ROSA Server 2.0 vs Astra Linux SE: что выбрать для серверных ролей без мандатного контроля

На прошлой неделе НТЦ ИТ РОСА опубликовал обновлённые сертификаты ФСТЭК на ROSA Server 2.0 - теперь с актуальными профилями защиты под требования 2024 года - и одновременно анонсировал заметное расширение пакетного репозитория. Для нас это повод написать то, что давно просилось: честный разбор того, где ROSA Server реально конкурирует с Astra Linux SE, а где пока нет.

Контекст важен. Мы в managed-сопровождении держим серверы на разных отечественных ОС - Astra Linux SE, РЕД ОС, и ROSA Server тоже присутствует в нескольких проектах. Опыт накоплен не из маркетинговых листовок.

Откуда вопрос вообще встаёт

Astra Linux SE - де-факто стандарт для большинства КИИ-объектов, которым нужен высокий класс защиты. Мандатное управление доступом (МУД) там реализовано, сертификаты есть, экосистема наработана. Проблема в том, что МУД нужна далеко не всем. Если у вас серверная роль без требований к многоуровневой конфиденциальности - файловый сервер, база данных, вебсервер в изолированном сегменте - МУД превращается из фичи в головную боль: дополнительный слой конфигурации, неожиданные отказы в доступе при нестандартных путях, необходимость разбираться в мандатных метках при каждом новом приложении.

Именно в этой нише ROSA Server выглядит привлекательно.

Где ROSA Server выигрывает

Пакетный репозиторий. Это главное практическое преимущество на сегодня. После расширения репозитория в 2.0 там есть многое, за чем в Astra Linux раньше приходилось идти в сторонние источники или собирать самостоятельно: свежие версии PostgreSQL, актуальный Python 3.12, нормальный стек для контейнеризации. Astra SE в своём «закрытом» режиме с репозиторием работает консервативнее - это осознанный выбор в пользу стабильности, но иногда раздражает.

Отсутствие МУД по умолчанию. Звучит парадоксально как преимущество, но для задач, где мандатный контроль не требуется по регуляторике, это реально снижает операционную нагрузку. Разворачиваешь PostgreSQL - он просто работает, не нужно прописывать мандатные метки для директорий данных и сокетов. То же с Nginx, с агентами мониторинга, с чем угодно нестандартным.

Стоимость. Лицензия ROSA Server дешевле Astra Linux SE. На больших парках серверов разница ощутима, особенно если речь идёт о ролях, которые не требуют максимального класса защиты.

Знакомая база. ROSA Server строится на RPM-совместимой базе, что близко к RHEL/CentOS. Для команд, которые исторически работали на Red Hat-экосистеме, порог вхождения ниже, чем с Debian-based Astra.

Где Astra Linux SE выигрывает

Сертификаты и класс защиты. Astra SE - единственная из отечественных ОС с сертификатом по классу защищённости 2 (для обработки данных с грифом «Секретно»). Если у объекта есть такие требования, выбора нет - ROSA Server здесь не конкурент независимо от репозитория.

Экосистема и совместимость отечественного ПО. Большинство отечественного прикладного ПО в первую очередь сертифицируется на совместимость с Astra Linux. РОСА идёт второй-третьей строчкой, если вообще идёт. Для корпоративных систем типа 1С, Directum, ряда АСУ ТП - это имеет значение. Приходить к вендору с «у нас ROSA» и слышать «мы поддерживаем только Astra» - неприятная ситуация.

Зрелость наработок по безопасности. Astra SE на рынке дольше, и под неё накоплено больше hardening-гайдов, CIS-подобных профилей, опыта прохождения проверок ФСТЭК. ROSA Server 2.0 с обновлёнными сертификатами - правильный шаг, но объём наработанных материалов пока меньше.

Поддержка вендора в сложных ситуациях. Субъективно, но важно: в нашем опыте эскалации к вендору Astra решаются быстрее и с более глубоким техническим погружением. ROSA в этом плане пока отстаёт - несколько раз ответ на нетривиальный вопрос занимал неоправданно долго.

Как мы реально выбираем

На практике вопрос «ROSA или Astra» решается через несколько конкретных вопросов:

• Есть ли требование к классу защищённости, который покрывает только Astra SE? Если да - ROSA не рассматривается.
• Есть ли прикладное ПО с жёсткой привязкой к Astra? Если да - тоже ответ очевиден.
• Нужны ли свежие версии пакетов или RPM-совместимость важна команде? Вот здесь ROSA начинает выигрывать.
• Это изолированная серверная роль (БД, прокси, мониторинг) или часть сложной инфраструктуры с аттестованным контуром? Для изолированных ролей без МУД-требований ROSA - разумный выбор.

В нескольких проектах у нас сейчас смешанная картина: контроллеры домена и серверы с аттестованным контуром - на Astra SE, а, например, ноды мониторинга и вспомогательные сервисы - на ROSA. Это не архитектурная красота, это результат конкретных ограничений и компромиссов.

Что с расширенным репозиторием

Одно наблюдение по свежему обновлению: расширение репозитория ROSA Server 2.0 реально заметно. Нам понадобился относительно нишевый инструмент для работы с сетевым трафиком - в предыдущей версии пришлось бы собирать из исходников или добавлять сторонний репозиторий, сейчас пакет нашёлся штатно. Мелочь, но показательная.

При этом консистентность репозитория - вопрос открытый. Что пакет есть - хорошо. Насколько он актуален и правильно сопровождается в части security-обновлений - это проверяется только в процессе эксплуатации. Будем смотреть.

Обновлённые сертификаты ФСТЭК - это то, что снимает формальный барьер для применения на КИИ. Без них разговор о ROSA Server в регуляторном контексте вообще не начинается. Теперь начинается.