Встроенные веб-серверы подвергают организации атакам

Встроенные веб-серверы подвергают организации атакам

Исследователь, который сканирует Интернет на протяжении последних месяцев в поисках незащищённых веб-серверов, обнаружил массу незащищённых сканеров, офисных принтеров, устройств хранения данных и другого оборудования, подверженных атакам.

Майкл Саттон, вице-президент по исследованиям в области безопасности Zscaler Labs, продемонстрирует на конференции Black Hat USA 2011 в следующем месяце свои находки: копиры Ricoh и Sharp, сканеры HP и VoIP-телефоны Snom оказались наиболее часто встречаемыми устройствами, к которым можно получить доступ через Интернет. «Это просто шокировало меня: определённо, ни одно из этих устройств не должно обнаруживаться через Интернет. Нет ничего хорошего в том, что сканеры HP видны в Сети», – сказал Саттон.

Вот в чём беда: встроенные веб-серверы с недостаточной защитой или вообще без оной устанавливаются с неверными настройками. Наиболее вероятно, потенциальными жертвами являются малый и средний бизнес, а также потребители, которые не имеют большого технического опыта, которые выставляют неправильные настройки для своих устройств и даже не представляют себе, что они видны онлайн. «Они берут устройство, подключают его, а затем делают ошибку при настройке роутера или создают точку доступа … и в результате открывают доступ через веб», – говорит он.

Саттон использовал Amazon EC2 (Amazon Elastic Compute Cloud, веб-сервис, предоставляющий вычислительные мощности в облаке), чтобы непрерывно сканировать большие блоки адресов и определять любые встроенные веб-серверы. Копиры Sharp и Ricoh сохраняют в электронном виде последние копии, заметил он, и если эта функция включена, а копир подключён к Сети, ничем не защищённый, атакующий может получить доступ к копировавшимся документам. Даже функция пересылки факсов в некоторых сканерах HP может быть использована в злонамеренных целях, если сканер подключён к Интернету: атакующий может получить доступ к любым документам, которые получает пользователь через факс, перенаправляя их на собственный факс, например.

VoIP-системы Snom, которые Саттон обнаружил во время своего интернет-сканирования, могут быть уязвимы к прослушиванию и краже информации у звонящего. «Некоторые из их VoIP-систем содержат нечто вроде средства отладки/перехвата пакетов. И в случае если [VoIP-система] доступна, вы можете подключиться, включить этот функционал, перехватить трафик, загрузить PCAP’ы … и с помощью Wireshark (программа для анализа сетевого трафика) вы можете прослушивать организации», – говорит Саттон.

Саттон планирует выпустить бесплатную новую утилиту, которую он разработал, чтобы помочь организациям сканировать в своих сетях устройства на наличие таких уязвимостей. Названная BREWS, она основана на автоматизированной версии скриптов, которые он написал для сканирования заголовков серверов в вебе.

Он не считает, что Google-хакинг (техника, использующая Поиск Google и другие приложения Google для определения уязвимостей системы безопасности в конфигурации и коде, которые используют веб-сайты) – это лёгкий и эффективный способ обнаружить встроенные сервера. По его словам, сканирование заголовков подходит лучше. «Это работает очень хорошо, потому что большинство таких устройств имеют уникальные заголовки. Фото-копиры Canon возвращают заголовок, содержащий в себе подстроку ‘canon’», - говорит он. «Данные встроенных веб-серверов отличаются от стандартных веб-серверов и не имеют склонности к изменению. Это относится к ряду заголовков серверов в принтерах и сканерах HP», – привёл он пример.

«Утилита BREWS, которую я собираюсь выпустить … автоматизирует то, что я делал, так что вы сможете сканировать свою сеть на наличие встроенных веб-серверов, о которых не догадывались», – говорит Саттон.

Утилита также позволяет собирать и составлять глобальный отпечаток данных с этих встроенных веб-устройств. «У нас нет достаточной информации о том, как искать эти устройства. Обычные сканеры безопасности фокусируются на программных веб-серверах, а не на встроенных», – говорит он.

«Нам нужно стимулировать людей сканировать их сети … в итоге это позволит создать централизованную базу данных, и тогда мы сможем предоставить доступ к этим отпечаткам данных». Снятие отпечатков с таких устройств – достаточно сложная задача, потому что многие из них расположены в локальных сетях и не могут быть просканированы извне.

Риск уязвимости встроенных систем изучался и до этого, например, почётный доктор наук Мур изучал VxWorks, операционную систему, которая используется во множестве встроенных систем. Доктор Мур, руководитель службы безопасности Rapid7 и главный архитектор Metasploit, в прошлом году на конференциях Defcon и BSides показал, как он нашёл сотни устройств, подключённых к Сети, содержащие в себе функционал диагностики, который делал их подверженными к взлому. Среди этих устройств были VoIP-оборудование и свитчи, DSL-концентраторы, промышленные автоматизированные системы для SCADA-окружений, а также оптоволоконные свитчи.

Это тоже является следствием неправильных настроек, выставленных разработчиками, которые используют VxWorks. Диагностический функционал для разработчиков может быть скомпрометирован атакующим, если он специально или по неосторожности будет оставлен во включённом состоянии. «Этот функционал позволяет считывать содержимое памяти, осуществлять запись в память, или даже перезагружать устройство. Всё вместе это позволяет осуществлять кражу данных, прописывать бэкдоры в образ программного обеспечения, другими словами, получить контроль над устройством», – сказал Мур в прошлом году в интервью по поводу своего исследования. «Этот функционал не должен быть включён» в боевом режиме, он должен быть обязательно отключён, сказал он.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Solar SafeInspect интегрировали с системой аутентификации MFASOFT SAS

ГК «Солар» сообщила, что её PAM-платформа Solar SafeInspect теперь совместима с системой многофакторной аутентификации MFASOFT Secure Authentication Server (SAS). Это позволит компаниям, где уже используются разные решения 2FA, проще внедрять и управлять защитой привилегированных учётных записей.

По оценкам рынка, чаще всего PAM-системы применяются для управления правами доступа и паролями (36%), мониторинга и записи действий администраторов (29%), а также контроля подрядчиков (12%).

Как отмечают специалисты «Солара», основная сложность при работе с привилегированными учётными записями — это единообразие политики безопасности. Если в разных филиалах используются разные системы 2FA, формируется «лоскутная» защита, которая усложняет контроль и повышает риски.

Интеграция с MFASOFT SAS позволяет использовать единый подход к аутентификации и централизованно управлять доступом. Например, при подключении к корпоративным ресурсам запрос проходит через Solar SafeInspect, который передаёт данные в систему MFASOFT. Далее пользователь подтверждает личность дополнительным способом — с помощью одноразового пароля из письма или СМС. После проверки пароля доступ к защищённому ресурсу открывается.

По словам представителя MFASOFT Михаила Рожнова, сочетание PAM и MFA-технологий критически важно для защиты инфраструктуры: компрометация учётных записей с повышенными правами может привести к серьёзным последствиям для бизнеса.

Архитектура MFASOFT SAS построена по многоуровневому принципу и позволяет разделять пользователей и токены по филиалам, ролям или подразделениям. Благодаря автоматизации типовых задач — таких как добавление пользователей или выдача токенов — снижается нагрузка на администраторов и общая стоимость владения системой.

В «Соларе» отмечают, что новая совместимость делает Solar SafeInspect более гибким инструментом для компаний, где используется несколько систем аутентификации. Решение помогает централизованно контролировать доступ, расследовать инциденты и предотвращать несанкционированные действия как со стороны сотрудников, так и подрядчиков.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru