Red Teaming atvejo analizė: kaip per aštuonias savaites priėjome iki domeno administratoriaus
·Svarbiausia trumpai
- Aštuonios savaitės, viena užduotis: viešųjų šaltinių žvalgyba, išorinio perimetro patikrinimas, tikslinė fišingo kampanija, fizinis patekimas į tris pastatus ir vidinio tinklo testavimas
- Iš interneto matoma dalis atlaikė: atnaujinti serveriai, teisingai sukonfigūruota ugniasienė, veikianti srauto stebėsena ir Wi-Fi su kliento sertifikatu bei daugiaveiksne autentifikacija
- Tikslinė fišingo kampanija davė 260 galiojančių paskyrų, nors nebuvo išsiųsta nė vieno masinio laiško
- Gesintuvų tikrintojo vaidmuo atvėrė duris į pasitarimų kambarį, kuriame prie vidinio tinklo buvo prijungtas mūsų įrenginys su 4G ryšiu
- Neteisingai sukonfigūruota sertifikavimo tarnyba (ESC8) atidavė domeno administratoriaus teises, o per aštuonias savaites nesuveikė nė vienas įspėjimas
- Lietuvoje Red Teaming nėra teisės akto pareiga: kibernetinio saugumo subjektams privalomos kitos trys – spragų skenavimas ne rečiau kaip kas 6 mėnesius, kasmetinis atitikties vertinimas ir auditas ne rečiau kaip kas 3 metus
Ar mums tikrai reikia Red Team operacijos?
Didelė įmonė, keli tūkstančiai darbuotojų, į saugumą investuojama ne pirmus metus. Klausimas buvo ne apie tai, ar klaidų apskritai esama. Klientas norėjo sužinoti kitką: kas nutiks, jei taikiniu jį sąmoningai pasirinks atkaklus ir gerai organizuotas užpuolikas. Būtent į šį klausimą atsako Red Team operacija.
Gavome aštuonias savaites ir labai nedaug apribojimų. Tikslinė fišingo kampanija iš klaidinamai panašaus domeno davė 260 galiojančių paskyrų. Viešųjų šaltinių žvalgyba sudėliojo į vieną vaizdą žmones ir sistemas. Į pastatą įėjome su paruošta legenda ir klonuota prieigos kortele, o pasitarimų kambaryje liko mūsų pačių įrenginys, prijungtas prie vidinio tinklo. Pabaigoje neteisingai sukonfigūruota domeno sertifikavimo tarnyba atidavė aukščiausias įmanomas teises. Žmonių, technikos ir fizinės prieigos sluoksniai nutrūko kiekvienas savoje vietoje, o nė vieno iš tų nutrūkimų nesimato tikrinant vieną siaurai apibrėžtą apimtį.
Kas yra Red Teaming?
Red Team operacija – tai visos organizacijos vertinimas: ir to, kas matoma iš interneto, ir to, kaip žmonės priima sprendimus. Atkartojama tai, ką darytų motyvuotas užpuolikas arba APT grupuotė, kurios neriboja nei laikas, nei biudžetas. Būtent todėl toks darbas iškelia klaidas, iki kurių vienos aplikacijos ar vieno tinklo segmento patikrinimas niekada nenueina.
Skirtumas nuo įsilaužimų testavimo glūdi ne technologijose, o klausimo lygyje. Įsilaužimų testas atsako, kur sistema pasiduoda. Red Teaming atsako, ar organizacija tai pastebi ir ką daro pirmosiomis valandomis. Kur baigiasi automatizuotas patikrinimas ir prasideda rankinis darbas, palyginome straipsnyje apie tai, kuo skiriasi pažeidžiamumų skenavimas ir įsilaužimų testavimas.
Kaip vyksta toks darbas
Pasirengimas užima tiek pat laiko, kiek pati ataka. Dirbama pagal pripažintas Red Team testavimo metodikas: ieškoma pažeidžiamumų, vertinama rizika ir tikrinama, ar nupirkta apsauga veikia ir praktikoje. Darbas buvo suskaidytas į penkis atskirus, bet tarpusavyje susijusius etapus:
- Viešųjų šaltinių žvalgyba (OSINT)
- Išorinės infrastruktūros testavimas
- Vidinio tinklo įsilaužimų testavimas pagal du scenarijus
- Fizinis patekimas į tris kliento pastatus
- Tikslinė fišingo kampanija didžiajai daliai darbuotojų
Kaip priėjome iki domeno administratoriaus
Tiksliniame darbe visada pradedama nuo IŠORINIO TESTAVIMO, taigi nuo visko, kas pasiekiama iš interneto. Kruopščiai peržiūrėjome web aplikacijas, VPN vartus, pašto serverius ir likusias paslaugas: ieškojome pasenusių komponentų, konfigūracijos klaidų ir klaidų kode. Šioje dalyje klientas buvo pasiruošęs gerai. Serveriuose buvo įdiegti visi pataisymai, o išnaudojamų žinomų CVE nebeliko. Ugniasienė sukonfigūruota teisingai, o IDS ir IPS sistemos srautą iš tikrųjų stebėjo. Nepavyko ir per Wi-Fi: prieigai reikėjo kliento sertifikato ir daugiaveiksnės autentifikacijos (MFA).
OSINT, arba viešųjų šaltinių žvalgyba, parodė, kiek daug sudėliojama nepaliečiant nė vienos kliento sistemos: organizacinė struktūra, darbuotojų vardai, IP adresai, subdomenai, žinios apie partnerystes ir sutartis. Šiame etape neišsiunčiama nė vieno paketo į kliento tinklą, todėl aptikti jį praktiškai neįmanoma. LinkedIn profiliuose darbovietę buvo nurodę nedaugelis, ir tai rodė, kad įmonė darbuotojus iš tikrųjų pratina prie diskretiškumo. Tokio dydžio organizacijoje to vis tiek pakako. LinkedIn duomenis sugretinome su senomis nutekintomis duomenų bazėmis ir patikrinome surinktus el. pašto adresus. Lūžio tašku tapo akimirka, kai vienos vidinės sistemos klaida atskleidė tikslų adresų formatą: vardas.pavarde@imone.lt. Kaip šis etapas atrodo šiandien, kai medžiagą padeda sudėlioti kalbos modeliai, aprašėme straipsnyje apie [OSINT ir DI](/lt/straipsniai/osint-ir-di-kaip-uzpuolikai-naudoja-viesa-informacija).
FIZINĮ PERIMETRĄ tikrinome keliuose adresuose. Pirmasis apsilankymas buvo tik žvalgyba: įėjimai, apsaugos darbuotojų judėjimo maršrutas ir laikai, kamerų aklosios zonos. Priešais pastatą stovėjo priešgaisrinės įrangos priežiūros įmonės automobilis – iš to ir gimė scenarijus. Po trumpo pasirengimo grįžome prisidengę gesintuvų tikrintojo vaidmeniu: darbo apranga, priežiūros įmonės logotipas, blankas su rašytiniu leidimu patikrinti gesintuvus ir patekti į pastatą. Legenda suveikė todėl, kad gesintuvų priežiūra – realus ir reguliariai pasikartojantis darbas, o tokio apsilankymo savaitės viduryje niekas nekvestionuoja. Vaidmuo pavyko tiek, kad mus be priežiūros paliko pasitarimų kambaryje. Už televizoriaus radome paslėptą RJ45 lizdą. Per kelias minutes prijungėme savo įrenginį su 4G mobiliuoju ryšiu, jį paslėpėme ir išėjome. Signalizacija nesuveikė, ir nuo tos akimirkos vidiniame tinkle turėjome nuolatinę bei nepastebimą prieigą.
Prieigą prie tinklo jau turėjome, tačiau galiojančios domeno paskyros – dar ne. Remdamiesi OSINT metu patikrintų adresų sąrašu, surengėme siaurą TIKSLINĘ FIŠINGO KAMPANIJĄ: jokių masinių siuntų, tik klaidinamai panašus domenas (typosquatting). Laiške buvo žadama nauja vidinė apdovanojimų sistema, o suklastotas vidinio portalo prisijungimo puslapis rinko slaptažodžius. Kampaniją nutraukėme iškart, vos medžiaga atsidūrė rankose, kad sumažintume aptikimo tikimybę. Šviežios domeno paskyros atvėrė kelią gilyn į tinklą ir į kitą etapą – teisių didinimą. Nepriekaištinga lietuvių kalba nebėra požymis, pagal kurį tokį laišką galima atskirti nuo tikro; apie tai plačiau straipsnyje apie [DI fišingą](/lt/straipsniai/kas-yra-di-fisingas-ir-kaip-ji-atpazinti).
VIDINĮ TESTAVIMĄ sudarė du scenarijai: pavogto įrenginio imitavimas ir vidinio tinklo patikrinimas. Kliento domeno sertifikavimo tarnyboje (Certificate Authority, CA) radome ESC8 pažeidžiamumą, leidusį užsisakyti bet kurį Active Directory sertifikatą, įskaitant domeno valdiklio (Domain Controller, DC) sertifikatą. Klaidą patvirtinome įrankiu Certipy, paskui Netexec moduliu Coerce_Plus privertėme domeno valdiklį autentifikuotis mūsų persiuntimo serveryje, o šią autentifikaciją perėmėme ir persiuntėme toliau naudodami NTLMRelayX. Sertifikavimo tarnyba išdavė domeno valdiklio sertifikatą, ir kartu su juo gavome domeno administratoriaus teises. Active Directory domene aukščiau kopti nebėra kur: tai visiškas infrastruktūros perėmimas su prieiga prie visų paslaugų ir jautrių duomenų. Ir gerai sudėliotą gynybą galima apeiti, jei užpuolikas taikosi tiksliai.
Rezultatai ir pagrindinės išvados
- Surinktos paskyros. Tikslinė fišingo kampanija davė 260 galiojančių naudotojų paskyrų. Silpnoji vieta buvo pašto filtravimas ir darbuotojų pasirengimas.
- Fizinė prieiga. Prie įėjimo mūsų žmogaus niekas nesustabdė, o prieigos kortelių klonavimas praėjo be klausimų. To pakako, kad į saugomą zoną patektų svetimas įrenginys.
- Teisių didinimas iki domeno viršaus. Neteisingai sukonfigūruota sertifikavimo tarnyba (ESC8) išdavė patikimą sertifikatą, ir tai davė visišką domeno kontrolę – nepastebėtai.
- Nė vieno įspėjimo. Nei perimetro apsauga, nei IDS ir IPS sistemos, nei įvykių žurnalų rinkimas nesignalizavo nieko. Šiame sąraše tai brangiausias radinys.
Ką apie tai sako Lietuvos teisė
Ketvirtasis radinys kainuoja daugiausia, ir ne tik saugumo prasme. Bet kokia pareiga pranešti apie incidentą prasideda ne nuo įsilaužimo, o nuo pastebėjimo: pranešti galima tik apie tai, kas pamatyta. Aštuonios savaitės svetimo buvimo tinkle be nė vieno įspėjimo šioje logikoje reiškia paprastą dalyką – pranešimo laikrodis apskritai nebūtų pradėjęs eiti. Ne todėl, kad incidento nebūtų buvę, o todėl, kad jo niekas nepastebėjo. Būtent šį atstumą tarp „mes turime žurnalus“ ir „mes pastebime“ Red Teaming išmatuoja tiesiau nei bet kuris kitas patikrinimas.
Pačių Red Team operacijų Lietuvos teisė nereikalauja. Nei Kibernetinio saugumo įstatymas, nei Kibernetinio saugumo reikalavimų aprašas, patvirtintas Vyriausybės nutarimu Nr. 945, atakos imitavimo kaip atskiros pareigos neįvardija. Neprivalomas Lietuvoje ir pats įsilaužimų testavimas, o testuotojams nenustatyta nei licencijavimo, nei registro tvarkos. Todėl pasiūlymas, kuriame Red Team operacija pristatoma kaip teisės akto reikalavimas, remiasi tuo, ko Lietuvos teisėje nėra.
Užtat teisė įvardija kitas, greta stovinčias pareigas, ir jos padeda suprasti, kur šis darbas įsiterpia. Aprašo 45.8 papunktis numato ne rečiau kaip kas 6 mėnesius atliekamą viso masto spragų skenavimą, 48.1 papunktis – kasmetinį atitikties vertinimą, kurį subjektas atlieka pats sau, o 48.3 papunktis kartu su Kibernetinio saugumo įstatymo 14 straipsnio 8 dalimi – ne rečiau kaip kas 3 metus atliekamą kibernetinio saugumo auditą. Nė viena iš šių trijų pareigų nėra nei įsilaužimų testas, nei Red Team operacija. Terminai taip pat skaičiuojami ne pagal vieną visai rinkai bendrą datą, o kiekvienam subjektui atskirai: 12 mėnesių organizaciniams ir 24 mėnesiai Apraše išvardytiems techniniams reikalavimams nuo tos dienos, kurią tas subjektas užregistruojamas Kibernetinio saugumo informacinėje sistemoje. Kurios pareigos kam taikomos, atsekėme straipsnyje apie tai, ar įsilaužimų testavimas privalomas. NIS2 direktyva Lietuvoje perkelta ne atskiru teisės aktu, o Kibernetinio saugumo įstatymą išdėstant nauja redakcija – įstatymu Nr. XIV-2902, kuris įsigaliojo 2024 m. spalio 18 d.
Yra ir viena nuostata, kuri tokį darbą, koks aprašytas šiame straipsnyje, paliečia tiesiogiai. Kibernetinio saugumo įstatymo 25 straipsnis nustato sąlygas, kuriomis pažeidžiamumų galima ieškoti be išankstinio sistemos valdytojo sutikimo: apie radinį pranešama Nacionaliniam kibernetinio saugumo centrui per 24 valandas, patvirtinus pažeidžiamumą veikla nutraukiama, slaptažodžiai nespėliojami, o viešinimas atidedamas. Tarp tų pačių sąlygų aiškiai įrašytas draudimas manipuliuoti darbuotojais. Vadinasi, nei fišingo kampanija, nei legenda prie registratūros į šį saugiklį nepatenka niekada – jos įmanomos tik pagal rašytinį užsakovo leidimą ir iš anksto sutartą apimtį. Todėl apimtis, adresai, kanalai, laiko langas ir išimtys užrašomi prieš pirmą laišką, o ne po jo.
Todėl eilės tvarka yra atvirkštinė, nei ją dažnai pateikia rinka. Red Teaming nėra teisės akto reikalavimas, bet būtent jis parodo, ar likusiems reikalavimams išleisti pinigai ką nors duoda.
Šis straipsnis – informacinė medžiaga, o ne teisinė konsultacija. Kurios pareigos taikomos konkrečiai organizacijai, priklauso nuo jos priskyrimo kibernetinio saugumo subjektų kategorijai, veiklos srities ir eksploatuojamų informacinių sistemų. Terminai skaičiuojami nuo kiekvieno subjekto registracijos Kibernetinio saugumo informacinėje sistemoje, todėl bendros visai rinkai datos nėra. Prieš įrašant konkrečius terminus į savo procedūras verta pasitikrinti aktualią teisės aktų redakciją Teisės aktų registre ir pasitarti su teisininku.
Mūsų rekomendacijos
- Fizinė sauga ir lankytojų tvarka. Užtvarai, neleidžiantys įeiti paskui kortelės turėtoją, nuosekli asmens patikra ir iš anksto užregistruotas bei palydimas lankytojas. Registratūra – toks pat prieigos taškas kaip ir prisijungimo puslapis.
- Reguliarus visų krypčių tikrinimas. Iš interneto matoma dalis, vidinė infrastruktūra, sertifikavimo tarnyba ir tinklo įranga, o ne vien tai, kas šiuo metu kuriama.
- Fišingo ir socialinės inžinerijos pratybos. Scenarijais paremti kibernetinio saugumo mokymai kelis kartus per metus, o ne viena prezentacija sausį. Socialinės inžinerijos testavimas parodo ir tai, kas vyksta po to, kai darbuotojas apie laišką vis dėlto praneša.
- Vidinių įrenginių ir srauto stebėsena realiu laiku. Tikslas paprastas: nežinomas įrenginys ir neįprastas tinklo elgesys matomi iškart, o ne po aštuonių savaičių.
Ataskaitoje prie kiekvieno radinio pridėjome atkartojimo žingsnius, poveikio aprašymą būtent šioje aplinkoje ir šalinimo eiliškumą. Po pataisymų radinius patikrinome dar kartą ir raštu užfiksavome, kurie uždaryti; būtent šis dokumentas pažeidžiamumų sąrašą paverčia atliktu darbu.
Kibernetinis saugumas nėra įrangos klausimas. Jį kartu sudaro žmonės, procesai ir įrankiai, o užpuolikas įeina ten, kur pasipriešinimas mažiausias. Todėl patikrinimą, išvadas ir taisymą verta kartoti. Red Team operacija iš viso to išmatuoja vieną dalyką, užtat tiksliai: per kiek laiko organizacija pastebi, kad kažkas jau yra viduje. Jei praverstų antras žvilgsnis į tai, ką pastebi jūsų gynyba, užsisakykite nemokamą konsultaciją.
HAXORIS – Slovakijoje registruota įmonė, Lietuvoje neturinti nei biuro, nei atstovybės. Kibernetinio saugumo įstatymo 14 straipsnio 8 dalyje numatyto kibernetinio saugumo audito neatliekame – jį atlieka nepriklausomi sertifikuoti auditoriai – ir atitikties nesertifikuojame. Siūlome techninį saugumo testavimą ir pasirengimo vertinimą.
Red Teaming – dažniausiai užduodami klausimai
01Kuo Red Teaming skiriasi nuo įsilaužimų testavimo?
Įsilaužimų testavimas giliai patikrina fiksuotą apimtį – vieną aplikaciją, vieną tinklą, vieną debesijos aplinką – ir atsako į klausimą, kur sistema pasiduoda. Red Team operacija matuoja visą organizaciją, įskaitant žmonių ir fizinį sluoksnį, ir atsako į klausimą, ar ataka apskritai pastebima ir kas su ja padaroma. Vienas kito jie nepakeičia: be įsilaužimų testų Red Teaming tampa brangiu būdu rasti jau žinomas klaidas.
02Kiek trunka Red Team operacija?
Viską lemia apimtis. Čia aprašytas darbas truko aštuonias savaites, nes susidėjo iš penkių etapų ir apėmė fizinį patekimą į tris pastatus. Siauresnė, į vieną scenarijų sutelkta užduotis užtrunka kelias savaites. Tikslų terminą įvardijame tada, kai apimtis ir taisyklės suderinamos raštu.
03Ar Red Teaming Lietuvoje privalomas?
Ne. Nei Kibernetinio saugumo įstatymas, nei Kibernetinio saugumo reikalavimų aprašas Red Team operacijų kaip atskiros pareigos nenustato, o įsilaužimų testavimas Lietuvoje taip pat nėra privalomas – testuotojų licencijavimo ar registro apskritai nėra. Privalomos yra trys kitos pareigos: ne rečiau kaip kas 6 mėnesius atliekamas viso masto spragų skenavimas (Aprašo 45.8 papunktis), kasmetinis atitikties vertinimas, kurį subjektas atlieka pats sau (48.1 papunktis), ir ne rečiau kaip kas 3 metus atliekamas kibernetinio saugumo auditas (48.3 papunktis ir įstatymo 14 str. 8 d.). Nė viena iš jų nėra Red Team operacija. Šis straipsnis – informacinė medžiaga, o ne teisinė konsultacija.
04Ar fizinis patekimas ir fišingas patenka į apimtį?
Tik tada, kai tai raštu įrašyta į sutartį. Apimtis, leidžiami metodai, adresai ir laiko langas aprašomi iš anksto, o kliento pusėje keli informuoti žmonės visą laiką žino, kad vyksta patikrinimas. Fiziniam patekimui pasiimame rašytinį leidimą tam atvejui, jei komandą sustabdytų apsauga. Kibernetinio saugumo įstatymo 25 straipsnio saugiklis, leidžiantis ieškoti pažeidžiamumų be išankstinio sutikimo, darbuotojų manipuliavimo neapima, todėl toks darbas įmanomas tik pagal rašytinį užsakovo leidimą ir sutartą apimtį.
05Ar testavimo metu kuri nors sistema gali sustoti?
Tikslas – įrodyti prieigą, o ne padaryti žalos. Ardomųjų veiksmų neatliekame, kritinėse sistemose dirbame sutartu laiko langu, o taisyklės užrašomos raštu prieš darbo pradžią. Jei kuri nors sistema vis dėlto ima veikti netikėtai, nedelsdami informuojame kliento kontaktinį asmenį.
