Гайд: Как запустить СЗИ от НСД «Соболь 3.2» на системе с разметкой gpt без потери данных
Установка СЗИ от НСД «Соболь 3.2» (разработка АО «Код Безопасности») на систему с таблицей разделов GPT и загрузкой UEFI — задача, требующая точности. Главный страх при установке подобных kernel-level решений — потеря данных или «окирпичивание» загрузчика.
Хорошая новость заключается в том, что инсталлятор «Соболь» не затрагивает пользовательские разделы с данными (NTFS). Он модифицирует только загрузчик Windows и системный раздел EFI (ESP). При строгом соблюдении инструкции ваши файлы, программы и сама ОС останутся нетронутыми.
Ниже представлен подробный гайд по безопасной установке.
Важное предупреждение перед началом
Несмотря на то, что инструкция гарантирует сохранность данных, создание полной резервной копии (образа диска) или хотя бы бэкапа важных файлов — обязательное правило при работе с сертифицированными ФСТЭК средствами защиты, так как они работают на уровне ядра ОС.
ЭТАП 1: Подготовка системы и BIOS/UEFI
1. Настройки BIOS/UEFI:
- Зайдите в BIOS/UEFI.
- Убедитесь, что режим загрузки выставлен строго в UEFI (режим Legacy/CSM должен быть отключен, так как у вас GPT).
- Отключите Secure Boot (Безопасная загрузка). Примечание: некоторые современные версии Соболь поддерживают Secure Boot, но на этапе установки его лучше отключить, чтобы избежать конфликтов подписей драйверов. После установки и настройки политик его можно будет попробовать включить, сверившись с официальным Руководством администратора вашей версии.
- Отключите Fast Boot (Быстрая загрузка) в BIOS.
2. Настройки Windows:
- Отключите «Быстрый запуск» (Fast Startup) в Windows. Это критически важно! Если этого не сделать, ядро Windows не выгружается полностью при выключении, и СЗИ не сможет перехватить управление при следующей загрузке.
- Панель управления -> Электропитание -> Действие кнопок питания -> Изменение параметров, которые сейчас недоступны -> Снимите галку с «Включить быстрый запуск».
- Убедитесь, что системный раздел EFI (ESP) существует, отформатирован в FAT32 и имеет не менее 300 МБ свободного места. (Соболь поместит туда модули предварительной загрузки — PBA).
- Временно отключите сторонние антивирусы (если они есть), чтобы их драйверы фильтрации не конфликтовали с драйверами «Соболь» при установке.
ЭТАП 2: Процесс установки (Без потери данных)
- Запустите установщик
setup.exeиз дистрибутива «Соболь 3.2» от имени Администратора. - Примите лицензионное соглашение.
- На этапе выбора компонентов оставьте стандартные (или выберите те, что требуются по вашей модели угроз).
4. Критический момент (Работа с GPT/EFI):
- Инсталлятор определит, что система использует UEFI/GPT.
- Появится окно с вопросом о размещении компонентов предварительной загрузки (PBA). Инсталлятор автоматически найдет скрытый раздел EFI.
- НИЧЕГО НЕ ФОРМАТИРУЙТЕ ВРУЧНЮ. Просто подтвердите выбор раздела EFI, который предложил установщик. Инсталлятор просто создаст там папку (обычно
EFI\Kodekили подобную) и пропишет себя в NVRAM материнской платы. Ваши данные на дисках C:, D: и других остаются в полной безопасности.
5. Завершите установку и согласитесь на немедленную перезагрузку.
ЭТАП 3: Первая загрузка и инициализация PBA
- После перезагрузки вы не увидите стандартный экран загрузки Windows. Вместо этого появится синее или черное окно предварительной загрузки (PBA) «Соболь».
- Система попросит инициализировать среду.
- Вам будет предложено создать первую учетную запись администратора Соболь.
* Придумайте сложный пароль.
ВНИМАНИЕ:
Если вы забудете этот пароль, вы не сможете войти в среду администрирования СЗИ и, в зависимости от настроенных политик, можете потерять доступ к загрузке самой Windows! Запишите его.
- После создания учетной записи PBA завершит инициализацию и передаст управление стандартному загрузчику Windows. Система загрузится в обычном режиме. Все ваши данные и программы будут на месте.
ЭТАП 4: Пост-установочная настройка
- В трее Windows появится значок «Соболь». Откройте консоль администрирования.
- Войдите под созданной на этапе PBA учетной записью.
- Активация лицензии: Подключите USB-ключ (Guardant) или введите программную лицензию. Без активной лицензии СЗИ либо не будет работать, либо будет работать в демо-режиме (в зависимости от сборки).
- Настройте политики безопасности (СРД): определите, какие устройства (USB, Wi-Fi) блокировать, настройте аудит и мандатное разграничение доступа (если требуется для вашего класса системы).
ЭКСТРЕННОЕ ВОССТАНОВЛЕНИЕ (Если что-то пошло не так)
Если после установки «Соболь» система ушла в циклическую перезагрузку или PBA выдает ошибку и не пускает в Windows, ваши данные всё ещё в безопасности. Вам просто нужно восстановить стандартный загрузчик Windows, убрав перехват от «Соболь».
Как вернуть загрузку Windows без потери данных (для UEFI/GPT):
- Загрузитесь с установочной флешки Windows 10/11.
- На экране установки нажмите
Shift + F10(откроется командная строка).
3. Введите по очереди следующие команды, чтобы найти ваш раздел EFI и назначить ему букву:
diskpart
list volume
Найдите том (Volume), который имеет файловую систему FAT32 и размер около 100-300 МБ. Это и есть раздел EFI. Запомните его номер (например, Volume 2).
select volume 2
assign letter=S
exit
4. Теперь восстановите загрузчик Windows, указав ему раздел EFI (букву S):
bcdboot C:\Windows /s S: /f UEFI
(Если Windows установлена не на диске C, замените C:\Windows на путь к вашей папке Windows).
- Перезагрузитесь. Система загрузится в штатном режиме без PBA Соболь. Все данные будут целы. После этого вы можете переустановить СЗИ, найдя причину ошибки (часто это конфликт с другим ПО или нехватка места на EFI).
Важно для гарантии сохранности данных:
- Не используйте сторонние менеджеры разделов (Acronis, MiniTool) во время установки СЗИ.
- Не снимайте галки с «форматирования» нигде, кроме как в окне инсталлятора Соболь (а там инсталлятор сам не предложит форматировать EFI, он только скопирует туда файлы).
- Обязательно отключите «Быстрый запуск» в Windows до установки.
Информация предоставлена в ознакомительных целях. Применение описанных настроек в системах, должно осуществляться только после согласования с ответственными за информационную безопасность и в соответствии с требованиями ФСТЭК, ФСБ и иных уполномоченных органов.