Операционная безопасность (OPSEC)
Настоящий документ определяет базовые требования по обеспечению операционной безопасности (OPSEC) для владельцев, администраторов, сотрудников и подрядчиков, использующих программное обеспечение iEXExchanger.
Цель документа — минимизировать риск несанкционированного доступа, компрометации данных, финансовых потерь, остановки работы сервиса и других инцидентов информационной безопасности.
Требования данного документа рекомендуется применять ко всем системам, связанным с работой обменного пункта:
серверы;
административные панели;
электронная почта;
Telegram;
домены и DNS;
Cloudflare;
GitHub;
платёжные системы;
криптовалютные кошельки;
рабочие устройства сотрудников.
Международные стандарты безопасности
Политика безопасности iEXExchanger основана на рекомендациях следующих стандартов:
NIST Cybersecurity Framework
Международный стандарт управления кибербезопасностью, используемый государственными структурами и коммерческими организациями.
Основные принципы:
Identify (идентификация рисков);
Protect (защита);
Detect (обнаружение угроз);
Respond (реагирование);
Recover (восстановление).
ISO/IEC 27001
Международный стандарт построения системы управления информационной безопасностью.
Основные требования:
контроль доступа;
управление рисками;
резервное копирование;
аудит действий пользователей;
управление инцидентами безопасности.
CIS Controls
Практический набор рекомендаций по защите инфраструктуры.
Особое внимание уделяется:
защите учётных записей;
обновлению программного обеспечения;
контролю доступа;
защите конечных устройств;
журналированию событий.
Zero Trust Security Model
Современная модель безопасности, основанная на принципе:
Никому не доверяй по умолчанию. Проверяй всё.
Каждый пользователь, устройство и запрос должны проходить проверку независимо от их происхождения.
Основные угрозы
Социальная инженерия
Попытка получить доступ путём обмана сотрудников или владельца проекта.
Примеры:
сообщения от имени разработчиков;
просьбы предоставить доступ к серверу;
запросы на передачу резервных копий;
предложения установить неизвестные программы.
Фишинг
Создание поддельных сайтов, страниц авторизации и почтовых сообщений для кражи учётных данных.
DDoS-атаки
Перегрузка сервиса большим количеством запросов с целью остановки работы обменного пункта.
Вредоносное ПО
Использование:
троянов;
стилеров;
кейлоггеров;
вредоносных расширений браузера;
программ удалённого доступа.
Компрометация учётных записей
Получение злоумышленниками доступа к:
серверу;
панели управления;
электронной почте;
Telegram;
Cloudflare;
домену;
платёжным системам.
Ошибки сотрудников
Наиболее частая причина инцидентов:
передача доступов третьим лицам;
использование слабых паролей;
работа без MFA;
открытие подозрительных вложений.
Политика управления доступом
Принцип минимальных привилегий
Каждый пользователь должен иметь только тот уровень доступа, который необходим для выполнения его задач.
Запрещается выдавать:
полный доступ подрядчикам;
root-доступ без необходимости;
общие учётные записи нескольким сотрудникам.
Индивидуальные учётные записи
Каждый сотрудник должен использовать собственную учётную запись.
Запрещается:
использовать общий логин;
передавать свои данные авторизации другим лицам.
Временные доступы
Все временные доступы должны иметь срок действия.
После завершения работ доступ должен быть:
удалён;
заблокирован;
заменён новым при необходимости.
Политика паролей
Минимальные требования:
длина не менее 16 символов;
использование строчных и заглавных букв;
использование цифр;
использование специальных символов.
Рекомендуется использовать менеджеры паролей.
Запрещается:
хранить пароли в текстовых файлах;
использовать одинаковые пароли;
передавать пароли через обычные сообщения.
Многофакторная аутентификация (MFA)
Обязательна для:
FastPanel;
Cloudflare;
электронной почты;
Telegram;
GitHub;
административной панели;
доменного регистратора;
платёжных систем.
Предпочтительно использовать приложения-аутентификаторы:
Google Authenticator;
Microsoft Authenticator;
2FAS;
Aegis.
SMS-аутентификация рекомендуется только как резервный вариант.
Безопасность сервера
Для серверов Debian рекомендуется:
Обязательно
использовать SSH-ключи;
отключить вход root по паролю;
установить UFW;
установить Fail2Ban;
регулярно обновлять систему;
использовать отдельного пользователя для работы.
Рекомендуется
ограничить SSH по IP;
изменить стандартный порт SSH;
использовать мониторинг сервера;
использовать отдельный сервер для production.
Безопасность электронной почты
Почта является критически важным элементом безопасности.
Обязательно:
включить MFA;
использовать отдельный адрес для администрирования;
настроить SPF;
настроить DKIM;
настроить DMARC.
Не открывайте вложения и ссылки от неизвестных отправителей.
Безопасность Telegram
Обязательно:
включить Two-Step Verification;
использовать пароль не менее 16 символов;
регулярно проверять активные сессии;
удалять неизвестные устройства.
Никогда не передавайте:
коды подтверждения;
резервные коды;
данные активных сессий.
Cloudflare и защита периметра
Рекомендуемые меры:
скрыть реальный IP сервера;
включить WAF;
включить Bot Protection;
настроить Rate Limiting;
ограничить доступ к панели управления по IP;
использовать режим Under Attack при необходимости.
Безопасность рабочих устройств
Рекомендуется:
использовать отдельное устройство для администрирования;
включить шифрование диска;
использовать антивирусное ПО;
регулярно обновлять операционную систему;
использовать отдельный профиль браузера для работы.
Работа с подрядчиками
Перед выдачей доступа:
Создайте отдельную учётную запись.
Ограничьте доступ необходимыми правами.
Ограничьте доступ по IP при возможности.
Зафиксируйте срок действия доступа.
После завершения работ:
Удалите доступ.
Удалите SSH-ключи.
Проверьте журналы действий.
Смените пароли при необходимости.
Резервное копирование
Рекомендуется соблюдать правило:
3-2-1
3 копии данных;
2 разных носителя хранения;
1 копия вне основного сервера.
Резервному копированию подлежат:
файлы проекта;
база данных;
конфигурации сервера;
резервные коды MFA;
SSL-сертификаты.
Контрольный список владельца
Ежедневно
Проверить входы в Telegram.
Проверить входы в почту.
Проверить административные логи.
Проверить уведомления Cloudflare.
Еженедельно
Проверить журналы SSH.
Проверить активные сессии.
Проверить доверенные IP.
Установить обновления безопасности.
Ежемесячно
Проверить резервные копии.
Провести аудит доступов.
Проверить подрядчиков.
Ежеквартально
Пересмотреть права доступа.
Провести аудит безопасности.
Проверить план реагирования на инциденты.
Реагирование на инциденты
При подозрении на компрометацию:
Немедленно прекратите взаимодействие с подозрительным источником.
Завершите все активные сессии.
Смените пароли.
Проверьте журналы авторизации.
Перегенерируйте SSH-ключи при необходимости.
Ограничьте доступ к административным разделам.
Проверьте целостность файлов.
Проверьте резервные копии.
Зафиксируйте все признаки инцидента.
Усильте настройки безопасности.
Заключение
Большинство успешных атак связано не с уязвимостями программного обеспечения, а с ошибками пользователей, социальной инженерией и неправильным управлением доступами.
Соблюдение требований данного документа позволит значительно снизить вероятность компрометации обменного пункта, потери данных и финансовых средств.
Последнее обновление
Это было полезно?