Сотрудник инженерного отдела едва не остановил работу целой компании, решив в свободное время разобраться в устройстве внутренней сети при помощи сетевого сканера Nmap.
История произошла около десяти лет назад в компании среднего размера, где было собственное производство и несколько отделов — от продаж до инженерии. Один из руководителей команд, отвечавших за разработку тестового оборудования, в пятницу днём от скуки начал изучать Nmap — популярную программу для сканирования сетей. Инструмент ему понравился, и возникла идея запустить его не на паре машин, а на всей корпоративной сети, чтобы посмотреть, как она устроена изнутри.
Сканирование он запустил перед уходом на выходные, оставив ноутбук работать без присмотра. В понедельник утром лэптопа на месте не оказалось — устройство забрали. Вскоре к сотруднику подошёл нервный руководитель IT-отдела с кругами под глазами.
Выяснилось, что в субботу и воскресенье глава IT и операционный директор компании пытались подключиться к офисной сети через VPN, но сеть оказалась полностью перегружена и не отвечала. После долгих поисков причины неполадки специалисты вычислили источник — ноутбук сотрудника. Как только устройство отключили от сети, всё заработало снова.
Дальше последовал разбор произошедшего. Сотрудник решил не объяснять реальную причину и сослался на недавнюю командировку в Китай, предположив, что мог заразить машину вирусом во время поездки. Версия сработала: ноутбук отправили на проверку, где почти неделю искали вредоносное ПО, но ничего не нашли. В итоге устройство вернули владельцу вместе с предупреждением быть осторожнее в зарубежных поездках. В целом всё обошлось.
Случай показывает, к чему может привести бесконтрольное сканирование корпоративной сети: массовый опрос узлов способен создать такую нагрузку на оборудование и каналы связи, что легитимные пользователи и VPN-подключения перестанут работать.
Чтобы избежать подобных сбоев, компаниям стоит ограничивать использование сетевых сканеров рамками согласованных процедур, фиксировать, кому и для каких целей разрешён доступ к таким инструментам, и настраивать мониторинг, который позволяет быстро отличить внутреннее тестирование от внешней атаки.