Одна из организаций «Росатома» начала проводить регулярный внутренний пентест с помощью мобильной версии PT Dephaze от Positive Technologies. Инструмент должен проверять внутреннюю инфраструктуру более чем по 100 техникам компрометации, включая изолированные контуры, куда не поставить привычную систему мониторинга. Для крупных компаний это практичный сдвиг: проверять не список CVE раз в полгода, а реальный маршрут, которым может пройти атакующий.
Внедрением занималась команда интегратора iTProtect, сообщает CNews. Поводом стали и прикладные задачи ИБ, и регуляторные требования: организации госкорпорации ориентируются на приказ ФСТЭК России № 117, предполагающий регулярную оценку защищенности систем и активное выявление уязвимостей. В такой логике ежегодный аудит с презентацией на сорок слайдов уже выглядит скорее архивным форматом, чем рабочим контролем риска.
PT Dephaze относится к классу решений для автоматизированной симуляции атак. Система не ограничивается инвентаризацией сервисов или поиском известных уязвимостей: она пытается использовать найденные слабые места, развить атаку внутри сети и показать, насколько далеко она может зайти. Среди проверяемых сценариев — избыточные права пользователей, ошибки сегментации, слабые парольные политики и возможности перемещения между сегментами инфраструктуры.
Для заказчика важной стала именно мобильная версия продукта. Ее можно запустить локально на переносном устройстве, например на ноутбуке, и провести проверку в закрытой сети. Такой сценарий востребован там, где контур физически изолирован, а постоянное подключение к централизованной платформе мониторинга невозможно или нежелательно. При этом это не означает, что тестирование становится бесконтрольным: действия системы выполняются с подтверждением администратора, чтобы не задеть критичные производственные процессы.
Перед внедрением iTProtect провела пилот. На нем проверяли отдельные сегменты инфраструктуры, доступные для эксплуатации уязвимости и сервисы, которым требуется усиление защиты. Отдельно оценивали настройку интенсивности атакующих действий и зон исключения — это важная деталь для предприятий, где даже корректно выполненная проверка не должна создавать лишнюю нагрузку на чувствительные системы.
По словам Кая Михайлова, руководителя отдела разработки решений информационной безопасности iTProtect, ручные проверки для крупных компаний и операторов государственных информационных систем становятся дорогими и слишком редкими. Автоматизация дает ИБ-команде регулярно обновляемую картину векторов атаки, а мобильный формат расширяет применимость подхода на закрытые площадки. Заявленный эффект — снижение нагрузки на специалистов: им не нужно каждый раз вручную воспроизводить базовые цепочки компрометации, можно сосредоточиться на разборе результатов и устранении действительно опасных путей атаки.
Для разработчиков и инфраструктурных команд здесь важен не сам факт появления еще одного сканера. Автопентест оценивает связку из уязвимости, конфигурации, прав доступа и сетевых правил. Одиночная ошибка может не выглядеть критичной в отчете сканера, но стать начальной точкой цепочки, если у учетной записи есть лишние права, а между сегментами сети открыт путь. Значит, в remediation-процесс придется включать не только патчи, но и проверку IAM, групп доступа, политик паролей и сетевой сегментации.
Регулярный внутренний пентест также меняет язык разговора между ИБ и бизнесом. Вместо абстрактного «найдено 500 уязвимостей» руководитель получает более понятный сценарий: с какого узла можно начать атаку, какие учетные данные могут быть скомпрометированы, куда удастся перейти и какие меры разорвут цепочку. Это помогает расставлять приоритеты, особенно когда закрыть все технические долги за один релиз невозможно.
Директор по продуктам для симуляции атак Positive Technologies Ярослав Бабин считает, что постоянная проверка должна показать не просто слабые места, а возможность последовательного развития атаки. После проверок заказчик получает рекомендации по устранению уязвимостей и ошибок конфигурации, а также по компенсирующим мерам. Однако главный вопрос остается организационным: смогут ли ИБ, эксплуатация и разработка достаточно быстро превращать результаты таких проверок в изменения инфраструктуры, а не в очередной отчет в системе задач.
