Выйти из системы

Сменить пользователя

Кибербезопасность: инструкции и практики

CIS (Center for Internet Security) — Центр интернет-безопасности, некоммерческая организация, которая разрабатывает и выпускает рекомендации по ИБ.

В прошлом материале мы рассмотрели первые шесть критических элементов управления безопасностью (CIS.1 – CIS.6):

  • CIS.1 – Инвентаризация и управление активами
  • CIS.2 – Управление ПО
  • CIS.3 – Защита данных
  • CIS.4 – Управление конфигурациями
  • CIS.5 – Управление учетными записями и доступом
  • CIS.6 — контроль использования административных привилегий

Сегодня рассмотрим шесть критических элементов:

  • CIS.7 – Управление уязвимостями
  • CIS.8 – Управление журналами событий
  • CIS.9 – Обеспечение безопасности электронной почты и браузера
  • CIS.10 – Защита от вредоносного ПО
  • CIS.11 – Восстановление данных
  • CIS.12-13 – Управление и обеспечение безопасности сетевой инфраструктуры

CIS.7 – Управление уязвимостями

Уязвимости — слабые места в ПО, ОС и оборудовании, которые злоумышленники могут использовать для атак. Вот как это предотвратить.

Шаг 1. Создаем программу управления уязвимостями

Здесь определяем объём программы, где указываем, на что обращаем внимание. Например, серверы, рабочие станции, сетевые устройства, облачные ресурсы.

Назначаем ответственных за выявление и устанавливаем регламент выполнения сканирований, приоритеты и сроки устранения уязвимостей.

Шаг 2. Выбираем и настраиваем инструменты сканирования

Например, Nessus, Qualys, OpenVAS, Tenable.io или аналогичные решения, которые могут сканировать инфраструктуру на предмет известных уязвимостей.

Настраиваем автоматическое сканирование раз в неделю для рабочих станций и раз в месяц — для серверов.

Шаг 3. Находим, классифицируем, устраняем

После выполнения сканирования:

  1. Классифицируем уязвимости и определяем приоритеты устранения. Например, по CVSS (Common Vulnerability Scoring System).
    • Пример классификации:
      • Высокий риск: уязвимости, которые могут быть немедленно эксплуатированы и влияют на критические системы.
      • Средний риск: уязвимости, которые сложнее эксплуатировать или влияют на менее важные системы.
      • Низкий риск: уязвимости, которые имеют незначительное влияние.
  2. Устраняем уязвимости — устанавливаем патчи и обновления от разработчика. Перед установкой на критические системы, тестируем патчи в изолированной среде. Если патч недоступен, снижаем риски — ограничиваем доступ, настраиваем межсетевые экраны или отключаем уязвимые функции.

Шаг 4. Постоянный мониторинг

Подписываемся на уведомления от CVE, NIST и производителей используемого ПО. Создаём отчёты после каждого сканирования. Они должны включать выявленные уязвимости, их классификацию, текущий статус устранения и ответственных лиц.

CIS.8 – Управление журналами событий

В логах всё — входы пользователей, действия привилегированных учетных записей, сетевая активность.

Поэтому ключевая цель здесь — корректно собирать, управлять и анализировать журналы событий, чтобы вовремя находить аномалии.

Шаг 1. Определяем источники логов

Для начала нужно понять, какие источники логов будем мониторить. Идентифицируем ключевые:

  • Серверы
  • Сетевые устройства
  • Рабочие станции
  • Приложения
  • Облачные сервисы

И категоризируем события по важности:

  • Критические: входы в систему, неудачные попытки аутентификации, изменения конфигурации.
  • Важные: создание новых учетных записей, модификации данных.
  • Информационные: успешные подключения, стандартные операции.

Шаг 2. Настраиваем сбор и хранение

После того, как убедились, что все ключевые компоненты инфраструктуры включены в процесс логирования, настраиваем сбор. Для начала создаём политику логирования, в которой фиксируем, какие события должны фиксироваться, где будут храниться логи и как долго.

  1. Активируем журналирование в ОС, приложениях и сетевых устройствах. Убеждаемся, что уровень логирования соответствует требованиям. Например, включены записи о критических и важных событиях.
  2. Настраиваем отправку логов в централизованное хранилище, например, SIEM-систему.
  3. Шифруем передаваемые логи. Используем безопасные протоколы.
  4. Исключаем лишние или повторяющиеся записи, чтобы не копить лишние данные.

При хранении учитываем несколько аспектов:

  1. Обеспечиваем защиту логов:
    • Храним журналы событий в зашифрованных хранилищах.
    • Ограничиваем доступ к логам.
  2. Настраиваем резервное копирование.

Шаг 3. Анализ и мониторинг логов

Мониторинг логов позволяет выявлять подозрительные действия и реагировать на них в реальном времени.

  1. Настраиваем автоматический анализ событий
  2. Создаём профили типичного поведения для пользователей и систем, чтобы проще было выявлять отклонения.
  3. Настраиваем оповещения.
  4. Раз в неделю просматриваем события в журналах, чтобы выявить скрытые угрозы.

Важно: здесь нужно проследить за выполнением требований регуляторов. Средства для шифрования при обработке и защите информации — это криптография, её контролирует ФСБ. Подробнее об этом рассказывали здесь.

CIS.9 – Обеспечение безопасности электронной почты и веба

Это два основных канала, по которым атакующие распространяют вредоносное ПО, инициируют фишинговые атаки и похищают данные. Большая часть успешных кибератак начинается с простого фишингового письма или перехода на вредоносный веб-сайт. Поговорим о том, как этого не допустить.

Шаг 1. Защищаем электронную почту

  1. Используем защищённые почтовые шлюзы, фильтруем входящие и исходящие сообщения.
  2. Реализуем протоколы:
    • DMARC (Domain-based Message Authentication, Reporting, and Conformance) предотвращает спуфинг электронной почты.
    • SPF (Sender Policy Framework) проверяет, разрешено ли отправлять письма от имени вашего домена с указанного сервера.
    • DKIM (DomainKeys Identified Mail) подтверждает подлинность отправителя, подписывая сообщения цифровым ключом.
  3. Блокируем потенциально опасные файлы, например, .exe, .js, .vbs. Проверяем URL на наличие фишинговых или вредоносных сайтов с помощью систем анализа ссылок.
  4. Используем песочницы (sandboxing) и проверяем подозрительные вложения в изолированной среде.
  5. Настраиваем политики защиты от фишинга.
  6. Обучаем сотрудников работе с электронной почтой.

Шаг 2. Защищаем веб

  1. Используем защищённые веб-шлюзы (Secure Web Gateway, SWG). Контролируем доступ к веб-ресурсам, блокируем вредоносные сайты, фильтруем контент.
  2. Реализуем DNS-фильтрацию. Перенаправляем запросы к подозрительным доменам через защищённые DNS-сервисы.
  3. Контролируем HTTPS-трафик. Включаем расшифровку HTTPS-трафика на шлюзах для проверки содержимого и предотвращения обхода фильтров.
  4. Используем прокси-серверы.
  5. Используем WAF для защиты, в том числе, от DDoS-атак на уровне приложения.

И, разумеется, мониторинг. Системы почтовой и веб-защиты должны отправлять логи для анализа.

CIS.10 – Защита от вредоносного ПО

Цель этого этапа — предотвращение, обнаружение и нейтрализация угроз, связанных с вредоносным программным обеспечением (malware) — вирусы, трояны, руткиты, шпионские программы и т. д. К концу 2024 года использование вредоносного ПО остается одним из основных методов в атаках. 

Средства защиты информации (СЗИ) должны находиться в реестре отечественного ПО и иметь сертификат ФСТЭК. При выборе СЗИ нужно ориентироваться на требования регуляторов. О том, как подобрать нужный тип и класс сертифицированных СЗИ для информационной системы ПДн рассказывали здесь. Обзор на российский Kaspersky Endpoint Security публиковали здесь.

После того, как выбрали СЗИ:

  1. Разворачиваем защитное ПО на всех устройствах.
  2. Настраиваем режим защиты в реальном времени (real-time protection), чтобы анализировать файлы при их открытии, загрузке или изменении.
  3. Настраиваем автоматическое обновление баз данных угроз и ПО.

Затем подключаем сюда CIS.7 — настраиваем мониторинг, сбор логов и автоматическое оповещение о выявлении вредоносного ПО.

Люди остаются наиболее уязвимым звеном в защите от вредоносного ПО, поэтому их обучение имеет критическое значение. Обязательно проводим инструктажи, объясняем, как работает и распространяется вредоносное ПО, а также что делать для защиты.

CIS.11 – Восстановление данных

Потеря данных может нанести серьёзный финансовый, юридический и репутационный ущерб. Надёжный процесс восстановления данных гарантирует, что организация сможет быстро вернуться к нормальной работе даже в случае серьёзного инцидента.

Шаг 1. Создаем стратегию резервного копирования

Для этого:

  • Определяем, какие данные и системы имеют первостепенное значение для бизнеса, например, базы данных клиентов, финансовые документы, конфигурации систем.
  • Для каждого типа данных устанавливаем частоту создания резервных копий (ежедневно, еженедельно или в реальном времени).
  • Определяем типы резервного копирования — полное, инкрементальное.
  • Выбираем целевое хранилище резервных копий: локальное (NAS/SAN), облачное или изолированные среды (off-site или cold storage).
  • Реализовываем правило «3-2-1». Очень подробно о нем писали здесь.

Шаг 2. Настраиваем и автоматизируем резервное копирование

Чтобы настроить и автоматизировать процесс, используем специализированное ПО. Не забываем:

  • Создать расписание на периоды низкой нагрузки — например, ночью или в выходные.
  • Настроить уведомления о статусе выполнения задач.
  • Шифровать резервные копии.

Шаг 3. План восстановления и его тестирование

Процесс восстановления данных должен быть понятным и быстро осуществляемым.

  1. Создаем пошаговый план восстановления для разных сценариев — сбои сервера, удаление файлов, кибератаки.
  2. Назначаем ответственных.
  3. План должен быть задокументирован и доступен даже в случае потери доступа к основной инфраструктуре.
  4. Регулярно проверяем резервные копии и тестируем план восстановления.

CIS.12-13 – Управление и обеспечение безопасности сетевой инфраструктуры

Цель на этом этапе: защитить сеть от несанкционированного доступа и создать условия для безопасного обмена информацией внутри и за пределами организации.

Шаг 1. Сегментируем сеть

  1. Выделяем сегменты для рабочих станций, серверов, систем разработки, IoT-устройств и других элементов. Создаём изолированные зоны для критически важных систем — баз данных, систем управления бизнес-процессами и т.д.
  2. Настраиваем межсетевые экраны (firewalls) для контроля трафика между сегментами. Убеждаемся, что трафик между зонами разрешён только для необходимых протоколов и портов.
  3. Используем VLAN для логической сегментации. Делим устройства внутри одной физической сети на виртуальные сегменты, чтобы ограничить нежелательное взаимодействие.

При этом сетевые устройства (маршрутизаторы, коммутаторы, точки доступа) должны быть защищены от компрометации. Для этого:

  1. Устанавливаем уникальные сложные пароли для всех сетевых устройств. Отключаем неиспользуемые интерфейсы и сервисы (например, Telnet).
  2. Для управления устройствами используем SSH, HTTPS, SNMPv3.
  3. Регулярно проверяем наличие обновлений прошивок и оперативно применяем их.
  4. Логируем действия на устройствах.

Шаг 2. Настраиваем межсетевые экраны (firewalls)

  1. Создаём правила фильтрации и разрешаем только необходимый трафик — определённые IP-адреса, порты и протоколы.
  2. Определяем зоны с разным уровнем доверия, например, внешняя сеть, DMZ, внутренняя сеть.
  3. Используем firewall уровня приложений (WAF) для защиты веб-приложений от атак.
  4. И снова — мониторим события! Обязательно собираем логи межсетевых экранов.

Шаг 3. Используем системы обнаружения и предотвращения вторжений — IDS/IPS

Эти системы помогают выявлять и блокировать попытки атак в режиме реального времени.

  1. Настраиваем IDS/IPS для мониторинга периметра, зон с критическими системами.
  2. Регулярно обновляем сигнатуры угроз, чтобы система могла распознавать актуальные атаки.
  3. Настраиваем автоматическую реакцию — IPS должна блокировать подозрительные подключения и уведомлять команду безопасности.

Шаг 4. Защищаем беспроводные сети

Для этого:

  1. Настраиваем беспроводные сети на использование WPA3. Если это невозможно, используем WPA2 с сильным паролем.
  2. Реализуем MAC-фильтрацию и ограничиваем количество подключений.
  3. Выделяем гостевую сеть, изолированную от основной инфраструктуры.
  4. Отключаем вещание SSID для внутренних сетей.

Шаг 5. Следим за DNS-безопасностью

  1. Используем защищённые DNS-сервисы с функциями фильтрации вредоносных доменов.
  2. Настраиваем DNSSEC для проверки подлинности записей DNS.
  3. Фильтруем подозрительные запросы, известные вредоносные или нежелательные домены.
  4. Мониторим DNS-трафик — анализируем запросы, чтобы выявлять аномальную активность, например, C&C.

Шаг 6. Контролируем доступ и аутентификацию в сети

Чтобы снизить риск несанкционированного подключения, выполняем четыре шага:

  1. Внедряем систему контроля доступа к сети (NAC). Разрешаем подключение устройств только после проверки их соответствия требованиям безопасности.
  2. Настраиваем VPN для удалённого доступа. Все подключения из внешней сети должны осуществляться через зашифрованные VPN-туннели.
  3. Внедряем требования к многофакторной аутентификации (MFA) для всех пользователей.
  4. Регулярно проверяем активные подключения.

И снова — собираем логи, настраиваем оповещения и мониторим сетевые устройства.


Когда речь идёт об инфобезе, нельзя не упомянуть особенности работы с персональными данными. В чем они заключаются, как выполнить требования закона и не нарваться на штраф — подробно и понятным языком рассказывали здесь.