Biztonsági vizsgálati jelentés

Kritikus F-004 · Hitelesítés nélküli Modbus/TCP elérhető

Leírás

Modbus/TCP szolgáltatás (502/tcp) érhető el a tesztelt hálózati pozícióból. A Modbus protokoll nem tartalmaz hitelesítést.

Hatás

Bárki, aki eléri a portot, kiolvashat és írhat regisztereket és coilokat, így megváltoztathatja a folyamat paramétereit, leállíthat vagy károsíthat berendezést. Ez közvetlen termelési és biztonsági (safety) kockázat.

Reprodukálás / bizonyíték

nmap: 10.10.20.5:502/tcp nyitott (modbus). Kézi ellenőrzés szükséges a jelentés előtt.

Javaslat

Az ipari vezérlőket helyezze elkülönített OT-zónába (IEC 62443 zónák és csatornák); a Modbus-forgalmat csak a szükséges forrás-IP-kről engedje (tűzfal, ipari DPI); soha ne tegye internetről elérhetővé.

Hivatkozások

IEC 62443-3-3 SR 5.1; MITRE ATT&CK for ICS T0855, T0836; CWE-306

Kritikus F-005 · Siemens S7 (ISO-TSAP, 102/tcp) kommunikáció elérhető

Leírás

A Siemens S7 PLC-k kommunikációs portja (102/tcp) elérhető a tesztelt hálózati pozícióból.

Hatás

Megfelelő hozzáférés-védelem hiányában a támadó le- és feltöltheti a PLC-programot, STOP állapotba teheti a vezérlőt, vagy módosíthatja a folyamatot.

Reprodukálás / bizonyíték

nmap: 10.10.20.5:102/tcp nyitott (iso-tsap Siemens S7). Kézi ellenőrzés szükséges a jelentés előtt.

Javaslat

Kapcsolja be a PLC hozzáférés-védelmét (jelszó/védelmi szint), korlátozza a 102/tcp elérését a mérnöki állomásokra, szegmentálja az OT-hálózatot, és naplózza a programmódosításokat.

Hivatkozások

IEC 62443-3-3 SR 1.1, SR 5.1; MITRE ATT&CK for ICS T0843, T0881

Kritikus F-002 · Apache 2.4.49 - Path Traversal

Leírás

Path traversal and RCE in Apache HTTP Server 2.4.49.

Reprodukálás / bizonyíték

nuclei sablon: CVE-2021-41773
Találat helye: https://portal.example.test/cgi-bin/.%2e/.%2e/etc/passwd

GET /cgi-bin/.%2e/.%2e/etc/passwd HTTP/1.1
Host: portal.example.test

HTTP/1.1 200 OK

root:x:0:0:root:/root:/bin/bash

Javaslat

Upgrade Apache to 2.4.51 or later.

Hivatkozások

CVE-2021-41773; CWE-22; https://httpd.apache.org/security/vulnerabilities_24.html

Magas F-006 · Távoli asztal (RDP) szolgáltatás elérhető

Leírás

A Microsoft Remote Desktop Protocol (RDP, alapértelmezetten 3389/tcp) szolgáltatás elérhető a vizsgált hálózati pozícióból. Internetről elérhető RDP esetén a kockázat magas; belső hálózaton a szegmentációs és jogosultsági környezettől függ.

Hatás

A kitett RDP a zsarolóvírus-támadások egyik leggyakoribb belépési pontja: jelszópróbálgatás, kiszivárgott hitelesítő adatok és ismert sérülékenységek (pl. BlueKeep, CVE-2019-0708) révén a támadó közvetlenül hozzáférhet a belső rendszerhez.

Reprodukálás / bizonyíték

nmap: 10.10.10.12:3389/tcp nyitott (ms-wbt-server Microsoft Terminal Services). Kézi ellenőrzés szükséges a jelentés előtt.

Javaslat

Az RDP-t ne tegye közvetlenül elérhetővé az internet felől. Távoli hozzáférést VPN-en vagy RD Gateway-en keresztül, többfaktoros hitelesítéssel (MFA) biztosítson; engedélyezze a Network Level Authentication-t és a fiókzárolást.

Hivatkozások

CWE-284; MITRE ATT&CK T1133, T1021.001; CISA #StopRansomware

Magas F-008 · Kerberoasting támadásra érzékeny szolgáltatásfiók

Leírás

Az Active Directoryban SPN-nel rendelkező felhasználói fiók található, amelynek jelszava offline törhető, mert a TGS-jegy a fiók jelszavából származó kulccsal (gyakran RC4) titkosított.

Hatás

Bármely tartományi felhasználó lekérheti a jegyet, és gyenge jelszó esetén offline visszafejtheti; a szolgáltatásfiókok gyakran magas jogosultságúak.

Reprodukálás / bizonyíték

impacket-GetUserSPNs minta.local/tesztuser -request → TGS-hash az svc_sql fiókra; a jelszó offline 14 perc alatt törhető volt (szótár + szabályok). A jelszót a jelentés nem tartalmazza.

Javaslat

Használjon csoportosan menedzselt szolgáltatásfiókot (gMSA) vagy legalább 25+ karakteres véletlen jelszót; tiltsa az RC4-et (csak AES); vizsgálja felül a szolgáltatásfiókok jogosultságait.

Hivatkozások

MITRE ATT&CK T1558.003; CWE-521

Közepes F-007 · Hiányzó vagy nem érvényesített DMARC-szabályzat

Leírás

A domainhez nem tartozik DMARC-rekord, vagy a szabályzat „p=none”, így a hamisított feladójú levelek nincsenek visszautasítva.

Hatás

Támadók a cég nevében küldhetnek leveleket (adathalászat, számla- és vezérigazgatói csalás) az ügyfeleknek, partnereknek és a saját dolgozóknak.

Javaslat

Ellenőrizze az SPF- és DKIM-beállításokat, vezessen be DMARC-ot p=none (riportolás) móddal, majd fokozatosan állítsa p=quarantine, végül p=reject értékre.

Hivatkozások

RFC 7489; MITRE ATT&CK T1566

Közepes F-003 · Git Config - Detect

Leírás

Exposed .git/config file.

Reprodukálás / bizonyíték

nuclei sablon: git-config
Találat helye: https://shop.example.test/.git/config

Javaslat

Block access to .git directories.

Alacsony F-009 · Hiányzó biztonsági HTTP-fejlécek

Leírás

Egy vagy több ajánlott biztonsági válaszfejléc hiányzik (Content-Security-Policy, X-Content-Type-Options, X-Frame-Options vagy CSP frame-ancestors, Referrer-Policy).

Hatás

A fejlécek hiánya önmagában nem sérülékenység, de gyengíti a mélységi védelmet: XSS esetén nincs CSP-korlát, a clickjacking és a MIME-sniffing nincs tiltva, és az URL-ek kiszivároghatnak harmadik félhez.

Javaslat

Állítsa be a hiányzó fejléceket a webszerveren vagy a reverse proxyn. CSP-t először Content-Security-Policy-Report-Only módban vezessen be.

Hivatkozások

OWASP Secure Headers Project; CWE-693; OWASP WSTG-CONF