Как защитить удалённый доступ к ресурсам компании

Для атаки на небольшую компанию злоумышленнику не нужны сложные инструменты. Чаще всего хватает открытого в интернет удалённого рабочего стола со слабым паролем или VPN-шлюза, который давно не обновляли. Разберём, как закрыть эти двери.

Основные угрозы

• Подбор паролей. Открытые в интернет сервисы автоматически сканируются, пароли к ним подбираются круглосуточно.
• Уязвимости в открытых сервисах. RDP, VPN-шлюзы, веб-панели маршрутизаторов и хранилищ — злоумышленники используют известные уязвимости в устаревших версиях.
• Украденные учётные данные. Фишинговые письма, утечки паролей с других сайтов, повторное использование одного пароля.
• Заражённые домашние компьютеры. Вредоносная программа на личном ноутбуке получает тот же доступ, что и сотрудник.
• Забытые доступы. Учётные записи уволенных сотрудников и бывших подрядчиков, которые продолжают работать.
• Общие учётные записи. Один логин на несколько человек — невозможно понять, кто подключался.

Меры защиты

1. Не публикуйте служебные сервисы в интернет

Удалённый рабочий стол, веб-панели управления сервером, хранилищем и маршрутизатором не должны быть доступны из интернета напрямую. Проброс порта RDP на роутере — одна из самых частых причин атак шифровальщиков.

2. Вход — только через VPN или защищённый шлюз

Из интернета должен быть виден один защищённый вход. Всё остальное — только после подключения к VPN. Подробнее — на странице VPN для бизнеса.

3. Индивидуальные учётные записи и ключи

У каждого сотрудника и подрядчика свои учётные данные. Так можно отозвать доступ одному человеку и понять, кто и когда подключался.

4. Двухфакторная аутентификация

Второй фактор — код из приложения или подтверждение на телефоне — делает украденный пароль бесполезным. Включите его для VPN, почты, облачных сервисов и панелей управления.

5. Минимальные права

Сотрудник получает доступ только к тому, что нужно для работы. Бухгалтерии нужна 1С, а не весь сервер; менеджеру — CRM и файлы отдела. Правила доступа настраиваются на межсетевом экране и в самих сервисах.

6. Своевременные обновления

VPN-шлюзы, маршрутизаторы, межсетевые экраны и серверы нужно обновлять. Уязвимости в оборудовании удалённого доступа — одна из любимых целей злоумышленников: после публикации уязвимости атаки начинаются очень быстро.

7. Защита от подбора

• блокировка после нескольких неудачных попыток входа;
• длинные уникальные пароли;
• отказ от стандартных имён учётных записей вроде admin и administrator.

8. Журналы и контроль

Храните журналы подключений и просматривайте подозрительные события: входы ночью, из неожиданных мест, многочисленные неудачные попытки.

9. Отзыв доступов

Утвердите порядок: при увольнении сотрудника или завершении работы с подрядчиком доступ отключается в тот же день — в VPN, почте, облаках и на серверах. Раз в квартал сверяйте список активных учётных записей со списком сотрудников.

10. Требования к устройствам

• рабочие ноутбуки — с шифрованием диска, обновлениями и антивирусом;
• личные компьютеры — доступ только к терминальному серверу или веб-интерфейсам, без хранения файлов компании;
• отдельная учётная запись для работы, если компьютер общий.

Самопроверка

Ответьте на вопросы:

1. Какие сервисы компании доступны из интернета напрямую, без VPN?
2. Открыт ли где-нибудь RDP?
3. Совпадает ли список учётных записей VPN со списком работающих сотрудников?
4. Включена ли двухфакторная аутентификация для VPN и почты?
5. Когда последний раз обновлялось ПО маршрутизатора и VPN-шлюза?
6. Кто просматривает журналы подключений?

Если на часть вопросов нет уверенного ответа, начните с проверки. Внешнее сканирование проводите только для собственных адресов и ресурсов компании.

Если есть подозрение на взлом

1. Отключите подозрительные учётные записи и доступ извне.
2. Смените пароли администраторов и пользователей, которые могли быть скомпрометированы.
3. Сохраните журналы — не удаляйте следы, они понадобятся для разбора.
4. Проверьте, целы ли резервные копии, и изолируйте их.
5. Не восстанавливайте систему поверх заражённой без понимания, как произошёл взлом.
6. Обратитесь к специалистам.

Как организовать удалённую работу безопасно с нуля — в статье «Как организовать удалённую работу сотрудников». Проверить инфраструктуру целиком поможет IT-аудит.