неа, у меня были системы с необслуживаемым аптаймом в 3-5 лет

да что говорить, они и сейчас есть

хорошая АС выходит из строя только при гибели аппартных средств

Либо он в закрытом контуре, либо он уже в ботнете и его "обслуживают" за вас...

вы,  батенька, юны, и не представляется весь спектр вариантов

Несомненно, век живи - век учись.

в целом - каждой АС свой файрволл и сеть работает по разрешительному принципу

скорее не у всех есть деньги на такие системы, можно взять tripar, а можно взять ceph, первый существенно дороже, зато обслуживания требует меньше

Кому когда файрволлы то мешали... А вот если у вас сеть настроена по честному разрешительному принципу - с определением разрешенных протоколов, портов и направлений движения трафика а не по принципу "ну это закрытая зона - тут можно все", то несомненно надежность и защищенность такой системы кратно повышается. Однако таких систем я не видел (это не значит что их нет). И кстати это опять дилемма между правильно и быстро.

Можно построить "достаточно" защищенную систему и обслуживать ее, а можно построить немодицируемый контур, и не обслуживать ее сколько-то лет.

Что "правильно"? а то что даст результат и будет дешевле на нужном временном интервале.

хороший вопрос - правильно по каким критериям? в какой перспективе?

есть такие компании, которые прибежали, набросали, бабки с тендера срубили и убежали - видимо про них

если в тендере нет поддержки  - то это проблема заказчика

а что мешает сделать dmz и просто держать пограничные зоны

поддержка редко больше 1,5 лет, пока сдавали пол года поддержки прошло, а потом год туды\сюды и убежали, я такое видел уже раз 10

ставь поддержку дольше, что мешает?

Ничего не мешает. В 90% случаях так и делают. Только коллега выше сказал об АС, которые не обслуживают 2-4 лет. На моей памяти ежегодно выходит до 5 серьезных RCE, когда контур и система требует обслуживания. Отсюда и мой посыл в том, что при таком подходе, либо все должно быть заколочено круче чем dmz либо "обслуживают" уже снаружи.

ну это не мне решать, я лишь devops\админ

большинство АС никогда не видят интернета

ну дык возвращаясь в моему первому сообщению:) Либо АС в закрытом сегменте (яркий пример - ЦБ), либо...

большинстов промышленных контроллерах на АС общего назначения никогда не видят обновлений безопастности