Penetrační tester Chris Goggans pracuje v oboru od roku 1991, nic ho ale nepřekvapilo tolik, jako když se nedávno za šest hodin dostal přes síť jedné americké vládní agentury do jedné z nejdůležitějších databází FBI.
V příslušné agentuře byl špatně nasazen systém správy oprav a chybně byla navržená i celková IT infrastruktura. Goggans nejprve při rutinním síťovém testování objevili neopravené zranitelnosti na webovém serveru agentury. Zde se dostal k uživatelským jménům a heslům, ovšem nejenom k serveru, ale i k místnímu systému. Tam získal další podrobnosti o účtech včetně práva správce domény Windows – další chybou sítě tedy byla možnost zvýšení oprávnění. Goggans tak ovládl všechny počítače, přičemž některé z nich měli nainstalovanou druhou síťovou kartu umožňující přímou komunikaci s mainframem IBM přes protokol SNA. Sem pak tester nainstaloval program analyzující další aplikace a objevil na desktopu programy pro přístup k databázi NCIC (National Crime Information Center) od FBI. Zkusil se sem přihlásit – a šlo to pomocí už známých hesel.
(Výčet chyb: síť pro přístup k databázím FBI měla být oddělena od „běžné podnikové“ sítě příslušné agentury. Pracovní stanice neměly být součástí hlavní domény Windows. Stanice nejspíš vůbec neměly být současně připojeny k databázi FBI a běžné síti – tím agentura porušila i podmínky FBI pro používání informací tohoto typu. Administrátor sítě měl také samozřejmě zakázat použití stejných hesel.)
Virgas je nyní konzultantem bezpečnostní firmy PatchAdvisor. Provádí „etický hacking“ a pracuje na objednávku samotných firem. Případ ukazuje, že najmout si pro testování zabezpečení třetí stranu a nechat jí provést penetrační testování má smysl i v dnešní době, kdy řada firem nabízí „komplexní“ řešení zabezpečení.
Zdroj: Computerworld.com
Boti jsou dnes už ve většině podnikových sítí
Chyba v softwaru může způsobit zranitelnost elektráren
PŘEDPLATNÉ
ČLÁNKY DO MAILU