Как обновлять BIOS/UEFI и пакеты безопасности на 300 корпоративных ноутбуках (в том числе в закрытой сети КИИ без интернета): локальные зеркала и защита от «окирпичивания»
Инженер эксплуатации парка корпоративных ноутбуков всегда живёт между двух огней:
- Справа давит отдел информационной безопасности и регулятор (Приказы ФСТЭК России № 239 / № 21, БДУ ФСТЭК): критическая уязвимость ядра Linux, браузера или микрокода
UEFIдолжна быть закрыта на 100 % рабочих станций в жёсткий нормативный срок (зачастую за24–72 часа!); - Слева давит физика и бизнес: если выкатить непроверенный апдейт в один день сразу на все
300ноутбуков бухгалтерии в день сдачи НДС (или прошитьBIOSбез приостановкиBitLocker!), утром у вас выстроится очередь из 300 синих экранов запроса 48-значного ключа восстановленияTPM PCR0, а бизнес потеряет миллионы рублей!
Вот промышленная архитектура безаварийного управления обновлениями ОС и прошивок BIOS / EC на парке ноутбуков (включая полностью изолированные цеховые и государственные сети без выхода в интернет)!
ГЛАВНАЯ КАТАСТРОФА ПРИ ОБНОВЛЕНИИ BIOS / UEFI НА WINDOWS-НОУТБУКАХ С ШИФРОВАНИЕМ ДИСКА (TPM PCR 0 / PCR 7)!
Запомните и повесьте на стену над столом системного администратора:
- Полнодисковое шифрование BitLocker (и LUKS2 с привязкой к
systemd-cryptenroll --tpm2-pcrs=0+7) при каждой загрузке ноутбука сверяет криптографический хэш прошивкиBIOSв регистреPCR[0]чипаTPM 2.0! - Если вы обновили
BIOSфлешкой или сырым прошивальщиком НАПРЯМУЮ В ОБХОД API ОС, хэшBIOSизменился — чипTPMрешает, что злоумышленник перепаял флешку на плате («Evil Maid Attack»), и НАМЕРТВО БЛОКИРУЕТ ВЫДАЧУ КЛЮЧА ДИСКА, требуя у генерального директора в командировке ручной ввод 48 цифр! - ПРАВИЛЬНЫЙ БЕЗОПАСНЫЙ СПОСОБ:
- Либо обновлять микрокод строго штатным механизмом
UEFI Capsule Update(через драйвер ОС Windows Update /fwupdс автоматическим временным перепривязыванием PCR); - Либо в
Ansible / PowerShell-скрипте прошивки ВСЕГДА первой строкой ставить приостановку защиты на 1 перезагрузку:Suspend-BitLocker -MountPoint "C:" -RebootCount 1! Ноутбук перезагружается, прошиваетBIOS, загружает Windows и сам автоматически запечатываетTPMуже на новый эталонный хэш свежей прошивки — НОЛЬ звонков в техподдержку!
- Либо обновлять микрокод строго штатным механизмом
Почему локальное зеркало репозитория внутри офиса экономит 99 % интернет-канала и обязательно для КИИ!
Если 200 ноутбуков в филиале с узким загородным радиоканалом 50 Мбит/с в 10:00 вторника одновременно начнут тянуть из интернета образ обновления по 2,5 ГБ — интернет и IP-телефония всего офиса лягут на весь день (500 гигабайт внешнего трафика!)!
- Поднимите на одном скромном виртуальном сервере внутри локальной сети единое внутреннее зеркало пакетов (интегрированное с контроллером домена ALD Pro / РЕД АДМ):
- для Astra Linux SE:
apt-mirror / Debmirror / Pulp(раз в ночь выкачивает один раз дельту с серверов Группы Астра или переносится на проверенном одностороннем отчуждаемом носителе через антивирусный киоск в закрытый сегмент КИИ!), а все 300 ноутбуков обновляются утром по локальной сети на скорости1 Гбит/сза 25 секунд! - для РЕД ОС / Альт: локальное зеркало
reposync / createrepo_c; - для прошивок
BIOS, контроллеровThunderboltиNVMe SSDпод Linux: локальный внутренний remote-сервер подсистемыfwupd (Linux Vendor Firmware Service), где админ хранит подписанные.cab-архивы прошивок!
- для Astra Linux SE:
Закон «Трёх колец раскатки (Deployment Rings)» — почему у грамотного ИТ-отдела НИКОГДА не ломается весь офис разом!
| Кольцо обновления | Какие ноутбуки входят (% парка) |
Время выдержки («Карантин наблюдения») |
|---|---|---|
Кольцо 0 (Canary — Канарейки) |
2–3 % — эталонные тестовые стендовые ноутбуки каждой корпоративной модели на столе отдела ИТ и ИБ (массовая раскатка образов) |
День 1 (48 часов): проверяется загрузка ОС, работа КриптоПро CSP, Рутокена, 1С, звука/камеры в ВКС и VPN! |
Кольцо 1 (Pilot — Пилот) |
10 % — технически подкованные сотрудники разных отделов (по 1 ноутбуку в бухгалтерии, ПТО, у юристов) |
День 3–5: мониторинг ошибок в системе инвентаризации и телеметрии. Если сломался редкий плагин на ЭТП — раскатка останавливается одной кнопкой, пострадал всего 1 человек с подменным ноутбуком! |
Кольцо 2 (Production — Весь парк) |
Остальные 87 % парка (кроме «Замороженных окон» сдачи квартального баланса у главбуха!) |
День 6: тихая фоновая установка со штатным уведомлением о перезагрузке вечером в четверг (НИКОГДА не в пятницу вечером и не за 2 часа до сдачи НДС!) |
Чек-лист аппаратной защиты от «окирпичивания» материнской платы при прошивке BIOS
- [ ] ЖЕЛЕЗНЫЙ ЗАПРЕТ: скрипт обновления
BIOS / EC (Embedded Controller клавиатуры и питания)ОБЯЗАН прерывать запуск с кодом отказа, если к ноутбуку НЕ подключён сетевой блок питанияAC Power = ConnectedИЛИ заряд встроенного аккумулятора ниже50 %(протоколUEFI Capsuleпроверяет это аппаратно — внезапное выключение ноутбука в 15-секундное окно стирания загрузочного блокаBootBlock SPI Flashпотребует выпайки микросхемы BIOS программатором в сервисном центре)!
Частые вопросы
Где брать свежие исправления BIOS и драйверов для российских реестровых ноутбуков (Гравитон, Аквариус, ICL, iRU, OSiO, РИКОР, Fplus)?
Строго на официальных порталах технической поддержки производителя по серийному номеру конкретной партии ноутбуков (service.aq.ru, порталах поддержки Гравитон / ICL / iRU и т.д.): никогда не пытайтесь зашить в реестровый ноутбук «похожий по внешнему виду корпуса BIOS от азиатского ODM-аналога» — таблица разводки линий GPIO, матрицы eDP и ключей DMI / OA3 отличается, и плата перестанет выводить изображение на экран!