Уязвимость для внутренних систем банков

С какой проблемой могут столкнуться банки, как ее используют хакеры и можно ли защититься.

В ноябре Банк России разослал банкам письмо, где проинформировал их о выявленной уязвимости в системе управления сайтами CMS Bitrix, используемой самими кредитными организациями или их подрядчиками.

С октября по ноябрь регулятор отметил резкий всплеск инцидентов с защитой информации, связанных с эксплуатацией уязвимости CVE-2022—27228. Данная уязвимость подразумевает недостаточную проверку пользовательского ввода, что позволяет удаленному пользователю без прохождения процедуры аутентификации выполнить произвольный код, т.е. фактически дает возможность получить контроль над целевой информационной системой (сайтом). Кроме того, ЦБ запросил у банков сведения о мерах, «направленных на недопущение возможности эксплуатации заявленных уязвимостей», а также рекомендовал добавить скрипты и отключить неиспользуемые модули.

Эксперт AKTIV.CОNSULTING Александр Моисеев отмечает, что проблемы потенциально могут возникнуть у средних и небольших кредитных организаций, которые используют бюджетные решения для управления своими сайтами. CMS Bitrix в целом популярное решение не только среди банков, но и их многочисленных подрядчиков (средний и малый бизнес).

Использование хакерами уязвимости CVE-2022—27228 способно привести к серьезным последствиям. Если уязвимые внешние веб-ресурсы банка размещены на собственных серверах в т.н. «демилитаризованном» сегменте сети, есть вероятность проникновения в следующие информационные системы, сервисы и элементы ИТ-инфраструктуры:

• инфраструктурные сервисы, которые обеспечиваю работу и управление корпоративной сетью — нарушение их работы приведет к простою организации;
• вспомогательные информационные системы, которые обеспечивают работу офиса, корпоративные порталы, системы приёма и учета заявок («servicedesk»), системы контроля и управления доступом и т.п. — нарушение их работы не приведет к серьезным последствиям;
• основные информационные системы, ДБО, АБС, «банк-клиент» и т.п. — нарушение их работы потенциально может привести к тяжёлым последствиям, а именно к несанкционированным финансовым операциям, утечке данных клиентов, проблемам с оказанием услуг, репутационным потерям, штрафам от регуляторов и т.д.

Как организации могут защититься?

Прежде всего, важна продуманная политика выявления уязвимостей, оценки их опасности и применения обновлений. Рекомендуем взять на вооружение последние методические документы ФСТЭК России.

Стоит обратить внимание на подходы к оценкам уязвимостей («Exploit Prediction Scoring System» (EPSS). Кроме того, может быть полезен ряд мер, связанных с сегментацией сети, многофакторной аутентификацией, логгированием, «hardening», а также применение решений по выявлению аномалий в работе сети и решений класса «WAF», «SIEM», «EDR», «deception» (приманки) и т.п.