Удалённый доступ подрядчика открывал вход не туда, куда думали

Настроенный «безопасный» удалённый доступ для подрядчика на деле давал ключ не к одному серверу, а ко всей сети производственной компании. Разбираюсь, как так вышло и во что это могло обойтись бизнесу.
Пришёл на аудит в производственную компанию средних размеров — своего ИТ-специалиста нет, всё держится на приглашённом подрядчике и главном инженере, который «немного шарит». Задача была скромная: проверить бухгалтерский контур перед сдачей отчётности. Но в процессе всплыло другое — и куда более серьёзное.
Где была дыра
Года два назад компания подключила внешнего подрядчика для обслуживания сервера с базой 1С. Чтобы не открывать сервер напрямую в интернет, выбрали современную схему — удалённый доступ без открытых портов через посредника, отечественную разработку. Идея правильная: подрядчик заходит через защищённый канал, порты закрыты, вроде всё аккуратно.
Проблема оказалась не в самой технологии, а в том, как её настроили. Правило доступа прописали не «пускать только к серверу базы», а фактически «пускать во внутреннюю сеть». Разница на бумаге — пара строк в настройках. Разница на практике — подрядчик, а вместе с ним любой, кто получил бы его учётные данные, мог достучаться не только до 1С, но и до файлового сервера с чертежами, до почтового сервера и до бухгалтерских баз с зарплатами сотрудников.
Сколько теряли
На сервере с открытым по факту доступом хранилась база из 14 тысяч клиентов, прайс-листы с индивидуальными скидками для крупных заказчиков и вся бухгалтерия за три года. При утечке или атаке шифровальщиком — а через такую дыру его занести не сложнее, чем письмо с вложением, — компания рисковала не просто простоем на восстановление данных.
Утечка прайсов с персональными скидками — это прямой путь к тому, что конкуренты начинают точечно предлагать клиентам условия чуть лучше. Утечка базы клиентов — штрафы по закону о персональных данных и удар по репутации у крупных заказчиков, для которых конфиденциальность контрагентов — часть договора. По грубой оценке, совокупный ущерб от такого сценария — от 3 до 8 миллионов рублей, если считать штрафы, потерю нескольких крупных клиентов и остановку производства на время восстановления.
Как закрыл
Работы оказалось на день. Пересобрал правило доступа так, что подрядчик видит и трогает только один нужный сервер, а не всю сеть. Для остальных сотрудников с удалённым доступом сделал то же самое — у каждого доступ ровно к тем ресурсам, которые нужны по работе, не больше. Отдельно настроил уведомление руководителю в мессенджер при каждом новом подключении подрядчика извне — чтобы не зависеть от того, вспомнит ли кто-то посмотреть логи.
Стоимость этой настройки — не сопоставима даже с одним из перечисленных рисков. Собственник сам сказал: дешевле было бы нанять человека на постоянку, чем потом объяснять клиентам, почему их данные оказались не там, где обещали.
Дыра здесь была не в технологии — сама схема удалённого доступа без открытых портов рабочая и разумная. Дыра была в том, что настройку сделали один раз и больше к ней не возвращались, а объём доступа подрядчика никто не пересматривал два года.
А вы уверены, что доступ вашего подрядчика или удалённого сотрудника ограничен именно тем, что ему нужно для работы, а не всей вашей сетью?<a href="https://ciologia.ru/r/13028">Полный разбор с деталями кейса →</a><a href="https://ciologia.ru/proverka?utm_source=vc&utm_medium=social&utm_campaign=ciologia_always&utm_content=13028">Бесплатный аудит безопасности</a><a href="https://ciologia.ru/calc?utm_source=vc&utm_medium=social&utm_campaign=ciologia_always&utm_content=13028">Сколько стоит взлом</a><a href="https://t.me/ciologia">Канал в Telegram</a><a href="https://max.ru/id470310200510_biz2">Канал в MAX</a>