Чек-лист протокола it безопасности компании

🎯 Конечная цель

ИТ-инфраструктура работает по принципу «всё запрещено, открыто только нужное». Шифровальщик не может распространиться по сети. Гость не видит корпоративные ресурсы. Любая атака на стандартные порты ведет в ловушку и бан. Система сама себя защищает.

Управление доступом и учетные записи

Основа основ: AD, пароли, 2FA

Централизованное управление (AD/Entra ID) — все пользователи и компьютеры в домене. Локальные учетки запрещены (кроме локального админа для аварийного доступа, пароль запечатан в конверт).

Запрет сохранения паролей в браузерах — через GPO или реестр отключено. Корпоративный менеджер паролей (KeePass / Bitwarden) — обязателен.

Многофакторная аутентификация (MFA/2FA) — включена для VPN, почты, RDP, админских панелей.

Политика паролей — длина от 12 символов, сложность, смена раз в 90 дней. Запрет на использование предыдущих 5 паролей.

Процедура Onboarding/Offboarding — создание учетки в первый день, блокировка/удаление в последний день (скрипт автоматизации).

Принцип минимальных привилегий — никто не имеет прав администратора на рабочей станции. Установка ПО — только через админа или самообслуживание с согласованием.

🧠 Важно: Отключение локального админа у пользователя останавливает 90% шифровальщиков, потому что вирус не может записаться в системные папки.

Сетевая архитектура и сегментация

VLAN, гостевая сеть, изоляция

Гостевой Wi-Fi (VLAN) — отдельный VLAN для личных устройств сотрудников и гостей. Доступ только в интернет, в корпоративную LAN — ни-ни.

Сегментация по отделам — бухгалтерия, сервера (DMZ), склад/АСУ ТП — в разных VLAN с жесткими правилами на фаерволе.

Принцип «Все запрещено» (Default Deny) — на межсетевом экране правило по умолчанию DROP. Разрешены только явно необходимые порты и протоколы.

Изоляция управляющих интерфейсов — админка Wi-Fi, коммутаторов, IP-камер висит в отдельной management VLAN, доступной только с джамп-хостов.

Безопасность конечных точек

AppLocker, антивирус, USB-блокировка

Белые списки приложений (AppLocker/SRP) — разрешен запуск только из Program Files, Windows и доверенных путей. Запуск .exe из Temp, Downloads, AppData — заблокирован.

Современный антивирус/EDR — не просто сигнатурный, а с поведенческим анализом (Kaspersky Endpoint, CrowdStrike, MS Defender for Business).

Блокировка USB-накопителей — через GPO запрещено использование съемных носителей, кроме корпоративных зашифрованных (BitLocker To Go).

Блокировка макросов и опасных расширений — в Office отключены макросы из интернета, на почтовом шлюзе режутся .js, .vbs, .scr, .exe в архивах.

⚡ Лайфхак: AppLocker в связке с групповыми политиками за 1 день режет 99% мусорных вирусов, которые любят прятаться в папке пользователя.

Защита удаленного доступа + Ловушки

Нестандартные порты, Honeypot, Fail2ban

VPN обязательно — никаких открытых RDP (3389) и SSH (22) в интернет. Только через VPN (WireGuard, OpenVPN, IKEv2).

Смена стандартных портов — SSH наружу слушает порт 22022, RDP — 33389. Это снижает шум от сканеров.

Ловушка (Honeypot) на стандартном порту — на порту 22 (SSH) или 3389 (RDP) висит fake-сервис (например, Cowrie). При подключении IP ботана автоматически уходит в бан на 24 часа (через фаервол).

Защита от брутфорса (Fail2ban/аналоги) — после N неудачных попыток IP блокируется на уровне фаервола.

GeoIP блокировка — на внешнем фаерволе разрешен доступ только из стран, где есть офисы/сотрудники. Остальные — мимо.

# Пример настройки iptables для ловушки (перенаправление с 22 на Honeypot)
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 22 -j DNAT --to-destination 192.168.10.10:2222
# Затем добавляем правило на бан IP, который стучится на 22
fail2ban-regex /var/log/honeypot.log /etc/fail2ban/filter.d/ssh-honeypot.conf
            

Контроль портов и протоколов

Фаервол на каждом ПК, закрытые шары

Host Firewall (Windows Firewall) — на каждом компьютере включен, входящие соединения по умолчанию запрещены, разрешены только необходимые (например, RDP только с IP администраторов).

Блокировка SMB (порт 445) наружу — рабочие станции не могут инициировать SMB-соединения в интернет (это убивает WannaCry-подобные атаки).

Ограничение сетевого доступа к принтерам и камерам — эти устройства находятся в отдельном VLAN и доступны только по необходимым портам (9100 для принтеров, 80/554 для камер).

Мониторинг и оповещение

Логи, SIEM, алерты

Централизованный сбор логов — все события безопасности (входы, выходы, ошибки, установка ПО) стекаются в SIEM или хотя бы в Elastic Stack/Wazuh.

Алерты на подозрительное поведение — настроены уведомления на: массовое переименование файлов (признак шифровальщика), запуск PowerShell с обходом политик, вход в нерабочее время.

Аудит изменений в AD — включен аудит на изменение групп администраторов, создание новых пользователей, сброс паролей.

Резервное копирование

Оффлайн, правило 3-2-1

Правило 3-2-1 — 3 копии данных, на 2 разных носителях, 1 из которых — оффлайн (вне сети).

Неизменяемость (Immutability) — бэкапы хранятся в режиме WORM (write once, read many) или на ленте/диске, отключенном от сети.

Регулярное тестирование восстановления — раз в квартал пробное восстановление с бэкапа на тестовой среде.

💾 Суть: Если шифровальщик дошел до бэкапов и зашифровал их — ты труп. Поэтому оффлайн или immutable — обязательно.

Политики и люди

Чистый стол, фишинг-тренинги

Политика чистого стола — нет стикеров с паролями на мониторах, бумаги с доступом не валяются на столе.

Тренинг по фишингу — раз в квартал рассылаем тестовые фишинговые письма. Кто кликнул — отправляем на повторный инструктаж.

Памятка для новых сотрудников — краткая выжимка по безопасности при выдаче ноутбука.

📊 Сводка ключевых объектов

Тип	Имя / Назначение	Где настроено	Статус
Группа AD	`VPN_Allowed`	Пользователи, которым разрешен VPN-доступ	✅ Создана
VLAN	`VLAN10_Guest`	Гостевая сеть (только интернет)	✅ Настроен
VLAN	`VLAN20_Corp`	Рабочие станции	✅ Настроен
Правило FW	`Default Deny`	Межсетевой экран	⚙️ Настроено
Honeypot	`SSH-Trap`	Порт 22 → Cowrie + бан IP	⚙️ Установлен

🛠 Полезные команды для проверки

# Проверка открытых портов на ПК (слушающие службы)
netstat -an | find "LISTEN"

# Принудительное обновление политик
gpupdate /force

# Проверка членства пользователя в группах
whoami /groups

# Проверка доступа к ресурсам (от имени пользователя)
net use \\server\share

# Поиск открытых шаров в сети (опасность!)
net view /all

# Открытые порты на маршрутизаторе (из WAN)
nmap -p 1-65535 your.external.ip
        

⚠️ Типичные ошибки (чего НЕ делать)

Оставили RDP (3389) наружу — привет, шифровальщик и брутфорс.
Все в одной подсети — гость ловит Wi-Fi и сканирует бухгалтерию.
Пользователь — локальный админ — вирус ставится без спроса.
Не отключили SMBv1 — WannaCry зайдет как домой.
Забыли убрать Authenticated Users из фильтрации GPO — политика применяется ко всем, хотя хотели только на группу компьютеров.

✅ Все шаги выполнены

Офис теперь похож на крепость: сегментация работает, порты закрыты, ловушки отлавливают сканеры, шифровальщику негде развернуться. Пользователи работают, администраторы спят спокойно.

🔐 Ты просто легенда безопасности!

➕

Мои будущие доработки

Сюда буду добавлять новые фишки

Пример: Запретить PowerShell с обходом политик ( ConstrainedLanguage mode )

Пример: Включить LAPS для уникальных локальных паролей на всех ПК

Категории

Чек-лист it протокола безопасности компании

🛡️ Корпоративный стандарт безопасности

🎯 Конечная цель

📊 Сводка ключевых объектов

🛠 Полезные команды для проверки

⚠️ Типичные ошибки (чего НЕ делать)

✅ Все шаги выполнены

Категории:

Категории

Комментарии

Оставить комментарий

Категории

Чек-лист it протокола безопасности компании

🛡️ Корпоративный стандарт безопасности

🎯 Конечная цель

📊 Сводка ключевых объектов

🛠 Полезные команды для проверки

⚠️ Типичные ошибки (чего НЕ делать)

✅ Все шаги выполнены

Категории:

Категории

Комментарии

Оставить комментарий

Обратная связь