Безопасность для начинающих 01. Основы: что защищаем, модель угроз, глубокая защита

Директор прочитал, что в соседней компании за ночь зашифровали все файлы, и зашёл к вам с вопросом: «А мы защищены?» Честный ответ из трёх слов: «Давайте выясним». С него и начинается безопасность. Не с покупки оборудования и не с галочек в настройках, а с понимания, что именно у нас есть, чем это ценно и что с этим может случиться.

Эта статья открывает серию «Безопасность для начинающих» и почти не содержит настроек: она даёт каркас для остальных девяти. После неё вы сможете:

• назвать, что именно вы защищаете и от чего, не ограничиваясь словом «хакеры»;
• за полчаса составить свою модель угроз: таблицу «актив → угроза → мера → владелец»;
• объяснить коллегам шесть принципов, которые повторяются во всей серии;
• выбрать готовый список «с чего начать» и не изобретать его с нуля.

Серия только защитная: мы описываем, как выглядят атаки и что видно в журналах, но не учим их повторять.

Что нужно знать заранее

• Вы знакомы с Windows-сетью и хотя бы раз заходили на сервер удалённо. Если нет, начните с Сети с нуля 01 и Windows Server с нуля 01. Практика по LAPS, RDP и аудиту разобрана в Windows Server с нуля 12; здесь мы смотрим шире и на неё ссылаемся.
• Источники: NIST — Национальный институт стандартов и технологий США, CISA — агентство по кибербезопасности США, NCSC — Национальный центр кибербезопасности Великобритании. CSF (Cybersecurity Framework) — система кибербезопасности NIST, FIPS (Federal Information Processing Standards) — федеральные стандарты США.
• Термины серии: MFA (multi-factor authentication, многофакторная аутентификация, Безопасность 02); RDP (Remote Desktop Protocol, удалённый рабочий стол); SSH (Secure Shell, защищённое удалённое управление); VPN (Virtual Private Network, защищённое соединение с сетью); LAPS (Local Administrator Password Solution, управление паролем локального администратора); CMS (content management system, система управления сайтом); DNS и DHCP — службы имён и адресов.
• Пометка «практика автора» означает рекомендацию без прямой цитаты из документа: примерьте её на свою организацию. Всё, что вы проверяете, проверяйте только в своей сети и с разрешения владельца систем.

Единая среда примеров серии:

Что мы защищаем: активы и триада CIA

Актив (asset) — всё, что нужно организации для работы и что можно потерять. В CSF 2.0 к активам отнесены данные, оборудование, программы, системы, помещения, услуги и люди. В малой организации это обычно пять групп:

• данные: файлы на FS1, база бухгалтерии, почта, сайт и его база, договоры и сканы;
• учётные записи и права: пароли, ключи, роли. Это «ключи от всего остального»: кто владеет учётной записью администратора, тот владеет и серверами;
• сервисы: домен, DNS, DHCP, VPN, печать, сайт, интернет-банк;
• устройства: серверы, ПК, ноутбуки, телефоны, коммутаторы, принтеры, камеры;
• люди: они нажимают на ссылки в письмах и знают, как всё устроено.

За активами стоит то, чего по-настоящему страшно лишиться: деньги, репутация, договорные обязательства (практика автора). Потери удобно описывать тремя свойствами информации, которые стандарт FIPS 199 называет целями безопасности. По первым буквам английских названий их зовут триадой CIA (confidentiality, integrity, availability).

Один инцидент часто задевает сразу несколько свойств. Шифровальщик лишает доступа к файлам, а если данные ещё и украдены, страдает конфиденциальность: не случайно в #StopRansomware шифровальщики и вымогательство данных стоят в одном ряду.

FIPS 199 предлагает и простую шкалу ущерба: низкий (ограниченное негативное влияние), средний (серьёзное) и высокий (тяжёлое или катастрофическое). Трёх уровней хватает, чтобы отличить принтер в коридоре от базы бухгалтерии в день сдачи отчётности.

Угроза, уязвимость, риск: три слова, которые путают

Определения NIST (SP 800-30) звучат тяжеловесно, но по смыслу просты:

• угроза (threat) — любое обстоятельство или событие, способное нанести ущерб через информационную систему: несанкционированный доступ, уничтожение, раскрытие или изменение информации, отказ в обслуживании. Проще: что может случиться и от кого или чего это исходит (злоумышленник, ошибка сотрудника, сбой, пожар);
• уязвимость (vulnerability) — слабость в системе, процедурах, внутренних мерах или их реализации, которой может воспользоваться источник угрозы. Проще: чем именно это «может случиться»;
• риск (risk) — мера того, насколько организации угрожает потенциальное событие; обычно складывается из ущерба, если оно произойдёт, и вероятности. Проще: насколько это вероятно и насколько дорого обойдётся.

Добавьте четвёртое слово: мера (control) — всё, что снижает вероятность или ущерб: настройка, процедура, обучение, резервная копия.

Аналогия из офиса: в сейфе у окна лежат деньги и договоры (актив), окно без решётки (уязвимость), ночью могут проникнуть (угроза). Решётка, замок, сигнализация и страховка — меры.

Теперь то же в ИТ. На FS1 открыт RDP из интернета, у администратора короткий пароль без второго фактора. Актив — сервер и данные. Угроза — подбор или кража пароля. Уязвимости — порт, видимый снаружи, слабый пароль, нет MFA. Риск высокий: вероятность заметная, ущерб — потеря сервера. Меры: убрать порт из интернета (Безопасность 05), длинный пароль и MFA (Безопасность 02).

С риском можно поступить по-разному. NCSC перечисляет четыре варианта: снизить мерой, принять и жить дальше, передать (например, застраховать) или избежать, перестав делать то, что создаёт риск. Важно, чтобы «принять» было осознанным решением руководителя: записанным, с датой (практика автора), а не молчаливым «не дошли руки».

Как на самом деле попадают внутрь

Руководство CISA #StopRansomware группирует меры защиты по основным путям первоначального доступа:

Подделку адреса вашего домена в письмах затрудняют проверки отправителя SPF, DKIM и DMARC: SPF, DKIM и DMARC на примере.

В описании Cyber Essentials большинство атак сравнивают с вором, который дёргает ручку двери: заперто ли. CISA в рекомендациях для малого бизнеса пишет почти то же: злоумышленники ищут открытые уязвимости вроде слабых учётных данных и устаревшего ПО. Вывод для вас: большую часть пути закрывают скучные базовые меры. Сложные атаки бывают, но начинать нужно с базы.

Модель угроз за 30 минут

Модель угроз (threat model) — это ответ на вопросы: что у нас есть, что с этим может случиться, как именно, что мы с этим делаем и кто отвечает. Порядок «за 30 минут» и таблица «актив → угроза → мера → владелец» — практика автора; NIST SP 1300 описывает только таблицу инвентаризации активов. Хватит получаса с директором и главным бухгалтером. Работа ничего не ломает, откат не нужен: вы пишете документ.

Шаг 1. Составьте список активов (10 минут). Для малого бизнеса SP 1300 предлагает таблицу с колонками: система или сервис, её назначение, администратор или владелец, к каким чувствительным данным есть доступ, нужна ли MFA для входа, чем рискует бизнес при потере доступа. Для домена каркас можно получить из каталога:

Get-ADComputer -Filter * -Properties OperatingSystem, LastLogonDate |
  Sort-Object Name |
  Format-Table Name, OperatingSystem, LastLogonDate -AutoSize

Пример вывода (значения вымышленные):

Name OperatingSystem              LastLogonDate
---- ---------------              -------------
DC1  Windows Server 2025 Standard 10.11.2026 8:02:11
DC2  Windows Server 2025 Standard 10.11.2026 8:01:47
FS1  Windows Server 2025 Standard 10.11.2026 7:58:30
PC1  Windows 11 Pro               09.11.2026 17:44:09
PC2  Windows 11 Pro               14.03.2026 9:12:55

Команда только читает каталог. Компьютер, который восемь месяцев не входил в домен (PC2), — повод выяснить, нужен ли он ещё. В каталоге не будет Linux-серверов, сетевого оборудования, принтеров, камер, облачных сервисов и сайта: добавьте их вручную. Кто состоит в привилегированных группах, проверьте по недельному чек-листу из Windows Server с нуля 12.

Шаг 2. Для каждого актива спросите «что может случиться». Пройдитесь по трём свойствам (C, I, A) и по таблице путей внутрь выше. Достаточно двух-трёх самых вероятных сценариев на актив.

Шаг 3. Запишите меру и владельца. Владелец — конкретный человек или роль, а не «ИТ вообще». Меру, которую нельзя внедрить сейчас, не замалчивайте: запишите риск как принятый, с датой и подписью руководителя (практика автора).

Шаг 4. Расставьте приоритеты. Для ущерба возьмите шкалу FIPS 199 (низкий, средний, высокий), для вероятности — «трудно / легко» (практика автора). Начинайте со строк, где ущерб высокий, а добраться легко: что-то видно из интернета или нет второго фактора.

Образец результата (вымышленный):

Модель жива, если у каждой строки есть владелец и дата пересмотра, а любое изменение (новый сервис, подрядчик, уход сотрудника) правит таблицу. Пересматривайте её раз в полгода (практика автора).

Шесть принципов, которые повторяются в серии

Наименьшие привилегии (least privilege)

Давать только те доступы, которые нужны для выполнения поручённых задач, и не больше. Принцип относится и к людям, и к процессам: служба должна работать с правами не выше необходимых. В нашей лаборатории это выглядит так: ivanov — обычный сотрудник без прав администратора, helpdesk1 умеет сбрасывать пароли, но не правит групповые политики, у службы своя учётная запись. Для обычной работы администратору нужна отдельная непривилегированная учётная запись. Подробности — в Безопасность 06.

Разделение обязанностей (separation of duties)

Разные части важного дела выполняют разные люди или роли, чтобы злоупотребление или ошибка одного не привели к ущербу без сговора. Реквизиты получателя платежа меняет один человек, а подтверждает другой. Тот, кто настраивает копии, не единственный, кто проверяет восстановление (практика автора). Администратор доступа не должен единолично управлять журналами аудита. Заранее решите, какие действия должны выполнять или утверждать несколько человек. Если администратор один, журналы выносят на отдельный сервер, а критичные действия подтверждает руководитель (практика автора).

Глубокая защита (defense in depth)

Стратегия, которая объединяет людей, технологии и операции, чтобы создать барьеры на нескольких уровнях. Фишинговое письмо должно пройти почтовый фильтр, затем внимательного сотрудника, затем фишингоустойчивую MFA, затем ограничения прав и, наконец, мониторинг и копии. Сбой одного слоя не отдаёт всё. Оговорка из SP 800-53 (SA-8): если слои повторяют друг друга, то есть это однотипные механизмы принуждения к политике, дополнительная защита может оказаться иллюзорной, поскольку злоумышленник преодолевает их один за другим. Два однотипных средства — по сути один слой (практика автора). Сильнее сочетание разной природы: профилактика, обнаружение, восстановление.

Безопасность по умолчанию (secure defaults)

Исходная конфигурация должна быть ограничительной и консервативной, по правилу «запрещено, пока явно не разрешено». Новая учётная запись начинается без прав, новое правило межсетевого экрана — с «запретить всё, открыть нужное» (Безопасность 05), новый сервер — только с нужными ролями.

Минимальная поверхность атаки (attack surface)

Поверхность атаки — доступные области, где слабости оборудования и программ дают злоумышленнику шанс. Чем меньше служб, портов и программ, тем меньше этих областей. Мера «минимальная функциональность» (CM-7) предполагает: удалять неиспользуемое ПО, отключать лишние порты и протоколы, а при возможности давать компоненту одну функцию. Практика: перечень слушающих портов на каждом сервере (Безопасность 08) и никакого управления, видимого из интернета.

«Никогда не доверяй, всегда проверяй» (Zero Trust)

Это подход, а не продукт. Microsoft формулирует три принципа: проверять явно (каждый запрос аутентифицируется и авторизуется по всем доступным сигналам), давать наименьший доступ на нужное время и предполагать, что нарушитель уже может быть внутри, поэтому меры должны ограничивать ущерб и помогать быстро обнаружить проблему. Современные атаки используют кражу учётных данных, фишинг и перехват сеансов и не зависят от места в сети, так что «он в офисной сети, значит свой» не работает. Для малой организации это набор привычек: MFA, права по потребности, журналы, копии, сегментация.

С чего начать: готовые списки

Не нужно придумывать перечень мер с нуля: открытые списки для небольших организаций хорошо сходятся.

Cyber Essentials — британская схема сертификации; вам она, возможно, не нужна, но пять её мер служат хорошим каркасом: они разобраны в Безопасность 02–06 и 08.

Если времени мало, вот порядок на первый месяц (практика автора):

У CISA есть бесплатные сервисы, включая сканирование внешних адресов (Cyber Hygiene): записаться могут организации США из числа государственных органов и критической инфраструктуры, а организациям из других стран предлагается обратиться в международный отдел CISA. Как идею возьмите «регулярно смотреть на себя снаружи», об этом — Безопасность 05.

Организация: роли, политики, люди

Технические меры без организационной основы разваливаются. Минимум, который стоит сделать сразу:

• Назначьте ответственного. В CSF 2.0 желаемый результат описан так: роли, обязанности и полномочия определены, доведены до сведения и соблюдаются, а руководство отвечает за киберриск. Не оставляйте ответственность за безопасность одному человеку: это дело каждого сотрудника.
• Ведите инвентаризацию. Оборудование, программы, сервисы и системы организации перечислены в таблице активов.
• Напишите короткие правила. Одна-две страницы (практика автора): допустимое использование техники, в том числе личных устройств, пароли и MFA, обновления, копии, кому и как сообщать о подозрительном. Политики нужно доводить до персонала и поддерживать актуальными.
• Выясните внешние требования. Законодательные и договорные требования к защите информации — вопрос к юристу: интерпретировать их в этой серии мы не будем.
• Учите людей. Практика автора: 15 минут раз в квартал на примерах (подозрительное письмо, звонок «из ИТ»), единый адрес или телефон для сообщений. Порог для сообщения должен быть низким, даже о заблокированной атаке стоит сказать (так советует CISA в рекомендациях для малого бизнеса). Действия первой линии поддержки — в Поддержка 10.
• Заранее решите, кому звонить при инциденте. План реагирования — тема Безопасность 10.

Состояние на ноябрь 2026 года (проверьте актуальность). На момент сверки (10.11.2026) NIST продолжает ссылаться на CSF 2.0 (26 февраля 2024 года); краткое руководство SP 1300 датировано февралём 2024 года. Cross-Sector Cybersecurity Performance Goals версии 2.0 опубликованы CISA в декабре 2025 года и добавляют функцию Govern. Руководство NCSC для небольших организаций опубликовано 9 апреля 2026 года и проверено 21 июля 2026 года; «10 Steps to Cyber Security» (версия 1.0 от мая 2021 года) адресованы средним и крупным организациям, для небольших NCSC предлагает начинать с Cyber Action Toolkit. Определения взяты из FIPS 199 (2004), SP 800-30 Rev. 1 (2012) и SP 800-53 Rev. 5 (2020). Release 5.2.0 (27 августа 2025 года) не менял AC-5, AC-6 и CM-7; в SA-8 изменено только обсуждение SA-08(14) и добавлены ссылки. Условия сервисов CISA меняются.

Типичные ошибки и недоразумения

• «Мы маленькие, нас не тронут». И NCSC, и CISA пишут обратное: ни один бизнес не слишком мал, чтобы быть целью.
• Ждать «стопроцентной защиты». Цель — снизить вероятность и ущерб; остаточный риск принимают осознанно.
• Положиться на один слой. «У нас же есть антивирус» — это один слой из нескольких.
• Безопасность через неясность. Смена порта или «секретный» адрес панели не заменяют настоящей защиты.
• Модель угроз «в голове» одного администратора. Уйдёт он — уйдёт знание. Запишите таблицу.
• Один пароль администратора на все серверы. Он обнуляет принципы наименьших привилегий и глубокой защиты; лечится LAPS (Windows Server 12).

Проверьте себя

1. Какие три свойства информации составляют триаду CIA и что означает потеря каждого? Конфиденциальность — несанкционированное раскрытие; целостность — несанкционированное изменение или уничтожение; доступность — нарушение доступа к информации или системе.
2. Чем угроза отличается от уязвимости и риска? Разберите пример с RDP, открытым в интернет. Угроза — возможное событие (подбор пароля). Уязвимость — слабость, которой оно воспользуется (открытый порт, слабый пароль, нет MFA). Риск — вероятность и ущерб вместе. Меры: убрать порт из интернета, длинный пароль, MFA.
3. Из чего состоит минимальная модель угроз и что делать с мерой, которую нельзя внедрить сейчас? Из таблицы «актив → угроза → мера → владелец». Невнедрённую меру записывают как принятый риск с датой и согласованием руководителя.
4. Почему два однотипных средства защиты не считаются глубокой защитой? Однотипные механизмы злоумышленник преодолевает один за другим; нужны слои разной природы: профилактика, обнаружение, восстановление.
5. Назовите четыре основные меры, с которых CISA советует начинать малому бизнесу. Обучение распознаванию фишинга, надёжные пароли, MFA (фишингоустойчивая, где доступна), своевременные обновления.

Что дальше

• Безопасность для начинающих 02. Пароли, менеджеры паролей и MFA — самая частая точка входа и как её закрыть.
• Безопасность для начинающих 03. Уязвимости и обновления — как не пропускать известные дыры.
• Windows Server с нуля 12. Безопасность и обслуживание — LAPS, RDP и аудит на практике.
• Поддержка пользователей 10. Потеря данных и фишинг — как первая линия поддержки встречает инциденты.

Источники

• The NIST Cybersecurity Framework (CSF) 2.0 — активы, ID.AM, GV.RR, PR.AA-05
• NIST SP 1300. CSF 2.0: Small Business Quick-Start Guide — таблица активов, первые шаги, политики
• FIPS 199. Standards for Security Categorization — цели безопасности, уровни ущерба
• NIST SP 800-30 Rev. 1. Guide for Conducting Risk Assessments — определения угрозы, уязвимости и риска
• NIST SP 800-53 Rev. 5. Security and Privacy Controls — AC-5, AC-6, CM-7, глубокая защита, SA-8
• CISA. Secure Your Business — четыре основные меры, порог сообщения
• CISA. #StopRansomware Guide — пути первоначального доступа
• CISA. Cross-Sector Cybersecurity Performance Goals 2.0 — приоритетные практики, функция Govern
• CISA. Cyber Hygiene Services — состав сервисов и круг получателей
• NCSC. 10 Steps to Cyber Security: Risk management — четыре варианта обращения с риском
• NCSC. 10 Steps to Cyber Security: Identity and access management — действия для нескольких человек, раздельные учётные записи
• NCSC. Cyber Essentials — пять мер
• NCSC. Small organisations guide to cyber security — ответственность каждого, даты
• Microsoft Learn. Zero Trust as a security foundation — три принципа Zero Trust