Защита от кибератак и внешних угроз в Екатеринбурге

В профессиональной среде за это направление отвечает термин кибербезопасность, а в английском написании information security. Мы закрываем обе задачи: технические меры и порядок действий людей. Для любой организации базовый набор одинаков, различается только приоритеты.

Что входит в защиту от кибератак

Комплексная защита складывается из нескольких уровней. Ниже перечислено, что мы настраиваем и сопровождаем в системах заказчика.

Защита строится слоями: периметр, доступы, рабочие места, сведения. Политика доступа и порядок действий задаются на старте: мы фиксируем, что закрываем в первую очередь. Для компании базовый набор одинаков: фильтры, многофакторная аутентификация и резервные копии. Создание такой базы занимает несколько дней и не требует остановки процессов. Сбой одного слоя не должен оставлять контур без прикрытия. Договариваемся, какие информационные системы относятся к критичным: они получают приоритет и свой контур защиты. Там же очерчиваем круг сведений, которые нельзя выгружать за пределы контура.

Межсетевые экраны и фильтрация трафика

Порядок простой: настраиваем и сопровождаем межсетевые экраны, они блокируют несанкционированный трафик еще на периметре. Фильтрация отсекает внешние атаки до того, как они достигнут устройств и сведений. Фильтры настраиваются под профиль компании, а малым предприятиям хватает базового набора: фильтры, многофакторная аутентификация и резервные копии.

Смотрим сетевую безопасность офиса и удаленных подключений. Нередко именно там остается незакрытый путь, который нарушитель использует первой.

Настройки фильтрации пересматриваем регулярно: подключения добавляются постоянно, а старые условия перестают соответствовать реальности. Ведем реестр разрешенных подключений, чтобы понимать, что выходит в интернет. Целевые атаки на инфраструктуру начинаются с одного открытого узла, поэтому сеть проверяется по секциям: у секции свои условия доступа и свои журналы.

Контроль доступа и учетные записи

Разграничиваем права: каждый сотрудник получает только то, что нужно по обязанностям. Настраиваем двухфакторную аутентификацию, VPN для удаленных сотрудников, управление профилями.

Нужно, чтобы уволенный сотрудник не оставался в системе. Такие профили регулярно используют для атак: ими никто не пользуется, и за входами никто не следит.

Администраторские профили держим раздельно, с раздельной сессией и наблюдением. Иначе один такой аккаунт открывает весь контур сразу, и злоумышленнику не нужно подбирать учетные данные.

Права пересматриваем вместе с должностями: когда человек меняет отдел, набор ресурсов должен меняться, иначе старая роль остается активной и расширяет поверхность атаки. Разграничение прав работает на двух уровнях: права на ресурсы и права на сведения. Такое разделение удобно тем, что ограничить выгрузку сведений можно независимо от доступа к контуру.

Многофакторная аутентификация и управление доступом

Многофакторная аутентификация закрывает самый частый путь взлома: украденный пароль. Шаг подтверждается кодом из приложения или сообщения, поэтому одного пароля недостаточно.

Настройка занимает несколько часов и не требует дополнительных систем: подходят телефоны, которые уже есть у людей. Такой подход эффективнее длинных паролей и не меняет привычки людей. Эффективный метод тот, который проверяется замером.

Любой подключает второй фактор по инструкции, а для критичных систем действует свой порядок. Администраторам выдаем аппаратные ключи: их сложно перехватить, даже если вредоносная программа уже попала на компьютер. Знания пользователей дополняют технику: она ловит ошибку, а человек ее не совершает. Политика паролей на уровне компании задает минимальную длину и запрет на повтор. Организация определяет, какие сведения критичны, а политика компании задает приоритеты. Современные технологии фильтрации и кибербезопасность в целом проверяются замером: какая киберугроза отсечена на границе, видно в журнале. Для организации всегда сверяем, какие системы контроля работают, а какие просто установлены. Политика компании и пожелания к вашему контуру фиксируются в договоре.

Шифрование и резервные копии

Шифруем конфиденциальную информацию при хранении и передаче. Многоуровневые резервные копии с защитой от шифровальщиков позволяют восстановить данные за часы, а не за недели.

Проверяем, что копии рабочие. Обычно копия есть, но восстановиться из нее нельзя, и узнать об этом удается только при инциденте. Тестовое восстановление включаем в регламент.

Это закрывает и требования 152-ФЗ о защите персональных данных клиентов и персонала. Копии храним не на рабочих машинах и настраиваем использование двух хранилищ.

Следим за цифровыми копиями: в своем облаке, на личном телефоне и на флешке. Знание о том, где лежат данные, помогает быстро оценить масштаб потери. Выгрузка базы данных в личное хранилище обнуляет весь труд, а сведения потом не вернуть. Отдельно обсуждаем, где именно лежат данные: на дисках, в базах, в почтовых ящиках. Инфраструктура хранения меняется, а требования к данным остаются.

Обновления и антивирусная защита

Централизованные антивирусные системы охватывают все устройства, включая облачные рабочие столы и облачные сервисы. Установить их можно в один день: рабочие станции, серверы, ноутбуки. Регулярное обновление программного обеспечения не дает злоумышленнику использовать известные уязвимости.

Следить нужно и за тем, что приходит извне: источник заражения нередко находится в письме или в файле из внешнего источника, и без проверки он доходит до человека.

Ведем список разрешенного ПО. Все, что не описано, вызывает вопросы, а лишние утилиты увеличивают поверхность атаки.

Обновления стороннего продукта ставим в одном окне: иначе часть машин останется на старых версиях, и нарушитель получит незакрытый путь. Раз в квартал делаем диагностику подключений и собираем список машин, которые отстают. Обновления должны быть централизованными, а их журналы доступными для разбора.

Обучение персонала и инструкции

Обучаем персонал различать фишинг и подозрительные письма, не открывать неизвестные вложения и никогда не сообщать пароли.

Настраиваем DLP-системы, чтобы человек не отправил сведения клиента наружу.

Простое правило: сомневаешься, не открывай и переспрашивай. Обучение не заменяет технические меры, но закрывает путь, через который приходит вторжение. Люди, которые знают признаки фишинга, реже открывают опасные вложения.

Для персонала у нас есть письменная инструкция, а обучение сотрудников идет и на местах: что делать при подозрительном сообщении, куда сообщать и как не отвечать из личной почты. Курс есть для тех, кто работает с системами учета и программным обеспечением, которое обновляет наша команда.

Важен не только набор мер, но и то, как их принимают люди: обучение сотрудников идет вместе с внедрением. Отдельная услуга для малого бизнеса: базовый набор мер, который можно установить за неделю и потом расширять. Технологии включаем по результатам обследования, а не по умолчанию. Напоминания повторяем: через полгода человек помнит половину услышанного. Напоминания обходятся дешевле разбора инцидента и не требуют лишних усилий. Курсы по цифровым подписям окупаются сразу: ошибка в одном шаге стоит дороже, чем год обучения.

Регламент реакции на случай

В организации должен быть порядок: кто дежурит, куда сообщать, что отключать первым. Наш регламент описывает эти шаги и проверяется на учениях, у компании есть дежурный контакт для ночных срабатываний.

Прописаны меры для разных типов угроз: при подборе учетных данных меняем аутентификацию, при заражении отключаем узел, при потере сведений оповещаем руководство. Сроки реакции фиксируются в договоре, поэтому спор о том, что случилось и когда, не возникает. Порядок действий при атаке прописан для смены: дежурный знает, что отключить первым и кому сообщить.

Что делать при инциденте

Первый шаг при инциденте: не выключать компьютер и не чистить журналы. Подробный разбор возможен только по сохраненным данным, поэтому удаление журналов делает анализ бессмысленным.

Метод простой: фиксируем, изолируем, восстанавливаем. Мы предоставляем памятку, где указано, кому звонить, что отключать и какие сведения не трогать.

Второй шаг: изолировать узел от остального контура. Создание изолированной сети занимает минуты и не останавливает компанию.

Третье: оценить объем утечки и уведомить руководство. Возможность быстро вернуть систему в строй важнее желания все проверить самостоятельно. Набор сценариев экономит команде время.

Какие угрозы мы блокируем

Ниже перечислены основные сценарии, с которыми сталкиваются компании, и меры, которые мы против них применяем. Кибербезопасность начинается не с настроек, а с понимания этих сценариев. Средства от разных типов угроз не взаимозаменяемы, поэтому мы разбираем их по очереди.

Средства строятся под каждый сценарий: под фишинг одни, под подбор учетных данных другие, под потерю сведений третьи.

Фишинг и входящая почта

Фишинг и социальная инженерия остаются самым частым способом проникновения. Злоумышленник присылает сообщение, похожее на счет, и просит оплатить или войти по ссылке. Ни пользователь, ни коллега не замечают подмены и не вводят пароль.

Против такого сценария работает связка из трех мер: проверка входящей почты, обучение персонала и двухфакторная аутентификация. Поодиночки такая мера не дает полного эффекта, вместе они закрывают путь.

Фильтруем вложения и ссылки с внешних доменов. Такое письмо не открываем, даже если выглядит как счет от поставщика, с которым работаем давно.

Вредоносные программы и файлы

Вредоносные программы попадают внутрь через вложения, архивы и загрузки. Нередко они шифруют данные и требуют выкуп, а восстановление без резервных копий занимает недели.

Другой сценарий связан с подменой утилит: старая версия дает нарушителю права на рабочей станции. Состав утилит и их версии нужно проверять.

Антивирус, фильтрация и наблюдение за запусками останавливают цепочку до того, как вредоносные программы успевают зашифровать данные. Проверяем автозапуск: его включают без участия человека.

Подбор и кража учетных данных

Подбор идет перебором типовых сочетаний символов или через данные с другого сайта. Комбинация из «123456» или имени сотрудника подбирается за минуты.

Двухфакторная аутентификация, требования к длине и блокировка после неудачных попыток снижают риск. Дополнительно применяем условия, позволяющие находить подбор по журналам: журнал использует частоту входов.

Сотрудник хранит пароли в менеджере паролей, который мы устанавливаем централизованно. Это закрывает самую частую ошибку: одно и то же сочетание на нескольких сайтах.

Для учетных записей пользователей настраиваем срок жизни и автоматический отзыв прав, так использование старых профилей прекращается само.

DDoS

DDoS-атаки перегружают каналы и серверы, выводя из строя корпоративные сервисы. Здесь важна скорость реакции: включаем фильтрацию на границе и возвращаем доступ к ресурсам.

Атака такого типа проверяет запас по производительности. Если его нет, пользователи видят отказ даже при небольшом объеме трафика.

Разбор по нагрузке и каналам помогает найти узкое место до того, как его найдет нарушитель. Целевые атаки такого типа встречаются реже, но требуют своей системы фильтрации. Киберугрозу оцениваем по трем параметрам: вероятность, ущерб и сложность повторения. Отдельно измеряем пропускную способность сети: если ее не хватает, атаки DDoS пройдут без препятствий.

Второй сценарий связан с распределенной атакой на одно из внешних подключений: фильтр и предусмотренный для DDoS режим держат нагрузку и не дают ей дойти до серверов. Архитектура тут не меняется, меняется точка фильтрации.

Сеть филиала проверяется по тем же критериям, что и головной офис. Системы защиты от DDoS стоят на границе контура.

Потеря данных

Потеря данных происходит и снаружи, и изнутри. Партнер присылает документ, который не должен уходить дальше, а бывший специалист забирает копию.

Поэтому мы ограничиваем доступ, шифруем носители и ведем наблюдение за работой с чувствительной информацией. Подробно про такие сценарии мы писали в материале об утечках информации.

Смотрим, что уходит наружу: выгрузки в личные облака и данные на флешках. Именно эти каналы используют, когда в компании нет порядка. В журналах остаются следы, и по ним мы видим, кто и когда получал доступ к данным.

Журналы дают ответ на главный вопрос при атаке: какие именно данные успели вынести и куда. Это позволяет оценить масштаб и не повторять одну и ту же ошибку.

Действия злоумышленников изнутри

Неактуальные профили и расширенные права персонала используют, чтобы тихо закрепиться. Мы пересматриваем права и удаляем профили ушедших.

Смотрим на защиту от вторжений и на то, как быстро мы увидим попытку двигаться по сети вглубь.

Класс рисков связан с атаками на подрядчиков, у которых есть собственные подключения. Их аккаунты стоит проверять так же строго, как внутренние, а сроки их жизни задавать заранее.

Как мы работаем

Работа идет этапами. Каждый следующий шаг опирается на результат предыдущего, поэтому решение получается рабочим, а не универсальным. Мы понимаем кибербезопасность как набор повторяемых процедур, а не разовую настройку. Метод простой и повторяемый: обследование, настройка, наблюдение, реакция. Возможность улучшить следующий этап остается за вами, а управление рисками мы ведем вместе с вашей командой.

Системы контроля и обслуживания закрываем по договоренности с вами: перечень, сроки, объем, карта сети.

Обследование

Начинаем с оценки состояния: смотрим информационные системы, права, подключения и утилиты. Уже здесь видны риски, которые не закрыты настройками по умолчанию.

Смотрим управление ИТ-инфраструктурой: без порядка в учетных данных и обновлениях ничего не дает.

Материалы обследования оформляем в разборе уязвимостей с приоритетами: что закрываем сразу, а что переносим на следующий этап. Смотрим и прочие подключения: филиалы, сервисы, интеграции, потому что каждое из них расширяет периметр.

Обследование занимает несколько дней и не требует остановки работы: проверки идут в согласованное время, а риски сразу делятся на критичные и прочие. Снимаем карту сети и инфраструктуры: сколько узлов, как они связаны и где проходят границы.

Внедрение мер

Готовим предложение с конкретными действиями, сроками внедрения и фиксированной стоимостью. Настраиваем межсетевые экраны, антивирус, разграничение прав и наблюдение.

Внедряем по этапам, чтобы не останавливать работу: сначала периметр, затем права, потом обучение персонала и разбор инцидентов. Согласуем с вами сроки и объем, чтобы компания получила план без скрытых дополнений.

Проверяем периметр с обеих сторон: снаружи и изнутри. Внутренние требования нередко важнее внешних, потому что через них ходят все.

Для серверов и узлов у нас есть сервисная поддержка: она следит за состоянием, обновлениями и подключениями, включая их диагностику. Сопровождение настраиваем так, чтобы обновления не останавливали процессы.

Наблюдение

Ведем круглосуточное наблюдение за состоянием систем и отслеживаем подозрительную активность на ранних стадиях. Опираемся на журналы и требования, чтобы видеть аномалии, а не только явные сбои.

Наблюдение показывает необычное поведение узла. Нередко это единственный способ увидеть подготовку к вторжению, пока оно не началось. Общее состояние сети видно по журналам.

Настраиваем уведомления, чтобы сигнал приходил ответственному специалисту, а не оставался в журнале. Без этого условие есть, а реакции нет.

Наблюдение работает лучше, когда у него есть понятный регламент: кто смотрит, что делает и когда эскалирует.

Реакция на случаи

При обнаружении случая команда реагирует в течение 10 минут. Критичные события фиксируются, анализируются и устраняются, по ним формируется дорожная карта устранения рисков.

После случая возвращаемся к настройкам: сработавшая мера и та, что не сработала и что изменить, чтобы атака не повторилась.

Обсуждаем с клиентом, что улучшить в процессах: повторный случай приходит не от систем, а из привычки персонала.

Почему бизнес выбирает АйТи-Сети

С 2012 года мы закрываем системный контур компаний: от небольших офисов до производственных предприятий. Более 10 лет с реальными случаями. Кибербезопасность для нас специализация, а не побочная услуга.

Государственная аккредитация: мы внесены в реестр аккредитованных ИТ-компаний России и соответствуем государственным стандартам качества и информационной безопасности.

Сертифицированные специалисты: в команде 12+ экспертов с подтвержденными компетенциями в области ИБ, защиты данных и инфраструктуры.

Гарантия по договору: сроки реакции, порядок работы с инцидентами и ответственность фиксируются в договоре с финансовой ответственностью. Без скрытых оговорок.

Подход понятный: наша команда закрывает и настройку условий, и сопровождение узлов. Аутсорсинг ИТ и ИТ-директор доступны от той же команды. Мы не предлагаем продукт, который не нужен вашим системам.

Практические советы собраны в нашем блоге и в материале о том, как снизить риски своими силами. Эта услуга подходит компаниям разного размера, а разборы мы публикуем в блоге регулярно. Компания получает отчет о состоянии систем и рабочий план на следующий этап. Компании приходят к нам после инцидента, и мы начинаем с закрытия самых критичных находок. Наша услуга и формат работы прозрачен: мы предоставляем отчет о том, что сделано и что предлагаем отдельно. Формат отчета ясен, а консультации входят в ту же услугу.

Заключение

Решения в этой области не бывают разовыми: атаки меняются, поэтому настройки приходится обновлять. Организации следует понимать, что она защищает и как быстро срабатывает реакция. У компании свой набор угроз, и учитывать нужно именно его.

Предлагаем начать с короткой оценки и собрать план под ваши задачи. Практические советы по кибербезопасности собраны в нашем материале, а порядок при инциденте разобран в статье про простые правила.

Наша задача не в том, чтобы напугать вас цифрами, а показать, что делать в вашем контуре. Анализ показывает, меры, влияющие на риск, и те, что лишь выглядят защитой. Анализ идет по нашим требованиям: сначала критичное, затем остальное.

Клиент получает выписку и может получить доступ к накопленной статистике по системам и по нагрузке на сеть. Оставьте заявку через раздел Контакты или напишите в мессенджер: покажем пример отчета и рассчитаем объем работ.