Добре защитен периметър — и атака в ход

Предизвикателството

Производител искаше да оцени сигурността на малкия си интернет периметър, защитен с внимателно настроени защитни стени, и рисковете за потребителските си акаунти.

Как се разви

1. Картографирахме ограничен интернет периметър с добре настроени защитни стени.
2. Открихме публично достъпен шлюз за отдалечен достъп, който удостоверяваше потребители към AD, но работеше върху сървърна операционна система без поддръжка.
3. Потвърдихме, че NTLM отговорът на шлюза разкрива имената на вътрешния домейн и хостове.
4. Засякохме активна външна кампания за credential stuffing — опити за вход с изтекли идентификационни данни — срещу няколко акаунта за облачна поща.
5. Открихме пароли в изтекли набори от данни, но потвърдихме, че те вече са били сменени. Предадохме идентификаторите за проследяване от доставчика, за да бъдат съпоставени със записите в журналите.
6. Открихме услуга за обмен на файлове с партньори, която допускаше остарели слаби криптографски алгоритми и не изискваше взаимно TLS удостоверяване.

Въздействие

Един неактуализиран шлюз или повторно използвана парола можеше да даде на нападател начален достъп. По време на нашия тест вече течеше реална атака срещу компанията.

Резултат

Предадохме приоритизиран план: извеждане от употреба на шлюза без поддръжка, ограничаване на риска от credential stuffing, въвеждане на DMARC, взаимно TLS удостоверяване и съвременни криптографски алгоритми. Предоставихме и конкретни данни за разследване на атаката, която вече течеше.