Корпоративний контур — приваблива мішень: у ньому зосереджені дані клієнтів, гроші та ключі від усього іншого. Заходять зловмисники зазвичай через банальні прогалини, які роками нікого не турбували, а не через складний злам. Розберемо, які загрози справді реалізуються і навіщо потрібне обстеження, яке показує реальний стан справ. Як влаштований захист загалом — у статті Мережева безпека: рівні захисту.
У пошуку одне й те саме питання набирають по-різному: «безпека мереж», «безпека в мережі інтернет», «безпека мережі інтернету», «безпека мережі підприємства». Ідеться про одне: як захистити корпоративний контур і те, що ним ходить.
Безпека мережі підприємства: головні загрози
1. Фішинг і соціальна інженерія. Найпоширеніший вхід: працівник відкриває лист, вводить пароль на підробленій сторінці або запускає вкладення. Технічні засоби тут майже безсилі — рятує навчання людей та звичка передзвонювати, коли прохання виглядає незвично.
2. Слабкі та повторно використані паролі. Один пароль, узятий зі старого витоку, часто відмикає одразу кілька сервісів. Закривають це менеджером паролів і двофакторною автентифікацією — украдений пароль без другого фактора нічого не дає.
3. Застаріле ПЗ та невиправлені хиби. Відомі «діри» — в ОС, CMS, комутаторах, маршрутизаторах — експлуатують масово, автоматичними сканерами, без розбору, хто ви. Регулярні оновлення й аналіз вразливостей закривають цей вектор дешевше, ніж будь-що інше.
4. Wi-Fi і пристрої, про які забули. Гостьовий бездротовий сегмент має бути відокремлений від робочого. Разом із ним у зоні ризику камери, принтери, розумні лічильники — обладнання, яке ставлять один раз і більше ніколи не чіпають.
5. Надмірні права. Коли всі мають доступ до всього, будь-який зламаний обліковий запис стає ключем від усіх дверей. Принцип мінімальних привілеїв тут коштує нуль гривень і дає більше, ніж дорогі засоби.
6. Внутрішні ризики. Помилка працівника, недбале поводження з файлами, звільнений із чинним обліковим записом. Останнє трапляється частіше, ніж здається: відкликання прав при звільненні провалюється майже всюди, де це роблять «за домовленістю», а не за процедурою.
7. Атаки на доступність. DDoS здатний паралізувати сервіси компанії, навіть якщо всередині нічого не зламано — див. захист від DDoS.
8. Незахищений віддалений доступ. Відкриті назовні порти керування й підключення без захищеного каналу — стабільно одна з головних точок входу, особливо після поспішного переходу на віддалену роботу.
Дві загрози, про які згадують останніми
Тіньові сервіси. Відділ, якому «швидко треба», заводить собі хмарне сховище, месенджер або таблицю з клієнтами — повз ІТ. Формально порушення немає, фактично корпоративні дані живуть там, де їх ніхто ані захищає, ані резервує. А коли працівник звільняється, вхід до такого сховища лишається при ньому: відкликати можна тільки те, про що знаєш.
Підрядники. Обліковий запис бухгалтерського аутсорсу, інтегратора чи сервісної компанії — це ваш доступ, лише з чужих рук. Питання, які варто поставити партнерові: чи ввімкнено там другий фактор, скільки людей користується цим записом і чи буде він відкликаний, коли договір скінчиться.
«У нас нічого цінного немає» — найдорожча помилка
Компанію атакують не тільки заради даних. Потрібні її потужності (майнінг, розсилка спаму), поштова репутація (лист від відомого відправника відкриють) та зв'язки — вхід до клієнтів і партнерів. Тому малий бізнес атакують не «випадково»: він — зручна сходинка до великого. Аргумент «ми нікому не цікаві» перевіряється просто — автоматичні сканери стукають у будь-яку адресу, щойно вона з'явилася.
Система безпеки мережі: чому набір коробок не працює
Куплений засіб починає захищати лише тоді, коли він налаштований, увімкнений у бойовому режимі й хтось читає його журнали, — а зовсім не тоді, коли оплачено рахунок. Тому робочий захист тримається на трьох речах:
- порядок закриття — спершу те, що доступне ззовні й найцінніше, а вже потім усе легке та зручне;
- власник — у кожного заходу є прізвище, а не «відділ»;
- доказ — журнал, знімок конфігурації, звіт, за яким можна показати, що захід справді працює.
Технічні складники — розмежування зон, міжмережевий екран, WAF, шифрування каналів, багатофакторна автентифікація, збір журналів — розібрано окремо; правила та засоби, які все це впорядковують, — у матеріалі Політика мережевої безпеки.
Аудит мережевої безпеки: що це показує
Аудит мережевої безпеки — це перевірка фактичного стану: що взагалі підключено, як воно налаштовано, хто має права й чи відповідає щось назовні. Типово обстеження охоплює:
- інвентаризацію обладнання та сервісів — включно з тим, чого немає в жодному переліку;
- перегляд конфігурацій — правила фільтрації, стандартні паролі, зайві служби;
- сканування хиб та застарілих версій;
- перевірку облікових записів та прав — зокрема адміністративних;
- зовнішній огляд периметра: які порти відповідають з боку інтернету.
Головна знахідка майже завжди та сама — активи, про існування яких ніхто вже й не здогадувався: тестовий сервер зі свіжою копією бази, стара точка доступу під стелею, обліковий запис звільненого адміністратора, панель керування маршрутизатором, відкрита назовні «щоб зручно було з дому».
Чим обстеження відрізняється від пентесту
Перевірка дає повноту картини: перелічує все й показує, де слабко. Пентест дає доведення: підтверджує, що конкретну хибу справді можна використати й до чого це призводить. Аудитор скаже «цей порт відкритий і версія стара», пентестер покаже, що через нього вдалося зайти. Одне без одного працює гірше: перше без другого не переконує керівництво, друге без першого лишає білі плями.
Як читати результат
Звіт із сотнями знахідок — ще не план дій. Пріоритет визначає не рейтинг критичності зі сканера, а поєднання трьох речей: чи доступний вузол ззовні, наскільки цінний актив за ним та скільки коштує усунення. Далі — звичайна робота: перелік завдань, власник, термін, повторна перевірка.
Періодичність теж не «раз на рік перед перевіркою». Обстеження має сенс після кожної суттєвої зміни: новий сервіс, новий офіс, нова інтеграція з партнером, масовий перехід на віддалену роботу. Керований підхід до цього описано у матеріалах про СУІБ та gap-аналіз, а порядок дій під час інциденту — у ISO/IEC 27035.
Три помилки після обстеження
- Звіт лягає до шухляди. Найчастіший фінал: документ прочитали, погодилися, нічого не зробили. Ознака — наступне обстеження дає той самий перелік.
- Закривають легке, а не важливе. Виправити двадцять дрібниць приємніше, ніж узгодити вікно для оновлення критичного сервера. Ризик від цього лишається майже тим самим.
- Усувають знахідку, а причину лишають. Стандартний пароль змінили на одному пристрої, хоча він стоїть ще на двадцяти: причина крилася не у пристрої, а у порядку, за яким обладнання вводять до експлуатації.