Представим обычное утро. Сотруднику университета приходит письмо: «Срок действия учётной записи заканчивается. Подтвердите данные, чтобы не потерять доступ». Ссылка ведёт на страницу, похожую на университетский портал. Логин и пароль введены. Для сотрудника письмо закончилось. Для атакующего всё только начинается.
Скомпрометированная почта может дать доступ к переписке, документам, внутренним сервисам и механизмам восстановления паролей. А с аккаунта реального сотрудника можно отправлять новые фишинговые письма уже от его имени. Поэтому почтовая инфраструктура вуза – это одна из точек входа в инфраструктуру.
Университет открытая среда. И это проблема
Вузу сложно построить цифровую крепость с подъёмным мостом. Тысячи студентов и сотрудников, десятки корпусов, общежития, гостевой Wi-Fi, личные ноутбуки и смартфоны, подрядчики, внешние сервисы. При этом внутри: персональные данные, научные разработки, финансовая информация и системы, от которых зависит учебный процесс. Для образования такая открытость необходима. Для ИБ довольно неприятная вводная.
По данным отраслевых исследований, российские университеты сталкивались с DDoS-атаками и бот-активностью во время приёмных кампаний, когда нагрузка на цифровые сервисы особенно высока. Речь могла идти о десятках тысяч запросов в секунду. Но DDoS далеко не единственный сценарий. Фишинг, кража учётных данных, ransomware, социальная инженерия и атаки через внутренние системы – всё это может начаться с одного пользователя и одной неудачной минуты.
Один аккаунт и дальше как повезёт...
Самая неприятная часть начинается после первоначального доступа. Если в инфраструктуре плохо настроена сегментация, избыточны права или критичные системы связаны между собой слишком тесно, одна украденная учётка может стать отправной точкой для дальнейшего продвижения. Сначала почта, потом внутренний сервис, затем ещё одна учётная запись. А дальше атакующий уже ищет, куда можно двигаться внутри сети. Именно поэтому вопрос для ИБ вуза сегодня звучит не только так: «Как не пустить атакующего внутрь?» Нужно задавать второй вопрос: «Что он сможет сделать, если всё-таки попадёт?»
Это уже разговор про сегментацию, MFA, минимально необходимые права, контроль привилегированных учётных записей и мониторинг подозрительной активности.
Почта – отдельная линия обороны
Фишинговое письмо нельзя рассматривать исключительно как проблему пользователя. Да, сотрудник должен уметь заметить подделку. Но рассчитывать только на его внимательность примерно как строить защиту объекта на надежде, что никто не забудет закрыть дверь.
На стороне почтовой инфраструктуры нужны свои уровни защиты: фильтрация отправителей и ссылок, выявление подозрительного содержимого, проверка подмены адресов, карантин, а также возможность ретроспективно найти уже доставленные вредоносные сообщения.
А если сотрудник всё-таки ввёл данные, дальше должны сработать следующие механизмы: MFA, контроль входов, мониторинг аномальной активности и быстрый отзыв скомпрометированных доступов.
В актуальных требованиях к защите электронной почты ФСТЭК отдельно рассматриваются меры против фишинга и вредоносных сообщений. То есть задача – не дать одной ошибке превратиться в полноценный инцидент.
А ещё есть классический ИБ-зоопарк
Вуз – это редко одна аккуратная система, которую спроектировали с нуля и дальше только обновляли. Обычно это десятки сервисов, интеграций и решений, которые появлялись в разное время и по разным причинам. Где-то старое ПО, доступы выдавались «на всякий случай», сегментация есть на схеме, но не совсем так работает в жизни. Где-то студент подключается со своего ноутбука, который никто никогда не видел. А где-то критичная система продолжает работать, хотя документация по ней последний раз обновлялась несколько лет назад.
Получается знакомый ИБ-зоопарк: NGFW есть, антивирус есть, SIEM есть, доступы как-то контролируются. А что произойдёт во время реальной атаки? Именно такие разрывы между отдельными средствами защиты и общей архитектурой часто становятся проблемой.
Что делать
Начинать с покупки ещё одного продукта не лучший вариант. Сначала нужно разобраться, что именно защищаем и от каких сценариев. Какие системы критичны для учебного процесса? Какие данные нельзя потерять? Какие сервисы должны работать во время приёмной кампании? Что произойдёт при компрометации аккаунта сотрудника? А если заражённым окажется устройство из внутренней сети? После этого уже можно собирать защиту вокруг реальных рисков.
Первое – это сегментация. Студенческий Wi-Fi не должен быть короткой дорогой к критичным системам.
Второе – доступы. MFA, минимально необходимые права и контроль привилегированных учётных записей особенно важны там, где пользователей тысячи.
Третье – мониторинг. Если организация узнаёт об атаке только после звонка пользователя «у меня что-то странное», с обнаружением явно есть вопросы.
Четвёртое – готовность к инциденту. Бэкап сам по себе не является планом реагирования. Нужно заранее понимать, кто изолирует систему, кто анализирует инцидент, кто восстанавливает сервисы и как не пустить атакующего обратно.
Пятое – люди. Фишинг и социальная инженерия продолжают работать именно потому, что атакуют не только технологии, но и привычки пользователей. Поэтому обучение должно быть регулярным и практическим.
Шестое – аудит. Без регулярной проверки инфраструктуры сложно понять, где защита действительно работает, а где есть уязвимые места. Аудит помогает посмотреть на инфраструктуру целиком, найти уязвимости и ошибки в настройках, проверить доступы и понять, какие риски нужно закрывать в первую очередь.
В «Эгида-Телеком» мы проводим аудит информационной безопасности, чтобы не просто найти проблемы, а понять, что с ними делать дальше: какие риски критичны, что нужно исправить в первую очередь и как выстроить защиту под реальную инфраструктуру вуза.
