Kibernetinis saugumas įmonėje šiandien nebėra vien antivirusinė programa darbuotojo kompiuteryje. Įmonės kasdien naudoja Microsoft 365, debesijos paslaugas, nuotolinius prisijungimus, serverius, el. paštą ir daugybę skirtingų įrenginių. Kiekviena iš šių sistemų gali tapti potencialiu atakos tašku.
Todėl efektyvus kibernetinis saugumas įmonėms turi būti vertinamas kompleksiškai – nuo darbuotojo paskyros ir kompiuterio iki serverių, atsarginių kopijų, tinklo bei incidentų valdymo.
Vien antivirusinės programos nebepakanka
Klasikinė antivirusinė programa vis dar reikalinga, tačiau šiuolaikinės atakos dažnai vyksta visiškai kitaip.
Darbuotojas gali įvesti Microsoft 365 slaptažodį netikrame prisijungimo puslapyje. Užpuolikas gali prisijungti prie el. pašto paskyros, sukurti laiškų persiuntimo taisyklę ir ilgą laiką likti nepastebėtas. Pažeidžiama programa ar neatnaujintas serveris gali suteikti prieigą prie vidinio įmonės tinklo.
Todėl saugumą sudaro keli tarpusavyje susiję sluoksniai.
1. Microsoft 365 paskyrų apsauga
Microsoft 365 dažnai yra viena svarbiausių įmonės IT sistemų. Joje saugomas el. paštas, dokumentai, Teams informacija, OneDrive ir kiti verslo duomenys.
Minimalus saugumo pagrindas turėtų apimti:
- MFA – kelių veiksnių autentifikavimą;
- administratorių paskyrų atskyrimą nuo kasdienio darbo;
- Conditional Access taisykles;
- įtartinų prisijungimų stebėjimą;
- nereikalingų aktyvių sesijų panaikinimą;
- el. pašto persiuntimų ir Inbox Rules kontrolę;
- SPF, DKIM ir DMARC konfigūraciją.
Įvykus paskyros kompromitavimui vien slaptažodžio pakeitimo dažnai neužtenka. Reikia patikrinti aktyvias sesijas, autentifikavimo metodus, laiškų taisykles, persiuntimus ir kitus galimus užpuoliko paliktus prieigos būdus.
2. Darbo vietų ir serverių apsauga – EDR ir RMM
Įmonės kompiuteriai ir serveriai turi būti ne tik apsaugoti, bet ir nuolat stebimi.
Tam naudojami EDR ir RMM sprendimai.
EDR (Endpoint Detection and Response) analizuoja įrenginiuose vykstančius procesus ir padeda aptikti įtartiną elgesį, kurio paprasta antivirusinė programa gali nepastebėti.
RMM (Remote Monitoring and Management) leidžia centralizuotai stebėti darbo vietas ir serverius: jų būklę, atnaujinimus, paslaugų veikimą ir kitus svarbius parametrus.
3. El. paštas ir phishing (fišingo) atakos
Vienas dažniausių kelių į įmonės infrastruktūrą vis dar yra darbuotojas.
Sukčiavimo laiškai tampa vis įtikinamesni. Jie gali imituoti Microsoft 365, banką, tiekėją, vadovą ar net kitą įmonės darbuotoją.
Todėl techninės apsaugos priemonės turi būti papildytos darbuotojų mokymais.
Praktikoje naudinga atlikti kontroliuojamas phishing simuliacijas. Jos leidžia realiai įvertinti, kiek darbuotojų atidaro įtartinus laiškus, spaudžia nuorodas ir kaip elgiasi susidūrę su galimu sukčiavimu.
Tokio testo tikslas nėra „pagauti“ darbuotoją. Tikslas – suprasti realią riziką ir parodyti, į ką reikia atkreipti dėmesį.
4. Atsarginės kopijos ir galimybė atkurti duomenis
Atsarginės kopijos yra viena svarbiausių kibernetinio saugumo dalių.
Tačiau vien faktas, kad „backup daromas“, dar nereiškia, kad įmonė yra saugi.
Svarbu žinoti:
- kur laikomos atsarginės kopijos;
- kiek laiko jos saugomos;
- ar jos atskirtos nuo pagrindinės infrastruktūros;
- ar prie jų negalima patekti tuo pačiu administratoriaus prisijungimu;
- ar duomenų atkūrimas yra realiai išbandytas.
Ransomware atveju užpuolikai dažnai siekia ne tik užšifruoti pagrindinius duomenis, bet ir sunaikinti atsargines kopijas. Todėl bent viena kopija turėtų būti logiškai arba fiziškai atskirta nuo pagrindinės infrastruktūros.
5. Tinklo, serverių ir nuotolinės prieigos saugumas
Kibernetinis saugumas nesibaigia darbuotojo kompiuteriu.
Reikia vertinti ir:
- ugniasienių konfigūraciją;
- VPN prieigas;
- viešai pasiekiamas paslaugas;
- serverių atnaujinimus;
- administravimo prieigas;
- VLAN ir tinklo segmentaciją;
- nereikalingus atvirus prievadus;
- administravimo sistemų prieigą iš interneto.
Kuo mažiau sistemų be reikalo pasiekiama iš interneto, tuo mažesnis galimų atakų paviršius.
6. Centralizuotas monitoringas ir SIEM
Didesnėje IT aplinkoje vien atskirų antivirusinės ar ugniasienės pranešimų nebepakanka.
Svarbu matyti bendrą vaizdą.
Tam gali būti naudojamos centralizuoto saugumo monitoringo arba SIEM sistemos, kurios surenka įvykius iš serverių, darbo vietų, tinklo įrangos ir kitų sistemų.
Tai padeda pastebėti ryšį tarp kelių iš pirmo žvilgsnio nesusijusių įvykių ir greičiau identifikuoti galimą incidentą.
7. Incidentų valdymo planas
Įmonė turėtų iš anksto žinoti, ką darys įvykus incidentui.
Pavyzdžiui:
Kas atsakingas už incidento valdymą? Kaip izoliuojamas užkrėstas kompiuteris? Kaip atšaukiamos Microsoft 365 sesijos? Kur saugomos atsarginės kopijos? Kas informuojamas nutekėjus duomenims?
Kai incidentas jau vyksta, nėra tinkamas laikas pradėti ieškoti atsakymų į šiuos klausimus.
Net paprastas incidentų valdymo planas gali ženkliai sutrumpinti reagavimo laiką.
O kaip NIS2?
NIS2 ir Lietuvos kibernetinio saugumo reikalavimai dar labiau išryškino tai, kas saugumo specialistams buvo žinoma jau seniai – kibernetinis saugumas turi būti valdomas sistemiškai.
Svarbios ne tik techninės priemonės, bet ir rizikos vertinimas, incidentų valdymas, veiklos tęstinumas, prieigos kontrolė, darbuotojų mokymai bei atsakomybės organizacijoje.
Net jei konkrečiai įmonei NIS2 reikalavimai tiesiogiai netaikomi, didelė dalis šių principų yra gera praktika bet kuriam verslui.
Nuo ko pradėti?
Nebūtina iš karto diegti dešimties naujų saugumo sistemų.
Pirmiausia verta atlikti esamos situacijos auditą:
kokios sistemos naudojamos, kas turi administratoriaus teises, ar visur įjungtas MFA, kaip apsaugotas Microsoft 365, ar darbo vietos stebimos, kaip atliekamos atsarginės kopijos ir kokios sistemos pasiekiamos iš interneto.
Po tokio įvertinimo galima aiškiai nustatyti prioritetus ir saugumo priemones diegti etapais.
Kibernetinis saugumas kaip nuolatinis procesas
Didžiausia klaida – kibernetinį saugumą vertinti kaip vienkartinį projektą.
Įmonės infrastruktūra nuolat keičiasi: atsiranda nauji darbuotojai, kompiuteriai, debesijos paslaugos, serveriai ir programos. Tuo pačiu nuolat atsiranda naujų pažeidžiamumų bei atakos metodų.
Todėl saugumas turi būti nuolat prižiūrimas – stebint sistemas, diegiant atnaujinimus, vertinant įvykius ir periodiškai peržiūrint nustatymus.
PRASOM teikia kibernetinio saugumo paslaugas įmonėms – nuo Microsoft 365 saugumo, EDR ir RMM monitoringo iki saugumo auditų, atsarginių kopijų, incidentų valdymo ir pasirengimo NIS2 reikalavimams.
Daugiau informacijos: Kibernetinis saugumas įmonėms