Know-how pre správcov IT a MSP partnerov
Trust Center
Praktické postupy: ako riešenie bezpečne nastaviť, overiť a čo robiť, keď nastane problém. Nájdete tu aj to, čo riešenie nerobí.
Na čom stojí ochrana
Šesť zásad, z ktorých vychádzajú všetky postupy na tejto stránke.
Nič neotvárajte zvonka
Agent nepočúva na sieti a spojenie ku konzole nadväzuje sám. Stačí povoliť odchádzajúcu komunikáciu.
Kľúč držte vo svojich rukách
Zálohy sa šifrujú na stroji a kľúč ho neopúšťa. Nikto iný ich nerozšifruje, preto si kópiu kľúča strážte sami.
Počítajte s prienikom
Útočník môže získať aj prístup správcu. Aspoň jedna kópia záloh musí byť mimo jeho dosahu.
Zálohu overte obnovou
Úspešne dokončená úloha ešte neznamená funkčnú obnovu. Istotu dá až pravidelná skúška.
Reakciu si pripravte vopred
Pri útoku nie je čas vymýšľať postup. Rozhodnite vopred, kto čo robí a čo sa môže odpojiť.
Prideľujte len potrebný prístup
Každému dajte najnižšiu rolu, s ktorou zvládne prácu, a prístupy pravidelne kontrolujte.
Príprava siete
Na bežné nasadenie netreba port forwarding, verejnú IP adresu ani VPN. Skontrolujte len odchádzajúcu komunikáciu.
| Odkiaľ | Kam | Na čo |
|---|---|---|
| Chránený stroj | console.intellidefender.com, port 443 | Registrácia, riadenie a sťahovanie aktualizácií |
| Chránený stroj | Adresa vášho úložiska záloh | Prenos už zašifrovaných záloh |
| Prehliadač správcu | console.intellidefender.com, port 443 | Práca v konzole |
| Internet | Chránený stroj | Nič, žiadny prichádzajúci port netreba |
- Ak firewall povoľuje len známe adresy, pridajte konzolu aj úložisko
- TLS inšpekcia nesmie blokovať WebSocket, inak sa agent nepripojí
- Manažment NAS a serverov nechajte mimo internetu, prístup riešte cez VPN
- Po výpadku spojenia sa agent pripojí sám, nie je potrebný zásah
Prvé nasadenie
Postup na jeden stroj. Pri viacerých strojoch ho najprv skúste na menej kritickom.
- 01
Vytvorte kód
Agenti → Pridať agenta. Kód je jednorazový, patrí jednej firme a predvolene platí 24 hodín.
- 02
Spustite príkaz
Spustite ho s právami správcu. Nainštaluje sa jadro a stroj sa do minúty ukáže v konzole.
- 03
Pridajte moduly
Na stránke agenta schváľte Backup, prípadne Guard. Bez schválenia sa nič ďalšie nenainštaluje.
- 04
Odložte kľúč
Hneď po inštalácii modulu Backup si uložte master kľúč mimo stroja.
- 05
Overte obnovu
Po prvej zálohe obnovte vzorku dát na iné miesto. Až potom považujte nasadenie za hotové.
Inštalačné príkazy
- Windows Server (PowerShell)
$t='enr_…'; irm https://console.intellidefender.com/install.ps1 | iex- Linux / Synology (SSH)
curl -fsSL https://console.intellidefender.com/install.sh | sudo sh -s -- enr_…
Presný príkaz s kódom vám ukáže konzola. Podporované sú Windows Server, Linux so systemd (Ubuntu, Debian, RHEL) a Synology DSM 7. Na Synology bez SSH použite balík z konzoly: agent potrebuje práva root, preto treba raz spustiť úlohu v Plánovači úloh a pri každom štarte ju ponechať zapnutú.
Správa master kľúča
Kľúč je jediná vec, ktorú za vás nikto nezachráni. Bez neho sú zálohy po strate stroja nečitateľné, aj pre nás.
- 01
Vypíšte kľúč
Na stroji s právami správcu spustite príkaz nižšie.
- 02
Uložte ho mimo
Do firemného trezoru hesiel alebo zapečatený do fyzického trezoru. Nikdy nie na rovnaký stroj.
- 03
Evidujte ho
Označte názov stroja a odtlačok z konzoly, aby ste po rokoch vedeli, ktorý kľúč patrí ku ktorej zálohe.
- 04
Skúste ho
Pri skúške obnovy na inom stroji overte, že uložený kľúč naozaj funguje.
Príkazy
- Vypísanie kľúča na zdrojovom stroji
id-backup show-key- Doplnenie kľúča na cieľovom stroji
id-backup import-key -agent <agent-id> -key <hex>
Každý stroj má vlastný kľúč. Kto kľúč má, a zároveň prístup k úložisku, prečíta všetky zálohy daného stroja. Pristupujte k nemu ako k najcitlivejšiemu heslu vo firme.
Návrh záloh
Dobrá politika začína otázkou, koľko dát si môžete dovoliť stratiť a ako rýchlo musíte fungovať znova.
- Určte priority
- Rozdeľte dáta na kritické, dôležité a ostatné. Kritické zálohujte častejšie a s dlhšou históriou.
- Databázy zálohujte ako databázy
- Nekopírujte ich dátové súbory počas behu. Nastavte politiku pre PostgreSQL, MySQL alebo MS SQL, aby záloha bola konzistentná.
- Držte sa pravidla 3-2-1-1-0
- Tri kópie, dva typy úložiska, jedna mimo lokality, jedna nemenná a nula chýb pri skúške obnovy.
- Plánujte mimo špičky
- Prvá záloha prenáša všetko, ďalšie už len zmeny. Pri pomalej linke nastavte časové okno a limit rýchlosti.
- Vylúčte zbytočné
- Dočasné súbory a cache zvyšujú objem bez úžitku. Pri vylúčeniach však radšej zálohujte viac ako menej.
- Nastavte retenciu podľa potreby
- Útok alebo chyba sa často odhalí neskoro. Okrem denných verzií si nechajte aj týždenné a mesačné.
Nemenné úložisko
Ak má útočník prístupové údaje, bežné úložisko vymaže. Nemenné úložisko mu to počas doby zámku nedovolí.
- 01
Založte nový bucket
Object Lock zapnite už pri vytváraní. Dodatočné zapnutie poskytovatelia často nepodporujú.
- 02
Zvoľte režim
Na ochranu pred útočníkom s prístupom správcu vyberte Compliance. Governance sa dá s oprávnením obísť.
- 03
Nastavte dobu zámku
Musí byť dlhšia, než za aký čas útok odhalíte. Typicky 14 až 30 dní.
- 04
Upravte životný cyklus
Staré verzie nechajte mazať po uplynutí zámku + 1 deň, inak miesto nikdy neubudne.
- 05
Overte to
Skúste zamknutý objekt zmazať priamo u poskytovateľa a overte, že jeho verzia zostala.
Pozor na náklady: počas zámku platíte aj za zmazané dáta, a Compliance zámok sa nedá skrátiť. Začnite kratšou dobou a predĺžte ju, keď poznáte objem zmien. Lokálny adresár túto ochranu nemá.
Skúška obnovy
Odporúčame ju robiť aspoň raz za štvrťrok a po každej väčšej zmene prostredia.
- Obnovujte na iné miesto alebo iný stroj, nikdy nie cez produkčné dáta
- Otvorte obnovené súbory a spustite aplikáciu, nestačí pozrieť ich veľkosť
- Databázu obnovte a overte v nej aktuálne záznamy
- Aspoň raz ročne obnovte na iný stroj s kľúčom z trezoru
- Zmerajte čas obnovy a porovnajte ho s tým, čo sľubujete vedeniu
- Zapíšte dátum, rozsah, výsledok a meno. Záznam využijete pri audite
Nastavenie Guardu
Guard rozpoznáva hromadné šifrovanie súborov. Najlepšie funguje, keď ho nasadíte po etapách.
- 01
Vyberte priečinky
Chráňte firemné zdieľania a dáta používateľov, nie celý disk ani priečinky, ktoré aplikácie neustále prepisujú.
- 02
Začnite s predvolením
Núdzový snapshot a ochrana záloh sú zapnuté. Izoláciu SMB nechajte zatiaľ vypnutú.
- 03
Sledujte týždeň
Pozrite, či falošné poplachy nespôsobujú dávkové úlohy, šifrované archívy alebo migrácie.
- 04
Dolaďte citlivosť
Pri falošných poplachoch zvýšte počet súborov alebo nálezov. Pri kritických dátach ich naopak znížte.
- 05
Zapnite izoláciu
Až keď viete, že poplachy sú dôveryhodné. Izolácia odpojí všetkých používateľov zdieľaní, nielen útočníka.
Výsledok si overte riadeným testom na skúšobnom priečinku s kópiami dát, nie na produkcii. Na Windows majte zapnutý firewall na všetkých profiloch, inak sa izolácia neuplatní všade.
Postup pri útoku
Vytlačte si ho a majte ho poruke. Pri útoku môže byť nedostupná aj vaša dokumentácia.
- 01
Potvrďte a izolujte
Otvorte incident a pozrite zasiahnuté súbory. Ak je útok reálny, odpojte zdroj šifrovania od siete.
- 02
Chráňte dôkazy aj zálohy
Nič nemažte a stroj hneď nepreinštalujte. Skontrolujte, že je na agentovi aktívny hold.
- 03
Nájdite zdroj
Zistite, ktorý počítač alebo účet súbory menil, zablokujte ho a zmeňte heslá. Guard to za vás neurobí.
- 04
Vyberte čistý bod
Incident ukáže poslednú zálohu pred začiatkom. Overte ju obnovou na iné miesto, útok mohol začať skôr.
- 05
Obnovte a uvoľnite
Najprv vyčistite prostredie a až potom obnovte dáta. Nakoniec vyriešte incident, čím sa uvoľní SMB aj hold.
- Výkupné neplaťte bez porady s odborníkmi a právnikom
- Ak spadáte pod NIS2, sledujte lehoty: včasné varovanie do 24 hodín a oznámenie do 72 hodín
- Núdzový snapshot je na rovnakom zväzku, preto po útoku skontrolujte aj jeho dostupnosť
- Po incidente doplňte, čo v postupe chýbalo, a zopakujte skúšku obnovy
Bezpečné aktualizácie
Nič sa neaktualizuje samo. Vy určujete, kedy a kde sa nová verzia nasadí.
- 01
Prečítajte si zmeny
Zistite, ktorých komponentov sa nová verzia týka.
- 02
Skúste pilota
Najprv aktualizujte jeden menej kritický stroj.
- 03
Overte stav
Skontrolujte, či je agent online a prebehne záloha.
- 04
Nasaďte hromadne
Potom schváľte zvyšok firmy, ideálne mimo okna záloh.
- 05
Skontrolujte výsledok
Pri stave rolled_back sa stroj sám vrátil na starú verziu. Pozrite dôvod a nepokračujte.
Postupy pre MSP partnerov
Pri viacerých zákazníkoch rozhoduje poriadok. Tieto návyky zabránia väčšine problémov.
- Každý zákazník zvlášť
- Vlastná firma v konzole, vlastné úložisko a prístupové údaje. Problém jedného sa tak neprenesie na ďalších.
- Dohodnite držiteľa kľúča
- Písomne určite, kto kľúče uchováva: vy, zákazník alebo obaja. Riešte aj to, čo sa s nimi stane po ukončení spolupráce.
- Roly podľa potreby
- tenant_admin dostane len ten, kto spravuje zálohy. Môže spustiť aj obnovu. Vedeniu a kontrole stačí tenant_viewer.
- Odchod zamestnanca
- Hneď zakážte účet a skontrolujte auditný záznam. Ak mal prístup ku kľúčom alebo S3 údajom, zmeňte ich tiež, kde je to možné.
- Jednotný štandard
- Pripravte si šablónu politík a postup nasadenia. Odchýlky u zákazníka si zapisujte.
- Pravidelný report
- Raz za štvrťrok prejdite zlyhané zálohy, incidenty, výsledok skúšky obnovy a prístupy so zákazníkom.
Aké dáta vidí konzola
Odpoveď na častú otázku v bezpečnostných dotazníkoch. Konzola riadi agentov, no obsah záloh k nej neprichádza.
Konzola ukladá
- Názov stroja, operačný systém, verzie a poslednú IP adresu
- Politiky vrátane ciest a názvov databáz
- Prehľad záloh: cesty, čas a štatistiky
- Stav a záznamy úloh
- Cesty k súborom zasiahnutým pri incidente
- Účty, auditný záznam a šifrované prístupy k úložiskám
Konzola neukladá
- Master kľúč zálohovacieho repozitára
- Obsah zálohovaných súborov a databáz
- Obsah súborov kontrolovaných Guardom
- Heslá používateľov v čitateľnej podobe
Názvy ciest a strojov môžu byť citlivé, preto ich pri pomenovaní zohľadnite. Miesto uloženia záloh určíte výberom úložiska.
Známe obmedzenia
Pri posúdení rizík je dôležité vedieť aj to, čo riešenie nerobí, a ako to pokryť.
- Konzola nemá 2FA
- Prihlásenie je e-mail a heslo. Používajte jedinečné silné heslá z trezoru a prístupy pravidelne kontrolujte.
- Kľúč sa nezálohuje sám
- Bez jeho kópie sa po strate stroja zálohy nedajú obnoviť. Pozrite postup správy kľúča.
- Guard nezachytí všetko
- Veľmi malé súbory a pomalé šifrovanie pod nastaveným prahom môže minúť. Nenahrádza ochranu koncových zariadení ani zálohy.
- Guard nezastaví útočníka
- Neblokuje IP adresu ani proces. Izolácia sa týka zdieľaní SMB, nie NFS, a treba si ju zapnúť.
- Snapshot nie je všade
- Na Linuxe vyžaduje Btrfs a je na rovnakom zväzku. Nenahrádza zálohu mimo stroja.
- Overenie nenahrádza skúšku obnovy
- Pravidelné overenie záloh si treba zapnúť v politike a potvrdí čitateľnosť dát. Neoverí, či sa databáza načíta a aplikácia spustí.
- Bloky sa nekomprimujú
- Pri plánovaní kapacity počítajte s úsporou z deduplikácie, nie z kompresie.
- Prvá inštalácia
- Podpis kontroluje agent pri aktualizáciách a moduloch. Inštalačný príkaz spúšťajte len z vlastnej konzoly.
Podklady pre NIS2
Čo si pripraviť k článku 21 ods. 2 smernice NIS2. Technické funkcie pomáhajú, ale súlad zahŕňa aj organizačné opatrenia a závisí od vášho nastavenia.
| Požiadavka | Čo si pripraviť ako dôkaz |
|---|---|
| Riešenie incidentov (b) | Vytlačený postup pri útoku, záznamy incidentov z konzoly, určené zodpovedné osoby |
| Kontinuita a zálohy (c) | Politiky záloh, nastavenie nemenného úložiska, protokoly zo skúšok obnovy |
| Dodávatelia a údržba (d, e) | Evidencia dodávateľov, história schválených aktualizácií |
| Kryptografia (h) | Pravidlá uloženia kľúčov a evidencia ich držiteľov |
| Riadenie prístupu (i) | Zoznam účtov a rolí, pravidelná kontrola prístupov, auditný záznam |
| Viacfaktorové overenie (j) | Konzola ho zatiaľ nepodporuje, popíšte kompenzačné opatrenie |
Viac o NIS2|Otázky k certifikáciám, auditom a sprostredkovateľom smerujte na [email protected]
Riešenie problémov
Odpovede na najčastejšie otázky správcov.
Kde nájdem logy agenta?
V adresári dát, v podpriečinku logs. Na Windows je to %ProgramData%\IntelliDefender, na Linuxe /var/lib/intellidefender a na Synology /volume1/@intellidefender.
Agent sa nepripája ku konzole. Čo overiť?
Overte odchádzajúce spojenie na console.intellidefender.com:443, DNS a to, či proxy alebo TLS inšpekcia neblokuje WebSocket. Potom pozrite core.log a výstup príkazu intellidefender status.
Ak log hlási odmietnutie agenta, agent bol v konzole zakázaný alebo zmazaný.
Čo robí agent, keď je konzola nedostupná?
Moduly pracujú ďalej lokálne s poslednou konfiguráciou a Guard na stroji reaguje aj bez konzoly. Incident a hold však konzola vytvorí až po obnovení spojenia.
Ako obnovím zálohu na inom stroji?
Na cieľový stroj doplňte master kľúč zdrojového agenta príkazom id-backup import-key a potom spustite obnovu z konzoly s vybraným cieľovým strojom a priečinkom.
Agent po preinštalovaní hlási iný kľúč.
Ak chcete čítať staré zálohy, vráťte pôvodný kľúč z trezoru. Ak má vzniknúť nový, resetujte odtlačok na stránke agenta. Reset nemení kľúč ani dáta.
Ako agenta odinštalujem?
Spustite s právami správcu intellidefender uninstall. Na Synology najprv sudo /volume1/@intellidefender-program/intellidefender uninstall a až potom odstráňte balík. Master kľúč si predtým overte v trezore.
Zdieľania sú po incidente stále zablokované.
Vyriešte incident v konzole alebo použite Uvoľniť SMB na stránke agenta. Pravidlá firewallu sa odstránia po doručení príkazu na stroj, takže agent musí byť online.
Guard hlási falošné poplachy.
Zistite, ktorá úloha súbory hromadne mení. Ak ide o bežnú prevádzku, upravte chránené priečinky alebo zvýšte citlivostné prahy v politike. Guard radšej nevypínajte úplne.
Pripravujete bezpečnostné posúdenie?
Napíšte nám svoje otázky alebo dotazník. Bezpečnostné nálezy môžete nahlásiť rovnakým kontaktom.
Kontaktujte nás