Проверяем серверы, сеть, удалённые подключения, учётные записи, резервное копирование и рабочие станции. Находим критичные риски и поэтапно выстраиваем защиту инфраструктуры: от прав доступа и MFA до сегментации сети, мониторинга и защиты удалённой работы.
ОБСУДИТЬ ЗАДАЧУ
ЧТО МЫ ПРЕДЛАГАЕМ
Информационная безопасность компании не сводится к установленному антивирусу. Риски могут возникать из-за открытого RDP, слабых паролей, лишних административных прав, устаревшего ПО, неправильно настроенного VPN, отсутствия сегментации сети или резервных копий, доступных из той же инфраструктуры.
Начинаем с аудита: смотрим, как устроена сеть, какие сервисы доступны извне, как организованы удалённые подключения, кто имеет административные права и насколько защищены критичные серверы и корпоративные данные. После этого формируем приоритетный план работ и последовательно закрываем наиболее опасные точки.
В документе отдельно отмечено, что базовые отраслевые практики включают ограничение привилегированного доступа, MFA, сегментацию сети, защиту удалённых подключений и независимые резервные копии.
ЧТО ВХОДИТ В УСЛУГУ
Проверяем серверы, рабочие станции, сетевое оборудование, удалённые подключения, корпоративные сервисы, резервное копирование, учётные записи и существующие средства защиты. Определяем, какие сервисы доступны из интернета и действительно ли им нужен внешний доступ.
Анализируем опубликованные RDP, VPN, веб-интерфейсы и другие внешние сервисы. Для RDP при необходимости ограничиваем пользователей, сохраняем NLA, используем защищённый контур доступа, сертификаты, VPN и дополнительные механизмы MFA — в зависимости от архитектуры. Для VPN проверяем права и параметры удалённого доступа.
Проверяем административные аккаунты, общие учётные записи, лишние локальные и доменные права и неиспользуемые привилегированные аккаунты. Применяем принцип минимально необходимых полномочий, настраиваем парольные политики, Active Directory и MFA там, где это технически доступно и оправдано.
Проверяем покрытие рабочих станций и серверов и при необходимости настраиваем централизованное управление антивирусом. EDR рассматриваем для инфраструктур с повышенными требованиями к защите, но не предлагаем его автоматически каждому клиенту.
Настраиваем правила сетевого доступа и ограничиваем ненужные соединения. При необходимости разделяем сеть на логические зоны и VLAN для рабочих станций, серверов, гостевого Wi-Fi, видеонаблюдения, телефонии, оборудования или отдельных подразделений. Гостевой Wi-Fi изолируем от внутренних ресурсов компании.
Проверяем актуальность операционных систем и критичных компонентов и выстраиваем процесс регулярного обновления. Для серверов проверяем административные учётные записи, сетевые правила, доступы, обновления и другие параметры безопасности.
Систематизируем создание, изменение и блокировку пользователей. По согласованной заявке при увольнении отключаем доменную учётную запись, почту, VPN, удалённый доступ и другие контролируемые сервисы.
Проверяем наличие резервных копий критичных систем и насколько они защищены от одновременной потери вместе с основной инфраструктурой. Для защиты от шифровальщиков учитываем независимую копию в отдельном или сегментированном хранилище.
Настраиваем контроль критичных серверов и оборудования и уведомления о событиях, которые требуют внимания. Фиксируем структуру сети, основные политики, права доступа, критичные системы, административные роли, внедрённые меры и рекомендации по дальнейшему развитию.
Двигаемся от критического минимума к базовой инфраструктурной защите и затем, при необходимости, к расширенному контуру. Сначала закрываем опасные внешние сервисы, удалённый доступ, лишние права, MFA, резервирование и критичные обновления; затем — сегментацию, централизованные политики, мониторинг и дополнительные средства вроде EDR или DLP в рамках отдельных согласованных задач.
ПРИМЕРЫ ЗАДАЧ
Определяем, кому действительно нужен доступ, закрываем прямую публикацию или усиливаем схему подключения, ограничиваем пользователей и включаем необходимые механизмы защиты.
Проверяем реальные потребности, убираем лишние права и оставляем административный доступ только тем, кому он необходим для работы.
Создаём отдельный сегмент, ограничиваем маршрутизацию и оставляем гостевым устройствам только необходимый доступ в интернет.
Формируем перечень корпоративных доступов, блокируем учётную запись, отзываем удалённый доступ и фиксируем процесс для следующих увольнений.
Проверяем права, ограничиваем доступ, разделяем рабочие и резервные контуры и при необходимости создаём дополнительную независимую копию.
Проверяем административные аккаунты, разделяем доступы и выстраиваем более безопасную схему аутентификации.
КАК ПРОХОДИТ РАБОТА
Изучаем серверы, сеть, удалённые подключения, учётные записи, резервное копирование и используемые средства защиты.
Определяем проблемы, которые могут привести к компрометации систем, утечке или потере данных.
Разделяем изменения по приоритету и сложности внедрения.
Объясняем, какой риск закрывает каждое изменение и какие ограничения оно может создать для пользователей.
В первую очередь закрываем наиболее опасные внешние доступы, учётные записи и другие критичные точки.
Настраиваем политики, MFA, сегментацию, firewall, EDR и другие согласованные инструменты.
Проверяем или создаём систему резервирования критичных данных.
Подключаем контроль состояния инфраструктуры и необходимые уведомления.
Повторно проверяем основные сценарии и убеждаемся, что меры не нарушили рабочие процессы.
Фиксируем проведённые изменения и рекомендации.
При необходимости продолжаем контролировать инфраструктуру и постепенно повышать уровень безопасности.
ЧТО ПОЛУЧАЕТ КЛИЕНТ
Получаете перечень обнаруженных рисков и понимание, какие проблемы требуют первоочередного устранения.
Устраняем наиболее опасные проблемы внешнего доступа, административных прав, учётных записей и других критичных точек в согласованном объёме.
Приводим в порядок RDP, VPN и другие сценарии удалённой работы, включая MFA и дополнительные ограничения там, где они технически доступны и оправданы.
Ограничиваем лишние административные права, настраиваем политики и выстраиваем понятный процесс создания, изменения и блокировки корпоративных доступов.
Настраиваем firewall, сегментацию, VLAN, изоляцию гостевого Wi-Fi, обновления и серверные параметры безопасности — в объёме, который требуется конкретной инфраструктуре.
Проверяем резервное копирование, независимость копий от основной инфраструктуры и подключаем мониторинг критичных систем и необходимых событий.
Фиксируем внедрённые меры, структуру и рекомендации по дальнейшему повышению уровня защиты без обещаний абсолютной неуязвимости.
Заменили временные подключения на управляемую офисную сеть, разделили проводной и беспроводной трафик и устранили обрывы соединения.
Настроили единую корпоративную VPN-систему, которая автоматически направляет зарубежный трафик через защищённый сервер, а российские сервисы оставляет на прямом подключении.
Подключили два новых медицинских аппарата к действующей сети клиники, настроили защищённый обмен файлами и разграничение доступа без масштабной перестройки инфраструктуры.
Спроектировали и развернули серверную инфраструктуру для стабильной работы 1С ERP: разделили серверные роли, оптимизировали SQL, настроили терминальный доступ, резервное копирование и мониторинг.
Модернизация, после которой сеть кафе получила стабильную и отказоустойчивую IT-инфраструктуру, рассчитанную на ежедневную работу без простоев.
Переезд без остановки бизнеса: как перенести 1С из облака на собственный сервер
Стоимость аудита и базового выстраивания контура безопасности — от 50 000 ₽.
Итоговый расчёт зависит от количества компьютеров, серверов, офисов и филиалов, числа удалённых сотрудников, состояния текущей инфраструктуры, количества внешних сервисов и административных учётных записей, архитектуры сети, используемого сетевого оборудования, необходимости сегментации, MFA, EDR или другого дополнительного ПО, состояния резервного копирования, сложности удалённого доступа, количества защищаемых сервисов и необходимости дальнейшего сопровождения.
Лицензии на стороннее программное обеспечение и оборудование рассчитываются отдельно.
ЧАСТЫЕ ВОПРОСЫ
Антивирус — только один уровень защиты. Он не решает вопросы открытого RDP, скомпрометированных паролей, чрезмерных административных прав, неправильных сетевых настроек, отсутствующих резервных копий или неотключённых аккаунтов бывших сотрудников.
Да, если он действительно нужен, но схему доступа необходимо правильно защитить. В документе отдельно отмечено использование NLA и отказ от прямого доступа через интернет без дополнительных защитных механизмов.
Не обязательно абсолютно для каждого сервиса, но для удалённого и привилегированного доступа это одна из наиболее эффективных мер снижения риска компрометации аккаунта.
Да. Сначала устраняем критичные риски, затем переходим к сегментации, централизованному управлению, дополнительным средствам обнаружения и другим мерам.
Нет. Замена требуется только тогда, когда существующее оборудование неисправно, устарело или технически не позволяет реализовать нужную схему защиты.
DLP может стать частью расширенного контура безопасности, но её внедрение лучше рассматривать как отдельную услугу. Это самостоятельный проект с обследованием каналов утечки, подбором решения, лицензированием и настройкой политик.
Нет. Классический антивирус в первую очередь обнаруживает известное вредоносное ПО. EDR дополнительно собирает телеметрию с конечных устройств, помогает выявлять подозрительное поведение и расследовать инциденты. Конкретный набор функций зависит от выбранного продукта.
Не всегда. Для небольшого офиса слишком сложная архитектура может быть неоправданной. Но отделить гостевой Wi-Fi, серверы или потенциально менее доверенные устройства может быть полезно даже в относительно небольшой инфраструктуре.
Нет. Абсолютной защиты не существует. Задача проекта — снизить вероятность успешной атаки, ограничить последствия инцидента и обеспечить возможность восстановить работу.
Опишите текущую инфраструктуру, удалённые подключения и критичные системы — определим, с чего начать проверку и какие риски требуют первоочередного внимания.
