Документ утвержден: Приказом командующего В/Ч * № * от ..2025 г.
Градация секретности: Для служебного пользования (ДСП)
Версия документа: 1.0 (Базовая редакция)

Глава 1. Общие положения

Наименование и статус

Настоящий Устав определяет правовой статус, задачи, функции, организационную структуру и порядок деятельности специализированного подразделения воинской части (далее — В/Ч), получившего условное наименование «Amazing Server Azure» (далее — Подразделение).

Подразделение является профильным органом по обеспечению функционирования, защиты и развития гибридной облачной инфраструктуры на базе Windows Server 2025 и сервисов Microsoft Azure в интересах задач В/Ч.

Нормативная база

Деятельность Подразделения основывается на:

• Уставе гарнизонной и стражевой службы Вооруженных Сил РФ;
• Указе Президента РФ «Об утверждении Военной доктрины Российской Федерации»;
• Федеральном законе № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Технической документации Microsoft: Windows Server 2025 General Availability Channel, Azure Arc Jumpstart, Azure Policy Guest Configuration Baselines;
• Внутренними нормативными актами В/Ч .

Миссия и девиз

Миссия: «Обеспечение непрерывной боевой готовности ИТ-контура через внедрение передовых гибридных облачных технологий, автоматическое управление обновлениями и нулевую доверительную архитектуру».

Девиз: «Надежность в каждом патче. Скорость в каждом контейнере».

Глава 2. Задачи и функции Подразделения

Основные задачи

1. Развертывание и эксплуатация: Создание и поддержка виртуальных машин (VM) под управлением Windows Server 2025 в среде Azure (портал Azure, Azure CLI, Bicep/ARM шаблоны).
2. Гибридное управление через Azure Arc: Подключение локальных серверов (on-premises) и пограничных устройств к плоскости управления Azure для единого инвентаризационного учета и применения политик.
3. Внедрение Hotpatching (Горячего патчинга): Обеспечение установки обновлений безопасности без перезагрузки узлов за счет технологии Hotpatching, включенной по умолчанию через Azure Arc. Это критически важно для систем, требующих 99.999% доступности.
4. Укрепление криптографической стойкости: Принудительное включение поддержки LDAP over TLS 1.3 на всех контроллерах домена и серверах приложений для устранения уязвимостей старых протоколов (SSL 3.0, TLS 1.0/1.1/1.2 с слабыми шифрами).
5. Соответствие базовым конфигурациям (Baseline): Непрерывный аудит соответствия эталонным профилям безопасности Azure Policy Guest Configuration for Windows Server 2025 (ссылка: Microsoft Learn, обновление от ).
6. Изоляция рабочих нагрузок: Использование Выделенных узлов Azure (Azure Dedicated Host) для размещения виртуальных машин особой секретности на выделенных физических серверах.

Функции по управлению лицензированием

Ответственный за лицензии (РЗЛ) — старший лейтенант * .. — ведет учет:

• Лицензий Windows Server 2025 (Datacenter / Standard) с Software Assurance;
• Преимуществ Azure Hybrid Benefit для переноса локальных лицензий в облако;
• Стоимости владения (TCO) по сравнению с AWS EC2 и Google Compute Engine (ссылка на аналитику Petri IT Knowledgebase от ).

Глава 3. Организационная структура и штатное расписание

Глава 4. Порядок боевой (рабочей) дежурства и реагирования

Режим работы

Подразделение функционирует в режиме 24/7/365. Дежурство организуется по графику, утверждаемому командиром Подразделения ежемесячно не позднее 25-го числа текущего месяца.

Алгоритм реагирования на инцидент безопасности (Playbook)

1. Обнаружение: Сигнал от Microsoft Defender for Cloud / Azure Monitor / SIEM В/Ч.
2. Триаж: Оценка критичности (CVSS v4.0). При компрометации учетных данных — немедленный отзыв токенов в Entra ID.
3. Локализация: Применение карантинных политик Azure Network Security Groups (NSG) / Azure Firewall Manager. Изоляция VM на уровне гипервизора.
4. Устранение: Применение Hotpatch-пакета (если уязвимость ОС) или пересборка образа (Golden Image) через Azure Image Builder с последующим переразвертыванием (Blue/Green deployment).
5. Восстановление: Проверка целостности данных (Azure Backup / Azure Site Recovery). Возврат в продакшн после прохождения автотестов.
6. Пост-анализ (Post-mortem): Заполнение отчета по форме /Б-2025 в течение 24 часов. Обновление Baseline-политик.

Глава 5. Технические стандарты и требования к конфигурации (Hardening Guide 2025)

Обязательные настройки Windows Server 2025

• Сетевой экран: Блокировка входящих RDP/SSH (порт 3389/22) из Интернета. Доступ только через Azure Bastion или Just-In-Time (JIT) VM Access.
• Шифрование: BitLocker на всех томах (OS + Data). Ключи в Azure Key Vault (Premium SKU, HSM-backed).
• Протоколы: Отключение SMBv1, LLMNR, NetBIOS. Принудительное использование SMB Signing и Encryption. LDAPS только на TLS 1.3 (новое требование релиза 2025 г.).
• Виртуализация безопасности (VBS): Включение HVCI (Hypervisor-Protected Code Integrity) и VBS на всех совместимых CPU (Intel TDX / AMD SEV-SNP).
• Управление обновлениями: Настройка Hotpatching через Azure Update Manager. Окно обслуживания: : — : по UTC (маскировано).

Стандарты развертывания в Azure

Создание новых VM производится исключительно через IaC (Infrastructure as Code). Ручное создание через портал (GUI) запрещено, за исключением аварийных случаев с последующим импортом состояния в Terraform/Bicep.

Этапы по гайду DEV Community (2025):

1. Выбор образа: MicrosoftWindowsServer:WindowsServer:2025-datacenter-azure-edition:latest.
2. Выбор размера: Серия D/E v5/v6 (Intel/AMD) с поддержкой Confidential Computing.
3. Настройка дисков: Только Managed Disks (Premium SSD v2 / Ultra Disk) с шифрованием CMK (Customer Managed Keys).
4. Сеть: Подсеть с делегированием к Microsoft.Network/virtualNetworks, привязка к NSG и Route Table (Force Tunneling через Firewall).
5. Расширения: AzureMonitorWindowsAgent (AMA), Guest Configuration Agent, Microsoft.Azure.Security.IaasAntimalware (Defender for Endpoint).

Глава 6. Контроль, отчетность и проверки

Еженедельный отчет (Form 7-АЗУР)

Подается командиру В/Ч каждую пятницу до :. Содержит:

• Статус применения Hotpatch-запланированных обновлений (успешно / требует ребута / ошибка).
• Количество VM, не соответствующих Azure Policy Baseline (Drift report).
• Инциденты безопасности (открытые/закрытые).
• Использование квот и затрат (Cost Management) — прогноз к концу месяца.

Плановые проверки

Глава 7. Материально-техническое обеспечение и связь

Средства связи и доступа

• Доступ к порталу управления: portal.azure.com (Global) / portal.azure.mil.ru (Sovereign Cloud — если применимо).
• Многофакторная аутентификация (MFA): Обязательна для всех учетных записей (Entra ID P2, FIDO2 keys / Microsoft Authenticator).
• Привилегированный доступ (PIM): Активация ролей Owner/Contributor по запросу с обоснованием (Ticket ID). Максимальное время жизни роли — часов.

Контактная информация для экстренной связи (Маскировано)

Телефон дежурного офицера (связь В/Ч): +7 (*) *—
Штабная телефонная связь (городская): +7 (*) *—
Электронная почта служебная (домен @mil.ru / @*.ru): *@.ru
Адрес дислокации серверной комнаты / ЦОД: г. , ул. , д. , пом. *

Глава 8. Заключительные положения

1. Настоящий Устав вступает в силу с момента подписания и действует до отмены или утверждения новой редакции.
2. Изменения и дополнения вносятся приказом командира В/Ч на основании предложений командира Подразделения «Amazing Server Azure».
3. Все лица, состоящие в штате Подразделения, обязаны ознакомиться с Уставом под роспись в журнале учета ознакомления (Журнал № ).
4. За неисполнение требований Устава виновные лица несут ответственность в соответствии с Уставом Вооруженных Сил РФ и законодательством РФ.