Аудит безопасности малого бизнеса и домашней сети
Аудит безопасности малого бизнеса или домашней сети: чек-лист по областям, оценка рисков через сценарии атак и план усиления защиты на 30 дней.
// промпт
Ты — практик информационной безопасности, который защищает малый бизнес и домашние сети: без бюджета на SOC и штатного безопасника, зато с трезвыми приоритетами. Проведи аудит моей инфраструктуры и составь план усиления защиты.
**Параметры**
- Кого защищаем: {{tip_organizacii}}
- Инфраструктура: {{infrastruktura}}
- Критичные данные: {{kriticnye_dannye}}
- Бюджет и ресурсы: {{biudzet}}
- Что уже сделано: {{tekushhie_mery}}
**Как действовать**
1. Собери картину активов: устройства, сервисы и облачные аккаунты, кто и откуда имеет к ним доступ, где лежат критичные данные. Недостающие сведения запроси одним списком вопросов.
2. Пройди по областям чек-листа: сеть (роутер и его прошивка, Wi-Fi, гостевая сеть, UPnP, проброшенные порты), устройства (обновления, шифрование дисков, защита от вредоносного ПО), аккаунты (уникальные пароли, менеджер паролей, 2FA, общие учётки), данные (бэкапы по правилу 3-2-1, права доступа), люди (фишинг, увольнения, личные устройства).
3. Каждую найденную проблему оценивай как риск: реалистичный сценарий атаки, вероятность и ущерб, итоговый уровень — высокий, средний или низкий. Без запугивания и теоретических страшилок.
4. Приоритизируй меры по соотношению эффекта и затрат: сначала бесплатные (2FA, обновления, отключение лишнего), затем недорогие, затем «по возможности». Не советуй enterprise-инструменты там, где хватает встроенных средств.
5. Сведи всё в план на 30 дней: конкретный шаг, зачем он нужен, сколько времени займёт, по какому признаку считать выполненным.
6. Добавь короткий раздел «признаки компрометации»: как понять, что сеть уже взломана, и какие первые действия предпринять в этом случае.
**Формат ответа**
Сначала таблица рисков (проблема, сценарий атаки, уровень, мера), затем план на 30 дней по неделям. Пиши без жаргона — так, чтобы всё понял человек без подготовки в ИБ.
Заполните переменные
Пример запуска
Сгенерировано Claude Opus 5.5, 23 сентября 2026 г.
Значения переменных
- Тип организации
- Небольшая веб-студия ООО «Пиксель Групп», 6 человек: 2 разработчика, 1 дизайнер, 1 SMM-менеджер, бухгалтер на аутсорсе, руководитель. Офис в Казани, один сотрудник (разработчик) работает удалённо из Перми.
- Инфраструктура
- Домашний/офисный роутер Keenetic Giga (прошивка не обновлялась около года), единая Wi-Fi сеть без деления на гостевую и рабочую, 5 ноутбуков (3 Windows 11, 2 macOS) и 4 личных смартфона сотрудников с доступом к рабочей почте, NAS Synology DS220+ (RAID1) для хранения проектных файлов, аккаунты Google Workspace (почта, диск), GitHub с приватными репозиториями клиентских проектов, CRM Битрикс24, доска Trello, хостинг сайтов клиентов на Timeweb, оплата и переводы через личный кабинет банка Точка, доступ к роутеру и NAS удалённо для двух человек через проброшенные порты.
- Критичные данные
- Исходный код и репозитории 12 действующих клиентских проектов на GitHub, включая ключи API к сторонним сервисам (платёжные шлюзы клиентов, Яндекс.Карты, SMS-рассылки), которые иногда хранятся прямо в .env файлах внутри репозиториев. Клиентская база в Битрикс24: ФИО, телефоны, email, а по части договоров (юрлица-заказчики) — реквизиты счетов и в нескольких случаях сканы паспортов директоров для оформления актов. Дизайн-макеты и брендбуки клиентов под NDA (Figma, папки на Google Диске) — по договору за утечку до подписания релиза предусмотрены штрафные санкции. Учётные данные доступа к админкам и хостингам клиентских сайтов на Timeweb — логины/пароли от 9 сайтов хранятся в общей таблице Google Sheets, доступной всей команде. Финансовые данные студии: выписки и история операций в личном кабинете банка Точка, данные для доступа к которому есть у руководителя и бухгалтера. Резервные копии проектных файлов и баз данных сайтов на NAS Synology — единственная копия, без вынесения за пределы офиса. Переписка с клиентами и черновики договоров в почте Google Workspace, включая обсуждение цен и условий, которые не должны попадать к конкурентам. Пароли от части сервисов (Timeweb, GitHub, Trello) хранятся у отдельных сотрудников в заметках Apple Notes без единого менеджера паролей.
- Бюджет
- Разовый бюджет около 20 000 рублей на инструменты и подписки, ежемесячно готовы выделять до 1500 рублей на сервисы безопасности. Штатного ИТ-специалиста и SOC нет — всем занимается один из разработчиков в свободное время.
- Текущие меры
- Включены автообновления на Windows и macOS, на NAS настроен RAID1 (но без внешних копий), для Google Workspace и GitHub включена 2FA через SMS, антивирус не установлен, гостевая Wi-Fi сеть не выделена, пароли к клиентским сайтам лежат в общей Google-таблице без шифрования, UPnP на роутере включён по умолчанию, прошивка роутера не обновлялась.
Аудит безопасности ООО «Пиксель Групп» и план на 30 дней
Главное
Основные угрозы для студии — это массовые автоматические атаки и обычная невнимательность, а не хакеры, которые охотятся именно за вами. Пять самых опасных мест:
- NAS и роутер доступны из интернета через проброшенные порты. Именно так чаще всего заражают домашние и офисные NAS вирусами-шифровальщиками.
- Все бэкапы хранятся в одном месте и на одном устройстве. RAID1 спасает от поломки одного диска, но не от шифровальщика, кражи или пожара.
- Ключи API клиентов лежат в репозиториях. Если украдут один доступ к GitHub, пострадают сразу 12 клиентов.
- Пароли от 9 клиентских сайтов в общей Google-таблице. Достаточно взломать почту любого из шести сотрудников.
- Деньги. Письма с «новыми реквизитами» и поддельные страницы входа в банк — самый частый способ украсть деньги у малого бизнеса.
Почти всё это закрывается бесплатно, силами вашего разработчика за 3–4 рабочих дня, растянутых на месяц. Вопросы, ответы на которые могут изменить приоритеты, собраны в конце.
1. Таблица рисков
Как оценивать уровень: высокий — вероятно и больно, делать на первой неделе. Средний — стоит сделать в течение месяца. Низкий — по возможности.
| # | Проблема | Реалистичный сценарий атаки | Вероятность / ущерб | Уровень | Мера |
|---|---|---|---|---|---|
| 1 | Проброшенные порты к NAS и роутеру, прошивка роутера не обновлялась год, включён UPnP | Роботы круглосуточно сканируют интернет. Находят вход в Synology, подбирают пароль или используют известную уязвимость и запускают шифровальщика. RAID1 честно шифрует обе копии. UPnP позволяет любой программе в сети самой открыть порт наружу, без вашего ведома | Высокая / очень высокий (все проекты и бэкапы) | Высокий | Обновить роутер и NAS. Поднять VPN на Keenetic (это «защищённый туннель»: снаружи в сеть попадают только по нему). Закрыть все пробросы, выключить UPnP |
| 2 | Единственная копия бэкапов, в офисе, на том же NAS | Шифровальщик, кража, протечка, скачок напряжения — и нет ни проектов, ни баз клиентских сайтов | Средняя / очень высокий | Высокий | Правило 3-2-1: снимки на NAS, внешний диск и облако с шифрованием. Раз в квартал проверять восстановление |
| 3 | Ключи API (платёжные шлюзы, SMS, Карты) в .env внутри репозиториев |
На ноутбук разработчика попадает программа-воришка паролей (обычно из «взломанного» софта или поддельного расширения) и уносит доступ к GitHub. Злоумышленник скачивает 12 репозиториев и получает ключи: рассылает SMS за счёт клиента, лезет в платёжный кабинет. Второй вариант: копия репозитория остаётся у бывшего подрядчика | Средняя / очень высокий (деньги и репутация клиентов, претензии) | Высокий | Убрать ключи из репозиториев и перевыпустить их: удаления из истории недостаточно. Добавить автоматическую проверку перед коммитом (gitleaks). Навести порядок в участниках и токенах GitHub |
| 4 | Пароли от 9 клиентских сайтов в открытой Google-таблице, доступной всем | Фишинговое письмо SMM-менеджеру («Документ открыт для вас, войдите через Google») приводит к входу в почту, а через неё — к таблице и 9 сайтам. На сайты встраивают вредоносный код или код, ворующий данные карт | Средняя / высокий | Высокий | Менеджер паролей с раздельным доступом. Сменить все 9 паролей. Удалить таблицу вместе с историей версий |
| 5 | Кража денег через подмену реквизитов или поддельную страницу банка | Бухгалтеру приходит письмо «от клиента или подрядчика»: «У нас сменились реквизиты». Или письмо «от Точки» со ссылкой на копию сайта банка. Деньги уходят мошенникам | Средняя / высокий | Высокий | Смену реквизитов всегда подтверждать звонком по известному номеру. Разделить роли в Точке (бухгалтер готовит платёж, руководитель подписывает). Включить уведомления и лимиты |
| 6 | 2FA только по SMS и только на Google и GitHub. На Timeweb, Битрикс24, Trello, Figma, в банке — неизвестно | Перевыпуск SIM-карты мошенником или перехват кода. Но важнее другое: на сервисах без 2FA украденного пароля достаточно | Средняя / высокий | Средний | Приложение-аутентификатор или ключи доступа (passkeys) вместо SMS. Сделать 2FA обязательной в Google Workspace и организации GitHub. Включить её во всех остальных сервисах |
| 7 | Пароли в Apple Notes, скорее всего повторяются | Пароль утёк с какого-то постороннего сайта, и злоумышленник пробует его на GitHub, Timeweb, Trello. Это массовая автоматическая атака | Средняя / средний | Средний | Менеджер паролей, уникальный пароль для каждого сервиса |
| 8 | Сканы паспортов директоров и реквизиты в Битрикс24 | Взломанная учётка сотрудника, выгрузка базы, утечка персональных данных. С 30.05.2025 штрафы за утечки существенно выросли. Кроме того, об утечке нужно уведомить Роскомнадзор в течение 24 часов | Низкая–средняя / высокий | Средний | Удалять сканы после подписания актов. Настроить права в Битрикс24 по ролям, запретить выгрузку всем, кроме руководителя. Включить 2FA |
| 9 | Макеты под NDA в Google Диске и Figma, возможны ссылки «доступно всем, у кого есть ссылка» | Ссылку переслали дальше. Фрилансер ушёл, а доступ остался. Итог — штраф по NDA | Средняя / средний–высокий | Средний | Проверить общий доступ. В настройках Workspace запретить публичные ссылки по умолчанию. В Figma приглашать только по email |
| 10 | Одна Wi-Fi сеть для всех, нет гостевой | Гость или клиент с заражённым телефоном оказывается в одной сети с NAS. Пароль от Wi-Fi не меняли годами, его знают бывшие сотрудники и все, кто когда-либо заходил в офис | Средняя / средний | Средний | Гостевая сеть, изолированная от рабочей. Новый пароль Wi-Fi. Выключить WPS |
| 11 | Шифрование дисков ноутбуков, вероятно, не включено | Ноутбук украли в кафе или в такси. Из него достают файлы, сохранённые пароли браузера, вход в GitHub и почту | Низкая–средняя / высокий | Средний | BitLocker (Windows) и FileVault (macOS). Ключи восстановления хранить в менеджере паролей |
| 12 | Рабочая почта на личных смартфонах | Телефон без блокировки экрана потерян, вся переписка с клиентами открыта | Средняя / средний | Средний | Бесплатное базовое управление устройствами в Google Workspace: обязательная блокировка экрана и удалённое удаление рабочего аккаунта |
| 13 | Нет порядка действий при увольнении, есть общие учётки | Бывший сотрудник или подрядчик месяцами сохраняет доступ к Timeweb, Trello, Wi-Fi и таблице паролей | Средняя / средний | Средний | Чек-лист увольнения. Общие учётки заменить личными там, где это возможно |
| 14 | Удалённый разработчик из Перми: домашняя сеть и роутер вне вашего контроля | Уязвимый домашний роутер или заражённое устройство родственника в той же сети | Низкая–средняя / средний | Средний | Доступ к NAS только через VPN. Базовая проверка домашнего роутера. Рабочий ноутбук не давать домашним |
| 15 | Сторонний антивирус не установлен | Сам по себе риск невелик: встроенных Microsoft Defender и защиты macOS для вас достаточно. Реальная опасность — пиратские программы, плагины и шрифты из сомнительных источников | Средняя / средний | Низкий (при включённом Defender и без пиратского ПО) | Проверить, что Defender включён. Включить «Контролируемый доступ к папкам». Запретить «кряки» |
2. План на 30 дней
Время указано для одного разработчика, который занимается этим в свободное время. Колонка «Готово, если…» — это критерий, по которому можно проверить, что шаг выполнен.
Неделя 1. Закрыть двери снаружи и защитить бэкапы (бесплатно, ~6–7 часов)
| Шаг | Зачем | Время | Готово, если… |
|---|---|---|---|
| 1.1. Сделать ручной бэкап конфигурации роутера и обновить KeeneticOS («Общие настройки» → «Обновления»). Включить автообновление | Старая прошивка может содержать известные уязвимости | 30 мин | В веб-интерфейсе актуальная версия, автообновление включено |
| 1.2. Сменить пароль администратора роутера на длинный уникальный. Отключить доступ к веб-интерфейсу роутера из интернета | Админку роутера не должно быть видно снаружи | 15 мин | Со смартфона через мобильный интернет страница входа в роутер не открывается |
| 1.3. Настроить VPN-сервер на Keenetic (компонент WireGuard; если у сотрудника из Перми он не соединяется — IPsec/IKEv2 или SSTP, они тоже встроены). Выдать профили двум сотрудникам | Безопасная замена пробросу портов. Запасной бесплатный вариант — Tailscale, у него есть пакет для Synology | 1–1,5 ч | Оба сотрудника с VPN видят NAS по внутреннему адресу |
| 1.4. Удалить все правила переадресации портов («Сетевые правила» → «Переадресация»). Выключить UPnP | Закрываем главную дверь для шифровальщиков | 15 мин | Список переадресаций пуст, UPnP выключен. Внешняя проверка портов (например, сервис проверки открытых портов с мобильного интернета) показывает, что порты NAS и роутера закрыты |
1.5. NAS: обновить DSM. Запустить «Центр безопасности» (Security Advisor). Отключить стандартную учётку admin. Включить 2-шаговую проверку для администраторов и автоблокировку после 5 неудачных попыток. Если не пользуетесь QuickConnect — выключить |
Даже внутри сети NAS не должен сдаваться подбору пароля | 1 ч | Центр безопасности без критических замечаний, вход администратора требует кода |
| 1.6. Просмотреть журнал входов NAS за последние месяцы (Центр журналов) | Проверяем, не были ли внутри раньше. См. раздел о признаках взлома | 20 мин | Нет входов с незнакомых адресов и нет массовых неудачных попыток. Если есть — сразу раздел 4 |
| 1.7. Установить пакет Snapshot Replication и настроить ежедневные снимки общих папок с хранением 30 дней. В DSM 7.2+ включить неизменяемые снимки на 7–14 дней | Быстрый откат после шифровальщика. Неизменяемый снимок не сможет удалить даже взломщик с правами администратора | 30 мин | Есть минимум один снимок, пробное восстановление одного файла прошло успешно. Требуется файловая система Btrfs — см. вопросы |
| 1.8. Правило для денег. Письменно, в чате команды: «Смену реквизитов подтверждаем только звонком по номеру из договора, не из письма». В Точке проверить права бухгалтера и включить уведомления обо всех операциях. По возможности: бухгалтер создаёт платёж, подписывает руководитель | Закрываем самый дорогой сценарий — подмену реквизитов | 40 мин | Правило записано и прочитано всеми. Уведомления в Точке приходят руководителю |
| 1.9. Сменить пароль Wi-Fi (WPA2/WPA3, 14+ символов). Выключить WPS. Создать гостевую сеть с изоляцией для гостей, личных смартфонов и умных устройств | Отделяем чужие устройства от NAS и ноутбуков. Бывшие сотрудники теряют доступ | 30 мин | Гость из гостевой сети выходит в интернет, но не видит NAS |
Неделя 2. Пароли, 2FA и ключи API (бесплатно, ~8–10 часов)
| Шаг | Зачем | Время | Готово, если… |
|---|---|---|---|
| 2.1. Выбрать менеджер паролей. Мой вариант при вашем бюджете: KeePassXC (Windows и Mac; на iPhone — KeePassium или Strongbox, на Android — KeePassDX). Он бесплатный. Сделать две общие базы: «Клиентские сайты» (разработчики и руководитель) и «Сервисы студии». Файлы хранить на Google Диске с доступом только нужным людям. Мастер-пароль длинный, плюс файл-ключ, который передаётся лично. Если есть возможность оплатить зарубежный сервис — удобнее Bitwarden Teams, но на 6 человек он выходит за 1500 ₽/мес. | Одно защищённое место вместо таблицы и заметок, доступ по принципу «кому нужно» | 1,5 ч | Базы созданы, у каждого сотрудника установлен клиент и есть доступ только к своей базе |
| 2.2. Перенести пароли из Google-таблицы и Apple Notes. Сменить все 9 паролей клиентских сайтов и пароли Timeweb, GitHub, Trello | Старые пароли надо считать скомпрометированными: таблицу видели все | 2–3 ч | Все новые пароли только в менеджере. Старые пароли больше не подходят |
| 2.3. Удалить таблицу, очистить корзину Google Диска. Попросить сотрудников удалить заметки с паролями, в том числе из «Недавно удалённых» | Иначе дыра останется | 15 мин | Поиск по Диску и Notes ничего не находит |
| 2.4. Google Workspace: в консоли администратора сделать двухэтапную аутентификацию обязательной и запретить SMS как способ. Каждый переходит на Google Authenticator или ключ доступа (passkey). Распечатать резервные коды и убрать их в сейф или в менеджер паролей | SMS — самый слабый вариант 2FA | 1 ч на всех | В консоли 100% пользователей с 2FA, способ «SMS» запрещён |
| 2.5. GitHub: в организации включить «Require two-factor authentication», у всех 2FA через приложение или passkey | Защищаем код 12 клиентов | 30 мин | Настройка организации включена, никого не отключило |
| 2.6. Включить 2FA в Timeweb, Битрикс24, Trello, Figma, Apple ID сотрудников, на NAS. В Точке — вход с подтверждением | Закрываем сервисы, где сейчас хватит одного пароля | 1 ч | Сводная табличка «сервис — 2FA есть», везде «да» |
| 2.7. Ключи API. Прогнать по всем 12 репозиториям бесплатный сканер gitleaks, включая историю. Составить список найденных ключей | Понять масштаб | 1 ч | Есть полный список ключей по проектам |
2.8. Для каждого найденного ключа выпустить новый в сервисе, старый отозвать. Хранить ключи в переменных окружения на хостинге и в секретах GitHub Actions, для команды — в менеджере паролей. Добавить .env в .gitignore, в репозиторий класть только .env.example без значений. Поставить gitleaks в pre-commit |
Старые ключи навсегда остаются в истории и копиях — их надо сделать бесполезными | 3–5 ч (зависит от числа ключей, часть — на неделе 3) | Повторный прогон gitleaks чист, старые ключи в сервисах отозваны |
Неделя 3. Данные: бэкапы и доступы (~15 000 ₽ разово, ~500–1000 ₽/мес, ~6–8 часов)
| Шаг | Зачем | Время | Готово, если… |
|---|---|---|---|
| 3.1. Купить внешний диск (4 ТБ, ориентировочно 9–11 тыс. ₽; размер зависит от объёма данных). Настроить Hyper Backup на NAS: еженедельно на внешний диск с шифрованием. Лучше хранить диск не подключённым постоянно: раз в неделю подключили, забэкапились, унесли в другое помещение или домой к руководителю | Вторая копия на другом носителе, вне досягаемости шифровальщика | 1,5 ч | Выполнена первая полная копия, диск хранится отдельно |
| 3.2. Облачная копия: Hyper Backup в S3-совместимое хранилище (Yandex Object Storage, Selectel, Timeweb Cloud) с шифрованием на стороне NAS. Ключ шифрования хранить в менеджере паролей и на бумаге в сейфе | Третья копия вне офиса — на случай пожара или кражи. Облако не увидит ваших данных | 1,5 ч | Задача выполняется ежедневно или еженедельно, стоимость укладывается в бюджет (проверьте актуальные тарифы) |
| 3.3. Тест восстановления: восстановить одну папку проекта и одну базу сайта с облачной копии на другой компьютер | Непроверенный бэкап — это надежда, а не бэкап | 1 ч | Файлы открываются, база разворачивается |
3.4. Бэкап GitHub: раз в неделю автоматический git clone --mirror всех репозиториев на NAS. После этого они попадут в 3-2-1 |
Защита от удаления репозитория или потери доступа к аккаунту | 1 ч | На NAS есть актуальные зеркала 12 репозиториев |
| 3.5. Google Диск: в консоли Workspace ограничить внешний доступ (предупреждение при отправке за пределы домена, запрет «всем, у кого есть ссылка» по умолчанию). Проверить папки NDA-клиентов и отозвать лишние ссылки | Утечка макетов = штраф по договору | 1 ч | В папках NDA нет публичных ссылок, доступ только у поимённого списка |
| 3.6. Figma: проверить, у кого есть доступ к файлам NDA-проектов, отключить публичные ссылки | То же | 30 мин | Все проекты — только по приглашению |
| 3.7. Битрикс24: роли (SMM-менеджеру и дизайнеру договоры и реквизиты не нужны). Запретить экспорт всем, кроме руководителя. Удалить сканы паспортов по закрытым актам | Меньше данных — меньше последствий утечки | 1 ч | Права пересмотрены, сканы старше подписанного акта удалены |
| 3.8. GitHub: убрать лишних участников и внешних соавторов. Отозвать старые личные токены (Personal Access Tokens) и deploy-ключи. Включить защиту основной ветки | Закрыть «забытые» входы | 40 мин | Остались только текущие сотрудники, все токены с понятным назначением |
Неделя 4. Устройства и люди (~5 000–8 000 ₽ по желанию, ~5–6 часов)
| Шаг | Зачем | Время | Готово, если… |
|---|---|---|---|
| 4.1. Включить BitLocker (Windows 11 Pro) или «Шифрование устройства» (Windows 11 Home) и FileVault (macOS). Ключи восстановления — в менеджер паролей | Украденный ноутбук становится просто железкой | 20 мин на ноутбук | На всех 5 ноутбуках шифрование включено, ключи сохранены |
| 4.2. Windows: проверить, что Microsoft Defender и SmartScreen включены. Включить «Контролируемый доступ к папкам» (защита от программ-вымогателей). Mac: убедиться, что не отключены Gatekeeper и SIP. Удалить пиратские программы, если они есть | Встроенной защиты достаточно, если её не выключать и не ставить «кряки» | 15 мин на ноутбук | В «Безопасности Windows» все пункты зелёные, пиратского ПО нет |
| 4.3. У каждого сотрудника — обычная учётная запись для работы, права администратора отдельно или по запросу | Вирусу сложнее закрепиться в системе | 15 мин на ноутбук | Сотрудники работают не из-под администратора |
| 4.4. Google Workspace: включить базовое управление мобильными устройствами (бесплатно). Требовать блокировку экрана | Потерянный телефон можно отвязать от рабочей почты | 30 мин | 4 смартфона видны в консоли, у всех блокировка экрана |
| 4.5. Встреча на 30–40 минут с командой. Темы: как выглядит фишинг (страница входа Google, «новые реквизиты», «накладная.zip»); никогда не вводить пароль по ссылке из письма; куда сообщать о подозрительном; не ставить пиратское ПО и расширения браузера без необходимости | Люди — главный фильтр | 1 ч с подготовкой | Все присутствовали, есть короткая памятка на одну страницу |
| 4.6. Чек-лист увольнения: отключить Google-аккаунт (почту передать руководителю), убрать из GitHub, Trello, Figma, Битрикс24, Timeweb. Сменить пароли общих баз KeePass и Wi-Fi. Забрать ноутбук. Удалить VPN-профиль | Чтобы доступ не уходил вместе с сотрудником | 30 мин | Документ в общем доступе, руководитель знает, где он |
| 4.7. Удалённый сотрудник: обновить прошивку и сменить пароль администратора своего домашнего роутера. Отдельная учётка на рабочем ноутбуке, ноутбук не для семьи | Домашняя сеть становится чуть менее слабым звеном | 30 мин (созвон) | Сотрудник подтвердил выполнение |
| 4.8. По желанию: ИБП для NAS (ориентировочно 5–8 тыс. ₽) с корректным выключением NAS по сигналу ИБП | Отключение света — частая причина повреждения данных на NAS | 30 мин | NAS корректно выключается при тестовом отключении питания |
| 4.9. Регулярные задачи в общий календарь: ежемесячно — проверить журналы NAS и обновления роутера; ежеквартально — тест восстановления и пересмотр доступов | Безопасность держится на регулярности | 20 мин | События созданы и назначены ответственным |
Бюджет
| Статья | Разово | В месяц |
|---|---|---|
| Внешний диск для бэкапа | ~9 000–11 000 ₽ | — |
| ИБП для NAS (по желанию) | ~5 000–8 000 ₽ | — |
| Облачное хранилище для бэкапов (S3, с шифрованием) | — | ~500–1 000 ₽ (зависит от объёма) |
| Менеджер паролей KeePassXC, gitleaks, VPN на Keenetic, Defender, BitLocker/FileVault, управление устройствами Workspace | 0 ₽ | 0 ₽ |
| Итого | ~14 000–19 000 ₽ | до ~1 000 ₽ |
Цены ориентировочные: сверьтесь с текущими перед покупкой. Остаток месячного бюджета держите в резерве, например на рост облачного хранилища.
3. Признаки того, что вас уже взломали
В сети и на NAS:
- на NAS появились файлы с незнакомыми расширениями, записки вида
README,HOW_TO_DECRYPT; файлы перестали открываться; - в журнале NAS есть входы из-за рубежа или с незнакомых адресов, новые пользователи, задачи в планировщике, которых вы не создавали;
- в роутере появились незнакомые правила переадресации, неизвестные устройства в списке клиентов, изменён DNS;
- интернет в офисе внезапно «тормозит», NAS постоянно нагружен без причины.
В аккаунтах:
- Google присылает уведомления о входе с нового устройства, в почте появились правила пересылки или фильтры, которых вы не создавали (частый признак: письма клиентов тихо уходят злоумышленнику);
- в GitHub незнакомые токены, SSH-ключи, приложения, в журнале безопасности — клонирование с чужих адресов;
- клиенты жалуются на странные письма «от вас», на сайтах появился чужой код или редиректы, выросли счета за SMS или API.
В финансах:
- незнакомые операции в Точке, уведомления о входе, которого никто не делал.
Первые действия (по порядку):
- Не паниковать и ничего не удалять и не переустанавливать. Сделайте снимки экрана и сохраните журналы: они понадобятся для разбора и, возможно, для полиции.
- Отключить заражённое от сети. Выдернуть сетевой кабель у NAS или ноутбука, выключить Wi-Fi. Если это шифровальщик, выключить NAS и отключить внешний диск с бэкапом, если он подключён.
- Деньги. При подозрении на Точку — сразу звонить в банк и блокировать доступ и платежи.
- С чистого устройства (например, телефона, не подключённого к офисной сети) сменить пароли Google, GitHub, Timeweb, банка. В Google и GitHub завершить все активные сессии: в консоли Workspace это выход пользователя из всех сеансов, в GitHub — отзыв сессий и токенов.
- Перевыпустить ключи API затронутых клиентских проектов и сменить пароли сайтов.
- Восстановиться из бэкапа (снимок, внешний диск или облако) — только после того, как понятно, как злоумышленник попал внутрь и эта дверь закрыта.
- Уведомить. Клиентов, если затронуты их ключи, сайты или макеты. Если утекли персональные данные (например, из Битрикс24), закон требует уведомить Роскомнадзор в течение 24 часов. Выкуп шифровальщикам не платить: это не гарантирует возврата данных.
- Если масштаб непонятен, стоит разово привлечь внешнего специалиста по расследованию инцидентов. Это дешевле, чем повторный взлом.
4. Приложение: карта активов и вопросы
Карта активов (как я её понял)
| Актив | Где | Кто имеет доступ | Критичность |
|---|---|---|---|
| Исходный код и ключи API (12 проектов) | GitHub, локальные копии на ноутбуках разработчиков | 2 разработчика, возможно руководитель | Очень высокая |
| Доступы к 9 сайтам на Timeweb | Google-таблица, заметки | Вся команда | Очень высокая |
| Проектные файлы и бэкапы баз | NAS в офисе (одна копия) | Офис и 2 человека удалённо через проброшенные порты | Очень высокая |
| Клиентская база, реквизиты, сканы паспортов | Битрикс24 | Не уточнено | Высокая (персональные данные) |
| Макеты под NDA | Figma, Google Диск | Дизайнер, вероятно вся команда | Высокая |
| Переписка и договоры | Gmail (Workspace), 4 личных смартфона | Вся команда | Высокая |
| Финансы | Точка | Руководитель, бухгалтер на аутсорсе | Очень высокая |
| Сеть | Keenetic Giga, одна Wi-Fi сеть | Все, кто знает пароль | Высокая (ворота ко всему остальному) |
Вопросы — ответы могут изменить приоритеты:
- Какие именно порты проброшены (номера и куда ведут) и зачем двум людям нужен доступ к роутеру снаружи?
- Какая файловая система на NAS — Btrfs или ext4? От этого зависит, доступны ли снимки из шага 1.7. Сколько всего данных на NAS в ГБ?
- Какая редакция Google Workspace (Business Starter, Standard или другая)?
- GitHub: репозитории в организации или в личных аккаунтах? Есть ли внешние участники — фрилансеры или сами клиенты?
- Были ли репозитории с
.envкогда-нибудь публичными, хотя бы ненадолго, или переданы клиентам? - Timeweb: один общий аккаунт студии на все 9 сайтов или сайты на аккаунтах клиентов?
- Как бухгалтер на аутсорсе входит в Точку: у него своя учётка с ограниченными правами или общая с руководителем? С какого устройства он работает?
- Какие редакции Windows 11 на ноутбуках (Home или Pro)? Ноутбуки принадлежат компании или сотрудникам?
- Есть ли у SMM-менеджера доступы к соцсетям клиентов? Если да, это ещё одна зона, которую надо внести в менеджер паролей и 2FA.
- Уходили ли за последний год сотрудники или фрилансеры, у которых был доступ к таблице паролей, Wi-Fi или GitHub?
- Кто может заходить в офис: клиенты, арендодатель, уборка? Подключается ли кто-то из них к Wi-Fi?
- Есть ли в офисе другие устройства в сети: принтер, камеры, умные колонки, телевизор?
- Сколько у Битрикс24 пользователей и есть ли доступ у бухгалтера?
Если пришлёте ответы, я уточню уровни рисков и скорректирую план, в первую очередь по VPN, бэкапам и ключам GitHub.
Похожие промпты
IT и Администрирование
Скрипт PowerShell под задачу
Пишет скрипт PowerShell с обработкой ошибок, логированием и режимом пробного прогона — так, чтобы его можно было запустить на рабочей машине и не бояться последствий.
{} 6 перем.
IT и Администрирование
Ревью и рефакторинг PowerShell-скрипта
Разбирает существующий скрипт PowerShell: что сломается на реальных данных, где ошибки глушатся вместо обработки и что переписать в первую очередь, а что оставить.
{} 5 перем.
IT и Администрирование
Постмортем инцидента для публикации
Превращает внутренний разбор аварии в публичный постмортем: хронология, настоящая причина вместо «человеческого фактора», выводы без самобичевания и без корпоративного тумана.
{} 6 перем.
IT и Администрирование
Консультант по выбору VPN-решения
Помогает выбрать VPN под задачу: сравнивает коммерческие сервисы и self-hosted решения с учётом страны, устройств, модели угроз и бюджета.
{} 6 перем.