Во время недавнего пентеста специалисты Sprocket Security нашли Canon imageRUNNER с открытым VNC без пароля.

Через экран управления они изменили адрес FTP-сервера и запустили проверку подключения. МФУ отправило на сервер пентестеров сохранённые логин и пароль доменной учётной записи.

У учётки оказалось больше прав, чем требовалось для работы принтера. Через BloodHound нашли путь повышения привилегий и за несколько минут получили права администратора домена.  

Это не единичный случай. Rapid7 изучила результаты 136 пентестов: в 97 случаях специалисты получили административный доступ к МФУ, а в 31 успешно забрали учётные данные через pass-back-атаку и получили доступ к Active Directory.… Читать далее…

Западные CA уже не раз отказывали российским сайтам в выпуске сертификатов. Теперь еще и отзывают. Пока это выглядит как точечные истории, но санкционная логика работает в одну сторону — давление только растёт. Рано или поздно это может стать системным, и тогда обычный пользователь увидит на привычном сайте страшное предупреждение браузера. Дальше он этот сайт просто закроет.

Когда об этом заходит разговор, первая мысль у всех одна: надо провести кампанию, дать людям инструкцию, пусть поставят российский корневой сертификат сами. Идея понятная, но я в неё не верю.

Дело не в том, что пользователи тупые или ленивые.… Читать далее…

Когда люди слышат слово «взлом», большинство представляет что-то сложное.

Неизвестные уязвимости.

Хитрые скрипты.

Специальное программное обеспечение.

Профессиональных хакеров в тёмных комнатах перед несколькими мониторами.

На практике всё часто выглядит намного проще.

Иногда злоумышленнику даже не нужно искать уязвимости.

Достаточно открыть настройки обычного МФУ.

Одна из самых удивительных вещей, которые регулярно встречаются в инфраструктурах организаций, — использование привилегированных учётных записей для настройки функций сканирования.

Логика обычно выглядит так:

Нужно настроить сканирование документов в сетевую папку.

Администратор создаёт подключение.

Проверяет.

Работает.

На этом задача считается выполненной.

А какая именно учётная запись используется для доступа к папке — вопрос второстепенный.… Читать далее…

Есть одна закономерность, которую я наблюдаю практически постоянно.

Появляется новое средство защиты.

WAF. Антивирус. EDR. IDS. IPS. Контроль приложений. Любой другой инструмент безопасности.

И через некоторое время обязательно находится человек, который говорит:

— Эта штука всё ломает.

Иногда это администратор. Иногда разработчик. Иногда руководитель проекта.

Но смысл всегда один:

— До вас всё работало нормально.

На самом деле это одна из самых интересных иллюзий в информационной безопасности.

Очень часто система безопасности ничего не ломает.

Она просто показывает проблему, которая существовала задолго до её появления.

Проблему, которую никто раньше не замечал.

Или не хотел замечать.… Читать далее…

Очень часто можно услышать фразу:

«Этот сервер не доступен из Интернета, значит всё нормально».

На первый взгляд логика понятна. Если злоумышленник не может подключиться к серверу извне, то и опасаться вроде бы нечего.

Но современная информационная безопасность давно перестала ограничиваться только защитой периметра.

Любая сеть должна проектироваться исходя из того, что однажды злоумышленник всё-таки окажется внутри.

Неважно каким способом.

Через заражённое письмо, украденную VPN-учётную запись, скомпрометированный ноутбук подрядчика, уязвимость в каком-либо сервисе или обычную ошибку пользователя.

После получения первоначального доступа начинается следующий этап атаки — изучение инфраструктуры.

Злоумышленник ищет серверы, сетевое оборудование, базы данных, веб-интерфейсы, SSH, RDP и другие сервисы управления.… Читать далее…

В ИБ до сих пор живёт очень удобная иллюзия: можно купить правильную коробку, поставить её на периметр, настроить несколько правил — и дальше сеть как будто сама становится защищённой. Коробка мигает лампочками, рисует графики, пишет красивые отчёты, и всем вокруг становится чуть спокойнее. Проблема в том, что атакующему на это спокойствие обычно всё равно.

Безопасность действительно не живёт в одной коробке. Ни в межсетевом экране, ни в антивирусе, ни в EDR, ни в почтовом шлюзе, ни даже в SIEM. Любое отдельное средство защиты — это только один рубеж. Иногда сильный. Иногда полезный.… Читать далее…