Как «обычный» доступ превращается в полный контроль
Как «обычный» доступ превращается в полный контроль В Tailscale нашли 11 критических проблем: рядовой SSH-доступ можно было поднять до root, а закрыть часть дыр пока нечем. Недавно ко мне пришёл владелец небольшой оптовой фирмы. Двенадцать человек, склад в области, два офиса. Удалённый доступ к серверам у них давно организован через одну из зарубежных сетей-туннелей, и все были уверены: раз вход по ключам, значит, надёжно. На днях в таких сервисах обнаружили целый набор проблем: человек с самым обычным доступом по SSH мог получить права администратора на всём сервере. Подробности опубликованы, а исправлений для части дыр пока нет. Именно поэтому я сразу поехал к клиенту, не дожидаясь, пока этим заинтересуется кто-то другой. Где была дыра Простыми словами: в фирме выдавали доступ всем подряд. Бухгалтер, склад, внешний подрядчик, уволенный полгода назад менеджер, у которого никто не отозвал ключ. Каждый из них формально «обычный пользователь». Но если обычный пользователь способен стать полным хозяином сервера, то граница между ним и владельцем бизнеса держится на честном слове. На этом сервере лежали 1С, клиентская база и вся переписка по сделкам. Потеря базы для такой фирмы означает недели ручного восстановления, сорванные отгрузки и клиентов, которые уйдут к конкурентам. По грубой прикидке владельца, неделя простоя обошлась бы больше чем в миллион рублей. Что я сделал • Составил список всех, у кого есть доступ, и закрыл ключи уволенных и подрядчиков, чей проект давно закончен • Разделил права: каждому только то, что нужно для его работы, а полный доступ остался у двух человек • Убрал вход под общей учётной записью, чтобы любое действие было привязано к конкретному человеку • Настроил уведомление руководителю в мессенджер: при каждом входе с повышенными правами ему приходит сообщение Теперь, даже если проблему в самом сервисе не закроют ещё какое-то время, воспользоваться ею уже не получится: лишних людей с доступом просто нет, а любой подозрительный вход владелец увидит сам, в течение минуты. Закрыть чужую уязвимость вы не в силах. Зато вы можете сделать так, чтобы ею было некому воспользоваться. Вся работа заняла два дня и обошлась в разы дешевле одной недели простоя. Владелец признался, что про ключ уволенного менеджера даже не вспоминал. А у вас доступы уволенных сотрудников и подрядчиков точно закрыты? #безопасность #доступы #малыйбизнес #ИБ Полный разбор с деталями кейса → Бесплатный аудит безопасности Сколько стоит взлом Канал в Telegram