Взлом на скорости

Благодаря автоматизированному пентесту — легальному тестированию безопасности инфраструктуры — в 60% компаний белые хакеры смогли захватить оборудование и получить доступ к важным приложениям и данным. Уже несколько участников ИБ-рынка запускают собственные автопентесты, заверяя, что это снижает их стоимость и повышает доступность для среднего и малого бизнеса.

Белым хакерам в половине случаев хватило всего 13 минут, чтобы захватить системы или добраться до важных данных, используя автоматизированное тестирование на проникновение Positive Technologies Dephaze, рассказали “Ъ” в компании. В 60% компаний удалось захватить компьютер или сервер, получить доступ к важным приложениям и данным либо взять под контроль службу, через которую управляют пользователями и их правами во всей организации.

Девять из десяти путей к реализованной угрозе строились на использовании учетных данных и механизмов аутентификации: в 56% использовались действующие учетные данные, в 35% — перенаправление аутентификации, указывают в Positive Technologies. При этом только в 6% случаев преобладающим механизмом была эксплуатация программной уязвимости.

Кроме того, логины нашлись у 96% компаний, пароли в открытом виде — в 77% проверок, а ошибки конфигурации встречались более чем вдвое чаще уязвимостей. «Такой масштаб указывает на то, что потенциально полезные для атакующего данные сохраняются в разных компонентах инфраструктуры: в конфигурациях, служебных файлах, системных хранилищах, памяти процессов и результатах работы прикладного ПО»,— указывают в Positive Technologies.

Другие компании на ИБ-рынке также рассматривают автоматизированный пентест. Господин Калинин говорит, что речь идет не столько о полном переходе на автоматизацию, сколько о ее интеграции в существующие процессы проверки защищенности. Руководитель управления анализа защищенности BI.ZONE Михаил Сидорук говорит, что их компания также запустила отдельный продукт по автоматизированному пентесту.

Пентест уже достаточно сильно автоматизирован, а ИИ применяется практически на всех его этапах: от разведки до эксплуатации уязвимостей и перемещения внутри инфраструктуры, объясняет он. Такие инструменты прежде всего снижают стоимость и повышение доступности пентеста для среднего и малого бизнеса, добавляет господин Сидорук.

«Главное преимущество автоматизированного пентеста — возможность проводить проверки регулярно, а не раз в год или после существенных изменений инфраструктуры»,— объясняет господин Калинин. Современная ИТ-среда постоянно меняется: появляются новые сервисы, учетные записи, права доступа и ошибки конфигурации: «Результаты даже качественной ручной проверки со временем теряют актуальность».

Для рынка это предвещает несколько важных изменений, уверен господин Калинин: «Снизится порог входа — компании, которым сложно регулярно привлекать дорогостоящие команды пентестеров, получат возможность чаще проверять свою защищенность». Кроме того, добавляет он, сократится время между появлением опасной ошибки и ее обнаружением. В перспективе автоматизированный пентест может стать одним из стандартных инструментов корпоративной информационной безопасности наряду со сканерами уязвимостей и системами мониторинга.