Пароль admin на старом роутере превратил канал связи небольшой компании в чужую прокси-ферму. Хозяин заметил только тормозящий интернет.

История от моего рабочего контакта. Люди одного из цехов небольшой компании жаловались на «еле живой» интернет.

Собственник решил: разовый сбой, надо просто «починить». Пошли по всем точкам доступа — включая давно забытые. Нашли резервный роутер, который поставили три года назад для второго цеха и с тех пор никто не трогал. Логин и пароль — заводские, admin/admin. Интернет подключён напрямую, без всякого контроля.

Через этот роутер шёл чужой трафик.

Устройство работало как публичный проход в интернет для кого-то извне.

Похожая история недавно попала в новости: одиночный злоумышленник собрал сеть из тысяч заброшенных роутеров и VPN-серверов с дефолтными паролями и построил на них прокси-бизнес на 200+ тысяч долларов.

Во что это обходилось бизнесу.

— Оплаченный канал интернета почти постоянно был занят чужим трафиком. Компания платила за скорость, которой не пользовалась. — IP-адрес компании попал в чёрные списки за подозрительную активность. Банк грозил заблокировать приём платежей. — Через тот же узел потенциально был открыт путь во внутреннюю сеть — к 1С, документам, камерам на складе.

Проблему закрыли за один визит: сменили пароли на всех устройствах, отключили ненужный удалённый доступ к резервному роутеру, на остальные точки входа поставили нормальные правила — кто и как может подключаться.

Ещё одна полезная фича для безопасности: настроить руководителю уведомление в мессенджер. Если появится новое неизвестное устройство в сети — он увидит это сам, без помощи аудитора.

Забытое оборудование — это не «оно просто работает». Это дверь без замка, про которую все забыли.

Где чаще всего находят дыры.

— Старое, забытое железо — резервные роутеры, старые VPN, оборудование от прошлого подрядчика. — Учётные записи в системах, которые не закрыли при увольнении сотрудников. — Простые пароли от админских учёток.

Важно понять. Я — не аудитор «железа». Я не проверяю маркировку портов, не настраиваю коммутаторы, не аудирую прошивки. Это — не моя зона.

Моя зона — управление ИС. — Учётные записи — кто, как, откуда, к чему имеет доступ. — Права — что можно, что нельзя, что соответствует полномочиям. — Пароли — политика, ротация, дефолтные пароли, «пароли на салфетке». — Удалённый доступ — кто и как может подключаться. — Увольнение сотрудников — что должно произойти с учётками. — Юридический комплаенс — 152-ФЗ, 149-ФЗ, 63-ФЗ, ст. 292, 303 УК РФ. — Поиск рисков и их устранение всеми возможными способами.

Почему я рассказываю эту историю.

Потому что это — не про железо.

Это — про управление доступом. Про управление системой. Про то, что вы не видите — пока не сломается.

Роутер с admin/admin — это не «дыра в железе». Это дыра в управлении доступом.

Учётные записи от уволенных сотрудников — не «дыра в HR». Это дыра в управлении доступом.

Простые пароли от админских учёток — не «дыра в железе». Это дыра в управлении доступом.

А управление доступом — это ровно моя тема.

Каких только чудес в этом направлении я ни видела и с какими только вопросами не разбиралась. Вот противоположная ситуация: организация вообще не знала, что заходит в закрытую сеть, и делает это через координатор. В итоге я нашла этот координатор. …Он стоял совсем в другом здании и в другом учреждении. При реорганизации в виде выделения одна организация стала самостоятельным юрлицом, а сети никто не переделывал, и админа в штате не было. То есть они лет 5 заходили под чужим координатором в защищённую сеть фактически нелегально))))

Если в вашей компании: — есть старое оборудование, издавна подключенное к Интернету; — есть учётные записи, которые не закрыли при увольнении; — есть админские учётки с простыми паролями; — никто не настраивает уведомления о новых устройствах в сети — это не «оно просто работает». Это — дверь без замка, про которую все забыли.

#аудит_доступа #ИБ #управление_доступом #ЭДО #комплаенс #152_ФЗ #экспертизаБорисовской