Қырғызстандағы бизнестің АҚ-тәуекелдері: компаниялар қай жерде ең осал

Компаниялар көбінесе қандай ақпараттық қауіпсіздік мәселелеріне тап болады?

Біріншіден, бұл мұраға қалған инфрақұрылым. Көптеген компанияларда IT өзегі 7–10 жыл бұрын салынған және содан бері тек қондырмалармен өсіп келеді. Жаңартылмаған ескі ОЖ мен қолданбалы БҚ нұсқалары, вендор жамауларысыз жабдық — осының бәрі үлкен шабуыл бетін жасайды.

Екіншіден, процестердің кемелдігі төмен. Көбінесе регламенттер жоқ: кіру құқықтарын кім және қалай басқарады, оқыс оқиғаға қалай жауап беру керек, жаңартуларға кім жауапты. Қауіпсіздік екі-үш білікті адамға және олардың жеке жадына сүйенеді.

Ақырында, кадр тапшылығы. Өңірде АҚ мамандары аз, оларды ұстап тұру қымбат, сондықтан функциялар жиі жалпы IT-пен біріктіріледі. Бұл мониторинг пен ден қою не мүлде жоқ, не қолы тигенде жүргізіледі дегенді білдіреді.

Компаниялар өз қорғалғандығын жиі асыра бағалай ма?

Иә, сезілетін және нақты қорғалғандық арасындағы алшақтық — біз тіркейтін ең жиі кездесетін нәрселердің бірі. Басты себеп — ұғымдардың ауыстырылуы. Құралдың болуы оның дұрыс бапталғанын және пайдаланылып жатқанын білдірмейді. Біз үнемі әдепкі саясаттармен жұмыс істейтін немесе лицензиясы әлдеқашан біткен қымбат қорғаныс құралдарын көреміз.

Көбінесе ұрыс сынағы жоқ. Егер компанияда ешқашан пентест өткізілмесе, нақты оқыс оқиға болмаса және сыртқы аудит жоқ болса, қорғаныс күйі туралы жалғыз кері байланыс — «бізді әзірге бұзған жоқ қой». Бұл — жалған қауіпсіздік сезімі: белгілі оқиғалардың болмауы көбінесе қорғалғандықты емес, анықтау құралдарының жоқтығын білдіреді.

Көпшілік сыртқы периметрге назар аударып, ішкі қауіпсіздікті елемейді. Бизнес сыртқы бұзушыдан қорғауға сенімді бола алады, бірақ ішінде желі жазық, артықшылықты кірулер жомарттықпен таратылған және бұзылған кез келген жұмыс станциясы кез келген жерге дерлік жол ашады.

Соқыр аймақтар да жиі кездеседі: ұмытылған сервистер, мердігерлердің қосылымдары, IT-бөлімді айналып өтіп жасалған бұлттық ресурстар. Компания қорғалғандықты өзі білетін нәрсеге сүйеніп бағалайды, ал нақты шабуыл беті кеңірек болуы мүмкін.

Қорғаныстағы олқылықтар көбінесе қай жерде кездеседі?

Олар көп салада бар, бірақ біздің тәжірибемізде оларды кездесу жиілігі мен салдарының ауырлығы бойынша реттеуге болады.

1. Кіру құқықтары. Бұл жерде мәселелер әрдайым дерлік туындайды. Көп факторлы аутентификацияның болмауы, жұмыстан шыққандардың есептік жазбалары, артық құқықтар, ортақ әкімшілік парольдер және т.б. Бұл шабуылдаушы үшін ең нәтижелі сала әрі сонымен бірге түзетуге ең арзандарының бірі.

2. Желі. Мысалы, сегменттеусіз жазық топология, мұнда пайдаланушы сегменті, IoT-құрылғылар және серверлер бір ішкі желіде тұрады. Сыртқа ашық басқару сервистері (RDP, SSH, веб-консольдер) және желіге не қосылғанын әлсіз бақылау да кездеседі.

3. Сақтық көшірме. Бұл дәл шифрлаушы зиянкестер контексінде сыни олқылық. Сақтық көшірмелер жиі бар, бірақ: олар негізгі желіден оқшауланбаған және қалпына келтірілуі тексерілмейді, өзгермейтін офлайн-көшірмелер қағидаты жоқ, RPO/RTO анықталмаған.

4. Мердігерлер және жеткізу тізбегі. Мердігерлердің тұрақты VPN-туннельдері, қызмет көрсетуші ұйымдардың тиісті бақылаусыз және журналсыз қашықтан кіруі, компанияда әлдеқашан ұмытылған сенімді қосылымдар кездеседі.

5. Деректер. Компанияларда сыни деректердің қайда жатқаны және оларға кімнің қолы жететіні туралы түсінік әлсіз. Жіктеу, шифрлау және ағып кетуді бақылау (DLP) жоқ. Жиі жеке және коммерциялық деректер ешқандай шектеусіз араласып сақталады.

3–6 айға арналған нақты тәуекелді азайту жоспары қандай болуы керек?

Мұнда «тәуекелдің азаюы / шығын мен күш» арақатынасы бойынша басымдық қою маңызды. Біз әдетте бәрін кезеңдерге бөлеміз:

1. Бастау (1–4-апталар). Активтердің өзекті картасын жинаймыз — желіде не бар, қай сервистер сыртқа қарайды. Сондай-ақ периметрді сырттан сканерлеуді, есептік жазбалар мен құқықтардың базалық аудитін жүргіземіз, сақтық көшірмелердің күйін тексереміз.

Кезеңнің мақсаты — сыншылдығы бойынша реттелген нақты тәуекелдер тізбесін алу.

2. Жылдам жеңістер (1–2-айлар). Жоғары әсерлі және арзан шараларды қолданамыз. Мысалы, барлық қашықтағы және артықшылықты кірулер үшін MFA қосамыз, артық құқықтар мен жұмыстан шыққандардың есептік жазбаларын қайтарып аламыз, сыни сақтық көшірмелердің оқшауланған көшірмесін жасаймыз және т.б.

3. Базалық процестер (2–4-айлар). Бір реттік әрекеттерден басқарылымдылыққа көшеміз. Осалдықтар мен жамауларды басқарудың тұрақты процесін, желінің базалық сегменттелуін, логтарды орталықтандырып жинау мен сақтауды және басқаларды енгіземіз. Қатар регламенттер сипатталады.

4. Кемелдік және мониторинг (4–6-айлар). Қауіпсіздік оқиғаларының мониторингі жолға қойылады (өз SOC немесе қызмет моделі — Орталық Азия үшін көбінесе екіншісі нақтырақ), қызметкерлердің хабардарлығы артады (оқыту, жаттығу фишингі), ден қою жоспары қалыптасады және тексеріледі.

Циклді аяқтауда бастапқы нүктеге қатысты прогресті өлшеу үшін бақылау пентесті пайдалы.

Егер сіз өз бизнесіңіздің ақпараттық қауіпсіздігін күшейткіңіз және әлемдік вендорлардың қолжетімді мүмкіндіктері туралы көбірек білгіңіз келсе — өтінім қалдырыңыз және Green Light сарапшыларынан кеңес алыңыз.