Поймать цифровую тень

В ходе многочисленных реагирований на инциденты информационной безопасности (Incident Response) специалисты Group-IB регулярно видят атаки через забытые и неизвестные цифровые активы — тот же RDP-сервер, старые лендинги. Если забытые можно списать на человеческий фактор (открыли удаленный доступ подрядчику для выполнения работ, а потом забыли закрыть), то с неизвестными активами все сложнее.

Представьте ситуацию: в условном 2016 году маркетолог прибегает к айтишнику и просит срочно создать одностраничный сайт на домене promotionforthisproduct2016.com для продвижения какого-то товара. Домен создается, акция проходит, через год увольняется тот айтишник, еще через год — маркетолог. А в 2020-м на работу устраивается директор по информационной безопасности, которому, естественно, про этот домен и связанную с ним потенциально уязвимую инфраструктуру, никто не рассказал.

С одной стороны, злоумышленники могут обнаружить незащищенные или недостаточно защищенные активы, просто мониторя интернет-пространство, но данный подход требует хоть каких-то навыков. Можно поступить проще: воспользоваться специальными ресурсами в дарквебе, предлагающими доступы на продажу. Некоторые преступники специализируются именно на поиске уязвимых серверов, не эксплуатируя найденные бреши в инфраструктуре жертвы, а продавая их.

На картинке ниже показана одна из известных торговых площадок MagBo, в настоящее время здесь продается более 170 000 различных типов скомпрометированных доступов.

Такой рост был связан с тем, что из-за коронавируса компании в экстренном режиме переводили сотрудников на удаленную работу, создавая новые активы и рассчитывая заняться их защитой позже.

Данный сайт — лишь один из примеров продажи доступа к выделенным серверам. Множество подобных ресурсов специализируются на продаже доступов к серверам с открытыми портами 3389 (для RDP) или 443 (для HTTPS), а не только портами 25 и 80, как на изображении.

В случае с уязвимостями все достаточно просто: злоумышленнику достаточно понять, что на активах жертвы стоят старые версии программных продуктов. В новых версиях производители стараются закрывать те уязвимости, которые могут эксплуатироваться злоумышленниками. Так что от пользователя требуется лишь вовремя обновлять программное обеспечение продукта, но, по нашему опыту, не все делают это своевременно.

Одна из задач Group-IB как специалистов по кибербезопасности — предупреждать возможные атаки на наших клиентов. Поэтому мы выпустили решение класса EASM — Group-IB Attack Surface Management (ASM). Оно входит в Unified Risk Platform — единую платформу решений и сервисов для защиты от киберрисков, связанных с целевыми атаками, утечками данных, мошенничеством, фишингом, нелегальным использованием бренда.

Attack Surface Management — это основанное на данных киберразведки Group-IB Threat Intelligence и полностью облачное SaaS-решение по мониторингу и управлению внешним периметром атаки, не требующее использования агентов. Решение обнаруживает и инвентаризирует все известные и неизвестные активы, относящиеся к вашей организации и доступные из интернета.

Group-IB круглосуточно мониторит интернет-пространство, обнаруживая IP, домены компаний, сертификаты SSL/TLS, облачные и локальные хранилища и программное обеспечение, работающее на обнаруженных хостах. Все выявленные активы категорируются и проверяются на уязвимости. Для более простого понимания проблемных зон существует восемь категорий, по каждой из которых отображается скоринг, где 0 — большое количество проблем, 10 — проблем нет.

Одним из основных конкурентных преимуществ решения Group-IB ASM является оперативное получение данных об угрозах, поступающие из системы киберразведки Group-IB Threat Intelligence. Это и выявления фактов взлома компаний благодаря мониторингу преступных групп, бот-сетей и теневого интернета (таких как упоминания в дарквебе, утечки пар логин-пароль, заражение веб-шеллами, JS-снифферами, хостинги вредоносных программ и т.д), и обнаружение недетектируемых атак с помощью уникальных индикаторов компрометации (IoC); а также атрибуции, приоритезации угроз и более быстрого реагирования за счет данных об атакующих, их инструментах и тактиках.

Вся эта информация позволяет заранее понять, что ваша компания стала интересна злоумышленникам, а, значит, заранее предотвращать атаки на пользователей или клиентов. Для удобства пользователей все выявленные цифровые активы визуализируются с помощью графа сетевой инфраструктуры — еще одной перспективной разработки инженеров из Group-IB.

Чтобы и вам, и вашему клиенту было проще, мы сделали специальный раздел Issues, где можно не только отфильтровать все обнаруженные проблемы, но и получить подробную информацию о том, какие кибергруппировки используют данные уязвимости, как эти уязвимости эксплуатируются (с обозначением TTP по матрице MITRE ATT&CK) и — самое главное — какие мы даем рекомендации для устранения данных проблем.

Таким образом, мы не просто сообщаем клиенту, что у него на определенном домене не прописан DMARС, но и описываем подробный план действий для устранения проблемы, включая обучающие тренинги для персонала, где объясняют, почему нужно тщательно проверять отправителя письма:

В этом же разделе можно вручную приоритизировать проблемы и обозначить их как уже решенные или ложноположительные.

Например, мы видим, что на определенном хосте находится jQuery версии 1.11.1 с незакрытой CVE-2017-16012 (уязвимости больше четырех лет, но оставим это на совести заказчика), а на другом хосте этот же jQuery имеет версию 1.12.1, где эта уязвимость устранена. Логичный вывод: чтобы закрыть данную проблему, нужно просто обновить jQuery до новой версии.

Мы не утверждаем, что в этих формах стоят стандартные несложные пароли, но давайте будем откровенными: множество ваших заказчиков не могут следить за парольной политикой каждого сотрудника. Если админ создал домен по просьбе маркетологов под акцию в 2018 году и, чтобы они не забивали себе голову сложными паролями, установил пару admin/admin, то провести атаку brute force, механически подобрав пару логин-пароль, будет очень просто. А получив доступ к одному из активов компании-жертвы, атаку можно развивать дальше.

Благодаря перечисленным возможностям Attack Surface Management позволяет точно оценить защищенность компании и будет полезен специалистам по информационной безопасности, и системным администраторам и MSSP-провайдерам. А что самое интересное —информация, содержащаяся в Attack Surface Management, пригодится и руководителям компании, далеким от информационной безопасности и IT.

На простом и понятном дашборде со скорингом можно увидеть объективную ситуацию в режиме реального времени — вне зависимости от того, насколько уверенно IT-директор говорит, что все в порядке. А рекомендации по устранению проблем позволят максимально быстро улучшить защиту.