Если у компании достаточно большой «зоопарк» программно-аппаратных ресурсов, то вероятней всего, что часть из них смотрит в Мир, для большего удобства так сказать. Очень часто, можно встретить торчащие наружу RDP, SSH, VNC, Telnet, etc… и если я это вижу, то как говорится — «тут всё понятно с ИБ», ибо можно использовать брут, mitm (sniffing, spoofing), соц. инженерию, и перехватить доступы. Кое-кто конечно же может возвразить, мол, мы не используем телнет, а для SSH мы используем ключи, и для RDP у нас имеются OTP-брелки (one-time-password) и т.д. и т.п., подобное я слышал уже сотни раз. Но в большинстве своём, специалисты, которые «наворачивают» все эти системы параноидальным функционалом смотрящие в Мир, даже понятия не имеют, как злоумышленники действуют и взламывают их системы. Итак, начнём по порядку:

Протоколы администриования смотрящие в Мир — классика жанра, выше они перечислены, через них Вас просто сбрутят, рано или поздно, если пустили на самотёк и не применяете никаких превентивных мер. Стоит отметить, что протоколы, которые передают данные аутентификации в открытом виде, легко снифаются, парсятся, и используются по назначению. Есть даже класс зловредов, которыми заражают взломанные шлюзы для перехвата логинов-паролей к телнет-протоколу. Особого внимания заслуживает RDP и его версионность, с возможностью обратной совместимости, и даунгрейдом на менее защищённые версии протокола. Также, если RDP смотрит в Мир, и при этом сервер входит в домен, и злоумышленнику знакома «маска» логинов пользователей, то злоумышленнику ничего не мешает сформировать словарь из списка пользователей, и начать брутить их с целью блокировки учетных записей пользователей при неверном вводе пароля… тут конечно требуются определенные ньюансы, такие как — любой пользователь может подключиться к RDP, а также политика блокировки при неверном вводе пароля.

Расшаренные ресурсы — аналогично вышесказанному, протокол samba конечно же не является протоколом администрирования, и используется в других целях, а именно для создания сетевых директорий общего пользования. Но как и RDP этот протокол вполне успешно можно брутить, проводить через него энумерацию пользователей и т.д.

Базы данных — тоже не очень хорошая идея держать открытми в Мир, тоже брутятся, плюс имея повышенные привелегии в некоторых реализациях можно читать файловую систему сервера, залить шелл, слить административные хэши паролей администратора БД, расшифровать их (а вдруг подойдут к SSH!).

Веб-приложения — даже если грамотный сетевик закрыл всё и оставил только 80 и 443 (302, http->https) порты, которые смотрят в Мир, остальное всё доступно только из локальной сети, то и тут есть где развернуться =). Опущу момент поиска и эксплуатации веб-уязвимостей. Представим, что веб-шелл (RCE) у нас имеется, что дальше? Большинство злоумышленников будет довольствоваться веб-шеллом, пинговать локльные айпи-адреса, шариться по серверу в поисках вкусной инфы, возьмут на бэкконект с целью заюзать какой-нибудь паблик эксплойт и подняться до рут-прав, а некоторые пойдут дальше, и запроксируют своё соединение через взломанное веб-приложение. И вот, злоумышленник уже в Вашей локальной сети ковыряется в локальной БД, ищет что-то в почтовом ящике админа, параллельно рутуя пару древних серверов в локальной сети, закрепляясь на всякий случай, дампит локальные нтлм-хэши, и вот он уже админ домена, теперь он тут хозяин =)

З.Ы. Задайтесь вопросом — а что Вы сделали для того, чтобы быть уверенным, что в Вашей локальной сети никто не «поселился»???

Добавить комментарий

Заполните поля или щелкните по значку, чтобы оставить свой комментарий:

Логотип WordPress.com

Для комментария используется ваша учётная запись WordPress.com. Выход /  Изменить )

Google photo

Для комментария используется ваша учётная запись Google. Выход /  Изменить )

Фотография Twitter

Для комментария используется ваша учётная запись Twitter. Выход /  Изменить )

Фотография Facebook

Для комментария используется ваша учётная запись Facebook. Выход /  Изменить )

Connecting to %s

This site uses Akismet to reduce spam. Learn how your comment data is processed.