Когда мне в очередной раз приносят презентацию «комплексного решения, которое закроет все угрозы сразу», я задаю один вопрос: что именно вы закрываете — сеть, хост, приложение или данные? Потому что защита информационной системы — это не коробка с логотипом, а набор слоёв, и у каждого слоя своя задача. Если перепутать уровни, получается классика: купили WAF, а патчи на сервере не ставили полгода.
Разберём, из чего состоит защита ИС на практике: какие уровни выделяют, какие компоненты на них живут и что из этого реально внедрять в первую очередь.
Уровни защиты информационной системы
Уровни — удобная рамка, чтобы не забыть кусок периметра. Их описания есть в NIST SP 800-53, в CIS Controls, в отечественных документах ФСТЭК (приказ №17 для ГИС, приказ №21 для АСУ ТП). Формулировки разные, суть одна: защита строится эшелонированно, и пробитая дырка в одном слое не должна означать полный доступ к данным.
1. Физический уровень
Серверная, стойки, контроль доступа в помещение, видеонаблюдение, ИБП и резервные линии питания, защита от затопления и пожара. Звучит скучно, но заметная часть реальных инцидентов «в лоб» — это украденный ноутбук, забытая открытой дверь в серверную и коммутатор в незапертом кабинете.
Сюда же защита носителей: полнодисковое шифрование на ноутбуках, блокировка USB-портов там, где она уместна, маркировка и учёт оборудования.
2. Сетевой уровень
Сегментация: разделение сети на зоны (пользовательская, серверная, гостевая, АРМ администратора, промышленный сегмент) с ограничением трафика между ними. Именно сегментация превращает шифровальщик на одном ноутбуке в локальную проблему, а не в остановку всей компании.
- межсетевое экранирование и правила по принципу «запрещено всё, что не разрешено явно»;
- NGFW с разбором приложений, IDS/IPS для детекта известных атак;
- VPN и защищённые каналы для удалённого доступа;
- контроль egress-трафика — куда серверы ходят наружу (это ловит C2-каналы и утечки).
3. Хостовый уровень
То, что стоит на каждом сервере и рабочей станции: EDR или антивирус с актуальными сигнатурами и поведенческим детектом, журналирование, харденинг ОС (отключённые лишние службы, ограничение локальных админов), управление патчами, запрет неучтённого ПО.
Ключевая мысль: EDR не заменяет патч-менеджмент. Если не закрыта критичная уязвимость в публично доступном сервисе, никакой агент вас не спасёт — это вопрос часов до эксплуатации.
4. Прикладной уровень
Здесь живут веб и API: WAF, безопасная разработка (OWASP Top 10, валидация ввода, параметризованные запросы), управление сессиями и аутентификацией, тестирование на проникновение, защита от SSRF, IDOR и небезопасной десериализации. WAF — компенсирующая мера, а не замена исправлению кода. Правило простое: если уязвимость можно закрыть в коде — закрывайте в коде.
5. Уровень идентификации и доступа
Кто и к чему имеет доступ. Здесь IAM-системы, единый вход (SSO), MFA (обязательно для админов, VPN, почты, облака, CI/CD), PAM с хранилищем паролей и записью сессий, принцип минимальных привилегий и регулярные обзоры прав.
По моему опыту, две меры дают больше эффекта, чем половина остальных: MFA на все внешние точки входа и вычищенные избыточные привилегии.
6. Уровень данных
Шифрование при хранении и передаче, классификация данных, DLP, маскирование в тестовых средах, управление секретами (никаких паролей в git и .env на продакшене), резервные копии по правилу 3-2-1 с обязательной проверкой восстановления.
Отдельно про бэкапы: неизменяемые (immutable) копии и офлайн-копия — единственная реальная защита от шифровальщика, который доберётся до домена.
7. Организационный и процессный уровень
Политики, регламенты, инструкции, обучение сотрудников, фишинг-симуляции, управление поставщиками и подрядчиками, реагирование на инциденты, управление уязвимостями и рисками. Это не «бюрократия ради галочки»: без процесса любая техническая мера деградирует за три–шесть месяцев.
И да, для ГИС и объектов КИИ организационный слой — это ещё и требования регулятора: модель угроз, акт классификации, аттестация, назначение ответственных.
8. Уровень мониторинга и реагирования
Сбор логов, SIEM, корреляция событий, алерты, SOC или хотя бы дежурство с понятным плейбуком. Самая частая проблема среднего бизнеса: логи есть, но их никто не смотрит. Не проанализированный лог — это не безопасность, а место на диске.
Компоненты: что конкретно покупают и внедряют
Соберём в один список типовой набор средств, чтобы было проще читать коммерческие предложения и не покупать одно и то же дважды.
- NGFW / межсетевой экран — периметр и сегментация.
- IDS/IPS — детект и блокировка известных атак в трафике.
- EDR / EPP — хосты, поведенческий анализ, карантин, форензика.
- WAF — защита веб-приложений и API на уровне L7.
- SIEM — сбор и корреляция событий, основа мониторинга.
- IAM / SSO + MFA — идентификация, единый вход, второй фактор.
- PAM — привилегированные учётки, хранилище секретов, запись сессий.
- DLP — контроль утечек по каналам: почта, мессенджеры, USB, облака.
- Vulnerability management и сканеры конфигураций — приоритизация патчей по реальному риску, а не по CVSS на глаз.
- Секрет-менеджмент — Vault и аналоги, интеграция с CI/CD.
- Резервное копирование и DR — immutable-хранилища, регулярные учения по восстановлению.
Обратите внимание: почти всё это про видимость и ограничение. Ни один компонент из списка не «защищает от всего», каждый закрывает узкую задачу. Продавать их по отдельности — нормально, покупать вслепую — нет.
Эшелонированная защита: как не собрать зоопарк
Идея defense in depth известна давно, но на практике её часто превращают в «чем больше логотипов, тем безопаснее». Через год выясняется, что четыре системы не интегрированы, алерты дублируются, а аналитик не понимает, какому источнику верить.
Что помогает не утонуть:
- Начните с модели угроз. Кто ваш реальный противник и что ему нужно: шифровальщик за деньгами, инсайдер, целевая атака? Под каждую угрозу — конкретная мера.
- Сначала база, потом экзотика. Инвентаризация активов, управление патчами, MFA, least privilege, бэкапы. Это закрывает большинство реальных инцидентов.
- Один источник правды для логов. Всё, что должно логироваться, должно попадать в SIEM. Иначе мониторинга нет.
- Проверяйте меры, а не отчёты. Раз в квартал — учение: восстановление из бэкапа, фишинг-симуляция, проверка, сработает ли алерт.
Как это выглядит для малого и среднего бизнеса
Полный стек из десятка продуктов малому бизнесу не нужен — ни по деньгам, ни по людям. Рабочий минимум на 20–100 сотрудников выглядит примерно так:
- сегментация сети и нормальный межсетевой экран с обновляемыми правилами;
- EDR на всех машинах вместо «антивируса с дисконтом»;
- MFA на почту, VPN, админские панели и облака;
- менеджер паролей и вычищенные привилегии;
- патч-менеджмент с регламентом сроков по критичности;
- бэкапы 3-2-1 с проверкой восстановления хотя бы раз в квартал;
- сбор логов в одну точку и минимальные алерты;
- политика ИБ, обучение сотрудников и плейбук на случай инцидента.
Это не «полноценная защита от APT», но основную массу массовых атак — а именно они и приходят — такая база закрывает.
Чек-лист: с чего начать на этой неделе
- Составьте инвентарь: какие системы есть, где данные, кто имеет доступ.
- Включите MFA там, где её ещё нет, начиная с админских учёток.
- Проверьте, что бэкап восстанавливается. Не «делается», а именно восстанавливается.
- Выпишите критичные уязвимости из публичных бюллетеней и закройте их в срок.
- Сведите логи ключевых систем в одно место и настройте 5–10 самых важных алертов.
- Опишите, что делать в первые два часа инцидента: кто звонит, кого отключает, где бэкап.
Вывод
Защита информационной системы — это слоёный пирог: физика, сеть, хосты, приложения, доступ, данные, процессы и мониторинг. Компоненты вроде NGFW, EDR, SIEM, PAM и WAF — лишь инструменты для конкретных слоёв, и сами по себе они ничего не гарантируют.
Практический вывод простой: не гоняйтесь за новой волшебной кнопкой. Закройте базу — инвентаризацию, MFA, патчи, привилегии, бэкапы и логи — и только потом докупайте сложные средства под конкретные риски. Это скучно, зато работает.
