Қашықтан қол жеткізу компаниялардың күнделікті жұмысының үйреншікті бөлігіне айналды. Бухгалтер үйінен 1С жүйесіне қосылады, басшы іссапарда жүріп құжаттарды ашады, ал жүйелік әкімші кеңсеге бармай-ақ серверге қызмет көрсетеді. Мұндай міндеттер үшін RDP, VPN және қашықтан басқару бағдарламалары жиі қолданылады.
Мәселе қосылудың ыңғайлылығы қауіпсіздіктен маңыздырақ болған кезде басталады. Баптаудағы бір қате есептік жазбаның қолға түсуіне, құжаттардың сыртқа таралуына, сервер жұмысының тоқтауына немесе корпоративтік деректердің шифрланып қалуына әкелуі мүмкін.
Ұйымның IT-инфрақұрылымында тексеруге тұратын кең таралған жеті қатені қарастырайық.
RDP мен VPN өздігінен қауіп төндірмейді. Тәуекел сервистерді интернетке дұрыс жарияламағанда, есептік жазбалар әлсіз қорғалғанда және қосылымдар бақыланбағанда пайда болады. Қауіпсіздік қолданылатын бағдарламаның атауына емес, қол жеткізу жүйесінің тұтастай қалай ұйымдастырылғанына байланысты.
№ 1 қате. RDP қызметін тікелей интернетке ашу
Ең қауіпті тәсілдердің бірі — маршрутизатордағы қашықтағы жұмыс үстелінің портын кеңсе компьютері немесе серверге бағыттап, интернеттің кез келген нүктесінен қосылуға рұқсат беру.
Бұл жағдайда сервис қызметкерлерге ғана емес, ашық желілік қызметтерді автоматты түрде іздейтін құралдарға да қолжетімді болады. Қаскүнемдер құпиясөздерді іріктеуге, ұрланған есептік деректерді пайдалануға немесе бағдарламалық қамтамасыз етудегі осалдықтарды іздеуге тырысуы мүмкін.
RDP-нің стандартты порт нөмірін басқасына ауыстыру толыққанды қорғаныс бермейді: қызмет бәрібір сырттан қолжетімді болып қалады.
Не істеу керек: мүмкіндігінше RDP қызметін тікелей жарияламау. Қауіпсіз қосылуды дұрыс бапталған VPN, қашықтағы жұмыс үстелінің шлюзі немесе пайдаланушыны тексеру мен қолжетімділікті басқару мүмкіндігі бар басқа шешім арқылы ұйымдастыру.
№ 2 қате. Барлық қызметкерге ортақ есептік жазба беру
Кейде бірнеше пайдаланушыға бір логин мен құпиясөз беріледі. Бір қарағанда бұл ыңғайлы: бөлек есептік жазбалар құрып, әрқайсысының рұқсаттарын басқарудың қажеті жоқ.
Алайда мұндай жағдайда нақты қандай әрекетті кім орындағанын, қолжетімділік қашан пайдаланылғанын және белгілі бір қызметкердің кіру құқығын тоқтату қажет пе екенін анықтау қиын.
Ортақ есептік жазбада әкімшілік құқықтар да болса, қауіп тіпті артады.
Не істеу керек: әр адамға жеке есептік жазба беру, құқықтарды қызметтік міндеттерге сәйкес тағайындау және жұмыстан кеткен қызметкерлер мен мердігерлердің қолжетімділігін уақытылы тоқтату.
№ 3 қате. Көпфакторлы аутентификацияның болмауы
Күрделі құпиясөздің өзі бөтен адамның қолына түсуі мүмкін. Оны фишингтік хат арқылы алдап сұрап алуы, вирус жұққан құрылғыдан ұрлауы немесе басқа сервистегі деректердің таралуы нәтижесінде алуы ықтимал.
Көпфакторлы аутентификация (MFA) пайдаланушының жеке басын қосымша тексеруге мүмкіндік береді. Ол бір құпиясөз ұрланған жағдайда рұқсатсыз кіру қаупін едәуір азайтады.
Не істеу керек: MFA-ны кіру нүктесіне, мысалы VPN жүйесіне, қашықтан қол жеткізу шлюзіне немесе қосымша тексеру факторын қолдайтын сәйкестендіру жүйесіне енгізу. Мүмкіндік болса, фишингке төзімді әдістерді таңдаған жөн.
VPN болуының өзі қауіпсіздікке кепілдік бермейді. Қаскүнем VPN пайдаланушысының есептік деректерін қолға түсірсе, нашар қорғалған қосылым ішкі желіге кіру жолына айналуы мүмкін. Сондықтан қосымша бақылау тетіктері қажет.
№ 4 қате. Пайдаланушыларға шамадан тыс құқық беру
Бухгалтерлік бағдарламамен жұмыс істейтін адамға әдетте серверге толық әкімшілік қолжетімділік қажет емес. Алайда іс жүзінде бағдарламалардағы мәселелерді тез шешу үшін мұндай құқықтар кейде беріліп жатады.
Бұл қызметкердің қателігі немесе оның есептік жазбасының бұзылуы салдарынан туындайтын зардапты күшейтеді. Қаскүнем жүйелік баптауларды өзгертуге, бағдарламалар орнатуға немесе пайдаланушының міндетіне қатысы жоқ деректерге қол жеткізуге мүмкіндік алуы мүмкін.
Не істеу керек: ең аз қажетті артықшылықтар қағидатын қолдану. Күнделікті жұмысқа арналған және әкімшілік есептік жазбаларды бөлу, артықшылықты топтар құрамын және файлдық ресурстарға берілген құқықтарды тексеру.
№ 5 қате. Желіні сегменттерге бөлмеу
Қорғалған қосылымның өзі пайдаланушыға бүкіл корпоративтік инфрақұрылымға автоматты түрде жол ашпауы керек.
Мысалы, белгілі бір жүйемен жұмыс істейтін қызметкерге басқа серверлерді, желілік жабдықтарды, бейнебақылау камераларын және әкімшілік интерфейстерді көру міндетті емес.
Не істеу керек: желілік маршруттарды және желіаралық экран ережелерін шектеу. Әр рөлге тек жұмысқа қажетті ресурстар мен порттарға қолжетімділік беру.
№ 6 қате. Жаңартуларды белгісіз мерзімге кейінге қалдыру
Ұйым серверлерінде көбіне аса маңызды бағдарламалар жұмыс істейді: 1С, SQL Server, файлдық қызметтер және мамандандырылған қосымшалар. Олардың жұмысы бұзылып кетеді деген қауіппен операциялық жүйе жаңартулары бірнеше айға шегерілуі мүмкін.
Алайда қауіпсіздік түзетулерін ұзақ уақыт орнатпау қосымша тәуекел тудырады.
Не істеу керек: бағдарламалардың үйлесімділігін, резервтік көшірмелерді, келісілген қызмет көрсету уақытын және жүйені қалпына келтіру мүмкіндігін ескеретін жаңарту тәртібін әзірлеу.
Жаңартулар басқарылатын үдеріс болуы тиіс: бүкіл ұйымның жұмысы тәуелді өндірістік серверге алдын ала тексермей өзгерістер орнатуға болмайды.
№ 7 қате. Қосылымдар мен қауіпсіздік оқиғаларын ешкім тексермейді
Жүйелік журналдар қаралмаса, күмәнді әрекеттер ұзақ уақыт байқалмай қалуы мүмкін.
Әдеттен тыс кіру әрекеттері, қалыптан тыс уақытта қосылу, аутентификация қателерінің көбеюі және қолжетімділік құқықтарының күтпеген өзгеруі назар аударуды қажет етеді.
Не істеу керек: қажетті журналдарды қосу, олардың сақталуын қамтамасыз ету және тұрақты тексеру тәртібін белгілеу. Маңызды жүйелерде күмәнді оқиғалар туралы хабарламаларды баптаған жөн.
Қашықтан жұмыстың қауіпсіз схемасын қалай ұйымдастыруға болады
Тәжірибедегі шешім қызметкерлер санына, серверлердің орналасуына, бағдарламалар талаптарына және қолданыстағы желінің мүмкіндіктеріне байланысты.
Шағын компанияда бұл нақты серверге ғана шектеулі қолжетімділік беретін қорғалған VPN-қосылымы болуы мүмкін. Пайдаланушылары көп инфрақұрылымда орталықтандырылған шлюз, жеке қолжетімділік саясаттары және қосымша мониторинг құралдары қажет болуы ықтимал.
Баптаулар мен қалпына келтіру тәртібін құжаттау да өте маңызды. Егер серверге кіру жалғыз есептік жазбаға немесе құрылғыға тәуелді болса, сол элементтің істен шығуы жұмысты тоқтатуы мүмкін.
Қашықтан қол жеткізу қауіпсіздігін тексеру тізімі
Төменде негізгі тексерулер келтірілген. Бұл тізім нақты инфрақұрылымды толық техникалық бағалаудың орнын баспайды, бірақ айқын мәселелерді анықтауға көмектеседі.
Жиі қойылатын сұрақтар
Қорғалған қашықтан қол жеткізу туралы сұрақтар
Қашықтан жұмысты ұйымдастырғанда жиі туындайтын сұрақтарға қысқаша жауап береміз.
RDP портын 3389-дан басқа нөмірге ауыстыру жеткілікті ме?
Жоқ. Стандарттан тыс порт кездейсоқ автоматтандырылған қосылу әрекеттерін азайтуы мүмкін, бірақ қорғалған қосылым схемасын, қолжетімділікті бақылауды және көпфакторлы аутентификацияны алмастырмайды.
RDP арқылы 1С жүйесіне қауіпсіз қосылуға бола ма?
Иә. Ол үшін қолжетімділікті дұрыс ұйымдастырып, пайдаланушылардың құқықтарын ажыратып, кіру нүктесін қорғау қажет. Нақты архитектура ұйымның инфрақұрылымына және 1С жүйесінің орналасуына байланысты.
VPN қорғау үшін міндетті түрде қымбат шешімдер сатып алу керек пе?
Әрдайым емес. Шағын кеңсеге қолданыстағы жабдыққа негізделген шешім жарауы мүмкін. Жаңартулардың қолдауы, сенімді аутентификация, дұрыс баптау және қолжетімді ресурстарды бақылау маңыздырақ.
WEB-LABS ұйымдарға қалай көмектеседі
WEB-LABS серверлерді, жұмыс орындарын және корпоративтік желілерді баптап, сүйемелдеумен айналысады. Келісілген жұмыстар аясында біз қашықтан қол жеткізуді ұйымдастыруға, пайдаланушылар құқықтарын бөлуге және инфрақұрылымның тұрақты жұмысын қамтамасыз етуге көмектесеміз.
IT-инфрақұрылымға қызмет көрсетуді ұйымдастыру туралы «IT-аутсорсинг: қызмет көрсету шартында не болуы керек» мақаласында толығырақ жаздық.
Техникалық мамандар үшін ақпараттық қауіпсіздік пен инциденттерге әрекет ету мәселелері қарастырылатын IT-PRO бағдарламасы да бар.
Компанияңыздың қызметкерлері 1С жүйесіне, қашықтағы жұмыс үстелдеріне және корпоративтік ресурстарға қосылатын болса, WEB-LABS компаниясына хабарласыңыз. Қолданыстағы инфрақұрылымды, ықтимал тәуекелдерді және қажетті техникалық жұмыстарды талқылаймыз.
Киберқауіпсіздік дұрыс әрекеттен басталады.
WEB-LABS қызметкерлерге жұмыс орнындағы киберқауіпсіздік негіздерін үйретеді: электрондық поштамен, құпиясөздермен, файлдармен, интернет-ресурстармен және корпоративтік жүйелермен қауіпсіз жұмыс істеу ережелерін түсіндіреді.
Оқу материалдарын меңгергеннен кейін қызметкерлер қорытынды тестілеуден өтеді. Тестті сәтті тапсырғандарға WEB-LABS-тың жеке сертификаты беріледі.