Этот хакер может заболтать сотрудников службы безопасности вашего ЦОД и оказаться внутри

17 апреля 2017 г. | Категория: Мир

Когда одно кредитное бюро наняло компанию Кевина Митника, чтобы проверить свою систему безопасности, он отправился прямиком в ее корпоративный дата-центр. Хакер решил попытаться осуществить физическое проникновение в дата-центр на своих двоих.

Проведя вторую половину девяностых годов в тюрьме за ряд компьютерных преступлений, он не прекратил заниматься хакерством. Легендарный бывший киберпреступник собрал целую команду хакеров, которые взламывали IT-системы различных организаций, используя фирменную комбинацию личного умения мастерски обманывать людей (Митник является мастером социальной инженерии) и технологических эксплойтов, чтобы помочь сотрудникам этих организаций в определении эксплойтов и усовершенствовании систем безопасности.

Выступая на минувшей неделе на сцене лос-анджелеского конференц-центра во время ежегодной конференции Data Center World, Митник в режиме реального времени продемонстрировал в действии множество способов получения проприетарной и личной информации, используя как навыки интернет-поиска, так и сложные технологические эксплоиты. Его целями были как владельцы персональных компьютеров, так и крупные корпоративные сети.

Одним из инструментов, который он использовал, является устройство, которое считывает идентификационный код с бейджей доступа (электронных пропусков) посредством человеко-машинного интерфейса (HID). Такие электронные пропуски активно используются в корпоративных офисах и дата-центрах. Как только код будет считан, бейдж можно будет легко «клонировать». В результате хакеру будет предоставлен тот же уровень физического доступа, который имеется у владельца оригинала.

Митнику пришлось клонировать два бейджа, чтобы попасть внутрь дата-центра этого конкретного клиента (упомянутое выше кредитное бюро): один он «клонировал», чтобы попасть в здание, а другой – чтобы попасть в машзал и получить доступ к конфиденциальным данным. Он использовал социальную инженерию (искусство манипулирования людьми для раскрытия ценной информации), чтобы сделать «клон» первого бейджа.

Поскольку дата-центр располагается внутри офисного здания, находящегося под управлением риэлтерской компании, опытный хакер позвонил в эту компанию и назначил встречу с одни из ее продавцов недвижимости, притворившись потенциальным клиентом, заинтересованным в аренде офисных помещений.

Во время осмотра помещений он небрежно спросил, как компания контролирует доступ в здание. В ответ на данный вопрос продавец показал ему свой бейдж. Хакер попросил собеседника передать бейдж ему в руки, чтобы присмотреться. В этот момент Митник приложил электронный пропуск к кожаной попке, внутри которой находилось устройство для считывания данных. Хакеру понадобилась всего лишь одна секунда, чтобы «клонировать» его. Ведь после того как устройство считает информацию с бейджа цели, все, что требуется, — это поднеси к нему пустой электронный пропуск («заготовку») для передачи кода. И, вуаля, — «клон» готов.

Чтобы получить фактический доступ в машзал дата-центра, Митнику нужно было «клонировать» бейдж, принадлежавший человеку, который работал в ЦОД. Хакер уже мог свободно ходить внутри офисного здания. Он воспользовался этой возможностью. Митник зашел в мужской туалет, который находился поблизости от дата-центра, и начал ожидать возможности встать рядом с одним из сотрудников дата-центра, держа свою кожаную папку со считывающим устройством в руках. Ему удалось поднести папку к бейджу, висящему на поясе цели.

Разумеется, в конечном счете, электронные пропуски уступят место более совершенным технологиям контроля доступа, таким как биометрическая идентификация и распознавание лиц. Но это произойдет еще очень и очень нескоро. По мнению экспертов, уйдет много времени, прежде чем все устаревшие корпоративные дата-центры модернизируют свои системы физической безопасности с помощью новейших сканеров отпечатков пальцев и диафрагмы. Гораздо быстрее в ЦОД будут развернуты системы аутентификации с поддержкой технологии машинного обучения, которые позволят определять, может ли человек на видеозаписи с камер видеонаблюдения находиться в машзале или другом помещении дата-центра или же нет.

Хотя поиск технологического эксплойта для проникновения в систему — это лишь вопрос времени для искушенных хакеров, сегодня люди по-прежнему остаются самым слабым звеном в любой схеме кибербезопасности. Такое заявление Митник сделал во время выступления на конференции. По его словам, обычно использование «человеческого фактора» — это самый простой способ достижения цели.

Атаки, которые используют «человеческий фактор» (вроде случившейся в марте 2016 года, когда бывший председатель президентской кампании Хилари Клинтон Джон Подеста получил фишинговое письмо, которое в конце концов привело к попаданию электронных писем Клинтон в руки хакеров из WikiLeaks) — излюбленный тип эксплойта киберпреступников.

Теги: HID