SCCM под угрозой: устраняем ошибки конфигурации

Значимый прорыв формирует отрасль ИИ: BiZone_team 5 минут назад SCCM под угрозой: устраняем ошибки конфигурации Средний 34 мин 113 Блог компании BI. ZONE Информационная безопасность * Туториал Привет! Меня зовут Александр Кузнецов, я специалист по проактивному выявлению угроз в BI.

В новой статье поговорим о менеджере конфигураций SCCM, который широко используется в российских компаниях. Ошибки в его настройке могут дать атакующему полный контроль над инфраструктурой. В материале разбираем типовые мисконфигурации и способы защиты от них.

Технические детали

ВведениеMicrosoft Configuration Manager, более известный как System Center Configuration Manager (SCCM), — программный комплекс Microsoft, позволяющий администраторам централизованно управлять серверами и рабочими станциями из единой консоли. ZONE SOC, он развернут в 25% российских организаций, преимущественно крупных, где особенно актуален из-за большого числа пользователей и устройств. Это делает его привлекательным вектором для атак.

Успешный захват управления SCCM, как правило, дает полный контроль над инфраструктурой компании, в частности, позволяет:получить доступ к административным привилегиям,горизонтально перемещаться внутри инфраструктуры,собирать информации о пользователях и устройствах,закрепиться в инфраструктуре и выполнять произвольный код на любом подконтрольном устройстве,управлять политиками и соответствием клиентов. Также контроль над SCCM помогает злоумышленнику маскировать свою активность под стандартные операции обслуживания инфраструктуры и оставаться практически незаметным для СЗИ. Учетные записи (УЗ), используемые SCCM для управления клиентами, обладают привилегиями администраторов на конечных устройствах и нередко имеют высокие привилегии в Active Directory (AD).

Получить их можно и без захвата самой инфраструктуры SCCM — с помощью методов, эксплуатирующих ошибки конфигурации, допущенные при настройке системы. Эксплуатация ошибочных настроек SCCM — один из типичных путей компрометации корпоративной инфраструктуры. Поэтому обнаружение и исправление мисконфигураций — одна из ключевых задач кибербезопасности.

Отраслевые последствия

В статье мы подробно рассмотрим распространенные ошибки конфигурации, которые регулярно возникают при развертывании и использовании SCCM. Также предложим варианты усиления безопасности системы с учетом особенностей эксплуатации. Базовые принципы безопасного построения SCCMПланирование инфраструктурыПравильное проектирование инфраструктуры SCCM на этапе развертывания значительно сокращает поверхность атаки.

Ниже — ключевые рекомендации по сегментации, изоляции и ограничению доступа. ИзоляцияОграничьте сетевое взаимодействие клиентов и ролей сайт-сервера только необходимыми для работы портами и протоколами. Как минимум роли Site Server, SMS Provider и Site Database Server должны располагаться на серверах в самом защищенном сегменте сети уровня Tier 0.

Этот прогресс даёт важные сигналы о будущем отрасли, и технологический мир внимательно наблюдает.