Компрометация платформ управления виртуализацией может поставить под угрозу сразу множество виртуальных машин. В зависимости от полученных прав злоумышленник способен копировать их диски, работать со снимками, менять настройки и вмешиваться в работу систем. При этом сайты и приложения могут продолжать работать без видимых сбоев.
Последствия выходят далеко за пределы утечки файлов. На серверах хранятся SSH-ключи, API-токены, пароли к базам данных, настройки VPN и резервного копирования. С их помощью атакующий может добраться до других серверов, облаков и репозиториев. А если доступ позволял изменять системы — установить бэкдоры для последующего возвращения. Закрытие исходной уязвимости само по себе такой доступ не устраняет.
Почему привычных средств защиты может оказаться недостаточно?
Антивирус и EDR внутри виртуальной машины наблюдают за гостевой ОС. Но чтение её диска средствами платформы происходит за пределами этой ОС и может остаться незамеченным. Межсетевой экран тоже не решает всю задачу: подключение с украденным ключом может соответствовать разрешённым правилам, а канал управления бэкдором — использовать обычный HTTPS.
Поэтому после такой атаки важно проверить не только файлы и настройки, но и сетевое поведение систем. Куда серверы обращаются? Какие связи появились между ними? Не передают ли они данные неизвестным получателям?
Здесь помогает NTA — анализ сетевого трафика.
Он позволяет обнаруживать активность бэкдоров и другие признаки присутствия злоумышленника:
- новые подключения по протоколам удаленного доступа SSH, RDP, VNC
- регулярные обращения к управляющим серверам;
- подозрительные DNS-запросы и туннели;
- сканирование и продвижение между узлами;
- необычные направления и объёмы передачи данных.
Даже если вредоносный код не обнаружен внутри ВМ, его сетевые взаимодействия могут выдать атакующего. Шифрование не делает соединение невидимым: для анализа остаются адреса, время, периодичность, объём обмена и доступные признаки протокола. А сохранённая история трафика помогает восстановить последовательность событий и определить, какие узлы требуют проверки.
Чтобы выявлять такую активность, NTA должен видеть внешние и внутренние соединения защищаемых систем. Обнаруженные подозрительные связи помогают определить, где искать бэкдор, какие узлы изолировать и какой доступ проверить. Вместе с анализом ВМ, журналов и перевыпуском потенциально украденных секретов это помогает найти и устранить точки присутствия злоумышленника.
Когда такая проверка нужна вчера - поможет ПАК UDV NTA 2.0:
- комплекс уже настроен, проверен на совместимость и готов к работе - инсталляция занимает пару часов, тонкая настройка - после 7 дней эксплуатации комплекса;
- включает поддержку специалистов Лаборатории кибербезопасности UDV Group;
- фиксированная стоимость.
Если предложение актуально для вас - давайте оперативно
созвонимся и обсудим вашу задачу!
UDV Group
Разработчик решений для кибербезопасности
UDV Group предоставляет единый портфель решений для защиты технологических сетей, корпоративного сегмента и автоматизации в области объектовой безопасности. Продукты компании сертифицированы ФСТЭК России.
