Забытые веб-сервисы — тестовые поддомены, старые версии сайтов, неиспользуемые API — создают серьёзные дыры в безопасности бизнеса. Эти «цифровые призраки» часто остаются без обновлений и мониторинга, превращаясь в лёгкую мишень для хакеров. Разбираемся, как провести аудит безопасности веб-сервисов и закрыть уязвимости до того, как ими воспользуются злоумышленники.
Почему забытые веб-сервисы — это опасно
Компании запускают новые проекты, тестируют функции на отдельных поддоменах, создают временные страницы для акций. Со временем часть этих сервисов перестаёт использоваться, но физически остаётся доступной в интернете. Проблема в том, что забытые ресурсы редко обновляются и не включаются в регулярные проверки безопасности.
Основные риски забытых веб-сервисов:
- Устаревшее ПО с известными уязвимостями. Если сервис работает на старой версии CMS или фреймворка, хакеры могут использовать публично доступные эксплойты для взлома.
- Слабые пароли и учётные записи. Тестовые сервисы часто защищены простыми паролями вроде admin/admin или вообще не требуют авторизации.
- Доступ к внутренним данным. Через забытый поддомен злоумышленники могут получить доступ к базам данных, внутренним API или документации.
- Точка входа для атак на основную инфраструктуру. Даже изолированный сервис может стать плацдармом для проникновения в корпоративную сеть.
Особенно уязвимы компании, которые активно экспериментируют с новыми технологиями или прошли через слияния и поглощения. После объединения бизнесов IT-инфраструктура разрастается, а контроль за всеми активами ослабевает.
Как провести инвентаризацию всех веб-сервисов
Первый шаг к безопасности — понять, что именно нужно защищать. Инвентаризация веб-сервисов помогает составить полную карту цифровых активов компании.
Сбор информации о доменах и поддоменах
Начните с анализа DNS-записей. Просмотрите все домены, зарегистрированные на компанию, и проверьте поддомены. Многие забытые сервисы скрываются именно на уровне поддоменов — staging.company.com, test.company.com, old.company.com.
Полезные источники информации:
- Записи у регистратора доменов и хостинг-провайдера
- Внутренняя документация IT-отдела
- Архивы проектной документации
- Счета от облачных провайдеров (AWS, Azure, Google Cloud)
- История коммитов в системах контроля версий
Опрос сотрудников
Поговорите с разработчиками, маркетологами и продакт-менеджерами. Часто они помнят о временных сервисах, которые создавались для конкретных задач — A/B-тестов, промостраниц, внутренних инструментов. Составьте список всех упомянутых ресурсов и проверьте их доступность.
Проверка облачных сервисов
Современный бизнес использует десятки облачных платформ. Проверьте активные инстансы виртуальных машин, контейнеры, serverless-функции. Убедитесь, что каждый запущенный сервис действительно нужен и используется.
Инструменты для автоматического сканирования уязвимостей
Ручная проверка каждого сервиса отнимает много времени. Автоматизация безопасности позволяет быстро выявить проблемные места и оценить масштаб угроз.
Сканеры поддоменов
Специализированные инструменты помогают найти все поддомены, связанные с основным доменом компании. Они анализируют DNS-записи, сертификаты SSL, архивы поисковых систем. Некоторые популярные решения работают через командную строку и интегрируются в процессы DevOps.
Сканеры уязвимостей веб-приложений
После составления списка сервисов проверьте каждый на наличие известных уязвимостей. Автоматические сканеры анализируют код, конфигурацию сервера, версии используемых библиотек. Они выявляют проблемы вроде SQL-инъекций, XSS-атак, небезопасных настроек CORS.
Регулярное сканирование должно стать частью процесса разработки. Настройте автоматические проверки при каждом деплое и еженедельные полные аудиты всех активных сервисов.
Мониторинг сертификатов
SSL-сертификаты оставляют публичный след. Через логи Certificate Transparency можно найти все сертификаты, выпущенные для доменов компании. Это помогает обнаружить поддомены, о которых вы могли забыть.
Стратегии по закрытию и удалению ненужных сервисов
Найденные забытые сервисы нужно правильно обработать. Простое удаление может нарушить работу связанных систем или привести к потере важных данных.
Классификация сервисов
Разделите все найденные ресурсы на категории:
- Активно используемые — требуют регулярного мониторинга и обновлений
- Временно неактивные — могут понадобиться в будущем, нужна минимальная поддержка
- Устаревшие, но содержащие важные данные — требуют архивации перед удалением
- Полностью ненужные — можно удалять без последствий
Безопасное отключение
Перед удалением сервиса:
- Сделайте полный бэкап данных и конфигураций
- Проверьте зависимости — не обращаются ли к этому сервису другие системы
- Уведомите команду о планируемом отключении
- Отключите сервис и наблюдайте за метриками в течение недели
- Если проблем нет — удаляйте окончательно
Перенаправления и заглушки
Для сервисов, на которые могут быть внешние ссылки, настройте корректные перенаправления. Вместо удаления домена установите заглушку с информацией о закрытии сервиса и контактами поддержки. Это предотвратит путаницу у пользователей и партнёров.
Регулярный мониторинг и поддержка безопасности
Разовый аудит решает текущие проблемы, но не защищает от появления новых забытых сервисов. Нужна система постоянного контроля.
Процесс управления жизненным циклом
Внедрите правила для создания новых веб-сервисов. Каждый запуск должен регистрироваться в централизованной системе с указанием владельца, цели, планируемого срока жизни. Когда проект завершается, ответственный сотрудник должен либо продлить регистрацию, либо инициировать процедуру закрытия.
Автоматические напоминания
Настройте систему уведомлений для владельцев сервисов. За месяц до истечения планового срока жизни проекта отправляйте письмо с вопросом о дальнейших планах. Если ответа нет — эскалируйте вопрос руководителю подразделения.
Ежеквартальные проверки
Раз в квартал проводите полное сканирование всей инфраструктуры. Сравнивайте результаты с предыдущими проверками и выявляйте новые неучтённые сервисы. Такой подход помогает обнаружить «теневые IT» — ресурсы, запущенные сотрудниками без согласования с IT-отделом.
Чек-лист: как защитить бизнес от забытых веб-сервисов
Практическое руководство для проведения аудита безопасности:
Этап 1: Инвентаризация
- Соберите список всех доменов компании у регистратора
- Просканируйте поддомены автоматическими инструментами
- Проверьте активные инстансы в облачных провайдерах
- Опросите команды разработки и маркетинга о временных проектах
- Изучите логи Certificate Transparency для поиска забытых сертификатов
Этап 2: Оценка рисков
- Запустите сканирование уязвимостей на всех найденных сервисах
- Проверьте версии используемого ПО и наличие обновлений безопасности
- Оцените уровень доступа к внутренним ресурсам с каждого сервиса
- Проверьте настройки аутентификации и сложность паролей
- Составьте рейтинг сервисов по уровню угрозы
Этап 3: Устранение проблем
- Обновите ПО на активных сервисах до актуальных версий
- Усильте пароли и настройте двухфакторную аутентификацию
- Закройте доступ к сервисам, которые не должны быть публичными
- Создайте бэкапы данных с сервисов, планируемых к удалению
- Отключите и удалите ненужные ресурсы
Этап 4: Профилактика
- Внедрите процесс регистрации всех новых веб-сервисов
- Назначьте ответственных за каждый сервис
- Настройте автоматические напоминания о проверке актуальности
- Запланируйте ежеквартальные аудиты инфраструктуры
- Обучите сотрудников правилам безопасного запуска новых проектов
Защита данных бизнеса начинается с понимания того, что именно нужно защищать. Забытые веб-сервисы — это не абстрактная угроза, а реальная проблема, которая требует системного подхода. Регулярная инвентаризация, автоматизация проверок и чёткие процессы управления жизненным циклом сервисов помогают закрыть уязвимости до того, как ими воспользуются злоумышленники. Начните с простого аудита — составьте список всех доменов и поддоменов компании, и вы удивитесь, сколько забытых ресурсов обнаружите уже на первом этапе.
Кто это написал
Мы в Perfinn разрабатываем сайты и не только: интернет-магазины, корпоративные порталы, интеграции с 1С и 1С-Битрикс, автоматизацию бизнес-процессов и внедрение ИИ в рабочие сценарии.
Расскажите задачу — предложим решение и оценим сроки: perfinn.ru