Olukord
Kaunase e-kaubandusettevõte müüb kodu- ja aiatooteid Leedus ja Balti riikides. Töötajaid on 40: klienditeenindus, turundus, ostud ja ladu. E-post ja kalendrid olid kohaliku majutusteenuse pakkuja juures, samal, kes oli aastaid tagasi ehitanud ka esimese e-poe. Postkastide maht oli piiratud, ühiste dokumentide hoidmiseks polnud kohta ja töötajad jagasid faile isiklike pilvekontode kaudu.
Olemas olid ka ühiskontod: „info“, „tellimused“ ja „ostud“. Igasse neist logis mitu inimest sisse sama parooliga, sageli isiklikest telefonidest. Kellelgi ei olnud kaheastmelist kinnitust.
Intsident juhtus sügisel, kõrghooaja alguses. Ostujuht sai e-kirja, väidetavalt tarnijalt, lingiga „uuendatud arvele“. Ta sisestas oma e-posti parooli võltsitud lehele. Mõne tunni jooksul saadeti tema kontolt kirju kõigile tema kontaktidele ning üks tarnija sai palve muuta makse pangakontot. Tarnija helistas järele küsima, nii et raha ei kadunud, kuid ettevõtte juht mõistis, et see oli õnn, mitte kaitse.
Mida oli vaja
Koos ettevõtte juhi ja klienditeeninduse juhiga leppisime kokku eesmärgid:
- Viia e-post, kalendrid ja kontaktid Microsoft 365-sse nii, et klienditeenindus ei tunneks mingit katkestust. Hooajal tähendab iga vastamata e-kirja tund kaotatud tellimusi.
- Üks identiteet iga töötaja jaoks, ilma ühiste paroolideta, ja ühised postkastid seadistatud ühiste meiliressurssidena, mitte eraldi kontodena.
- Kaheastmeline kinnitus kõigile ilma eranditeta, juhid kaasa arvatud.
- Kaitse õngitsuskirjade eest enne, kui need töötajateni jõuavad.
- E-posti ja dokumentide varukoopiad, mis on Microsoftist sõltumatud.
- Tähtaeg: enne aasta suurimat müügiperioodi, ehk neli nädalat.
Mida me tegime
Nädal 1: ettevalmistus ja identiteedid
Lõime Microsoft 365 keskkonna, kinnitasime domeeni ja alustasime identiteetidest: iga töötaja sai isikliku Microsoft Entra ID konto ning ühised postkastid „info“, „tellimused“ ja „ostud“ muutusid ühisteks meiliressurssideks, millele pääsevad kindlad inimesed ligi oma kontodega. Nüüd on näha, kes millisele kirjale vastas.
Paralleelselt koostasime migreerimise plaani: kirjaajalugu kopeeritakse Microsoft 365-sse ette, mitu korda, kui mõlemad süsteemid töötavad, ning ümberlülitus tehakse ainult domeeni meilikirjeid muutes.
Nädal 2: migreerimine ilma seisakuta
Migreerisime kirjaajaloo, mõnes postkastis oli kümne aasta kirjavahetus. Kolmapäeva õhtul lülitasime domeeni kirjed ümber ja järgmisel hommikul töötasid töötajad juba Microsoft 365-s. Ümberlülituse tundidel saabunud kirjad koguti vanast süsteemist kokku ja viidi üle. Ainsatki kirja ei läinud kaduma ning klienditeenindus töötas nagu tavaliselt.
Kõige keerulisemad olid e-poe ja lao süsteemid, mis saatsid klientidele automaatkirju vana meiliserveri kaudu. Seadistasime need ette ümber ja testisime, et tellimuste kinnitused ei katkeks.
Nädal 3: turvalisus
Lülitasime kõigile sisse kaheastmelise kinnituse telefonirakenduse kaudu. Seadistasime tingimusliku juurdepääsu: sisselogimised tundmatutest seadmetest või ebatavalistest riikidest blokeeritakse ning õngitsejate kasutatavad vanad protokollid keelati. Töötajate telefonid, kus on töö-e-post, võeti seadmehaldusse, nii et telefoni kaotsimineku korral kustutatakse töö andmed kaugelt.
E-posti filtrid seadistasime Microsoft 365 turvalisuse tavade järgi: lingid kirjades kontrollitakse klõpsamise hetkel, manuseid avatakse kaitstud keskkonnas ning välismaalt tulevad kirjad, mis kasutavad meie juhtide nimesid, märgitakse kahtlaseks. Juhid, kelle nimesid võltsitakse kõige sagedamini, said lisakaitse esinemise vastu.
Nädal 4: varukoopiad ja koolitus
Lülitasime Veeamiga sisse Microsoft 365 varundamise: e-post, OneDrive, SharePoint ja Teams varundatakse iga päev meie andmekeskusesse Leedus (EL), Microsoftist sõltumatult. Kustutatud kiri või dokument taastatakse minutitega, mitte Microsofti tugitaotluse kaudu.
Viimasel nädalal pidasime kõigile töötajatele tunnise koolituse: kuidas tuvastada võltskirja, mida teha, kui klõpsasite, ja miks pangarekvisiitide muutmist tuleb alati telefoni teel kinnitada. Pärast koolitust alustasime perioodiliste õngitsussimulatsioonidega: simuleeritud kirjadega, mis näitavad, kes veel klõpsab.
Tulemus
Kuue kuu jooksul pärast migreerimist ei olnud ainsatki edukat õngitsusjuhtumit. Mõõdame seda kahel viisil: turvapaneel näitab iga blokeeritud kirja ja sisselogimiskatset ning simuleeritud õngitsuskirjad näitavad, kuidas töötajad reageerivad. Esimeses testis klõpsasid mõned inimesed; kolmandas mitte keegi.
E-posti seisak migreerimise ajal oli 0 tundi: klienditeenindus töötas kogu aja ja ümberlülitus toimus õhtul. Kõigil 40 kontol, 100%, on kaheastmeline kinnitus ja tingimuslik juurdepääs ning ühiseid paroole enam ei ole. Iga kogemata kustutatud kiri või fail taastatakse varukoopiast; poole aasta jooksul oli selliseid taotlusi neli ja kõik täideti samal päeval.
Pärast intsidenti arvasin, et turvalisus tähendab ebamugavust. Selgub, et ebamugavus oli enne, me lihtsalt ei märganud seda.
Mida soovitaksime sarnases olukorras
- Ühise parooliga ühiskontod on väikeettevõtete suurim risk. Ühised postkastid võivad olla, kuid neisse tuleks sisse logida isikliku identiteediga.
- Kaheastmeline kinnitus kõigile, juhid kaasa arvatud. Juhtide kontod on just need, mida ründajad kõige enam hindavad.
- E-posti migreerimisel kopeerige kirjaajalugu ette ja lülitage ümber ainult domeeni kirjed. Siis on seisak null, mitte nädalavahetus.
- Microsoft kaitseb teie e-posti, kuid ei vastuta selle eest, mida te ise kustutate või mida ründaja kustutab. Koopia väljaspool Microsofti ei ole liigne, see on standard.
