Практическая защита инфраструктуры компании. Настраиваем и обновляем КриптоПро и Рутокен для электронной подписи, отчётности и торгов, а дальше закрываем контур целиком: сегментация сети, разграничение прав, второй фактор при входе, обновления, закрытые наружу порты и резервные копии, которые нельзя зашифровать вместе с данными. Без запугивания и без продажи дорогих средств до того, как сделаны простые вещи.
Разговор об информационной безопасности часто начинается с рассказа про хакеров, целевые атаки и миллионные убытки, а заканчивается коммерческим предложением на дорогое программное обеспечение. При этом в компании остаются общий пароль на всех, административные права у каждого бухгалтера, сервер, доступный из интернета напрямую, и резервная копия на той же машине, что и данные.
Мы предпочитаем обратный порядок. Сначала смотрим, как устроена инфраструктура и что в ней действительно уязвимо, потом закрываем простые и дешёвые вещи, которые снимают большую часть реального риска, и только после этого обсуждаем средства защиты, если они всё ещё нужны. Это менее эффектно, зато результат виден и объясним.
Разделяем сеть на зоны: рабочие места, серверы, гостевой Wi-Fi, камеры, СКУД, кассы. Настраиваем правила между ними на маршрутизаторе, чтобы заражение одного участка не растекалось по всей компании.
Плоская сеть — самая частая находка при первом осмотре.
Наводим порядок в доступах: у каждого сотрудника своя учётная запись, права выдаются по должности, а не «как у коллеги». Убираем административные права там, где они не нужны для работы.
Административные права на рабочем месте — подарок шифровальщику.
Включаем второй фактор там, где вход идёт снаружи: удалённый доступ, почта, панели управления, административные учётные записи. Настраиваем понятный для сотрудников способ подтверждения.
Второй фактор обесценивает украденный пароль.
Разворачиваем антивирусную защиту с централизованным управлением — работаем с продуктами Dr.Web и «Лаборатории Касперского». Настраиваем регулярную установку обновлений операционных систем и прикладного ПО.
Антивирус без управления и обновлений — это иконка в трее.
Проверяем, что торчит наружу и что видно внутри: открытые в интернет службы, устройства с заводскими паролями, забытые прошивки, уязвимые версии сервисов. Составляем список находок и порядок их закрытия.
Половина находок — это то, о существовании чего в компании забыли.
Строим схему резервного копирования так, чтобы копию нельзя было зашифровать вместе с данными: отдельное хранилище, ограниченный доступ, копия вне основной сети и регулярная проверка восстановления.
Копия, до которой дотягивается вирус, — это не копия.
Подавляющее большинство инцидентов в малом и среднем бизнесе выглядит одинаково и не имеет отношения к целевым атакам. Вот они, в порядке того, как часто мы их разбираем.
| Что случается | Как это обычно выглядит | Что закрывает проблему |
|---|---|---|
| Шифровальщик через почту | Сотрудник открывает вложение из письма, похожего на счёт или акт, файлы на компьютере и в общих папках становятся нечитаемыми | Права без администратора, фильтрация почты, антивирус с управлением, изолированная резервная копия |
| Украденный или подобранный пароль | Пароль утёк из чужого сервиса или подобран перебором, вход выглядит как обычный рабочий | Второй фактор, уникальные пароли, менеджер паролей, отключение неиспользуемых учётных записей |
| Открытый наружу RDP | Удалённый рабочий стол опубликован в интернет «на время», его находят автоматическим сканированием и подбирают пароль | Доступ только через VPN, закрытие порта, ограничение по адресам, второй фактор |
| Доступы уволенного сотрудника | Учётная запись, почта и удалённый доступ продолжают работать спустя недели после ухода человека | Письменный порядок отзыва доступов и общий список сервисов, где сотрудник заведён |
| Забытые устройства в сети | Камера, регистратор, принтер или роутер с заводским паролем и прошивкой многолетней давности в одной сети с бухгалтерией | Сегментация сети, смена паролей по умолчанию, инвентаризация оборудования |
| Копия рядом с данными | Резервная копия лежит на том же сервере или на подключённом диске и шифруется вместе с оригиналом | Копия в отдельном хранилище с ограниченным доступом и регулярная проверка восстановления |
Стоимость работ зависит от размера инфраструктуры и того, в каком она состоянии. Считаем после обследования: сначала показываем список находок, потом — что закрывается настройкой без затрат, а что требует оборудования или лицензий.
То, с чего начинается любой проект и что даёт наибольший эффект на вложенные деньги. Обычно бо́льшая часть этих работ — это настройка того, что у вас уже есть.
Самая недооценённая часть безопасности. Большинство инцидентов начинается с чужого входа под настоящей учётной записью, а не со взлома периметра.
Всё, что связано с границей между вашей сетью и интернетом, и с тем, как устроена сеть внутри. Работаем вместе с направлением сетей.
Последняя линия обороны и первая линия защиты одновременно: то, чем восстанавливаются после инцидента, и те, кто чаще всего его допускает.
Любой, кто обещает полную безопасность, либо не понимает, о чём говорит, либо продаёт. Задача разумной защиты другая: сделать так, чтобы типовые массовые угрозы до вас не доходили, чтобы случившийся инцидент не останавливал компанию и чтобы после него можно было восстановиться из копии за понятное время. Именно поэтому мы одинаково серьёзно относимся и к предотвращению, и к восстановлению — второе почему-то обсуждают гораздо реже.
И ещё одно, о чём стоит сказать прямо. Мы занимаемся практической защитой работающей инфраструктуры: сеть, доступы, серверы, почта, копии, обучение сотрудников. Аттестация объектов информатизации по требованиям регуляторов, работа с государственной тайной и построение формальных систем защиты под проверку — не наш профиль, и браться за это мы не будем. Если задача именно такая, честно скажем об этом на первом разговоре и не станем изображать компетенцию, которой у нас нет.
Набор мер зависит от размера компании: то, что оправдано на сотне сотрудников, на десяти будет мешать работать. Ниже три размера — от базовой гигиены к контролю и разбору событий.
Малой команде не нужны сложные системы — нужен минимум, который закрывает частые причины инцидентов: копии, обновления, разные пароли и почта, которую не подделать. Всё остальное на этом размере только мешает.
Рабочие места и сервер
├─ Антивирусная защита
├─ Обновления по расписанию
├─ Личные учётные записи
└─ Права без «всем админ»
│
Копии + защита почты
С ростом компании появляются подрядчики, удалённые сотрудники и разные группы данных. Сеть делится на сегменты, доступ выдаётся по ролям, вход снаружи закрывается вторым фактором, а важные события собираются в журнал.
Сегменты сети по ролям
│
Шлюз доступа + второй фактор
├─ Сотрудники
├─ Подрядчики (ограниченно)
└─ Серверный сегмент
│
Сбор журналов событий
На большой компании важно не только закрыться, но и вовремя заметить. Журналы собираются централизованно, настраиваются оповещения на подозрительные действия, а защищённость проверяется сканированием, а не предположениями.
Источники событий
├─ Серверы ├─ Сеть
├─ Почта └─ Рабочие места
│
Централизованный сбор и оповещения
│
Регулярное сканирование уязвимостей
│
Порядок действий при инциденте
С того, что не требует закупок: персональные учётные записи, снятие лишних административных прав, смена паролей по умолчанию, обновления, закрытие служб, которые смотрят в интернет, и нормальная схема резервного копирования. Это настройка того, что у вас уже есть. Обсуждать дорогие средства защиты имеет смысл только после этого, иначе они просто прикрывают дыры, которые можно было закрыть бесплатно.
Целенаправленно — скорее всего, нет. Но подавляющее большинство инцидентов в малом и среднем бизнесе никого не выбирают: рассылка с вложением уходит по тысячам адресов, а открытые наружу порты находят автоматическим сканированием без разбора, чей это сервер. Именно поэтому базовая защита нужна не потому, что вы кому-то интересны, а потому, что массовые угрозы работают вслепую.
Он серьёзно снижает вероятность, но гарантии не даёт: новые образцы появляются быстрее, чем обновляются базы. Поэтому антивирус мы рассматриваем как один слой из нескольких. Остальные слои — отсутствие административных прав у пользователей, фильтрация почты, сегментация сети и, главное, резервная копия, до которой шифровальщик не дотягивается. Работает именно сочетание, а не одно средство.
Работаем с продуктами Dr.Web и «Лаборатории Касперского» — они закрывают потребности большинства компаний и имеют централизованное управление, что важнее самого движка. Централизованная консоль показывает, на всех ли машинах защита установлена и обновляется, а без этого антивирус превращается в иконку, о состоянии которой никто не знает. Если у вас уже что-то развёрнуто, сначала смотрим, можно ли привести в порядок это.
Нет. Аттестация объектов информатизации, построение формальных систем защиты под проверку и работа с государственной тайной — не наш профиль, и мы честно об этом говорим. Наша область — практическая защита работающей инфраструктуры: сеть, доступы, серверы, почта, резервные копии, обучение сотрудников. Если задача формальная, лучше обратиться к специализированной организации, и мы прямо скажем об этом.
Не торопиться удалять и переустанавливать. Первым делом отключить поражённые машины от сети, чтобы остановить распространение, и не трогать резервные копии до того, как станет понятно, целы ли они. Дальше нужно понять, как именно попали внутрь: без этого восстановление приведёт к повторению истории. Мы разбираем ситуацию, помогаем восстановиться из копий и закрываем тот путь, которым воспользовались.
Расскажите, что за инфраструктура и что беспокоит. Проведём осмотр, покажем список находок и предложим порядок работ.
Информационная безопасность в компании на несколько десятков человек — это не отдельная система, которую можно купить и включить. Это набор решений о том, как устроена инфраструктура. Ниже то, из чего этот набор обычно состоит и в каком порядке имеет смысл двигаться.
Прежде чем обсуждать средства защиты, стоит убедиться, что сделаны вещи, которые не стоят ничего, кроме времени: у каждого сотрудника своя учётная запись, административные права сняты там, где не нужны, пароли по умолчанию на оборудовании изменены, обновления ставятся, а лишние службы не смотрят в интернет. По нашему опыту, именно эти шаги убирают большую часть реального риска — и именно их чаще всего пропускают, сразу переходя к покупкам.
Требования к сложности паролей работают хуже, чем принято думать: сложный пароль записывают на бумажке или используют один и тот же везде. Гораздо больше даёт связка из двух вещей — менеджер паролей, чтобы пароли были разными и никто их не помнил наизусть, и второй фактор на всех входах снаружи. С включённым вторым фактором утёкший пароль перестаёт быть инцидентом: сам по себе он ничего не открывает.
Публикация удалённого рабочего стола прямо в интернет — история, которая начинается со слов «нам нужно было срочно» и заканчивается зашифрованным сервером. Такие порты находят автоматическим сканированием в течение суток, дальше идёт подбор пароля. Правильная схема — доступ через VPN с ограничением по учётным записям и вторым фактором, а сам порт удалённого доступа наружу не смотрит вовсе. Это не сложнее и не дороже, просто требует полчаса настройки один раз.
Если инцидент всё-таки произошёл, вопрос только один: за какое время компания вернётся к работе. Ответ на него даёт резервное копирование, и именно поэтому шифровальщики в первую очередь ищут и уничтожают копии. Поэтому мы строим схему так, чтобы хотя бы одна копия была недостижима из рабочей сети и с рабочих учётных записей, и обязательно проверяем восстановление — копия, из которой никогда не восстанавливались, существует только на бумаге.
Разделение сети на зоны с правилами между ними — недорогая мера с большим эффектом. Она превращает инцидент из «зашифровали всё» в «пострадал один участок». В плоской сети рабочий компьютер бухгалтера видит серверы, кассы, камеры, СКУД и принтеры, и наоборот. Если сеть построена на управляемом оборудовании, сегментация не требует новых закупок — только настройки, которые мы делаем в рамках работ по сетям.
Обвинять сотрудников в том, что они открыли вложение, бессмысленно: письма делают убедительными специально. Гораздо полезнее короткий разбор на конкретных примерах — как выглядит поддельное письмо от контрагента, почему бухгалтерия не должна получать «уточнённые реквизиты» по почте без звонка, что делать, если вложение всё-таки открыли. И отдельно — договорённость, что за сообщение о своей ошибке никого не наказывают: чем раньше человек скажет, тем меньше последствий.
Если состояние инфраструктуры в целом неясно, разумнее начать не с работ по безопасности, а с ИТ-аудита: он даёт картину того, что есть, кто чем управляет и где находятся риски. После этого разговор о защите становится предметным, а список работ — конечным.
