Тестовые серверы: подводные камни информационной безопасности

При работе с информационными системами и разработке программного обеспечения тестирование на тестовых серверах является неотъемлемой частью процесса. Тестовые серверы предназначены для проведения экспериментов, тестирования новых функций и обновлений без риска повреждения или нарушения работы основной системы.

Однако, в связи с особенностями своего назначения, тестовые серверы также несут определенные риски информационной безопасности. В этой статье будут разобраны основные риски кибербезопасности, связанные с эксплуатацией тестовых серверов, а также возможные способы защиты.

В чем вообще проблема?

Большинство разработчиков не считают тестовые сервера частью инфраструктуры компании, следовательно – не страшно если эти сервера «упадут», будут скомпрометированы или атакованы, ведь это никак не скажется на работоспособности «основной» инфраструктуры. С другой стороны, и ИБ-отдел компании очень редко обеспечивает высокий уровень защищенности тестовых серверов – поскольку они обладают более низкой приоритетностью относительно основной инфраструктуры компании, которая «покрывается» средствами защиты, техническими и организационными.

В то же время, для тестирования и отладки часто используются разные чувствительные данные – от элементов конфигурации основной инфраструктуры, до персональных данных клиентов или сотрудников.

В итоге возникает ситуация, когда разработчики в условиях минимального контроля (или его полного отсутствия) используют чувствительные данные, а ИБ-отдел не имеет технической возможности (и ресурсов) для обеспечения безопасности этого процесса. При таком подходе инцидент – это вопрос времени, а не вероятности.

Известные инциденты, связанные с тестовыми серверами

Поскольку тестовый сервер почти всегда защищен слабее, чем основная инфраструктура компании – они часто становятся мишенями для злоумышленников. В первую очередь потому что в ходе кибератаки на тестовый сервер можно найти «точку входа» в основную инфраструктуру, либо реальные данные компании. Помимо этого, взлом тестовой инфраструктуры всегда можно подать как успешную атаку на всю инфраструктуру компании. Вот несколько ярких примеров:

В 2016 году компания Uber столкнулась с серьезным нарушением безопасности, связанным с их тестовым сервером. Злоумышленники смогли получить доступ к GitHub-репозиторию Uber, где хранились архивные файлы с кодом приложения. В результате этого инцидента злоумышленники получили доступ к конфиденциальным данным, включая личную информацию пользователей и данные водителей.
В 2019 году Сбербанк сообщил о нарушении безопасности, связанном с их тестовым сервером. В результате утечки были скомпрометированы личные данные клиентов банка.
В 2013 году Facebook столкнулась с утечкой данных из-за небезопасной конфигурации и настройки тестового сервера. Злоумышленники смогли получить доступ к тестовому серверу, содержащему различные инструменты для разработки и тестирования. В результате этого инцидента были скомпрометированы личные данные более 6 миллионов пользователей.
В 2020 году социальная сеть VKontakte, популярная в России, столкнулась с нарушением безопасности из-за ошибки в настройке тестового сервера. Из-за этого инцидента некоторые пользователи могли получить доступ к личным сообщениям и другой конфиденциальной информации других пользователей.
В 2018 году British Airways столкнулась с нарушением безопасности, которое затронуло их тестовый сервер. Злоумышленники смогли перехватить данные, включая персональную и финансовую информацию более 380 000 клиентов, путем внедрения вредоносного кода на тестовый сервер компании.

Из кейсов можно сделать вывод, что проблема с тестовыми серверами актуальна для компаний из самых разных отраслей. И далеко не всегда для реализации инцидента обязателен факт наличия хакера или злоумышленника.

Проблемные точки и способы защиты

Как правило, тестовые сервера настраиваются «в угоду ИТ-отделу», со всеми классическими проблемами, начиная со слабых паролей и заканчивая отсутствием разграничений доступа. Такой подход, безусловно, обеспечивает высокий уровень комфорта работы разработчиков, но негативно влияет на уровень информационной безопасности.

Игорь Ландырев

Руководитель отдела анализа защищенности, Awillix

Пример из практики: в компании заказчика сделали приложение на Битриксе с личным кабинетом. В ходе анализа защищенности этого приложения, был обнаружен его тестовый сервис. Взломать его было гораздо легче прода, так как он не был под WAF-ом и про него все забыли. Тестовый сервис легко поддался взлому, мы получили доступ к БД и паролям админа, а затем переиспользовали их на проде.

Вывод – при миграциях с теста в прод нужно не лениться и менять пароли, а также покрывать защитой, в том числе тестовые сегменты сервисов, если они доступны из интернета.

К стандартным проблемам, связанным с безопасностью тестовых серверов, можно отнести:

Чувствительные данные. Многие компании пренебрегают работой по маскированию данных, которые используются при тестировании. Также, распространены случаи, когда пароли из тестовой инфраструктуры в прод остаются неизменны.
Уровень защиты. Обычные серверы имеют более высокий уровень защиты и применяются для обработки и хранения важных данных. Они, как правило, оборудованы специальными механизмами защиты, такими как фаерволы, системы обнаружения вторжений и системы предотвращения вторжений. В отличие от «рабочих», тестовые серверы зачастую не обладают такими же мощными механизмами безопасности. Они настроены для упрощенной работы и тестирования, и зачастую относятся к отдельной сетевой инфраструктуре с более низким уровнем защиты.
Контроль доступа. В случае с тестовыми серверами распространены случаи, когда все пользователи обладают одинаково высоким уровнем прав. При этом, пароли разработчиков могут быть либо простыми, либо дублировать пароли от основной инфраструктуры.
Уязвимости и ошибки. Тестовые серверы часто используются для тестирования новых функций и обновлений, и зачастую могут содержать более ранние версии

Если говорить о способах защиты тестовых серверов, то главный из них – не использовать чувствительные данные в «чистом» виде. Маскирование данных, безусловно, довольно ресурсозатратный процесс, но оно позволяет кратно сократить критичность возможной утечки.

Григорий Ревенко

Директор Центра экспертизы R-Vision

Ключевыми рекомендациями по защите тестовых серверов являются:

соблюдение контроля прав доступа (запрещено, все что не разрешено, а никак не наоборот). Это касается как сетевого трафика (брендмауэр), так и пользователей;

мониторинг событий (логов);

регулярное обновление ПО, а также своевременное выявление и устранение уязвимостей;

использование «классических» политик паролей, призванных обеспечивать достаточную сложность, длину пароля, частоту его смены;

хостовая защита (например, защита конечных точек с применением средств EDR).

Не менее важен и организационный элемент обеспечения ИБ – наличие понятного и структурированного регламента позволяет, при минимальных издержках и том условии, что этот регламент будет соблюдаться, серьезно усилить защищенность тестовой инфраструктуры.

Итоги

Обеспечение безопасности тестовых серверов является неотъемлемой частью всего процесса разработки и тестирования. Работа с тестовыми серверами представляет определенные риски, которые могут иметь негативные последствия для компании и ее пользователей. Однако, с применением соответствующих мер безопасности, эти риски могут быть существенно снижены.

Изоляция тестовых серверов в отдельной сети, использование сильных механизмов аутентификации и авторизации, регулярное обновление и конфигурирование серверов, ограничение доступа к тестовым данным и регулярная проверка на уязвимости – все это важные шаги для обеспечения безопасности тестовых серверов.

Помните, что безопасность должна быть приоритетом на всех этапах разработки и тестирования. Имея надежные меры безопасности и соблюдая передовые практики, вы сможете минимизировать риски, связанные с тестовыми серверами, и обеспечить сохранность конфиденциальности и целостности данных. Регулярное обновление политик безопасности и следование последним тенденциям в области информационной безопасности помогут защитить вашу компанию от возможных угроз и инцидентов, связанных с тестовыми серверами.