Одна серьёзная организация заказала у менее серьёзной организации услуги по разработке ПО. В серьёзной организации к вопросу удалённого подключения разработчиков к своей ИТ-инфраструктуре (замечу, изолированной её части) подошли основательно: VPN-клиент с сертификатом, проверка уровня защищенности удалённых компьютеров при помощи программы Сакура.
Всё хорошо. Вот только эту Сакуру настроили так, что ей всё не нравится и она регулярно рвёт VPN-подключение. Помимо этого сама Сакура не нравится касперскому, который по требованиям серьёзной организации должен быть на всех АРМ.
Вместо техподдержки, девушка - менеджер по работе с подрядчиками :)
Время идёт, разработчики не могут начать работать в контуре заказчика, ответа от менеджера тоже нет.
Вывод: к вопросам информационной безопасности нужно подходить взвешенно, чтобы не навредить развитию компании.

В процессе приручения Сакуры на подопытном компьютере пришлось многое удалить, так как по договору не должно быть в том числе и программ для удаленого управления. Удалили и программу "Подключение к удаленному рабочему столу", которая в Windows 10 доступна к удалению в "Программах и компонентах". Это всё равно не помогло :)
А вот, чтобы её вернуть обратно, пришлось искать этот дистрибутив в интернете. Вдруг кому пригодится, вот ссылка - https://learn.microsoft.com/en-us/windows-server/remote/remote-desktop-services/remotepc/uninstall-remote-desktop-connection?tabs=gui

Продолжение предыдущей истории.
Серьёзная организация через некоторое время прислала новый дистрибутив программы Сакура. Эта версия ведёт себя более стабильно, разработчики подключились к серверу заказчика. Правда разработчикам теперь приходится следить, чтобы в диспетчере задач их компьютеров не было запущенных процессов от программ удаленного управления, создания снимков, сканеров сети :) Иначе Сакура будет разрывать VPN-подключение.

Ideco NGFW - Настройка VPN-сервера с двухфакторной аутентификацией. Часть 1

Есть некоторые претензии к NGFW от UserGate, поэтому в этот раз решил попробовать от Ideco.

Взяли на пилотный проект Ideco NGFW 21. Одним из пунктов тестирования была проверка двухфакторной аутентификации для удаленных пользователей. Здесь это неплохо реализовано через Ideco Client. Подробнее здесь - https://sysadminchik.ru

Ideco NGFW - Подключение по VPN. Часть 2

В первой части я настроил VPN-сервер на Ideco NGFW. Теперь переходим на сторону VPN-клиента - удалённого пользователя. Первым делом передаём удалённым пользователям URL личного кабинета NGFW, их логин и пароль.

Дальнейшие действия подойдут, как инструкция для удалённых пользователей - https://sysadminchik.ru

Перевыпуск (продление) сертификата OpenVPN сервера в pfSense

Одним утром удаленные сотрудники стали жаловаться на невозможность подключиться к офису. Выяснилось, что причина была в сертификате OpenVPN-сервера в pfSense, у которого истек срок действия.
В инструкции pfSense 2.8.1 - https://sysadminchik.ru

Подбор пароля от архива при помощи программы John

Возникла задача восстановить пароль от архива с нужными документами. Поиск привел к программе John the Ripper.

John the Ripper - это инструмент с открытым исходным кодом для аудита безопасности паролей и их восстановления.

Я проверил ее работу на разных архивах с несложным паролем - https://sysadminchik.ru

Одной гражданской организации прокуратура сделала замечание за размещение в сети интернет сведений, являющихся, по их мнению, служебной тайной. Оказывается с 2021 года в ФЗ "Об обороне" появился такой термин:

Служебную тайну в области обороны составляют сведения, которые образуются при осуществлении полномочий органами государственной власти РФ, функций органами государственной власти субъектов РФ, органами местного самоуправления и организациями по организации и выполнению мероприятий в области обороны, распространение которых может нанести вред при выполнении указанных мероприятий.

И за разглашение таких сведений есть административная ответственность согласно КоАП РФ "Статья 13.14. Разглашение информации с ограниченным доступом".

Чтобы не привлекать внимание прокуратуры, лучше в организациях, которые как-либо взаимодействуют с военными, на своих интернет-ресурсах полностью убрать раздел с новостями компании. Также это поможет не привлекать внимание Роскомнадзор, который делает замечания за размещение фотографий сотрудников организации и их родственников. Обычно это не оформляют бумажно должным образом.

На всякий случай создал канал Сисадминчик в Max:
https://max.ru/join/mlncCxohZlva-jUYkZ5zIbgA5Fzh0IM48zzhXe3_8OM
Буду стараться размещать информацию и там и тут.

Наткнулся на одну статью, где описывалась работа злоумышленников по
распространению вирусов шифровальщиков и последующему требованию выкупа.
Меня в ней заинтересовало несколько моментов:
1. В настройках шифровальщика могут быть указаны директории, файлы в которых не шифруются. Например, windows, program files, program files (x86), programdata, all users.
2. Могут быть заданы имена файлов, которые не шифруются. Например, autorun.inf, boot.ini, desktop.ini, ntuser.dat, ntuser.ini, thumbs.db.
3. Может быть указан список расширений, файлы с которыми не шифруются.
Например, ani, bat, bin, cab, cmd, dll, exe, lnk, sys, msi.
Это навело меня на мысль, что можно реализовать дополнительную меру защиты от данного типа угроз, путём хранения бэкапов в указанных директориях и присвоением файлам бэкапов (или их архивам) имён/расширений из этого списка.
В статье ничего не говорилось, про анализ вирусом размера файлов перед их шифрованием, поэтому это может сработать.
Ещё там был отмечен момент с шифрованием виртуальных машин. Я до этого думал, что занятый процессом файл нельзя зашифровать, и поэтому на запущенные виртуальные машины эта угроза не распространяется. Оказалось, что злоумышленники нашли способ это обойти. Для этого виртуальные машины предварительно останавливаются через командную оболочку гипервизора, потом шифруются. Например, для остановки виртуальных машин в Hyper-V есть команда:
Stop-VM -Name VM1 -TurnOff -Confirm:$false

Анализ сетевого трафика при помощи ИИ

В межсетевом экране от UserGate есть возможность записывать сетевой трафик. Например, так можно выявить причины проблем с работой различных веб-сервисов. Вот только анализировать записанный трафик не всегда простая задача. Вот тут на помощь может придти ИИ - https://sysadminchik.ru