Главная мысль
Учитывайте каждое устройство, его владельца, назначение, функции защиты и срок обновлений.
IoT-устройство: узкоспециализированный, но сетевой актив
IoT-устройство может сочетать сенсор или исполнительный механизм, сетевое подключение, локальную или облачную обработку и интерфейс управления. Умный термостат передаёт температуру, камера и дверной звонок — изображение, носимое устройство — пульс и активность, автомобиль — местоположение и диагностику, а промышленный датчик — вибрацию для планирования обслуживания. Их назначение и защита различаются: захват камеры может раскрыть изображение, а слабо защищённый датчик — нарушить промышленный процесс. Поэтому инвентаризация должна включать модель, версию ПО, сетевые интерфейсы, владельца, обрабатываемые данные, срок поддержки и доступные средства защиты.
Инвентаризация
Устройство должно иметь уникальный идентификатор в сети и инвентаре.
Обновления
Производитель должен описывать безопасный механизм обновления и срок поддержки.
Интерфейсы
Открывайте интерфейсы управления и службы только авторизованным системам.
Задавайте требования до подключения
При закупке и подключении оценивайте не только цену и функции. Проверьте уникальную идентификацию, изменение конфигурации только уполномоченными пользователями, защиту хранимых и передаваемых данных, ограничение доступа к интерфейсам, безопасные подписанные обновления ПО и возможность передавать сведения о состоянии защиты. Запросите у производителя документацию о сообщении уязвимостей, окончании поддержки и политике обновлений. Выбирайте сетевой сегмент по роли устройства: медицинскому прибору и экрану в гостевой зоне не следует автоматически выдавать одинаковые права. Захваченное устройство может раскрыть данные, нарушить работу или стать точкой перехода к другим системам.
IP-телефоны и системы VoIP
IP-телефон оцифровывает голос и передаёт его пакетами по IP-сети. SIP/H.323 могут использоваться для установления вызова, а RTP часто переносит медиапоток; конкретная система может применять и другие варианты. Если шифрование не включено, голос и управляющие данные могут быть перехвачены в общей сети. Чтобы снизить риск мошенничества с платными звонками (toll fraud), проверьте надёжность паролей администратора, доступ к управлению телефонной станцией (PBX) и разрешения на международные вызовы. Смените заводские пароли, ограничьте портал управления, включите поддерживаемые режимы TLS/SRTP, обновляйте прошивку и проверяйте неожиданные дорогие или международные звонки.
Составьте схему звонков
Определите, из каких сегментов доступны телефоны, PBX, оператор и интерфейсы администратора.
Защитите медиа и сигнализацию
Включайте TLS/SRTP после проверки совместимости у провайдера и на конечных устройствах.
Проверяйте финансовые аномалии
Проверяйте необычные изменения количества, направлений и времени звонков.
BYOD: защищайте рабочие данные и личную жизнь сотрудников
Личные телефоны и ноутбуки создают риски из-за разнообразия устройств, устаревших систем, потери или кражи и смешения рабочих данных с личными учётными записями. BYOD может снизить расходы на оборудование и дать сотруднику привычное устройство; при этом поддержка разных ОС, совместимость и контроль требуют дополнительных усилий. Корпоративные устройства обеспечивают более единые настройки и инвентаризацию, но закупку и обслуживание оплачивает организация. Политика должна определять разрешённые устройства, приложения и данные, требования к блокировке, шифрованию и обновлениям, выборочное удаление рабочего контейнера и порядок сообщения о потере. Средства управления устройствами MDM/EMM помогают управлять рабочим доступом; ясно объясните сотрудникам границы контроля их личных устройств. При увольнении и замене устройства отзывайте токены и удаляйте рабочие данные, не стирая личное содержимое целиком.
Доступ
Используйте MFA и ролевые права; предоставляйте только ресурсы, нужные для работы.
Граница данных
Контейнер приложений и выборочное удаление помогают отделить рабочие данные от личных фото и файлов.
Жизненный цикл
Подготовьте процедуры регистрации, обновления, потери, увольнения и передачи устройства.
Когда помогают мобильный EDR и MDR
EDR связывает телеметрию конечных точек с расследованием и реагированием. MDR может добавить специалистов по мониторингу, расследованию и ответным действиям. При выборе мобильной защиты проверьте поддерживаемые версии iOS и Android, модель регистрации, доступные события и действия на устройстве. Для BYOD определите границы доступа к личным данным, сроки хранения журналов, эскалацию и часы обслуживания. Начните с перечня устройств, критичных данных и допустимого риска.
Охват
Проверьте модель устройства, версию ОС, требования к регистрации и возможности обнаружения.
Полномочия реагирования
Уточните, какие действия провайдер может выполнять сам, а какие — только после согласования.