Пост Лукацкого

DigiCert тут провел расследования очередного инцидента, который позволил получить несанкционированный доступ к бизнес-системам, и поделился результатами. И это не та история, которая была весной, а другая (у PKIщиков что-то много их в последнее время). Если кратко, то 4 февраля 2025 года внутреннюю систему DigiCert перенесли из VPN-ограниченного сегмента в другую инфраструктурную зону, в результате чего часть функциональности неожиданно стала доступна извне, а в системе оказался включен механизм самостоятельной регистрации, первоначально предназначенный для других задач. Новые учетные записи могли создаваться без MFA. Более того, даже учетная запись без назначенного приложения могла получить доступ на чтение к архивной информации. В июне 2026 года проблему обнаружили, а 2 июля устранили доступ к архивам через этот механизм. Однако позднее выяснилось, что до устранения уязвимости злоумышленник действительно обращался к части архивных данных. Интересно в отчете DigiCert, что они докопались именно до первопричины, приведшей к инциденту, а точнее к трем из них: 6️⃣ Изменение сетевой доступности не прошло полноценный security review, поскольку рассматривалось как инфраструктурная миграция. 2️⃣ Мониторинг не был пересмотрен, хотя система стала доступна из новой среды. 3️⃣ Модель авторизации ошибочно допускала доступ без назначения необходимых прикладных полномочий. Это все к разговору о том, что ИБ и ИТ/DevOps должны быть тесно связаны, чтобы не просто своевременно выявлять и пресекать такие истории, а изначально встраивать ИБ во все изменения инфраструктуры. Иначе, если оно не считается изменением безопасности, оно способно отменить ранее существовавшие защитные предположения. Особенно если правила авторизации и мониторинга опираются на то, что система якобы недоступна извне. А последний тезис и наши УЦ регулярно используют… #инцидент #архитектура #pki