Пока компании ставили турникеты в офисах и гоняли сотрудников по тренингам против фишинга, атакующие ушли туда, куда почти никто не смотрит, — на шлюзы. Взломанный корпоративный VPN или межсетевой экран — это не одна скомпрометированная рабочая станция. Это входной билет во всю сеть сразу: с готовой учёткой, уже пройденной двухфакторкой и правами на самые аппетитные куски инфраструктуры. Судя по всему, именно периферийные устройства всё чаще становятся источником утёкших логинов и паролей. Почему схема «снаружи — монолит, внутри — доверяй всем» лопнула и что ставить на её место — об этом ниже.
У шлюзов три качества, и каждое — подарок для взломщика.
Первое: им положено висеть в интернете. Не выставишь VPN-портал наружу — и удалённая работа встанет. Прятать его, впрочем, бессмысленно: адрес есть в корпоративной почте каждого сотрудника, а сканер находит такой портал за считаные минуты.
Второе: и VPN-шлюз, и межсетевой экран терминируют шифрованный трафик — то есть держат в памяти всё, что через них течёт: учётные данные, тикеты сессий, ключи. Citrix Bleed показала это во всей красе: уязвимость позволяла угнать пользовательскую сессию прямо из памяти устройства, не зная пароля. Злоумышленник подключается под легитимным сотрудником — а двухфакторка даже не успевает что-то заподозрить: с её точки зрения, всё уже подтверждено.
Третье: патчить шлюзы страшно. Обновление — это окно простоя удалённого доступа, причём у части устройств процедура тянется часами и требует ручной работы. Классика жанра — уязвимость в SSL-VPN Fortinet: по имеющимся данным, она позволяла без всякой аутентификации получать учётные данные пользователей VPN, а скомпрометированные списки учёток позже расходились по вторичным атакам. Финал истории с массовой компрометацией шлюзов Ivanti в начале 2024 года и вовсе абсурден: американский регулятор выпустил экстренное предписание, по которому устройствам требовалась фактически полная переустановка. Почему такая жёсткость? Логам этих устройств больше нельзя было верить.
Сценарий отработан до автоматизма. Сканер находит уязвимый шлюз — эксплойт для свежей бреши, кстати, порой появляется в открытом доступе раньше патча. Дальше эксплуатация, дамп памяти или конфигурации, извлечение кэшированных паролей и cookie-файлов сессий. Всё. Атакующий ходит по сети как обычный сотрудник: антивирусу не к чему прицепиться, поведенческие системы видят штатный вход.
В тишине он неторопливо выбирает: базы с персональными данными, документация, доменные учётки с широкими правами. Финал тоже без сюрпризов — тихая выгрузка через тот же легитимный канал, что и весь корпоративный трафик. Ни шума, ни сработавших сигнализаций. Компания узнаёт о случившемся через месяцы — как правило, когда её архивы уже продаются на какой-нибудь торговой площадке.
Расследовать такое — отдельное мучение. Логи на самом устройстве после вторжения ненадёжны: их могли затереть или подменить. Рекомендация вендоров в таких случаях едина — сброс до заводских настроек. Перевод на человеческий: удалённая работа встанет на дни.
Классическая модель безопасности исходила из простой картинки: периметр — граница, внутри — свои, а своим можно верить. VPN идеально ложился в эту схему: прошёл проверку на входе — держи сеть целиком. Плоская сеть, доступ по умолчанию, лишний раз не спросит.
Ломается всё в момент компромисса шлюза: атакующий неотличим от сотрудника, потому что он и есть «сотрудник» — с его сессией и правами. А периметр тем временем размылся. Часть сервисов ушла в облака, люди работают из дома, данные живут в десятке внешних сервисов. Крепостная стена образцово охраняет ворота — но внутри распахнуты двери всех кабинетов.
После ухода западных вендоров — Cisco, Fortinet, Citrix, F5 — российский рынок периметра развернулся к отечественным решениям. Межсетевые экраны нового поколения делают UserGate, Positive Technologies, «Ростелеком-Солар»; VPN-шлюзы — это ViPNet от «ИнфоТеКС» и привычный госсектору «Континент» от «Код Безопасности». Крупные корпорации мигрируют в рамках импортозамещения, банки — ещё и под давлением требований ФСТЭК и Банка России.
Инфраструктура реагирования тоже своя: ГосСОПКА координирует инциденты на значимых объектах, ФинЦЕРТ — в финансовом секторе. А ФСТЭК, помимо сертифицированных средств защиты, двигается в сторону концепции нулевого доверия: судя по всему, соответствующие подходы сейчас обсуждаются с рынком.
Слабых мест хватает. Сама миграция с импортных шлюзов — уже риск: перенос тысяч правил фильтрации, свежие развёртывания с настройками «по умолчанию», вечный дефицит специалистов. Добавьте ментальную инерцию: привязанность к модели «крепости» никуда не делась. Перспектива, впрочем, просматривается — связка из отечественных NGFW и сегментации, SIEM-платформ вроде MaxPatrol SIEM и KUMA и систем обнаружения сетевых атак. В такой конфигурации компрометация одного шлюза перестаёт означать потерю всей сети.
Zero trust звучит как лозунг с обложки, но по сути это короткий список: не доверять ничему по умолчанию и проверять каждый доступ — кто, к чему и зачем. Даже внутри «своей» сети.
На практике — так. Сегментация сети, чтобы взломанный шлюз открывал дорогу к одному сегменту, а не ко всему дата-центру. ZTNA вместо классического VPN: доступ выдаётся к конкретному приложению, а не к сети как таковой. Короткоживущие сессии и токены — угнанная сессия умирает за минуты, а не живёт неделями. Инвентаризация периметра: шлюз, о котором никто не помнит, защитить невозможно. Патч-менеджмент с жёсткими сроками — окно между выходом эксплойта и массовой эксплуатацией теперь меряется часами, а не кварталами. Вынос логов с устройств наружу ещё до инцидента — чтобы их нельзя было подчистить. И отключить всё лишнее: интерфейсы управления не должны смотреть в интернет, а неиспользуемые сервисы — жить на боевом шлюзе.
Периметр давно не граница. Это просто ещё один сегмент сети — и при этом самый лакомый. Пока шлюз остаётся единственной дверью в компанию, её будут вскрывать, причём быстрее, чем вы успеете пропатчить. Выигрывает не тот, у кого крепче стена. Выигрывает тот, кто заранее предположил худшее — что дверь уже открыли, — и выстроил сеть так, чтобы за одной открытой дверью не был виден весь дом.