Как защитить стартап от кибератак: 6 способов

Зачастую стартапы крайне ограничены в ресурсах и поэтому вынуждены внимательно относиться к распределению средств. И хотя полный спектр задач по обеспечению безопасности является важным этапом в развитии компании, это не всегда первый шаг, который делают молодые проекты. Вкладывая деньги в безопасность, необходимо исходить из размера бизнеса и суммы риска. 

Какая защита нужна небольшой компании? Стартап должен стратегически сосредоточиться только на том, что необходимо конкретно ему, и следовать рекомендациям по безопасности, поскольку любой проект постепенно растет и пополняется новыми сотрудниками.

Как хакеры могут вас достать?

Интернет-стартапы очень уязвимы, поскольку их продукты — это в основном цифровой контент для пользователей. Кроме того, многие из них используют облачную бухгалтерию, онлайн-банкинг. Если мошенникам удастся получить доступ к учетным записям, они смогут украсть все деньги и оставить бизнес в долгах. Помимо этого кибермошенники стремятся взять под контроль рабочие места с ПК, аккаунты или все вместе, потому что одно связано с другим. Захватывая виртуальное пространство, они могут делать все, что им придет в голову от лица предпринимателя, включая перевод денег, рассылку по базе клиентов или заказ товаров на произвольные адреса за чужой счет и др.

Они также могут получить доступ к любым файлам, а дальше, как мы уже неоднократно наблюдали в случае с атаками WannaCry и Petya, шифровать информацию и требовать за нее выкуп. Таким образом, безопасность для небольших и начинающих компаний в основном сводится к тому, чтобы злоумышленники не смогли взять под контроль учетные записи пользователей, файлы с коммерческой информацией, клиентские базы и аккаунты. 

Как вы можете защитить свой бизнес от киберугроз?

Существует шесть основных угроз для малых предприятий с ограниченными ресурсами. Что делать, чтобы защитить себя от этих угроз?

1. Не трогайте подозрительные письма!

Фишинг — это любая атака в результате которой пользователи делятся своими паролями. Классический метод фишинга заключается в отправке пользователям электронных писем, требующих паролей для доступа в онлайн-банк, аккаунт в Facebook или на любой другой сайт, который, вероятно, используется как целевой объект.

Фишинг-письма обычно содержат ссылку на веб-сайт и инструкцию для действий, побуждающую пользователей срочно кликнуть по ссылке. Когда жертвы переходят по ней, то видят поддельную копию известного сайта и требование ввести имя пользователя и пароль. Что происходит в итоге? Люди просто дарят злоумышленнику свои данные.

Любой предприниматель с помощью обучения может рассказать своим сотрудникам о том, как можно противостоять фишинговым атакам. Однако есть печальная правда: независимо от того, насколько ответственно вы обучаете свою команду, кто-то либо потеряет бдительность, либо не сможет не кликнуть по письму, потому что оно будет — внимание! — от генерального директора.

Spearphishing (или целевой фишинг) — это вариант, когда злоумышленник тратит время на отправку очень убедительного фишингового письма (вполне возможно, что даже от имени руководителя компании), максимально адаптированного под законный бизнес. Интенсивное обучение по сравнению с совершенствующимися вариантами spearphishing — это как гонка вооружений, в которой вы вряд ли выиграете.

Решение: многофакторная аутентификация (MFA)

MFA — это защита, расширенная аутентификация, метод контроля доступа к компьютеру с помощью дополнительных требований подтверждения владельца. MFA довольно эффективно блокирует фишинг, поскольку делает обычный пароль недостаточным для захвата учетной записи пользователя.

2. Предотвращение вредоносного ПО

Под вредоносным ПО подразумевается любое ПО, предназначенное для получения несанкционированного доступа к вычислительным ресурсам компьютера или к информации, которая в нем хранится. Обычно злоумышленники убеждают пользователя загрузить и запустить вредоносное ПО. Например, многие сайты предлагают «бесплатные установки» Firefox и Chrome, но многие из них содержат вредоносное ПО в комплекте с браузером.

Конечно, немаловажно помнить о том, что Firefox нужно загружать только с mozilla.org, а Chrome — только с google.com, но это касается только этих двух случаев. В то же время есть множество способов, как мотивировать пользователя выполнять какие-то действия. Как только злоумышленник запускает вредоносное ПО, он может делать все, что разрешено пользователю.

Как защититься от вредоносного ПО?

Решение: установка антивируса

Вредоносная программа — одна из самых старых угроз, существующих с начала 1980-х годов, поэтому и антивирус является одной из старейших мер по снижению рисков. Основная задача антивирусника заключается в обнаружении вредоносного ПО и блокировке возможности скачивания.

Антивирусники должны использовать все компании на всех рабочих местах в качестве основной меры предосторожности. 

• На ПК с ОС Windows всегда должен работать антивирус. На ПК с Windows 7 часто появляется демоверсия антивируса, нужно внести абонентскую плату или деактивировать ее, установив при этом другое решение. С Windows 10 дела обстоят проще, поскольку в нее по умолчанию встроен Windows Defender. 
• Существует миф о том, что Mac не нужен антивирус, на самом деле это не так. Макбуки так же уязвимы для вредоносного ПО и по тем же самым причинам. Мac были «безопасными» только тогда, когда были не столь популярны, но теперь, когда эта техника широко используется по всему миру, она тоже может подвергаться кибератакам. Поэтому используйте антивирус, даже если работаете на MacBook.

Какое решение является лучшим — это предмет жарких споров. Гораздо важнее то, что одно из них вы точно используете. И если Windows 10 всегда обеспечит защиту вашему компьютеру, то более старые системы, такие как Windows 7, позволяют работать без антивируса, что крайне рискованно. Либо используйте Windows 10, либо обязательно позаботьтесь об установке антивирусника.  

Решение: использование современных веб-браузеров

В Google Chrome, Mozilla Firefox и Microsoft Edge есть функции, помогающие защитить вас и ваше содержимое в интернете. Если вы используете один из этих браузеров для загрузки файла exe, браузер проверяет загрузку и блокирует ее, если ПО является вредоносным. В случае с Microsoft Edge встроенный экран безопасности SmartScreen анализирует все открываемые сайты и может заблокировать потенциально опасные. Важно и то, что все страницы открываются в отдельных процессах, каждый из которых изолирован от остальной системы (выполняется в так называемой «песочнице»). Поэтому, даже если с браузером что-нибудь случается, с операционной системой и данные ничего не происходит. 

3. Защитите себя от вируса-вымогателя

Вирус-вымогатель — это всего лишь вид вредоносных программ, в частности, для шифрования и выгрузки файлов.

Вирус-вымогатель в последнее время часто упоминается в новостях из-за большого количества атак вроде Wannacry, которые оказали разрушительное воздействие на крупные бизнесы. Все вышеописанные методы защиты от вредоносных программ эффективны для предотвращения таких случаев, но есть и ряд дополнительных мер.

Решение: сохранение автономных резервных копий

Облачные решения отлично справляются с задачей сохранения данных от любых стихийных бедствий, таких как пожары, землетрясения и пролитый на компьютер кофе. Но поскольку они связаны с сетью, то в случае взлома компьютера или учетной записи пользователя у злоумышленника появится доступ и к облачным дискам.

Корпоративные облачные провайдеры, например Microsoft OneDrive для бизнеса, сохраняют версии, но только в фиксированном количестве. Хакеры знают это и поэтому могут просто перезаписать файлы, чтобы исчерпать лимит управления версиями, и зашифровать информацию.

Решением этой проблемы является сохранение автономных резервных копий, то есть размещение резервных копий данных в определенном месте. Ключевое преимущество автономной резервной копии заключается в том, что ее сложно просто так удалить. Это позволяет им быть защищенными от вирусов-шифровальщиков, требующих выкуп.

4. Защитите себя от 0day

0day (уязвимость нулевого дня) — термин, обозначающий неустраненные уязвимости, а также вредоносные программы, против которых еще не разработаны защитные механизмы. То есть уязвимость или атака становится публично известна до момента выпуска производителем ПО исправлений ошибки (это значит, что потенциально уязвимость может эксплуатироваться на работающих копиях приложения без возможности защититься от нее).

Как выглядит атака 0day? Предположим, что злоумышленник использует уязвимость в веб-браузере. Он создал веб-сайт и заманивает на него пользователей посредством размещенных в поисковиках объявлений, просто атакуя пользователя либо подменяя популярный веб-сайт. Загружаемая в браузере ​​вредоносная страница использует уязвимости для запуска кода злоумышленника, загрузки и запуска вредоносного ПО на компьютере пользователя.

Решение: обновление программ

Самый простой способ защититься — использовать обновленные версии ПО. Тем более, что большинство поставщиков ПО довольно внимательно относятся к отправке обновлений своим пользователям.

Атака Wannacry ransomware, произошедшая в марте, заразила четверть миллиона ПК с ОС Windows в мае 2017 года, притом что Microsoft уведомила об обновлении и устранении уязвимостей заранее. Поэтому жертвами атаки стали пользователи, которые по какой-то причине не смогли автоматически обновить Windows. Один из самых простых способов оставаться в безопасности — оставить автоматическое обновление включенным для всех программных продуктов, которые вы используете. 

5. Не делайте все на корпоративных ресурсах

Почтовые серверы и веб-сайты — любимые мишени для злоумышленников. Получая доступ к ним, хакеры могут менять контент, запускать спам-кампании с почтового сервера и совершать другие разрушительные для бизнеса действия.

Решение: использование облака

Лучшей рекомендацией в этом случае является использование облачных сервисов, таких как Azure, AWS и т.д. Облачная безопасность, конечно, не идеальна, но если на начальном этапе развития для бизнеса не столь критично обеспечение безопасности веб-серверов, его наверняка устроят и варианты, которые предлагают основные поставщики облачных решений. В любом случае старайтесь делегировать эту сферу бизнеса сторонним организациям. 

6. Будьте готовы к утере или краже устройств

В стартапах, как правило, всегда есть несколько работников, которые предпочитают брать работу на дом. Это означает, что они либо берут рабочие ноутбуки домой, либо получают доступ к рабочим серверам из дома через ноутбуки и телефоны.

Мы живем в такое время, когда миллионы людей перемещаются по городу на автобусах, в такси, Uber и т.д. Рано или поздно кто-то теряет компьютер или у него его крадут. И тот, кто его крадет, получает не только устройство за тысячу долларов, но и доступ к данным предприятия.

Решение: включите защиту на мобильных устройствах

Чтобы защитить корпоративные данные в случае кражи устройства, корпоративные службы должны предъявлять хотя бы минимальные требования к тем, кто пытается получить к ним доступ. Например, Microsoft Exchange может потребовать, чтобы все телефоны и ПК, имеющие доступ к серверу, соответствовали минимальным требованиям. Минимальные меры предосторожности должны включать:

• PIN-код / ​​пароль. Устройство должно требовать PIN-код (для телефонов) или пароль (для ноутбуков) для разблокировки. 
• Шифрование устройства. Устройство должно было зашифровано, чтобы прочитать диск не представлялось возможным. По умолчанию многие современные операционные системы шифруют хранилище файлов.
• Современные операционные системы. Нет телефонам пятилетней давности и нет Windows XP. Безопасность, вероятно, не является целью вашего стартапа, но безопасность необходима для каждого стартапа.

Автор: Марина Крицкая