Когда вы делаете пилот или внедрение Positive Technologies Network Attack Discovery, то нужно передать копию трафика в это многофункциональное устройство сетевой безопасности для анализа движками DPI, IDS, ML, TI, NTA и последующего анализа и отправки файлов из трафика в песочницу и антивирус, чтобы обнаружить направленные на вас атаки и взломанные хосты.
- зеркальный или SPAN порт свитча или роутера
- RSPAN/ERSPAN - тоже зеркальный порт, но трафик передается аж с других свитчей через выделенный VLAN для Remote SPAN или вообще через GRE для ERSPAN.Если это среда виртуализации, то варианты получения трафика из гипервизора:
- promiscous mode порт в distributed switch на котором подключается виртуальный NAD и все мы понимаем, что виртуальная машина все-таки работает медленнее, чем внешний аппаратный PT NAD
- SPAN порт на свитче, на котором работают различные сервера с виртуализацией, и тогда мы не видим внутренний трафик внутри гипервизора каждой системы виртуализации, но зато мы видим трафик идущий внутри VXLAN или GENEVE
- ERSPAN, то есть также мы инкапсулируем внутри гипервизора наш трафик внутрь туннеля GRE и отдаем в NAD снаружи сервера
На протяжении всего 2021 года сотрудники Positive Technologies фиксировали появление уязвимостей, которые злоумышленники тут же использовали и аналитики выпустили великолепный отчет по ситуации с безопасностью за 2021 год: www.ptsecurity.com/ru-ru/research/analytics/cybersecurity-threatscape-2021/
Например, часто использовались ProxyLogon в Microsoft Exchange Server, PrintNightmare в службе печати Windows, CVE-2021-40444 в модуле MSHTML в Internet Explorer — их жертвами становились сотни и тысячи организацией по всему миру. В декабре 2021 года даже появился термин «киберпандемия» из-за обилия атак с использованием уязвимости CVE-2021-44228 в библиотеке Log4j.
В 2021 по статистике 43% атак использовали именно уязвимости для начального проникновения в сеть. Использование таких уязвимостей оказалось несложным, поскольку эксплойты уже существуют публично и 83% обследованных организаций содержат уязвимости высокого риска, которые можно проэскплуатировать.
Самые часто используемые хакерами уязвимости по статистике экспертов Positive Technologies представлены ниже.
| CVE | В каком ПО обнаружена | Название уязвимости | Тип уязвимости | Базовая оценка CVSS |
|---|---|---|---|---|
| CVE-2021-27101 | Accellion FTA | Remote code execution (RCE) | 9,8 | |
| CVE-2021-27103 | Accellion FTA | Подделка запроса на стороне сервера | 9,8 | |
| CVE-2021-27104 | Accellion FTA | Remote code execution (RCE) | 9,8 | |
| CVE-2021-27102 | Accellion FTA | Remote code execution (RCE) | 7,8 | |
| CVE-2021-26855 | Сервер Microsoft Exchange | ProxyLogon | Подделка запроса на стороне сервера | 9,8 |
CVE-2021-26857, CVE-2021-26858, CVE-2021-27065 | Сервер Microsoft Exchange | ProxyLogon | Remote code execution (RCE) | 7,8 |
| CVE-2021-44228 | Библиотека Apache Log4j2 | Remote code execution (RCE) | 10,0 | |
| CVE-2021-28799 | QNAP NAS | Remote code execution (RCE) | 9,8 | |
| CVE-2021-34527 | Диспетчер печати Windows | PrintNightmare | Remote code execution (RCE) | 8,8 |
| CVE-2021-34473 | Сервер Microsoft Exchange | ProxyShell | Remote code execution (RCE) | 9,8 |
| CVE-2021-34523 | Сервер Microsoft Exchange | ProxyShell | Повышение привилегий | 9,8 |
| CVE-2021-31207 | Сервер Microsoft Exchange | ProxyShell | Обход аутентификации | 7,2 |
| CVE-2021-40444 | Модуль MSHTML в Internet Explorer | Remote code execution (RCE) | 7,8 | |
| CVE-2021-21972 | VMware | (обнаружена экспертом Positive Technologies Михаилом Ключниковым) | Remote code execution (RCE) | 9,8 |
CVE | В каком ПО обнаружена | Vulnerability Name | Type |
Apache Log4j | Log4Shell | Remote code execution (RCE) | |
Zoho ManageEngine AD SelfService Plus | RCE | ||
Microsoft Exchange Server | ProxyShell | Elevation of privilege | |
Microsoft Exchange Server | ProxyShell | RCE | |
Microsoft Exchange Server | ProxyShell | Security feature bypass | |
Microsoft Exchange Server | ProxyLogon | RCE | |
Microsoft Exchange Server | ProxyLogon | RCE | |
Microsoft Exchange Server | ProxyLogon | RCE | |
Microsoft Exchange Server | ProxyLogon | RCE | |
Atlassian Confluence Server and Data Center | Arbitrary code execution | ||
VMware vSphere Client | RCE | ||
Microsoft Netlogon Remote Protocol (MS-NRPC) | ZeroLogon | Elevation of privilege | |
Microsoft Exchange Server | RCE | ||
Pulse Secure Pulse Connect Secure | Arbitrary file reading | ||
Fortinet FortiOS and FortiProxy | Path traversal |
CVE | Vendor and Product | Type |
Sitecore XP | RCE | |
ForgeRock OpenAM server | RCE | |
Accellion FTA | OS command execution | |
Accellion FTA | Server-side request forgery | |
Accellion FTA | OS command execution | |
Accellion FTA | SQL injection | |
VMware vCenter Server | RCE | |
SonicWall Secure Mobile Access (SMA) | RCE | |
Microsoft MSHTML | RCE | |
Microsoft Windows Print Spooler | RCE | |
Sudo | Privilege escalation | |
Checkbox Survey | Remote arbitrary code execution | |
Pulse Secure Pulse Connect Secure | Remote arbitrary code execution | |
SonicWall SSLVPN SMA100 | Improper SQL command neutralization, allowing for credential access | |
Windows Print Spooler | RCE | |
QNAP QTS and QuTS hero | Remote arbitrary code execution | |
Citrix Application Delivery Controller (ADC) and Gateway | Arbitrary code execution | |
Code execution | ||
Cisco IOS Software and IOS XE Software | Remote arbitrary code execution | |
Microsoft Office | RCE | |
Microsoft Office | RCE |
Существует множество сервисов сегодня, которые позволяют посмотреть открытые наружу ресурсы. Например, ZoomEye
Ну и множество автоматизированных утилит, которые в общем-то ищутся по словам Attack Surface Management.
И естественно вы можете это делать сами сканером безопасности.
Основной вывод, который можно сделать на протяжении чтения подобных отчетов - организации не снижают свою поверхность атаки, а только расширяют. К ИТ система добавляют АСУТП системы, к системам с истекшей поддержкой добавляются все новые и новые и ими продолжают пользоваться.
И последнее, самое важное. Поверхность атаки - это не только то, что видит злоумышленник снаружи. Это то, что видят ваши сотрудники и ваши сетевые устройства изнутри. Если у вас нет правил на исходящие соединения, где контролируются подключения на известные центры управления бот-сетями, не проверяются файлы, которые они скачиваются на наличие вредоносного кода, не проверяется посещение зараженных сайтов, то ваша поверхность атаки по-прежнему очень большая. Проверяйте не только входящие соединение, но еще и исходящие - обязательно.
Александр Веселов из Солар подсветил, что проблема еще усугубилась тем, что проблемно перейти на русские устройства VPN из-за их подорожания в 2 раза. А у большинства заказчиков бюджеты были заложены заранее. Андрей Шпаков из S-Terra объяснил, что подорожало железо, и это связано с нарушением цепочек поставок и отсутствием новых аппаратных платформ на рынке в принципе и приходится еще и возить через третьи страны аппаратные платформы. Множество платформ сегодня делается на основе тайваньского оборудования компании Lanner и его сейчас трудно привезти.
Павел Луцик указал на то, что вдобавок к тому, что перестали работать VPN шлюзы, у работающих шлюзов были отозваны TLS сертификаты и это вызвало трудности с перевыпуском и быстрым переподключением у многих заказчиков. Сейчас по идее нужно переходить на сертификаты подписанные русским центрами сертификации, но для этого русские центры сертификации должны быть прописаны в браузеры. А это еще одна трудность и кому-то нужно договориться с производителями браузеров и с компанией Microsoft, чтобы добавить еще и в Windows корневой центр сертификации.
Павел Великов из Cross Technologies поделился, что часть производителей смогли быстро предоставить виртуальные версии VPN и заказчики смогли решить задачу удаленного подключения к офису достаточно быстро. Он видит, что часть заказчиков еще пытается держаться за иностранных поставщиков, а часть уже переходит на русские решения.
Андрей Шпаков и Павел Луцик рассказали, что все заказчики привыкли уже к VPN шлюзам в составе устройств UTM/NGFW и им приходится ставить вместо одного устройства сразу несколько решений. Также заказчики привыкли к второму фактору на базе смс в мобильные устройства а таких сертифицированных решений не существует. Сейчас приходится использовать VPN отдельно и UTM отдельно, что неудобно, поскольку часто нужно знать имя пользователя не только при аутентификации на VPN шлюзе, но и при написании правил межсетевого экранирования.
Еще одной трудностью по мнению Павла Великова является требование законодательства передавать ключи шифрования из рук в руки и это по сути вызов реальности, где люди находятся все по домам и им трудно так передавать ключи технически. В итоге из-за того, что российские производители делали устройство под требования российского законодательства, то они были ограничены и не могли в принципе реализовать некоторые необходимые фичи, такие как удобную двухфакторную аутентификацию, удобное распределение ключей, удобный API для интеграции с другими устройствами, что уже сделано иностранными производителями, которые не ориентировались на русские стандартны сертификации. При этом Павел Луцик из КриптоПро поделился тем, что их решения хорошо интегрируются с решениями класса MDM и NAC.
Павел Коростелев считает, что TLS шлюзы, которые публикуют приложения через браузер приносят много достаточно функционала ZTNA, поскольку контролируют что делать пользователь.
Павел Коростелев считает, что сертифицировать клиент VPN по требованиям ФСТЭК и ФСБ одновременно практически нереально. И в итоге общий вывод, что сделать UTM c VPN сложно потому, что сложно сертифицировать одновременно VPN+МСЭ+СОВ. И в итоге производители вынуждены делать две ветки продуктов - для сертификации, чтобы соответствовать требованиям регуляторов и для заказчиков, которым удобство важнее, чем сертификат.
Получается, что и добавить такой функционал как compliance или допустим digital experience monitoring (DEM) тоже в сертифицированные клиенты невозможно. И это удел только несертифицированных решений.
Павел Луцик подсказал, что пока что для защиты неконфиденциальной информации можно пользоваться иностранной криптографией. Также в КИИ нет требований по использованию сертифицированной криптографии, кроме тех кто подключается к ГосСОПКА.
По схеме применения производители выделили две схемы применения для удаленного доступа: с программным клиентом и с подключением через браузер к VPN шлюзу. Павел Коростелев при этом считает, что есть три подхода, где самый правильный вариант подключения - выдать ноутбук корпоративный с VPN, второй вариант - экстремальный - поставить прямо на домашний компьютер пользователя, и еще гибридный вариант, когда выдается USB флешка с загружаемой операционкой. Клиентские приложения сегодня есть у российских производителей под Linux, MacOS, iOS, Android и Windows.
Когда мы перешли к вопросу интеграции вендора с вендором, то выяснилось, что у всех разные протоколы и стандартный IPSEC даже если и реализован, то возникают вопросы с передачей ключей шифрования. Инфотекс, например, создал свой протокол IPlir, который считает удобным для использования.
Все сказали, что самое трудное - это сроки сертификации. Я сам тратил на сертификацию производства TippingPoint и Proventia на каждый по 3 года и такой срок конечно уменьшает пользу - ведь пользоваться устройством трехлетней давности, лишь потому что оно сертифицированное заказчик чаще всего не хочет, да и не может, потому что за это время даже оборудование уже устаревает. И на мой взгляд это стоит обсуждать на ТК26.
И еще одна трудность была отмечена коллегами: системы управления. Удобство - это то, над чем сейчас нужно работать, чтобы заказчики были довольны.
По результатам конференции я выяснил, что в будущем производители ждут
- подорожания аппаратных платформ;
- множества запросов на виртуальные решения;
- ужесточения законодательства по использованию русского оборудования и софта;
- прихода подделок на основе opensource;
- интеграции криптошлюзов и NGFW;
- появление SD-WAN как новой фичи шлюзов.