МАЙ. После первого взлома: как понять, куда атакующий сможет пройти дальше

Компрометация одного внешнего сервера не должна автоматически означать компрометацию всей компании. Но во многих сетях именно так и происходит: на сервере находятся reusable credentials, management interfaces доступны из того же сегмента, а между зонами почти нет ограничений. Поэтому полезно смотреть на архитектуру глазами атакующего: не «что защищено», а «куда я пойду следующим шагом».

  

Нарисуйте маршрут, а не красивую схему

Выберите один интернет-доступный сервер. Запишите, с какими сегментами он может говорить, какие учётные данные или токены доступны локально, какие административные интерфейсы видны, может ли он обращаться к backup, виртуализации, RMM, файловым ресурсам и контроллерам домена. Не нужна полная архитектурная диаграмма — нужен один реальный маршрут.

 

Storm-1175 показывает скорость

Microsoft описала Storm-1175, который активно эксплуатировал недавно раскрытые уязвимости в веб-доступных системах. После первоначального доступа злоумышленники создавали новые учётные записи, крали credentials, использовали RMM и другие инструменты для перемещения и в некоторых случаях доходили до ransomware в течение 24 часов. Это хороший аргумент против модели, где сегментация рассматривается как «проект на потом».

 

Какие связи наиболее опасны

Прямой доступ из DMZ к Domain Controller, административные VLAN без фильтрации, универсальные локальные админские пароли, возможность RDP/WinRM/SMB между большинством сегментов, доступ production к backup management и гипервизору. Даже один такой маршрут может сделать исходную уязвимость гораздо опаснее её CVSS.

 

Проверка пройдена, если

Компрометация выбранного внешнего сервера не даёт прямого пути к Domain Controller, критичным сегментам и административным системам. Каждый необходимый межсегментный доступ обоснован, а management plane выделен и ограничен.

 

Что проверить в логах

Попытки удалённого входа, новые административные учётные записи, PsExec, RDP, WinRM, необычные SMB-соединения, запуск RMM, доступ к credential stores, массовые подключения к нескольким узлам. Полезно заранее знать, какие из этих событий видит ваша текущая телеметрия.

 

Как это связано с решениями Смарт-Софт

Traffic Inspector Next Generation может использоваться как средство межсетевой сегментации и контроля трафика между зонами. Это архитектурный элемент, который снижает скорость lateral movement, но не решает задачи identity, endpoint и backup. Сегментация работает в связке с другими мерами защиты.

 

Что сделать сегодня

• Выбрать один internet-facing сервер.
• Нарисовать путь к AD, backup, RMM, гипервизору и management VLAN.
• Закрыть хотя бы один самый короткий опасный маршрут.

 

Источники

• Microsoft Threat Intelligence. Storm-1175 focuses gaze on vulnerable web-facing assets in high-tempo Medusa ransomware operations. 06.04.2026.
• Smart-Soft. TING: межсетевой экран, IDS/IPS и сетевые журналы — официальная документация.

 
Последняя техническая проверка: 14.10.2026.