InfraTrust: системы управления сетевой инфраструктурой под атакой

Системы управления сетевой инфраструктурой (network management systems, NMS) превратились в приоритетную цель для атакующих. Об этом говорится в отчёте компании InfraTrust: по данным исследователей, злоумышленники всё чаще атакуют именно эти компоненты корпоративной инфраструктуры, поскольку они обеспечивают централизованный контроль над сетями и устройствами. Компрометация такой системы даёт атакующему широкие возможности — от перехвата трафика до развёртывания вредоносного кода на управляемых устройствах.

Подробности

Согласно отчёту, несколько критических уязвимостей в NMS-решениях эксплуатировались активно — либо до того, как вендоры выпустили исправления, либо вскоре после публичного раскрытия. Это классическая ситуация «zero-day», когда у защищающейся стороны почти не остаётся времени на реакцию: патч появляется позже, чем начинаются атаки. Системы управления сетью традиционно находятся в доверенном периметре и обладают привилегированным доступом к оборудованию. Именно поэтому они привлекательны для злоумышленников: успешная эксплуатация одной уязвимости может открыть путь к сотням и тысячам устройств. В отчёте подчёркивается, что многие организации недооценивают риски, связанные с NMS, и не уделяют им такого же внимания с точки зрения безопасности, как, например, VPN-шлюзам или публичным веб-приложениям. Дополнительный фактор риска — интеграция NMS с другими корпоративными системами через API и наличие в них учётных записей с расширенными правами. Если такие системы доступны из интернета или слабо сегментированы внутри сети, атакующий получает удобную точку входа.

Что делать

InfraTrust рекомендует организациям пересмотреть подход к защите систем управления сетью. В первую очередь необходимо провести инвентаризацию всех NMS-решений и понять, какие из них доступны из внешних сетей. Такие системы по возможности не должны быть напрямую подключены к интернету — доступ к ним следует ограничивать через VPN и сегментировать сеть. Также важно своевременно устанавливать обновления безопасности от вендоров и отслеживать выпуск патчей для используемых версий. Для учётных записей администраторов NMS необходимо внедрить MFA и принцип минимальных привилегий, а также регулярно проверять список активных учётных записей и отзывать неиспользуемые. Не лишним будет настроить мониторинг подозрительной активности внутри самой системы управления — например, нехарактерных команд или изменений конфигураций сетевых устройств. Организациям, использующим решения, упомянутые в отчёте, стоит проверить наличие признаков компрометации и при необходимости обратиться к вендору за дополнительными рекомендациями. Итог: системы управления сетью остаются недооценённой точкой входа для атакующих, и защита этих компонентов должна стать частью базовой гигиены ИБ, а не второстепенной задачей.

Источник: BleepingComputer