Прошла неделя после взлома Binance. Что мы поменяли у себя на серверах.
Неделю назад я писал, что безопасного на 100% не бывает. За неделю стало видно главное: у Binance были огромные бюджеты на защиту, и это не помогло. Помогают регулярные проверки, а не бюджет.
Что известно сейчас. Ущерб около 6,3 млрд долларов, примерно 3 млрд заморожено вместе с Tether, Circle и правоохранителями. ФБР приписывает атаку северокорейской группе TraderTraitor. Выводы средств возобновили поэтапно с 1 ноября, потери компания обещает покрыть за свой счёт. По данным Binance, это была многоступенчатая кампания, которую готовили с лета. Первую попытку заметили и вычистили, но атакующие уже успели собрать сведения о людях и системах. Потом они подчистили следы, чтобы расследование шло дольше.
Для бизнеса из этого следуют три вывода.
Первое. Защита это процесс, а не покупка. Один раз настроил и забыл не работает: люди приходят и уходят, доступы копятся, сервисы обновляются. Проверка нужна именно потому, что систему не видно целиком, пока в неё не посмотришь.
Второе. Слабое место почти всегда человеческое. Шифрование и алгоритмы обычно в порядке. Ломают доступы, устройства и привычки. Поэтому проверять надо не только код, но и то, кто, куда и с какими правами заходит.
Третье. Скорость обнаружения важнее красоты защиты. По данным TRM, основная сумма ушла примерно за 20 минут. Чем раньше заметишь, тем меньше потеряешь.
Как мы выстраиваем проверки, и как это можно сделать в любой небольшой команде:
Раз в месяц ревизия доступов. Кто к чему имеет доступ, кому он больше не нужен. Бывшие сотрудники, старые токены и забытые сервисные ключи убираются сразу.
Принцип двух пар глаз для критичных действий. Всё, что двигает деньги, данные или права, подтверждает второй человек. Один скомпрометированный аккаунт не должен справляться в одиночку.
Алерты на необычное, а не только на неудачные входы. Крупные переводы, массовый экспорт, вход из новой страны, новый ключ. И лимиты на крупные действия, чтобы был шанс остановить.
Журналы хранятся отдельно. Если атакующий сможет стереть следы там же, где он работает, расследование превратится в гадание. Логи уходят на хранилище, куда у основных систем нет прав удаления.
Раз в квартал внешний взгляд: независимый аудит или пентест. Свои люди привыкают и перестают замечать очевидное.
Проверка поставщиков и партнёров. Если у подрядчика есть доступ к вашим системам, его безопасность это ваша безопасность. Мы выясняем, какие у него права, как они защищены и что случится при его взломе.
Проверка резервных копий восстановлением. Бэкап, который ни разу не разворачивали, это не бэкап, а надежда.
Учебная тревога раз в полгода. Разыгрываем сценарий: утечка ключа, вор в системе, недоступный сервер. Кто принимает решение, как отозвать доступы, как остановить вывод. Binance приостановил выводы, оттоки прекратились. Остановить быстро можно, только если заранее отрепетировал.
Ничего из этого не гарантирует безопасность. Каждая проверка уменьшает радиус удара и время, за которое вы замечаете беду. В такой гонке больше ничего и не обещают.
И вопрос к тем, у кого свой бизнес или команда: когда вы в последний раз проверяли, кто имеет доступ к вашим главным системам?
Данные из открытых источников, цифры продолжают уточняться.
