Найкращі практики захисту облікових записів

Мета

Цей посібник описує механізми безпеки, доступні в Клієнтському кабінеті INTROSERV, та рекомендовані практики для захисту вашого облікового запису. У ньому вказані доступні інструменти, способи їх використання та найкращі практики для запобігання несанкціонованому доступу та збереження цілісності облікового запису.

Сфера застосування та аудиторія

Цільова аудиторія: Нові та існуючі клієнти INTROSERV, відповідальні за управління рахунками, виставлення рахунків та адміністрування послуг.

Цей посібник охоплює функції безпеки в Особистому кабінеті клієнта INTROSERV та методи захисту особистого кабінету. Він не охоплює питання безпеки на рівні сервера, захисту додатків або безпеки інфраструктури за межами контролю доступу до облікового запису.

1. Загальний огляд

Клієнтський кабінет INTROSERV включає в себе кілька інструментів безпеки для запобігання несанкціонованого доступу: надійні паролі, двофакторна автентифікація (2FA), обмеження доступу за IP-адресою, перевірена контактна інформація, а також ведення журналу активності з можливістю перегляду історії.

Жоден із заходів безпеки не забезпечує повного захисту. ІНТРОСЕРВ рекомендує використовувати кілька інструментів безпеки разом для захисту вашого облікового запису. Заходи безпеки є кумулятивними; кожен додатковий контроль значно знижує ризик.

Рівні безпеки

Система захисту акаунта складається з п'яти взаємодоповнюючих рівнів:

Надійнийпароль - перший бар'єр проти атак грубої сили та підбору облікових даних
Двофакторна автентифікація (2FA ) - другий бар'єр, що захищає від крадіжки пароля та несанкціонованого входу
Обмеження доступу за IP-адресою - контроль периметра, що обмежує доступ лише до довірених місць
Верифікація контактів - рівень відновлення та перевірки особи для відновлення облікового запису, включаючи додаткове кодове слово для підтвердження особи під час конфіденційних операцій
Журналюванняактивності - рівень виявлення, який реєструє операції з обліковим записом і дозволяє переглядати історію доступу для виявлення ознак компрометації

2. Безпека паролів

2.1 Вимоги до паролів

Надійний пароль є основою захисту облікового запису.

Розташування: Налаштування > Безпека > Змінити пароль

Надійний пароль повинен містити

Мінімум 12 символів (для важливих акаунтів рекомендується 16+)
Великі та малі літери
Цифри та спеціальні символи (!@#$%^&*)
Унікальний пароль для кожного сервісу (не використовуйте паролі повторно)

Приклади надійних паролів:

Zk9$Pm2#Vx7nQ!wL
Blue$Sky-River-92!

Приклади слабких паролів (не використовувати):

INTROSERV123
qwerty2024
мій пароль
123456789

2.2 Керування паролями

Використовуйте менеджер паролів для безпечного зберігання та створення надійних паролів. Менеджери паролів шифрують ваші паролі локально і вимагають лише один головний пароль для доступу до них.

2.3 Зміна пароля

Важливо: Негайно змініть свій пароль, якщо ви підозрюєте несанкціонований доступ або якщо він був скомпрометований.

3. Двофакторна автентифікація (2FA)

3.1 Як працює 2FA

Двофакторна автентифікація посилює захист облікового запису, вимагаючи як ваш пароль, так і унікальний код, згенерований програмою-автентифікатором.

Місцезнаходження: Налаштування > Безпека > Двофакторна автентифікація

3.2 Увімкнення 2FA

Щоб увімкнути 2FA, виконайте такі дії:

Відкрийте розділ Двофакторна автентифікація в Налаштуваннях > Безпека
Відскануйте QR-код, що відображається за допомогою програми-автентифікатора:

Google Authenticator
Авторизація
Microsoft Authenticator
Будь-який сумісний додаток TOTP

Введіть 6-значний код, згенерований додатком
Збережіть зміни

3.3 Коли потрібна 2FA

Для входу в обліковий запис необхідна перевірка 2FA. Після автентифікації ви зможете отримати доступ до всіх функцій облікового запису в межах активної сесії.

3.4 Коди відновлення

Коли ви вмикаєте 2FA, система генерує коди відновлення. Зберігайте ці коди в надійному місці на випадок, якщо ви втратите доступ до свого пристрою-автентифікатора. Коди відновлення дозволять вам відновити доступ до свого облікового запису, якщо ваш автентифікатор недоступний.

Важливо: Зберігайте коди відновлення в безпечному місці, окремо від пристрою автентифікації. Коди відновлення надають повний доступ до акаунта. Ставтеся до них з тим же рівнем безпеки, що і до вашого основного пароля.

4. Кодове слово

Кодове слово - це додаткова функція безпеки, яка використовується для підтвердження вашої особи під час проведення конфіденційних операцій з акаунтом та взаємодії зі службою підтримки.

Призначення: Кодове слово захищає від несанкціонованого доступу, навіть якщо хтось отримав ваші облікові дані. Воно слугує завершальним етапом перевірки особи при зверненні до служби підтримки.

Розташування: Налаштування > Безпека

Коли використовується: Служба підтримки INTROSERV запитує ваше кодове слово тільки тоді, коли ви звертаєтеся до служби підтримки для відновлення доступу до свого облікового запису (забули пароль, загубили 2FA-пристрій тощо). Це підтверджує, що ви є власником облікового запису.

Служба підтримки може запросити ваше кодове слово, коли ви:

Запитуєте скидання пароля
Повідомляєте про несанкціонований доступ до акаунта
Вносите зміни до платіжної інформації або білінгу
Запит на зміну конфіденційних послуг

Важливо: Ніколи не повідомляйте своє кодове слово, якщо хтось зв'язується з вами першим, називаючись службою підтримки INTROSERV. Легітимний персонал служби підтримки запитає його тільки тоді, коли ви ініціюєте запит на відновлення.

5. Обмеження доступу до IP-адреси

5.1 Призначення

Функція "Обмеження за IP-адресою" обмежує доступ до облікового запису тільки з довірених IP-адрес. Після налаштування ви зможете отримати доступ до свого облікового запису лише з перелічених IP-адрес.

Розташування: Налаштування > Безпека > Обмеження за IP

5.2 Налаштування

Перейдіть до Налаштування > Безпека > Обмеження за IP-адресою
Додайте одну або кілька довірених IP-адрес
Доступ буде дозволено тільки з вказаних адрес
Всі інші спроби доступу будуть заблоковані

5.3 Коли використовувати обмеження за IP-адресами

Обмеження за IP-адресами рекомендується використовувати, якщо

Ви отримуєте доступ до свого облікового запису зі статичної (незмінної) офісної або домашньої IP-адреси
Ви хочете забезпечити максимальну безпеку свого облікового запису
Ваша організація має корпоративну мережу з фіксованою IP-адресою

Примітка: Не вмикайте обмеження IP, якщо ваша IP-адреса часто змінюється (наприклад, якщо ви користуєтеся мобільним зв'язком). Зверніться до служби підтримки INTROSERV, якщо ви заблоковані через обмеження IP-адреси.

6. Перевірка контактної інформації

6.1 Перевірка електронної пошти

Точна інформація електронної пошти необхідна для відновлення пароля, сповіщень про безпеку та верифікації облікового запису.

Місцезнаходження: Налаштування > Загальні налаштування

Адреса повинна мати статус "Підтверджено" для:

Запитів на зміну пароля
Отримання сповіщень про безпеку
Процедури відновлення облікового запису

Щоб підтвердити свою електронну пошту:

Перейдіть в Налаштування > Загальні налаштування
Перейдіть за посиланням для підтвердження поруч з адресою вашої електронної пошти
Завершіть процес верифікації

6.2 Верифікація номера телефону

Верифікація номера телефону необхідна для підтвердження особи під час взаємодії зі службою підтримки та проведення конфіденційних операцій з акаунтом.

Місцезнаходження: Налаштування > Загальні налаштування

Щоб підтвердити свій номер телефону:

Перейдіть до Налаштування > Загальні налаштування
Натисніть кнопку "Підтвердити за допомогою дзвінка" поруч із вашим номером телефону
Дотримуйтесь інструкцій з підтвердження
Ваш номер буде позначено як підтверджений

6.3 Оновлення контактної інформації

Важливо: Оновлюйте контактну інформацію негайно, якщо вона змінюється. Застаріла контактна інформація може перешкоджати відновленню пароля та доступу до облікового запису.

7. Захист від фішингу

7.1 Що таке фішинг?

Фішинг - це шахрайські спроби видати себе за INTROSERV або інші довірені служби з метою викрадення ваших облікових даних, платіжної інформації або 2FA-кодів.

7.2 Ідентифікація фішингових електронних листів

Фішингові електронні листи зазвичай мають такі характеристики:

Червоні прапорці - ймовірний фішинг:

Відправник не з домену @INTROSERV.COM
Запити на отримання паролів, 2FA-кодів або реквізитів картки
Штучна терміновість ("Ваш акаунт буде призупинено протягом 24 годин!")
Посилання не вказують на офіційний домен INTROSERV.COM
Орфографічні, граматичні помилки або незвичне форматування
Неочікувані вкладення або запити на завантаження
Загальні привітання ("Шановний клієнт" замість вашого імені)

Зелені прапорці - автентичні електронні листи від INTROSERV:

Адреса відправника з @INTROSERV.COM
Особисте привітання з використанням вашого зареєстрованого імені
Ніяких запитів паролів або кодів автентифікації
Посилання тільки на https://INTROSERV.COM
Професійне форматування та правопис

7.3 Чого INTROSERV ніколи не вимагатиме

INTROSERV ніколи не буде запитувати наступне через будь-який канал (електронну пошту, чат, телефон або службу підтримки):

Пароль вашого облікового запису
2FA коди
Відключення функцій безпеки
Платежі за допомогою криптовалюти, подарункових карток або банківських переказів
Віддалений доступ до робочого столу вашого комп'ютера
Повні дані кредитної картки через електронну пошту або чат

Якщо ви отримуєте подібні запити, це шахрайство. Негайно повідомляйте про підозрілі повідомлення через офіційну систему тікетів служби підтримки.

7.4 Перевірка посилань

Перш ніж перейти за посиланням в електронному листі, перевірте його справжнє призначення:

Наведіть курсор на посилання (не натискайте)
Подивіться на фактичну URL-адресу в рядку стану вашого браузера
Порівняйте місце призначення із заявленим джерелом

Легітимне посилання INTROSERV:

https://introserv.com/ (основний веб-сайт)
https://my.introserv.com/ (клієнтський кабінет)

Фішинг - підозрілі домени:

Червоні прапорці в URL-адресах:

Незашифрований протокол (http замість https)
Доменні розширення, відмінні від .com
Додаткові слова перед або після "INTROSERV" в домені
Скорочення URL-адрес (bit.ly, tinyurl тощо)
Помилки або заміни символів (INTR0SERV, INTROSERY, INTROSERB)

7.5 Повідомлення про фішинг

Якщо ви отримали фішинговий електронний лист, який стверджує, що він від INTROSERV:

Не переходьте за посиланнями та не завантажуйте вкладення
Не відповідайте на лист
Повідомте про лист через офіційну систему тікетів підтримки
Якщо можливо, додайте заголовки листа

Негайно зверніться до служби підтримки INTROSERV: support@INTROSERV.COM

8. Моніторинг активності

8.1 Перегляд історії облікового запису

Регулярний моніторинг активності облікового запису дозволяє виявити несанкціонований доступ або підозрілу поведінку.

Місцезнаходження: Налаштування > Історія

Відображається розділ історії:

Останні спроби входу (успішні та невдалі)
IP-адреси, що використовувалися для входу
Мітки часу доступу
Операції, виконані в акаунті

8.2 На що звертати увагу

Регулярно переглядайте історію своєї активності та звертайте увагу на

Входи з незнайомих IP-адрес або місцезнаходжень
Невдалі спроби входу (кілька спроб за короткий час можуть свідчити про атаку)
Неочікувані зміни в налаштуваннях акаунта
Неочікуване надання або модифікація послуг
Незвичайний час доступу (особливо за межами вашого звичайного режиму використання)

8.3 Реагування на підозрілу активність

Якщо ви помітили підозрілу активність:

Негайно змініть пароль (Налаштування > Безпека)
Увімкніть 2FA, якщо вона наразі не активна
Перегляньте всю нещодавню активність в Налаштуваннях > Історія
Перевірте всі послуги (Виділені сервери, VPS/VDS, Хмарне сховище) на наявність несанкціонованих змін
Перевірте записи рахунків (розділ "Виставлення рахунків") на наявність несанкціонованих транзакцій
Оновіть контактну інформацію, якщо вона була скомпрометована
Зверніться до служби підтримки INTROSERV через офіційну тікет-систему з повною інформацією про інцидент

9. Реагування на інциденти безпеки

9.1 Якщо ви підозрюєте несанкціонований доступ

Негайні дії:

Негайно змініть пароль (Налаштування > Безпека > Змінити пароль)
Увімкніть або оновіть 2FA, якщо вона наразі не активна
Перегляньте Налаштування > Історія для всієї нещодавньої активності
Перевірте всі послуги (виділені сервери, VPS/VDS) на наявність несанкціонованих змін або спроб доступу
Перевірте Білінг > Рахунки на наявність несанкціонованих транзакцій або надання послуг
Оновіть контактну інформацію, якщо вона була скомпрометована
Негайно зверніться до служби підтримки INTROSERV

9.2 Надання інформації про інцидент до служби підтримки

Повідомляючи про інцидент безпеки, вкажіть

Дату і час першої підозрілої активності
Опис того, що ви помітили (несанкціоновані зміни, незнайомі логіни тощо)
Скріншоти підозрілої активності або записи історії
Будь-які повідомлення про помилки або незвичну поведінку системи
Нещодавні зміни, які ви внесли до налаштувань акаунта
Чи використовували ви облікові дані або пристрої разом з іншими особами

Команда підтримки розслідує інцидент і порекомендує конкретні кроки з усунення проблеми, виходячи з вашої ситуації.

9.3 Графік відновлення

Вирішення інциденту безпеки залежить від серйозності та масштабу інциденту. Служба підтримки INTROSERV визначить пріоритетність повідомлень про інциденти безпеки та надасть первинну оцінку в межах стандартного часу реагування.

10. Додаткові рекомендації з безпеки

10.1 Захист облікового запису

Не зберігайте паролі на пристроях спільного користування або комп'ютерах загального користування
Використовуйте менеджер паролів для безпечного зберігання паролів
Відстежуйте останні IP-адреси для входу в Налаштування > Історія
Регулярно переглядайте розділ "Історія" (щонайменше раз на місяць)
Використовуйте обмеження IP-адрес, якщо у вас статична домашня або офісна IP-адреса
Завжди виходьте з публічних або спільних комп'ютерів
Не повідомляйте свої облікові дані іншим особам
Не надавайте свої облікові дані співробітникам служби підтримки (служба підтримки INTROSERV отримує доступ до облікових записів через захищені внутрішні системи, а не через ваш пароль)

10.2 Безпека пристрою

Оновлюйте операційну систему та додатки за допомогою патчів безпеки
Використовуйте антивірусне та антивірусне програмне забезпечення
Уникайте доступу до свого облікового запису через публічні мережі Wi-Fi; використовуйте VPN, коли це необхідно
Увімкніть шифрування дисків на пристроях, які ви використовуєте для доступу до свого акаунта
Увімкніть блокування екрану (PIN-код, біометричний або пароль)
Використовуйте шифрування WPA3 для домашньої мережі (або WPA2, якщо WPA3 недоступний)

10.3 Безпека електронної пошти

Увімкніть 2FA для свого облікового запису постачальника послуг електронної пошти
Використовуйте виділену електронну адресу для критично важливих сервісів (INTROSERV, банківські послуги, криптовалюта)
Не переходьте за посиланнями в підозрілих електронних листах; замість цього переходьте на веб-сайти напряму
Перевіряйте адреси відправників, перш ніж відповідати на листи
Будьте обережні з вкладеннями від невідомих відправників

11. Типові помилки, яких слід уникати

Уникайте цих поширених практик безпеки, які послаблюють захист вашого акаунта:

Використання одного і того ж пароля для декількох служб - якщо одна служба зламана, всі ваші акаунти стають вразливими. Використовуйте унікальні, надійні паролі для кожної служби.
Зберігання паролів у браузері без головного пароля - Браузерні менеджери паролів без шифрування забезпечують мінімальний захист. Використовуйте спеціальний менеджер паролів з шифруванням.
Використання однієї одноразової або спільної адреси електронної пошти - Відновлення облікового запису залежить від доступу до електронної пошти. Використовуйте для INTROSERV окрему захищену адресу електронної пошти, яку контролюєте тільки ви.
Тимчасове вимкнення 2FA або "тільки зараз" - вимкнений 2FA залишає ваш обліковий запис вразливим. Увімкніть її одразу після усунення ситуації, що призвела до її вимкнення.
Доступ до акаунта через публічний Wi-Fi без VPN - Публічні мережі контролюються зловмисниками. Завжди використовуйте VPN, коли заходите до свого акаунта через публічний Wi-Fi.
Додавання динамічних або мобільних IP-адрес до IP-обмежень - IP-обмеження працюють лише зі статичними (незмінними) адресами. Мобільні або змінні IP-адреси заблокують вам доступ до акаунта.

12. Функції безпеки проти зменшення ризиків

У наступній таблиці показано, які функції безпеки захищають від конкретних загроз:

Функція безпеки	Захищає від
Надійний пароль	Атаки грубої сили, підміна облікових даних
Двофакторна автентифікація (2FA)	Крадіжка пароля, несанкціонований вхід без другого фактора
Обмеження доступу за IP-адресою	Несанкціонований віддалений доступ з невідомих місць
Перевірка електронної пошти	Спроби заволодіння акаунтом, несанкціонована зміна пароля
Моніторинг активності	Невиявлені порушення, несанкціоновані операції з акаунтом
Кодове слово	Підміна облікового запису, несанкціоноване звернення до служби підтримки