در یک عملیات Red Teaming اخیر، مشخص شد که حتی پسوردهای پیچیده و “قوی” نیز نمی‌توانند جایگزین مدیریت صحیح آسیب‌پذیری‌ها و سیاست‌های هویت باشند. این گزارش که توسط Dahvid Schloss از Suzu Labs منتشر شده، سناریویی را روایت می‌کند که در آن یک کارخانه پس از یک حمله موفق در گذشته، تصور می‌کرد امنیت خود را تامین کرده است، اما همچنان در برابر حملات قرار داشت.
نقاط ضعف در زیرساخت‌های صنعتی
در جریان بررسی‌های امنیتی، مشخص شد که این مجموعه همچنان از سرورهای قدیمی Windows 7 برای اتصال به ماشین‌های CNC استفاده می‌کند. اگرچه استفاده از سیستم‌عامل‌های قدیمی (Legacy OS) در محیط‌های صنعتی به دلیل سازگاری با نرم‌افزارهای اختصاصی رایج است، اما این موضوع سطح حمله (Attack Surface) را به شدت افزایش می‌دهد.
مسیر حمله: از EternalBlue تا تسخیر دامنه
بسیاری از سرورها از دامنه (Domain) جدا شده بودند، اما یک سرور متصل به شبکه و دامنه، در برابر اکسپلویت EternalBlue آسیب‌پذیر بود. پس از بهره‌برداری از این آسیب‌پذیری و انجام عملیات LSASS Dump، مهاجم توانست اعتبارنامه‌های موجود در WDigest را استخراج کند.
در میان اطلاعات استخراج شده، یک حساب کاربری با پسورد بسیار عجیب اما از نظر فنی “قوی” یافت شد: heyhackergof***yourself که به زبان Leet Speak نوشته شده بود. با وجود اینکه این پسورد از نظر پیچیدگی استاندارد بود، اما استفاده از عبارات توهین‌آمیز نشان‌دهنده ضعف در فرهنگ امنیتی و مدیریت هویت سازمان بود.
نتیجه‌گیری و درس‌های امنیتی
با استفاده از این اعتبارنامه، مهاجم توانست کنترل کامل شبکه (Domain Admin) را به دست بگیرد. این حادثه دو درس کلیدی برای مدیران امنیت (CISO) و تیم‌های SOC دارد:
- اولویت وصله‌کاری (Patching): وجود سیستم‌های قدیمی و آسیب‌پذیر مانند Windows 7، راه را برای ورود مهاجمان هموار می‌کند، حتی اگر پسوردهای بسیار پیچیده‌ای داشته باشید.
- مدیریت هویت و دسترسی (IAM): استفاده از پسوردهای غیرحرفه‌ای و مدیریت ضعیف حساب‌های ادمین، ریسک‌های امنیتی و همچنین ریسک‌های انطباق (Compliance) را افزایش می‌دهد.
در نهایت، امنیت یک زنجیره است و ضعف در یکی از حلقه‌ها (مانند سیستم‌های قدیمی)، تمام تلاش‌های دیگر (مانند پیچیدگی پسورد) را بی‌اثر می‌کند.
