И почему корпоративный сайт опаснее, чем кажется
Представьте, хакер заходит на обычный публичный сайт угольной компании. Через несколько часов он уже управляет логистикой цехов.
Это не сценарий голливудского фильма. Это реальный кейс, который наша команда воспроизвела в рамках легального пентеста для одного из топ-10 производителей угля в России.
Рассказываем, как это было.
Клиент: крупный, серьёзный, уверенный в своей защите
Компания из первой десятки угольных производителей страны. Штат — больше 1500 человек. Внешний периметр — более 200 IP-адресов: сайты, VPN-шлюзы, партнёрские порталы.
Служба безопасности работает. Инструменты защиты есть. Политики написаны. Но руководство задало правильный вопрос:
«А что будет, если нас атакует реальная APT-группировка? Выдержим?»
APT — это не школьник с Kali Linux. Это профессиональные хакерские группы, которые работают методично, терпеливо и целенаправленно. Именно их методы мы и должны были смоделировать.
Задача: сыграть роль врага
Нам поставили четыре цели:
1. Найти все точки входа снаружи
Сайты, VPN, удаленный доступ, партнёрские порталы. Всё, до чего может дотянуться атакующий из интернета.
2. Проверить переход снаружи внутрь
Насколько реально пробить периметр и попасть в корпоративную сеть?
3. Оценить, что будет, если атакующий уже внутри
Сможет ли он добраться до критичных систем? Захватить учетки топ-менеджеров? Прочитать конфиденциальные файлы?
4. Показать путь, а не просто список уязвимостей
Не сухой перечень уязвимостей — а полная цепочка атаки. Чтобы руководство увидело реальную картину, а не технический отчёт в стол.
Как мы работали: три этапа
Этап 1. Разведка и картографирование периметра
Первым делом — составить полную карту того, что видно снаружи.
200+ IP-адресов — это много. Среди них публичные сайты, закрытые порталы для партнеров, VPN-шлюзы, тестовые стенды (которые давно забыли, но не отключили) и... кое-что интересное.
Мы обнаружили сервер, который отвечал за критически важную коммуникацию внутри инфраструктуры. Он не должен был быть виден снаружи.
Это и стало точкой входа.
Этап 2. От сайта — в сердце инфраструктуры
В вендорском программном обеспечении, которое использовалось на одном из публичных веб-сервисов, была обнаружена цепочка уязвимостей.
Не одна уязвимость — а именно цепочка. Каждая по отдельности выглядела некритично. Вместе они давали возможность извлечь чувствительную информацию из защищённого приложения.
Эти данные стали плацдармом.
Используя полученные полномочия и особенности сетевой конфигурации, мы смоделировали переход из внешнего контура во внутренний. Комбинация ошибок разграничения доступа + недостатки аутентификации = атакующий в корпоративной сети.
Этап 3. Прогулка по внутренней сети
Оказавшись «внутри», мы оценили, насколько сложно атакующему двигаться дальше.
Ответ оказался неприятным.
- Сегментация сети не останавливала горизонтальное перемещение
- Сервисные учетные записи имели избыточные права
- Доступ подрядчиков не был должным образом ограничен
- Путь к системам управления производственной логистикой и цехами — существовал
Финальная точка маршрута, системы влияющие на реальные производственные процессы.
Что получил клиент
Не список уязвимостей, а полную кинематографическую картину атаки — от первого клика на внешнем сайте до экрана оператора в цеху.
Руководство увидело:
✓ Какие активы реально торчат наружу (и о некоторых даже не знали)
✓ По какому конкретному пути атакующий доберется до производства
✓ Где самые критичные «мостики» между офисным и производственным контуром
✓ Куда инвестировать в ИБ в первую очередь, чтобы получить максимальный эффект
Почему это важно именно для промышленности
В банке взлом — это деньги и данные. На производстве взлом — это остановка линий, аварии, физический ущерб.
Уголь, нефть, металлургия, химия — везде за корпоративной сетью прячется OT-инфраструктура (операционные технологии), системы управления конвейерами, вентиляцией, логистикой.
Хакеры это знают. Именно промышленные предприятия сегодня в приоритете у серьёзных APT-группировок.
Пентест позволяет найти и перекрыть эти мостики до того, как производство встанет.
Главный вывод
Внешний пентест для промышленного предприятия — это не «проверка сайта на взлом». Это проверка того, может ли кто-то снаружи нажать кнопку «стоп» на вашем производстве.
Если вы работаете в промышленности и не уверены, есть ли у вас такие же скрытые пути — это повод проверить. Лучше узнать от своих, чем от чужих.