Как организовать безопасный удаленный доступ для любого числа сотрудников?

�ак подготовить ИБ-департаменты компании к форс-мажорам? Какие решения помогут удаленно работать сотрудникам вне офиса? Можно ли гарантированно обезопасить предприятие от потери данных? Читайте электронную книгу о правилах обеспечения непрерывности бизнеса и смотрите вебинар о том, как организовать удаленную работу сотрудников. Посмотреть вебинар × Как защитить данные в ЦОДах от новых типов атак?

Компании повышают гибкость ключевых рабочих процессов с помощью гибридных инфраструктур. Колокация и облака хорошо влияют на оперативность бизнеса, но защищать ИТ-среды при таком подходе стало куда сложнее. Стратегия четырех из пяти предприятий в этом направлении - провальна, а простои из-за действий киберпреступников в двухлетний период оборачиваются средним ущербом в $67,2 млн.

По прогнозу IDC мировые доходы от инфраструктуры и услуг SD-WAN будут расти ежегодно более чем на 40% и достигнут $4,5 млрд к 2022 г. Но многие руководители сетевых подразделений до сих пор не вполне ясно представляют практическую пользу от этого подхода. Тем временем, без замены устаревшей инфраструктуры WAN в географически распределенных филиалах цифровизация просто невозможна.

Во всех секторах мировой экономики внедрение цифровых инноваций считается обязательным условием развития бизнеса. Но это вносит множество изменений в сетевые среды организаций. Из-за этого концепция защищаемого сетевого периметра постепенно устаревает. Поставщикам облачных услуг нужно разработать многоуровневую стратегию эшелонированной защиты.

Неизвестные киберзлоумышленники смогли получить доступ к внутренним сетям некоего федерального агентства США, установить в него бэкдоры и вывести данные, несмотря на многочисленные защитные меры.

Неназванное правительственное агентство в США стало жертвой массированной и сложносоставной кибератаки. Как сообщает Threatpost со ссылкой на Агентство по кибербезопасности и защите инфраструктуры США (CISA), злоумышленники смогли получить действующие реквизиты доступа к множественным аккаунтам сотрудников пострадавшего агентства в Microsoft Office 365. Их улов включал также и логины, и пароли доменных администраторов.

«Вначале злоумышленники подключились к аккаунту Microsoft Office 365 через протокол IP с адреса 91.219.236.166, затем просмотрели ряд страниц на сайте SharePoint и скачали некий файл. Также злоумышленники неоднократно подключались по протоколу TCP с IP-адреса 185.86.151.223 к VPN-серверу организации», — говорится в отчете CISA.

Каким образом хакеры смогли раздобыть действующие реквизиты доступа, расследование однозначного ответа не дало. Эксперты CISA, однако, предполагают, что те могли воспользоваться незакрытой уязвимостью в VPN-сервере организации — CVE-2019-11510, известной также как PulseSecure. Эта уязвимость позволяет удаленно выкачивать любые файлы без авторизации. В CISA отметили многократные случаи эксплуатации этой уязвимости в правительственных сетях США.

Патч к уязвимости вышел еще в апреле 2019 г., однако ранее специалисты Министерства внутренней безопасности США отмечали, что еще до установки патчей злоумышленники активно компрометировали аккаунты Active Directory, так что даже те, кто устанавливал патчи, могли оставаться уязвимыми.

После целого ряда технических манипуляций — инвентаризации скомпрометированных систем и их сетевого окружения и т. д. — злоумышленники установили вредоносную программу под названием inetinfo.exe и смонтировали локально удаленный ресурс, который «позволил злоумышленнику свободного передвигаться в ходе своих операций, оставляя минимальное количество артефактов для последующего расследования», говорится в отчете CISA.

Загруженный вредонос в дальнейшем оказался многоэтапным дроппером для других вредоносных компонентов, работающим по сложнейшей схеме, что в конечном счете помогло обойти антивирусную защиту на атакованных устройствах.

В дальнейшем злоумышленники установили дополнительные бэкдоры, в частности, обратный прокси-сервер SOCKS, коммуникации с которого производились через специально открытый для этого порт 8100, и развернули локальный аккаунт, использовавшийся для сбора и вывода файлов, которые интересовали хакеров.

Разработанная CISA система обнаружения вторжений, использовавшаяся в сетях агентства, в итоге все-таки среагировала на вредоносную активность, что и стало поводом для расследования. Однако установить точное время атаки не удалось.

«Очевидно, что неуязвимых организаций нет, и если киберзлоумышленники поставили себе цель проникнуть в ее сети, рано или поздно у них получится. Вопрос в том, насколько это просто будет сделать и насколько угрожающими будут последствия, — говорит Алексей Водясов, технический директор компании SEC Consult Services. — В данном случае явно работали профессионалы с высоким уровнем подготовки и мотивации, вдобавок им очень помогли обстоятельства, в частности, упомянутая уязвимость и, видимо, не идеально выполняющая свои функции система обнаружения вторжений. Теперь пострадавшему агентству, видимо, придется перестраивать свою систему защиты, как и CISA — совершенствовать свои разработки, чтобы дополнительно затруднить кибератаки».