Письмо CSO

Дорогой Chief Security Officer!

Заработали на твоей сети уже столько денег, что решили написать благодарность.

О тебе

Мы видим тебя периодически на конференциях. Ты внимательно слушаешь и записываешь умные мысли, которые говорят вендоры, но мы тебе очень благодарны, что ты не применяешь то, что тебе говорят на практике. Правда, чаще всего мы тебя видим во время конференций в барах и ресторанах, особенно если конференция проходит где-нибудь на берегу моря.

О защите в твоей сети

Твоя сеть защищена замечательным межсетевым экраном очень известного вендора. Но правила на этом межсетевом экране были настроены интегратором в лохматом году, а логи там не читают, а просто периодически удаляют, когда место на диске заканчивается. Ну и правильно! Чтение логов и нахождения там нарушений политики безопасности это ведь очень скучный и нудный процесс.

О защите рабочих станций

У всех твоих сотрудников установлен замечательный антивирус, но они его чаще всего отключают, поскольку считается, что он сильно затормаживает компьютер. И это правильно, то не дай бог он найдет наши специально для твоей сети написанные трояны.

А вот с нелицензионным Windows XP ты конечно знаешь что у тебя происходит. Обновления там не устанавливались с момента установки этого Windows и это хорошо. Имеющиеся там уязвимости помогают нам устанавливать на эти компьютеры трояны, просто переслав по электронной почте твоим пользователям ссылку на страницу, где они и заражаются через дырку в эксплорере. Хотя, опять же, половина твоих пользователей имеет уязвимость в собственной голове: они умудряются запускать трояны, которые мы просто присылаем от твоего имени по почте, с каким-нибудь предлогом, ну например, как свежее обновление Windows.

О почтовом сервере

Ты извини, что мы иногда заходим на твой почтовый сервер по RDP с паролем администратора посмотреть каких новых пользователей вы завели. Просто хочется их тоже включить в нашу bot сеть. Ну, а RDP вы правильно не закрываете снаружи. Нам по нему очень удобно управлять сетью. Ну и пароль вы правильно уже не меняли два года, а то два года назад нам пришлось подбирать его. Ужас как трудно было. Целых 10 минут подбирали. Чтобы найти пароль просто посмотрели имя твоего администратора и его день рожденья. Эти данные написаны в его резюме на hh.ru.

О WEB сервере

А раньше мы получали доступ к твоей базе данных через SQL Injection в твоем WEB cервере. Как правильно было тебе все-таки разместить все сервера в одной DMZ и дать им доступ друг к другу. А то, что для SQL севера зачем то разрешены все соединения наружу в Интернет – это тоже приятно. Очень удобно копировать базу данных.

А ты вообще в курсе, что твои администраторы выкладывают конфиденциальные документы прямо на веб сервер чтобы потом посмотреть их дома и потом их не удаляют? Эти документы можно найти в Google, ведь он же индексирует твой WEB сервер и сохраняют документы у себя в кэше.

О твоих подчиненных

А твой WEB программист просто лучший. Он умудряется общаться в нашем хакерском форуме и спрашивает нас (sic!) как лучше защитить твой WEB сервер и при этом выкладывает исходники SQL процедур со всеми именами таблиц которые использует твой SQL сервер. Спасибо ему большое! Нам сразу стало понятно как лучше заюзать SQL injection. Ну мы ему естественно даем советы «как лучше защитить WEB сервер». Гы.

И вообще твои администраторы лучшие. Они так любят поиграть в Counter Strike когда ты на очередной конференции. И именно в это время мы используем ресурсы твоей сети по максимуму для того чтобы разослать SPAM или сделать кому-нибудь DDoS. Ведь администраторам некогда реагировать на жалобы пользователей что сетка медленно работает.

А пользователи твои тоже отличные. Они постоянно дают друг другу свои пароли. Нам так приятно иногда посмотреть как на одном сервере сидит десять Петровых или двадцать Васечкиных. Ты слышал вообще, что есть системы мониторинга действий пользователей?

В заключение

Спасибо тебе большое, что ты такой занятой человек, весь в заботах и разъездах. Ведь начальство тебя так любит: в сети за время твоей работы не было ни одного серьезного инцидента. Это мы тебя бережем. А то не дай бог кто еще позарится на твою сеть. Все появляющиеся вирусы ты либо лечишь своим модным антивирусом (естественно подождав, когда он выпустит свои модные сигнатуры), либо переустанавливаешь винды. Мы прекрасно знаем, что ты периодически заказываешь аудит безопасности своей сети и оценку рисков, о чем ты с радостью докладываешь на конференциях. Но несмотря на то, что тебе постоянно указывают на опасность получения вирусов и спама по почте, заражения через дырки в Internet Explorer и Outlook ты продолжаешь закупать поддержку для антивируса и файрвола и на этом успокаиваешься. Мы тоже считаем, что нечего тебе тратить средства на современные технологии защиты типа поведенческих антивирусов, систем предотвращения атак, систем анализа поведения пользователей и т.д.

Так что спасибо за постоянное поддержание нашего сегмента bot-сети в работоспособном состоянии.

Твои неизвестные хакеры