Серверная без присмотра: как дыра в системе охлаждения могла обойтись в 4 млн рублей

Пришёл на плановый аудит в производственную компанию проверить доступы и пароли — а нашёл, что любой человек в офисной сети мог одной командой отключить охлаждение в серверной и положить всю базу компании.
Компания — среднее производство, около 120 человек. Своя серверная комната: там крутится 1С, CRM с базой клиентов, система учёта склада и архив видеонаблюдения. Ничего экзотического, обычная инфраструктура, которую держат сами, чтобы не платить за облако. Пришёл делать стандартный аудит доступов — кто и куда может зайти, у кого какие пароли. Заодно решил посмотреть, что вообще происходит в серверной физически. И тут началось интересное.
Где была дыра
Система кондиционирования в серверной управлялась через отдельный маленький контроллер — обычная история для инженерного оборудования: его один раз настроили при установке и забыли. Проблема в том, что этот контроллер сидел в той же локальной сети, что и рабочие компьютеры бухгалтерии, склада и производства. Управлялся он по старому промышленному протоколу без какого-либо пароля и шифрования — кто угодно с доступом к сети мог отправить контроллеру команду и выключить охлаждение или сбить температуру.
То есть теоретически это мог сделать не только внешний злоумышленник, если бы пробрался в сеть, но и любой сотрудник с обычным ноутбуком, подключённым к офисному Wi-Fi. Случайно, из любопытства или намеренно — не суть. Дверь была открыта настежь, просто про неё никто не знал, потому что это «не ИТ, а кондиционер».
Сколько это могло стоить
Посчитали вместе с руководителем, что произойдёт, если сервер перегреется и аварийно выключится в разгар рабочего дня. Встаёт 1С — значит, останавливается отгрузка и закупки. Встаёт CRM — менеджеры теряют доступ к базе клиентов и текущим сделкам. Если сервер не просто перегреется, а выйдет из строя физически, добавляется восстановление данных и замена оборудования.
По грубой прикидке простой производства и отгрузок на сутки-двое плюс возможные штрафы за срыв поставок клиентам — это от 3 до 4 миллионов рублей. И это без учёта репутационных потерь, если клиенты узнают, что заказ задержали из-за сломанного кондиционера.
Мы никогда не считали кондиционер частью ИТ-инфраструктуры. Это же просто климат-контроль, — сказал руководитель, когда увидел схему сети.
Что сделал
Работы заняли два дня. Контроллер климат-контроля вынесли в отдельный изолированный сегмент сети — теперь он физически не виден из общей офисной сети, куда подключаются рабочие компьютеры и гостевой Wi-Fi. На панель управления поставили пароль, доступ к настройкам оставили только у ответственного инженера. Отдельно настроил уведомление: если температура в серверной выходит за нормальный диапазон, руководителю сразу приходит сообщение в рабочий мессенджер компании — можно среагировать до того, как сервер начнёт аварийно выключаться.
Стоимость всей работы оказалась в разы ниже, чем один день простоя производства из-за перегретого сервера. Собственнику не пришлось покупать новое оборудование или менять инфраструктуру — только закрыть дыру, которую никто не замечал, потому что искали угрозы совсем в другом месте.
Это довольно типичная история: инженерные системы — кондиционеры, контроль доступа в помещения, камеры видеонаблюдения — почти никогда не попадают в периметр, который бизнес считает ИТ-безопасностью. А между тем именно через них часто и происходит самое обидное — не взлом ради данных, а банальная остановка работы.
А вы уверены, что в вашей серверной или подсобке с оборудованием никто посторонний не может дотянуться до выключателя охлаждения?<a href="https://ciologia.ru/r/9269">Полный разбор с деталями кейса →</a><a href="https://ciologia.ru/proverka?utm_source=vc&utm_medium=social&utm_campaign=ciologia_always&utm_content=9269">Бесплатный аудит безопасности</a><a href="https://ciologia.ru/calc?utm_source=vc&utm_medium=social&utm_campaign=ciologia_always&utm_content=9269">Сколько стоит взлом</a><a href="https://t.me/ciologia">Канал в Telegram</a><a href="https://max.ru/id470310200510_biz2">Канал в MAX</a>