Неизвестно, что открыто в интернет: как закрыть лишнее

Спросите у команды: какие сервисы компании торчат в интернет? Часто ответ уверенный — и неполный. Назовут сайт, почту, VPN. Забудут тестовый стенд «на пару дней», старую панель мониторинга, FTP с 2019 года, админку на нестандартном порту, о которой помнит только бывший подрядчик.

Боты помнят лучше. Они сканируют диапазоны постоянно. Для них неважно, «это же временно». Временно открытый удалённый рабочий стол или панель с паролем по умолчанию — достаточная дверь.

Пока периметр не инвентаризирован, безопасность строится на ощущении: «у нас вроде всё закрыто». Ощущение плохо проходит аудит и ещё хуже — инцидент. Руководителю нужна не лекция про угрозы, а реестр: что слушает снаружи, зачем, кто владелец, когда пересматривали.

Как выглядит неизвестный периметр на практике

Компания переехала на новый хостинг, DNS обновили, а старый VPS забыли выключить. На нём крутится копия админки. Через полгода туда постучались не клиенты. Логи смотреть уже поздно: сервер жил без присмотра.

Разработчик поднял тестовый контур с белым IP «чтобы показать заказчику». Показ прошёл, IP остался. Тестовый контур отстаёт по патчам от прода — и именно он становится удобной целью. Через тестовый контур часто ходят те же данные, что «почти боевые».

В офисе когда-то включили удалённый доступ к камере или сетевому хранилищу «для удобства». Учётки те же, что в презентации для монтажников. Удобство монтажников пережило их контракт.

Подрядчик оставил панель управления «на время миграции». Миграция закончилась актом, панель — нет. Пароль совпадает с тем, что когда-то отправили в мессенджер.

Общий мотив: поверхность атаки растёт незаметно, потому что открытия делают по делу, а закрытия — никто не назначает владельцем. У каждого «временного» исключения нет даты смерти.

Почему «у нас есть файрвол» недостаточно

Файрвол фильтрует по правилам, которые кто-то написал. Если правила не ревизируют, они стареют вместе с исключениями «на время проекта». Через год исключений больше, чем исходной политики.

Антивирус на ноутбуках не расскажет, что на публичном IP отвечает устаревшая панель. Это разные плоскости: конечные точки и периметр сервисов.

Сертификат на основном сайте не защищает забытый поддомен с формой логина. Красивый замок в браузере на главной не отменяет открытый техинтерфейс сбоку.

Нужна регулярная процедура: увидеть, что реально слушает снаружи, сравнить с белым списком, закрыть лишнее, усилить нужное. Без процедуры остаётся героизм после новости об утечке у «похожих».

Типичные ошибки в работе с периметром

Сканировать один раз «для галочки» и три года жить спокойно. Периметр меняется с каждым новым сервисом и подрядчиком. Разовый отчёт устаревает быстрее презентации.

Держать инвентарь в голове сисадмина. Человек увольняется — вместе с картой дыр. Новый сотрудник честно говорит «я не знаю, что у нас торчит» — и это уже прогресс по сравнению с ложной уверенностью.

Путать «закрыто паролем» и «не должно быть в интернете». Многие панели не нужны публично вообще — достаточно VPN или списка разрешённых адресов. Пароль на публичной админке — слабое утешение.

Игнорировать shadow IT: облачные пробники, временные туннели, личные VPS «для эксперимента», оплаченные с карты сотрудника. Финансы видят мелкий счёт, атакующий — ещё один вход.

После нахождения лишнего — только «закрыли порт», без разбора, были ли попытки входа и нужно ли менять секреты. Закрыть дверь после неизвестного числа гостей — полдела.

Сводить безопасность к покупке «коробки», не закрыв базовую гигиену. Инструмент без процесса снова даст красивый дашборд и ту же забытую панель.

Как наводят порядок без театра безопасности

Начинают с внешней инвентаризации: домены, поддомены, публичные IP, открытые порты, протоколы, версии там, где это видно. Сверяют с реестром активов. Всё, чего нет в реестре, по умолчанию подозрительно — пока не доказано обратное.

Дальше классификация. Что должно быть публичным: сайт, API для клиентов. Что должно быть доступно ограниченно: админки, панели, удалённый доступ, мониторинг. Что должно исчезнуть. Для каждого класса — разные меры, не одна «жёсткость на всех».

Для публичного — патчи, жёсткая аутентификация, минимизация поверхностей, журналы. Для ограниченного — VPN, списки адресов, второй фактор где возможно, отдельные учётки, запрет паролей ветеранов. Отдельно запрещают общий «админский» вход на всех стендах.

Вводят правило изменений: любой новый внешний сервис заносится в реестр с владельцем и датой пересмотра. Временные исключения живут со сроком годности, а не вечно. Нет владельца — нет открытия.

Периодичность важнее идеального первого отчёта. Короткий регулярный проход ловит дрейф раньше, чем годовой «большой аудит», после которого все устают и забывают. Лучше ежемесячный простой контроль, чем красивый PDF раз в три года.

Результаты переводят на язык руководства: сколько лишнего закрыли, какие критичные сервисы усилили, какой следующий риск в очереди. Иначе безопасность останется «внутренней темой админов».

Мини ритуал на каждый месяц

Раз в месяц достаточно короткого прохода: сверка публичных адресов и доменов с реестром, список новых открытий за период, проверка что временные исключения либо закрыты, либо продлены осознанно. На это уходит меньше времени, чем на разбор одного инцидента.

Результаты фиксируйте в одном месте, понятном не только админу: дата проверки, что нашли, что закрыли, что усилили, какой риск следующий. Тогда безопасность периметра перестаёт быть сезонным проектом и становится привычкой. Привычки дешевле авралов.

Что получает руководитель

Появляется управляемая картина: вот наш периметр, вот владельцы, вот что закрыли, вот что усилили. Это язык, на котором можно говорить с аудитором и со страховой, и с самим собой в три часа ночи.

Снижается вероятность глупого входа через забытый сервис — самый частый и самый обидный класс историй. Не «сложный целевой взлом», а открытая панель, о которой все думали, что её уже нет.

Безопасность инфраструктуры в этой точке — не покупка страшных коробок, а гигиена: видеть поверхность, сокращать её, сопровождать изменения. Коробки имеют смысл после гигиены, не вместо неё.

Если нужно системно закрыть вопрос «что у нас торчит наружу» и держать его под контролем, это как раз контур Безопасность инфраструктуры: инвентаризация, приоритизация, устранение и повторные проверки.