Удалённый доступ давно стал обычной частью работы компании. Бухгалтер подключается к 1С из дома, руководитель открывает документы в командировке, системный администратор обслуживает сервер без поездки в офис. Для таких задач часто используют RDP, VPN и программы удалённого управления.
Проблемы начинаются тогда, когда удобство подключения становится важнее безопасности. Одна ошибка в настройках может привести к захвату учётной записи, утечке документов, остановке работы сервера или шифрованию корпоративных данных.
Разберём семь типичных ошибок, которые стоит проверить в инфраструктуре организации.
RDP и VPN сами по себе не являются проблемой. Риск возникает при неправильной публикации сервисов в интернете, слабой защите учётных записей и отсутствии контроля подключений. Безопасность зависит от всей схемы доступа, а не от названия используемой программы.
Ошибка № 1. Открытый RDP непосредственно в интернет
Один из самых рискованных вариантов — перенаправить порт удалённого рабочего стола с маршрутизатора на офисный компьютер или сервер и разрешить подключения из любой точки интернета.
В таком случае сервис становится доступен не только сотрудникам, но и автоматизированным средствам поиска открытых сетевых служб. Злоумышленники могут пытаться подобрать пароли, использовать похищенные учётные данные или искать уязвимости в программном обеспечении.
Изменение стандартного порта RDP на другой номер не обеспечивает полноценную защиту: сам сервис остаётся доступным извне.
Что делать: по возможности не публиковать RDP напрямую. Организовать защищённый вход через корректно настроенный VPN, шлюз удалённых рабочих столов или другое решение с контролем идентификации и доступа.
Ошибка № 2. Одна учётная запись для всех сотрудников
Иногда нескольким пользователям предоставляют общий логин и пароль. На первый взгляд это удобно: не нужно создавать отдельные аккаунты и управлять их разрешениями.
Но при таком подходе сложно установить, кто именно выполнил действие, когда был использован доступ и нужно ли отключать конкретного сотрудника.
Особенно опасно, когда общая учётная запись одновременно обладает административными правами.
Что делать: использовать индивидуальные учётные записи, назначать разрешения по рабочим обязанностям и своевременно отключать доступ уволенным сотрудникам и подрядчикам.
Ошибка № 3. Отсутствие многофакторной аутентификации
Даже сложный пароль может оказаться скомпрометированным. Его могут выманить через фишинговое письмо, украсть с заражённого устройства или получить после утечки стороннего сервиса.
Многофакторная аутентификация (MFA) добавляет дополнительную проверку личности. Она существенно снижает риск несанкционированного входа при компрометации одного пароля.
Что делать: внедрить MFA в точке входа — например, в VPN, шлюзе удалённого доступа или системе идентификации, поддерживающей дополнительный фактор. Предпочтительны методы, устойчивые к фишингу, когда они доступны.
Само наличие VPN ещё не гарантирует безопасность. Если злоумышленник получит учётные данные VPN-пользователя, плохо защищённое подключение может стать входом во внутреннюю сеть. Необходимы дополнительные механизмы контроля.
Ошибка № 4. Чрезмерные права пользователей
Пользователю, который работает с бухгалтерской программой, обычно не требуется полный административный доступ к серверу. Однако на практике такие права иногда выдают ради быстрого устранения проблем с программами.
Это увеличивает последствия ошибки сотрудника или захвата его учётной записи. Злоумышленник может получить возможность изменять системные настройки, устанавливать программы или обращаться к данным, не связанным с задачами пользователя.
Что делать: применять принцип минимально необходимых привилегий. Разделять обычные рабочие и административные аккаунты, проверять членство в привилегированных группах и права на файловые ресурсы.
Ошибка № 5. Отсутствие сегментации сети
Даже защищённое подключение не должно автоматически открывать пользователю доступ ко всей корпоративной инфраструктуре.
Например, сотруднику, который работает с определённой системой, не обязательно видеть другие серверы, сетевое оборудование, камеры видеонаблюдения и административные интерфейсы.
Что делать: ограничивать сетевые маршруты и правила межсетевого экрана. Предоставлять доступ только к тем ресурсам и портам, которые требуются для конкретной роли.
Ошибка № 6. Обновления откладываются на неопределённый срок
На серверах организаций часто работают критически важные программы: 1С, SQL Server, файловые службы и специализированные приложения. Из-за опасений нарушить их работу обновления операционной системы могут откладываться месяцами.
Но длительное отсутствие исправлений безопасности создаёт дополнительные риски.
Что делать: разработать порядок обновлений с учётом совместимости приложений, резервных копий, согласованного окна обслуживания и возможности восстановления.
Обновления должны быть управляемыми: не стоит без предварительной проверки устанавливать изменения на производственный сервер, от которого зависит работа всей организации.
Ошибка № 7. Никто не проверяет подключения и события безопасности
Если системные журналы не просматриваются, подозрительные действия могут долго оставаться незамеченными.
Необычные попытки входа, подключения в нехарактерное время, массовые ошибки аутентификации и внезапные изменения прав доступа требуют внимания.
Что делать: включить необходимые журналы, обеспечить их сохранность и определить порядок регулярной проверки. Для критичных систем желательно настроить уведомления о подозрительных событиях.
Как организовать безопасную схему удалённой работы
Практическое решение зависит от количества сотрудников, расположения серверов, требований к программам и возможностей существующей сети.
В небольшой компании это может быть защищённое VPN-подключение с ограниченным доступом к конкретному серверу. В инфраструктуре с большим количеством пользователей может потребоваться централизованный шлюз, отдельные политики доступа и дополнительные средства мониторинга.
При этом особенно важно документировать настройки и порядок восстановления. Если доступ к серверу зависит от единственной учётной записи или устройства, отказ такого элемента способен остановить работу.
Чек-лист безопасности удалённого доступа
Ниже перечислены основные проверки. Этот список не заменяет полноценную техническую оценку конкретной инфраструктуры, но поможет обнаружить очевидные проблемы.
Частые вопросы
Вопросы о защищённом удалённом доступе
Кратко отвечаем на вопросы, которые возникают при организации удалённой работы.
Достаточно ли изменить порт RDP с 3389 на другой?
Нет. Нестандартный порт может уменьшить количество случайных автоматических обращений, но не заменяет защищённую схему подключения, контроль доступа и многофакторную аутентификацию.
Можно ли безопасно подключаться к 1С по RDP?
Да, если правильно организовать доступ, разграничить права пользователей и защитить точку входа. Конкретная архитектура зависит от инфраструктуры организации и способа размещения 1С.
Обязательно ли покупать дорогие решения для защиты VPN?
Не всегда. Для небольшого офиса может подойти решение на имеющемся оборудовании. Важнее поддержка обновлений, надёжная аутентификация, корректная конфигурация и контроль доступных ресурсов.
Как WEB-LABS помогает организациям
WEB-LABS занимается настройкой и сопровождением серверов, рабочих мест и корпоративных сетей. В рамках согласованных работ мы помогаем организовать удалённый доступ, распределить права пользователей и поддерживать инфраструктуру в рабочем состоянии.
Подробнее о том, как организуется обслуживание IT-инфраструктуры, рассказываем в статье «IT-аутсорсинг: что должно быть в договоре обслуживания».
Для технических специалистов у нас также есть программа IT-PRO, в которой рассматриваются вопросы информационной безопасности и реагирования на инциденты.
Если сотрудники вашей компании подключаются к 1С, удалённым рабочим столам и корпоративным ресурсам, свяжитесь с WEB-LABS. Обсудим текущую инфраструктуру, возможные риски и необходимые технические работы.
Кибербезопасность начинается с правильных действий.
WEB-LABS проводит обучение сотрудников основам кибербезопасности на рабочем месте: безопасной работе с электронной почтой, паролями, файлами, интернет-ресурсами и корпоративными системами.
После прохождения курса сотрудники проходят итоговое тестирование и получают персональный сертификат WEB-LABS.