Пароль на входе больше не защищает
Терминальный сервер, веб-публикация 1С и видеорегистратор — три устройства, которые чаще всего оказываются в интернете с одним паролем на всех. Боты находят открытый RDP за часы, а не за месяцы. Признаки, что пора закрывать доступ:
- в журнале терминального сервера сотни неудачных попыток входа с чужих адресов;
- веб-публикация 1С доступна по адресу вида company.ru/1c без дополнительной проверки клиента;
- камеры и регистратор смотрят наружу, а пароль на них заводской;
- один пароль на всех сотрудников или общая учётная запись «admin»;
- доступ к серверам открыт «на всякий случай» всему офису.
Смена порта и «сложный пароль» проблему не решают — они лишь отодвигают момент, когда её заметят.
Что входит в работу
- mTLS для веб-приложений и API. Взаимная проверка сертификатов: без клиентского сертификата соединение не устанавливается вовсе.
- Свой центр сертификации. Выпуск, продление и отзыв сертификатов, регламент ротации — чтобы через год не выяснилось, что «всё истекло».
- Авторизация по сертификатам. Перевод веб-публикаций и экосистемы Антикон на вход по сертификату вместо пароля.
- Защита от перебора. Ограничение попыток входа, блокировка по адресам, отказ от прямого доступа к RDP из интернета.
- Сегментация и NGFW. Камеры, серверы и рабочие места — в разных сегментах, доступ только к нужным сервисам.
- Аудит доступов. Кто и куда ходит, какие учётные записи лишние, где общие пароли и открытые порты.
- ЭЦП и КриптоПро. Установка, настройка, диагностика проблем на рабочих местах.
- Разбор инцидентов. Смотрим журналы, находим источник и закрываем то, через что пришли.
Как работает mTLS — без магии
В обычном HTTPS сервер показывает клиенту сертификат, а клиент — только пароль. При mTLS проверка идёт в обе стороны: сервер тоже требует сертификат клиента. Нет сертификата — нет соединения, даже если пароль угадан.
Приватный ключ остаётся у клиента, сервер хранит только сертификат. Потерянный ключ отзывается и перевыпускается, а не «восстанавливается». Именно поэтому mTLS спокойно переживает утечку пароля и работает там, где парольная политика уже не спасает.
Три задачи, с которых чаще всего начинают
«Веб-публикация 1С открыта в интернет»
Закрываем публикацию клиентскими сертификатами и оставляем снаружи только то, что нужно. Пользователи ставят сертификат один раз — дальше вход идёт без пароля и без «запомнить меня». Заодно проверяем, что без сертификата действительно не пускает.
«Камеры и регистраторы стучатся наружу»
Убираем прямые публикации, переводим доступ на защищённый канал и меняем заводские учётные данные. Отдельно смотрим, не открыт ли регистратор целиком — часто вместе с камерами наружу уходит и архив.
«Нужен вход по сертификатам для Антикон»
Настраиваем выпуск и установку сертификатов, переводим экосистему на авторизацию по ним, проверяем сценарии пользователей и старых клиентов. На выходе — инструкция, по которой сотрудник ставит сертификат сам.
Чего mTLS не делает
mTLS не заменяет обновления, антивирус и резервные копии. Он закрывает вход, но не спасает от фишинга, слабых прав и уязвимостей в самом приложении.
Мы не выдаём себя за лицензиата ФСТЭК и не продаём аттестацию. Если нужна лицензируемая деятельность — скажем об этом и подскажем, к кому идти.
Как проходит работа
- Аудит. Смотрим, что доступно снаружи, кто и как входит, какие учётные записи и сертификаты используются.
- План. Что закрываем в первую очередь: обычно это RDP, веб-публикации и камеры.
- Внедрение. В согласованное окно, с проверкой каждого сценария входа после изменений.
- Передача. Схема доступа, регламент выпуска и ротации сертификатов, инструкции для сотрудников.
Сколько это стоит
Стоимость по запросу. Она зависит от количества сервисов, которые нужно закрыть, числа пользователей и того, есть ли уже инфраструктура сертификатов. После аудита называем вилку и фиксируем состав работ в договоре.
Разовая задача — закрыть RDP, настроить mTLS для одной публикации, разобрать инцидент — оформляется без годового контракта.