PT: В 60% компаний пентест оказался «успешным»

Эксперты Positive Technologies проанализировали результаты пилотных проектов по автоматизированному тестированию на проникновение с помощью PT Dephaze. В 60% компаний удалось захватить отдельный компьютер или сервер, получить доступ к важным приложениям и данным или взять под контроль Active Directory — службу, через которую управляют пользователями и их правами во всей организации.

В половине случаев на это хватало 13 минут. Почти у всех предприятий в корпоративной сети нашлись как минимум логины пользователей, а в 77% проверок — пароли в открытом виде. Ошибки в настройках встречались более чем в два раза чаще уязвимостей.

Временные показатели приведены по медиане, чтобы отдельные запуски, продолжавшиеся неделями, не искажали общую картину. Чаще всего (в 52% эпизодов) удавалось захватить компьютер или сервер — на это уходило 39 минут. Доступ к важным приложениям и данным получали реже, в 37% организаций, зато быстрее всего — за 17 минут. Active Directory взяли под контроль в 29% компаний — на это требовалось 77 минут.

В 65% случаев, когда пентестеры могли достичь хотя бы одной из этих целей, это происходило в первый же час, в 89% — в первые сутки. В финорганизациях первый результат появлялся за четыре минуты, в ИТ-компаниях — за восемь, в промышленности — за 11, а самые короткие сценарии заняли от одной до четырёх минут. При ручной проверке или реальной атаке скорость может быть другой: она зависит от исходного доступа, знания инфраструктуры, арсенала и других факторов.

Основным инструментом продвижения по корпоративной сети стали учётные данные. Логины, а нередко и пароли, нашлись у 96% предприятий. Первые такие сведения появлялись уже через две минуты после начала проверки, а через шесть минут подтверждалось, что найденные данные работают. Подошли они в половине случаев, а в 12% хватило заводских или широко известных комбинаций. Из запусков тестирования, в рамках которых удалось достичь важных корпоративных систем, 56% строилось на подходящих логинах и паролях, 35% — на перенаправлении чужой попытки входа в другую систему и лишь 6% — на уязвимостях. Каждый захваченный компьютер мог стать источником новых паролей и ключей: в 22% проверок их удалось извлечь из памяти и системных хранилищ Windows.

Недостатки конфигурации, например, небезопасные настройки Windows и Active Directory или слабые пароли, встречались в 84% запусков, уязвимости — в 38%. Кроме того, в сетях до сих пор присутствуют и давно известные бреши: одна из них, обнаруженная в 2021 году, использовалась в 21% проверок; другая, исправление для которой вышло ещё в 2017 году, — в 14%.

«Если злоумышленник нашёл короткий путь к важным системам компании, атака может развиться очень быстро, и сторона защиты рискует не успеть её остановить. При этом инфраструктура постоянно меняется: появляются новые серверы и пользователи, меняются права и настройки, а вместе с ними могут возникать и новые слабые места. Разовая проверка показывает картину на конкретный день, поэтому оценивать защищённость стоит регулярно, после каждого существенного изменения», — отмечает Анна Вяткина, аналитик Positive Technologies.

Эксперты PT рекомендуют начинать с недостатков, на которых держится сразу несколько путей атаки: аккаунтов с широкими правами, подходящих к нескольким системам, небезопасного хранения паролей и ключей, возможности перенаправить чужую попытку входа, а также лишних связей между сегментами сети. В первую очередь стоит закрывать то, что приближает хакера к ключевым ресурсам предприятия, а не только то, что формально оценено как опасное. Убедиться, что принятые меры сработали, поможет повторная автоматизированная проверка, а сложные и нестандартные сценарии по-прежнему требуют работы специалистов по анализу защищённости.