Repository navigation
implementation plan
Данный документ представляет собой пошаговую дорожную карту внедрения платформы Shapoclyack в корпоративную инфраструктуру организации. Программа рассчитана на 12 недель и разделена на 4 последовательные фазы: от пилотного развертывания до полноценной интеграции в операционные процессы ИБ и ИТ.
gantt
title План внедрения Shapoclyack (12 недель)
dateFormat YYYY-MM-DD
section Фаза 1: Развертывание
Выбор архитектуры и развертывание K8s :2026-10-01, 7d
Настройка SSO, RBAC и базовая конфигурация :2026-10-08, 7d
Утверждение скоупа и пилотный скан (M1) :2026-10-15, 7d
section Фаза 2: EASM & Активы
Подключение внешних доменов и org_profile :2026-10-22, 7d
Интеграция с CMDB / Active Directory :2026-10-29, 7d
Разметка критичности и владельцев (M2) :2026-11-05, 7d
section Фаза 3: VM & Интеграции
Развертывание Remote Agents в DMZ и VPC :2026-11-12, 7d
Интеграция с Jira/ServiceNow и Webhooks :2026-11-19, 7d
Запуск доски ремедиации и перепроверки (M3) :2026-11-26, 7d
section Фаза 4: Эксплуатация
Настройка отчетов и комплаенс-дашбордов :2026-12-03, 7d
Внедрение регламентов и метрик Adoption :2026-12-10, 7d
Финальная приемка и передача в тираж (M4) :2026-12-17, 7d
-
Выбор архитектуры развертывания:
-
Вариант А (PoC / Тестовый стенд): развертывание All-in-One контейнера через Docker Compose или
scripts/dev-up.sh(kind). Минимальные требования: 4 vCPU, 8 GB RAM, 50 GB SSD. -
Вариант Б (Production): промышленный кластер Kubernetes (
k8s/shapoclyack/overlays/prod), включающий реплики FastAPI Control Plane, отказоустойчивый PostgreSQL, кластер NATS JetStream и ClickHouse для долговременной аналитики.
-
Вариант А (PoC / Тестовый стенд): развертывание All-in-One контейнера через Docker Compose или
-
Настройка базовой безопасности и аутентификации:
- Генерация криптографических секретов (JWT secret, мастер-ключи шифрования) согласно
k8s/shapoclyack/examples/api-secrets.example.yaml; - Подключение корпоративного OIDC SSO (Keycloak, Okta, Microsoft Entra ID, ADFS);
- Настройка ролевой модели RBAC (
admin,operator,auditor,viewer).
- Генерация криптографических секретов (JWT secret, мастер-ключи шифрования) согласно
-
Утверждение политик и областей сканирования:
- Создание производственного тенанта;
- Внесение и юридическое утверждение администратором скоупа внешних IP-адресов и доменов (
scope_approval). Без явного утверждения платформа блокирует любые сетевые воздействия.
🎯 Контрольная точка M1 (Конец 3-й недели):
Кластер развернут и доступен по безопасному HTTPS-адресу. Инженеры авторизуются через единый SSO. Выполнен первый валидационный скан внешнего периметра, артефакты прогона успешно сохранены в ClickHouse и S3/дисковом хранилище.
-
Подключение всей внешней поверхности компании:
- Внесение всех принадлежащих организации ASN-номеров, CIDR-блоков и корневых доменов;
- Активация модуля Организационного профиля (
org_profile): сбор связанных доменов через RDAP/CT-логи и выявление забытых субдоменов; - Проверка и очистка висячих записей (Dangling CNAME) и аудит почтовой защиты (SPF/DKIM/DMARC).
-
Синхронизация с корпоративной CMDB / Active Directory:
- Настройка фонового скрипта/интеграции для вызова
PATCH /api/assets/{id}; - Импорт бизнес-контекста: наименование информационной системы (
business_service), контур (environment), категория обрабатываемых данных (data_classification); - Назначение ответственных за системы (
owner_email) и шкалы критичности от 0 до 4 (asset_criticality).
- Настройка фонового скрипта/интеграции для вызова
-
Очистка данных и инвентаризация Shadow IT:
- Расследование всех активов со статусом
unowned_asset; - Закрытие неиспользуемых тестовых стендов, обнаруженных сканером снаружи.
- Расследование всех активов со статусом
🎯 Контрольная точка M2 (Конец 6-й недели):
Построена полная цифровая карта периметра организации. Доля активов без назначенного владельца снижена до <5%. Расчет совокупного риска (Estate Risk) в реальном времени учитывает бизнес-критичность систем.
-
Развертывание парка Remote Agents:
- Установка распределенных сканирующих воркеров в закрытых сетевых сегментах (DMZ, сегменты ЦОД, облачные VPC);
- Проверка сетевой связности: подтверждение того, что агентам открыты только исходящие порты к брокеру NATS JetStream (порт 4222) и API (HTTPS 443).
-
Инвентаризация ПО на конечных точках (Endpoints):
- Развертывание агента Lariska на серверах критичной инфраструктуры;
- Настройка сопоставления установленного ПО с бюллетенями вендоров дистрибутивов (Ubuntu USN, Debian Security Tracker) с формированием панели Patch Gaps.
-
Двусторонняя интеграция с таск-трекерами (Jira / ServiceNow / DefectDojo):
- Настройка вебхуков в разделе
/integrations; - Согласование шаблона задач с ИТ-дирекцией;
- Настройка правил автоматической эскалации при приближении к дедлайну SLA.
- Настройка вебхуков в разделе
-
Запуск доски ремедиации и механической перепроверки:
- Обучение сотрудников ИТ и ИБ работе со статусами
OPEN → PLANNED → FIXING → VERIFYING → CLOSED; - Внедрение строгого правила: уязвимость переходит в
CLOSEDтолько после успешного вызоваPOST /api/vulnerabilities/{id}/verify.
- Обучение сотрудников ИТ и ИБ работе со статусами
🎯 Контрольная точка M3 (Конец 9-й недели):
Сквозной процесс управления уязвимостями функционирует в автоматическом режиме. Задачи на исправление поступают в рабочие очереди разработчиков с готовыми рецептами устранения. Инструментальная перепроверка исключает закрытие тикетов «на честное слово».
-
Настройка регулярных расписаний (
/schedules):- Еженедельное быстрое сканирование внешнего периметра (профиль
safe); - Ежемесячное углубленное сканирование внутренних сетей (профиль
deep); - Непрерывный мониторинг CT-логов и доменных зон.
- Еженедельное быстрое сканирование внешнего периметра (профиль
-
Запуск фабрики отчетов и комплаенс-дашбордов:
- Брендирование отчетов под корпоративный стиль компании (логотип, шрифты, колонтитулы);
- Настройка автоматической рассылки Executive Summary для CISO и Правления;
- Активация матриц комплаенса
/complianceпо стандартам PCI DSS 4.0, CIS Controls v8, ISO/IEC 27001:2022.
-
Мониторинг качества процессов (Adoption Dashboard):
- Контроль ключевых метрик: доля подтвержденных закрытий (Machine-verified), среднее время исправления (MTTR), объем подавленного шума (Noise Block).
-
Разработка регламентов и подписание акта ввода:
- Утверждение Регламента управления уязвимостями и матрицы SLA приказом по компании;
- Резервное копирование баз данных PostgreSQL и ClickHouse, документирование плана DRP (Disaster Recovery).
🎯 Контрольная точка M4 (Конец 12-й недели):
Платформа принята в промышленную эксплуатацию. Процессы управления уязвимостями и внешней поверхностью атаки регламентированы, автоматизированы и подкреплены объективными метриками эффективности.
| Этап / Задача | CISO | Архитектор ИБ | Инженер ИБ | Руководитель ИТ / DevOps | Владелец ИС |
|---|---|---|---|---|---|
| Согласование архитектуры и скоупа | A | R | C | C | I |
| Развертывание кластера и агентов | I | A | R | C | I |
| Интеграция с CMDB и каталогами | I | A | R | C | C |
| Назначение критичности и владельцев | C | C | C | C | A / R |
| Триаж и приоритизация по NIST | I | I | A / R | I | I |
| Установка патчей и устранение | I | I | C | A / R | C |
| Инструментальная перепроверка | I | I | A / R | C | I |
| Согласование исключений (Risk Acceptance) | A | C | C | C | R |
| Аудит комплаенса и отчетность | A | C | R | I | I |
Легенда: R — Ответственный исполнитель (Responsible), A — Утверждающее лицо (Accountable), C — Консультант (Consulted), I — Информируемое лицо (Informed).
Проект внедрения платформы признается успешным при достижении следующих показателей в течение первого квартала промышленной эксплуатации:
| Показатель эффективности (KPI) | Целевое значение | Метод измерения |
|---|---|---|
| Видимость внешнего периметра | ≥ 98% всех публичных IP и FQDN | Отсутствие неучтенных активов в регулярных сканах |
| Покрытие бизнес-контекстом | ≥ 95% активов имеют владельца | Доля unowned_assets в дашборде Overview |
| Доля инструментально подтвержденных закрытий | ≥ 85% | Метрика machine_verified на дашборде /adoption
|
| Соблюдение нормативов SLA (Critical / High) | ≥ 90% устранено в срок | Отчет по просроченным уязвимостям (breached) |
| Сокращение времени устранения (MTTR) | Снижение на 35–50% | Тренд метрики Median Time to Remediate |
| Трудозатраты на аудит комплаенса | Сокращение в 3 раза | Автоматическая генерация доказательной базы /compliance
|