Главная мысль
Защита школы объединяет распределение ответственности, понимание движения данных, анализ подозрительных программ и постоянное наблюдение. Планируйте пять направлений как связанную работу: реагирование на инциденты, схему движения данных, изоляцию, EDR и мониторинг. Цель — защитить чувствительную информацию и сохранить возможность учиться и работать.
Какие риски школы учесть в первую очередь
Школьная сеть объединяет учебный процесс, рабочие устройства и сведения об учениках. План защиты должен учитывать и конфиденциальность данных, и возможность продолжать повседневную работу. Отдельно оцените риски устройств и внешних сервисов, которые подключаются к этой среде.
Учёба и повседневные сервисы
Остановка систем может нарушить доступ к учебным материалам, дистанционным занятиям и даже работе столовой. Учтите эти зависимости в плане реагирования.
Персональные данные
Определите, где хранятся сведения об учениках, учителях и других связанных со школой людях. Доступ к чувствительным данным и их передачу нужно ограничивать отдельно.
Устройства и внешние сервисы
Ноутбуки, которыми пользовались вне школы, могут вернуться в сеть без необходимых обновлений. Проверьте также внешние сервисы сотрудников и доступ поставщиков к данным.
Определите, кто и что делает при инциденте
Заранее укажите ответственных, их обязанности и основные действия, чтобы не выяснять это во время атаки. План должен охватывать первые меры и работу после завершения инцидента.
Оцените ситуацию
Разберите первые признаки атаки, определите её последствия и выясните, продолжается ли она. Эти сведения нужны для выбора следующих мер.
Ограничьте распространение
Ограничьте дальнейший ущерб и установите первоначальную причину инцидента. Не останавливайтесь на устранении видимых симптомов.
Удалите вредоносное ПО и устраните уязвимости
Удалите вредоносное ПО и устраните обнаруженные уязвимости в сети. Опирайтесь на результаты расследования причин инцидента.
Разберите результаты
После завершения инцидента пересмотрите процессы, технологии и инструменты. Определите, что нужно изменить, чтобы снизить риск повторения.
Составьте схему хранения и движения данных
Схема движения данных показывает путь информации между пользователями, устройствами, системами и внешними сервисами. Составляйте её вместе с подразделениями, которые используют данные, а не только силами IT-команды.
Где данные появляются и хранятся
Укажите, как данные собираются или создаются и где хранятся. Такой перечень помогает планировать защиту чувствительной информации.
Кто использует данные и зачем
Определите пользователей, их рабочие задачи и чувствительность данных. Свяжите права доступа и ограничения на передачу с этими задачами.
Куда передаются данные
Покажите передачу между внутренними системами и внешними сервисами. Включите поставщиков и партнёров, которые получают доступ к школьным данным.
Анализируйте подозрительные программы в изолированной среде
Запуск подозрительного исполняемого файла прямо в рабочей системе создаёт риск ущерба ещё до окончания проверки. Изолированная среда позволяет наблюдать за установкой и работой программы: какие действия она выполняет с системными файлами и настройками.
Задача такого анализа — оценить поведение программы. Пока неизвестный файл не получил оценку, с ним нужно обращаться осторожно. Изоляция, анализ и оценка результата работают вместе.
Расследуйте события на устройствах с помощью EDR
EDR — обнаружение угроз на устройствах и реагирование на них — помогает выяснить, как началась атака, на какие устройства она распространилась и какие данные затронула. Непрерывное наблюдение за событиями даёт IT-команде данные для восстановления последовательности действий и выбора мер реагирования.
Не каждый инцидент начинается с вредоносной программы. Например, человек, злоупотребляющий доступом, может использовать легитимное приложение для перехода в другую систему и кражи данных. Поэтому важно исследовать действия на устройстве: знакомое приложение тоже может использоваться во вред.
Результаты обнаружения требуют проверки: возможны ложные срабатывания и пропущенные угрозы. Поэтому сочетайте обнаружение с изоляцией и расследованием.
Сделайте мониторинг постоянной задачей
Журналы внутреннего и внешнего сетевого трафика помогают замечать необычное поведение пользователей и подозрительную активность. Следите также за состоянием устройств, обновлениями и уязвимостями: разовая проверка не показывает последующие изменения.
Наблюдением работа не заканчивается. Нужны ответственные за расстановку приоритетов, устранение уязвимостей и проверку признаков инцидента. Если школьной IT-команде не хватает ресурсов для постоянного наблюдения, определите, какие задачи возьмёт на себя управляемая служба обнаружения и реагирования (MDR) и как она будет взаимодействовать с командой школы.