Удалённая работа перестала быть исключением, и вместе с ней в компаниях появилась дыра, которую почти никто не закрывает целенаправленно. Сотрудники подключаются к рабочим системам откуда попало: из дома, из кафе, с личного ноутбука, на котором стоит что угодно. Само по себе это ещё не катастрофа. Проблемы начинаются, когда доступ устроен так, как сложилось исторически, а не так, как надо.
Какие схемы удалённого доступа опаснее всего
Публичный RDP, открытый прямо в интернет
Администратор когда-то пробросил порт, чтобы подключаться из дома, и оно так и осталось. Такой порт сканеры находят за часы, а дальше идёт круглосуточный перебор паролей. Если у кого-то из сотрудников пароль вида Company2024, взлом становится вопросом времени.
Личный VPN вместо корпоративного
Человек ставит бесплатный VPN, чтобы что-то обойти, и через него же заходит в рабочую почту и в 1С. Весь трафик идёт через сервер, о котором в компании никто ничего не знает. Иногда этот сервер честно зарабатывает на продаже данных, и это написано в его условиях использования, которые никто не читал.
Увольнение без отзыва доступов
Человек уходит в пятницу, а его аккаунт в VPN, доступ к общим папкам и корпоративной почте отключают в лучшем случае в среду, когда кто-то вспомнит. Иногда не отключают вообще: при таких проверках регулярно всплывают активные учётные записи людей, уволившихся год назад.
Как правильно организовать удалённый доступ сотрудников
Доступ к внутренним ресурсам идёт через корпоративный VPN с обязательной двухфакторной аутентификацией. Не через проброшенный порт, не через TeamViewer, который кто-то поставил себе сам, и не через личный кабинет хостера с общим паролем на всех.
Права выдаются по ролям: бухгалтер получает доступ к бухгалтерскому контуру, менеджер к CRM, и никто не получает доступ ко всему сразу по принципу так проще. Когда права привязаны к роли в Active Directory или её аналоге, отзыв доступа при увольнении становится одним действием вместо обхода 7 систем по памяти.
Уход сотрудника оформляется как процедура, а не как разговор в курилке. Список шагов составляют заранее:
- отключить учётную запись;
- сменить общие пароли, к которым у человека был доступ;
- отозвать ключи и токены;
- проверить, не остались ли его личные устройства в списке доверенных.
С готовым списком это занимает полчаса, без него выливается в 3 дня паники.
Что проверить в компании на этой неделе
- Откройте список проброшенных портов на роутере или у хостера. Если там есть 3389, 22 или 5900, открытые на весь интернет, начинайте с них.
- Составьте список сотрудников, уволившихся за последний год, и проверьте по каждой системе, существуют ли ещё их учётные записи. Не удивляйтесь, если найдётся хотя бы одна.
- Проверьте, включена ли двухфакторка на почте и в CRM, причём у всех, а не только у себя. Одного менеджера без второго фактора достаточно, чтобы через его почту начали писать вашим клиентам.
- Спросите у сотрудников, чем они пользуются для удалённого подключения. Ответы иногда удивляют, особенно у тех, кто работает в компании дольше остальных и успел настроить себе удобно.
Как мы настраиваем удалённый доступ
Мы делаем защищённый удалённый доступ для сотрудников и филиалов: VPN с двухфакторной аутентификацией, интеграцию с каталогом учётных записей, чтобы права выдавались и отзывались централизованно, и журнал подключений, по которому видно, кто и откуда заходил.
Список из 4 пунктов выше можно пройти и без нас. Если хотя бы один ответ вас неприятно удивил, начните с аудита инфраструктуры: 55 000 - 100 000 ₽, от 1 недели. Он обычно и находит те самые открытые порты и забытые аккаунты, про которые в компании уже никто не помнит, а на выходе у вас план со сметой и порядок, что закрывать первым.