	Ожидаемое значение
§ 2.1	Запрет гостевого доступа к ресурсам	С сетевых папок (`SHARE`)	`guest ok = no` на каждой шаре
§ 2.1	Запрет автоматического сопоставления неизвестных учетных записей с гостем	`[global]`	`map to guest != Bad User` (`Never`)
§ 2.2	Ограничение доступа по сетевым адресам	`[global]`	`hosts allow` задан и не пуст
§ 2.2	Явный запрет неразрешенных сетевых адресов	`[global]`	`hosts deny` задан
§ 2.3	Маска создания файлов	Сетевые папки (`SHARE`)	`create mask` не мягче `0640` (побитовая проверка)
§ 2.3	Маска создания каталогов	Сетевые папки (`SHARE`)	`directory mask` не мягче `0750` (побитовая проверка)
§ 2.4	Отключение протокола NetBIOS	`[global]`	`disable netbios = yes`
§ 2.4	Использование прямого порта SMB	`[global]`	`smb ports = 445`
§ 2.5	Минимальная версия протокола SMB	`[global]`	`server min protocol >= SMB2`
§ 2.5	Максимальная версия протокола SMB	`[global]`	`server max protocol >= SMB3`
§ 3.1	Подключение VFS-модуля расширенного аудита	`[global]`	`vfs objects` содержит `full_audit`
§ 3.1	Аудит успешных файловых операций	`[global]`	`full_audit:success` содержит полный перечень событий
§ 3.1	Аудит сбойных файловых операций	`[global]`	`full_audit:failure` содержит перечень критических событий
§ 3.1	Канал и приоритет syslog для аудита	`[global]`	`full_audit:facility = local5`, `full_audit:priority = notice`
§ 3.1	Уровень детализации журнала VFS	`[global]`	`log level` содержит `vfs:3`
§ 4.1	Требование строгой аутентификации LDAP	`[global]` (AD DC)	`ldap server require strong auth = yes`

Ручные регламенты (MANUAL)

Ряд требований ФСТЭК требует регулярных процедур сопровождения:

§ 4.4 Резервное копирование базы Active Directory: Регламент требует выполнять резервное копирование не реже одного раза в 90 дней (в пределах tombstoneLifetime):
```
sudo samba-tool domain backup offline --target-dir=/var/backups/samba
```
§ 4.5 Контроль состава группы Domain Admins: Периодический аудит администраторов домена:
```
sudo samba-tool group listmembers "Domain Admins"
```
§ 4.6 Проверка целостности групповых политик GPO: Контроль состояния и версий доменных политик:
```
sudo samba-tool gpo listall
```

Устранение несоответствий

В веб-интерфейсе для каждого несоответствующего правила доступна инструкция по настройке. Кнопка «Скопировать фрагмент smb.conf» формирует готовый блок директив для вставки в конфигурационный файл сервера.

[!IMPORTANT] Проверка носит информационный характер и основана на методических рекомендациях по безопасной настройке. Наличие статуса 100% не является формальным актом государственной сертификации или аттестации информационной системы.