Встроенные веб-серверы подвергают организации атакам

Встроенные веб-серверы подвергают организации атакам

Исследователь, который сканирует Интернет на протяжении последних месяцев в поисках незащищённых веб-серверов, обнаружил массу незащищённых сканеров, офисных принтеров, устройств хранения данных и другого оборудования, подверженных атакам.

Майкл Саттон, вице-президент по исследованиям в области безопасности Zscaler Labs, продемонстрирует на конференции Black Hat USA 2011 в следующем месяце свои находки: копиры Ricoh и Sharp, сканеры HP и VoIP-телефоны Snom оказались наиболее часто встречаемыми устройствами, к которым можно получить доступ через Интернет. «Это просто шокировало меня: определённо, ни одно из этих устройств не должно обнаруживаться через Интернет. Нет ничего хорошего в том, что сканеры HP видны в Сети», – сказал Саттон.

Вот в чём беда: встроенные веб-серверы с недостаточной защитой или вообще без оной устанавливаются с неверными настройками. Наиболее вероятно, потенциальными жертвами являются малый и средний бизнес, а также потребители, которые не имеют большого технического опыта, которые выставляют неправильные настройки для своих устройств и даже не представляют себе, что они видны онлайн. «Они берут устройство, подключают его, а затем делают ошибку при настройке роутера или создают точку доступа … и в результате открывают доступ через веб», – говорит он.

Саттон использовал Amazon EC2 (Amazon Elastic Compute Cloud, веб-сервис, предоставляющий вычислительные мощности в облаке), чтобы непрерывно сканировать большие блоки адресов и определять любые встроенные веб-серверы. Копиры Sharp и Ricoh сохраняют в электронном виде последние копии, заметил он, и если эта функция включена, а копир подключён к Сети, ничем не защищённый, атакующий может получить доступ к копировавшимся документам. Даже функция пересылки факсов в некоторых сканерах HP может быть использована в злонамеренных целях, если сканер подключён к Интернету: атакующий может получить доступ к любым документам, которые получает пользователь через факс, перенаправляя их на собственный факс, например.

VoIP-системы Snom, которые Саттон обнаружил во время своего интернет-сканирования, могут быть уязвимы к прослушиванию и краже информации у звонящего. «Некоторые из их VoIP-систем содержат нечто вроде средства отладки/перехвата пакетов. И в случае если [VoIP-система] доступна, вы можете подключиться, включить этот функционал, перехватить трафик, загрузить PCAP’ы … и с помощью Wireshark (программа для анализа сетевого трафика) вы можете прослушивать организации», – говорит Саттон.

Саттон планирует выпустить бесплатную новую утилиту, которую он разработал, чтобы помочь организациям сканировать в своих сетях устройства на наличие таких уязвимостей. Названная BREWS, она основана на автоматизированной версии скриптов, которые он написал для сканирования заголовков серверов в вебе.

Он не считает, что Google-хакинг (техника, использующая Поиск Google и другие приложения Google для определения уязвимостей системы безопасности в конфигурации и коде, которые используют веб-сайты) – это лёгкий и эффективный способ обнаружить встроенные сервера. По его словам, сканирование заголовков подходит лучше. «Это работает очень хорошо, потому что большинство таких устройств имеют уникальные заголовки. Фото-копиры Canon возвращают заголовок, содержащий в себе подстроку ‘canon’», - говорит он. «Данные встроенных веб-серверов отличаются от стандартных веб-серверов и не имеют склонности к изменению. Это относится к ряду заголовков серверов в принтерах и сканерах HP», – привёл он пример.

«Утилита BREWS, которую я собираюсь выпустить … автоматизирует то, что я делал, так что вы сможете сканировать свою сеть на наличие встроенных веб-серверов, о которых не догадывались», – говорит Саттон.

Утилита также позволяет собирать и составлять глобальный отпечаток данных с этих встроенных веб-устройств. «У нас нет достаточной информации о том, как искать эти устройства. Обычные сканеры безопасности фокусируются на программных веб-серверах, а не на встроенных», – говорит он.

«Нам нужно стимулировать людей сканировать их сети … в итоге это позволит создать централизованную базу данных, и тогда мы сможем предоставить доступ к этим отпечаткам данных». Снятие отпечатков с таких устройств – достаточно сложная задача, потому что многие из них расположены в локальных сетях и не могут быть просканированы извне.

Риск уязвимости встроенных систем изучался и до этого, например, почётный доктор наук Мур изучал VxWorks, операционную систему, которая используется во множестве встроенных систем. Доктор Мур, руководитель службы безопасности Rapid7 и главный архитектор Metasploit, в прошлом году на конференциях Defcon и BSides показал, как он нашёл сотни устройств, подключённых к Сети, содержащие в себе функционал диагностики, который делал их подверженными к взлому. Среди этих устройств были VoIP-оборудование и свитчи, DSL-концентраторы, промышленные автоматизированные системы для SCADA-окружений, а также оптоволоконные свитчи.

Это тоже является следствием неправильных настроек, выставленных разработчиками, которые используют VxWorks. Диагностический функционал для разработчиков может быть скомпрометирован атакующим, если он специально или по неосторожности будет оставлен во включённом состоянии. «Этот функционал позволяет считывать содержимое памяти, осуществлять запись в память, или даже перезагружать устройство. Всё вместе это позволяет осуществлять кражу данных, прописывать бэкдоры в образ программного обеспечения, другими словами, получить контроль над устройством», – сказал Мур в прошлом году в интервью по поводу своего исследования. «Этот функционал не должен быть включён» в боевом режиме, он должен быть обязательно отключён, сказал он.

Закупки VPN госзаказчиками выросли в штуках, но упали в деньгах

Общее количество завершённых закупок виртуальных частных сетей (VPN), по данным «Контур.Эгиды» и Staffcop, в 2025 году выросло на 18,5% в количественном выражении — с 8,7 тыс. до 10,3 тыс. процедур. При этом совокупный объём рынка за тот же период сократился на 25,9% — с 32,97 млрд до 24,43 млрд рублей.

Ключевой причиной столь разнонаправленной динамики аналитики называют заметное снижение средней стоимости контрактов. По итогам 2025 года она уменьшилась на 38% и составила 2,44 млн рублей против 3,92 млн рублей годом ранее.

Одновременно усилилось и снижение цен со стороны поставщиков: с 14,7% в 2024 году до 18,4% в 2025 году.

Наиболее ёмким сегментом рынка VPN остаются закупки по 44-ФЗ. В 2025 году в этом сегменте было проведено 4,3 тыс. процедур на сумму 19,87 млрд рублей. Для сравнения, годом ранее объём закупок по 44-ФЗ составлял 29,18 млрд рублей при 4,1 тыс. процедур. Основным фактором снижения в денежном выражении стало падение средней стоимости контракта почти на треть — с 7,1 млн до 4,62 млн рублей.

Закупки по 223-ФЗ, напротив, продемонстрировали умеренный рост, в том числе в денежном выражении. В 2025 году их объём достиг 3,28 млрд рублей против 2,48 млрд рублей годом ранее, а количество сделок увеличилось с 468 до 532. При этом уровень снижения цены за год вырос с 15,4% до 18,5%, что, по оценке аналитиков, указывает на усиление конкуренции, прежде всего в крупных контрактах.

В коммерческом сегменте в 2025 году было зафиксировано около 1,0 тыс. закупок VPN на сумму 791 млн рублей, тогда как годом ранее — 758 сделок на 965 млн рублей. В малых закупках количество процедур выросло с 3,4 тыс. до 4,5 тыс., а совокупный объём — с 345 млн до 482 млн рублей. При этом средняя стоимость сделки практически не изменилась и составила около 100 тыс. рублей.

Снижение совокупного объёма рынка VPN на фоне роста количества закупок аналитики во многом связывают с эффектом отложенного спроса. Значительная часть крупных заказчиков ранее закрыла потребности в VPN-инфраструктуре, заключив контракты сразу на несколько лет, что снизило потребность в новых крупных закупках в 2025 году.

Дополнительным фактором стало перераспределение части закупок на специализированные электронные площадки, из-за чего снизился «видимый» объём рынка в открытых сегментах 44-ФЗ и 223-ФЗ. Одновременно заказчики всё чаще прибегают к малым и упрощённым процедурам, поскольку такой формат быстрее и удобнее при типовых задачах и ограниченных бюджетах.

Ситуацию на рынке прокомментировал Юрий Драченин, заместитель руководителя продуктовой группы «Контур.Эгида» и Staffcop («СКБ Контур»):

«В сегменте присутствует большое количество производителей, включая новых и нишевых игроков, которые активно выходят к заказчикам с альтернативными решениями. В результате крупные организации, уже внедрившие комплексные и дорогостоящие VPN-платформы, сокращают объёмы новых закупок, тогда как спрос смещается в сторону малого и среднего бизнеса. Это усиливает ценовую конкуренцию и приводит к снижению средней стоимости контрактов при росте количества процедур», — отметил он.

RSS: Новости на портале Anti-Malware.ru