Искусство вторжения

ОглавлениеДобавить в закладки К обложке

На первой же встрече с представителями Biotech команда Callisma поняла, что от нее требуется проведение всех возможных типов атак, которые только можно себе представить: от простых до сложных технических атак, от применения методов социальной инженерии до физических взломов. Руководители ИТ-подразделения компании, как часто бывает в таких случаях, были уверены, что все попытки взломщиков окончатся их полным поражением. Biotech сразу же установила такое правило: неприемлемы никакие неточности в документальных доказательствах.

Был продуман механизм прекращения работы проверяющих. Иногда это могло быть сделано достаточно просто, например, для остановки атаки, которая могла негативно повлиять на работу компании, любой из сотрудников должен был произнести предварительно согласованное кодовое слово. Компания также разработала четкие правила по обращению с добытой информацией — как ее следует хранить, когда и кому она должна предоставляться.

Поскольку проведение проверок может пересекаться с обычной работой компании, предусмотрено несколько «а что, если…». Кого следует уведомить, если вдруг нарушится предоставление той или иной услуги? В какую часть системы можно проникать и как? И как проверяющие поймут, до какого предела можно проводить атаку, чтобы не нанести непоправимые потери и не повредить бизнесу компании?

Клиенты часто просят ограничить проверки только техническими атаками и упускают из виду другие лазейки, которые могут быть еще более опасны для компании. Дастин Дюкс говорит:

«Независимо от того, что они говорят, я знаю, что поначалу они хотят только выяснить технические слабости их системы, но на самом деле их уязвимость может быть совсем в другом.. Опытный атакующий всегда пойдет по пути наименьшего сопротивления, отыскивая самое ненадежное звено в системе безопасности. Как поток воды, бегущий вниз по склону, атакующий пойдет к успеху самым простым и эффективным путем».

Атаки из области социальной инженерии, по мнению Дастина, всегда должны входить в состав проверок. (Более подробно о социальной инженерии мы поговорим в Главе 10 «Социальные инженеры — как они работают и как их остановить»).

В этот раз он был почти готов отказаться от этих «номеров из своего репертуара». Если атака физического проникновения не получится «в легкую», он не будет и пытаться это делать. Для него это самый нежелательный вариант даже при наличии «индульгенции». «Если что-то плохое должно случится, оно случается тогда, когда я пытаюсь проникнуть в здание так, чтобы меня не заметили охранники или бдительные сотрудники».

Главное, что следовало определить его команде, прежде чем приступать к делу: в чем самое ценное для тестируемой компании, ее «Священный Грааль». В этой игре электронного слежения с высокими ставками очень важно знать это в точности. Как выяснилось, для фармацевтической компании таким «Священным Граалем» являются финансовые отчеты, списки клиентов, поставщиков, процесс производства и научно-исследовательские разработки.

ПЛАНИРОВАНИЕ

План Дастина заключался в том, чтобы начать проверку «по-тихому» — с незначительной активности, постепенно развивая ее до тех пор, пока кто-нибудь ее не заметит и не подаст знак. Такой подход Дастин выработал на основе своей философии, которую он применяет в ходе тестирования, руководя специально сформированной для «мозгового штурма» группой (red team —см. прим. ред. к главе 2 ). «Я пытаюсь во время проверок прежде всего проанализировать оборонительную стратегию, которую применяет компания, и затем обратить ее против нее самой. Они думают: „Давайте поставим себя на место атакующих. Что мы можем им противопоставить?“ Это подход легко использовать против них же. Они никогда не поймут, как им действовать или реагировать, пока не поймут, что самое важное для них самих».

Трудно с этим не согласиться. Как пишет китайский философ Сун Тзу: познай своего врага и самого себя — и ты победишь.

Все серьезные проверки с согласия заказчика используют те же типы атак, что были уже описаны в этой главе.

«В нашей методике мы выделяем четыре основных типа атак. Техническое проникновение в сеть, именно об этом мы в основном говорим. Социальная инженерия (что мы тоже рассматриваем), прослушивание и подглядывание через плечо. Р ы т ь е в помойках. И, наконец, физическое проникновение. В о т эти ч е т ы р е сферы».

АТАКУЕМ!


-= 68 =-
Регистрация.
Забыли пароль?
Логин
Пароль
Запомнить меня