Взломать за 13 минут: итоги пилотных запусков PT Dephaze

Представьте, что злоумышленники уже в вашей корпоративной сети. Сколько времени им понадобится, чтобы добраться до критически важных систем и получить над ними контроль?

Мы проверили это на пилотах нашего продукта для автопентеста PT Dephaze: провели больше 200 тестирований примерно в 100 компаниях.

И теперь делимся подробностями

Главный результат в заголовке на картинке: в 60% случаев автопентест отработал успешно.

Ему удалось захватить отдельный компьютер или сервер, получить доступ к важным приложениям и данным или взять под контроль Active Directory — службу, через которую управляют пользователями и их правами во всей организации.

В среднем, каждое тестирование длилось 79 часов, но реализовать первую угрозу (там, где это было возможно) удавалось намного раньше. В половине запусков — уже через 13 минут после старта, а в 75% случаев на это уходило не больше двух часов.

Храните пароли в сберегательной кассе надежном месте

Главным инструментом продвижения по сети стали учетные данные. Представьте, что инфраструктура — это цепочка комнат с запертыми дверями. Каждая найденная учетная запись становится ключом к новым секретам, правам и способам аутентификации.

Сведения об учетных записях, а нередко и сами пароли, нашлись у 96% компаний. Первые такие данные обнаруживались уже через две минуты после начала проверки, а через шесть минут удавалось подтвердить, что они работают.

Конечно, найденные учетные данные еще не означают доступ. Но в каждом третьем случае они превращались в подтвержденный вход. А дальше цепочка воспроизводила сама себя: каждый захваченный компьютер мог стать источником новых паролей и ключей. В 22% запусков их извлекали из памяти и системных хранилищ Windows, а в 20% — восстанавливали пароли по хешам.

Помогали в атаках и старые уязвимости: например, одну из них, обнаруженную в 2021 году, использовали в 21% проверок, а другую, исправленную еще в 2017-м, — в 14%.

Что делать 😱

Хорошо, что компании атаковал наш дружелюбный PT Dephaze, а не реальные злоумышленники: есть время исправить недостатки.

Наши эксперты советуют начинать со слабых мест, через которые можно провести сразу несколько атак:

1️⃣ Аккаунты с широкими правами и доступом к нескольким системам.

2️⃣ Небезопасное хранение паролей и ключей.

3️⃣ Возможность перенаправить чужую попытку входа.

4️⃣ Лишние связи между сегментами сети.

И в первую очередь закрывать бреши, через которые можно подобраться к ключевым ресурсам компании.

А чекнуть, помогли ли исправления, можно повторным автопентестом. В идеале такие проверки должны стать регулярной профилактикой.

«Инфраструктура постоянно меняется: появляются новые серверы и пользователи, меняются права и настройки, а вместе с ними могут возникать и новые слабые места. Разовая проверка показывает картину на конкретный день, поэтому оценивать защищенность стоит регулярно, после каждого существенного изменения», — советует наш аналитик Анна Вяткина.

Полное исследование ищите на нашем сайте.

#PTDephaze
@Positive_Technologies