LaborKibervédelem KKV-knak · 12 lépés, 1 hét, 0 forint

Microsoft 365 ben a Conditional Access Policy ban kapcsold be: 'Require MFA for all users'. Google Workspace ben a 'Security · 2-Step Verification · Enforcement'. SMS MFA NEM jó · támogatott a authenticator app vagy hardware key (Yubikey 25 EUR / fő, egyszeri).

Lépj be az admin konzolba, listázd az utolsó belépés dátumát. Minden fiók, ami 90 napja nem volt használva: deaktiválás, jelszó reset. Ez 5 perc munka, de szinte mindenhol találtunk olyan fiókot, ami 18 hónapja nem volt használva, de aktív volt. Ez támadási felület.

A NIST 2017 óta azt mondja: ne kelljen 90 naponta cserélni, ne kelljen !@#$ benne lennie, hanem legyen 14 karakter hosszú. Azóta a magyar BISZ is így ajánlja. Microsoft / Google admin ban kapcsold be a 'minimum 14 characters', kapcsold ki a 'expire every 90 days'.

Microsoft Defender for Office 365 (Business Premium ban van) vagy Google Workspace 'Advanced phishing and malware protection': bekapcsolás 3 perc. Pár dollár havonta felárral 60-70%-kal kevesebb phishing email lesz a postaládádban.

Microsoft 365 / Google Workspace alapból nem véd a felhasználói törléstől 30 napon túl. Egy 3rd party backup szolgáltató (Synology Active Backup ingyenes Synology nas el, vagy Veeam Microsoft 365 backup ~3 EUR / fő / hó) megoldja. Kötelező teszt: havonta egyszer próbáld restore olni egy random fájlt.

# Synology Active Backup for Microsoft 365 · automation
# 1. NAS-on telepítsd Active Backup for Microsoft 365 t
# 2. Authentikálj a Microsoft 365 tenanttal
# 3. Schedule: daily 02:00, retention 365 days
# 4. Recovery test: minden hónap első hétfőjén véletlen fájl restore

Az iroda router DNS jét állítsd át 9.9.9.9 (Quad9) vagy 1.1.1.2 (Cloudflare for Families). Ezek malware blokkoló DNS resolverek, ingyen. A munkahelyi gépeken a Windows / macOS DHCP en keresztül felveszi. A támadók sok kampányt blokkol, ha a domain ismert malware lista n van.

Windows 11 ben a Defender alapból bekapcsolva, de a 'Tamper Protection' és a 'Cloud delivered protection' nem mindig. macOS on a XProtect, plusz egy ingyenes Lulu (Objective See, kis tűzfal) sokat segít. Linux szerverre fail2ban + ssh kulcs only auth.

Microsoft / Google admin nak külön fiókot. A te 'normál' fiókod ne legyen Global Admin. Ha a normál fiókod kompromittálódik (phishing email re kattintottál), a támadó nem tudja a tenantot kifosztani.

Microsoft 365 ben a Security & Compliance ben az 'Unified Audit Log' bekapcsolása 2 kattintás. Google ben az Admin Audit Log alapból megy. Ez nem véd, de incidensnél te leszel az, aki tudja, mi történt. Nélküle vakon vagy.

OneDrive / Google Drive ban listázd a 'shared with anyone with the link' fájlokat. Sok cégnél véletlenül kerültek ki bizalmas dokumentumok. Microsoft admin: 'SharePoint admin · Sharing · External sharing'. Google: 'Reports · Audit and investigation · Drive log events'.

Windows: Update for Business policy. macOS: a softwareupdate --schedule on. Mobil: MDM (Microsoft Intune ban benne van), kötelező OS verzió. Cél: 30 napon belül minden CVE 7.5+ patch elve. Ezt nem fontos automatizálni az első héten, de a havi rutinban legyen benne.

Microsoft 365 Business Premium ben benne van az 'Attack Simulator'. Ingyen. Havi egyszer küldj a csapatnak egy phishing emailt, és lásd, ki kattint. Az első körben 30-40% kattintási arány normális, fél év múlva 5% alatt kell lennie. Ez a sikeres incidens megelőzés egyetlen mérőszáma.

SIEM (Microsoft Sentinel, Wazuh) · igen, kell, de első héten nem. SOC szolgáltatás · 30+ fős cégnél. Pen test · évente egyszer, az első év végén. Zero trust hálózat · a következő évben. Az itt felsorolt 12 lépés a 80/20 alja. Ezzel nem leszel '100%-ig védve', de a 'low hanging fruit' támadások mind elmennek.

Ha cégednél van egy IT srác, aki ezt el tudja végezni egy hét alatt, csináld vele. Ha nincs, mi 5 napos sprintben odamegyünk, és kipipáljuk. A 12 lépés egy fix összeg, nem időalap.