Слово «аудит» в ИБ давно стало синонимом чека на несколько миллионов и трёх месяцев ожидания отчёта на 200 страниц. На практике большая часть этих страниц описывает одни и те же базовые проблемы: забытые панели администрирования в интернете, пароли из восьми символов, серверы без обновлений и бэкапы, которые никто ни разу не восстанавливал. Всё это можно увидеть за один рабочий день — если заранее договориться о границах и не пытаться объять необъятное.
Ниже — методика экспресс-оценки, которую я собирал по опыту небольших компаний на 20–300 сотрудников. Это не замена полноценному пентесту и не «аудит по требованиям регулятора». Это способ честно ответить на вопрос «насколько мы голые» и расставить приоритеты на ближайший квартал.
Что реально можно и нельзя узнать за день
Сразу определимся с границами, чтобы потом не разочаровываться в результатах.
- Можно: увидеть открытый наружу периметр, состояние аутентификации, уровень патчинга, наличие и качество бэкапов, готовность сотрудников к фишингу, базовые процессы — учётки уволенных, доступы подрядчиков.
- Нельзя: найти логические уязвимости в бизнес-логике приложения, оценить устойчивость к целенаправленной атаке и проверить безопасность всей цепочки поставок. Для этого нужны недели и отдельные специалисты.
И главное: экспресс-оценка показывает зрелость процесса, а не отсутствие всех дыр. Компания с оценкой «4 из 10» может быть безопаснее компании с «7 из 10» прямо сейчас — но вторая успеет отреагировать на инцидент, а первая нет.
Подготовка: что собрать до начала
Половина дня теряется на бюрократию, если её не решить заранее. Понадобятся:
- письменное разрешение руководства и владельцев систем — без него любой внешний скан превращается в нарушение закона;
- перечень внешних доменов и IP-адресов, включая «забытые» тестовые стенды;
- список используемых SaaS и облачных сервисов;
- контакт ответственного за инфраструктуру, который даст доступ к системам мониторинга и инвентаризации.
Блок 1. Внешний периметр (2–3 часа)
Начинаем с того, что видит интернет. Это самая быстрая и самая показательная часть работы.
- Перечислите все поддомены. Рядом с корпоративным сайтом часто живут
test.,dev.,old., к которым два года не подходили. - Проверьте открытые порты и сервисы. Отдельно поищите панели администрирования — админки CMS, интерфейсы баз данных, панели виртуализации. Им не место в интернете без VPN.
- Посмотрите на сертификаты TLS: сроки, устаревшие версии протоколов, самоподписанные сертификаты на публичных сервисах.
- Проверьте, не светятся ли внутренние адреса, названия систем и версии софта в текстах ошибок и заголовках ответов.
- Найдите документацию API и отладочные интерфейсы. Открытый Swagger со всеми эндпоинтами — подарок атакующему и хорошая находка для вас.
Отдельная история — репозиторий кода. Публичные репозитории и утёкшие через pack-файлы коммиты сегодня один из топовых каналов утечек. Проверьте, не попадают ли в историю коммитов токены, ключи и строки подключения, и заведите автоматический сканер секретов в CI — это дешёвое и очень результативное решение.
Блок 2. Аутентификация и доступы (2–3 часа)
Здесь происходит подавляющая часть инцидентов, и здесь же находятся самые быстрые победы.
- Включена ли многофакторная аутентификация на почте, VPN, админках, облаке и системе контроля версий? Если нет — это пункт №1 в плане работ, без обсуждений.
- Есть ли вход по протоколам, которые не умеют MFA, — например устаревшая аутентификация в почтовых сервисах? Её нужно отключать, а не «временно оставлять».
- Как выдаются права? Посчитайте размер группы администраторов домена и число учёток с постоянными избыточными правами.
- Уволенные. Возьмите список уволившихся за последние 6 месяцев и проверьте, заблокированы ли их учётные записи и VPN-доступы.
- Подрядчики и сервисные учётки. Кто ходит к вам по внешним каналам и с какими правами?
Отдельно проверьте парольную политику. Если требуют менять пароль раз в 30 дней и запрещают менеджер паролей, вы почти гарантированно получите Qwerty123! на всех учётках. Современный подход другой: длинная парольная фраза, обязательный менеджер паролей, MFA и регулярная сверка с базами утечек — без принудительной ротации, если нет признаков компрометации.
Не забудьте про журналы: сколько времени хранятся логи входов и есть ли алерты на нетипичные ситуации — вход из другой страны, серия неудачных попыток, вход в 3 часа ночи. Аутентификация без детекта — это половина решения.
Блок 3. Патчи и инвентаризация (2 часа)
Без инвентаризации невозможно управлять уязвимостями. Если у вас нет актуального списка активов, вы просто не знаете, где применять обновления.
- Сколько систем подключено к сети по факту, а не по учётным документам?
- Кто и как ставит обновления ОС, СУБД, фреймворков и зависимостей?
- Сколько критических уязвимостей закрыто за последние 30, 60 и 90 дней? Средний срок до патча — один из самых честных показателей зрелости.
- Есть ли централизованное управление обновлениями? Если нет, вы рассчитываете на удачу.
- Что с сетевыми устройствами и прошивками? Раньше на них не смотрели вообще, теперь это критично.
Полезно отдельно посмотреть, как в компании вообще узнают об уязвимостях: подписаны ли на бюллетени вендоров, есть ли процесс оценки критичности, кто принимает решение «патчить сегодня или в плановое окно».
Блок 4. Бэкапы и готовность к восстановлению (1–2 часа)
Самый недооценённый блок. На бумаге бэкапы есть у всех, восстанавливать пробовали единицы.
- Есть ли хотя бы одна копия, физически недоступная из домена — offline или immutable? Против шифровальщиков это критично, потому что атакующий сначала гасит бэкапы, а потом требует выкуп.
- Когда последний раз вы действительно восстанавливались из копии? Не «проверили, что архив открывается», а подняли из него рабочий сервис.
- Посчитаны ли RTO и RPO хотя бы для ключевых систем? Сколько часов простоя вы выдержите без остановки бизнеса?
- Кто имеет право удалять бэкапы? Если одна учётная запись администратора может затереть копии, защита фиктивная.
Блок 5. Люди и процессы (1–2 часа)
Техника — это половина дела. Вторая половина — то, что происходит, когда сотрудник получает письмо от «главбуха» с просьбой срочно оплатить счёт.
- Проведите согласованный тестовый фишинг на небольшой выборке. Цель — не наказать, а измерить, сколько человек кликает и сколько сообщает о попытке.
- Есть ли канал, куда сотрудник отправит подозрительное письмо, и знает ли он о нём?
- Существует ли порядок действий при инциденте: кому звонить в 3 часа ночи, кто имеет полномочия отключать сервисы, где лежит инструкция?
- Есть ли регламенты по работе с персональными данными и понимание требований 152-ФЗ у тех, кто эти данные реально обрабатывает?
Как посчитать результат
Полезно не рисовать «общий балл безопасности», а разложить находки по трём корзинам:
- Красная — то, что можно использовать против вас прямо сейчас: нет MFA на внешнем доступе, админка в интернете, публичный репозиторий с ключами, бэкапы доступны из домена. Чинится за дни, а не за месяцы.
- Жёлтая — процессы, которые нужно выстроить: инвентаризация, управление патчами, разграничение прав, реагирование на инциденты, логирование.
- Зелёная — то, что действительно работает, но требует регулярной проверки и не рассыпается при смене ответственного сотрудника.
Хороший ориентир для сверки — не «у нас всё закрыто», а зрелость по модели вроде NIST CSF или CIS Controls: identify, protect, detect, respond, recover. Если у вас отлично с защитой, но нет детекта и реагирования, оценка не может быть высокой, какими бы красивыми ни выглядели настройки.
Чек-лист на день
- Собрать разрешения и перечень активов.
- Просканировать внешний периметр и поддомены, найти лишние открытые сервисы.
- Проверить MFA и устаревшие протоколы аутентификации.
- Выгрузить уволенных и подрядчиков, сверить доступы.
- Оценить покрытие патчами, найти непринятые критические обновления.
- Проверить неизменяемость бэкапов и реальное восстановление.
- Запустить тестовый фишинг и проверить канал сообщений об инцидентах.
- Разложить находки по трём корзинам, назначить владельцев и сроки.
Вывод
День экспресс-оценки не даст сертификата соответствия и не заменит пентест. Зато он почти всегда даёт две-три проблемы, которые нужно чинить немедленно, и понимание, куда уходят деньги, когда вы решите идти в большой проект по защите. Начинайте с красной корзины, назначайте владельцев, ставьте сроки — и через месяц повторите прогон. Это скучно, зато работает лучше, чем очередной купленный «комплекс защиты от всего».
