Лучший вариант при автоподборе паролей к RDP и SSH — password

Лучший вариант при автоподборе паролей к RDP и SSH — password

Лучший вариант при автоподборе паролей к RDP и SSH — password

Исследователи из Rapid7 проверили надежность админ-паролей, используемых для удаленного доступа к системам по RDP или SSH, и результаты оказались плачевными. Анализ собранных с ловушек данных о брутфорс-атаках показал, что в 99,997% случаев такой ключ можно получить перебором по словарю.

За год мониторинга ханипотов RDP и SSH (с 10 сентября 2021 года по 9 сентября 2022-го) эксперты зафиксировали десятки миллионов попыток входа. Также выявлены (PDF) около 216 тыс. разных IP-адресов источника и 512 тыс. уникальных паролей, подавляющее большинство которых можно отыскать в списке rockyou2021.txt, опубликованном на GitHub.

За основу rockyou2021.txt взята база учеток, украденная в 2009 году у RockYou, разработчика приложений для соцсетей. Она содержала 32,6 млн незашифрованных записей, в том числе свыше 14 млн уникальных паролей. Этот исходный словарь (rockyou.txt) до сих пор используют ботоводы, он также включен в стандартный набор инструментов пентеста Kali Linux.

В последующие годы ходовой список неоднократно пытались расширить за счет новых утечек, создавая новые аналоги. Один из современных вариантов — rockyou2021.txt весом 92 Гбайт — выложен в открытый доступ на GitHub; сложные комбинации, создаваемые с помощью менеджеров паролей, в нем отсутствуют.

Сравнение находок Rapid7 с этим списком показало почти полное совпадение: из 512 002 уникальных паролей, собранных на ловушках, лишь 15 оказались новыми. Примечательно, что один такой ключ (AuToLoG2019.09.25) зачастую вшивают в троянов для взлома RDP.

Анализ паролей, которые хакеры использовали в атаках, также показал явный перевес в пользу общеупотребительных вариантов. При попытке взлома RDP предпочтение отдавалось пустой строке, 123, password, 123qwe и admin. В пятерку лидеров для SSH вошли 123456 (самый популярный в мире пароль), nproc, test, qwerty и password.

Проведенное исследование подтвердило предположения экспертов:

  1. Хакеры редко по-настоящему взламывают пароли, отдавая предпочтение автоматизированным словарным атакам.
  2. Интернет-сообщество так и не научилось управлять паролями.

В комментарии для SecurityWeek представитель Rapid7 не преминул отметить: чтобы свести на нет словарную атаку, достаточно просто увеличить длину пароля (сам он использует 14-значную строку) и включить в него пару спецсимволов.

Согласно недавнему опросу с инициативы «РТК-Солар», половина россиян до сих не соблюдает базовые требования к паролям (длина не менее восьми знаков, комбинирование цифр, строчных и прописных букв, спецсимволов; уникальность). А эксперты «Ростелеком-Солар» выяснили, что в российских компаниях проблема слабых паролей касается в основном веб-приложений и сервисов внешнего периметра, в том числе служб удаленного доступа.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Новый порядок учета КИИ обойдётся операторам в 6 млрд рублей за 6 лет

Новый порядок отнесения объектов связи к критической информационной инфраструктуре (КИИ) потребует от операторов значительных затрат. В целом расходы отрасли на ближайшие шесть лет оцениваются в 6 млрд рублей.

Минцифры подготовило проект постановления правительства «Об утверждении отраслевых особенностей категорирования объектов критической информационной инфраструктуры в сфере связи». Документ находится на стадии согласования и должен вступить в силу с 1 сентября.

Как отмечает «Коммерсантъ», на сегодняшний день порядок категорирования объектов КИИ для связи не регламентирован. Операторы ориентируются лишь на общие положения, в соответствии с которыми самостоятельно формируют перечень таких объектов.

Согласно проекту, выявлением объектов КИИ будут заниматься специальные комиссии, формируемые внутри компаний. При этом у операторов сохраняется право не выявлять объекты КИИ вовсе.

Операторы будут обязаны передавать в ФСТЭК сведения о программном обеспечении, программно-аппаратных комплексах и средствах защиты, относящихся к КИИ. Впоследствии эти объекты подлежат категорированию — в зависимости от масштаба возможного ущерба при инцидентах.

Минцифры оценивает совокупные затраты операторов на выполнение требований проекта в 6 млрд рублей за шесть лет. По оценке опрошенных экспертов, ежегодные расходы одного оператора могут составлять сотни миллионов рублей.

Мнения операторов разделились. В пресс-службе «МегаФона» сообщили, что проект не вносит принципиальных изменений, а компания уже реализует предусмотренные меры.

В Т2, напротив, считают, что документ радикально меняет алгоритм выявления объектов КИИ. Кроме того, в компании напомнили, что перечень таких объектов может быть расширен, что усложнит соблюдение всех требований и приведёт к дополнительным расходам.

По словам источников издания, бизнес стремится сводить определение объектов КИИ к минимуму, чтобы избежать дополнительной регуляторной нагрузки и обязательств, включая ускоренное импортозамещение.

«Проблема в том, что законодательные формулировки достаточно размыты, и не всегда ясно, следует ли относить ту или иную систему к КИИ», — отметил управляющий директор по работе с госорганами Positive Technologies Игорь Алексеев.

В Минцифры не считают, что операторы будут злоупотреблять правом не признавать объекты КИИ. Расходы на реализацию требований в ведомстве оценивают как умеренные.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru