На эфире мы рассмотрели механизмы, с помощью которых злоумышленники проникают в корпоративную инфраструктуру через подрядчиков и поставщиков.
Смотреть запись эфира
➡️ ВК | RuTube | YouTube
Тезисы эфира:
Почему подрядчик — слабое звено
Даже если ваша компания идеально защищена, вы не можете проконтролировать финального исполнителя в цепочке поставок. Злоумышленникам проще атаковать подрядчика с менее строгими мерами безопасности. Их активность маскируется под легитимную работу: обновление ПО, вход через учетную запись партнера, подключение по доверенному каналу. ИБ сложно отличить атаку от обычной деятельности подрядчика.
Стандартная схема атаки
На примере OutStaff разработчика: сначала злоумышленники проводят разведку: узнают, какие технологии и системы контроля версий использует подрядчик. Затем компрометируют разработчика (фишинг, взлом учетки, вредонос). Далее внедряют бэкдор в исходный код, зависимости или скрипты CI/CD-пайплайнов. После деплоя на серверах заказчика вредонос активируется, открывая доступ к базам данных, API и токенам.
Главный вывод: доверие убивает
Слабое звено — не сами подрядчики, а доверие к ним. Компании выдают избыточные права доступа (доступ к БД вместо граничного API), не отзывают доступы после завершения проектов и используют слабые общие пароли. Человеческий фактор остается основным: сотрудники переходят по фишинговым ссылкам и используют личные мессенджеры для работы, что выводит коммуникацию из-под контроля ИБ.
Организационные и технические меры защиты
Внедряйте скоринг и оценку рисков до начала сотрудничества. Закрепляйте в контрактах требования к ИБ, обязанность уведомлять об инцидентах и право на проведение аудитов подрядчика. Используйте принцип минимальных привилегий и системы управления привилегированным доступом (PAM): они фиксируют все сессии, блокируют подозрительные команды (например, создание бэкдор-аккаунта) и отправляют алерты. Многофакторная аутентификация (MFA) обязательна — она закрывает каналы компрометации украденных паролей. PAM не заменяет DLP, оптимально их комбинировать.