⚡️️Три часа ночи. В промышленную сеть входит учётная запись инженера... Логин и пароль верные, права доступа есть, сессия похожа на штатную работу. Антивирус молчит: нового файла нет, знакомого вредоносного хеша нет, подозрительной нагрузки тоже. Но сам инженер в это время спит дома, а подключение идёт из сегмента, из которого он обычно не работает.

В этом и опасность living-off-the-land в промышленных сетях. Атакующий не обязательно приносит в инфраструктуру новый исполняемый файл, который можно распознать по сигнатуре. Он использует то, что уже разрешено: легитимные учётные записи, штатные протоколы, удалённое администрирование, инженерные станции и стандартные команды. Одним из основных способов первичной компрометации остаётся фишинг, но главная сложность начинается после входа в сеть: атака может выглядеть как обычная инженерная операция.

Почему в АСУ ТП одних сигнатур недостаточно и как отличить штатное действие от опасного - в новой статье пресейл-инженера UDV Group Ивана Бурмистрова:

🟣как атака попадает в промышленную сеть
🟣почему сигнатуры перестают видеть угрозу
🟣что использует атакующий вместо вредоноса
🟣и самое главное - как вернуть видимость и управляемость в технологическом сегменте?

➡️ Полный текст статьи по ссылке >>

#udv_know_how #asutp #АСУТП