Проникнуть во внутреннюю сеть российских банков можно в среднем за пять дней. К такому выводу пришли эксперты Positive Technologies, проанализировавшие защищенность инфраструктуры финансовых организаций от кибератак, передает ТАСС.
Из восьми протестированных на внешние атаки финансовых организаций в сеть семи удалось проникнуть из Интернета.
Для формирования публичного отчета экспертами Positive Technologies были проведены внутренние тестирования десяти компаний кредитно-финансового сектора и внешние — для восьми. Отмечается, что тестирование выполнялось для организаций, в которых заказчики работ не вводили существенных ограничений на перечень тестируемых сетей и систем. По результатам эксперты выявили, что внешний злоумышленник может проникнуть из Интернета в локальную сеть семи из восьми протестированных компаний. Общий уровень защищенности сетевого периметра шести финансовых организаций был оценен как крайне низкий. В среднем для проникновения во внутреннюю сеть банка злоумышленникам требуется пять дней, также пояснили в Positive Technologies.
Во всех десяти организациях, где проводился внутренний пентест (тестирование на проникновение. — Прим. ТАСС), удалось получить максимальные привилегии в корпоративной инфраструктуре. Причем в семи проектах полный контроль был получен в результате продолжения успешной внешней атаки из Интернета. В трех проектах стояла дополнительная цель — продемонстрировать возможность хищения денежных средств банка потенциальным злоумышленником, и во всех трех проектах удалось продемонстрировать такую возможность.
«Использование на сетевом периметре устаревших версий программного обеспечения остается серьезной проблемой: хотя бы одна атака, выполнявшаяся в рамках пентеста с использованием известного общедоступного эксплойта (программа, применяемая для проведения атаки на ПО. — Прим. ТАСС), оказывалась успешной в каждом втором банке», — отмечается в исследовании.
После того как потенциальный атакующий уже получил доступ в сеть, для дальнейшего захвата и полного контроля над инфраструктурой ему потребуется в среднем два дня, указали эксперты. Общий уровень защиты финансовых компаний от атак такого типа оценивается экспертами как «крайне низкий». В частности, в восьми из десяти банков системы антивирусной защиты, установленные на рабочих станциях и серверах, не препятствовали, например, запуску специализированных утилит, используемых для получения из памяти учетных записей. Также встречались уязвимости, позволяющие получить полный контроль над операционной системой Windows. Также во всех организациях, где проводился внутренний пентест, удалось получить максимальные привилегии в корпоративной инфраструктуре.
В компании также добавили, что, помимо уязвимостей ПО, не меньший интерес для злоумышленников представляют и простые пароли пользователей. «Подавляющее большинство успешно подобранных в ходе пентестов паролей были составлены предсказуемым образом… К примеру, в одном из банков было подобрано более 500 учетных записей с паролем qwerty123 для доменных учетных записей», — отметили эксперты.
«Результатом пентеста в одном из случаев и вовсе стало выявление следов более ранних взломов. То есть банк не только был успешно атакован реальным злоумышленником, но и не смог своевременно выявить такое нападение, — рассказал руководитель отдела аналитики информационной безопасности Евгений Гнедин. — Учитывая такие факты, а также общий невысокий уровень защищенности, мы рекомендуем регулярно проводить тестирование на проникновение и тренинги сотрудников информационной безопасности. Это позволит обнаруживать и своевременно устранять потенциальные векторы атак на критически важные ресурсы, а также отработать действия служб информационной безопасности в случае выявления реальной кибератаки, повысить эффективность используемых средств защиты и мониторинга».
Из восьми протестированных на внешние атаки финансовых организаций в сеть семи удалось проникнуть из Интернета.
Для формирования публичного отчета экспертами Positive Technologies были проведены внутренние тестирования десяти компаний кредитно-финансового сектора и внешние — для восьми. Отмечается, что тестирование выполнялось для организаций, в которых заказчики работ не вводили существенных ограничений на перечень тестируемых сетей и систем. По результатам эксперты выявили, что внешний злоумышленник может проникнуть из Интернета в локальную сеть семи из восьми протестированных компаний. Общий уровень защищенности сетевого периметра шести финансовых организаций был оценен как крайне низкий. В среднем для проникновения во внутреннюю сеть банка злоумышленникам требуется пять дней, также пояснили в Positive Technologies.
Во всех десяти организациях, где проводился внутренний пентест (тестирование на проникновение. — Прим. ТАСС), удалось получить максимальные привилегии в корпоративной инфраструктуре. Причем в семи проектах полный контроль был получен в результате продолжения успешной внешней атаки из Интернета. В трех проектах стояла дополнительная цель — продемонстрировать возможность хищения денежных средств банка потенциальным злоумышленником, и во всех трех проектах удалось продемонстрировать такую возможность.
«Использование на сетевом периметре устаревших версий программного обеспечения остается серьезной проблемой: хотя бы одна атака, выполнявшаяся в рамках пентеста с использованием известного общедоступного эксплойта (программа, применяемая для проведения атаки на ПО. — Прим. ТАСС), оказывалась успешной в каждом втором банке», — отмечается в исследовании.
После того как потенциальный атакующий уже получил доступ в сеть, для дальнейшего захвата и полного контроля над инфраструктурой ему потребуется в среднем два дня, указали эксперты. Общий уровень защиты финансовых компаний от атак такого типа оценивается экспертами как «крайне низкий». В частности, в восьми из десяти банков системы антивирусной защиты, установленные на рабочих станциях и серверах, не препятствовали, например, запуску специализированных утилит, используемых для получения из памяти учетных записей. Также встречались уязвимости, позволяющие получить полный контроль над операционной системой Windows. Также во всех организациях, где проводился внутренний пентест, удалось получить максимальные привилегии в корпоративной инфраструктуре.
В компании также добавили, что, помимо уязвимостей ПО, не меньший интерес для злоумышленников представляют и простые пароли пользователей. «Подавляющее большинство успешно подобранных в ходе пентестов паролей были составлены предсказуемым образом… К примеру, в одном из банков было подобрано более 500 учетных записей с паролем qwerty123 для доменных учетных записей», — отметили эксперты.
«Результатом пентеста в одном из случаев и вовсе стало выявление следов более ранних взломов. То есть банк не только был успешно атакован реальным злоумышленником, но и не смог своевременно выявить такое нападение, — рассказал руководитель отдела аналитики информационной безопасности Евгений Гнедин. — Учитывая такие факты, а также общий невысокий уровень защищенности, мы рекомендуем регулярно проводить тестирование на проникновение и тренинги сотрудников информационной безопасности. Это позволит обнаруживать и своевременно устранять потенциальные векторы атак на критически важные ресурсы, а также отработать действия служб информационной безопасности в случае выявления реальной кибератаки, повысить эффективность используемых средств защиты и мониторинга».
