Переход на удаленный доступ к корпоративным ресурсам увеличивает поверхность атаки на сеть в 3-5 раз, превращая каждый домашний роутер сотрудника в потенциальную точку входа для шифровальщика. Сегодня выбор между классическим VPN и Zero Trust (ZTNA) определяет, потеряет ли компания данные за 15 минут или локализует угрозу на уровне одного сеанса.
Классический VPN: цена доступности и риски
Традиционные SSL/IPsec VPN работают по принципу «доверяй, но проверяй», предоставляя пользователю полный доступ к сегменту сети после авторизации. Стоимость внедрения OpenVPN или WireGuard минимальна (лицензии от $0 до $500 за сервер), но эксплуатационные расходы растут: поддержка 50+ удаленных подключений требует канала от 100 Мбит/с и мощного шлюза, чтобы избежать задержек (latency) выше 100 мс.
Кейс: компания из 30 человек использовала стандартный VPN. После компрометации одного ноутбука вирус-шифровальщик за 40 минут прошел по всей сети через SMB-протокол, так как внутренний трафик не был сегментирован. Экспертный вывод: VPN в 2024 году допустим только для микробизнеса до 10 человек при условии жесткого разделения VLAN.
Zero Trust Network Access (ZTNA) против VPN
Концепция Zero Trust исключает понятие «доверенной сети». Доступ дается не к сети, а к конкретному приложению (например, 1С или Jira) после проверки устройства, пользователя и контекста (геопозиция, время, версия ОС). Стоимость таких решений выше: от $5 до $15 за пользователя в месяц. Однако это сокращает время обнаружения вторжения с месяцев до минут.
Сравнение: если VPN дает доступ к сети 192.168.1.0/24, то ZTNA открывает только порт 80/443 конкретного сервера. Это исключает горизонтальное перемещение злоумышленника. Экспертный вывод: Для компаний с оборотом от 100 млн руб./год переход на ZTNA — единственный способ избежать катастрофических убытков от утечек.
Аппаратные токены и MFA: защита входа
Пароли больше не работают. Использование простых SMS-кодов снижает безопасность на 40% из-за риска SIM-swapping. Стандартом становится MFA (многофакторная аутентификация) через TOTP-приложения или аппаратные ключи FIDO2 (например, YubiKey стоимостью $50 за единицу). Внедрение MFA сокращает вероятность успешного брутфорса на 99.9%.
Пример: внедрение Duo Security или Яндекс ID для входа в корпоративную почту и CRM исключает доступ даже при утечке пароля сотрудника. Экспертный вывод: Любой удаленный доступ без MFA — это открытая дверь. Начинайте с бесплатных Google Authenticator или Microsoft Authenticator.
Скрытые угрозы: ошибки конфигурации и софт
Основная ошибка администраторов — открытие портов RDP (3389) наружу. Это гарантирует атаку перебором паролей в течение первых 2 часов после публикации IP. Правильный путь — использование Jump-серверов (бастионов) или шлюзов удаленного рабочего стола с шифрованием TLS 1.3. Время развертывания такой архитектуры составляет 2-3 рабочих дня, но полностью убирает риск прямого сканирования портов.
Нюанс: часто при настройке удаленного доступа возникает Ошибка «Недоступно» в диагностике авто или других специализированных системах, если не проброшены специфические UDP-порты для промышленного ПО. Экспертный вывод: Никогда не публикуйте RDP напрямую. Только через VPN-туннель или специализированный шлюз с ограничением по IP.
Вывод
Для малого бизнеса до 15 человек оптимален WireGuard с обязательным MFA и жестким разделением прав доступа. Среднему и крупному бизнесу следует полностью отказаться от VPN в пользу ZTNA-решений (Cloudflare Access, Tailscale или отечественные аналоги), так как стоимость подписки в $10/мес за пользователя несопоставима с риском простоя всей компании. Начните с инвентаризации всех внешних портов и закрытия RDP — это бесплатно и дает мгновенный прирост безопасности.
