Евгений ГнединЧто такое точка проникновения
Точка проникновения — это объект в информационной инфраструктуре, несанкционированный доступ к которому или воздействие на который позволяют внешнему нарушителю получить доступ к внутренней IT-инфраструктуре.
Точкой проникновения может быть признан объект информационной инфраструктуры, отвечающий одному или нескольким критериям:
- одновременное наличие на одном узле сетевых интерфейсов для доступа к интернету (внешний IP-адрес) и к внутренней сети (внутренний IP-адрес);
- наличие сетевых служб, доступных из внешней сети;
- возможность подключаться с компьютера или сервера к интернету, в том числе через NAT (например, посещать сайты, использовать электронную почту);
- наличие настроенного канала удаленного подключения к компоненту IT-инфраструктуры или сетевому сегменту из внешней сети;
- наличие функциональности беспроводной точки доступа, подключенной к локальной сети;
- доступность внешнему нарушителю сетевой розетки, имеющей сетевую связность с корпоративной сетью;
- доступность внешнему нарушителю интерфейса работы с устройством, которое имеет сетевую связность с корпоративной сетью.
Примеры возможных объектов IT-инфраструктуры, являющихся точками проникновения, приведены в таблице ниже (перечень не является полным).
К примеру, внешний злоумышленник может в результате эксплуатации уязвимостей в веб-приложении получить возможность выполнять команды ОС на сервере. Если на этом сервере есть интерфейс подключения к внутренней сети, нарушитель сможет развивать атаки на ресурсы внутренней IT-инфраструктуры организации. Есть и другие способы проникновения, например злоумышленник может подобрать пароль учетной записи для удаленного доступа к серверу или рабочей станции, атаковать клиентские устройства сотрудников в беспроводной сети.
В общем случае точки проникновения рассматриваются в контексте внешнего нарушителя, действующего из интернета и пытающегося проникнуть в локальную сеть организации. Но этот подход может быть масштабирован до уровня отдельных сетевых сегментов, когда внешний нарушитель действует из смежных сегментов сети и пытается проникнуть в конкретный сегмент, в котором расположены целевые системы. Таким образом, точки проникновения можно считать частным случаем ключевых систем и для них должен быть обеспечен соответствующий уровень защиты и мониторинга.
Зачем определять точки проникновения
Актуальный перечень точек проникновения позволяет:
- ограничить круг систем, требующих усиленной защиты от внешних атак;
- ограничить круг систем, вывод которых на внешний сетевой периметр необходимо запрещать или тщательно контролировать;
- защитить системы именно от тех воздействий, которые могут привести к проникновению в локальную сеть;
- проанализировать, до каких целевых систем сможет добраться нарушитель после компрометации соответствующей точки проникновения;
- спрогнозировать возможные векторы атаки нарушителя на целевые системы после проникновения и их сложность.
Кого привлечь для определения точек проникновения
Для определения точек проникновения рекомендуется привлекать:
- специалистов, ответственных за информационную безопасность;
- специалистов подразделения информационных технологий;
- собственных (при наличии) или внешних экспертов в области тестирования на проникновение.
Какая информация необходима для описания точек проникновения
Для каждой точки проникновения должны быть определены:
- IP-адрес и доменное имя (при наличии);
- способ ее компрометации, который позволит нарушителю осуществить проникновение во внутреннюю IT-инфраструктуру.
Одной точке проникновения может соответствовать несколько способов компрометации:
- подбор учетной записи;
- эксплуатация уязвимости или недостатка конфигурации;
- использование встроенных в систему функций для проведения атаки;
- повышение привилегий;
- изменение конфигурации;
- несанкционированное подключение стороннего оборудования;
- другие способы, соответствующие специфике конкретной точки проникновения.
Как определить точки проникновения
Исходными данными для определения точек проникновения являются:
- результаты инвентаризации информационных ресурсов;
- документация на сети и системы (включая схемы сетей);
- файлы конфигурации информационных ресурсов;
- результаты тестирования на проникновения и (или) анализа защищенности информационных систем;
- результаты внешнего инструментального сканирования ресурсов на сетевом периметре.
Основным источником информации служат результаты инвентаризации ресурсов на периметре сети. Если в организации не выстроен процесс инвентаризации и контроля появления устройств и сервисов на сетевом периметре, определение точек проникновения может оказаться непосильной задачей, а защититься от проникновения внешнего нарушителя станет практически невозможно.
Основные шаги по определению точек проникновения:
1. Проанализировать актуальные результаты инвентаризации информационных ресурсов на сетевом периметре:
А) Определить те узлы, на которых кроме внешнего сетевого адреса есть интерфейсы внутренних сетей (например, адреса форматов 192.168.ХХХ.ХХХ, 10.ХХХ.ХХХ.ХХХ). Эти узлы являются точками проникновения потенциального нарушителя, адреса таких узлов необходимо занести в перечень точек проникновения.
Б) Проанализировать сетевые службы, которые доступны для подключения внешнему нарушителю на таких узлах, и выписать небезопасные с точки зрения возможности их использования для проникновения:
- интерфейсы администрирования (например, SSH, Telnet);
- интерфейсы удаленного подключения (например, RDP, VPN, VNC);
- веб-приложения, включая веб-интерфейсы администрирования (например, HTTPS, HTTP);
- системы управления базами данных (например, PostgreSQL, Microsoft SQL, MySQL, Oracle);
- другие интерфейсы подключения по протоколам, которые считаются небезопасными для использования на сетевом периметре (например, SMB, LDAP, FTP).
В) Для этих сетевых служб оценить, как нарушитель может использовать их для проникновения, и выписать эти способы компрометации в привязке к узлу и соответствующей службе. Добавить эту информацию в перечень.
2. Проанализировать актуальные результаты инвентаризации информационных ресурсов, обладающих функциональностью беспроводной точки доступа (такими устройствами могут быть не только беспроводные маршрутизаторы, но и принтеры, умные телевизоры и другие устройства, подключенные к внутренней сети):
А) Для этих устройств определить адреса и имена беспроводных сетей (ESSID или BSSID), записать их в перечень точек проникновения.
Б) Проанализировать возможные способы проникновения через беспроводные сети с учетом специфики точек доступа. Добавить эту информацию в перечень.
3. Проанализировать актуальные результаты инвентаризации выделенных каналов подключения из внешних сетей в сеть организации (такими каналами могут быть VPN-подключения из сетей подрядчиков, каналы удаленного подключения с удаленных рабочих мест сотрудников):
А) Добавить адреса сетей, компьютеров, серверов, шлюзов и другого сетевого оборудования, для которых настроены такие каналы, в перечень точек проникновения.
Б) Оценить, как нарушитель может использовать эти точки для проникновения, и выписать эти способы компрометации в привязке к узлу или сети. Добавить эту информацию в перечень.
Гостевые и другие беспроводные сети, отделенные от локальной вычислительной сети, могут не учитываться в перечне. Однако рекомендуется проверить реальную сегментацию сетей не только на уровне файлов конфигурации, но и в рамках тестирований на проникновение через беспроводные сети. На практике могут существовать уязвимости и недостатки защиты, позволяющие внешнему злоумышленнику провести успешную атаку.
4. Проанализировать актуальные результаты инвентаризации устройств самообслуживания, расположенных в общедоступных помещениях организации:
А) Устройства самообслуживания (например, системы электронной очереди, терминал самообслуживания), которые имеют сетевое подключение к одному из сегментов сети организации, являются точками проникновения нарушителя. Их IP-адреса и доменные имена необходимо добавить в перечень. При этом важно не исключать устройства, которые подключены к сегментам сети, отделенным от корпоративного сегмента. Исключать из перечня такие устройства рекомендуется только после практической проверки эффективности фильтрации трафика между сегментами сетей в рамках тестирования на проникновение через устройства самообслуживания.
Б) Оценить, как нарушитель может использовать эти устройства для проникновения, и выписать эти способы компрометации в привязке к устройству. Добавить эту информацию в перечень.
5. Проанализировать актуальные результаты инвентаризации сетевых розеток, расположенных в общедоступных помещениях организации:
А) Розетки, которые имеют сетевую связность с корпоративной сетью организации и расположены в общедоступных помещениях, являются точками проникновения. Их идентификаторы необходимо добавить в перечень. При этом важно не исключать розетки, которые обеспечивают подключение к сегментам сети, отделенным от корпоративного сегмента. Исключать из перечня такие розетки рекомендуется только после практической проверки эффективности фильтрации трафика между сегментами сетей в рамках тестирования на проникновение через сетевые розетки в общедоступных помещениях организации.
Б) Оценить, как нарушитель может использовать активные сетевые розетки для проникновения, и выписать эти способы компрометации. Добавить эту информацию в перечень
6. Проанализировать актуальные результаты инвентаризации рабочих мест сотрудников, включая ноутбуки:
А) Те устройства, которые подключены или периодически подключаются к корпоративной сети и с которых есть выход в интернет, являются точками проникновения, их IP-адреса и доменные имена необходимо добавить в перечень.
Б) Оценить, как нарушитель может использовать эти узлы для проникновения, и выписать эти способы компрометации в привязке к узлу. Добавить эту информацию в перечень.
Как убедиться, что точки проникновения определены правильно
Для практической проверки полноты и качества проработки перечня точек проникновения может быть проведено внешнее тестирование на проникновение в IT-инфраструктуру организации. Важно, чтобы такие работы проводились регулярно (не реже одного раза в год), так как IT-инфраструктура организации постоянно меняется, на сетевой периметр могут выводиться новые сервисы, в том числе тестовые, отключаться старые. Для того чтобы регулярно получать детальную и актуальную информацию о состоянии защищенности сетевого периметра, можно использовать сервисы по контролю защищенности, в рамках которых внешняя независимая специализированная организация реализует сканирование доступных из интернета сетевых служб на периметре сети организации с поиском уязвимостей. По договоренности с владельцем IT-инфраструктуры такие сканирования могут проводиться с заданной частотой (к примеру, ежеквартально или ежемесячно). При наличии соответствующих компетенций и сканнеров безопасности подобные сканирования могут осуществляться самостоятельно представителями IT-подразделения или отделом ИБ. Результаты практической проверки должны стать источником информации для актуализации перечня точек проникновения.
Как использовать перечень точек проникновения
Актуальный перечень точек проникновения позволяет не только определить системы, требующие особого уровня контроля и защиты, но и понять, от каких именно методов атак их необходимо защитить в первую очередь. Определив точки и соответствующие способы проникновения, вы получаете возможность обеспечить более эффективную защиту с меньшим объемом затраченных ресурсов. Усиленная защита и мониторинг событий безопасности для систем из перечня позволят сделать проникновение более сложным для злоумышленника и повысят вероятность его обнаружения на ранних этапах атаки. Само наличие перечня и процесс его регулярной актуализации дают возможность оперативно отследить появление на сетевом периметре тех систем, которые не должны быть доступны из внешней сети, оперативно принять меры по их отключению или дополнительной фильтрации трафика.
Контроль защищенности точек проникновения должен быть основан на понимании используемого ПО и других компонентов информационных систем, доступных внешнему злоумышленнику. Актуальный перечень точек проникновения позволяет оперативно определить, какие из них могут быть уязвимы в случае появления информации о ранее неизвестных уязвимостях в ПО (уязвимостях нулевого дня). Для критически опасных уязвимостей нулевого дня в точках проникновения должен быть построен отдельных процесс их устранения с максимально строгими требованиями по скорости установки патчей и применения дополнительных мер защиты. Если в точке проникновения есть уязвимость нулевого дня или уже известная ранее уязвимость с высокой или критически опасной степенью риска, она должна устраняться в течение 12 часов с момента получения информации о ней, но не позднее выхода в публичном поле PoC-кода для ее эксплуатации. Эти временные рамки необходимо выдерживать даже в выходные или праздничные дни и нерабочее время.