Когда мы запускали свой первый продукт, слово «безопасность» в нашем словаре стояло где-то между «нанять уборщицу» и «купить нормальные стулья». Нас было пятеро, денег — на пару месяцев аренды сервера, а клиентов — ровно тринадцать. Казалось, что взламывать нас просто некому и незачем. Спустя полгода нам прилетело письмо от клиента: «Ребята, а почему от вашего имени рассылают странные счета?» Вот тогда я понял, что безопасность — это не статья расходов для корпораций, а базовая гигиена, как мыть руки перед едой.
Первое, что мы сделали, — навели порядок с паролями. Оказалось, что у нас один и тот же пароль от почты, хостинга и админки, и знали его все пятеро, плюс он лежал в заметках у одного из основателей. Мы поставили менеджер паролей, сгенерировали уникальные длинные пароли и включили двухфакторную аутентификацию везде, где только можно. Особое внимание — почте и регистратору домена, потому что почта для стартапа это главный ключ от всех дверей: через сброс пароля злоумышленник заходит куда угодно. Стоило это ноль рублей и один вечер времени.
Второй шаг — разобраться с доступами. У нас царил принцип «у всех всё есть», и это классическая ошибка маленьких команд. Мы завели отдельные аккаунты вместо одного общего, отключили root там, где он не нужен, выдали каждому минимум прав, а у одного из бывших подрядчиков и вовсе оставался доступ к нашему облаку. Отзывать доступы нужно в тот же день, когда человек уходит, иначе вы просто оставляете открытую форточку и надеетесь, что никто не залезет. Настройка ролей заняла полдня, а спокойствия добавила на годы.
Третьим пунктом стали бэкапы, и здесь я советую не экономить на здравом смысле. Резервная копия, которая лежит на том же сервере, что и боевая база, — это не бэкап, а иллюзия. У нас теперь есть копия в другом месте и одна офлайн-версия, которую злоумышленник не сотрёт вместе с продакшеном. Самое важное: мы один раз реально развернули базу из копии на тестовом окружении и убедились, что она живая. Проверка заняла час, но именно она отличает настоящую готовность от самоуспокоения.
Четвёртый шаг — обновления и секреты в коде. Мы перестали тянуть с патчами и настроили автоматические уведомления об уязвимых зависимостях, потому что большинство взломов происходит не через хитрый взлом, а через дыру, которую производитель закрыл ещё полгода назад. Отдельная боль — ключи и пароли прямо в репозитории. Мы прошлись по истории коммитов, вычистили всё это и перешли на переменные окружения. Если ключ всё-таки засветился, меняйте его сразу, не ждите понедельника.
Пятый шаг — базовый мониторинг и человеческий фактор. Мы включили уведомления о новых входах в админку, о смене пароля и о создании новых пользователей: почти любая атака начинается с чего-то заметного, просто никто не смотрит в логи. А ещё мы провели для команды короткий разбор фишинга, потому что самая дешёвая защита техники ломается об одного человека, который кликнет по ссылке из письма «от бухгалтерии». После этого у нас резко выросло количество вопросов в чате «а это точно от вас?», и это прекрасно.
Суммарно мы потратили пару вечеров, немного нервов и совсем немного денег на менеджер паролей и место под бэкапы. Ни одной феерической покупки, ни одного дорогого сканера уязвимостей, ни одного консультанта. Просто пять скучных привычек, которые почему-то большинство стартапов откладывает на потом, пока не прилетит первое неприятное письмо. Мой главный вывод простой: безопасность — это не проект с дедлайном, а режим работы, который стоит внедрить, пока у вас спокойно и никто не торопит.
А теперь вопрос к вам, коллеги: какой самый дешёвый или, наоборот, самый неожиданный приём защиты вы внедрили у себя и он реально выручил? Расскажите, вдруг чей-то опыт убережёт нас от большой ошибки.
Первое, что мы сделали, — навели порядок с паролями. Оказалось, что у нас один и тот же пароль от почты, хостинга и админки, и знали его все пятеро, плюс он лежал в заметках у одного из основателей. Мы поставили менеджер паролей, сгенерировали уникальные длинные пароли и включили двухфакторную аутентификацию везде, где только можно. Особое внимание — почте и регистратору домена, потому что почта для стартапа это главный ключ от всех дверей: через сброс пароля злоумышленник заходит куда угодно. Стоило это ноль рублей и один вечер времени.
Второй шаг — разобраться с доступами. У нас царил принцип «у всех всё есть», и это классическая ошибка маленьких команд. Мы завели отдельные аккаунты вместо одного общего, отключили root там, где он не нужен, выдали каждому минимум прав, а у одного из бывших подрядчиков и вовсе оставался доступ к нашему облаку. Отзывать доступы нужно в тот же день, когда человек уходит, иначе вы просто оставляете открытую форточку и надеетесь, что никто не залезет. Настройка ролей заняла полдня, а спокойствия добавила на годы.
Третьим пунктом стали бэкапы, и здесь я советую не экономить на здравом смысле. Резервная копия, которая лежит на том же сервере, что и боевая база, — это не бэкап, а иллюзия. У нас теперь есть копия в другом месте и одна офлайн-версия, которую злоумышленник не сотрёт вместе с продакшеном. Самое важное: мы один раз реально развернули базу из копии на тестовом окружении и убедились, что она живая. Проверка заняла час, но именно она отличает настоящую готовность от самоуспокоения.
Четвёртый шаг — обновления и секреты в коде. Мы перестали тянуть с патчами и настроили автоматические уведомления об уязвимых зависимостях, потому что большинство взломов происходит не через хитрый взлом, а через дыру, которую производитель закрыл ещё полгода назад. Отдельная боль — ключи и пароли прямо в репозитории. Мы прошлись по истории коммитов, вычистили всё это и перешли на переменные окружения. Если ключ всё-таки засветился, меняйте его сразу, не ждите понедельника.
Пятый шаг — базовый мониторинг и человеческий фактор. Мы включили уведомления о новых входах в админку, о смене пароля и о создании новых пользователей: почти любая атака начинается с чего-то заметного, просто никто не смотрит в логи. А ещё мы провели для команды короткий разбор фишинга, потому что самая дешёвая защита техники ломается об одного человека, который кликнет по ссылке из письма «от бухгалтерии». После этого у нас резко выросло количество вопросов в чате «а это точно от вас?», и это прекрасно.
Суммарно мы потратили пару вечеров, немного нервов и совсем немного денег на менеджер паролей и место под бэкапы. Ни одной феерической покупки, ни одного дорогого сканера уязвимостей, ни одного консультанта. Просто пять скучных привычек, которые почему-то большинство стартапов откладывает на потом, пока не прилетит первое неприятное письмо. Мой главный вывод простой: безопасность — это не проект с дедлайном, а режим работы, который стоит внедрить, пока у вас спокойно и никто не торопит.
А теперь вопрос к вам, коллеги: какой самый дешёвый или, наоборот, самый неожиданный приём защиты вы внедрили у себя и он реально выручил? Расскажите, вдруг чей-то опыт убережёт нас от большой ошибки.