Μπορεί μια αδυναμία σε μια εφαρμογή, μια παράκαμψη στη διαχείριση επισκεπτών ή μια απροστάτευτη δικτυακή σύνδεση να ανοίξει τον δρόμο προς τις κρίσιμες υποδομές ενός οργανισμού;
Σωκράτης Κελέσογλου
SOC Manager | Red Team Leader, Space Hellas
www.space.gr
Σε μια άσκηση Red Team εξετάζουμε πώς τέτοιες αδυναμίες μπορούν να συνδυαστούν σε μια διαδρομή επίθεσης. Κάθε βήμα δημιουργεί νέες δυνατότητες. Το ζητούμενο είναι να δούμε μέχρι πού οδηγούν.
Σε πρόσφατη άσκηση σε μεγάλο οργανισμό της επιβατηγού ναυτιλίας, οι στόχοι ήταν δύο: η απόκτηση δικαιωμάτων Domain Administrator και η μη εξουσιοδοτημένη πρόσβαση στο computer room. Για να τους προσεγγίσουμε, δοκιμάσαμε ανθρώπους, διαδικασίες, τεχνολογία και φυσική ασφάλεια.
Κανένας στόχος δεν επιτεύχθηκε. Η ομάδα, ωστόσο, απέκτησε ενδιάμεσες προσβάσεις και εντόπισε αδυναμίες που χρειάζονταν αντιμετώπιση. Για να αξιολογήσουμε σωστά το αποτέλεσμα, έπρεπε να εξετάσουμε και τις δύο πλευρές.
Μέσα στο κτίριο, έξω από τον στόχο
Ένα συντονισμένο σενάριο κοινωνικής μηχανικής επέτρεψε σε μέλος της ομάδας να εισέλθει χωρίς εξουσιοδότηση και να κινηθεί στο εσωτερικό του κτιρίου. Η προσοχή της φύλαξης είχε απασχοληθεί αλλού. Το παράθυρο που δημιουργήθηκε ήταν αρκετό.
Εκεί φάνηκε η αδυναμία ενός σημείου ελέγχου που εξαρτάται από τη διαθεσιμότητα ενός ανθρώπου. Όσο προσεκτικός και αν είναι, ένα άλλο συμβάν μπορεί να χρειαστεί την προσοχή του και να τον απομακρύνει από το σημείο εισόδου. Η διαδικασία χρειάζεται να προβλέπει τι συμβαίνει τότε.
Η παρουσία του εισβολέα τελικά προκάλεσε την αντίδραση εργαζομένου. Ακολούθησαν ενεργοποίηση συναγερμού και παρέμβαση της φύλαξης, πριν επιτευχθεί πρόσβαση στο computer room. Άλλες απόπειρες φυσικής εισόδου είχαν εμποδιστεί ή εντοπιστεί νωρίτερα.
Η μη εξουσιοδοτημένη είσοδος ήταν πραγματικό εύρημα όπως εξίσου πραγματική ήταν και η αντίδραση που σταμάτησε την προσπάθεια. Η προσοχή του προσωπικού και οι μηχανισμοί φυσικής ασφάλειας λειτούργησαν ως επόμενα εμπόδια, όταν ο αρχικός έλεγχος είχε ήδη παρακαμφθεί.
Μια σύνδεση δεν δίνει τα κλειδιά του domain
Στο εσωτερικό του οργανισμού, η ομάδα συνέδεσε μη διαχειριζόμενη συσκευή στο ενσύρματο δίκτυο και απέκτησε δικτυακή πρόσβαση. Εντόπισε επίσης αφύλακτο, ξεκλείδωτο σταθμό εργασίας και πέτυχε εισαγωγή πληκτρολογήσεων μέσω μη εξουσιοδοτημένης συσκευής USB HID, η οποία αναγνωρίζεται ως συσκευή εισόδου.
Αυτές οι δυνατότητες δίνουν στον επιτιθέμενο περιθώριο να εργαστεί: να συλλέξει πληροφορίες για το περιβάλλον, να αλληλεπιδράσει με ένα τερματικό και να αναζητήσει το επόμενο βήμα. Δείχνουν επίσης συγκεκριμένα κενά στον έλεγχο δικτυακής πρόσβασης, στο κλείδωμα συνεδριών και στην αποδοχή περιφερειακών.
Κατά την άσκηση δεν εντοπίστηκε εκμεταλλεύσιμη εσωτερική υπηρεσία, διαπιστευτήριο ή σχέση εμπιστοσύνης που να επέτρεπε κλιμάκωση σε Domain Administrator. Τα σημεία πρόσβασης που αποκτήθηκαν δεν οδήγησαν στην ολοκλήρωση της διαδρομής.
Αυτή είναι μια βασική απαίτηση από την αρχιτεκτονική ασφαλείας. Χρειάζεται να εξετάζει και το ενδεχόμενο κάποιος να έχει ήδη περάσει ένα αρχικό εμπόδιο. Τι θα βρει προσβάσιμο; Με ποια δικαιώματα; Ποιες επικοινωνίες θα μπορέσει να πραγματοποιήσει; Οι απαντήσεις καθορίζουν πόσο μπορεί να επεκταθεί μια παραβίαση.
Το ύποπτο USB έφτασε για ανάλυση
Σε άλλο σενάριο, ύποπτο USB που στάλθηκε στον οργανισμό δεν χρησιμοποιήθηκε επιτυχώς στο παραγωγικό τερματικό. Αναγνωρίστηκε ως ύποπτο και προωθήθηκε για ελεγχόμενη ανάλυση.
Το περιστατικό δείχνει τι περιμένουμε στην πράξη από την ενημέρωση του προσωπικού: αναγνώριση μιας ύποπτης κατάστασης και σωστό χειρισμό της. Ο εργαζόμενος χρειάζεται να ξέρει σε ποιον θα απευθυνθεί και η ομάδα που παραλαμβάνει το αντικείμενο να διαθέτει ασφαλή διαδικασία εξέτασης.
Στις δοκιμές phishing, η εικόνα ήταν λιγότερο ξεκάθαρη. Συγκεκριμένος μηχανισμός παράδοσης συνημμένου αποκλείστηκε από την υποδομή email. Σε άλλες προσπάθειες δεν καταγράφηκε αλληλεπίδραση χρηστών, χωρίς να μπορεί να επιβεβαιωθεί πλήρως η παράδοση.
Για την αποτίμηση, αυτή η διάκριση είναι απαραίτητη. Αν ένα μήνυμα αποκλείστηκε, αξιολογούμε την αποτελεσματικότητα του φίλτρου. Αν έφτασε και αναγνωρίστηκε ως ύποπτο, αξιολογούμε τη συμπεριφορά του χρήστη. Όταν δεν γνωρίζουμε τι συνέβη, χρειάζεται να το δηλώνουμε.
Τι μένει όταν τελειώσει η δοκιμή
Η εξωτερική αξιολόγηση ανέδειξε επίσης αδυναμίες εφαρμογών που επέτρεπαν πρόσβαση σε ευαίσθητες πληροφορίες και διαπιστευτήρια βάσεων δεδομένων. Δεν δημιουργήθηκε άμεση διαδρομή προς την υποδομή ταυτοτήτων. Η έκθεση των πληροφοριών, όμως, απαιτούσε αντιμετώπιση ανεξάρτητα από τους στόχους της άσκησης.
Το ίδιο ισχύει για τη φυσική είσοδο, τη σύνδεση στο δίκτυο και την πρόσβαση στον ξεκλείδωτο σταθμό εργασίας. Η προστασία του τελικού στόχου δεν μειώνει τη σημασία αυτών των ευρημάτων.
Η συνέχεια απαιτεί διορθώσεις με σαφή προτεραιότητα, υπεύθυνους υλοποίησης και επανέλεγχο. Χρειάζεται επίσης να διατηρηθούν τα μέτρα που λειτούργησαν. Μια εξαίρεση στη διαδικασία επισκεπτών ή μια αλλαγή ρύθμισης μπορεί να αποδυναμώσει έναν έλεγχο που σήμερα είναι αποτελεσματικός.
Η άσκηση επιβεβαίωσε την αξία της πολυεπίπεδης άμυνας μέσα σε συγκεκριμένο χρόνο και συμφωνημένους κανόνες. Ανέδειξε ταυτόχρονα ευκαιρίες πρόσβασης που πρέπει να περιοριστούν. Ένας πραγματικός επιτιθέμενος μπορεί να επιμείνει, να αλλάξει προσέγγιση ή να επανέλθει.
Αν η επόμενη απόπειρα ήταν πραγματική, με περισσότερο χρόνο και γνώση από την προηγούμενη, πού θα σταματούσε;
