Большинство разговоров о компьютерной безопасности малой компании сводятся к антивирусу и паролям. Сама сеть — как трафик входит и выходит из офиса, у кого есть доступ к чему и как кто-то подключается удалённо — чаще всего остаётся именно такой, какой её оставил техник интернет-провайдера при установке. Роутер, выданный вместе с подключением, выполняет базовую задачу, достаточную для рабочего интернета, но не был задуман для того, чтобы отделять гостевую сеть от компьютера, на котором ведётся бухгалтерия, и не останавливает попытку подключения, идущую напрямую из интернета к оборудованию в офисе. Разница между «у нас сеть, которая работает» и «у нас защищённая сеть» в большинстве случаев сводится к нескольким конкретным решениям, а не к большому бюджету.
Почему безопасность сети не заканчивается на антивирусе
Даже компания, работающая почти полностью в облачных сервисах — почта на внешнем хостинге, онлайн-бухгалтерия, файлы в Drive или OneDrive, — всё равно имеет локальную сеть, которую нужно защищать: многофункциональный принтер, NAS с внутренними документами, камеры видеонаблюдения офиса, возможно, кассовый аппарат или выделенный компьютер для выставления счетов. Такое оборудование обычно работает на более старом, редко обновляемом программном обеспечении и становится предпочтительной точкой входа для того, кто автоматически сканирует интернет в поисках незащищённых устройств. Антивирус на компьютерах сотрудников не видит и не останавливает такие попытки — это не его задача. Безопасность сети — это слой, который решает, что может войти и выйти из офиса, прежде чем проблема вообще доберётся до отдельного компьютера.
Роутер от интернет-провайдера — это не firewall для бизнеса
Роутер, предоставленный вместе с подключением к интернету, обычно хорошо делает одну вещь: трансляцию сетевых адресов (NAT), которая по умолчанию блокирует соединения, инициированные снаружи. Это реальная защита, но минимальная — эквивалент запертой двери без сигнализации и без журнала того, кто пытался повернуть ручку. Firewall для бизнеса, даже самый скромный, добавляет то, чего не хватает: явные правила для того, какой трафик разрешён на каждом порту и в каком направлении, журнал соединений и отклонённых попыток, а во многих моделях — базовую фильтрацию известного опасного трафика. Деталь, которую мало кто проверяет: административный интерфейс роутера от провайдера часто годами хранит заводской пароль по умолчанию — а этот пароль указан в открытом доступе, в руководствах производителя, доступных любому, кто ищет точную модель устройства.
Сегментация сети: отделите гостей, принтеры и камеры от сети компании
Хорошо построенная сеть компании — это не одна сеть, а несколько отдельных, которые не общаются друг с другом свободно. У гостевой сети — той, что предоставляется клиенту или партнёру в переговорной, — нет никакой причины «видеть» файловый сервер или бухгалтерский компьютер; такое разделение, обычно называемое сегментацией или изоляцией через VLAN, настраивается один раз и устраняет целый класс рисков. Тот же принцип применим к подключённым к сети устройствам, которые не являются компьютерами: принтерам, камерам видеонаблюдения, смарт-телевизорам в переговорной. Такое оборудование обычно работает на редко обновляемой прошивке и представляет собой более лёгкую цель, чем компьютер с активным антивирусом; изолированное в отдельной сети, оно не даёт автоматический доступ ко всей остальной компании в случае взлома.
Удалённый доступ: VPN, а не открытый напрямую порт в интернет
Частая ошибка компаний, которым нужен удалённый доступ к офисному компьютеру или серверу, — прямое открытие порта в интернет, чаще всего для удалённого рабочего стола или камеры видеонаблюдения, доступной затем «откуда угодно» по публичному адресу. Проблема в том, что такой порт становится видимым любому, кто систематически сканирует интернет, а не только тому сотруднику, которому он предназначался, а автоматические попытки подключения начинаются обычно в течение нескольких часов после открытия, а не месяцев. Правильное решение — VPN-соединение: сотрудник подключается через зашифрованный туннель к контролируемой точке входа компании, и только изнутри этого туннеля получает доступ к ресурсам, на которые у него есть разрешение, — ни один внутренний сервис не выставлен напрямую в интернет. Там, где это возможно, двухфакторная аутентификация при подключении к VPN добавляет ещё один уровень: даже если пароль украден, сам по себе он уже недостаточен.
Нужен ли выделенный firewall или текущей сети достаточно
Не каждой малой компании с первого дня нужно выделенное устройство firewall, отдельное от роутера. Небольшой офис с несколькими сотрудниками, без удалённого доступа и без хранения конфиденциальных данных клиентов локально, может разумно работать на качественном, правильно настроенном роутере — с изменённым паролем администратора, отдельной гостевой сетью, обновлённой прошивкой. Баланс меняется, когда появляется любое из следующего: сотрудники, которым нужен постоянный удалённый доступ, несколько офисов, которые нужно соединить между собой, обработка платежей или хранение персональных данных клиентов, или просто рост числа сотрудников за пределы того, что может вручную, по случаю, администрировать один человек. В этих случаях выделенный firewall — администрируемый внутри компании или через провайдера управляемых услуг — становится не роскошью, а базовой инфраструктурой для всего остального, что строится поверх неё.
Что на практике означает постоянное администрирование firewall
Firewall, настроенный один раз при установке и никогда больше не пересматриваемый, со временем даёт защиту, которая постоянно ослабевает незаметно для всех. Реальное администрирование — это несколько повторяющихся привычек: периодическое обновление прошивки для устранения уязвимостей, обнаруженных после выпуска устройства; периодический пересмотр активных правил, чтобы убрать доступ, предоставленный бывшему сотруднику или поставщику, с которым отношения уже завершились; проверка журналов подключений на необычные закономерности — необычно большое число отклонённых попыток из одного источника обычно является сигналом тревоги, а не фоновым шумом; и периодическая смена административных паролей, особенно после ухода человека, у которого был к ним доступ. Для большинства малых компаний самое практичное решение — передать такое администрирование провайдеру, который относится к firewall как к живому компоненту, а не как к однажды установленной и забытой коробке.
Частые ошибки в сетевой безопасности малой компании
- Сохранение пароля администратора по умолчанию на роутере или firewall, не изменённого со времени установки.
- Открытие порта напрямую в интернет для удалённого доступа вместо VPN-соединения.
- Одна сеть для всего — гости, принтеры, камеры и компьютеры с финансовыми данными в одной плоской сети.
- Необновлённая прошивка на роутере или firewall, иногда годами, хотя обновления безопасности доступны бесплатно.
- Ни разу не проверенные журналы — устройство фиксирует соединения, но на них никто не смотрит до тех пор, пока инцидент уже не произошёл.
Минимальный аудит сети из шести пунктов
- 1. Проверьте, остался ли пароль администратора роутера или firewall заводским.
- 2. Убедитесь, что гостевая сеть технически отделена от внутренней, а не просто иначе названа.
- 3. Составьте список всех портов, открытых напрямую в интернет, и для каждого задайте вопрос, действительно ли он необходим.
- 4. Проверьте, происходит ли удалённый доступ через VPN или через прямое открытое соединение.
- 5. Уточните дату последнего обновления прошивки на сетевом оборудовании.
- 6. Удалите правила доступа, оставшиеся от бывших сотрудников или поставщиков, с которыми сотрудничество завершилось.
Частые вопросы
Достаточно ли роутера от интернет-провайдера в качестве firewall для бизнеса? Для очень маленькой компании без удалённого доступа и без хранения конфиденциальных данных локально качественный, правильно настроенный роутер может покрыть базовые потребности. По мере появления удалённого доступа, нескольких офисов или данных клиентов выделенный firewall даёт контроль и видимость, которых нет у базового роутера.
В чём разница между гостевой сетью и внутренней сетью компании? Гостевая сеть даёт посетителю доступ в интернет без какой-либо видимости внутреннего оборудования компании — файлового сервера, бухгалтерского компьютера, сетевых принтеров. Разделение выполняется технически, через настройку оборудования, а не просто через название Wi-Fi сети.
Почему рискованно открывать порт напрямую к камере видеонаблюдения или удалённому рабочему столу? Потому что такой порт становится видимым любому, кто систематически сканирует интернет в поисках подобных устройств, а не только тому, кому он предназначался. Автоматические попытки подключения на открытых портах обычно начинаются в течение нескольких часов, а не месяцев.
Нужен ли выделенный аппаратный firewall, если у нас всего один небольшой офис? Не обязательно, если у компании нет постоянного удалённого доступа, нескольких офисов или конфиденциальных данных, хранимых локально. Решение зависит больше от того, что вы делаете с сетью, чем от числа сотрудников.
Что конкретно означает постоянное администрирование firewall? Периодические обновления прошивки, пересмотр активных правил для удаления доступа, оставшегося от бывших сотрудников или поставщиков, проверка журналов подключений на необычные закономерности и периодическая смена административных паролей.
Что подготовить перед разговором с провайдером
Полезный разговор о безопасности сети начинается с нескольких ответов, которые у компании уже есть: сколько офисов и сотрудников нуждаются в удалённом доступе, какое оборудование подключено к сети помимо компьютеров, обрабатывает ли компания платежи или хранит персональные данные клиентов, и у кого сейчас есть доступ к управлению существующим роутером или firewall. С этими ответами наготове провайдер сможет предложить решение, соответствующее реальному размеру компании, а не завышенный стандартный пакет или, наоборот, недостаточный.
Безопасная сеть требует не большого бюджета, а правильных решений, принятых один раз
Сегментация сети, замена открытого порта на VPN-соединение и постоянное администрирование, а не только первоначальная настройка, устраняют большинство реальных рисков малой компании — без дорогого оборудования и без выделенной внутренней IT-команды. Наши услуги кибербезопасности охватывают именно этот уровень: от первоначальной настройки firewall и сегментации сети до постоянного администрирования и защищённого удалённого доступа через VPN; сетевой компонент обычно входит в тот же пакет, что и ИТ-аутсорсинг компании.
Запросите бесплатную консультацию по аудиту сети вашей компании и получите рекомендацию, основанную на том, как реально работает ваша команда, а не на общем шаблоне.