Situacija
Kauno e. prekybos įmonė parduoda namų ir sodo prekes Lietuvoje ir Baltijos šalyse. Dirba 40 žmonių: klientų aptarnavimas, rinkodara, pirkimai, sandėlis. Paštas ir kalendoriai buvo pas vietinį hostingo tiekėją – tą patį, kuris prieš daug metų sukūrė pirmąją el. parduotuvę. Pašto dėžutės buvo ribotos apimties, bendrų dokumentų nebuvo kur laikyti, o darbuotojai dalijosi failais per asmenines debesijos paskyras.
Buvo ir bendrų paskyrų: „info“, „uzsakymai“, „pirkimai“ – prie kiekvienos jungėsi po kelis žmones su tuo pačiu slaptažodžiu, dažnai iš asmeninių telefonų. Niekas neturėjo dviejų veiksnių patvirtinimo.
Incidentas įvyko rudenį, piko sezono pradžioje. Pirkimų vadybininkė gavo laišką, tariamai iš tiekėjo, su nuoroda į „atnaujintą sąskaitą“. Įvedė pašto slaptažodį į suklastotą puslapį. Per kelias valandas iš jos paskyros buvo išsiųsti laiškai visiems kontaktams, o vienam tiekėjui – prašymas pakeisti banko sąskaitą apmokėjimui. Tiekėjas paskambino patikrinti, todėl pinigai neprarasti, bet įmonės vadovas suprato, kad tai buvo laimė, o ne apsauga.
Ko reikėjo
Su įmonės vadovu ir klientų aptarnavimo vadove sutarėme tikslus:
- Perkelti paštą, kalendorius ir kontaktus į Microsoft 365 taip, kad klientų aptarnavimas nepajustų pertraukos – sezono metu kiekviena neatsakytų laiškų valanda reiškia prarastus užsakymus.
- Viena tapatybė kiekvienam darbuotojui, be bendrų slaptažodžių; bendros dėžutės – kaip bendri pašto ištekliai, ne atskiros paskyros.
- Dviejų veiksnių patvirtinimas visiems be išimčių, įskaitant vadovus.
- Apsauga nuo phishing laiškų dar prieš jiems pasiekiant darbuotojus.
- Pašto ir dokumentų kopijos, nepriklausomos nuo Microsoft.
- Terminas: iki didžiausių metų išpardavimų, tai yra keturios savaitės.
Ką padarėme
1 savaitė: paruošimas ir tapatybės
Sukūrėme Microsoft 365 nuomininką, patikrinome domeną ir pradėjome nuo tapatybių: kiekvienam darbuotojui – asmeninė paskyra Microsoft Entra ID, bendros dėžutės „info“, „uzsakymai“ ir „pirkimai“ virto bendrais pašto ištekliais, prie kurių prieigą gauna konkretūs žmonės savo paskyromis. Dabar matyti, kas atsakė į kurį laišką.
Lygiagrečiai paruošėme migracijos planą: pašto istorija kopijuojama į Microsoft 365 iš anksto, kelis kartus, kol abi sistemos veikia, o perjungimas vyksta tik perkeliant domeno pašto įrašus.
2 savaitė: migracija be prastovos
Perkėlėme pašto istoriją – kai kurios dėžutės turėjo po dešimt metų laiškų. Trečiadienio vakare perjungėme domeno įrašus, o kitą rytą darbuotojai jau dirbo Microsoft 365. Laiškai, atkeliavę per perjungimo valandas, buvo surinkti iš senosios sistemos ir perkelti. Nė vienas laiškas nedingo, klientų aptarnavimas dirbo įprastai.
Sudėtingiausia dalis buvo el. parduotuvės ir sandėlio sistemos, kurios siuntė automatinius laiškus klientams per senąjį pašto serverį. Jas perkonfigūravome iš anksto ir išbandėme, kad užsakymų patvirtinimai nenutrūktų.
3 savaitė: saugumas
Įjungėme dviejų veiksnių patvirtinimą visiems per programėlę telefone. Sukonfigūravome sąlyginę prieigą: iš nežinomų įrenginių ar neįprastų šalių prisijungti negalima, senieji protokolai, kuriais naudojosi phishing įsilaužėliai, išjungti. Darbuotojų telefonai, kuriuose yra darbo paštas, įtraukti į valdymą – pametus telefoną, darbo duomenys ištrinami nuotoliniu būdu.
Pašto filtrai sukonfigūruoti pagal Microsoft 365 saugumo praktiką: nuorodos laiškuose tikrinamos paspaudimo metu, priedai atidaromi apsaugotoje aplinkoje, laiškai iš užsienio su mūsų vadovų vardais žymimi kaip įtartini. Vadovams, kurių vardu dažniausiai klastojami laiškai, įjungta papildoma apsauga nuo apsimetimo.
4 savaitė: kopijos ir mokymai
Įjungėme Microsoft 365 rezervines kopijas su Veeam: paštas, OneDrive, SharePoint ir Teams kopijuojami kasdien į mūsų duomenų centrą Lietuvoje, nepriklausomai nuo Microsoft. Ištrintas laiškas ar dokumentas atkuriamas per minutes, o ne per Microsoft palaikymo užklausą.
Paskutinę savaitę vedėme valandos trukmės mokymus visiems darbuotojams: kaip atpažinti suklastotą laišką, ką daryti, jei paspaudei, kodėl banko rekvizitų pakeitimą visada reikia patvirtinti skambučiu. Po mokymų įjungėme periodinius phishing bandymus – imituotus laiškus, kurie rodo, kas dar paspaudžia.
Rezultatas
Per šešis mėnesius po migracijos – nė vieno sėkmingo phishing atvejo. Tai matuojame dviem būdais: saugumo pulte matomi visi blokuoti laiškai ir bandymai prisijungti, o imituoti phishing laiškai rodo darbuotojų reakciją. Pirmo bandymo metu paspaudė keli žmonės, trečio – nė vienas.
Pašto prastova migruojant – 0 valandų: klientų aptarnavimas dirbo visą laiką, o perjungimas vyko vakare. Visos 40 paskyrų – 100 % su dviejų veiksnių patvirtinimu ir sąlygine prieiga, bendrų slaptažodžių nebeliko. Kiekvienas laiškas ar failas, ištrintas per klaidą, atkuriamas iš kopijos; per pusmetį tokių prašymų buvo keturi, visi įvykdyti tą pačią dieną.
Po incidento galvojau, kad saugumas reikš nepatogumą. Pasirodo, nepatogu buvo anksčiau – tik mes to nepastebėjome.
Ką patartume panašioje situacijoje
- Bendros paskyros su bendru slaptažodžiu yra didžiausia rizika mažose įmonėse. Bendras dėžutes galima turėti, bet jungtis prie jų reikia asmenine tapatybe.
- Dviejų veiksnių patvirtinimas – visiems, įskaitant vadovus. Būtent vadovų paskyros įsilaužėliams vertingiausios.
- Migruojant paštą, pašto istoriją kopijuokite iš anksto, o perjunkite tik domeno įrašus. Tada prastova yra nulis, o ne savaitgalis.
- Microsoft saugo jūsų paštą, bet neatsako už tai, ką ištrynėte patys ar ištrynė įsilaužėlis. Kopija už Microsoft ribų – ne perteklius, o standartas.
