CONFidence 2022: Redteaming na zapleczu sklepu

### Overview Prezentacja Borysa Łąckiego z firmy LogicalTrust podczas konferencji CONFidence 2022 skupia się na specyficznym teście typu red teaming, łączącym fizyczne wtargnięcie na zaplecze sklepu sieciowego w galerii handlowej z penetracją korporacyjnej sieci IT. Prelegent podkreśla różnicę między klasycznymi testami penetracyjnymi (skupionymi na wyszukiwaniu konkretnych podatności w wyznaczonym zakresie) a działaniami red teamingowymi, które sprawdzają odporność procesów, reakcję zespołów Blue Team/IT oraz procedury bezpieczeństwa w organizacji.

### Key Topics - **Kwalifikacja klienta i dojrzałość bezpieczeństwa:** Red teaming i dedykowany phishing powinny być wykonywane w organizacjach o odpowiednio dojrzałym poziomie bezpieczeństwa. Bez odrobionych podstaw (np. wcześniejszych testów penetracyjnych, analizy ryzyka i strategii) zaawansowane symulacje ataku są często nieefektywnym wydatkiem. - **Specyfika galerii handlowych:** Przestrzeń galerii charakteryzuje się obecnością klientów, niestandardowymi układami lokali, obecnością ochrony galerii oraz mapami ewakuacyjnymi na korytarzach, które okazują się cennym źródłem wiedzy o wejściach służbowych i ciągach komunikacyjnych. - **Faza rekonesansu:** Zbieranie informacji z mediów społecznościowych, rozmów z byłymi pracownikami, opinii w sieci (np. o zachowaniu managerów), raportów firmowych, a także analiza ruchu w sklepach, obecności personelu i kątów widzenia kamer. - **Metody wejścia:** Wykorzystanie dwóch planów działania — wejście ciche (obserwacja, odczytanie/nagranie kodu z zamka szyfrowego i wejście pod nieobecność pracowników) oraz wejście socjotechniczne na pracownika IT (pretekst inwentaryzacji sprzętu, wydrukowane wizytówki, nawiązanie rozmowy o uciążliwościach nowego systemu informatycznego i żargon techniczny). - **Penetracja sieci wewnętrznej:** Wykorzystanie fizycznego implantu (np. urządzenia typu LAN Turtle z łącznością GSM) wpiętego do sieci lokalnej w celu uzyskania zdalnego dostępu i eskalacji uprawnień w kierunku zasobów centralnych.

### Technical Details - **Infrastruktura lokalna:** W sklepach zidentyfikowano typowy podział na 2–3 VLAN-y (dla urządzeń POS/kas, komputerów oraz zarządzania siecią). - **Początkowy przyczółek sieciowy:** Skanowanie wykazało dostęp do panelu administracyjnego serwera WWW umieszczonego na tym samym porcie co usługi wewnętrzne, gdzie udało się odgadnąć hasło. - **Eskalacja uprawnień i pivot:** Nadmierne uprawnienia do odczytu plików na serwerze WWW pozwoliły na odczytanie skryptów administracyjnych i przejęcie poświadczeń. Wykorzystano również niezabezpieczone hasłem klucze SSH używane przez administratorów, co umożliwiło skakanie na kolejne serwery w backendzie. - **Konta Active Directory i bazy wiedzy:** Zdobyte serwisowe konta domenowe posiadały zbyt szerokie uprawnienia i pozwoliły na zalogowanie się m.in. do systemów takich jak Jira oraz wewnętrznych baz wiedzy/Wiki. Zasoby te zawierały niezaszyfrowane dane logowania do innych systemów, środowisk testowych oraz repozytoriów kodu źródłowego.

### Takeaways - Fizyczny red teaming to dla atakujących operacja wysoce kosztowna i ryzykowna, w realnym świecie stosowana rzadko w porównaniu do phishingu czy ataków zdalnych, jednak doskonale obnaża braki w procedurach i segmentacji sieci. - Bezpieczeństwo fizyczne zależy w dużym stopniu od czynnika ludzkiego (rotacja pracowników, rutyna, brak weryfikacji tożsamości) i detali technicznych (np. brak osłon na klawiaturach kodowych, odbicia w lustrach, niedomykające się samozamykacze drzwi). - Kluczowa jest właściwa architektura IT i segmentacja: nawet w przypadku uzyskania fizycznego dostępu do gniazdka sieciowego na zapleczu, odpowiednie reguły firewall, brak współdzielonych kluczy SSH, zasada najmniejszych uprawnień dla kont serwisowych oraz ochrona poufnych danych w wewnętrznych bazach wiedzy uniemożliwiłyby prosty pivot do sieci korporacyjnej.