Удалёнка без VPN: открытый RDP и другие приглашения для атаки

Сотрудники работают из дома. Чтобы «было как в офисе», когда-то пробросили удалённый рабочий стол на белый адрес, раздали программу удалённого доступа с простым паролем или открыли файловую шару «на время». Время прошло, дыра осталась. Подбор паролей и шифровальщики обожают такие контуры: они не всегда ищут редкую уязвимость — они ищут ленивый удалённый доступ.

Удалёнка без нормальной сети — не гибкость. Это отложенный инцидент с простой учётных систем, файлов и, возможно, выкупом и разбирательствами по данным клиентов.

Особенно опасно сочетание: прямой доступ + слабые пароли + отсутствие второго фактора + права администратора «чтобы не мешало». Цепочка короткая.

Как ломают «удобный» доступ

Подбор паролей к удалённому столу сутками. Фишинг к учётке с правами на учёт. Угон «временного» доступа, который стал постоянным. Слабая домашняя сеть сотрудника плюс открытый вход во внутренние ресурсы без сегментации. После входа шифруются шары и базы — бизнес встаёт на дни.

Почему так делают

Нормальный защищённый доступ «сложно», сертификаты «потом», второй фактор «пользователи будут ругаться». В моменте побеждает удобство. Счёт приходит при инциденте.

Ещё аргумент: «нас маленькая компания, на нас не нападут». Нападают не по штатному расписанию — по открытым портам и слабым паролям.

Нормальная схема удалёнки

Защищённый канал доступа с сильной аутентификацией. Второй фактор обязательно. Минимальные права. Сегментация: бухгалтерия не должна видеть инженерные сети без нужды. Журналы попыток входа и сигнал на аномалии. Запрет прямого рабочего стола и файловых протоколов в интернет. Политика на личные устройства или корпоративные рабочие места.

Для учёта и терминальных сценариев — продуманный шлюз, а не проброс порта. Обновления клиентов и шлюзов — часть регламента.

Ошибки внедрения VPN

Поставить VPN и раздать один общий секрет. Разрешить разделение трафика без политики. Забыть отзыв доступа. Не учить людей: фишинг ломает даже хороший периметр, если второй фактор слаб или его обходят усталостью.

Для бизнеса

Настройка сети под удалёнку — про непрерывность работы и страховку от шифровальщика. Если критичные системы торчат наружу «как получится», это приоритет выше нового принтера.

Частые вопросы

Можно ли оставить TeamViewer? Только как исключение с жёсткими правилами. Как основной канал ко всем серверам — плохая идея.

MFA обязательно? Для доступа к корпоративным системам извне — да, если не хотите спорить с последствиями одной украденной учетки.

На что смотреть через месяц

Улучшение проверяют фактами: меньше инцидентов, короче простой, ниже доля ручной работы, предсказуемее расходы, понятнее ответственность. Если через месяц картина не изменилась, выбран не тот рычаг или не закреплены регламент и владелец.

Зафиксируйте исходную точку до изменений: длительность последнего сбоя, откуда о нём узнали, сколько часов уходило на рутину, какая статья затрат была непрозрачна. Иначе через квартал снова начнётся спор «стало лучше или просто забыли».

Практический минимум на две недели

Не чините всё сразу. Возьмите один критичный контур и доведите до состояния «можно объяснить руководителю за три минуты»: что ломается, кто заметит первым, как откатываемся, какова цена простоя. Затем повторите для следующего.

Короткий документ — схема, доступы, владельцы, даты проверок — полезнее длинной wiki, которую никто не открывает. Обновляйте его после инцидента, пока правда ещё свежая. И назначьте персонального владельца: коллективная ответственность в авариях обычно означает её отсутствие.

Итог

Закрыть дыру дешевле, чем разгребать последствия. И быстрее, чем кажется, если не изобретать идеал, а убрать прямой доступ и ввести второй фактор. Удалёнка должна быть удобной — но не за счёт открытой двери в учёт и файлы.

Дополнительно имеет смысл провести короткую ретроспективу с бизнесом: что осталось неудобным, какие обходные пути люди всё ещё используют, где не хватает прав или наоборот их слишком много. Именно обходные пути показывают, что официальный процесс ещё не стал основным.