Особу клієнта, позначення підрозділу та конкретні оперативні подробиці засекречено. Обсяг робіт і результати опубліковано в узагальненому вигляді з дозволу.
Клієнт
Клієнт — український військовий підрозділ, що перебуває на активній службі й експлуатує ERP-інфраструктуру для керування логістикою, координації ланцюга постачання та розподілу ресурсів. Система обробляє дані, що мають пряме операційне значення для активних військових дій.
Технічний персонал підрозділу розгорнув ERP-систему в умовах воєнного часу, віддаючи пріоритет оперативній швидкості, а не посиленню безпеки. З моменту розгортання система не проходила формальної оцінки безпеки.
Виклик
У лютому 2025 року ІТ-керівництво підрозділу визначило, що інтернет-доступні компоненти ERP-системи потребують оцінки безпеки. Занепокоєння було не абстрактним: інтерес противника до даних української військової логістики добре задокументований. Атакуючі, пов'язані з державою, зокрема асоційовані з ГРУ та ФСБ, послідовно націлюються на системи військового постачання та логістики від початку повномасштабного вторгнення.
Підрозділ не виконував вправу з відповідності. Питання стояло прямо: чи відкриває ця система дані логістики, які може використати противник, і якщо так, як швидко можна закрити цю прогалину?
AmonSul залучили для цільового тестування на проникнення ERP-середовища — рівня застосунку, механізмів автентифікації та засобів контролю доступу до даних — з прискореним графіком і звітуванням із негайними діями.
Підхід
Обсяг
Оцінку обмежили рівнем застосунку ERP і його допоміжною інфраструктурою: вебінтерфейсом, механізмами автентифікації та керування сесіями, моделлю привілеїв користувачів, кінцевими точками API та засобами контролю доступу до бази даних.
Тестування мережевого рівня ширшої ІТ-інфраструктури підрозділу було поза обсягом. Підрозділу потрібна була цільова, швидка оцінка конкретної системи, а не широкий огляд інфраструктури.
Автентифікація та керування сесіями
Початкова оцінка AmonSul рівня автентифікації виявила кілька слабких місць у реалізації керування сесіями. Токени сесій генерувалися з недостатньою ентропією, що створювало теоретичний шлях передбачення токена. Процеси скидання пароля містили логічну помилку, яка дозволяла перебирати чинні імена користувачів без спрацювання блокування облікового запису. Багатофакторну автентифікацію не було запроваджено для привілейованих облікових записів, що мають доступ до модулів даних логістики.
Кожну з цих вразливостей окремо оцінили як середньої серйозності — жодна не давала прямого несанкціонованого доступу до даних. Разом вони створювали реалістичний шлях атаки, яким міг би пройти вмотивований противник середньої кваліфікації.
Оцінка ризику в операційному контексті
Виявлені вразливості оцінили як середньої серйозності за стандартною методологією CVSS — вони вимагали автентифікації, і жодна не давала прямого доступу на рівні системи.
Оцінка AmonSul суттєво підвищила класифікацію операційного ризику порівняно з рейтингом CVSS. У контексті активної військової операції:
- Хибна конфігурація модуля звітності давала ширший огляд закономірностей логістики між підрозділами, ніж мав би мати будь-який користувач із низькими привілеями
- Поєднання слабких місць автентифікації створювало реалістичний шлях компрометації облікових даних, для якого не потрібно було експлуатувати жодну окрему вразливість високої серйозності
У звіті задокументовано повний ланцюг атаки: скористатися слабкою ентропією токенів сесій, щоб скомпрометувати сесію, і використати хибну конфігурацію звітності, щоб скласти ширшу оперативну картину.
Операційні наслідки виконання цього ланцюга державним атакуючим було оцінено як високі, незалежно від технічних рейтингів CVSS окремих компонентів.
Результат
Звіт передали протягом 24 годин після завершення тестування. Технічний персонал підрозділу усунув усі виявлені вразливості протягом наступного тижня:
- Генерацію токенів сесій замінили на криптографічно стійку реалізацію
- MFA запровадили для всіх облікових записів із доступом до модулів даних логістики
Після усунення AmonSul провела перевірочне тестування, щоб підтвердити ефективність кожного виправлення. Усунення всіх вразливостей підтверджено.
З моменту проєкту ERP-систему не було успішно скомпрометовано. ІТ-керівництво підрозділу запровадило постійну вимогу проводити оцінку безпеки будь-якої системи, доступної ззовні, перед оперативним розгортанням.
Цей проєкт підкріпив принцип, який AmonSul послідовно застосовує в роботі з військовим і оборонним секторами: стандартні рамки оцінки серйозності відкалібровані для комерційних контекстів. Операційні наслідки розкриття даних в умовах активного конфлікту потребують окремої оцінки ризику, що відображає реального противника та реальні дані під загрозою, а не абстрактний рейтинг CVSS.
“У воєнний час не існує знахідки середньої серйозності в системі логістики.”