Защита конечных точек: рабочие станции и серверы под контролем
План статьи
Что такое защита конечных точек и почему это фундамент ИБ
Конечная точка (endpoint) — любое устройство в ИТ-ландшафте организации, которое подключается к сети и обрабатывает данные: рабочая станция, ноутбук, файловый или прикладной сервер, смартфон, планшет, иногда — оргтехника с сетевым интерфейсом. Именно конечные точки — точки ввода и вывода корпоративной информации: через них данные попадают в систему и через них же покидают периметр.
Конечные точки — приоритетная цель по трем причинам. Во-первых, их много: у среднего предприятия счет идет на сотни и тысячи устройств, и каждое — потенциальная точка входа. Во-вторых, на них работают сотрудники, которые могут переходить по фишинговой ссылке, использовать слабый пароль, копировать файл на флешку, не думая о последствиях. В-третьих, конечная точка — не только объект атаки, но и легитимный канал доступа к данным, которым может воспользоваться сам сотрудник. Поэтому защита конечных точек — фундамент информационной безопасности бизнеса в целом.
Отсюда вытекает базовый принцип зрелой защиты конечных точек: нужны два контура одновременно. Первый — оборона от внешнего противника: от вредоносного ПО, эксплойтов, попыток взлома. Второй — контроль того, что происходит с данными изнутри.
Внешние угрозы и классы решений: антивирус, EPP, EDR
Внешний контур защиты конечных точек отвечает на вопросы «как снизить риск проникновения злоумышленника внутрь» и «как обнаружить или остановить вредоносный процесс, если он уже запущен». Здесь работают три поколения технологий, которые закрывают разные уровни безопасности информационных систем компании.
- Антивирус — базовый уровень: сигнатурное и эвристическое обнаружение известных вредоносных программ.
- EPP, Endpoint Protection Platform, — комплексная превентивная защита конечной точки: антивирусный движок, файрвол, контроль приложений, защита от эксплойтов и часть поведенческого анализа в одном агенте.
- EDR, Endpoint Detection and Response, — следующий шаг: записывает телеметрию с конечной точки, помогает выявлять поведенческие аномалии, позволяет расследовать инцидент и реагировать на сложную атаку, которую не удалось остановить превентивными средствами.
Что касается DLP-решений, Data Loss Prevention, то они предназначены для защиты от внутренних угроз: утечек или слива данных, инсайдерских атак. DLP помогает предотвратить утечки конфиденциальной информации за пределы организации. Она обеспечивает контроль попыток передачи данных, совершенных как по ошибке, так и умышленно.
| Класс решения | Что делает | От чего защищает |
|---|---|---|
| Антивирус | Сигнатурное и эвристическое обнаружение вредоносного ПО | Вирусы, трояны, известные угрозы |
| EPP (Endpoint Protection Platform) | Комплексная превентивная защита конечной точки | Вредоносное ПО, эксплойты, часть неизвестных угроз |
| EDR (Endpoint Detection and Response) | Обнаружение, расследование и реагирование на инциденты | Сложные атаки, поведенческие аномалии |
| DLP (Data Loss Prevention) | Контроль действий пользователей с данными | Внутренние утечки, инсайдерство, слив данных |
Ни один из этих классов не заменяет остальные — они закрывают последовательные рубежи обороны, и все четыре обычно применяются одновременно для полноценной защиты конечных точек.
Хардненинг системы и серверов
Хардненинг (hardening) — процесс повышения безопасности системы путем устранения уязвимостей. Хардненинг серверов дополняет программные средства защиты организационными мерами.
К хардненингу можно отнести:
- своевременные обновления ОС и прикладного ПО;
- отказ от небезопасных протоколов удаленного доступа в пользу защищенных аналогов;
- ограничение сетевого доступа к серверу по принципу необходимого минимума;
- регулярный пересмотр открытых портов и служб.
Своевременное улучшение киберустойчивости снижает потенциальную поверхность атаки еще до того, как в дело вступает EPP или EDR.
Периметр защищен, а утечки — изнутри
Здесь заканчивается зона ответственности антивируса, EPP и EDR. Все три класса решений анализируют файлы, процессы и сетевой трафик на признаки вредоносной активности. Но они не видят разницы между сотрудником, который открыл отчет по работе, и сотрудником, который скопировал отчет на личную флешку или переслал в личный мессенджер. Для EPP и EDR это легитимное действие авторизованного пользователя, а не угроза.
Типичные сценарии утечки через штатный доступ сотрудника:
- копирование клиентской базы на внешний носитель перед увольнением;
- пересылка внутренних документов через личную почту или мессенджер «для удобства»;
- массовая выгрузка данных с файлового сервера.
В таких сценариях сотрудник может не запускать вредоносный процесс, поэтому антивирус, EPP и EDR не всегда распознают действие как атаку. Зато здесь работает DLP — класс решений, который контролирует действия пользователей с данными на конечных точках.
DLP-система SecureTower помогает получить ответ на вопросы:
- что скопировано;
- куда отправлено;
- что распечатано;
- что попытались вынести за пределы контролируемого периметра.
Это направление напрямую пересекается с темой экономической безопасности: цена утечки для компании бывает часто выше, чем последствия отраженной внешней атаки.
Важно. DLP дополняет защиту периметра, а не заменяет антивирус, EPP или EDR. Это разные контуры одной системы безопасности, и оба нужны одновременно.
Контроль рабочих станций: агент и политики
Внутренний контур реализуется через программного агента, установленного на рабочей станции. Поскольку агент функционирует внутри ОС, он может контролировать широкий набор поддерживаемых каналов при соответствующих настройках профиля.
Агент контролирует:
- веб-трафик, включая HTTPS, почтовые клиенты (SMTP, IMAP, POP3) и мессенджеры (Telegram, WhatsApp, корпоративные чаты);
- подключаемые устройства и накопители, в том числе USB-накопители и другие съемные носители;
- периферийные действия: вывод на печать, операции с буфером обмена, кейлоггер, снятие скриншотов экрана;
- файловые операции: создание, изменение, перемещение и удаление документов в рамках контролируемых файловых систем и сетевых ресурсов.
Поверх этого выстраиваются политики безопасности — правила, которые определяют, что считается нарушением для конкретной роли или подразделения. Финансовому отделу может быть запрещена пересылка файлов определенного формата на внешние адреса, а инженерам — копирование конфиденциальных чертежей на внешние носители.
При обнаружении нарушения возможна блокировка передачи данных в момент попытки — до того, как файл покинул периметр.
Кроссплатформенность
Инфраструктура крупной организации может состоять из различных операционных систем: агенты контроля конечных точек должны поддерживать Windows, Linux — включая Astra Linux в госсекторе и на объектах КИИ, — и macOS. Разрыв в покрытии хотя бы одной платформой создает слепую зону.
DLP-система SecureTower является программным продуктом, который можно установить на выделенный сервер или виртуальную машину под управлением ОС Windows, ОС Linux и Mac OS.
Файловые серверы: аудит операций и разграничение доступа
На файловом сервере часто хранятся договоры, финансовая отчетность, клиентские базы и техническая документация. Именно поэтому он может стать приоритетной целью для массового скачивания, будь то целенаправленная кража перед увольнением или случайный доступ к данным, которые не относятся к рабочим обязанностям сотрудника.
Первый рубеж — разграничение доступа по принципу минимальных привилегий: сотрудник должен видеть только те папки и файлы, которые нужны ему для работы. Но одних прав доступа недостаточно — легитимный доступ еще не означает безопасное использование данных.
Второй рубеж — аудит файловых операций: кто, когда и с какого устройства открыл, скопировал, переместил или удалил файл. Такой журнал операций — часть общего управления инцидентами информационной безопасности.
Журнал операций помогает:
- выявлять аномалии, такие как массовое скачивание за короткое время;
- выявлять обращение к файлам в нерабочие часы;
- выявлять доступ сотрудника к папкам, с которыми он раньше не работал;
- расследовать инцидент, если он произошел.
Что дает DLP поверх штатных прав NTFS
Штатные права в NTFS, файловой системе Windows, помогают ответить на вопрос «кто может открыть файл», но не отвечают на вопрос «куда файл попал после того, как был скопирован». DLP-контроль поверх файлового сервера закрывает именно этот разрыв: фиксирует не только факт доступа, но и последующие контролируемые действия с файлом — был ли он отправлен по почте, загружен в облако или записан на съемный носитель.
Сеть и удаленный доступ: VPN, RDP и каналы утечки
Удаленная работа расширяет периметр компании до домашнего роутера и личного устройства сотрудника, и вместе с этим расширяется поверхность для утечки. VPN и RDP — штатные и легитимные каналы доступа к корпоративным ресурсам, но по этим же каналам данные могут быть вытащены без каких-либо признаков атаки: сотрудник просто выгружает файл через легальную сессию удаленного доступа. Поэтому контроль сотрудников при переходе на удаленку — отдельная и важная задача, а не автоматическое продолжение офисных политик безопасности.
Контроль сети в рамках защиты конечных точек включает анализ сетевых каналов и веб-трафика, включая HTTPS, перехват по поддерживаемым протоколам передачи данных и, при необходимости, зеркалирование сетевого трафика для последующего анализа.
Теневые каналы
Отдельного внимания требуют теневые каналы — личные облачные хранилища, мессенджеры, веб-почта, доступные через браузер в обход корпоративных почтовых серверов. Формально это не удаленный доступ к инфраструктуре, но эти каналы могут использоваться, чтобы обойти контроль корпоративной почты.
Защита корпоративных баз данных от слива
В базах данных может храниться ценная корпоративная информация — клиентские базы, финансовые показатели, данные о сделках. Угроза здесь выглядит как легитимная выгрузка через прикладной интерфейс сотрудником, у которого есть доступ по должностным обязанностям.
Информационная безопасность баз данных строится на трех уровнях:
- Разграничение прав доступа к таблицам, файлам и данным.
- Аудит запросов и выгрузок — кто и когда обращался к каким данным.
- Контроль того, что происходит с уже выгруженными данными: отправлены ли они на внешний адрес, записаны ли на носитель и т.д.
Привязка событий передачи и перехваченных данных к карточке конкретного пользователя может ускорить расследование, если инцидент все же произошел. Защита базы данных — это не только вопрос прав доступа. Авторизованный сотрудник с легальным доступом к выгрузке способен нанести не меньший ущерб, чем внешний атакующий, — разница только в том, что его действия не остановит ни файрвол, ни антивирус, но может остановить DLP-система.
Заключение
Полноценная защита конечных точек — это не выбор между внешним и внутренним контуром, а их сочетание: антивирус, EPP или EDR помогают обнаруживать и останавливать атаки на входе, DLP контролирует действия пользователей и помогает снизить риск вывода данных за пределы контура компании. Дополнительно в защите конечных точек работает разграничение доступа и обученные сотрудники.
Важно и то, что контроль действий сотрудников на конечных точках — не просто техническая настройка, а мера, которая требует правовой основы. Как правило, для корректного применения важно предусмотреть несколько условий:
- используемая техника и каналы связи объявлены служебными в локальном нормативном акте;
- это закреплено в трудовом договоре с сотрудником;
- работник ознакомлен с порядком контроля под подпись;
- определена конкретная цель обработки данных по 152-ФЗ «О персональных данных».
При работе с коммерческой тайной дополнительно применяется 98-ФЗ «О коммерческой тайне», а для субъектов критической информационной инфраструктуры действуют требования 187-ФЗ «О безопасности критической информационной инфраструктуры».
Часто задаваемые вопросы
- Что такое защита конечных точек (endpoint security) простыми словами?
Это комплекс мер и технических средств, которые защищают устройства, подключенные к корпоративной сети, — рабочие станции, ноутбуки, серверы — от внешних атак и от утечки данных, к которым эти устройства имеют легитимный доступ.
- Чем защита от внутренних утечек (DLP) отличается от антивируса и EPP/EDR?
Антивирус, EPP и EDR анализируют файлы, процессы и трафик на признаки вредоносной активности и помогают обнаруживать и останавливать атаки. DLP контролирует легитимные действия пользователей с данными — копирование, пересылку, печать.
- Как контролировать доступ к файловому серверу и отследить массовое скачивание?
Через сочетание разграничения прав по принципу минимальных привилегий и аудита файловых операций.
- Как защитить корпоративную базу данных от выгрузки и слива?
Разграничением прав доступа к данным, аудитом запросов и выгрузок с привязкой к конкретному пользователю, а также контролем того, что происходит с уже выгруженными данными на рабочей станции сотрудника.
- Заменяет ли DLP антивирус на конечных точках?
Нет. DLP контролирует действия пользователей с данными и не заменяет антивирус, EPP или EDR, которые отвечают за защиту от вредоносного ПО и атак. В зрелой защите конечных точек обычно сочетают оба контура.
.jpg)
 system.jpg)
