Главная мысль
Отключайте ненужные службы; для остальных проверяйте шифрование, ограничение доступа, обновления и журналирование.
FTP: каналы передачи и защищённые альтернативы
FTP передаёт команды и файлы по отдельным соединениям. Обычный FTP не шифрует учётные данные и содержимое: в активном режиме соединение для данных открывает сервер, а в пассивном клиент подключается к порту, сообщённому сервером. Поэтому правила межсетевого экрана должны учитывать оба типа соединений. FTP может оставаться в старых процессах: загрузке файлов сайта на хостинг, ночных выгрузках данных из систем или пакетном обмене файлами с поставщиком; сначала найдите эти зависимости. FTPS добавляет защиту TLS к FTP, а SFTP — отдельный протокол поверх SSH. Проверяйте сертификат сервера или ключ узла SSH по доверенному каналу, оставляйте анонимный доступ только для файлов, предназначенных для публичного скачивания, и ограничивайте права каждой учётной записи на каталоги.
Обычный FTP
Учётные данные и файлы передаются без защиты; для новых систем это неподходящий выбор.
FTPS
Сохраняет FTP-процесс и добавляет TLS; отдельно проверьте сертификат и защиту канала данных.
SFTP
Работает поверх SSH и не является тем же протоколом, что FTP; сверяйте ключ узла по доверенному каналу.
RDP: удобный доступ с ограниченными правами
RDP позволяет управлять рабочим столом удалённого компьютера Windows; приложения выполняются на удалённом узле. Стандартный порт — TCP/UDP 3389, но смена порта лишь уменьшает шум сканирования и не заменяет защиту. Включайте RDP только на нужных узлах, не публикуйте его напрямую в интернете и защищайте через VPN, Remote Desktop Gateway или одобренный организацией доступ к конкретному ресурсу. Оставляйте NLA включённой и требуйте MFA на утверждённом шлюзе доступа или через поддерживаемую интеграцию, выдавайте право RDP небольшому числу учётных записей, устанавливайте обновления и отслеживайте успешные и неудачные входы. Ограничивайте перенаправление буфера обмена, дисков и устройств по необходимости.
Определите круг доступа
Разрешайте RDP только пользователям с рабочей необходимостью и только на нужных им узлах.
Защитите путь доступа
Избегайте проброса порта на публичном маршрутизаторе; используйте утверждённый шлюз/VPN и MFA.
Ограничьте сеанс
Применяйте NLA, обновления, блокировку учётной записи и политики перенаправления; ведите журналы.
SNMP: учётная запись мониторинга тоже привилегирована
Менеджер SNMP может считывать показатели у агентов на маршрутизаторах, коммутаторах, межсетевых экранах, серверах, принтерах и ИБП по MIB/OID, а при разрешении — менять настройки операцией SET. Опрос обычно идёт по UDP 161, trap-уведомления — по UDP 162. SNMPv1 и v2c используют общий секрет (community string) и передают его без шифрования. По возможности включайте SNMPv3 authPriv с поддерживаемыми современными алгоритмами аутентификации, целостности и конфиденциальности. Ограничьте доступ сетью управления и нужными OID/операциями, отключайте SET там, где он не нужен, и инвентаризируйте старые версии.
Чтение
Состояние интерфейсов, нагрузка и сведения об оборудовании также могут раскрывать топологию сети.
Запись
SNMP SET может менять конфигурацию; если запись не обоснована, используйте только чтение.
Что обеспечивают TLS и сертификат
TLS защищает конфиденциальность и целостность соединения, а корректно проверенный сертификат помогает подтвердить имя сервера. В быту ещё говорят «SSL», но SSLv2/v3 и TLS 1.0/1.1 устарели; выбирайте версии, поддерживаемые организацией, например TLS 1.2 и 1.3. Проверяйте цепочку доверия CA, имя узла и срок действия сертификата. Значок HTTPS не доказывает, что сайт безвреден, форма входа легитимна или устройство чисто. Автоматизируйте продление сертификатов, ограничьте доступ к закрытым ключам и проверяйте фактическую конфигурацию TLS сервиса.
Конфиденциальность
Затрудняет чтение трафика на сетевом пути.
Целостность
Помогает обнаружить незаметное изменение данных внутри соединения.
Проверка сервера
Имя узла и цепочку сертификатов нужно проверять; игнорирование предупреждений ослабляет защиту.