Green Light

ИБ-риски Центральной Азии: как их избежать

Продолжаем беседу с Байсалом Шералиевым, Senior Security Engineer в Green Light.

1️⃣ Где у заказчиков чаще всего встречаются пробелы в защите?

Они есть во многих областях, но по нашей практике их можно ранжировать по частоте и тяжести последствий.

➡️ Доступы. Здесь проблемы возникают почти всегда. Отсутствие многофакторной аутентификации, учетные записи уволившихся, избыточные права, общие административные пароли и проч. Это самая результативная область для атакующего и при этом одна из самых дешевых в исправлении.

➡️ Сеть. Например, плоская топология без сегментации, когда пользовательский сегмент, IoT-устройства и серверы находятся в одной подсети. Бывают также открытые наружу сервисы управления (RDP, SSH, веб-консоли) и слабый контроль того, что подключено к сети.

➡️ Резервное копирование. Это критический пробел именно в контексте вымогателей. Бэкапы часто есть, но: они не изолированы от основной сети и не проверяется их восстановимость, нет принципа неизменяемых офлайн-копий, не определены RPO/RTO.

➡️ Подрядчики и цепочка поставки. Встречаются постоянные VPN-туннели подрядчиков, удаленный доступ обслуживающих организаций без должного контроля и логирования, доверенные подключения, про которые в компании уже забыли.

➡️ Данные. В компаниях слабое понимание, где лежат критичные данные и кто к ним имеет доступ. Отсутствует классификация, шифрование и контроль утечек (DLP). Часто персональные и коммерческие данные хранятся вперемешку без какого-либо разграничения.

2️⃣ Как должен выглядеть реалистичный план снижения рисков на 3–6 месяцев?

Здесь важна приоритизация по соотношению «снижение риска/затраты и усилия». Мы обычно раскладываем все на этапы.

Старт (недели 1–4). Собираем актуальную карту активов — что есть в сети, какие сервисы смотрят наружу. Также проводим внешнее сканирование периметра, базовый аудит учетных записей и прав, проверяем состояние резервных копий.

Цель этапа — получить перечень конкретных рисков, ранжированных по критичности.

Быстрые победы (месяцы 1–2). Принимаем меры с высоким эффектом и низкой стоимостью. Например, включаем MFA для всех удаленных и привилегированных доступов, отзываем лишние права и учетки уволившихся, делаем изолированную копию критичных бэкапов и так далее.

Базовые процессы (месяцы 2–4). Переходим от разовых действий к управляемости. Внедряем регулярный процесс управления уязвимостями и патчами, базовую сегментацию сети, централизованный сбор и хранение логов и др. Параллельно описываются регламенты.

Зрелость и мониторинг (месяцы 4–6). Налаживается мониторинг событий безопасности (собственный SOC или сервисная модель — для ЦА часто реалистичнее второе), повышается осведомленность сотрудников (обучение, тренировочный фишинг), формируется и проверяется план реагирования.

В завершение цикла полезен контрольный пентест, чтобы измерить прогресс относительно стартовой точки.

#ИБ