104 lines
6.5 KiB
Markdown
104 lines
6.5 KiB
Markdown
# Защищённый шаблон Laravel для ИСПДн (ФСТЭК №21, УЗ-1 / К1)
|
||
|
||
Шаблон веб-приложения на Laravel 13 для обработки персональных данных с
|
||
реализацией технических мер защиты по приказу ФСТЭК России №21, 152-ФЗ и
|
||
с учётом требований ФСБ (приказ №378) к криптографической защите.
|
||
|
||
> ⚠️ **Важно.** Соответствие УЗ-1/К1 достигается **только** сочетанием
|
||
> технических мер (этот код), инфраструктурных мер (ОС, сеть, СКЗИ, антивирус,
|
||
> СОВ) и организационных мер (политики, регламенты, модель угроз, аттестация).
|
||
> Шаблон закрывает прикладной (программный) уровень и даёт заготовки для
|
||
> остального. См. [docs/security/compliance.md](docs/security/compliance.md).
|
||
|
||
## Что реализовано в коде
|
||
|
||
| Область | Реализация | Меры ФСТЭК |
|
||
|---|---|---|
|
||
| Аутентификация | Вход с блокировкой после N попыток, регенерация сессии | ИАФ.1, ИАФ.6 |
|
||
| MFA (2ФА) | TOTP (`pragmarx/google2fa`) + резервные коды | ИАФ.4 |
|
||
| Парольная политика | ≥12 симв., сложность, история, срок действия 90 дней | ИАФ.3 |
|
||
| Управление доступом | RBAC (`spatie/laravel-permission`) + Policies | УПД.2, УПД.4, УПД.5 |
|
||
| Шифрование ПДн | Прозрачное шифрование полей (AES-256-GCM, драйвер ГОСТ) | ЗНИ, ЗИС.16 |
|
||
| Контроль целостности | Контрольные суммы записей ПДн | ОЦЛ.2 |
|
||
| Журнал аудита | Отдельная БД, HMAC-подпись + хеш-цепочка, SIEM | РСБ.2, РСБ.3, РСБ.7 |
|
||
| Защита транспорта | Принудительный HTTPS, HSTS, заголовки безопасности | ЗИС.9, ЗИС |
|
||
| Защита от атак | CSRF, throttling, валидация Form Request, CSP | ЗИС |
|
||
| Контроль конфигурации | `APP_DEBUG=false`, `composer audit` в CI | ОДТ.3, УКФ.4 |
|
||
|
||
Подробное сопоставление мер и кода — в
|
||
[docs/security/compliance.md](docs/security/compliance.md).
|
||
Чек-лист со статусами — в [docs/security/checklist.md](docs/security/checklist.md).
|
||
|
||
## Фронтенд
|
||
|
||
Inertia.js v3 + Vue 3 + **NaiveUI** (движок перенесён из проекта onboard:
|
||
тема по системным настройкам, discrete API, диалоги, индикатор загрузки) +
|
||
Pinia. HTTP — встроенными средствами Inertia (`useForm`/`useHttp`), **без
|
||
axios**. Готовая страница входа и каркас кабинета в `resources/js/pages`,
|
||
`layouts`, `components`. Подробнее — в [CLAUDE.md](CLAUDE.md).
|
||
|
||
## Требования
|
||
|
||
- PHP 8.3+, расширения: `pdo_pgsql`, `mbstring`, `openssl`, `redis`
|
||
- PostgreSQL 14+ (основная БД и отдельная БД журнала аудита)
|
||
- Redis (сессии, кэш, очереди)
|
||
- Node.js 20+ (сборка фронтенда)
|
||
|
||
## Быстрый старт (локально)
|
||
|
||
```bash
|
||
composer install
|
||
npm install
|
||
cp .env.example .env # либо используйте готовый .env для локалки
|
||
php artisan key:generate
|
||
|
||
# Локально работает на sqlite (см. .env). Создание схемы:
|
||
php artisan migrate
|
||
php artisan migrate --database=audit --path=database/migrations/audit
|
||
php artisan db:seed # базовые роли (RBAC)
|
||
|
||
# Администратор (мера УПД.1):
|
||
php artisan user:create-admin
|
||
|
||
npm run build # или: npm run dev
|
||
php artisan serve
|
||
```
|
||
|
||
## Развёртывание в production
|
||
|
||
1. Заполните `.env` по образцу `.env.example` (PostgreSQL, Redis, секреты из
|
||
хранилища, `APP_DEBUG=false`, `APP_ENV=production`).
|
||
2. Сгенерируйте ключи: `php artisan key:generate`, а также `AUDIT_HMAC_KEY` и
|
||
`SECURITY_PSEUDONYM_KEY` (например `php artisan key:generate --show`).
|
||
3. Примените миграции основной и аудит-БД (см. выше).
|
||
4. Выдайте учётной записи приложения к аудит-БД только права INSERT/SELECT —
|
||
[database/sql/audit_grants.sql](database/sql/audit_grants.sql).
|
||
5. Настройте TLS и заголовки на Nginx — [deploy/nginx/app.conf](deploy/nginx/app.conf).
|
||
6. Настройте регламентные задачи (`php artisan schedule:work` / cron) — проверка
|
||
целостности журнала, ротация, аудит зависимостей.
|
||
7. Инфраструктура: антивирус (ЗАВ), СОВ (СОВ), сегментация сети (ЗИС.1),
|
||
hardening ОС/PHP (УКФ.1), полнодисковое шифрование (ЗНИ.1).
|
||
|
||
Пример docker-стенда — [deploy/docker-compose.yml](deploy/docker-compose.yml).
|
||
|
||
## Криптография по ГОСТ (ФСБ №378)
|
||
|
||
Встроенный AES-256-GCM **не является сертифицированным СКЗИ**. Для
|
||
государственных ИСПДн переключите драйвер на ГОСТ и подключите КриптоПро CSP /
|
||
VipNet — см. [docs/security/crypto-gost.md](docs/security/crypto-gost.md).
|
||
|
||
## Организационные документы
|
||
|
||
Технические меры без организационных не дают соответствия. Шаблоны документов —
|
||
в [docs/org/](docs/org/) (политика обработки ПДн, модель угроз, регламент
|
||
реагирования на инциденты, перечень регистрируемых событий, акт классификации).
|
||
|
||
## Проверки качества и безопасности
|
||
|
||
```bash
|
||
composer lint # Pint (стиль кода)
|
||
./vendor/bin/phpstan # Larastan (статический анализ)
|
||
./vendor/bin/pest # тесты, включая тесты мер защиты
|
||
composer audit # уязвимости зависимостей (УКФ.4)
|
||
```
|