Главная мысль
Обучение сотрудников, защита почты и веб-доступа, безопасность устройств и реагирование на инциденты должны дополнять друг друга; заранее определите роль каждой меры.
Включите удалённые устройства в учёт и обновление
Определите владельцев ноутбуков, серверов и мобильных устройств, используемых для работы, доступные им сервисы и ответственных за обновления. Установите процесс своевременного обновления поддерживаемых операционных систем, браузеров, веб-приложений и серверного ПО. Для удалённого доступа используйте утверждённый организацией способ и MFA; один лишь VPN не подтверждает безопасность устройства. Отдельно определите условия доступа для личных устройств, систем подрядчиков и оборудования на объектах. Не считайте, что каждое мобильное устройство или оборудование на объекте поддерживает агент EDR.
Чётко определите роль EDR
EDR (Endpoint Detection and Response) — средства обнаружения и реагирования на конечных устройствах. В зависимости от продукта и настроек EDR может показывать подозрительную активность процессов и файлов на устройстве, создавать оповещения и поддерживать ответные действия. Он не гарантирует, что сотрудник распознает поддельный счёт или не введёт пароль на фишинговой странице. Почтовые фильтры, безопасный веб-доступ, надёжная аутентификация и порядок сообщения об инцидентах выполняют отдельные задачи. Во время учения проверьте, кому приходят оповещения и кто вправе изолировать устройство.
Ограничьте доступ приложений и партнёров
Предоставляйте облачному приложению только разрешения, необходимые для его задачи, и ограничивайте установку неутверждённых средств удалённого управления. Ведите перечень аккаунтов поставщиков, интеграций и сроков их доступа; удаляйте неиспользуемые учётные записи и права. По возможности требуйте многофакторную аутентификацию и отдельное согласование для доступа к системам с важными данными. Сегментация сети может ограничить путь скомпрометированного устройства к другим системам.
Отработайте реагирование и восстановление
На учении проверьте распределение ответственности и полномочий. Поскольку программы-вымогатели могут затрагивать резервные копии, отдельно проверяйте их защиту и восстановление. Используйте безопасные сценарии без настоящих вредоносных файлов.
Назначьте ответственных
Согласуйте роли ИТ, безопасности и финансов, их полномочия и способы связи.
Проверьте передачу сообщения
На безопасном учении проверьте передачу сведений об открытии ссылки или файла, вводе пароля и подтверждении MFA.
Отработайте меры реагирования
Уполномоченная команда выполняет действия с аккаунтами и устройствами; если затронут платёж, финансовая команда связывается с банком.
Проверьте восстановление
Проверьте целостность резервных копий и восстановление в изолированной чистой тестовой среде.