20 октября 2014
Критические инфраструктуры. Уязвимости корпоративных инфосистем: опасность растет быстрее, чем защита
Евгений Гнедин, Евгения Поцелуевская,
Positive Technologies, ptsecurity.ru/lab/analytics/
В 2013 году уровень защищенности информационных систем многих крупных компаний понизился — как в отношении атак снаружи, так и в отношении внутренних угроз. Значительное число успешных атак может провести злоумышленник низкой квалификации, и для этого ему требуется эксплуатировать меньше уязвимостей, чем в прошлые два года. Одна из главных причин роста угроз: в несколько раз возросла доля систем, где средства защиты не обновляются своевременно. При этом наблюдаемые положительные тенденции (использование шифрования и антивирусов, повышение уровня бдительности сотрудников и др.) не могут переломить ситуацию в сторону улучшения безопасности в целом.
Такие выводы содержатся в исследовании компании Positive Technologies на основе тестов на проникновение, проводившихся в 2013 году, и сравнения полученных данных с результатами аналогичного исследования за 2011—2012 гг. В рамках тестирования моделируется поведение потенциального нарушителя, действующего как со стороны интернета, так и из внутренней сети организации. Этот подход позволяет оценить реальный уровень безопасности системы и выявить недостатки механизмов защиты, в том числе те, которые могут остаться незамеченными при проведении аудита другими методами.
Исходные данные
Для исследования были выбраны 14 систем крупных государственных и коммерческих компаний, как российских, так и зарубежных. Наибольшее количество проектов относились к сфере промышленности. Был исследован ряд территориально распределенных систем (36%), насчитывающих множество филиалов в разных городах и странах.
В 2013 году целью тестирования на проникновение часто становились сети автоматизированных систем управления технологическими процессами (АСУ ТП) — в связи с их высокой значимостью и участившимися атаками на них.
Общие результаты
В 2013 году 86% систем оказались подвержены уязвимостям, позволяющим получить полный контроль над критически важными ресурсами (Active Directory, ERP-системами, системами электронной почты и управления сетевым оборудованием и др.). Половина рассмотренных систем позволила получить полный контроль над критическими ресурсами со стороны внешнего злоумышленника. Для каждой третьей системы (29%), чтобы получить контроль над такими ресурсами, достаточно иметь доступ к пользовательскому сегменту внутренней сети.
Лишь 7% систем в 2013 году не содержат критических уязвимостей, связанных с недостатками конфигурации. Этот показатель существенно хуже, чем :в 2011—2012 годах, когда четверть рассмотренных систем не содержала критических недостатков конфигурации.
Более половины (57%) систем, исследованных в 2013 году, содержали критические уязвимости, связанные с использованием устаревших версий ПО и ОС, что хуже результатов предыдущих лет, когда таких систем было 45%. Средний возраст наиболее устаревших неустановленных обновлений составляет 32 месяца. В одной из систем была выявлена уязвимость 9-летней давности (2004 год), которая позволяла осуществлять атаку, направленную на отказ в обслуживании Windows (CVE-2004-0790).
Минимальный уровень прав нарушителя, необходимый для получения полного контроля над критическими ресурсами
Доля систем по максимальному риску уязвимостей, связанных с отсутствием обновлений
Отрасли применения исследованных систем
Недостатки защиты сетевого периметра
В 2013 году внешний нарушитель, действующий со стороны сети Интернет, способен получить доступ к узлам внутренней сети 91% систем (в 2011—2012 годах это было возможно в 74% систем). При этом в 55% случаев злоумышленник может развить атаку и получить полный контроль над всей инфраструктурой компании.
В среднем для преодоления периметра внешнему атакующему требуется теперь использовать лишь две уязвимости (в предыдущие годы требовалось три шага). Для проведения атаки в 82% случаев достаточно иметь среднюю или низкую квалификацию.
В 40% случаев вектор проникновения во внутреннюю сеть основывается на слабости парольной защиты. Так же как и в предыдущие два года, данная уязвимость является самой распространенной, она была обнаружена на сетевом периметре 82% исследованных систем, причем в каждой из этих систем словарные пароли присутствовали, среди прочего, и в веб-приложениях. В 67% компаний словарные пароли использовались для привилегированных учетных записей.
Широко распространены уязвимости, связанные с доступностью интерфейсов управления серверами и сетевым оборудованием из внешних сетей (SSH, Telnet, RDP, веб-интерфейсы). Кроме того, в 2013 году существенно возросла доля уязвимостей, связанных с отсутствием актуальных обновлений средств безопасности на узлах сетевого периметра (с 10 до 64%).
В каждой третьей системе доступ во внутреннюю сеть осуществляется через уязвимости веб-приложений. Так, уязвимости типа «Загрузка произвольных файлов» и «Внедрение операторов SQL» встречаются в 55% систем. В целом уязвимости веб-приложений были обнаружены в 93% систем.
Сложность преодоления периметра (квалификация атакующего)
Недостатки защиты внутренней сети
Уровень защищенности внутренних сетей тоже понизился по сравнению с 2011-2012 гг. Если раньше получение максимальных привилегий для контроля критически важных ресурсов из внутренней сети было возможно в 84% случаев, то в 2013 году это оказалось возможным для всех исследованных систем (хотя в ряде случаев нарушителю требовалась высокая квалификация и эксплуатация неизвестных ранее уязвимостей). В 17% случаев внутренний атакующий должен обладать высокой квалификацией для получения доступа к критическим ресурсам, а в половине всех исследованных систем успешные атаки возможны со стороны любого неквалифицированного пользователя внутренней сети. В среднем при наличии доступа во внутреннюю сеть для контроля над критическими ресурсами злоумышленнику требуется эксплуатация пяти уязвимостей (вместо 7 шагов в прошлые годы).
Сложность получения доступа к критическим ресурсам со стороны внутреннего нарушителя
В 2013 году наиболее распространены оказались уязвимости внутренних сетей, связанные с использованием словарных паролей (92%). В половине систем, где были выявлены слабые пароли, администраторы использовали цифровые пароли длиной менее 10 символов, самый распространенный — 123456, встречается в каждой третьей системе. Для сетевого оборудования в 36% исследованных систем используется пароль cisco.
Наряду со слабостью паролей распространены недостатки защиты служебных протоколов (DHCP, STP, ARP, CDP, DTP), а также хранение важной информации в открытом виде. По сравнению с предыдущими годами наиболее заметны изменения по следующим направлениям:
— недостатки защиты служебных протоколов, приводящие к перехвату и перенаправлению сетевого трафика, — снижение на 25% (с 92 до 67%);
— использование недостаточно защищенных протоколов передачи данных — снижение на 33% (с 75 до 42%);
— использование слабых алгоритмов шифрования — снижение на 25% (с 42 до 17%);
— недостаточная эффективность антивирусной защиты — рост на 35% (с 15 до 50%); интересно, что при этом уровень антивирусной защиты в 2013 году повысился (то есть, антивирус установлен и базы обновляются вовремя), однако антивирусные средства часто не обладают функцией самозащиты, либо эта функция оказывается незадействованной, а привилегированный пользователь может вообще отключить антивирус; все это снижает эффективность антивирусов.
Топ-10 распространенных уязвимостей на сетевом периметре (для каждой категории сверху указана доля систем в 2013 г., внизу в 2011—2012 гг.)
Распространенные уязвимости внутренней сети (для каждой категории сверху указана доля систем в 2013 г., внизу в 2011 —2012 гг.)
Недостатки осведомленности сотрудников
В рамках работ по тестированию на проникновение в 2013 году для ряда компаний проводились проверки осведомленности пользователей в вопросах информационной безопасности. Проверки представляли собой серии согласованных с заказчиком атак, эмулирующих реальную деятельность злоумышленников, и отслеживание реакции пользователей. Здесь мы представляем лишь результаты наиболее распространенного вида тестирования — рассылки по электронной почте сообщений с вложением в виде файла либо содержащих ссылку на внешний источник. Отслеживались факты перехода по предложенной ссылке, факты запуска исполняемого файла, приложенного к письму или ввода учетных данных при эмуляции фишинговой атаки, а также факты вступления в диалог с автором рассылок. Как правило, рассылка писем по электронной почте осуществлялась якобы от лица сотрудника организации.
Полученные результаты отражают тенденции к улучшению осведомленности пользователей систем в вопросах ИБ по сравнению с результатами 2011—2012 гг. В каждой третьей системе, в отношении которых были проведены данные работы, уровень осведомленности сотрудников оказался на приемлемом уровне. Такой же доле систем были присвоены уровни осведомленности «ниже среднего» и «низкий».
В 2013 году существенно снизилось количество переходов пользователей по предоставленной в письме ссылке (с 19 до 11%), а также значительно меньше было фактов ввода учетных данных и запуска приложенных к письму файлов (4% против 18% в предыдущие два года).
Однако количество пользователей, вступивших в диалог с потенциальным злоумышленником, осталось примерно на уровне предыдущих лет (3%). Подобные действия пользователей не могут напрямую привести к заражению рабочей станции вредоносным ПО или получению учетных данных, но в разговоре с сотрудником злоумышленник может получить дополнительную информацию о системе, которую сможет использовать при реализации атак.
Отношение числа событий к общему количеству отправленных сообщений
Опубликовано в «Positive research 2014 - Сборник исследований по практической безопасности», Positive Technologies, 2014
