Безопасность удалённого доступа: риски, меры и модель нулевого доверия

RDP, выставленный наружу «на пару дней для подрядчика», живёт годами. Пароль от него подбирают автоматом, без участия человека: сканеры находят открытый порт за часы.

Удалённый доступ правильнее считать не отдельной технологией, а режимом работы, при котором граница сети проходит не по периметру офиса, а по каждому подключению. Дальше разберём, что при этом ломается и какой минимальный набор мер закрывает основные риски.

Чем рискует компания при удалённом доступе

Кража учётных данных. Логин и пароль от VPN или терминального сервера утекают через фишинг или повторное использование пароля с личных сервисов. Без второго фактора этого достаточно для входа.

Незащищённое устройство. Сотрудник подключается с домашнего компьютера, где нет антивируса, установлены пиратские программы, а рядом дети играют в скачанные с торрентов игры. Устройство становится точкой входа в корпоративную сеть.

Избыточные права. Подключение открывает доступ ко всей сети, а не к нужным двум системам. Захватив одну учётную запись, злоумышленник ходит по инфраструктуре свободно.

Доступ подрядчика. Внешняя организация получает подключение под задачу и остаётся с ним навсегда. Кто именно из сотрудников подрядчика заходил вчера, установить нельзя: учётная запись общая.

Открытые наружу службы. RDP, SSH и панели управления, доступные из интернета без ограничений. По нашему опыту с такого доступа начинается заметная часть инцидентов: службу находят сканированием, пароль подбирают автоматически.

Почему одного VPN недостаточно

VPN решает ровно одну задачу: шифрует канал и подтверждает, что подключается носитель учётных данных. Три вопроса остаются без ответа.

С какого устройства заходят. VPN не знает, есть ли на компьютере антивирус и обновления. Домашний ноутбук с заражением подключится так же успешно, как корпоративный.

Что человеку доступно внутри. Классическая схема пускает подключившегося в сеть целиком. Дальше действует та же логика, что и в офисе: раз внутри, значит свой.

Что происходило в сессии. Журналы VPN показывают факт подключения и объём трафика. Что делали на серверах, они не расскажут.

Отсюда и родилась идея строить доступ иначе.

Модель нулевого доверия (Zero Trust)

Принцип формулируется одной фразой: доверия по расположению не существует. Не важно, откуда подключается человек, из офиса или из дома. Каждый запрос проверяется заново.

На практике концепция Zero Trust складывается из четырёх правил:

• проверять личность при каждом подключении, а не один раз при входе в сеть;
• проверять устройство: соответствует ли требованиям, обновлено ли, есть ли на нём защита;
• давать минимум прав: доступ к конкретным системам вместо всей сети;
• записывать и разбирать сессии, а не только факт подключения.

Система Zero Trust не покупается коробкой. Это способ собрать доступ из компонентов, которые чаще всего уже есть: многофакторная аутентификация, шлюз доступа, средства защиты рабочих станций, журналирование.

Что настроить: минимальный набор

Порядок важен: сначала убираем прямой доступ снаружи и включаем второй фактор, потом занимаемся правами и записью. Обратный порядок оставляет открытой самую простую дверь.

Настройка безопасности удалённого доступа: порядок

1. Инвентаризация подключений. Кто, откуда и к чему подключается сегодня. На этом шаге обычно обнаруживаются забытые проброшенные порты и учётные записи подрядчиков двухлетней давности.

2. Закрытие прямого доступа. Всё внешнее подключение идёт через один контролируемый вход. Отдельные «временные» пробросы убираются.

3. Второй фактор. Для всех, без исключений для руководства и администраторов: именно их учётные записи ценнее всего.

4. Требования к устройству. Минимум: обновлённая система, включённое средство защиты, шифрование диска для ноутбуков.

5. Разграничение прав. Доступ выдаётся к конкретным системам под конкретную роль.

6. Журналирование. Кто, когда, к чему подключался и что делал в сессии.

7. Регламент. Порядок выдачи и отзыва доступа, пересмотр прав, действия при увольнении и при завершении договора с подрядчиком.

Как понять, что доступ настроен плохо

Пять признаков, которые видно без аудита.

Подключение к серверам возможно напрямую из интернета, минуя шлюз. Второй фактор включён не у всех, и чаще всего исключение сделано для администраторов. Учётные записи подрядчиков живут дольше договоров. Права выдавались один раз при приёме сотрудника и с тех пор не пересматривались. Журналы подключений формально ведутся, но их никто не открывал последние полгода.

Каждый пункт по отдельности выглядит мелочью. Вместе они дают ту самую картину, при которой злоумышленник заходит по легальным учётным данным, и в журналах это выглядит как обычный рабочий день сотрудника.

Проверить эти пункты можно самостоятельно. Если нужен внешний взгляд, их закрывает анализ защищённости: внешний периметр сканируется так же, как это сделал бы злоумышленник.

Отдельно про подрядчиков

Самая недооценённая часть. Внешние организации получают доступ по договору, а дальше начинается рутина: доступ не отзывают, учётная запись общая на команду, работы идут в нерабочее время без надзора.

Минимальный набор: именные учётные записи вместо общей, доступ по заявке на ограниченное время, запись сессий, автоматический отзыв прав по завершении работ. И письменная фиксация того, что подрядчик отвечает за действия своих сотрудников.

Что требует регулятор

Удалённое подключение — не серая зона, а прямо описанная группа мер. В приказе ФСТЭК России № 21 для информационных систем персональных данных:

УПД.16 касается взаимодействия с информационными системами сторонних организаций. Доступ сотрудников подрядчика к вашим системам — смежная, но другая задача: она закрывается разграничением прав и контролем действий.

Для организаций финансового рынка добавляется требование ГОСТ Р 57580: определить правила удалённого доступа и перечень ресурсов, к которым он предоставляется.

Какие меры обязательны для конкретной системы, определяется её уровнем защищённости при выборе и адаптации базового набора. Проверить текущее состояние помогает аудит по 152-ФЗ, а закрыть техническую часть — защита удалённых рабочих мест.

Дальше

Проверьте одну вещь прямо сейчас: сколько служб вашей инфраструктуры доступно из интернета напрямую. Если в списке окажется RDP, панель управления гипервизором или консоль средства защиты, это и есть первоочередная задача. Параллельно проверьте второй фактор и права доступа: открытые службы — не единственный путь внутрь.

«Кредо-С» помогает выстроить удалённый доступ по порядку: инвентаризация подключений, схема доступа через шлюз, второй фактор, разграничение прав и регламент. Смежные задачи закрывают защита от несанкционированного доступа и защита мобильных устройств.