На этой неделе компания RSA, подразделение EMC, признала факт взлома. Через открытое письмо исполнительный председатель Арт Ковьелло сообщил: злоумышленники провели целенаправленную атаку класса APT и похитили данные, связанные с продуктом SecurID. SecurID – это аппаратные токены и сервер аутентификации, которые десятилетиями считались эталоном двухфакторной защиты. Их используют банки, оборонные подрядчики, государственные ведомства и крупные корпорации по всему миру, включая Россию. Компрометация именно такого продукта – повод пересмотреть допущения, на которых строится защита периметра.

Что произошло и почему это важно

RSA не раскрыла технических деталей, но заявила прямо: похищенная информация может снизить эффективность текущих развёртываний SecurID, особенно в рамках более широкой атаки. Это формулировка, за которой стоит конкретный риск. SecurID работает на общем секрете – seed-значении, привязанном к серийному номеру токена. Сервер и токен генерируют одинаковый одноразовый код, потому что знают один и тот же seed. Если злоумышленник получил базу seed-значений или алгоритм их генерации, второй фактор перестаёт быть тайной. Пароль пользователя остаётся единственной преградой, а пароли крадут фишингом каждый день.

Урок здесь не в том, что двухфакторная аутентификация бесполезна. Урок в том, что любой централизованный секрет – единая точка отказа. Производитель токенов становится частью вашей модели угроз, хотите вы того или нет. Доверие к вендору безопасности теперь приходится проверять так же строго, как и собственную инфраструктуру.

Выводы для корпоративного и государственного сектора

Первое: знайте, где у вас single point of trust. Если компрометация одного поставщика обнуляет целый фактор аутентификации, у вас нет глубины обороны – у вас есть иллюзия. Стройте защиту слоями: сегментация сети, мониторинг аномалий входа, ограничение прав по принципу минимальных привилегий. Тогда украденный второй фактор не открывает злоумышленнику всё сразу.

Второе: для госсектора это особенно остро. Перевод услуг в цифру идёт быстро – мы писали об этом в материале о подключении регионов к порталу госуслуг. Чем больше сервисов завязано на единый механизм входа, тем выше цена его компрометации. Импортный аппаратный токен с непрозрачной цепочкой генерации секретов – рискованная основа для критичной государственной системы.

Третье: реагируйте на инциденты на основе данных, а не интуиции. Атаки APT тихие и долгие – их видно только в логах входов, обращений к каталогу, сетевых потоках. Это задача обработки больших объёмов событий, родственная подходам, которые мы разбирали в практике MapReduce. Без аналитики логов вы узнаёте о взломе из письма вендора, а не из своего SIEM.

Что делать прямо сейчас

Не паникуйте и не выбрасывайте токены – массовой эксплуатации пока не наблюдается. Но пересмотрите конфигурацию: усильте требования к PIN, включите блокировку после нескольких неудачных попыток, ужесточите мониторинг привилегированных учётных записей. Запросите у RSA рекомендации по вашему развёртыванию и оцените план замены seed-записей, если он будет предложен.

Технологии безопасности развиваются быстро – на этой же неделе все обсуждали, как IBM Watson обыграл людей в Jeopardy, и те же методы анализа данных скоро придут в защиту инфраструктуры. Но базовый принцип не меняется: защита – это процесс, а не коробочный продукт. Такой процесс выстраивается последовательно: от аудита текущего состояния до проектирования эшелонированной обороны, которая переживёт компрометацию отдельного звена.

Главный вывод из истории с RSA прост. Доверяйте, но проектируйте систему так, чтобы переживать компрометацию любого отдельного звена, включая поставщика самой защиты.