Шість місяців. Усі вектори. Банк вистояв.

Клієнт

Клієнт — один із п'яти найбільших комерційних банків України за активами, понад 5 000 працівників і загальнонаціональна присутність у роздрібному та корпоративному банкінгу. Банк має значну цифрову присутність — мобільний банкінг, веббанкінг і великий внутрішній технологічний парк — та безперервно працює від початку повномасштабного вторгнення в лютому 2022 року, зокрема в періоди значного навантаження на інфраструктуру.

Служба безпеки банку зріла за українськими мірками: окремий SOC, налагоджена програма управління вразливостями, регулярні зовнішні тести на проникнення, обов'язкове навчання з безпекової обізнаності для всього персоналу та формальна програма фізичної безпеки у всіх відділеннях і дата-центрах.

Проєкт ініціював CISO банку після запиту ради на незалежну перевірку програми безпеки — не для пошуку вразливостей, а щоб перевірити, чи витримає програма тривалий розумний змагальний тиск.

Виклик

Наявні щорічні тести на проникнення в банку були одномоментними оцінками — зазвичай два-три тижні, обмежені конкретними системами, виконувані ротаційним переліком вендорів. Вони надійно давали знахідки, які усували. Але у CISO була конкретна занепокоєність: тестування було передбачуваним. Вендори знали обсяг. Захист банку оптимізувався під той вид тестування, який він зазвичай отримував.

Питання, що рухало проєкт, звучало не «чи є вразливості?», а «що станеться, коли противник, який знає свою справу, місяцями чинитиме тривалий багатовекторний тиск?».

AmonSul залучили до безперервної оцінки у форматі red team із використанням повного спектра технік противника — технічних, фізичних і людських — протягом шести місяців без заздалегідь визначених обмежень обсягу.

Підхід

Обсяг і правила

Проєкт побудували як безперервну операцію з невеликою ротаційною командою red team AmonSul. Правила проведення погодили з CISO та юридичним радником, і виключили лише два обмеження: жодних збоїв у роботі живих банківських послуг чи клієнтських транзакцій і жодного використання вразливостей нульового дня, які потребують купівлі в сторонніх брокерів.

Раду банку та вище керівництво поінформували, що триває оцінка. Повсякденні підрозділи, зокрема SOC і службу безпеки, не повідомляли про графік чи обсяг проєкту, щоб зберегти автентичність перевірки виявлення та реагування.

Мережа та інфраструктура

Початкова розвідка AmonSul встановила зовнішню поверхню атаки банку: системи, доступні з інтернету, відкриті інтерфейси керування, інтеграції з третіми сторонами та дані DNS/сертифікатів. Далі слідували тривалі спроби виявлення й експлуатації вразливостей по всьому зовнішньому периметру.

Сегментацію мережі атакували окремо. AmonSul виявила кілька конфігурацій jump-станцій — застарілих адміністративних шляхів доступу для віддаленого керування — і спробувала використати їх як вектори латерального переміщення. У всіх випадках засоби сегментації мережі блокували подальше просування від jump-станції до ядра банківської інфраструктури. Архітектура сегментації витримала повністю.

Зсередини AmonSul отримала фізичний доступ до відділення методами соціальної інженерії й підключила тестовий пристрій до мережевого порту в службовому приміщенні. Спроби перейти з мережі відділення в корпоративну інфраструктуру заблокували засоби керування VLAN і автентифікація портів 802.1X.

Веб- і мобільні застосунки

Вебпортал і мобільні застосунки банку перевірили за повним переліком OWASP Top 10, OWASP Mobile Application Security і розширили атаками на бізнес-логіку, специфічними для фінансових застосунків: маніпуляція параметрами, повторне відтворення транзакцій, зловживання керуванням сесіями та підвищення привілеїв між типами рахунків.

У другорядних адміністративних інтерфейсах виявили кілька знахідок низької серйозності — переважно розкриття інформації без прямого шляху експлуатації. У жодній клієнтській чи базовій банківській системі не знайшли обходу автентифікації, підвищення привілеїв або вразливості прямого доступу до даних. Прив'язка сертифікатів і виявлення root у мобільному застосунку витримали стандартні техніки обходу.

Фізичні приміщення

Тестування фізичного доступу охопило три відділення та один дата-центр протягом шести місяців. Методи включали прохід слідом за працівником (tailgating), легенду представників вендорів-техніків і соціальну інженерію щодо працівників рецепції та господарських служб.

У двох із трьох відділень спроби фізичного доступу працівники зупиняли за лічені хвилини. У третьому AmonSul ненадовго вдалося потрапити до службового приміщення, перш ніж її зупинили й попросили пред'явити документи. Доступу до захищених зон, серверних чи мережевої інфраструктури не отримали в жодній локації.

Людський чинник: фішинг і соціальна інженерія

За шість місяців AmonSul провела три фішингові кампанії, кожна з іншою легендою та механізмом доставки:

• Кампанія 1: збір облікових даних через підроблене сповіщення внутрішнього ІТ-порталу
• Кампанія 2: лист із доставкою шкідливого ПЗ у троянізованому документі Office, приурочений до реальної галузевої конференції, у якій брав участь банк

У всіх кампаніях працівники або не переходили за посиланням, або повідомляли про підозрілий лист службі безпеки. Жодних облікових даних не зібрали. Жодне навантаження не виконалося на пристрої, що перебуває під керуванням банку.

Фальшиве співбесіда з рекрутером

AmonSul провела цільову атаку за сценарієм фальшивої співбесіди з рекрутером — вектор, дедалі частіше використовуваний атакуючими, пов'язаними з державою, щоб доставити шкідливе ПЗ конкретним особам. З працівником банку зв'язалися через професійну мережу й запросили на «технічну співбесіду» на старшу посаду у вигаданій фірмі. Співбесіда включала кодувальне завдання, поширене як стиснений архів із приманкою-навантаженням.

Навантаження виконалося — на особистому пристрої працівника, а не на пристрої банку. Це продемонструвало винятково високу дисципліну безпеки: працівник правильно розділяв робочу й особисту активність і не використовував системи під керуванням банку для особистого процесу пошуку роботи. Навантаження не потрапило в корпоративне середовище банку.

Знахідки

Після шести місяців безперервного тестування знахідки AmonSul були такими:

• Критичні вразливості: 0
• Високі вразливості: 0
• Середні вразливості: 3 (усі в непродуктивних адміністративних інструментах без прямого шляху експлуатації до ядра банківських систем)
• Низькі вразливості: 8 (розкриття інформації, незначні проблеми конфігурації)
• Людські вектори: 0 успішних компрометацій

Кожну знахідку задокументовано з повними технічними подробицями, аналізом шляху експлуатації та конкретним засобом контролю, який запобіг ескалації.

Результат

Проєкт дав повний звіт із підтвердженням, що документує кожен тестовий сценарій, техніку, вектор і результат за шість місяців, зокрема явне зіставлення того, які засоби контролю зупинили які атаки.

Звіт представили раді банку як доказ того, що багаторічні інвестиції в безпеку пройшли перевірку на міцність у справжніх змагальних умовах і витримали. Знахідки використали для підтримки запиту на бюджет безпеки на наступний рік — не для усунення критичних вразливостей, а щоб продемонструвати зрілість програми та визначити напрями, де подальші інвестиції посилять стійкість, а не закриють наявні прогалини.

Три знахідки середньої серйозності в адміністративних інструментах усунули протягом 30 днів після звіту. Оцінка людського чинника підтвердила ефективність програми безпекової обізнаності банку й дала конкретні поведінкові дані — зокрема результат сценарію з фальшивою співбесідою, — які використали для оновлення навчальних матеріалів про гігієну особистих пристроїв.

Відтоді банк залучив AmonSul до щорічної оцінки red team як постійної програми — розглядаючи безперервну змагальну перевірку як операційну дисципліну, а не одноразову вправу.