Многоуровневая защита ИТ-инфраструктуры: строим систему ИБ на проверенных российских решениях

Эшелонированная защита ИТ-инфраструктуры — это цепочка из нескольких уровней безопасности: конечные точки, сетевой периметр и данные, которые работают как единая система. В качестве основы можно использовать связку российских решений: Лаборатория Касперского (конечные точки и EDR), UserGate (NGFW/UTM на периметре) и Киберпротект (резервное копирование и защита данных).

Цепочка атаки: почему один антивирус уже не спасает

Типичный сценарий атаки сегодня выглядит просто: фишинговое письмо → заражение рабочей станции → перемещение по сети → шифрование данных в ЦОД. Один сбой на любом из этапов — и бизнес останавливается.

Отдельный антивирус на рабочих станциях, даже современный, не контролирует всю картину:

• не видит, как злоумышленник двигается по сети;
• не управляет доступом к внешним ресурсам;
• не гарантирует доступность данных, если шифровальщик успел отработать.

Поэтому все чаще используется модель многоуровневой обороны:

• Первый рубеж — защита конечных точек (ПК, ноутбуки, серверы).
• Второй рубеж — сетевой периметр и внутренние сегменты.
• Третий рубеж — защита и восстановление данных, даже если два первых слоя были пройдены.

Российские решения класса endpoint security, NGFW/UTM и системы резервного копирования уже закрывают этот сценарий от «первого клика по письму» до восстановления сервисов в ЦОД.

Конечные точки под прицелом: как остановить угрозу в зародыше

Основная задача первого уровня — не допустить закрепления злоумышленника на рабочей станции или сервере, а если это произошло, быстро понять, что именно произошло, и локализовать инцидент.

Что дает современная защита конечных точек

Решения класса Kaspersky Endpoint Security объединяют в одном продукте несколько технологий: сигнатурное детектирование, поведенческий анализ, контроль приложений и устройств, а также централизованное управление политиками защиты.

Ключевые возможности, которые важны именно для корпоративной инфраструктуры:

• Многоуровневая защита от вредоносного ПО. Совмещение классического антивируса, эвристики и машинного обучения позволяет блокировать как известные, так и новые типы вредоносных программ, включая эксплойты и файловые атаки.
• Поведенческий анализ и контроль активности. Система отслеживает нетипичное поведение процессов: запуск шифрования большого объема файлов, массовое создание скриптов, попытки повышения привилегий. Это помогает обнаруживать вредоносную активность еще до того, как появляются сигнатуры.
• Контроль устройств, приложений и веб-ресурсов. Администратор может ограничивать использование USB-носителей, запуск несанкционированных программ и доступ к опасным категориям сайтов. Это снижает риск занесения угроз «на флешке» или скачивания зараженного контента.
• Централизованное управление. Единая консоль позволяет управлять политиками для всей инфраструктуры, видеть инциденты по всем рабочим местам, запускать проверки и реагировать на события.

Почему EDR важен для среднего и крупного бизнеса

Классическое endpoint-решение закрывает «массовые» угрозы, но целевые атаки требуют другого подхода. Здесь появляется EDR (Endpoint Detection and Response):

• собираются события с конечных точек (запуски процессов, сетевые соединения, изменения в реестре, действия пользователя);
• выстраиваются цепочки атаки: от начального события до конечной цели злоумышленника;
• аналитик может проследить, как вредонос попал в систему, куда пытался подключиться и какую lateral movement-активность выполнял.

Для CISO и архитекторов ИБ это означает, что рабочая станция перестает быть «черным ящиком»: инцидент можно не только зафиксировать, но и расследовать, а затем скорректировать политики защиты.

Сетевая изоляция: не даем угрозе распространиться внутри компании

Второй уровень защиты нужен для того, чтобы не позволить атаке уйти с одной скомпрометированной станции вглубь сети и добраться до критичных систем.

Роль NGFW и UTM в эшелонированной защите

Межсетевой экран нового поколения (NGFW) и UTM-шлюз выполняют сразу несколько функций: фильтрация трафика, контроль приложений и пользователей, предотвращение вторжений, веб-фильтрация и VPN-доступ.

UserGate NGFW относится к этому классу решений: он совмещает stateful-фильтрацию, DPI (глубокий анализ пакетов), функции IDS/IPS, управление политиками на основе пользователей и интеграцию с каталогами.

В типовой архитектуре этот уровень позволяет:

• Ограничить перемещение угрозы по сети. Сегментация сети и правила межсетевого экрана препятствуют свободному доступу с пользовательских подсетей к серверам приложений, базам данных и системам управления.
• Обнаруживать и блокировать сетевые эксплойты. Модуль IPS отслеживает сигнатуры атак на протоколы и сервисы, а также аномалии в сетевом трафике — попытки сканирования, подбор учетных данных, эксплуатацию уязвимостей.
• Фильтровать веб-трафик и снижать риск утечек. URL-фильтрация и контроль приложений помогают предотвращать переходы на фишинговые сайты, загрузку вредоносных файлов и несанкционированную передачу данных во внешние сервисы.
• Управлять безопасным удаленным доступом. Встроенный VPN позволяет организовать доступ сотрудников и подрядчиков к внутренним ресурсам с учетом политик безопасности и двухфакторной аутентификации.

Отдельно стоит отметить наличие у решения сертификата ФСТЭК России на «универсальный шлюз безопасности UserGate UTM», что важно для защиты конфиденциальной информации и выполнения требований регулятора.

Резервное копирование Киберпротект: страховка на случай самого страшного

Даже при сильных первых двух рубежах остается риск успешной атаки: человеческий фактор, новая уязвимость, ошибка в настройке. Третий уровень — защита и восстановление данных — должен исходить из предположения, что шифровальщик все-таки смог добраться до ЦОД.

Роль резервного копирования в системе ИБ

Решения «Киберпротект» (продукты линейки «Кибер Бэкап») ориентированы на резервное копирование и восстановление данных в физических, виртуальных и облачных средах, с защитой от вирусов-шифровальщиков.

Критичные особенности этого уровня:

• Единая платформа для разных нагрузок. Можно создавать резервные копии серверов, рабочих станций, виртуальных машин, СУБД и бизнес-приложений в рамках одной системы.
• Защита самих резервных копий. Решение включает механизмы, которые препятствуют шифрованию и удалению бэкапов: хранение в изолированных хранилищах, поддержка неизменяемых репозиториев, контроль доступа к инфраструктуре резервного копирования.
• Быстрое восстановление сервисов. При отказе оборудования или атаке-шифровальщике восстановление систем возможно на новую площадку или другое оборудование, что сокращает простой и снижает объем недоступных данных.
• Импортозамещение и регуляторные требования. «Кибер Бэкап» включен в реестр российского ПО, что облегчает выполнение требований по импортозамещению и проектам в госсекторе и КИИ.

На практике третий рубеж превращает даже успешную атаку в инцидент с управляемыми потерями, а не в остановку бизнеса на неопределенный срок.

Как решения взаимодействуют: сквозной сценарий сложной атаки

Эффект многоуровневой защиты проявляется, когда продукты работают не по отдельности, а как части единой архитектуры.

Пример цепочки от фишинга до ЦОД

Разберем упрощенный, но показательный сценарий:

• Фишинговое письмо. Сотрудник получает письмо с вложенным документом, который содержит вредоносный макрос или эксплойт.
• Рабочая станция
  • Endpoint-решение фиксирует запуск неизвестного процесса, анализирует его поведение и блокирует подозрительную активность.
  • Если вирус уже успел выполнить часть действий, EDR показывает цепочку событий: какой процесс запустился, какие файлы трогал, с какими узлами пытался связаться.
• Сетевая активность
  • Попытка «позвонить домой» на управляющий сервер блокируется NGFW за счет анализа сетевых соединений и категорий ресурсов.
  • Попытки сканирования соседних хостов или эксплуатации уязвимостей в сервисах внутри сети отслеживаются и отражаются IPS-модулем.
• Движение к ЦОД
  • Благодаря сегментации сети и строгим правилам доступа вредонос не может напрямую добраться до серверов приложений и баз данных.
  • Даже при компрометации учетных данных дальнейшее продвижение ограничено политиками межсетевого экрана.
• Шифрование и данные
  • Если часть данных все-таки оказывается зашифрована, в дело вступает система резервного копирования.
  • Из защищенных репозиториев поднимается актуальная копия сервисов и баз данных, что позволяет восстановить работоспособность в согласованные сроки RTO/RPO.

Таблица уровней защиты в этом сценарии

Такой сценарий показывает, что цель — не «поймать все на одном уровне», а создать цепочку барьеров, где каждый новый слой снижает риск для бизнеса.

Соответствие требованиям и устойчивость бизнеса

Для компаний среднего и крупного бизнеса важна не только техническая эффективность, но и соответствие нормативным требованиям.

В российской практике это:

• защита персональных данных по 152-ФЗ;
• защита значимых объектов КИИ;
• выполнение требований регуляторов (ФСТЭК России, Банка России, ФСБ России) к средствам защиты и архитектуре.

Использование отечественных средств защиты, имеющих сертификаты соответствия и включенных в профильные реестры, облегчает:

• прохождение проверок и аудит ИБ;
• составление моделей угроз и нарушителя;
• оформление организационно-распорядительной документации по ИБ.

При этом многоуровневая архитектура ИБ помогает связать нормативные требования с конкретными техническими мерами: от политик на рабочих местах до регламента восстановления ЦОД.

Многоуровневая защита как стандарт для зрелой ИТ-инфраструктуры

Эшелонированная система безопасности на российских решениях — это не набор «разрозненных коробок», а управляемый комплекс, который защищает бизнес от атаки на всех ключевых участках: конечных точках, сети и уровне данных.

Связка продуктов класса endpoint security и EDR, межсетевого экрана нового поколения и системы резервного копирования:

• снижает вероятность успешной атаки за счет нескольких независимых рубежей;
• делает инциденты управляемыми — их можно расследовать, локализовать и отработать по регламенту;
• поддерживает выполнение требований регуляторов и стратегию импортозамещения.

Получите бесплатную консультацию по построению многоуровневой системы защиты вашей ИТ-инфраструктуры. Мы проведем аудит и предложим поэтапный план внедрения.