Лекция «Первые минуты сбоя»

Около 60 минут на 16 тем. Прогресс сохраняется, поэтому лекцию можно проходить частями и возвращаться к ней позже.

Начало — да: первые 1 тема открыты сразу, без регистрации. После бесплатной регистрации откроются темы до 2-й — вместе с частью из 40 тестов и монетами за верные ответы. Полная лекция — 99 ₽ навсегда, либо подписка на все лекции платформы от 499 ₽ в месяц.

Шестнадцать тем вокруг одной мысли: скорость восстановления и сохранность состояния не противоположности, потому что цена ошибки несимметрична — несобранное состояние нельзя собрать потом, а восстановление, отложенное на пять минут, стоит пяти минут. Ложная дилемма снимается примечанием раздела 7 ГОСТ Р 59712-2022: фиксация идёт отдельной дорожкой, параллельно остальным этапам и даже после закрытия инцидента, и на закрытие не влияет. Порядок волатильности RFC 3227 с линией, за которой начинается необратимое: первые три уровня из семи не переживают перезагрузку, диск идёт четвёртым. Перечень фиксируемого из пунктов 7.1 и 7.2 ГОСТ Р 59712-2022 как готовая карточка первых минут, с оговоркой про дамп памяти, который сам становится объектом защиты. Четыре запрета раздела 2.2 RFC 3227, включая массовое архивирование, стирающее времена доступа, и предупреждение о механизмах уничтожения следов при отключении от сети — прямое ограничение к совету «первым делом изолируй». Восемь шагов сбора, расхождение часов и четыре пункта цепочки сохранности, подкреплённые ГОСТ Р ИСО/МЭК 27037-2014, который охватывает и дисциплинарные процедуры. Три места, где следы исчезают тише всего: журнал systemd в /run/log/journal, контейнер, удаляемый командами rm и compose down вместе со своим журналом, и открытый файл, удаление которого по норме POSIX не освобождает место и делает улику недоступной одновременно. Три разбора сбоев по первоисточникам: Cloudflare 2 июля 2019 — первая гипотеза держалась пятнадцать минут и была неверной, а пять минут из двадцати семи ушли на доступ к собственным инструментам; Meta 4 октября 2021 — путь диагностики шёл через то, что сломалось; Fastly 8 июня 2021 — дефект пролежал 27 дней, а обнаружение заняло минуту против тридцати девяти минут до причины. Правило одного изменения за раз, журнал смены из шести полей и внешние часы: сроки 3, 24 и 48 часов по приказу ФСБ России от 25.12.2025 № 547, отменившему приказ № 282, с разведением компьютерного инцидента и компьютерной атаки. Заканчивается разбором примечания к части третьей статьи 274.1 УК по Федеральному закону от 09.04.2026 № 76-ФЗ и сводкой порядка первых минут из одиннадцати пунктов.

Спор почти всегда оказывается спором не о времени, а о привычке. Снятие летучего состояния — списка процессов, сетевых сессий и открытых портов, содержимого памяти — занимает минуты, а перезагрузка уничтожает его навсегда: первые три уровня из семи по порядку волатильности RFC 3227 её не переживают. Цена ошибки несимметрична: отложенное восстановление стоит ровно отложенных минут, несобранное состояние не стоит ничего, потому что его больше нет. Самый дешёвый пункт вообще ничего не занимает — это воздержание от перезагрузки до окончания сбора, прямое требование раздела 2.2 RFC 3227. И отдельно: выбирать между восстановлением и фиксацией не требуется по стандарту. Примечание раздела 7 ГОСТ Р 59712-2022 говорит, что фиксация и установление причин могут проводиться параллельно остальным этапам и даже после закрытия инцидента, и на закрытие не влияют.

Как обязанность — не касается. Сроки 3, 24 и 48 часов по приказу ФСБ России от 25.12.2025 № 547 адресованы субъектам критической информационной инфраструктуры и органам с информационными ресурсами, а статья 274.1 УК применима к критической информационной инфраструктуре: организация вне этого статуса под неё не подпадает вовсе, для неё действуют статьи 272–274 УК, у которых такого примечания нет. Всё остальное в лекции от статуса не зависит: порядок волатильности RFC 3227, перечень фиксируемого из ГОСТ Р 59712-2022, летучий журнал systemd, поведение команд удаления контейнера и норма POSIX про открытый файл работают одинаково везде. Плюс ГОСТ Р ИСО/МЭК 27037-2014 прямо охватывает дисциплинарные процедуры организации — цепочка сохранности пригодится и во внутреннем разбирательстве, которое бывает после каждого заметного сбоя.

Ни то, ни другое. Примечание к статье 274.1 УК, введённое Федеральным законом от 09.04.2026 № 76-ФЗ, работает в четырёх границах сразу: только часть третья статьи, только критическая информационная инфраструктура, только активное содействие раскрытию и (или) расследованию и только при отсутствии в действиях иного состава преступления. Формулировка «освобождается» императивная, но устанавливает наличие условий и применяет норму уполномоченный орган или суд, а не инженер. Про результат анализа ещё проще: ни один из разобранных стандартов не обещает, что сохранённые следы приведут к установлению причины. Они дают другое — возможность, которой без них нет вовсе.