mscs.ru

# MSCS · Managed Security & Consulting Services

> Управляемая (MSSP) платформа почтовой безопасности и DNS: почтовый шлюз безопасности (Secure Email Gateway, SEG), DANE/DNSSEC, Managed DMARC и Threat Intelligence по гибридной модели «облако + on-premises», без единой точки отказа.

MSCS — сервисный бренд группы ИНКО, системного интегратора с 2003 года. Флагман — управляемая почтовая безопасность и DNS; рядом — полный стек услуг группы. Аудитория: CISO и ИТ-директора среднего и крупного бизнеса (РФ, EMEA). Сценарий: экспресс-аудит домена → пилот 30–60 дней → управляемый сервис 24×7.

Last updated: 2026-09-09

## Главная

- [MSCS · Управляемая почтовая безопасность и DNS](https://www.mscs.ru/): Лендинг MSSP-платформы: защищённая доставка почты, Managed DMARC до p=reject, Threat Intelligence, гибрид «облако + on-premises».
- [Платформа: семь управляемых услуг](https://www.mscs.ru/#platform): Managed DNS (ClouDNS + свой BIND, DNSSEC, provider-agnostic), Managed DMARC (агрегация отчётов, доведение до p=reject), Secure Email Gateway — фильтрация на узлах Proxmox Mail Gateway (антиспам, антивирус, DNSBL) плюс DANE/DNSSEC на реальном потоке при согласованном ведении зоны, Threat Intelligence Gateway (11 фидов, 60 000+ IP-IOC), DNSBL dnsbl.mscs.ru, MFA как услуга (второй фактор для VPN, Windows, веба и SSH на платформе MFASOFT SAS), управление и доступ (панель hub, mTLS, OCSP, deny-by-default).
- [Гибридная модель поставки](https://www.mscs.ru/#delivery): Облачный контур (ClouDNS, панель hub, TI/DMARC-конвейер) и on-premises (BIND-NS в регионах СНГ, узлы Proxmox Mail Gateway у клиента). Инварианты: автономный data plane, управление через исходящее соединение узла, provider-agnostic DNS, отсутствие SPOF; входящие сервисные порты остаются открыты для профильного DNS- и почтового трафика.
- [Онбординг: от аудита до прода](https://www.mscs.ru/#onboarding): Четыре шага — экспресс-аудит домена (отчёт за день), план и пилот 30–60 дней (DMARC none → quarantine → reject), перевод в прод, сопровождение 24×7.

## Экспресс-аудит домена

- [Экспресс-аудит домена](https://www.mscs.ru/audit/): Бесплатная внешняя проверка почтовой готовности домена по публичному DNS; отчёт за один рабочий день, доступы к инфраструктуре клиента не требуются. Основной лид-магнит платформы.
- [Состав проверки: десять пунктов](https://www.mscs.ru/audit/#checks): MX; SPF и жёсткость политики (-all / ~all); DKIM (селекторы _domainkey); DMARC (ступень p= и сбор rua); TLSA/DANE (покрытие MX, ролловер, живая сверка с сертификатом по STARTTLS); CAA; MTA-STS; BIMI; DNSWL; сверка делегирования NS (WHOIS ↔ зона ↔ SOA) и дублей.
- [Пример отчёта и статусы](https://www.mscs.ru/audit/#report): Четыре статуса — ok, warn, info, err — с находкой и следующим действием по каждому пункту; пример на вымышленном домене. Клиентские отчёты не публикуются.
- [Границы аудита](https://www.mscs.ru/audit/#limits): Проверяется наличие TXT-записи MTA-STS (policy-файл по HTTPS не загружается) и факт публикации BIMI (SVG и VMC не валидируются). Порты не сканируются, содержимое писем не читается, зона не изменяется.

## Почтовый шлюз безопасности (Secure Email Gateway)

- [Secure Email Gateway (SEG) как услуга](https://www.mscs.ru/secure-email-gateway/): Почтовый шлюз безопасности — узел фильтрации перед почтовой системой заказчика. На странице: что такое SEG и чем он отличается от встроенного антиспама почтового сервера, состав шлюза MSCS, сравнение моделей поставки (коробка против услуги), порядок перевода почты на Exchange on-premise, варианты размещения узлов и явные границы услуги. Поставка — подписка с эксплуатацией на стороне MSCS, без покупки лицензий и оборудования заказчиком.
- [Управляемый DNS (Managed DNS)](https://www.mscs.ru/managed-dns/): Авторитативный DNS как услуга: два независимых плеча (облачный anycast и собственный BIND), DNSSEC по умолчанию и ролловер ключей, перенос зон без простоя через снижение TTL, provider-agnostic по построению — зона и ключи отдаются по первому требованию. Границы: не регистратор доменов, не рекурсивный резолвер для офиса, публичного аптайма пока нет. Единица тарификации — управляемая зона.
- [Managed DMARC](https://www.mscs.ru/dmarc/): Приём и разбор агрегированных отчётов, инвентаризация всех легитимных отправителей, поэтапный переход none → quarantine → reject с точкой отката на каждой ступени. Видимость включается за день и не требует изменений в инфраструктуре; срок до p=reject определяется числом источников отправки, а не скоростью подрядчика. Границы: не фильтрует входящую почту, не отменяет фишинг с доменов-двойников, тел писем в отчётах нет. Единица тарификации — домен под наблюдением.
- [MFA как услуга (многофакторная аутентификация)](https://www.mscs.ru/mfa/): Второй фактор для VPN (RADIUS), входа в Windows и удалённых рабочих столов, веб-приложений по SAML/OpenID Connect (ADFS, Keycloak), SSH и Linux (PAM), VDI и систем контроля привилегированного доступа — как управляемая услуга на платформе MFASOFT Secure Authentication Server (Единый реестр российских программ № 15554, сертификат ФСТЭК России № 4851 по 4-му уровню доверия до 20.09.2029). Организация получает изолированный тенант с квотой лицензий, консолью менеджера аккаунта и порталом самообслуживания; аутентификаторы — аппаратные OTP-токены, программные генераторы, мобильное приложение с push (Android/iOS/HarmonyOS), SMS, почта, Telegram, голос. Синхронизация пользователей из Active Directory, Samba, FreeIPA, ALD Pro, РЕД АДМ. Квота, срок и остаток лицензий — в кабинете my.mscs.ru. Границы: каталог и SSO остаются у заказчика, аттестация системы — отдельная работа, клиентских внедрений на сентябрь 2026 нет. Единица тарификации — пользователь с аутентификатором; цены не публикуются. MFASOFT — продукт ООО «СИС разработка», MSCS не аффилирована с производителем.
- [Словарь терминов](https://www.mscs.ru/glossary/): 39 терминов почтовой безопасности, DNS, аутентификации и регуляторики по-русски, каждый с пояснением «зачем это вам». Пять групп: подлинность почты (спуфинг, SPF, DKIM, DMARC, p=none → quarantine → reject, BIMI, DANE/TLSA, MTA-STS); DNS и доверие к нему (зона и авторитативный сервер, MX, DNSSEC, CAA, managed и provider-agnostic DNS, BIND, DNSBL); угрозы, узлы и сервис (MSSP, Threat Intelligence, IOC и фид, SEG, Proxmox Mail Gateway, data plane, SPOF, mTLS/OCSP, инфостилер); доступ и аутентификация (MFA и 2FA, OTP с TOTP по RFC 6238 и HOTP по RFC 4226, токен аппаратный и программный, push-аутентификация, RADIUS, SSO с SAML и OpenID Connect, каталог пользователей, тенант и мультиарендность, PAM в двух разных значениях — Pluggable Authentication Modules и Privileged Access Management); регуляторика и сертификация (КИИ, ГИС, ИСПДн, единый реестр российских программ, уровень доверия ФСТЭК). До 01.09.2026 словарь жил секцией на главной; ссылки вида /#t-* переехали на /glossary/#t-*.
- [Состав шлюза](https://www.mscs.ru/secure-email-gateway/#inside): Шесть слоёв — фильтрация потока на узлах Proxmox Mail Gateway (репутация, greylisting, антиспам, антивирус, карантин); собственный DNSBL dnsbl.mscs.ru; Threat Intelligence (11 фидов, 60 000+ IP-IOC на 24.07.2026); проверка SPF/DKIM/DMARC на входе и подпись DKIM на выходе, доведение политики домена до p=reject; DANE/TLSA и DNSSEC для защищённой доставки; эксплуатация — панель hub, журнал, доступ по mTLS без входящих административных портов, дежурная смена с ИИ-агентом по каталогу глаголов.
- [Модель поставки: коробка против услуги](https://www.mscs.ru/secure-email-gateway/#compare): Сравнение по семи параметрам — что нужно для старта, кто эксплуатирует, как обновляются правила и фиды, чего стоит второй узел для резерва, входят ли DANE и DNSSEC, характер затрат (капитальные против операционных), кто отвечает за результат. Оговорка: у коробочной поставки свои сценарии — закрытый контур и требование применять сертифицированные средства защиты.
- [Перевод почты и размещение узлов](https://www.mscs.ru/secure-email-gateway/#exchange): Четыре шага без окна недоступности — подготовка узлов и снижение TTL, смена MX (10/20), ограничение коннектора приёма адресами узлов, перевод исходящей почты через smart host с подписью DKIM. Размещение узла — параметр: на площадке заказчика, в контуре MSCS в России, второй узел в облаке Казахстана для трансграничной переписки и резерва, либо смешанная схема.
- [Границы услуги](https://www.mscs.ru/secure-email-gateway/#limits): Песочницы (детонации вложений) на узлах нет; DLP не заменяется; переписка не архивируется; тела писем инженер видит только при разборе ложного срабатывания, переданного заказчиком; ящики не мигрируются; шлюз не является сертифицированным средством защиты информации. Дисклеймер: Proxmox Mail Gateway — продукт Proxmox Server Solutions GmbH; MSCS не аффилирована с вендором.

## Маршрут почтового трафика

- [Маршрут почты: вход, выход, отказоустойчивость](https://www.mscs.ru/mail-flow/): Референсная схема прохождения SMTP-трафика через два почтовых узла Proxmox Mail Gateway перед почтовой системой предприятия. Сценарий страницы — MS Exchange on-premise, узел on-premise в РФ (MX 10) и узел в облаке Казахстана (MX 20). Схемы входящего и исходящего потока, сводная таблица режимов, условия подключения и границы.
- [Входящая почта](https://www.mscs.ru/mail-flow/#inbound): Внешний отправитель получает две MX-записи и по стандарту SMTP идёт на меньший вес — MX 10; узел выполняет проверки соединения (репутация, DNSBL, greylisting), подлинности (SPF, DKIM, DMARC, DANE) и содержимого (антивирус, антиспам, Threat Intelligence, проверка получателя), после чего передаёт письмо на коннектор приёма почтовой системы по внутреннему TLS. При недоступности MX 10 отправитель автоматически идёт на MX 20 — переключение выполняет отправляющая сторона, ручных действий не требуется.
- [Исходящая почта и smart host](https://www.mscs.ru/mail-flow/#outbound): Почтовая система не отправляет письма напрямую — коннектор отправки выбирается по маске домена получателя. В примере: *.ru, *.su, *.рф — основной узел KZ (MX 20), резервный узел РФ (MX 10); все остальные зоны — основной узел РФ, резервный KZ. На узле письмо проверяется на утечки и вирусы, подписывается DKIM (заголовки ARC), фиксируется в журнале и доставляется напрямую на MX домена получателя.
- [Режимы и границы схемы](https://www.mscs.ru/mail-flow/#modes): Четыре режима — вход, выход в .ru/.su/.рф, выход в остальные зоны, недоступность панели управления (data plane автономен). Условия подключения: право менять MX и TTL, сетевой доступ и коннекторы приёма/отправки, сертификаты узлов и записи TLSA/DKIM в зоне. Схема референсная: площадки, юрисдикции и каналы определяются проектом; на стороне MSCS в проде — два почтовых узла Proxmox Mail Gateway на собственных доменах группы.

## ИИ в эксплуатации (MCP)

- [ИИ в эксплуатации: допуск агента по каталогу глаголов](https://www.mscs.ru/ai/): Как ИИ-агент дежурной смены MSCS получает доступ к почтовым и DNS-узлам: вместо консоли — курируемый каталог инструментов MCP с описанными аргументами (глагола нет в каталоге — отказ на hub, до туннеля), политика с запретом по умолчанию, тиры автономии T0/T1/T2, подтверждение инженером для изменяющих действий, журнал вызовов с цепочкой хэшей и маскированием секретов, ограничение почтовых запросов доменами заказчика. Агент — инструмент MSCS, а не кабинет заказчика; доступ инженеров заказчика к чтению обсуждается в пилоте.
- [Тиры автономии](https://www.mscs.ru/ai/#tiers): T0 — только чтение (статус узла и служб, DNSSEC, проверка зоны, сводка DMARC, трейс доставки письма); T1 — идемпотентные действия без разрушения (повторная проверка узла); T2 — изменяющие действия (правка конфигурации, перезапуск службы) только после подтверждения инженером в панели.
- [Каталог инструментов](https://www.mscs.ru/ai/#catalog): Три семейства — hub_* (обзор платформы, узлы, туннели, DNS-сводки, отчёты DMARC, DNSBL, Threat Intelligence, журнал MCP-вызовов), pmgagent_* (почтовые узлы: статус, кластер, очередь, аудит DANE, журналы, аналитика доставки поверх трекера — mail_trace и mail_stats), dnsagent_* (DNS-узлы: BIND, DNSSEC, обход мастеров, проверка зоны, RPZ, журналы). Глагол привязан к типу узла.
- [Границы и аудит](https://www.mscs.ru/ai/#limits): Тела писем в каталоге нет; почтовая аналитика отдаёт метаданные доставки и ограничена доменами заказчика; ничего не меняется молча; ИИ-часть не встроена в тракт доставки — при её отключении почта продолжает ходить. Каждый вызов пишется с ответственным инженером, решением и причиной; записи связаны хэш-цепочкой, экспорт пригоден для SIEM.

## Услуги и точки входа

- [Услуги и точки входа](https://www.mscs.ru/services/): Каталог семи управляемых услуг, каждая подключается ОТДЕЛЬНО — связанного пакета нет, начать можно с одной DNS-зоны. Для каждой позиции указаны единица тарификации, от чего зависит сумма, что нужно от заказчика и границы услуги. Цены не публикуются: фиксируются в коммерческом предложении под скоуп.
- [Три сценария старта](https://www.mscs.ru/services/#entry): «только Managed DNS» (зоны под управление, DNSSEC, почты не касаемся), «только DMARC-мониторинг» (видимость без изменений в инфраструктуре, включается за день), «только почтовый шлюз, SEG» (фильтрация перед своей почтой, ящики на месте). Плюс путь расширения от каждой точки входа и оговорка: DNSBL и Threat Intelligence имеют смысл там, где есть что фильтровать.
- [Единицы тарификации](https://www.mscs.ru/services/#catalog): Managed DNS — за управляемую зону; Managed DMARC — за домен под наблюдением; Secure Email Gateway (SEG) — за узел и объём потока; Threat Intelligence — за точку потребления фидов; DNSBL — за контур потребления; MFA как услуга — за пользователя с аутентификатором; управление и доступ (панель hub) отдельно не тарифицируется при наличии управляемых узлов.
- [Разовые работы](https://www.mscs.ru/services/#onetime): бесплатный экспресс-аудит домена, миграция зон под управление, план перехода DMARC none → quarantine → reject, пилот 30–60 дней с ограниченным скоупом.

## Доказательства и доверие

- [Кейсы и доказательства](https://www.mscs.ru/cases/): Клиентских кейсов на август 2026 нет — есть проверяемый прод на собственных доменах группы (mscs.ru, incosolutions.com): DMARC p=reject, подписанные зоны (DNSSEC, алгоритм 13), DANE/TLSA на обоих MX-узлах (mxa, mxc), CAA, MTA-STS, BIMI; записи пересверены 13.08.2026. На странице — восемь команд dig для самопроверки и явный список того, чего пока нет: публичных внедрений, аптайма, метрик «до и после», независимого аудита.
- [Метрики пилота](https://www.mscs.ru/#proof): Срез на 2026-07-24 — 116 управляемых DNS-зон, 2 узла Proxmox Mail Gateway (mxa/mxc, разделение по весу MX), 60 000+ IP-IOC, 11 фидов угроз 24×7, 6 услуг в проде.
- [Доверие и устойчивость](https://www.mscs.ru/trust/): Шесть архитектурных инвариантов (автономный data plane, отсутствие входящих административных портов, provider-agnostic DNS, разделение control и data plane, deny-by-default, отсутствие SPOF), размещение данных по контурам, модель доступа, порядок работы с инцидентами. Сервисные порты DNS и почты открыты только для профильного трафика. Обслуживание зоны начинается после публикации владельцем apex-TXT «mscs-verification=$true». Аптайм и время реакции фиксируются в договоре, а не публикуются. Дисклеймер товарных знаков Proxmox — в разделе #notdo.
- [Единый контур почты и DNS](https://www.mscs.ru/#market): Managed DMARC связан с публикацией политик через Managed DNS; TLSA — с сертификатами и жизненным циклом MX; Threat Intelligence применяется на почтовых шлюзах и в собственном DNSBL; data plane сохраняет автономность при недоступной панели.

## Справочник

- [Словарь: что за буквы и зачем они вам](https://www.mscs.ru/#glossary): анонс словаря на главной — 39 терминов простым языком, каждый с пояснением «зачем это вам»: почта (спуфинг, SPF, DKIM, DMARC, p=none → quarantine → reject, BIMI, DANE/TLSA, MTA-STS), DNS (зона, MX, DNSSEC, CAA, managed и provider-agnostic DNS, BIND, DNSBL), угрозы и узлы (MSSP, SEG, Threat Intelligence, IOC, Proxmox Mail Gateway, data plane, SPOF, mTLS/OCSP, инфостилер), аутентификация (MFA и 2FA, OTP/TOTP/HOTP, токен, push, RADIUS, SSO с SAML и OpenID Connect, каталог пользователей, тенант, два разных PAM), регуляторика (КИИ, ГИС, ИСПДн, реестр российского ПО, уровень доверия ФСТЭК). Полный текст — на https://www.mscs.ru/glossary/.
- [FAQ перед пилотом](https://www.mscs.ru/#faq): Managed DMARC и зачем p=reject; сроки (аудит — 1 день, пилот — 30–60 дней); что нужно от команды клиента; где размещаются данные; автономность data plane при недоступной панели; отличия от SaaS-сервисов DMARC.

## Контакты

- [Контакты MSCS](https://www.mscs.ru/#contact): Форма запроса пилота и контакты. Заявку на экспресс-аудит принимает форма на https://www.mscs.ru/audit/#request. One-pager платформы для CISO — по запросу в комментарии к заявке. Нижний Новгород +7 (831) 238-9787, Москва +7 (495) 133-8716, info@mscs.ru, офис: 603006, Н. Новгород, ул. Варварская, 32, оф. 77. Ответ на заявку — в течение одного рабочего дня.

## Optional

- [Портфель услуг группы](https://www.mscs.ru/#portfolio): Управляемые услуги Группы ИНКО помимо флагмана: DC/ЦОД, гибридные облака, сети, информационная безопасность, VoIP/UC/UCS.
- [Группа ИНКО](https://www.mscs.ru/#group): За платформой — системный интегратор с 2003 года: мультивендорная экспертиза, партнёрства с вендорами, единая точка ответственности. Услуги оказывает ООО «ИНКО-СЕРВИС» (ИНН 5260224594, ОГРН 1085260006633), аккредитованная ИТ-организация группы; оно же оператор персональных данных.
- [Обработка персональных данных](https://www.mscs.ru/privacy/): Редакция от 27.08.2026. Какие данные собирают формы сайта (домен, почта, имя, телефон, комментарий; технически — IP, браузер, время), зачем, на каком основании, сроки хранения и как отозвать согласие. Через контейнер Google Tag Manager подключены пять сервисов, каждый с оператором и местом обработки: Google Tag Manager и Google Analytics 4 (Google LLC, данные за пределами РФ), Яндекс Метрика (счётчик 99433421, ООО «Яндекс», серверы в РФ, карта кликов), Microsoft Clarity (проект ppuouycrsh, Microsoft Corporation, запись сессий; содержимое полей ввода маскируется), CookieYes (CookieYes Limited, баннер согласия на cookie). Содержимое заявок в аналитику не попадает: форма уходит на собственный обработчик.
- [ИНКО · incosolutions.com](https://www.incosolutions.com/): Корпоративный сайт материнской группы.