Отдельный защищённый ноутбук казначейства и Банк-Клиента: почему на нём КАТЕГОРИЧЕСКИ ЗАПРЕЩЕНЫ почта и мессенджеры, токены второй подписи и платформа ЗСК ЦБ («Светофор»)
Если спросить любого следователя по киберпреступлениям и любого руководителя департамента антифрода крупного российского банка: «Какое ОДНО-ЕДИНСТВЕННОЕ простое действие со 100 %-ной гарантией спасает расчётный счёт компании от кражи 30 миллионов рублей оборотных средств?» — оба в одну секунду дадут один и тот же ответ:
КУПИТЕ ГЛАВБУХУ И ДИРЕКТОРУ ОТДЕЛЬНЫЙ ВЫДЕЛЕННЫЙ НОУТБУК ИСКЛЮЧИТЕЛЬНО ДЛЯ ПОДПИСИ ПЛАТЕЖЕЙ В БАНК-КЛИЕНТЕ, НА КОТОРОМ АППАРАТНО ЗАБЛОКИРОВАНЫ ПОЧТА, МЕССЕНДЖЕРЫ И ВЕСЬ ИНТЕРНЕТ, КРОМЕ ЧЕТЫРЁХ IP-АДРЕСОВ ВАШИХ БАНКОВ!
По закону суды отказывают пострадавшей компании во взыскании похищенных денег с банка, если платёжное поручение подписано действительной неизвлекаемой квалифицированной ЭП директора и отправлено с штатного IP-адреса офиса! То есть вся финансовая ответственность лежит на вас — и защитить этот контур стоит ровно цену одного корпоративного ноутбука!
Анатомия реального хищения на обычном «совмещённом» ноутбуке бухгалтера (как это происходит за 0,2 секунды!)
- На обычный рабочий ноутбук бухгалтера в папку входящей почты падает письмо якобы от «Акта сверки контрагента
Сверка_3кв.rar». Бухгалтер кликает его — и тихий резидентный троян ждёт ровно две недели, никак себя не проявляя. - В день выплаты крупного аванса за металл или оборудование на двадцать четыре миллиона рублей
бухгалтер выгружает из1Соткрытый текстовый файл обмена **1c_to_kl.txt** на рабочий стол, а токен ЭП директора **круглосуточно торчит воткнутым в USB-порт этого же ноутбука с запомненным ПИН-кодом12345678`!** - В миллисекунду записи файла
1c_to_kl.txtтроян на лету меняет в текстовом файле только две строчки —ПолучательСчет=иПолучательБИК=на счёт однодневки, ОСТАВЛЯЯ НЕТРОНУТЫМИ НАЗВАНИЕ НАШЕГО РЕАЛЬНОГО ПОСТАВЩИКА И НАЗНАЧЕНИЕ ПЛАТЕЖА (либо ждёт, пока бухгалтер отойдёт налить чай, и сам жмёт кнопку «Подписать и отправить» подключённым токеном поPKCS#11!). Через 12 минут деньги уже распылены по цепочке счетов!
ЭТАЛОННЫЙ СТАНДАРТ «ЖЕЛЕЗОБЕТОННОГО КАЗНАЧЕЙСКОГО НОУТБУКА» (5 УРОВНЕЙ ЗАЩИТЫ)!
| Уровень защиты | Как настроено на выделенном ноутбуке Казначея (Гравитон Н15И / Aquarius / OSiO) | Почему злоумышленник разбивается об эту стену в ноль |
|---|---|---|
| 1. Операционная система — Отечественный Linux с замкнутой программной средой (Astra Linux SE / РЕД ОС)! | Сегодня 100 % российских банков первой двадцатки имеют полноценный веб-клиент ДБО под Chromium-Gost на Linux! | 99,9 % троянов, присылаемых бухгалтерам по почте (.exe, .scr, .lnk, .vbs), физически не способны запуститься в ядре Linux с активным мандатным контролем целостности и ЗПС! |
2. Белый список МСЭ (Firewall Default DROP — ТОЛЬКО домены банков + crl УЦ + сервис проверки ЦБ!) |
На ноутбуке НЕТ почтового клиента, НЕТ Telegram/WhatsApp, НЕТ общих папок Загрузки, запрещены любые внешние флешки (USB Storage Block)! |
Вредоносный файл ни физически не может попасть на этот ноутбук из почты, ни даже в теории не может связаться с командным C2-сервером хакера в интернете! |
3. Отказ от открытых текстовых файлов 1c_to_kl.txt — переход на подписанный DirectBank / Host-to-Host + Принцип «Четырёх глаз» (Две независимые ЭП)! |
Первую подпись ставит казначей/главбух своим личным токеном, ВТОРУЮ АКЦЕПТУЮЩУЮ ПОДПИСЬ ставит финансовый или генеральный директор на СВОЁМ ВТОРОМ УСТРОЙСТВЕ с приходящим Push/SMS-кодом реквизитов получателя! | Даже при компрометации одного рабочего места платёж не уходит без второй физической подписи с проверкой последних 4 цифр счёта получателя глазами на независимом экране! |
4. Аппаратный USB-токен с собственным OLED-экраном и физической кнопкой ОК (Рутокен PINPad 2)! |
Истинные сумма и расчётный счёт читаются из подписываемого документа внутри чипа самого токена и высвечиваются прямо на его маленьком экранчике — подпись формируется только при нажатии пальцем физической кнопки на корпусе токена! | Даже если бы вирус нарисовал в браузере фальшивую картинку вашего поставщика — на экране самого токена у вас в руке высветится чужой счёт дропа! |
5. Предплатёжная проверка каждого нового контрагента в платформе Банка России «Знай своего клиента (ЗСК — Светофор ЦБ РФ)»! |
На сайте Банка России cbr.ru/counteraction_m_ter/platform_zsk/ казначей за 5 секунд бесплатно вбивает ИНН нового поставщика |
Если контрагент отнесён ЦБ к красной группе высокого риска совершения подозрительных операций, платёж ему приведёт к блокировке ВАШЕГО СОБСТВЕННОГО счёта по 115-ФЗ — проверка ЗСК до оплаты спасает компанию от заморозки операционной деятельности! |
Чек-лист физического хранения USB-токена первой подписи
- [ ] ЖЕЛЕЗНОЕ ТАБУ № 1: после окончания платёжного окна (
например, 16:30) USB-токен НЕМЕДЛЕННО ВЫНИМАЕТСЯ ИЗ ПОРТА НОУТБУКА И УБИРАЕТСЯ В СЕЙФ РУКОВОДИТЕЛЯ (при активном корпоративном EDR-контроле, защищённом хранилище кодов и своевременных обновлениях браузера и BIOS)! Оставлять ключ ЭП с миллионами на счету торчать в компьютере на ночь — ровно то же самое, что уйти домой, оставив пачки наличных денег на крыльце офиса!
Частые вопросы
Обязателен ли выделенный IP-адрес офиса для привязки входа в ДБО крупных банков? ДА — ВКЛЮЧИТЕ В НАСТРОЙКАХ БЕЗОПАСНОСТИ ВАШЕГО БАНКА ЖЁСТКУЮ ФИЛЬТРАЦИЮ ПО БЕЛОМУ СТАТИЧЕСКОМУ IP-АДРЕСУ ОФИСА (И КОРПОРАТИВНОГО VPN-ШЛЮЗА ДЛЯ КОМАНДИРОВОК ДИРЕКТОРА)! Эта бесплатная галочка в кабинете банка мгновенно отсекает 100 % попыток входа в ваш Банк-Клиент с любых посторонних домашних и зарубежных прокси-серверов злоумышленников!