Red teamingu juhtumiuuring: varjatud riskide väljatoomine
·Kas meie organisatsioon vajab red teamingut?
Kujuta ette tuhandete töötajatega suurettevõtet, mis investeerib regulaarselt turvalisusse. Ometi jäi õhku küsimus: mis juhtub, kui sihikindel ja hästi organiseeritud ründaja võtab sihikule just meid? Kaheksa nädala jooksul simuleeris meie red team tegelikku rünnakut ilma kitsaste piiranguteta. Viisime oma domeeni kaudu läbi andmepüügikampaania (tulemus: 260 kehtivat kontot), hiilisime OSINTi abil turvakontrollidest mööda, kasutasime ettekäänet, kloonisime kaarte ja paigaldasime võõrseadme ning kuritarvitasime lõpuks domeeni väärseadistatud sertifitseerimiskeskust (CA), et saada domeeniadministraatori õigused. Test tõi välja kriitilised inimlikud, tehnilised ja füüsilised nõrkused – ja näitas, et ainult terviklik red teaming toob varjatud riskid päevavalgele.
Mis on red teaming?
Red teaming hindab organisatsiooni turvaseisundit tervikuna – digitaalsest perimeetrist inimeste käitumiseni. See simuleerib, kuidas toimiks motiveeritud ründaja või APT-rühmitus, kui sinu ettevõte satub sihikule ilma aja- ja ressursipiiranguteta.
Kuidas Haxoris selliseid teste läbi viib?
Investeerime palju planeerimisse ja läbiviimisse ning lähtume red teamingu metoodikatest: nõrkuste tuvastamine, riskihindamine ja olemasolevate meetmete tõhususe kontroll. Hindamise jaotame mitmeks omavahel seotud faasiks:
- Teabe kogumine avalikest allikatest (OSINT)
- Välistaristu testimine
- Sisevõrgu penetratsioonitestid (kaks stsenaariumi)
- Füüsiline ligipääs kliendi mitmes asukohas
- Sihitud andmepüügikampaania
Me häkkisime oma kliendi ära!
Sihitud red teaming algab VÄLISTESTIDEST – kõigest, mis on internetist kättesaadav. Kontrollisime veebirakendusi, VPN-lüüse, postiservereid ja muid teenuseid: aegunud tarkvara, väärseadistused, koodivead. Klient oli hästi valmis: ajakohased serverid, teadaolevaid CVE-sid ei olnud, tulemüürid korrektselt seadistatud ning IDS/IPS jälgis liiklust ilma nähtavate aukudeta. Ka Wi-Fi juures jäime hätta – ligipääs ainult kliendisertifikaadi ja mitmeastmelise autentimisega (MFA).
OSINT näitas oma jõudu, kui koondasime ettevõtte kohta võimalikult palju teavet: organisatsiooni struktuurid, nimekirjad, IP-aadressid, alamdomeenid, vihjed partnerlustele ja lepingutele. Kuigi vaid vähesed töötajad märkisid oma kuuluvuse LinkedInis, leidsime ettevõtte suurust arvestades piisavalt profiile. Ühendasime LinkedIni vanade lekkeandmetega ja valideerisime e-posti aadressid. Võtmehetk: tuvastasime ühe sisesüsteemi vea kaudu täpse e-posti vormingu (eesnimi.perekonnanimi@ettevote.com).
Üritasime ületada FÜÜSILIST PERIMEETRIT mitmes asukohas. Esimesel külastusel kaardistasime sissepääsud, hädaväljapääsud, turvateenistuse patrullimarsruudid ja kaamerate pimenurgad. Hoone ees seisnud tuleohutusinspektsiooni sõiduk andis ettekäände: pärast lühikest OSINTi esinesime „tulekustutite kontrollijatena“ – päris ettevõtte logoga vormiriided, töökäsk paberil – ja meid lasti sisse. Nii jõudsime kontrollimata nõupidamisruumi, leidsime teleri tagant peidetud RJ45-pesa, paigaldasime mõne minutiga oma 4G-võõrseadme, peitsime selle ära ja lahkusime hoonest märkamatult – järgmise faasi jaoks püsiv ja vaikne ligipääs sisevõrku.
Kuigi olime juba võrgus, vajasime kehtivaid domeeni juurdepääsuandmeid. Kontrollitud OSINT-e-postiaadresside põhjal käivitasime sihitud ANDMEPÜÜGIKAMPAANIA – mitte masskirjad, vaid isikustatud rünnakud sarnase domeeni kaudu. Võltsitud sisevõrgu sisselogimisleht (esitletud kui „uus preemiasüsteem“) kogus sisselogimisandmed; seejärel lõpetasime kampaania, et vältida avastamist. Uued domeeni juurdepääsuandmed avasid tee sügavamale sisevõrku ja sellele järgnenud õiguste laiendamiseni.
SISETESTID hõlmasid varastatud seadme jäljendamist ja sisevõrgu teste. Sertifitseerimiskeskusest leidsime haavatavuse ESC8: võimaluse taotleda sertifikaate suvalistele Active Directory teenustele – isegi domeenikontrollerile (DC). Kinnitasime seda Certipyga, sundisime Netexeci mooduliga Coerce_Plus domeenikontrollerit meie relee-serveri vastu autentima ja releesime saadud autentimise NTLMRelayX-i kaudu. Sertifitseerimiskeskus väljastas domeenikontrolleri sertifikaadi – sisuliselt saime domeeniadministraatori õigused. Domeeniadministraatori õigused tähendavad Active Directory täielikku kompromiteerimist – ligipääsu kõigile teenustele ja tundlikele andmetele.
Tulemused ja peamised järeldused
- KOMPROMITEERITUD SISSELOGIMISANDMED: sihitud andmepüük tõi 260 kehtivat kontot – nõrkused filtrites ja töötajate teadlikkuses.
- FÜÜSILINE LIGIPÄÄS SAAVUTATUD: „võltsinspektor“ läks vastuvõtust mööda, kloonis RFID-kaardid ja paigaldas võõrseadme – ligipääs sisevõrku.
- ÕIGUSTE LAIENDAMINE DOMEENIADMINISTRAATORIKS: sertifitseerimiskeskuse väärseadistus (ESC8) ära kasutatud → usaldusväärne sertifikaat → täielik administraatori kontroll, avastamata.
- TUVASTAMIST EI TOIMUNUD: perimeeter, IDS/IPS ja logimine ei registreerinud meie tegevust – selged nähtavuse lüngad.
Meie soovitused
- Tugevda füüsilist turvalisust ja külastajate protsesse: tõkked sabassörkimise vastu, järjekindel isikutuvastus ja külastajate kontroll.
- Auditeeri regulaarselt kõiki vektoreid: perimeeter, sisesüsteemid, välisteenused, sertifitseerimiskeskus ja võrgutaristu.
- Koolita töötajaid andmepüügi ja sotsiaalse manipuleerimise teemal: stsenaariumipõhised harjutused hoiavad valvsust üleval.
- Jälgi sisevõrgu seadmeid ja käitumist reaalajas: volitamata riistvara ja võrguanomaaliate kiire tuvastamine.
Red teaming on kolmest kontrollisügavusest kõige põhjalikum. Mille poolest see erineb penetratsioonitestist ja haavatavuste skaneerimisest – ja millal milline tase õige on – vaatame lähemalt eraldi artiklis.
Küberturvalisus ei ole ainult tehnoloogia – see on inimeste, protsesside ja tööriistade koostoime. Pidev testimine, õppimine ja vastupidavuse kasvatamine on hädavajalikud, sest ründajad otsivad alati kõige nõrgemat kohta. Tõeline turvalisus algab töötajate teadlikkusest ja tegudest.
