Карта экосистемы информационной безопасности вокруг РЕД АДМ
За последние годы служба каталогов перестала быть исключительно инструментом централизованного хранения учётных записей. Сегодня она определяет, кто получает доступ к корпоративным системам, какие права ему назначаются, как фиксируются действия пользователя и насколько быстро организация сможет восстановиться после атаки. Поэтому переход с Active Directory на отечественную службу каталогов нельзя рассматривать как простую замену одного программного продукта другим.
Особенно важен вопрос безопасности. Если каталог остаётся без специализированных средств контроля, он становится одной из наиболее критичных точек инфраструктуры: компрометация привилегированной учётной записи способна открыть злоумышленнику путь к файловым серверам, виртуальной инфраструктуре, системам управления и резервным копиям.
Именно поэтому представляет интерес карта решений, которые формируют экосистему информационной безопасности вокруг РЕД АДМ.
Почему потребовалась такая карта
Несколько лет назад на рынке уже существовали подробные схемы экосистемы безопасности Microsoft Active Directory. В них по горизонтали обычно размещались функциональные направления: аудит учётных записей, защита паролей, обнаружение подозрительной активности, управление привилегиями, восстановление домена после атаки. По вертикали указывались разработчики специализированных продуктов - Microsoft, Semperis, Quest, Netwrix, BeyondTrust и другие.
Вокруг Active Directory подобный рынок формировался четверть века. За это время появились отдельные классы решений для контроля изменений, поиска аномалий, защиты контроллеров домена, управления административными сессиями и восстановления инфраструктуры идентификации.
РЕД АДМ значительно моложе, поэтому вокруг неё пока нет столь же развитого набора независимых инструментов. Однако сама потребность в защите каталога никуда не исчезает. Более того, в условиях импортозамещения она становится заметнее: организации вынуждены одновременно решать задачу миграции и строить новый контур контроля.
Контекст импортозамещения
Для значимых объектов критической информационной инфраструктуры переход на российское ПО был установлен указом президента № 166 от 30 марта 2022 года. Позднее указ № 214 от 7 апреля 2025 года уточнил формулировки и добавил оговорку "если иное не установлено федеральным законом", но сам вектор и установленное требование формально сохранились.
Служба каталогов в такой миграции занимает особое место. Она связана с корпоративными рабочими станциями, файловыми ресурсами, почтовыми системами, VPN, средствами удалённого доступа, системами мониторинга, резервного копирования и прикладными сервисами. Поэтому её замена может потребовать перенастройки десятков и даже сотен зависимых компонентов.
По данным обзора CNews, опубликованного по итогам 2025 года, РЕД АДМ Промышленная редакция заняла второе место среди отечественных служб каталогов в рейтинге CNewsMarket. Выше расположился ALD Pro группы "Астра", а следом - "Альт Домен" компании "Базальт СПО", Rosa Dynamic Directory и "Эллес" группы Т1.
При этом рынок пока далёк от полной функциональной зрелости. В том же обзоре отмечается, что отечественные продукты ещё не воспроизводят весь набор возможностей Active Directory. Среди главных ограничений называются нехватка специалистов по Linux-инфраструктуре и необходимость нести двойные расходы при параллельной эксплуатации старого и нового контуров.
Похожую картину показывал и более ранний опрос Anti-Malware.ru: 34% участников указывали на несовместимость с уже используемыми ИТ-системами, 29% - на дефицит квалифицированных кадров, а 24% - на недостаточную функциональность российских решений.
Почему безопасность каталога критична
Служба каталогов хранит и обслуживает данные, от которых зависит модель доступа всей организации. В ней находятся сведения о пользователях, группах, ролях, компьютерах, сервисных аккаунтах и административных полномочиях.
Атака на каталог может развиваться по нескольким сценариям:
- захват привилегированной учётной записи;
- добавление злоумышленника в административную группу;
- изменение политик безопасности;
- подмена атрибутов пользователей и компьютеров;
- компрометация сервисных аккаунтов;
- отключение журналирования;
- разрушение контроллеров домена;
- блокировка доступа к резервным копиям.
При этом злоумышленнику не всегда требуется вредоносная программа. Достаточно украденного пароля, токена или действующей сессии администратора. Согласно опросу Semperis среди 1500 организаций из десяти стран, 32% респондентов назвали атаки на инфраструктуру идентификации, прежде всего Active Directory, одной из главных угроз 2025 года.
В отчёте CrowdStrike за 2025 год также указывалось, что 79% инцидентов, зафиксированных в 2024 году, не требовали использования вредоносного кода. Компрометация учётных данных стала одним из основных способов первоначального проникновения. Эти данные нельзя напрямую переносить на российские службы каталогов, однако общая логика риска остаётся прежней: система идентификации является самостоятельной целью атакующих.
Отдельной общедоступной статистики по доле атак именно на отечественные каталоги пока недостаточно. Профильные материалы BI.ZONE и Positive Technologies рассматривают атаки на Active Directory Certificate Services и общий ландшафт угроз, но не дают единой оценки для РЕД АДМ или аналогичных продуктов.
Как формировалась карта
За основу была взята официальная страница совместимости РЕД АДМ. В каталоге указаны продукты, для которых подтверждена совместимость с конкретными версиями платформы. Это важная оговорка: ветки РЕД АДМ 1.x и РЕД АДМ 2.x, включая Промышленную редакцию 2.0, нельзя автоматически считать одной и той же средой.
Категории на сайте разработчика представлены в достаточно широком виде: СЗИ, СКЗИ, IDM, DLP, SIEM, антивирусы, резервное копирование, администрирование, а также офисные, CRM- и BI-системы. Для оценки именно безопасности каталога такой список пришлось перегруппировать.
В итоговой схеме выделены четыре функциональных блока:
1. аудит и обнаружение - фиксация событий, поиск аномалий и расследование инцидентов;
2. харденинг и управление - защита учётных записей, политик и привилегий;
3. мониторинг - централизованный анализ событий и корреляция активности;
4. восстановление - резервное копирование и возврат каталога в работоспособное состояние.
Средства общего администрирования, такие как решения удалённого доступа, в карту не включались: они могут использоваться в инфраструктуре, но сами по себе не относятся к защите службы каталогов.
Управление учётными записями и привилегиями
Наиболее насыщенной оказалась категория PAM и IDM. В ней представлены семь разработчиков, что подчёркивает центральную роль управления доступом в экосистеме.
Наиболее подробно подтверждена совместимость Ankey IDM компании "Газинформсервис" и "Инфраскоп" NGR Softlab - для каждой пары обнаружено по два независимых источника. Остальные решения включают продукты класса СКДПУ и аналогичные системы, предназначенные для управления доступом, согласования заявок, контроля полномочий и работы с привилегированными пользователями.
Однако наличие IDM или PAM ещё не означает полноценную защиту каталога. Важно проверить, какие именно функции поддерживаются: автоматическое создание и блокировка учётных записей, контроль жизненного цикла сотрудников, разделение полномочий, временная выдача прав, запись административных сессий и подтверждение опасных операций.
Для РЕД АДМ особенно важен вопрос глубины интеграции. Поверхностное подключение через отдельные интерфейсы может позволить создавать пользователей, но не обеспечивать полноценный контроль изменений групп, политик и вложенных ролей.
Аудит, SIEM и обнаружение атак
Одного встроенного журнала событий недостаточно. В крупной инфраструктуре данные должны поступать в систему централизованного мониторинга, где они сопоставляются с событиями от рабочих станций, серверов, сетевого оборудования и приложений.
Для каталога критичны события:
- входа и выхода привилегированных пользователей;
- изменения состава групп;
- создания новых аккаунтов;
- сброса паролей;
- изменения политик;
- регистрации новых компьютеров;
- обращения к критичным ресурсам;
- попыток отключения аудита;
- массового изменения объектов каталога.
SIEM-система должна понимать контекст этих событий. Например, добавление пользователя в административную группу само по себе может быть штатной операцией, но если оно выполнено ночью, с незнакомого устройства и без заявки, событие требует немедленной проверки.
При выборе связки с РЕД АДМ важно выяснить, какие журналы доступны, в каком формате они передаются, насколько быстро появляются в системе мониторинга и поддерживаются ли готовые правила корреляции. Если организация самостоятельно разрабатывает все сценарии обнаружения, стоимость внедрения может оказаться значительно выше первоначальных ожиданий.
Защита паролей и политика доступа
Служба каталогов должна быть защищена не только внешними средствами, но и корректной внутренней конфигурацией. К базовым требованиям относятся сложные пароли, многофакторная аутентификация для администраторов, запрет повторного использования секретов, ограничение срока действия сервисных учётных записей и регулярная проверка неиспользуемых аккаунтов.
Отдельное внимание следует уделить встроенным техническим учетным записям. Именно они часто остаются без владельца, сохраняют избыточные права и годами не меняют пароль. Для таких объектов необходимо вести реестр, назначать ответственных и контролировать использование.
Харденинг также предполагает минимизацию числа администраторов, разделение обычных и привилегированных аккаунтов, запрет интерактивного входа сервисных пользователей и применение отдельных рабочих станций для административных операций.
Резервное копирование и восстановление
Резервная копия каталога не должна рассматриваться как формальность. Она должна позволять восстановить не только базу пользователей, но и структуру групп, политики, настройки доверия и связанные параметры безопасности.
При проектировании резервирования необходимо определить:
- как часто создаются копии;
- где они хранятся;
- защищены ли они от удаления администратором каталога;
- доступны ли автономные или неизменяемые копии;
- как проверяется целостность данных;
- сколько времени занимает восстановление;
- кто имеет право запускать процедуру.
Особенно опасен сценарий, при котором резервное хранилище подключено к тому же домену и управляется теми же учётными записями. В случае компрометации каталога атакующий может удалить или зашифровать резервные данные. Поэтому копии следует изолировать, ограничивать доступ к ним и регулярно тестировать восстановление на отдельном стенде.
Что показывает карта
Главный вывод заключается не в количестве совместимых продуктов, а в структуре рынка. Вокруг РЕД АДМ уже формируется экосистема, но она пока не может сравниться по зрелости с многолетним рынком безопасности Active Directory.
Лучше всего представлены решения управления идентификацией и доступом. С аудитом, корреляцией событий, специализированным обнаружением атак и автоматическим восстановлением ситуация сложнее. Во многих случаях организациям придётся самостоятельно выстраивать интеграции, разрабатывать правила мониторинга и проверять реальные сценарии отказа.
Кроме того, сертификат совместимости не всегда означает полноценную эксплуатационную интеграцию. Он подтверждает работу продукта в определённой конфигурации, но не раскрывает все ограничения: поддерживаемые версии протоколов, набор событий, особенности отказоустойчивости, производительность и поведение при массовых изменениях.
Практический подход к внедрению
Перед миграцией стоит составить инвентаризацию зависимостей: какие системы используют каталог, какие протоколы применяются, где хранятся сервисные учётные данные и какие приложения требуют особых атрибутов.
Далее необходимо сформировать минимальный контур безопасности:
1. централизованный сбор событий;
2. контроль привилегий;
3. многофакторная защита администраторов;
4. регулярный аудит групп и сервисных аккаунтов;
5. изолированное резервное копирование;
6. утверждённый план восстановления;
7. периодическая проверка сценариев компрометации.
Миграцию разумно начинать с пилотного сегмента, где можно проверить совместимость приложений, поведение политик, работу журналирования и восстановление из резервной копии. Только после этого стоит переводить критичные сервисы и крупные группы пользователей.
РЕД АДМ может стать основой отечественной инфраструктуры идентификации, но сама по себе не заменяет полноценную систему защиты. Без IDM или PAM, SIEM, резервного копирования и регулярного аудита каталог остаётся уязвимым независимо от того, российский это продукт или зарубежный. Главная задача ближайших лет - не просто заменить Active Directory, а воспроизвести вокруг новой платформы целостную модель управления доступом, обнаружения атак и восстановления после инцидентов.