Red teaming v praksi: študija primera
Počakajte, ali red teaming sploh potrebujemo?
Predstavljajte si veliko organizacijo z več tisoč zaposlenimi, ki ji je varnost pomembna in ki redno vlaga v zaščito ljudi in sistemov. Kljub temu se je vprašala: kaj, če bi si jo za tarčo izbral odločen in organiziran napadalec? Naša ekipa (red team) je osem tednov simulirala resničen napad brez omejitev. Phishing kampanja (spletno ribarjenje) z namensko registrirane domene nam je prinesla prijavne podatke 260 uporabnikov, pomagali pa smo si tudi z informacijami iz javno dostopnih virov (OSINT). Fizično varovanje smo premagali s pretvezo (pretexting), kloniranjem pristopnih kartic in podtaknjeno omrežno napravo, nato pa zlorabili napačno nastavljenega overitelja digitalnih potrdil v okolju Active Directory in pridobili pravice skrbnika domene (Domain Admin). Test, ki je zajel celotno verigo napada, je razkril kritične ranljivosti pri ljudeh, v tehnologiji in pri fizičnem varovanju ter pokazal, da skrita tveganja razkrije šele celovit red teaming.
Kaj red teaming pravzaprav je?
Red teaming je simulacija resničnega kibernetskega napada, s katero celovito ocenimo varnost podjetja – od zunanjega roba omrežja do ravnanja ljudi. Posnemamo, kaj bi storil motiviran napadalec ali napredna trajna grožnja (APT), če bi si za tarčo izbral vaše podjetje in ga pri tem ne bi omejevali ne sredstva ne čas. Tako pogosto odkrijemo ranljivosti, ki jih običajne metode testiranja ne pokažejo.
Kako tak test izvedemo etični hekerji iz Haxorisa?
Pri Haxorisu se temeljito posvetimo pripravi in izvedbi. Sledimo dodelanim metodologijam red teaminga, s katerimi odkrivamo ranljivosti, ocenjujemo tveganja in preverjamo, ali obstoječi varnostni ukrepi na več področjih res delujejo. Ta test smo razdelili na več ločenih, a med seboj povezanih faz:
- zbiranje informacij iz javno dostopnih virov (OSINT)
- testiranje zunanje infrastrukture
- penetracijsko testiranje notranjega omrežja po dveh scenarijih
- fizični vdori na treh naročnikovih lokacijah
- phishing kampanja, usmerjena v večino zaposlenih
Kako smo vdrli v podjetje
Kot vedno pri ciljanem napadu smo začeli z zunanjim testiranjem, torej z vsem, kar je dostopno z interneta. Skrbno smo pregledali naročnikove spletne aplikacije, prehode VPN, e-poštne strežnike in vse druge storitve ter iskali šibke točke, zastarelo programsko opremo, napačne konfiguracije in napake v kodi. Izkazalo se je, da je bil naročnik dobro pripravljen: na strežnikih so bili nameščeni vsi popravki in ni bilo znanih ranljivosti (CVE), ki bi jih lahko izkoristili. Požarni zid je bil pravilno nastavljen, sistemi IDS/IPS so dejavno nadzirali promet, vrzeli pa nismo našli. Spodleteli so celo naši poskusi vdora v omrežje Wi-Fi, saj je dostop zahteval odjemalska digitalna potrdila in večfaktorsko avtentikacijo.
OSINT je pokazal, kako pomemben je. Ko smo izčrpali vse načine zbiranja informacij o podjetju, smo imeli v rokah organizacijsko strukturo, seznam imen zaposlenih, naslove IP, poddomene ter podatke o partnerstvih in pogodbah. Na LinkedInu je povezavo s podjetjem sicer navedlo le malo zaposlenih, kar kaže, da naročnik zaposlene spodbuja k diskretnosti. Ker je organizacija velika, smo kljub temu zbrali dovolj profilov za nadaljnje delo. Podatke z LinkedIna smo združili z informacijami iz starih zbirk podatkov, ki so ušle v javnost, in preverili zbrane e-poštne naslove. Ključni trenutek je nastopil, ko smo zaradi napake v enem od notranjih sistemov razkrili natančno obliko e-poštnega naslova: ime.priimek@podjetje.com.
Fizično varovanje smo poskusili prebiti na več naročnikovih lokacijah. Ob prvem obisku smo zbrali informacije o vhodih, gibanju varnostnikov, mrtvih kotih kamer in še čem. Pred stavbo smo opazili vozilo servisa za pregled gasilne opreme in se odločili, da bo to naša pot v stavbo. Po kratki pripravi z OSINT smo bili nared: naš »pregledovalec gasilne opreme« je imel popolno uniformo z logotipom servisnega podjetja in dopis s pisnim dovoljenjem za pregled gasilnikov in vstop v stavbo, natisnjen na papirju z glavo tega podjetja. Pretveza »serviserja gasilnikov« je naši ekipi omogočila nenadzorovan dostop do sejne sobe, kjer smo za televizijskim zaslonom opazili skrit priključek RJ45. V nekaj minutah smo namestili lastno napravo s povezavo 4G (implant), jo skrili in odšli, ne da bi sprožili alarm. Tako smo dobili trajen in neopazen dostop do notranjega omrežja ter pripravili teren za naslednjo fazo napada.
Dostop do omrežja smo že imeli, naš cilj pa so bili veljavni domenski prijavni podatki. S seznamom preverjenih e-poštnih naslovov, zbranih z OSINT, smo izvedli natančno ciljano phishing kampanjo: brez množičnega pošiljanja, le premišljen typosquatting z domeno, na las podobno naročnikovi. Sporočilo je napovedovalo nov interni sistem nagrajevanja, lažna prijavna stran intraneta pa je prestregla prijavne podatke. Kampanjo smo nato takoj ustavili, da bi bila verjetnost odkritja čim manjša. Sveži domenski prijavni podatki so nam odprli pot globlje v notranje okolje in pripravili teren za naslednjo fazo – privilege escalation (dvig pravic).
Notranje testiranje je obsegalo simulacijo ukradene naprave in testiranje notranjega omrežja. Pri naročnikovem overitelju digitalnih potrdil (Certification Authority, CA) smo odkrili ranljivost ESC8, zaradi katere smo lahko zahtevali katero koli digitalno potrdilo v okolju Active Directory, tudi za krmilnik domene (Domain Controller, DC). Ranljivost smo potrdili z orodjem Certipy, nato pa z modulom Coerce_Plus orodja Netexec prisilili krmilnik domene, da se je avtenticiral pri našem strežniku za posredovanje (relay). To avtentikacijo smo prestregli in jo z orodjem NTLMRelayX posredovali naprej. Overitelj je izdal digitalno potrdilo krmilnika domene, s čimer smo dejansko dobili pravice skrbnika domene – dokaz, da je z natančno izbrano taktiko mogoče zaobiti tudi trdno obrambo. Skrbnik domene ima najvišje pravice, ki jih napadalec v domeni AD lahko doseže: to pomeni popolno kompromitacijo infrastrukture z dostopom do vseh storitev in občutljivih podatkov.
Rezultati in ključne ugotovitve
- Kompromitirani prijavni podatki: natančno ciljana phishing kampanja je prinesla veljavne prijavne podatke 260 uporabnikov ter razkrila pomanjkljivosti pri filtriranju e-pošte in ozaveščenosti uporabnikov.
- Pridobljen fizični dostop: član naše ekipe je obšel kontrolo na recepciji in kloniral pristopne kartice RFID, ne da bi ga kdo ustavil, zato smo napravo lahko namestili v varovanem območju.
- Dvig pravic do skrbnika domene (Domain Admin): z izrabo napačne konfiguracije overitelja digitalnih potrdil v okolju Active Directory (ESC8) smo dosegli izdajo zaupanja vrednega digitalnega potrdila in pridobili popoln skrbniški nadzor – neopaženo.
- Obramba ni zaznala ničesar: naših dejavnosti niso zaznali niti zaščita na robu omrežja niti sistemi IDS/IPS niti sistemi za beleženje dogodkov, kar kaže na velike vrzeli v pregledu nad dogajanjem.
Naša priporočila
- Okrepite fizično varovanje in postopke za obiskovalce: pregrade, ki preprečujejo vstop tik za drugo osebo (tailgating), dosledno preverjanje identitete in strog nadzor obiskovalcev.
- Redno preverjajte vsak vektor napada: rob omrežja, notranje sisteme, zunanje sisteme, overitelje digitalnih potrdil in omrežno infrastrukturo.
- Izobražujte zaposlene o phishingu in socialnem inženiringu: vaje po scenarijih, ki ohranjajo ljudi pozorne.
- Notranje naprave in dejavnosti nadzirajte v realnem času: tako boste nepooblaščeno strojno opremo in neobičajno dogajanje v omrežju zaznali takoj.
Kibernetska varnost ni le tehnologija, temveč preplet ljudi, procesov in orodij. Nenehno testiranje, učenje in krepitev odpornosti so nujni, saj bodo napadalci vedno iskali najšibkejši člen. Prava zaščita se začne v glavah in odnosu vaših ljudi.
