Главная мысль
Для каждого устройства определите владельца, рабочую роль, чувствительность данных, срок поддержки и применяемые политики. Используйте надёжную аутентификацию и безопасные настройки удалённого доступа, приоритизируйте обновления и заранее определите изоляцию и восстановление потерянного или скомпрометированного устройства.
Составьте карту устройств и владельцев
Рабочие ноутбуки подключаются к сети вне офиса; личные устройства, оборудование подрядчиков и IoT могут не попадать в инвентарь. Зафиксируйте, к какой почте, файлам, бизнес-приложениям и внутренним сетям они получают доступ. Если неизвестны владелец, назначение, поддерживаемая ОС, агент защиты и дата обновления, устройство трудно включить в подходящую политику.
Рабочие и личные устройства
Если разрешён BYOD, определите, какие данные и приложения доступны на личном устройстве, требования к блокировке и обновлениям, а также порядок отзыва доступа при потере.
Серверы и неуправляемые устройства
Отдельно учитывайте серверы, умные часы, принтеры, POS-терминалы, медицинские системы визуализации, промышленные системы управления, устройства умного дома и маршрутизаторы 5G. Если установить агент нельзя, определите сегмент сети, правила доступа, владельца и компенсирующие меры.
Состояние и жизненный цикл
Отслеживайте потерянные, резервные, ремонтируемые, выведенные из эксплуатации устройства и устройства с истёкшей поддержкой; доступ следует пересматривать при изменении статуса.
Примените базовый набор мер
Подбирайте меры по риску и назначайте ответственных. Один межсетевой экран, антивирус или EDR не защищает устройство и данные целиком; управление доступом, обновления, защита данных и реагирование должны работать вместе.
Надёжная аутентификация
Включите MFA для почты, облачных приложений, VPN и удалённого администрирования. Используйте ролевой доступ и отдельные административные учётные записи; своевременно отзывайте доступ у ушедших сотрудников и подрядчиков.
Обновления и уязвимости
Свяжите обновления ОС, приложений, VPN и сетевого оборудования с инвентарём. Приоритизируйте доступные из интернета и критичные активы; документируйте тестирование, срочные обновления и сроки исключений.
Защита устройств и фильтрация
Централизованно управляйте антивирусом и защитой от шпионского ПО, а также локальным межсетевым экраном. Пересматривайте правила сетевого экрана по источнику, назначению и приложению. Проверяйте почтовую и веб-фильтрацию, блокировку опасных сайтов и вложений вместе с рабочими сценариями; согласуйте исключения с владельцами.
Привилегии и внешние устройства
Отделите повседневные учётные записи от административных. Установите правила для USB и Bluetooth с учётом разрешённого использования, шифрования и передачи данных.
Контроль данных
Шифруйте чувствительные данные на устройстве и при передаче; проверяйте правила DLP на реальных потоках. Шифрование затрудняет несанкционированный доступ, но само по себе не решает проблему украденной учётной записи или избыточных прав.
Мониторинг и расследование
Определите, кто проверяет журналы важных устройств, как долго они хранятся и кому направляется оповещение о подозрительной активности. Проверяйте источник, охват и дату обновления данных киберразведки; планируйте время и специалистов, чтобы аналитик мог искать индикаторы в телеметрии конечных устройств и проверять их в контексте.
Классифицируйте данные и определите охват BYOD
Классифицируйте данные по чувствительности и предоставляйте каждой роли только необходимый для работы доступ. Письменно определите, какие личные устройства и приложения допускаются и к каким данным и сайтам они могут обращаться; оцените по риску, нужны ли организации собственные устройства для работы с чувствительными данными.
Сообщайте об инцидентах и отслеживайте исключения
Объясните сотрудникам, кому и по какому каналу сразу сообщать о подозрительном файле, потерянном устройстве или возможном раскрытии данных. Для согласованного исключения укажите причину, владельца и дату окончания; не превращайте временное решение в постоянную политику автоматически.
Проверьте настройки принтеров и IoT
Замените заданные изготовителем исходные данные для входа на принтерах и IoT-устройствах, установите доступные обновления прошивки и безопасности, отключите ненужные службы и разместите устройство в подходящем сегменте сети. Сверяйте настройки с инвентарём; для устройства без обновлений назначьте владельца и компенсирующие меры.
Защитите удалённую работу и мобильный доступ
Удалённые устройства подключаются из дома, поездок и публичных сетей. VPN может защитить трафик, но не исправляет уязвимое устройство и не спасает учётную запись, похищенную через фишинг. Определяйте необходимость VPN с учётом риска и архитектуры приложений. Сочетайте его с MFA, обновлённым устройством, минимальными правами и журналированием входа. Проверьте, какие политики EDR работают без интернета и VPN и что происходит после восстановления связи.
Проверьте пользователя
Требуйте MFA; отдельно ограничьте административный и удалённый доступ. Настройте оповещения о подозрительном входе, новом устройстве и изменении привилегий.
Проверьте состояние устройства
Ограничьте доступ к чувствительным ресурсам с устройств без поддерживаемой ОС, активного агента защиты, локального экрана и необходимых обновлений.
Проверьте соединение
Проверьте VPN, прямой доступ к облаку и автономную работу агента. Убедитесь в передаче накопленной телеметрии, обновлении политик и доставке команды изоляции.
Настройте регулярный операционный цикл
Защита конечных устройств не заканчивается установкой программы. Владельцы устройств, IT и безопасность должны согласовать инвентарь, обновления, оповещения и восстановление. Пересматривайте политику после изменений и по графику; наличие технических мер само по себе не является сертификатом соответствия — это требует отдельной оценки и аудиторских доказательств.
Зарегистрируйте устройство
Подтвердите владельца и назначение, установите поддерживаемую ОС и агент, примените базовую конфигурацию и выберите сегмент сети по уровню чувствительности.
Следите за обновлениями и состоянием
Выявляйте отсутствующие обновления, отключённый агент, изменения локального экрана и завершение поддержки. Назначайте владельца и срок окончания для временных исключений.
Отработайте оповещение
Изучите соединения, процессы и контекст пользователя на подозрительном устройстве; определите действия, требующие подтверждения, полномочия на изоляцию и план связи. Фиксируйте ложные срабатывания и исключения.
Проверьте данные киберразведки и поиск угроз
Фиксируйте источник индикатора, его охват и дату обновления. Не используйте устаревший или лишённый контекста индикатор как автоматическое основание для блокировки; аналитик должен сопоставить его с журналами конечных устройств и другими данными и проверить похожую активность по парку устройств.
Ограничьте инцидент и восстановите работу
При необходимости изолируйте устройство, закройте первоначальный путь проникновения, сохраните доказательства и восстановите данные из чистой резервной копии. Перед подключением проверьте агент, обновления и права доступа.
Пересматривайте порядок работы
Пересматривайте инвентарь, установку обязательных обновлений, время реагирования, проверку изоляции и потребность в поддержке. Отрабатывайте поведение удалённого устройства без связи и после её восстановления.
Отдельно управляйте парком Mac
Включите Mac, в том числе устройства разработчиков, в инвентарь и модель владения. Сверьте поддерживаемые версии macOS с актуальными списками Apple и выбранного средства защиты; проверяйте обновления и планируйте их установку. Устанавливайте приложения из App Store или от идентифицированного разработчика с подписью и нотариализацией, ограничивайте права администратора и проверяйте восстановление из резервной копии.
Проверьте облачные операции и хостинг
Проверьте повседневные задачи администратора в консоли, аудит, доставку политик и массовых обновлений, отчёты об исключениях и уведомления. Уточните локальное поведение политики при потере связи устройством и передачу обновлений, телеметрии и команд после восстановления соединения. Назначьте отдельных ответственных за проверку и обработку оповещений безопасности и за производительность приложений.
Проверьте резервные копии и дополнительные интеграции
Уточните периодичность резервного копирования, поиск, права восстановления и возможность пользователя вернуть собственные файлы, затем проведите тест восстановления. Отдельно проверьте, на каком почтовом шлюзе и для каких файлов работает очистка вложений, а также интеграции с сетевыми и облачными средствами; это не обязательно входит в endpoint-продукт.
Управляйте отклонениями конфигурации и автоматизацией
Сверяйте утверждённую базовую конфигурацию с инвентарём устройств, отслеживайте изменения и устаревшие устройства с завершившимся сроком поддержки. Проверяйте автоматические обновления и действия реагирования в рамках утверждённой политики и согласований; назначайте владельцев исключений. Планируйте рабочие процессы и обучение с учётом времени и навыков команды.
Частые вопросы
Ответы на частые вопросы об удалённых и разнородных устройствах.
Нужен ли VPN всем удалённым сотрудникам?
Это зависит от архитектуры сети и приложений. VPN может защищать канал, но не заменяет MFA, обновлённое устройство, контроль доступа на уровне приложений и мониторинг. Определите, для какого трафика VPN нужен в каждом рабочем сценарии.
Нужен ли EDR-агент для принтеров и IoT?
Только если устройство и производитель это поддерживают. Если агент установить нельзя, примените инвентаризацию, сегментацию сети, ограничение доступа, обновления и мониторинг с учётом типа устройства.
Заменяет ли DLP шифрование?
Нет. DLP может обнаруживать и ограничивать перемещение данных по правилам; шифрование помогает защитить их содержимое. Вместе с ними нужно проверять права доступа, управление ключами и резервное копирование.
Подтверждает ли список мер соответствие?
Нет. Список помогает управлять работами, но соответствие требует отдельной оценки применимого стандарта, охвата, документации и аудиторских доказательств.