Антон Мостовой («СпутникЛаб») начал это мероприятия с рассказа об истории компании. Компания поисковый портал Спутник была образована в 2013 году. Идея образования компании заключалась в создании аналога поисковой системы Google. На тот момент эта идея многим казалась интересной и в качестве разработчиков были привлечены довольно сильные команды. Была создана достаточно серьезная поисковая машина, а в 2015 году началось производство браузера, в качестве ядра был выбран Chromium, и в том же году появилась первая версия браузера. Разработка велась для государственных учреждений, для доступа к государственным ресурсам. Пока государство платила за содержание этого поискового портала, он имел релевантный смысл. 

Но пять лет назад министерство цифрового развития приняло решение, что им поисковый портал не совсем нужен и «Ростелеком» больше не развивает эту тематику. Проведя анализ рынка, сотрудники узнали, что на тот момент около 1,5 млн людей пользуются браузером Спутник, в который был встроен криптопровайдер, все торговые операции на госзакупках проводились с помощью этого браузера.

Я появился в компании около 3 лет назад, передо мной была поставлена задача поменять бизнес-идею браузера. Я в этой сфере работаю около 25 лет, был инженером, разработчиком, IT-директором, почти 10 лет я проработал в компании Microsoft. Меня поставленная задача сильно заинтересовала.

Технологии, используемые в браузерах известны давно: Netscape, Internet Explorer, последний поставлялся с ОС Windows. Я могу сравнить браузер с тем, что изображено на следующем слайде.

Мы 3 года назад эту картинку отправили по соцсети и по мессенджерам, и очень многие наши знакомые скинули нам данные своих банковских карт. Это подтвердило ИБ-безграмотность многих. Браузер является самым небезопасным приложением. Какую информацию собирает браузер и куда он ее передает? К вам прилетает контекстная реклама, а откуда она берется? Дело в том, что производитель браузеров знает про Вас ВСЕ. Он знает все что вы вводите в окошко браузера, пароли, логины, явки, когда и что вы делали, с какого местоположения, с какой сети, что установлено у Вас на компьютере.

Мы проштудировали массу открытых источников и соглашений, и ниже на слайде отразили то, что компания Microsoft считает телеметрией.

Практически вся собираемая информация называется телеметрией. Когда вы устанавливаете бесплатное приложение браузера, вы фактически соглашаетесь эту телеметрию передавать в компанию разработчику. Эта информация обрабатывается и в результате к вам прилетает контекстная реклама.

Раньше в Internet Explorer можно было управлять средой, составлять черные и белые списки, недоступные кнопки, а сейчас такой возможности нет. Наши компании, занимающиеся безопасностью, браузеры не обслуживают, все что передает себе браузер в этих компаниях считают служебной информацией и не блокируют ее, поскольку сделать это практически невозможно.

Осуществив анализ, мы поняли, что будем делать и как будем зарабатывать деньги. Любой компании, заботящейся о своей безопасности, необходим корпоративный браузер, чтобы компания могла хранить свои секреты, управлять своими пользователями, управлять обновлениями и приложениями, запущенными через браузер. Мы на рынке не нашли ни одного корпоративного браузера. Мы начали работу по разработке экосистемы таких браузеров. И два года назад у нас появилась первая версия корпоративного браузера.

Три основных модуля корпоративного браузера

На слайде представлены три основных компонента (они расположены справа), которые браузер делают корпоративным. Первое, это модуль обновления - серверный компонент, который устанавливается внутри периметра заказчика, на который поступают обновления, различные модули, которые могут быть доставлены в браузер. И только после того, как администратор примет решение, кому из пользователей (а у нас полностью ролевая модель, аналог каталога) доступно то или иное приложение, пользователь корпоративной сети сможет получить это обновление или приложение на свой браузер. Фактически это некая кастомизация.

Пользуясь вторым модулем управления можно сделать любую кнопку и придать ей любой внешний вид. Можно ее нарисовать и доставить пользователю в его браузер. Любой виджет, любые обои. Более того, можно сделать черные и белые списки. И это все делается на уровне браузера. 

Для чего это сделано? Современные браузеры, в частности Mozilla, обладают интересными компонентами, в частности VPN. Когда внутри браузера поднимается VPN, то любой проксисервер, который установлен внутри периметра сети, фактически становится бесполезным. Потому что вся информация идет через этот туннель в зашифрованном виде и отловить ее невозможно. Ее можно заблокировать, но пользователь будет этим недоволен. Эта вещь становится абсолютно неуправляемой. Не говоря уже о том, что вся информация сливается на сервер производителя. Все логины, все пароли, которые есть внутри вашей корпоративной информационной системы, оказываются фактически на сайте производителя, и в любой момент могут быть использованы против вас. Т.е. это чистая компрометация.

Третий модуль – модуль аналитики. Это фактически тот модуль, который собирает аналитику и хранит ее у себя. И эта аналитика никуда не передается, она остается внутри компании. И ее можно использовать по своему усмотрению. Приведу простые примеры. Офицер безопасности может отследить вирусную активность, которая идет с ваших портов, или как пользователь куда-то "ходит", куда не положено, или информировать о времени начала работы пользователя, т.е. когда он включает и включает браузер. Тут же хранится коллекция данных о всех рабочих станциях, параметры мониторов, какое у пользователя ЦПУ, какие приложения у него установлены. Если еще сюда поставить DLP-систему, которая реагирует на события, то можно полностью замкнуть цикл ИБ.

Все эти три модуля являются отчуждаемыми. Они могут быть поставлены как в пакете с браузером, так и отдельно, после приобретения браузера. При этом сам браузер никуда не транслирует собранную информацию. Вы можете включить транслирование информации даже без покупки этих модулей. В этом случае она будет собираться в облаке СпутникЛаб, при желании к этому облаку можно получить доступ. По мнению Антона Мостового, крупной компании логичнее поставить все у себя внутри периметра и распоряжаться информацией по своему усмотрению.

Модуль обновлений

Загружая дистрибутивы, расширения, дополнительные браузерные компоненты, и, в зависимости от того, какой корпоративный пользователь перед вами, вы разрешаете или не разрешаете ему инсталлировать или обновлять. Т.е. здесь чисто ролевая модель.

Каналы распространения для каждого сегмента свои, это та ролевая модель, т.е. каждый пользователь де-факто подписан на определенный канал обновления. Этим процессом управляет администратор. И только этот канал обновления доступен для скачивания, другого канала у пользователя не будет.

Модуль управления

Модуль управления. Фактически каждый пользователь рабочей станции относится к определенному сегменту, домену, компании. 

Это деление сделано по аналогии с Active Directory. Поскольку распространенность продуктов Microsoft довольно высокая, администраторам проще ориентироваться в этой среде. Поэтому мы делим всю аудиторию на пользователей, группы пользователей, компании, домены. И на каждую из этих групп можно наложить определенные правила: туда «ходить» можно, туда - нельзя; это можно раздавать, а это - нельзя. Сделать можно любой внешний вид браузера, любой вид кнопки, доступных на экране браузера, черные и белые списки, использование Sputnik Tab, использование криптопровайдеров и любые баннеры. В баннерах мы можем привести любой текст, вплоть до такого: "Иван Иванович, зайдите в бухгалтерию".

Теперь немного про разработку СпутникЛаб – СпутникТаб. Дело в том, что в браузерах на основе Chromium отсутствует возможность работы со старыми приложениями и компонентами, которые работали на Internet Explorer. Это важно для внутренних ERP-систем, для старых портальных решений, где требуется Internet Explorer. И фактически получается, что в компании сразу стоит браузер, созданный на Chromium, как более новый, и Internet Explorer для работы со старыми приложениями. В СпутникТаб этого делать не надо. Этот компонент доставляется автоматически, и, если администратор вам разрешает, он фактически открывает приложения, которые работают с Internet Explorer прямо внутри вашего браузера Спутник. 

Управление списком АРГО

Это проект СпутникЛаб по созданию кнопок внутри   браузера. И, хотя здесь ничего нового нет, тем не менее, браузерная технология - технология будущего. И как показывает аналитика Спутник, в дальнейшем все наши вычислительные ресурсы потихоньку перетекут в web, они станут web-компонентами. И фактически браузер станет рабочим столом. А т.к. пользователь привык нажимать кнопочки, то проще всего для него их нарисовать. Если эта кнопочка для него нарисована, и администратор позволил ему пользоваться этой кнопкой, то он может управлять приложением при помощи кликов по кнопке. Если кнопки нет, то приложение никогда не откроется.

При этом не важно, где находится приложение, локально на компьютере, или где-то в web. Многие приложения, в том числе и офисные, сейчас открываются из web. И пользователь, как правило, не знает, откуда он их открыл.

Модуль аналитики

Браузер коллекционирует много интересной информации и в этом модуле ее сохраняет. В браузере есть элементарный dashboard, но можно сюда подключить какую-нибудь аналитическую систему. 

По умолчанию аналитика браузера собирает всю доступную информацию, а дальше она выгружается либо в DLP-систему, либо во внешнюю систему аналитики. По умолчанию браузер оценивает компьютер, профиль расширения, какие имеются странички, доступные сервисы и плюс то, что запрашивает «Ростелеком», потому что «Ростелеком» является «мамой» СпутникЛаб, он просил дополнительно кое-какую коллекцию собирать по рабочим станциям. Добывается информация, какое на рабочей станции ЦПУ, какой монитор. Все разработки СпутникЛаб, все написано на C++. Соответственно все три модуля являются отчуждаемыми, устанавливаются в периметре предприятия, доступны в любой момент для администрирования. И если заказчику необходимо это сделать в облаке, то под это будет выделен отдельный ресурс. И заказчик сможет получить модель работы из частного облака. А можно сделать и гибридную историю.

Сейчас выполняется большой проект по цифровизации госучреждений. И есть проект, который называется «Типовое автоматизированное рабочее место чиновника». Де факто СпутникЛаб принимает участие в разработке этого проекта. И в качестве основного браузера сейчас выбран Спутник. Исходя из того принципа, что он умеем управлять, является безопасным компонентом, кроме того есть возможность модерировать все действия пользователя.

Соответственно, как будет выглядеть Спутник? Фактически, это киоск для web-ресурсов, в котором понятно, что делает пользователь, причем, в любой момент его можно отключить. Есть еще один сценарий, который прорабатывался совместно с министерствами. Называется он «Доступ к инфосистемам предприятия». 

Дело в том, что браузер Спутник имеет свой уникальный UIT, когда пользователь, пускай даже частный, приходит к ИС предприятия (например, это госуслуги), то для того чтобы создать безопасное соединение и обеспечить пользователю безопасную работу с этой инфосистемой, нужно на него поставить определенный компонент. Если это браузер не Спутник, то это практически невозможно. Тогда это ложится на плечи пользователя, и вся информация, которую он будет забивать в «окошечко», все равно, несмотря на все дополнительные средства, окажется на стороне производителя этого браузера. Либо можно использовать браузер Спутник. В этом случае эти компоненты будут вам доставлены автоматически, вас будет модерировать то предприятие, куда вы обратились. Это называется накатыванием профиля пользователя и подключением административного ресурса к модератору этой инфосистемы. В этом случае пользователь получает безопасное соединение, все его действия варьируются, и с точки зрения любого министерства, эта система является безопасной и защищенной. Потому что информация не утекает, все действия пользователя логируются, и пользователь действует только по тем правилам, которые разрешены его профилем. 

У СпутникЛаб эту систему хотят приобрести МинЗдрав, МЧС, кроме того многие коммерческие организации к ней проявляют определенный интерес. Сейчас мы запустили две разработки т.е. теперь Спутник фактически удаленные рабочие места можем отрисовывать через этот браузер. Вам не надо устанавливать никаких компонент, вы просто ставите на стороне предприятия IP-сервер и он у вас через браузер, поднимая профиль безопасного подключения, отрисовывает рабочий стол или открывает терминальную сессию на терминальном сервере вашего предприятия. И вы, имея этот браузер, получаете фактически безопасное решение удаленных рабочих мест. При этом, если человек к вам придет с другим браузером, его просто не допустят к работе. Ему нужно будет скачать бесплатную версию, она лежит на сайте, и только после этого он подключится к работе. 

Сравнение браузеров

СпутникЛаб проводил сравнение браузеров. На вышеприведенном слайде приведены результаты этого сравнения. Под macOS у СпутникЛаб ведется разработка, но она пока находится не в промышленной эксплуатации. Но скоро она будет доработана.

СпутникЛаб сравнивал свой браузер Спутник с другими российскими продуктами. Спутник внесен в реестр российского ПО и уже прошел перерегистрацию. Раньше браузер принадлежал компании «Ростелеком», а сейчас де факто все права принадлежат компании СпутникЛаб. В реестре сейчас находится всего два продукта: Яндекс.Браузер и Спутник. Т.е., когда вы ставите себе задачу «импортозаместить» какое-то предприятие, то установка браузера Спутник на все рабочие места по подсчетам СпутникЛаб закрывает до 50% той инсталяционной базы, которая требуется. Это очень помогает предприятию выполнить требования плана по импортозамещению, получить хороший браузер и систему управления этими браузерами на предприятии. При этом у Спутника есть шифрование по ГОСТу, основной партнер – КриптоПро, который напрямую работает с СпутникЛаб. У Спутника есть сертификаты ФСБ на правильность встраивания. 

Устройство, которое приносит с собой пользователь, а во время пандемии - это очень актуально, безопасники пытаются контролировать, чем занимаются пользователи во время работы с инфосистемой. Ставится прозрачный проксисервер, некий агент на машину, и он пытается контролировать, куда пользователь ходил, что делал. При этом машина довольно часто подвисает, не весь трафик разбирается, т.е. очень много сложностей возникает у InfoWatch. Это подтвержденная вещь. При этом стоимость такого решения InfoWatch довольно высока. В этом сценарии Спутник выглядим намного лучше. При этом пользователь работает через понятный ему интерфейс. Стоимость решения низкая. 

Теперь несколько слов о клиентах СпутникЛаб. Спутник есть в Ростелекоме (порядка 100 тысяч рабочих мест). 

Первая коммерческая компания, которая пришла к СпутникЛаб, это была Восточная генерирующая компания. В этом году мы сделали обновление ПО, там около 4 тыс. рабочих мест. 

Управление делами президента РФ. Развернуто 5000 рабочих станций.

Роспатент. Около 5000 рабочих мест. При этом там стоит внутренняя поисковая система для поиска патентной документации.

НИС Жуковского. Интересный проект, который развернут в тестовом режиме, т.е. пока это IT-служба на 100 рабочих мест, но в следующем году запланировано развертывание на 10 тысяч рабочих мест. 

ГАЗ Правосудие. Здесь около 15 тысяч рабочих мест. Проект будет продолжаться.

ЦИК. Все избирательные комиссии в этом году во время выборных компаний при изменениях работали на Спутнике. 

Министерство Здравоохранения. Это отдельный проект в Карелии, где все медучреждения тоже работают на Спутнике.

Торговый дом РЖД. Тоже небольшой проект, но знаковый, будем сотрудничать и дальше.

И плюс более миллиона частных скачиваний. В этом году СпутникЛаб обновил систему. Браузер, который скачивается с сайта, обладает полной функциональностью, но эта функциональность открывается только в случае покупки ключа. Теперь нет разных браузеров - браузер один. 

Есть свидетельства на компоненты. Это патент РФ, зарегистрированный в Роспатенте. 

Есть сертификат соответствия от ФСБ. Правда, он сделан на предыдущую версию ядра. Сертификацию Chromium мы будем проводить в следующем году. Но механизм встраивания не изменился, и ею можно пользоваться.