ИБ-погромисты или "лечиться даром - даром лечиться" - начало.

Тут mike_lambert опять возмущается, что я, якобы, всё переврал и перепутал. Так что посвящаю сию поучительную историю, которую мне сорока на хвосте принесла, персонально ему.

Жила-была одна Компания. Оказывала своим крупным корпоративным клиентам некоторые услуги финансового характера. Очень гордилась, прям вот во все свои УТП писала, что один из основателей 7 лет (целых семь лет, да) занимался программированием в ИБ. И вот, некоторое время назад она обратилась к своему ИТ-подрядчику с просьбой, чтобы те ей кое-что настроили во внутренней ИТ-инфраструктуре. Причём - бесплатно.

ИТ-подрядчик даже за деньги не хотелось этим заниматься - это сильно выходило за рамки тех услуг, что они оказывают своим клиентам. Но, под давлением и нажимом - согласились, о чём потом не раз пожалели. Пришли, настроили. Ну а как оно обычно в процессе настройки бывает, когда сходу не взлетает - начали отключать то, что может мешаться. Так и отключили Главный Файервол на периметре (Upd - всё было немножко не так, уточнение в следующей части). Оно тут же и взлетело, так что радостные они сдали систему обратно и убыли восвояси. Документации, проверки - ничего не делали: ну бесплатно же. И самое главное, как после выяснилось - забыли письмом указать, что они отключили.

Да, это неправильно. Да, даже бесплатного клиента нужно обслуживать точно также, как платного. Да, это во всех хрестоматиях записано. Но тут вот бесплатность наложилась на то, что это вообще нетиповая услуга была. Ну никогда никому они такое не делали.

Разумеется, Компания, довольная и радостная, ничего проверять не стала. И Главный Файервол обратно не включила, потому что банально об этом не знала. Вы ведь помните про 7 лет в ИБ, да ? Вот такие вот у нас отечественные ИБ-погромисты. Сразу чуйствуется квалификация и компетентность.

Через некоторое время получила Компания письмо от одного зарубежного ИТ-специалиста. Который поведал Компании о том, что (ввиду отключённого Главного Файервола) все её сервера натурально голой задницей в интернет торчат. Ну и попросил скромную денюжку - на усмотрение Компании - в качестве ответной благодарности. Да-да, вы не ослышались - речь шла не только об FrontEnd серверах, а именно обо всех вообще, включая суровый BackEnd. Семь лет, долгих семь лет в ИБ-программировании, да. Подчеркну - это был не шантаж, а именно что отсылка на общепринятую практику оплаты в подобных случаях.

Но Компания немедленно, разумеется (А - адекватность), заверещала о том, что злобный хакер вымогает с них деньги. Привлекла того ИТ-подрядчика к разбирательству, что вообще произошло. И открылись бездны. Бездны марианской впадины ! Держитесь за стулья крепче, [сейчас будет удар]сейчас будет удар !

Среди прочего, извне была доступна их Главная База Данных, причём через прикрученную вёб-морду по http-протоколу ! Да-да, вы не ослышались, "http 80 порт". Доступная извне база, которая, по всем правилам, регламентам и стандартам должна, окутанная тремя слоями, лежать в BackEnd !
7 лет ИБ-программирования, да. Раз уж Авторитетные Эксперты разрешили погромистам не знать и соблюдать ни правил, ни регламентов ни стандартов - ни чего, вот они их и не знают. Числя себя в крутых-крутых погромистах на основании 7 лет опыта говнокодинга.

Вы не поверите - но и это ещё не всё. На самом деле Адъ и Израиль (tm) только начинаются - мы пробиваем земную кору и уходим в мантию. Вперёд за мной, дорогой читатель, только вначале убедись - [надёжно ли пристёгнут ремень к креслу]надёжно ли пристёгнут ремень к креслу.
Итак - для доступа к этой самой Главной Базе Данных с Финансовыми Данными Корпоративных Клиентов - [глубокий вдох !] - не был задан пароль.

[пауза 10 секунд, глубокий выдох]


Нет, вы всё прочитали правильно. Да, не было пароля. Вообще. Нажимаешь "Ок" на странице авторизации и попадаешь в Главную Базу. Да, именно так - по 80 порту http, доступному извне.
Вы чувствуете мощь 7 лет ИБ у основателя, да ?

Да ни хрена вы не чувствуете ! Потому что снизу нам стучат и поэтому мы спускаемся дальше - в земное ядро ! Главное - не забудьте надеть скафандр полной защиты с внешним экзоскелетом - [иначе перегрузки раздавят вас]иначе перегрузки раздавят вас.

Итак мы остановились на доступной по 80 порту http без авторизации Главной Базы. Вы спрашиваете меня, куда, куда тут в этой ситуации можно пробить дно ? Хо-хо, да вы просто не знаете таланта ИБ-погромистов ! Так вот, за те несколько недель, что творилось всё это безобразие,

вся эта база

была

проиндексирована

поисковиками

Да-да, аккурат через тот самый 80 порт без авторизации.

[тут были снова патетические слова про мега-опыт ИБ-погромистом, вы угадали :)]

В подобных случаях дражайший mike_lambert любит съезжать на то, что дескать обсуждаемый сам по себе не погромист, а лошара последний, и вообще, 99% русских погромистов портят репутацию остальным. Так вот - не выйдет.

Ещё раз и медленно. 7 лет - это не котёнок напИсал. В погромистах за 3-4 года вырастают до сеньора, если не дурак (на фоне остальных коллег). А что не дурак - это более чем наглядно видно из того, что он таки основал достаточно успешную компанию. Да, это явно не звезда. Но, простите, описывать массу погромистов, оценивая звёзд - это явно неправильно.

А вот крепкие середняки - они вот именно такие в массе своей и есть. Вот именно такие - не владеющие даже основами своей специальности. Не понимающие базовые элементарных вещей, которые я на пальцах любому самому необученному академику (с) за 15 минут объясняю. А толпы джуниоров на таких вот и равняются.


ЗЫ. Как вы понимаете, в районе описываемых компаний полыхает круглосуточное зарево раскалённых задниц причастных и непричастных. Так что не разносите пока из-под замка в паблик. Как поутихнет - я сам замок сниму.

(окончание истории)