Situācija
E-komercijas uzņēmums Kauņā, Lietuvā, pārdod mājas un dārza preces Lietuvā un Baltijas valstīs. Tajā strādā 40 cilvēki: klientu apkalpošana, mārketings, iepirkumi un noliktava. E-pasts un kalendāri bija pie vietējā mitināšanas pakalpojumu sniedzēja, tā paša, kas pirms daudziem gadiem bija izveidojis pirmo interneta veikalu. Pastkastīšu ietilpība bija ierobežota, kopīgiem dokumentiem nebija vietas, un darbinieki failus apmainīja ar personīgajiem mākoņa kontiem.
Bija arī koplietojamie konti: „info”, „orders” un „purchasing”. Katrā no tiem ar vienu un to pašu paroli pieteicās vairāki cilvēki, bieži no personīgajiem tālruņiem. Divfaktoru verifikācijas nebija nevienam.
Incidents notika rudenī, sezonas kulminācijas sākumā. Iepirkumu vadītāja saņēma e-pastu, it kā no piegādātāja, ar saiti uz „atjaunoto rēķinu”. Viņa ievadīja sava e-pasta paroli viltotā lapā. Dažu stundu laikā no viņas konta tika izsūtīti e-pasti visiem viņas kontaktiem, un viens piegādātājs saņēma lūgumu mainīt bankas kontu maksājumam. Piegādātājs piezvanīja pārbaudīt, tāpēc nauda netika zaudēta, bet uzņēmuma vadītājs saprata, ka tā bija veiksme, nevis aizsardzība.
Kas bija nepieciešams
Kopā ar uzņēmuma vadītāju un klientu apkalpošanas vadītāju saskaņojām mērķus:
- Pārcelt e-pastu, kalendārus un kontaktus uz Microsoft 365 tā, lai klientu apkalpošana nejustu nekādu pārtraukumu. Sezonas laikā katra neatbildēta e-pasta stunda nozīmē zaudētus pasūtījumus.
- Viena identitāte katram darbiniekam, bez koplietojamām parolēm, un koplietojamās pastkastītes izveidotas kā kopīgi pasta resursi, nevis atsevišķi konti.
- Divfaktoru verifikācija visiem bez izņēmuma, arī vadītājiem.
- Aizsardzība pret pikšķerēšanas e-pastiem, pirms tie sasniedz darbiniekus.
- E-pasta un dokumentu rezerves kopijas, kas nav atkarīgas no Microsoft.
- Termiņš: pirms gada lielākās izpārdošanas, tātad četras nedēļas.
Ko mēs izdarījām
1. nedēļa: sagatavošanās un identitātes
Izveidojām Microsoft 365 vidi, verificējām domēnu un sākām ar identitātēm: katram darbiniekam personīgs Microsoft Entra ID konts, bet koplietojamās pastkastītes „info”, „orders” un „purchasing” kļuva par kopīgiem pasta resursiem, kuriem konkrēti cilvēki piekļūst ar saviem kontiem. Tagad redzams, kas uz kuru e-pastu atbildējis.
Paralēli sagatavojām migrācijas plānu: pasta vēsture tiek iepriekš kopēta uz Microsoft 365 vairākas reizes, kamēr abas sistēmas darbojas, un pārslēgšana notiek tikai, nomainot domēna pasta ierakstus.
2. nedēļa: migrācija bez dīkstāves
Pārnesām pasta vēsturi, un dažās pastkastītēs bija desmit gadu e-pasti. Trešdienas vakarā pārslēdzām domēna ierakstus, un nākamajā rītā darbinieki jau strādāja Microsoft 365. E-pasti, kas pārslēgšanas stundās ienāca, tika savākti no vecās sistēmas un pārnesti. Neviens e-pasts netika pazaudēts, un klientu apkalpošana strādāja kā parasti.
Sarežģītākās bija interneta veikala un noliktavas sistēmas, kas automātiskos e-pastus klientiem sūtīja caur veco pasta serveri. Mēs tās pārkonfigurējām iepriekš un pārbaudījām, lai pasūtījumu apstiprinājumi netiktu pārtraukti.
3. nedēļa: drošība
Ieslēdzām divfaktoru verifikāciju visiem, izmantojot tālruņa lietotni. Konfigurējām nosacīto piekļuvi: pieteikšanās no nezināmām ierīcēm vai neparastām valstīm tiek bloķēta, un vecie protokoli, ko izmanto pikšķerēšanas uzbrucēji, tiek atslēgti. Darbinieku tālruņi ar darba e-pastu tika iekļauti ierīču pārvaldībā, lai tālruņa pazaudēšanas gadījumā darba datus varētu dzēst attālināti.
E-pasta filtrus iestatījām pēc Microsoft 365 drošības prakses: saites e-pastos tiek pārbaudītas klikšķa brīdī, pielikumi tiek atvērti aizsargātā vidē, un e-pasti no ārzemēm ar mūsu vadītāju vārdiem tiek atzīmēti kā aizdomīgi. Vadītāji, kuru vārdus viltot mēdz visbiežāk, saņēma papildu aizsardzību pret uzdošanos.
4. nedēļa: rezerves kopijas un apmācība
Ieslēdzām Microsoft 365 rezerves kopijas ar Veeam: e-pasts, OneDrive, SharePoint un Teams katru dienu tiek kopēti mūsu datu centrā Lietuvā (ES), neatkarīgi no Microsoft. Izdzēsts e-pasts vai dokuments tiek atjaunots minūtēs, nevis ar Microsoft atbalsta pieprasījumu.
Pēdējā nedēļā novadījām vienas stundas apmācību visiem darbiniekiem: kā atpazīt viltotu e-pastu, ko darīt, ja esat noklikšķinājis, un kāpēc bankas rekvizītu maiņa vienmēr jāapstiprina pa tālruni. Pēc apmācības sākām periodiskas pikšķerēšanas simulācijas – imitētus e-pastus, kas parāda, kas joprojām noklikšķina.
Rezultāts
Sešos mēnešos pēc migrācijas nav bijis neviena sekmīga pikšķerēšanas gadījuma. Mēs to mērām divējādi: drošības panelis rāda katru bloķēto e-pastu un pieteikšanās mēģinājumu, un simulētie pikšķerēšanas e-pasti parāda, kā darbinieki reaģē. Pirmajā testā daži cilvēki noklikšķināja, trešajā – neviens.
E-pasta dīkstāve migrācijas laikā bija 0 stundu: klientu apkalpošana strādāja visu laiku, un pārslēgšana notika vakarā. Visiem 40 kontiem, 100 %, ir divfaktoru verifikācija un nosacītā piekļuve, un koplietojamo paroļu vairs nav. Katrs kļūdas pēc izdzēsts e-pasts vai fails tiek atjaunots no rezerves kopijas; pusgada laikā bija četri šādi pieprasījumi, visi izpildīti tajā pašā dienā.
Pēc incidenta es domāju, ka drošība nozīmēs neērtības. Izrādās, neērtības bija agrāk, mēs tikai to nepamanījām.
Ko mēs ieteiktu līdzīgā situācijā
- Koplietojamie konti ar kopīgu paroli ir lielākais risks mazos uzņēmumos. Koplietojamās pastkastītes var būt, bet cilvēkiem tajās jāpiesakās ar personīgo identitāti.
- Divfaktoru verifikācija visiem, arī vadītājiem. Vadītāju konti ir tieši tie, kurus uzbrucēji vērtē visaugstāk.
- Migrējot e-pastu, pasta vēsturi nokopējiet iepriekš un pārslēdziet tikai domēna ierakstus. Tad dīkstāve ir nulle, nevis nedēļas nogale.
- Microsoft aizsargā jūsu e-pastu, taču neatbild par to, ko izdzēšat paši vai ko izdzēš uzbrucējs. Kopija ārpus Microsoft nav pārmērība, tas ir standarts.
