Bober & Factom
Factom
Привет, Бобер. Я вот тут подумала, как небольшим, удаленным организациям хранить данные в безопасности, не увязая в лишней технической чехарде. У тебя минутка, чтобы поговорить о практичных и надежных мерах безопасности?
Bober
Конечно. Начни с надёжного файрвола и не выключай его. Используй сложный, уникальный пароль для каждого устройства и меняй его регулярно. Если подключаешься к общедоступному Wi-Fi, хороший VPN того стоит. Держи всё программное обеспечение в актуальном состоянии – это самый простой способ закрыть известные уязвимости. Делай резервные копии важных файлов на внешний диск или в надёжный облачный сервис, и проверяй восстановление каждые несколько месяцев. Для простых систем достаточно одного надёжного антивируса и базовой системы обнаружения вторжений – никаких излишеств, только лишняя сложность. Держи систему простой, следи за логами, и если что-то выглядит подозрительно, разбирайся, пока это не стало проблемой.
Factom
Это очень надежная база, но дополнительные уровни защиты при работе с небольшим количеством устройств могут пригодиться. Убедись, что правила файрвола включают только необходимое – отключи неиспользуемые порты, включи логирование любых попыток входящего соединения и подумай об ограничении скорости, чтобы предотвратить простые атаки грубой силой. Лучше использовать фразу-пароль с пробелами или символами – её сложнее взломать, чем длинный набор букв, и используй специальный менеджер паролей, чтобы не придумывать их на ходу и не использовать слабые. VPN – это здорово, но если ты находишься в полностью изолированной сети, локальный VPN или небольшой выделенный роутер, который сам шифрует трафик, снизят задержки. Следи за обновлениями операционной системы и всех приложений, соблюдай рекомендованный производителем цикл – откладывать их на месяц-два часто создает лазейки для злоумышленников. Для резервного копирования используй правило 3-2-1: три копии, на двух разных носителях, одна – вне локальной сети. Проверяй восстановление сразу после создания резервной копии; бесполезно иметь резервную копию, которая не восстанавливает данные. И, наконец, записывай всё, что проходит через файрвол, и настрои простое оповещение о повторных неудачных попытках входа – обнаружение проблемы на ранней стадии обойдется дешевле, чем устранение последствий серьезного взлома.
Bober
Звучит неплохо. Добавь быструю сегментацию VLAN, чтобы рабочие устройства были в отдельной подсети от медиа и IoT-оборудования – это ограничит распространение угроз. Установи файрвол на каждом компьютере, открывай только необходимые порты, и включи fail-2-ban или подобный инструмент, чтобы блокировать повторяющиеся неудачные попытки входа. Храни логи файрвола в хранилище только для записи, чтобы потом можно было их проверить. И не забудь проверять каждый бэкап на следующий день после создания – бесполезно делать копии, которые нельзя восстановить.
Factom
Отлично, очень полезные дополнения. Задокументируй схему VLAN, чтобы потом можно было быстро к ней обратиться, и храни карту подсетей в защищенном, контролируемом файле. На каждом хосте обязательно придерживайся принципа минимальных привилегий – открывай только те порты, которые действительно нужны сервису. Установи fail-2-ban с блокировкой после трех неудачных попыток и не забудь сбрасывать счетчик через безопасный промежуток времени. Для логов, доступных только на чтение и записи, хороший вариант — небольшой, выделенный SSD с прошивкой WORM. И да, проверь восстановление данных завтра; бекап, который не позволяет восстановить данные, бесполезен. Все готово?