Positive Technologies: при проверке защищенности в 60% компаний удалось захватить системы или добраться до важных данных

Эксперты Positive Technologies проанализировали результаты пилотных проектов по автоматизированному тестированию на проникновение с помощью PT Dephaze. В 60% компаний удалось захватить отдельный компьютер или сервер, получить доступ к важным приложениям и данным или взять под контроль Active Directory — службу, через которую управляют пользователями и их правами во всей организации. В половине случаев на это хватало 13 минут. Почти у всех компаний в корпоративной сети нашлись как минимум логины пользователей, а в 77% проверок — пароли в открытом виде. Ошибки в настройках встречались более чем в два раза чаще уязвимостей.

Временные показатели приведены по медиане, чтобы отдельные запуски, продолжавшиеся неделями, не искажали общую картину. Чаще всего (в 52% компаний) удавалось захватить компьютер или сервер — на это уходило 39 минут. Доступ к важным приложениям и данным получали реже, в 37% организаций, зато быстрее всего — за 17 минут. Active Directory взяли под контроль в 29% компаний — на это требовалось 77 минут.

В 65% случаев, когда удавалось достичь хотя бы одной из этих целей, это происходило в первый же час, в 89% — в первые сутки. В финансовых организациях первый результат появлялся за четыре минуты, в ИТ-компаниях — за восемь, в промышленности — за 11, а самые короткие сценарии заняли от одной до четырех минут. При ручной проверке или реальной атаке скорость может быть другой: она зависит от исходного доступа, знания инфраструктуры, инструментов и других факторов.

Основным инструментом продвижения по корпоративной сети стали учетные данные. Логины, а нередко и пароли, нашлись у 96% компаний. Первые такие сведения появлялись уже через две минуты после начала проверки, а через шесть минут подтверждалось, что найденные данные работают. Подошли они в половине случаев, а в 12% хватило заводских или широко известных комбинаций. Из запусков тестирования, в рамках которых удалось достичь важных систем компаний, 56% строились на подходящих логинах и паролях, 35% — на перенаправлении чужой попытки входа в другую систему и лишь 6% — на уязвимостях. Каждый захваченный компьютер мог стать источником новых паролей и ключей: в 22% проверок их удалось извлечь из памяти и системных хранилищ Windows.

Недостатки конфигурации, например небезопасные настройки Windows и Active Directory или слабые пароли, встречались в 84% запусков, уязвимости — в 38%. Кроме того, в сетях до сих пор присутствуют и давно известные бреши: одна из них, обнаруженная в 2021 г., использовалась в 21% проверок, другая, исправление для которой вышло еще в 2017 г., — в 14%.

«Если злоумышленник нашел короткий путь к важным системам компании, атака может развиться очень быстро, и сторона защиты рискует не успеть ее остановить. При этом инфраструктура постоянно меняется: появляются новые серверы и пользователи, меняются права и настройки, а вместе с ними могут возникать и новые слабые места. Разовая проверка показывает картину на конкретный день, поэтому оценивать защищенность стоит регулярно, после каждого существенного изменения», — отметила Анна Вяткина, аналитик Positive Technologies.

Эксперты компании рекомендуют начинать с недостатков, на которых держится сразу несколько путей атаки: аккаунтов с широкими правами, которые подходят к нескольким системам, небезопасного хранения паролей и ключей, возможности перенаправить чужую попытку входа, лишних связей между сегментами сети. В первую очередь стоит закрывать то, что приближает злоумышленника к ключевым ресурсам компании, а не только то, что формально оценено как опасное. Убедиться, что принятые меры сработали, поможет повторная автоматизированная проверка, а сложные и нестандартные сценарии по-прежнему требуют работы специалистов по анализу защищенности.