Артём Избаенков: «Исправность оборудования и его защищённость нужно проверять отдельно»

Вчера в 10:19

Физические системы банков — видеонаблюдение, СКУД, охранная сигнализация, банкоматы, контроллеры инженерного оборудования — всё чаще подключены к корпоративным сетям и системам удаленного управления. Это упрощает эксплуатацию, но одновременно расширяет цифровой периметр организации. Если административные интерфейсы доступны извне, а оборудование работает с устаревшими прошивками и общими учетными записями, оно может стать точкой входа для атаки или источником данных о работе отделения.

О том, какие ошибки наиболее опасны и какие события должны видеть SOC и SIEM, рассказал Артём Избаенков, директор продукта Solar Space ГК «Солар».

— Насколько веб-интерфейсы СКУД, видеосерверов, систем сигнализации, банкоматов и контроллеров инженерной инфраструктуры банков заметны для злоумышленников при массовом автоматизированном поиске уязвимостей? Какие типовые ошибки делают такие системы доступными для внешней атаки?

Артём Избаенков: У банковского здания есть цифровой периметр. В него входят и двери, и камеры, и инженерное оборудование. Если интерфейс управления доступен из интернета, он может попасть в автоматизированную разведку так же, как любой другой сетевой сервис. По характерным ответам и страницам входа можно определить производителя, семейство устройства, а иногда и версию программного обеспечения.

Сегодня существуют сервисы, например Censys, которые уже собрали огромные базы доступных из интернета устройств и регулярно обследуют публичное пространство IPv4. Это фактически поисковики по сетевой инфраструктуре. Массовое сканирование сотен миллионов адресов в течение суток — техническая реальность. При этом выявить доступный сервис и проверить его на конкретную уязвимость — разные задачи: такая база показывает потенциальные цели для дальнейшей проверки, а не список гарантированно взламываемых систем.

Злоумышленникам необязательно начинать с изучения конкретного банка. Они могут использовать накопленные поисковыми сервисами сведения или собственные сканеры, собирать актуальную информацию и быстро замечать изменения в интересующих сетях. Когда появляется новая уязвимость, часть разведки уже проведена: остается сопоставить её с известными устройствами и версиями. В такой ситуации даже временно открытая административная панель может привлечь внимание.

Типовые причины внешней доступности обычно прозаичны: открытый порт для обслуживания, временная публикация панели на период монтажа, слишком широкие сетевые разрешения, забытый доступ подрядчика. Бывают и неучтенные подключения через сервис производителя. Рассчитывать на незаметность служебной панели опасно. Банк должен знать обо всех путях управления оборудованием и понимать, зачем нужен каждый из них.

— Какие последствия может иметь компрометация таких систем для банка? Например, возможны ли отключение или изменение настроек оборудования, доступ к видеоархиву и журналам прохода, нарушение работы объектов, а также использование скомпрометированного устройства как точки входа во внутреннюю ИТ-инфраструктуру?

Артём Избаенков: Для нарушения работы отделения злоумышленнику необязательно добраться до платёжной системы. Риск возникает и при получении управления оборудованием, от которого зависит работа самого объекта.

В пределах полученных полномочий атакующий может просматривать видео и архив, менять настройки записи, удалять локально хранящиеся материалы. В СКУД возможны изменения прав пропусков, расписаний доступа и доступных системе режимов управления дверями. В охранной и инженерной инфраструктуре — изменение настроек и нарушение штатной работы. Масштаб зависит от конкретной системы: компрометация центрального сервера управления может затронуть сразу множество подключенных устройств.

Есть и менее заметное последствие — наблюдение за жизнью объекта. Видео и журналы проходов могут раскрывать присутствие сотрудников, перемещения людей и особенности работы охраны. Камера может исправно показывать изображение — просто его видит еще и посторонний.

Источником сведений становятся и неправильно утилизированные служебные документы: контакты, внутренние регламенты, схемы взаимодействия. Выброшенный документ иногда рассказывает об организации больше, чем её официальный сайт. Поэтому работа с бумажными носителями тоже относится к защите информации.

ИИ ускоряет извлечение пользы из таких находок. Например, ML-модели распознавания текста могут превратить фотографии выброшенных документов в материал для автоматического анализа, а LLM — выделить в нём имена, роли, регламенты и связи с другими сведениями.

Так физическая утечка становится основой для дальнейшей цифровой разведки. На стороне банка поведенческие модели помогают замечать необычные обращения к архивам и передачу данных, а языковые модели — быстрее разбирать связанные события и оценивать, какие объекты затронуты.

Использовать захваченное устройство для продвижения во внутреннюю ИТ-инфраструктуру возможно, если этому помогают разрешенные сетевые соединения, общие учетные данные или другие уязвимости. Поэтому риск камеры определяется в том числе тем, куда ей разрешено обращаться. Для банкоматов нужна отдельная оценка: доступная административная страница сама по себе еще не означает возможность выдачи наличных — для этого необходимо преодолеть защиту соответствующих программных и аппаратных компонентов.

— Какие уязвимости и ошибки эксплуатации наиболее характерны именно для подключенных физических систем? Насколько критичны использование стандартных паролей, устаревших прошивок, открытых административных панелей, небезопасного удалённого доступа и отсутствие сегментации сети?

Артём Избаенков: Специфика таких систем — длительный срок эксплуатации и зависимость от специализированного обслуживания. Камера показывает, дверь открывается, контроллер поддерживает температуру, и это создает ощущение, что всё в порядке. При этом программное обеспечение может уже не получать исправлений, а доступ подрядчика — оставаться открытым после завершения работ. Исправность оборудования и его защищённость нужно проверять отдельно.

Заводские пароли, один пароль на множество устройств, общие административные учетные записи, устаревшие прошивки, ненужные сетевые службы и незащищенные соединения действительно критичны. Особенно опасно их сочетание. Общий пароль увеличивает последствия утечки, уязвимость может дать права сверх предусмотренных, а отсутствие сегментации открывает возможности для дальнейшего продвижения по сети.

ИИ делает старые ошибки эксплуатации опаснее: их проще находить и использовать повторно. LLM помогает атакующему разобраться в незнакомом оборудовании и автоматизировать работу с известными инструментами. Защитникам языковая модель может помогать сопоставлять рекомендации производителя с перечнем устройств и их версиями. Но применимость уязвимости и безопасность обновления нужно подтверждать: уверенный ответ модели еще не означает, что она верно поняла конкретную систему.

— Какой минимальный набор мер киберзащиты необходим для таких систем в банке? Какие меры должны быть обязательными помимо защиты веб-приложений: изоляция в отдельном сегменте сети, многофакторная аутентификация, PAM, защищённый удалённый доступ, контроль обновлений, инвентаризация активов и журналирование действий администраторов?

Артём Избаенков: Минимум начинается с понимания, какое оборудование установлено, кто за него отвечает и кому разрешено им управлять. Видеонаблюдение, СКУД, инженерные системы и банкоматы должны иметь отдельные, обоснованные границы сетевого доступа. Широкий угол обзора камеры не должен означать широкие права в сети.

Административные панели нужно закрыть от прямого доступа из интернета. Сотрудникам и подрядчикам следует подключаться через защищенный шлюз, под личными учетными записями, с подтверждением входа вторым фактором.

Административные права и действия необходимо контролировать, в том числе с помощью PAM — системы управления привилегированным доступом. Если устройство старое, эти механизмы можно обеспечить на шлюзе, исключив возможность его обойти. У каждого сервисного доступа должны быть имя, задача и срок действия.

Далее нужны уникальные пароли, проверенные обновления, централизованные журналы и возможность восстановить настройки. Для критичных объектов важны защита связи от DDoS и испытанные резервные каналы. Всё это следует проверять на практике: резерв полезен только тогда, когда оборудование действительно умеет на него переключаться и продолжать работу.

ИИ полезен для инвентаризации и анализа событий: LLM помогает разбирать находки, ML — выделять нетипичное поведение. ИИ-агенту атакующего тоже нужны доступные цели: сегментация сети и ограничения прав сокращают его возможности. Собственным агентам банка нужны отдельные учетные записи, минимальные права и журнал действий. Реакции, затрагивающие двери, сигнализацию и инженерное оборудование, должны подчиняться заранее согласованным правилам безопасности.

Сервисы класса WAF помогают защищать веб-интерфейсы и API, фильтруя веб-трафик. При этом другие протоколы, сервисный доступ и действия администраторов требуют собственных мер защиты. Изменения необходимо согласовывать с эксплуатационными подразделениями и физической охраной, чтобы сохранить безопасную работу оборудования и возможность эвакуации.

— Какие события от подключенных физических систем необходимо в первую очередь передавать в SOC/SIEM? Какие признаки могут указывать на попытку компрометации ещё до того, как она повлияет на работу СКУД, видеонаблюдения, банкоматов или инженерной инфраструктуры?

Артём Избаенков: Центр мониторинга безопасности должен видеть, кто управляет физической системой, что меняется в ее настройках и с кем она взаимодействует по сети. Оборудование может оставаться работоспособным на ранних этапах компрометации, поэтому ждать только сигнала об отказе недостаточно.

В первую очередь важны входы и изменения полномочий: успешные и неуспешные попытки авторизации, подключения с новых источников, появление администраторов, изменение прав, использование сервисного доступа вне согласованных работ. Успешный вход с правильным паролем может заслуживать не меньшего внимания, чем серия неудачных попыток.

Следующая группа — изменения программного обеспечения и конфигурации: новая прошивка, откат версии, сброс настроек, включение удаленного управления, установка неизвестной программы. Нужно видеть и изменения физических функций: новые пропуска и расписания в СКУД, отключение записи и изменение срока хранения видео, перенастройку охранных зон и контрольных значений инженерных систем.

Отдельного внимания требуют необычный просмотр или массовый экспорт видеоархива, выгрузка журналов прохода, передача данных новому получателю. Важны нетипичные сетевые связи — например, когда камера обращается к корпоративным серверам, с которыми ей не требуется взаимодействовать, или контроллер устанавливает соединение с неизвестным внешним адресом.

Также нужно отслеживать очистку журналов, отключение аудита, изменение времени и прекращение поступления событий. Для банкоматов добавляются сигналы средств защиты, открытия сервисной части, подключения новых устройств и изменения системного ПО — с учетом возможностей конкретной платформы.

Ранее RUБЕЖ писал, что видеонаблюдение, СКУД, охранная сигнализация и инженерные системы в банках всё чаще объединяются с ИТ-инфраструктурой объекта. Такая интеграция повышает управляемость и скорость реакции, но одновременно требует рассматривать подключённое оборудование как часть цифрового периметра и включать его в общую модель защиты. Подробнее — в материале: «Банки снимают розовые очки: курс на технологический суверенитет, комплексную защиту, реконструкцию».