Důležitá je správná definice rozsahu testu

Jeden z našich zákazníků se rozhodl, že chce zjistit, jak jsou jeho data zabezpečena vůči hackerům, a zda představují riziko i vlastní zaměstnanci. Po vstupní analýze bylo rozhodnuto, že bude ověřena bezpečnost síťové infrastruktury vůči potenciálním hrozbám útoku z prostředí internetu a dále bezpečnost IS v případě, že útočník pronikl do vnitřní sítě. Dále bylo naplánováno prověření povědomí zaměstnanců o hrozbě útoků typu sociální inženýrství. Z penetračního testu byly vyloučeny aktivity a postupy u nichž bylo opodstatněné podezření, že by mohly narušit funkčnost firemních procesů a v průběhu testu opravdu k žádnému omezení nedošlo.

Otevřenými dveřmi zvete ke vstupu

Nejprve jsme provedli externí penetrační test, zaměřený na veřejně dostupné IP adresy společnosti. Test byl veden z pohledu útočníka, který má pouze veřejně dostupné informace typu e-mail, web, kontaktní informace apod. Test započal zjištěním otevřených portů na daných IP adresách a detekcí publikovaných služeb. Již v této fázi byly zjištěny některé nedostatky, jako například otevření portu 135, na kterém běžela vzdálená plocha nebo portu 139, který je využíván protokolem NetBios.

Při dalším testování jsme se zaměřili na dostupná přihlašovací rozhraní, ať už se jednalo o administrační rozhraní webových serverů, přihlášení k web-mailu, VPN a dalším službám. U všech rozhraní proběhlo ověření, zda je možné vůči nim podniknout útoky hrubou silou a bylo zjištěno, že žádné z rozhraní tyto útoky nedetekuje a nemá nasazena opatření zajišťující blokaci takových pokusů. Následovaly tedy útoky zaměřené na prolamování hesel s využitím zejména implicitních (tj. výrobcem nebo technologií nastavených) přihlašovacích údajů.

Po relativně krátkém, zhruba 30 minutovém řízeném útoku bylo prolomeno přihlášení k e-mailovému serveru. Bylo zjištěno, že administrátorem byly ponechány implicitní přihlašovací údaje: Admin:exchange na rozhraní, které je vystaveno do internetu. Tím byl získán přístup ke kompletní administraci e-mailového serveru společnosti. Díky tomu jsme mohli získat přístup k souboru names.nsf, který obsahuje hesla jednotlivých uživatelů v šifrované podobě. Následně bylo pomocí specializovaného nástroje dešifrováno 50 uživatelských hesel, a to během necelých 2 hodin.

Rovněž jsme získali přístup k veškeré e-mailové korespondenci všech zaměstnanců včetně nejvyššího vedení společnosti. V korespondenci byly dostupné mimo jiné informace o zákaznících, finanční výkazy i několik obchodních smluv a samozřejmě značné množství osobních údajů. Ohrožena tak nebyla pouze data společnosti, ale také partnerů a zákazníků. Pokud by došlo k jejich úniku, zákazníci i partneři by se o tom dozvěděli.

Brána do vnitřní sítě

V administračním rozhraní jsme následně využili funkci Quick Console, která umožňuje interakci se serverem formou příkazového řádku. S jeho využitím byl na serveru spuštěn nástroj pro vzdálenou kontrolu serveru (tzv. Remote Access Tool). Tento nástroj nebyl detekován antivirovým systémem.  Pokud by danou zranitelnost zneužil reálný hacker, mohl by napadený server využít nejen k útokům na jiné cíle a společnosti, ale také k průniku do interní sítě, při kterých by byla využita také uživatelská hesla získaná ze souboru names.nsf a v neposlední řadě by mohl server využívat k útokům na další cíle.

Kritických zranitelností jsme detekovali více

Kromě uvedené zranitelnosti byla na jiném serveru zjištěna zranitelnost služby Server Message Block operačního systému MS Windows, kterou lze využít zasláním speciálně upraveného požadavku tomuto serveru. Server požadavek vyhodnotí jako legitimní a následně provede skript v něm uložený. Útočník má tedy možnost ovládnout inkriminovaný systém a realizovat další nežádoucí aktivity jako je např. sběr interních údajů organizace nebo útoky na další servery ve vnitřní síti. Uvedená zranitelnost je mimo jiné využívána při šíření malwaru jako je např. WannaCry nebo NotPetya, jež šifrují data na pevném disku napadeného počítače.
Přestože všechny servery umožňovaly připojení pouze prostřednictvím SSL/TLS nebylo ani toto zabezpečení v pořádku. Naopak v průběhu testu byla zjištěna podpora slabých šifer, které umožňují útočníkovi typu Man-in-the-Middle přečíst a ovlivnit komunikaci uživatele se serverem.

Jan Pawlik

Autor článku Jan Pawlik je bezpečnostní specialista ve společnosti Trusted Network Solutions, kde vede tým etického hackingu. Kromě penetračního testování se specializuje na analýzu rizik, tvorbu bezpečnostních politik, ochranu dat a osobních údajů.

Úniky osobních údajů jsou rovněž velkým rizikem

V průběhu dalšího zkoumání testovaných serverů proběhl i test e-shopu. V jeho průběhu bylo zjištěno, že není zajištěno dostatečné oddělení zákaznických objednávek, a že s využitím techniky URL tampering je možné získat přístup k souhrnu objednávek jednotlivých zákazníků, čímž byly kompromitovány také jejich osobní údaje. Kromě toho bylo možné s objednávkami manipulovat, tedy přidávat nebo odebírat objednané zboží.

Útočník ve vnitřní síti by způsobil značné škody

Druhá fáze penetračního testu byla zaměřena na interní síť a měla být realizována z pohledu útočníka, který má přístup do vnitřní sítě. Navíc na základě předchozích zjištění bylo zřejmé, že i externí útočník může lehce získat přístup k vnitřní síti.
Test vnitřní sítě jsme opět zahájili skenem dostupných zařízení a nabízených služeb. Bylo mimo jiné zjištěno, že některé servery používají stále MS Windows Server 2003, který již není podporován výrobcem a obsahuje řadu tzv. zranitelností nultého dne, které jsou ihned zneužitelné. Rovněž bylo nalezeno několik serverů, na kterých běžely zastaralé verze různých produktů, např. IIS, Apache, nebo protokol telnet.

Nejzávažnější zranitelností však byla chyba nalezená v zastaralé verzi systému HPE Integreted Lights Out. V tomto systému bylo možné s využitím speciálního skriptu vytvořit účet s právy administrátora, a to bez znalosti jakýchkoliv přístupových údajů. S využitím vytvořeného účtu jsme se připojili na terminálový server a přihlásili se údaji, které jsme získali z e-mailového serveru.
Bylo zjištěno, že je možné na terminálový server instalovat škodlivý software umožňující vzdáleně server ovládat a kontrolovat. Dále bylo zjištěno, že k terminálovému serveru je připojen mimo jiné disk, který obsahuje zálohy účetního SW a dalších důležitých systémů. K těmto datům by útočník rovněž získal přístup. Tímto byla kompromitována vnitřní síť zákazníka.

I vlastní zaměstnanci mohou představovat hrozbu

Závěrečnou částí testování byly testy typu sociální inženýrství, které měly ověřit, znalosti a odolnost zaměstnanců vůči e-mailovým a telefonickým útokům. Nejprve proběhla e-mailová kampaň, při které byla zaslána výzva ke stažení aktualizace MS Windows, ale po stažení se spustil skript, který přečetl obsah adresářů a mohl odesílat soubory nebo v některých případech také informace o účtu uživatele. Bylo zjištěno, že skript spustila téměř polovina testovaných zaměstnanců, a tedy společnost je zranitelná vůči útokům tohoto typu.

Následoval telefonický test, při kterém probíhal pokus přesvědčit vybrané zaměstnance ke sdělení svého hesla na základě připraveného scénáře. Dva z šesti kontaktovaných zaměstnanců heslo ochotně prozradili. Tím byly získány přístupové údaje nejen do domény, ale také do sítě VPN.

Další kroky byly nezbytné

Penetrační test jasně prokázal kritické nedostatky v zabezpečení síťové infrastruktury společnosti, ochrany jejich dat a informačních zdrojů. Dokázal úspěšnost útoků vedených jak z vnější, tak i z vnitřní sítě. Navíc testy sociálního inženýrství potvrdily, že ani sami zaměstnanci si nejsou vědomi bezpečnostních rizik a hrozeb.

Pro zákazníka byl test reálným pohledem na skutečné zabezpečení podniku, a také zjištěním, že jeho data a informace jsou kriticky ohroženy. Na základě zjištěných skutečností jsme následně vypracovali návrh bezpečnostních opatření, která po zavedení eliminovala detekované zranitelnosti a výrazně zvýšila celkovou úroveň informační bezpečnosti společnosti. Při předání projektu nás pak potěšila věta pana ředitele: „Bylo to drahé, ale stálo to za to!“