Слияние компаний: не получите чужие киберугрозы в нагрузку
Слияние — это стресс для всех, но для CISO это ещё и минное поле. Вместе с активами и клиентской базой вы получаете чужие уязвимости, скомпрометированные учётки, «грязный» Active Directory и инсайдеров, которые уносят данные, пока не начались сокращения. Если просто поднять VPN и соединить домены, чужие проблемы станут вашими в тот же момент. Поэтому сначала нужно сделать ИБ-рентген инфраструктуры и только потом пускать её в свой периметр.
Что проверить до объединения:
🔹 Службы каталогов. Запросите выгрузку AD и проверьте её на несколько типов проблем: неактивные учётки старше 90 дней; «группы-призраки» и циклическая вложенность групп; пользователи, которые состоят в 30–50 группах одновременно; уязвимости к Kerberoasting и AS-REP Roasting; токсичные делегирования и слабые парольные политики; пароли в SYSVOL. С Linux-каталогами всё то же самое: анонимный LDAP, отсутствие LDAPS и root через SSH.
🔹 Сетевые потоки. Правила межсетевых экранов показывают только то, что разрешено, а не то, что происходит на самом деле. Заведите зеркалирование трафика, Netflow и логи прокси в NDR или NTA и ищите аномалии: DNS- и ICMP-туннелирование (50 МБ DNS в час с рабочей станции бухгалтера — повод насторожиться); скрытые C2-каналы под видом HTTPS; VPN-сессии в 3 часа ночи или с объёмом данных в 10 раз выше нормы; BitTorrent и P2P.
🔹 Поведенческая аналитика (UEBA). Инсайдер пользуется легитимными инструментами, поэтому сигнатур SIEM может не хватить. Нужно следить за тремя источниками: Файловые серверы. Человек обращался к 5 папкам, а сегодня обходит 500. Базы данных. Появились новые объекты, DROP-операции, аномальная нагрузка на CPU и ночная активность. Почта. Нужно найти тех, кто открывает фишинг, и отправить их на переобучение до объединения почтовых контуров.
🔹 Ролевая модель. Не раздавайте доступы вручную «по просьбе трудящихся». Выявите реальные, а не бумажные роли. Найдите «супер-пользователей», на которых замыкаются бизнес-процессы. Постройте целевую модель по принципу наименьших привилегий.
План интеграции: 1.За 30–60 дней до слияния включите режим Read-Only: односторонняя передача логов в ваши платформы, без лишних изменений в их инфраструктуре. 2.Проведите харденинг каталогов и потребуйте очистить «мёртвые» учётки. 3.Запустите профилирование поведения на 2–3 недели и передайте списки рисковых сотрудников в СБ и HR. 4.Мигрируйте только чистые, верифицированные учётные записи. 5.В «День X» держите перед глазами дашборды с аномалиями DNS/ICMP и признаками lateral movement.
Цена утечки интеллектуальной собственности или остановки бизнеса из-за чужого шифровальщика может превысить стоимость самой сделки. Поэтому глубокий ИБ-аудит поглощаемой компании должен стать стандартом работы современного CISO.
👉 В полной версии статьи — подробные чек-листы по каждому пункту: что и как искать в AD, сети, файловых серверах и БД M&A: что проверить в ИТ-инфраструктуре до слияния, чтобы не унаследовать чужие проблемы
