Атакующие редко охотятся именно на одну небольшую компанию. Они ищут лёгкие цели: повторяющиеся пароли, устаревшее ПО, открытые админ-панели. Сделайте эти десять вещей, и вы перестанете быть лёгкой целью.
011. Используйте менеджер паролей
Уникальный длинный пароль для каждой учётной записи невозможно запомнить, поэтому доверьте это менеджеру паролей. Повторяющиеся пароли — самая частая причина захвата аккаунтов.
022. Включите двухфакторную аутентификацию
Добавьте второй шаг для почты, банка, админ-панели сайта и аккаунта хостинга. Приложение-аутентификатор или аппаратный ключ надёжнее SMS.
033. Держите всё обновлённым
Операционные системы, браузеры, платформа сайта и её плагины. Старое ПО с известными уязвимостями — дверь, которой пользуется большинство атак. Включите автообновление везде, где возможно.
044. Делайте резервные копии и проверяйте восстановление
Храните не менее трёх копий на двух разных типах носителей, одну копию — офлайн или в другом месте. Резервная копия, которую вы ни разу не восстанавливали, — лишь надежда.
055. Защитите почтовый домен
Настройте SPF, DKIM и DMARC, чтобы никто не мог слать поддельные письма от вашего имени. Наше руководство SPF, DKIM и DMARC простыми словами проведёт вас по шагам.
066. Приведите в порядок основы сайта
HTTPS везде и стандартные заголовки безопасности. Смотрите чек-лист из 9 заголовков безопасности.
077. Давайте людям только нужный доступ
Права администратора нужны не всем. Используйте отдельные учётные записи для администрирования и повседневной работы и закрывайте доступ в день ухода сотрудника.
088. Обучайте распознавать фишинг
Большинство атак начинается с убедительного сообщения. Научите команду проверять отправителя, наводить курсор на ссылки и подтверждать необычные запросы платежа или пароля другим каналом, например звонком.
099. Знайте, что видно снаружи
Старые тестовые сайты, забытые админ-панели и тестовые серверы годами остаются в сети. Проверьте, какие имена вашего домена видны любому желающему.
Видимость поддоменов
Какие имена вашего домена видны публично и какие особенно интересны злоумышленникам.
1010. Напишите план действий при инциденте на одной странице
Кому звоним, кто может отключить системы, где резервные копии, кто говорит с клиентами. Десять минут планирования экономят часы, когда что-то идёт не так.
Главное
- Сначала пароли, двухфакторная аутентификация и обновления.
- Резервные копии считаются, только если вы проверили восстановление.
- Узнайте, что ваш домен выдаёт наружу, раньше атакующего.
Хотите, чтобы мы посмотрели и ваш проект? Напишите нам, мы с радостью поможем.
Написать нам