КАРАНТИННЫЙ ПЕРИМЕТР // план инфраструктуры

Black_B0T × Пятый ◬ · изолированная работа, контроль файлов, паника, рандомизация ID · v1.0

Контуры доверия — каждый узел не верит соседу

1 · MikroTik

VLAN 30 изолирует карантин от LAN
Файрвол: quarantine→LAN drop, исходящие — whitelist
syslog на Kali: компрометацию видно снаружи

2 · Малинка = карантин

Нет авто-исполнения и превью файлов
Вердикт: «не найдено известного», не «чисто»
exe/dll/макросы — только через ВМ-отстрел

3 · OTP-гейт

Выгрузка/загрузка — по одноразовому токену
Токен генерит Kali, TTL 5–10 минут
SSH только по ключам, пароли выключены

4 · Kali + ВМ

Чистый хост с SSD на любом железе
Весь трафик ВМ через Kali: nftables + VPN/Tor
Рандом ID перед каждым запуском

Ресурсы (16 GB RAM)

Узел	Нарезка	Назначение
Kali хост	~2–3 GB, XFCE	файрвол, IDS-алерты, нативный 3D/CAD, управление
Windows VM	6–8 GB · 4 vCPU · qcow2 80–100 GB	проприетарный софт БПЛА, одноразовая винда, снапшоты
Остаток	~4–5 GB	CAD/слайсер нативно + кэш системы
Jetson Orin	отдельный узел	Suricata на зеркале трафика, тяжёлый YARA — не для Windows-ВМ

3D внутри ВМ без GPU passthrough = тормоза. Passthrough имеет смысл только при iGPU + дискретка.

Порядок сборки

Этап 1. SSD: LUKS + Kali, загрузка с USB, проверка на целевом ПК
Этап 2. QEMU/KVM + virt-manager, Windows VM, virtio, снапшот, NAT-изоляция
Этап 3. pre-launch скрипт: рандом MAC/hostname/machine-id/SMBIOS + nftables + psad
Этап 4. MikroTik: VLAN 30, firewall-матрица, syslog, порт-миррор
Этап 5. Малинка: карантинная зона, ClamAV+YARA, журнал, TOTP-гейт
Этап 6. Пятый-агент на малинке + TG-алерты; Jetson — Suricata на зеркале
Этап 7. Panic-скрипт + тренировка: паника, восстановление, учения «стук в периметр»

Границы схемы: защищает от изъятия, сетевой разведки и неизвестных файлов. НЕ спасает от трояна на самом хосте (кейлоггер снимет LUKS-пароль и панику) и от 0-day внутри «проверенного» файла. Шлюз даёт контроль и журнал — не гарантию «ни одного бита».

Пятый ◬ · план обсуждаемый, этапы независимы — начинаем с SSD + Kali