Мысль «надо бы провести аудит информационной защиты» обычно приходит в двух случаях: после новости об очередной громкой утечке или когда клиент или регулятор просит документ, которого у вас нет. И тут начинается знакомое: звать внешнюю команду долго и дорого, а выделенного специалиста по ИБ в штате нет — им по совместительству работает сисадмин, у которого и без этого задач хватает. Хорошая новость: примерно 80% реальных проблем видно за один рабочий день, если знать, куда смотреть. Плохая: такая самопроверка не заменяет полноценный пентест и не даёт бумаги для проверяющих. Зато даёт честную картинку того, где вы стоите. Ниже — методика, по которой я сам прохожусь по инфраструктуре, когда нужно быстро оценить масштаб бедствия.
Чего за один день сделать нельзя
Обозначим границы сразу, иначе будете ждать от самопроверки лишнего.
- Это не пентест. Цепочки эксплуатации уязвимостей вы не найдёте.
- Это не аудит соответствия 152-ФЗ или требованиям ФСТЭК. Здесь нужны аттестованные специалисты, конкретная нормативная база и время.
- Это не ревью кода и не разбор архитектуры целиком.
Зато вы почти гарантированно найдёте открытые наружу админки, уволенных сотрудников с живыми VPN-учётками, бэкапы, которые не восстанавливаются, и логи, которые никто не читает. По опыту, именно это и составляет основную массу инцидентов у малого и среднего бизнеса, а не хитрые zero-day из новостей.
Подготовка: что держать под рукой
День короткий, поэтому собираем набор заранее.
- Список всех внешних адресов и доменов: сайты, API, VPN, почта, тестовые стенды.
- Доступ к панели управления облаком, хостингу, DNS и регистратору доменов.
- Инвентарь активов: CMDB, если есть, иначе — данные сканера сети, DHCP-логи и биллинг облака.
- Отчёт последнего сканирования уязвимостей. Если его нет — поставьте сканер (OpenVAS, Nessus или встроенный сканер облачного провайдера) и запустите в фоне в начале дня.
- Доступ к системе бэкапов и, желательно, тестовый стенд для проверки восстановления.
- Блокнот под выводы. Пишите то, что видите сразу, а не «потом вспомню».
Блок 1. Инвентаризация: вы точно знаете, что у вас есть?
Самый скучный и самый полезный этап. Атакуют то, о чём ИБ-команда забыла: тестовый сервер с прошлого проекта, демо-стенд, личный ноутбук подрядчика с доступом в прод.
- Сверьте список активов из инвентаря с реальностью: какие адреса отвечают, какие домены резолвятся.
- Отдельно выпишите всё, что смотрит в интернет, но не должно: админпанели, базы данных, отладочные эндпоинты.
- Проверьте сроки регистрации доменов и забытые поддомены, оставшиеся от подрядчиков.
Красный флаг: адрес из вашего диапазона, который вы не можете объяснить. Тут же выясняйте, чей он.
Блок 2. Доступы: кто и куда может войти
Дальше — самое результативное. Берёте список учётных записей и идёте по нему.
- Есть ли общие админские аккаунты, которыми пользуются несколько человек? С точки зрения разбора инцидента это худший вариант.
- Уволенные сотрудники и ушедшие подрядчики: их доступы отключены везде или только на бумаге?
- MFA включена на почте, VPN, панелях администрирования и в облаке? Если нет — это первый пункт плана на исправление.
- Права выданы по принципу минимально необходимого или «все админы, чтобы не мешало»?
Отдельно проверьте, где хранятся пароли и ключи. Файл с паролями на общем диске, учётки в переписке, ключи в репозитории — это вы найдёте быстрее, чем думаете.
Блок 3. Обновления и уязвимости
Смотрите отчёт сканера, но не превращайте его в бесконечный список.
- Сначала всё, что смотрит наружу и имеет критический или высокий уровень: веб-серверы, шлюзы VPN, почтовые сервисы, публичные API.
- Проверьте сроки поддержки: ОС и middleware, которые вендор перестал обновлять, формально работают, но патчей не получают вообще.
- Загляните в официальные источники по свежим CVE: БДУ ФСТЭК и бюллетени вендоров дадут более точную картину, чем новостные заголовки.
Практическое правило: за день вы не закроете всё. Выберите 5–10 самых критичных находок и зафиксируйте их с приоритетом.
Блок 4. Бэкапы: единственная защита, которая реально спасает от шифровальщиков
Есть старый тест: пока вы не восстановили данные из копии, бэкапа у вас нет. Просто папка с архивами — не бэкап.
- Возьмите самый важный для бизнеса сервис (почта, база данных, файлы) и восстановите его на тестовом стенде. Засеките время.
- Проверьте, что копии лежат офлайн или в другом облаке и недоступны из основного контура. Шифровальщики целенаправленно ищут смонтированные бэкапы.
- Убедитесь, что есть свежая копия: дата, размер, читаемость архива.
Если восстановление занимает сутки, а бизнес столько простоять не может — это тоже результат аудита, и о нём надо честно сказать руководству.
Блок 5. Логи и детект: заметите ли вы атаку вообще?
Самая недооценённая часть. Многие уверены, что «антивирус стоит», но не могут ответить, что делать с его алертами.
- Куда собираются логи с ключевых систем и как долго хранятся? Месяц — минимум, реальные инциденты всплывают позже.
- Кто вообще смотрит на алерты? Если ответ «никто» — настройте хотя бы базовые уведомления на почту или в мессенджер.
- Включено ли журналирование неудачных входов и изменений прав?
Не пытайтесь за день развернуть SIEM. Достаточно убедиться, что базовая сигнализация работает и кто-то на неё реагирует.
Блок 6. Люди: самый предсказуемый вектор
Фишинг и слабые пароли стабильно лидируют в отчётах об инцидентах. За час можно оценить базовый уровень.
- Проверьте, светятся ли рабочие адреса сотрудников в старых базах утечек. Это бесплатно и показывает реальный риск.
- Есть ли у сотрудников менеджер паролей и 2FA — хотя бы в виде рекомендации?
- Существует ли регламент, что делать при подозрительном письме или звонке «из техподдержки»?
Как оформить результат
К концу дня у вас на руках список наблюдений. Не отдавайте его как есть — коллеги утонут. Сгруппируйте находки так:
- Критично, закрыть на этой неделе: публичные админки, отсутствие MFA, нерабочие бэкапы.
- Важно, закрыть в течение месяца: устаревшие системы, избыток прав, отсутствие сбора логов.
- Плановое улучшение на квартал: менеджер паролей, обучение сотрудников, регулярные проверки.
К каждой находке добавьте одну фразу о риске на языке бизнеса: не «небезопасная конфигурация», а «при компрометации этой учётки злоумышленник получит доступ к базе клиентов».
Чек-лист самопроверки за один день
- Сверил список активов с реальностью, нашёл неучтённые сервисы.
- Проверил учётные записи уволенных и подрядчиков, отключил лишнее.
- Убедился, что MFA включена на почте, VPN и админпанелях.
- Запустил сканирование, выписал критичные находки с внешнего периметра.
- Восстановил хотя бы один сервис из бэкапа и замерил время.
- Проверил, что бэкапы изолированы от основной сети.
- Убедился, что логи собираются, хранятся и кто-то смотрит алерты.
- Проверил утечки по рабочим почтам и наличие менеджера паролей.
- Оформил находки в три приоритета и отдал руководству.
Аудит за один день не сделает вас защищёнными. Но он покажет, где вы находитесь на самом деле, — а это первый шаг, без которого все остальные меры превращаются в покупку модных решений «на всякий случай». Раз в полгода пройтись по этому списку дешевле и полезнее, чем ждать, пока проверку устроит кто-то с другой стороны.
