han-app/VM1_app/codebase/backend/deployment/kesl/EVIDENCE.AVZ.ru.md

# Карта доказательств АВЗ.1 и АВЗ.2 для ВМ1

Форма заполняется оператором после выполнения `RUNBOOK.KESL.ru.md`. Она не
должна содержать activation code, ключи, токены, DSN, environment, содержимое
secret-файлов, персональные данные или тестовый файл EICAR.

## 1. Идентификация изменения

- Change ID:
- Дата и окно:
- Оператор:
- Security approver:
- Service owner:
- Hostname ВМ1:
- Ubuntu version:
- Kernel version:
- KESL package/version:
- SHA-256 DEB:
- Источник пакета:
- HAN release SHA:
- Container image digests зафиксированы: да / нет

Коммерческая KESL 12.4 не должна быть обозначена как сертифицированная ФСТЭК
сборка. Решение о допустимости коммерческой версии и ссылка на модель угроз:

- Решение:
- Документ/раздел:
- Утвердил:

## 2. Входной baseline

- Все steady-state контейнеры healthy/running:
- Restart count:
- Public smoke:
- Negative port probes:
- CPU:
- Available RAM:
- Swap activity:
- Disk free:
- IO wait:
- API p95:
- Redis latency / blocked clients:
- OTEL queue:
- Открытые до установки проблемы:

Stop conditions и численные пороги утверждены:

- p95/Redis:
- available RAM/swap:
- IO wait:
- disk:
- health/restarts:

## 3. АВЗ.1 — реализация антивирусной защиты

Нормативная опора:

- Приказ ФСТЭК России № 21, приложение, АВЗ.1 — «Реализация
  антивирусной защиты»;
- пункт 8.6 — обнаружение вредоносных программ/информации и реагирование.

Необходимые доказательства:

- [ ] `kesl` active.
- [ ] Лицензия действительна.
- [ ] File Threat Protection (ID 1) имеет состояние `Started`.
- [ ] InterceptorProtectionMode = `Block`.
- [ ] ActionOnThreat = `DisinfectDeleteIfNotPossible` либо иное утверждённое
      блокирующее/лечащее действие.
- [ ] ScanArchived = `No` для real-time защиты.
- [ ] Исключения ограничены тремя утверждёнными hot-data mountpoint.
- [ ] Контролируемый EICAR заблокирован/обезврежен/помещён в карантин.
- [ ] Событие EICAR зарегистрировано в журнале KESL.
- [ ] После теста EICAR отсутствует вне карантина и тестовый каталог удалён.
- [ ] Public smoke и health после включения Block успешны.
- [ ] UFW и `HAN-CHAT-DOCKER` не изменены.
- [ ] За 24 часа нет новых restart/OOM/5xx и неприемлемой деградации.

Артефакты без секретов:

- `systemctl is-active kesl`:
- `kesl-control --app-info`:
- `kesl-control --get-task-state 1`:
- reviewed excerpt `kesl-control --get-settings 1`:
- EICAR event ID/time/action:
- smoke result/time:
- firewall comparison:
- 24h resource comparison:

Вывод по АВЗ.1: реализована / не реализована.

## 4. АВЗ.2 — обновление баз признаков вредоносных программ

Нормативная опора:

- Приказ ФСТЭК России № 21, приложение, АВЗ.2 — «Обновление базы данных
  признаков вредоносных компьютерных программ (вирусов)».

Необходимые доказательства:

- [ ] Update (ID 6) завершилась успешно.
- [ ] Базы загружены.
- [ ] Дата выпуска баз актуальна на момент проверки.
- [ ] Расписание Update = `Hourly`.
- [ ] Утверждён alert/регламент на ошибку и устаревание баз.
- [ ] Назначен ответственный за ежедневный контроль.
- [ ] Проверено успешное автоматическое обновление после ручного запуска.

Артефакты без секретов:

- `kesl-control --app-info`:
- `kesl-control --get-task-state 6`:
- `kesl-control --get-schedule 6`:
- время последнего успешного автоматического Update:
- ссылка на alert/регламент:
- ответственный:

Вывод по АВЗ.2: реализована / не реализована.

## 5. Связанные меры

### РСБ.1–3, РСБ.7

- [ ] Определены события: detection, remediation/quarantine, component stop,
      update failure, stale bases, license failure.
- [ ] Определён состав полей: time, host, component/task, threat, object,
      action, result, severity.
- [ ] Определены срок и место хранения.
- [ ] Доступ к журналу ограничен; изменение/удаление контролируется.
- [ ] Экспорт в syslog/SIEM включён либо документирован локальный контроль.

Ссылка на регламент и настройки:

### АНЗ.2

- [ ] Контролируется версия и жизненный цикл самого KESL, а не только баз.
- [ ] Upgrade KESL проходит совместимость, pilot, smoke и rollback review.
- [ ] Обновление kernel/Docker вызывает повторную проверку совместимости.

Ссылка на регламент:

## 6. Исключения и компенсирующие проверки

Для каждого исключения укажите точный фактический mountpoint, владельца,
причину, риск, компенсирующую проверку и дату пересмотра.

### Redis data

- Mountpoint:
- Причина: AOF/RDB, latency-sensitive write path.
- Компенсация:
- Владелец:
- Review date:

### OTEL queue

- Mountpoint:
- Причина: persistent high-churn telemetry queue.
- Компенсация:
- Владелец:
- Review date:

### nginx cache

- Mountpoint:
- Причина: regenerable high-churn cache.
- Компенсация:
- Владелец:
- Review date:

Иных исключений нет / перечислить отдельно с утверждением Security:

## 7. Проверка отката

- [ ] Команда переключения `Block` → `Notify` проверена документально.
- [ ] Процедура остановки KESL доступна break-glass admin.
- [ ] Процедура `apt-get purge kesl` проверена по документации текущей версии.
- [ ] Откат не использует `docker compose down -v` и не удаляет volumes.
- [ ] После отката предусмотрены smoke, health и firewall checks.
- [ ] Reboot выполняется только отдельным согласованным окном при необходимости.

Результат rehearsal/desk check:

## 8. Итоговая приёмка

- АВЗ.1: принято / не принято.
- АВЗ.2: принято / не принято.
- Ограничения/остаточные риски:
- Следующий review:
- Operations, ФИО/подпись/дата:
- Security, ФИО/подпись/дата:
- Service owner, ФИО/подпись/дата: