В инфраструктуре клуба было около десятка систем — серверы 1С, удалённые рабочие столы и файловые хранилища. По данным расследования Solar, атакующие вошли на серверы по RDP (протокол удалённого подключения), а сам доступ был открыт из интернета. Для входа использовали учётную запись подрядчика и от её имени установили бэкдор (программа для дальнейшей атаки, замаскированная под компонент 1С). У самой учётки при этом был отключён срок действия пароля. Исследователи обнаружили сведения о давней утечке у подрядчика и предположили, что пароль мог попасть к хакерам именно оттуда. 

Первую неделю злоумышленники бездействовали, затем начали изучать инфраструктуру и подбирать пароли. За 12 часов до шифрования они вошли под сервисной учётной записью с правами администратора. Осталось дело за малым — отключить местный антивирус и запустить шифровальщик. В итоге между первоначальным проникновением и шифрованием прошло около двух недель. 

Отдельного внимания требуют сервисные учётные записи, под которыми работают программы и службы. Права администратора домена дают широкие возможности управления инфраструктурой и предоставлять их следует только при обоснованной необходимости: последствия компрометация такой записи могут быть катастрофическими.

PAM-системы контролируют привилегированный доступ — подключения администраторов и других специалистов с расширенными полномочиями. Через такую систему можно организовать единую точку входа на серверы, задать условия подключения и фиксировать действия пользователей.

Для описанного сценария первая и главная мера — закрыть прямой RDP-доступ из интернета и направить все административные подключения через контролируемый шлюз с двухфакторной аутентификацией: если сольют пароль, доступ останется защищён. При этом возможность подключиться к серверу в обход 2FA должна быть исключена настройками сети.

Далее можно ограничить доступ задачами специалиста. К примеру, подрядчику по 1С разрешают подключаться только к нужным серверам и только в согласованное время. Доступ к остальным системам предоставляют отдельно, если он требуется для работы.

После входа также необходимо поддерживать контроль. Для этого может понадобиться специализированное решение — PAM-система. Решения этого класса могут фиксировать команды, запускаемые процессы и другие события сессии. По заданным правилам система уведомляет ответственного сотрудника о нарушении или прерывает подключение. Запись действий помогает установить, что происходило на сервере и с какой учётной записью связано изменение. Подробнее о возможностях такого контроля.

Подобрать конфигурацию СКДПУ НТ Старт под ваши задачи и рассчитать стоимость можно на нашем сайте.

Реклама: ООО «АйТи БАСТИОН», ИНН 7717789462, erid: 2W5zFGHuhSy