SPF, DKIM и DMARC: не дайте злоумышленникам отправлять письма от имени вашей компании
Поддельные счета и «срочные» письма от директора — одни из самых частых атак. Три DNS-записи делают их намного сложнее.
Читать статьюКогда мы расследуем инциденты, история очень часто начинается одинаково: пароль подобрали, взяли из утечки другого сайта или ввели на поддельной странице входа. После этого злоумышленник просто входит в систему — никаких хакерских инструментов не нужно. Надёжные пароли и многофакторная аутентификация (MFA) останавливают большинство таких атак и почти ничего не стоят.
Каким должен быть хороший пароль
- Длинным, а не сложным. Фраза из четырёх-пяти случайных слов легче запоминается и сложнее подбирается, чем короткий набор символов.
- Уникальным для каждого сервиса. Если утечёт один сайт, остальные учётные записи останутся в безопасности.
- Никогда не передаваться в мессенджерах, письмах или на стикерах.
Используйте менеджер паролей
Никто не запомнит десятки уникальных паролей. Менеджер паролей создаёт и хранит их, подставляет только на правильном сайте (что помогает и против фишинга) и позволяет команде безопасно делиться доступом с журналированием. Для компаний выбирайте бизнес-версию с централизованным управлением, чтобы при уходе сотрудника доступ можно было сразу отозвать.
Включите MFA везде, где это важно
- Почта и Microsoft 365 / Google Workspace.
- VPN и удалённый рабочий стол.
- Банк, бухгалтерия и доступ к 1С извне офиса.
- Учётные записи администраторов, межсетевые экраны, консоли резервного копирования и облачные панели.
Выбирайте приложение-аутентификатор или аппаратный ключ, а не SMS-коды. Научите сотрудников никогда не подтверждать запрос на вход, который они не инициировали, — злоумышленники иногда отправляют много запросов в надежде на один уставший клик.
Не забывайте о служебных учётных записях
Пароли по умолчанию на роутерах, принтерах, камерах и серверах — один из самых простых путей внутрь. Меняйте их при установке, храните в менеджере паролей и регулярно пересматривайте.
MFA превращает украденный пароль из открытой двери в бесполезный набор символов.
CySec помогает компаниям внедрить менеджеры паролей и MFA для всех пользователей и систем, не останавливая ежедневную работу.
Частые вопросы
Достаточно ли SMS как второго фактора?
Это гораздо лучше, чем отсутствие MFA, но SMS можно перехватить или перенаправить через замену SIM-карты. Приложения-аутентификаторы, passkeys или аппаратные ключи надёжнее.
Нужно ли заставлять сотрудников менять пароли каждые 90 дней?
Современные рекомендации стандартов против регулярной принудительной смены. Меняйте пароли при признаках компрометации и требуйте длинные уникальные пароли плюс MFA.
Какой менеджер паролей выбрать компании?
Выбирайте бизнес-версию с централизованным управлением, общими хранилищами, журналом аудита и возможностью отозвать доступ при увольнении. Популярные варианты — Bitwarden, 1Password и Keeper.
Что такое passkeys?
Passkeys заменяют пароль криптографическим ключом на вашем устройстве, который разблокируется отпечатком, лицом или PIN-кодом. Их нельзя выманить фишингом, как пароль; их поддерживают Microsoft, Google и Apple.