UA
6 Min Read
Коли захисний пристрій стає входом
Наприкінці вересня 2026 року вийшло два повідомлення, які читаються як одна історія: пристрої, що мали охороняти периметр, стали дорогою всередину. Ці історії окремі, джерела їх не пов'язують.
Перша про криптобіржу Bitget. За BleepingComputer, 24 вересня 2026 року зловмисник, як встановила Mandiant, отримав привілейований доступ до двох сторонніх захисних пристроїв (security appliances). Він скористався zero-day, тобто вразливістю, для якої ще не було патча. На одному з пристроїв розмістив вебшел, невеликий скрипт для віддаленого керування, і звідти дістався сервера, що обслуговує гаманці. Викрадено близько $387,5 млн. У Bitget заявили, що причина в zero-day у сторонніх продуктах безпеки, про це пише й The Hacker News. Вендора пристроїв не названо, тому гадати ми не будемо.
Кілька деталей важливі для практики. SlowMist, друга компанія, яка розслідувала інцидент, знайшла в журналах найраніші ознаки шкідливої активності ще за 31 серпня, задовго до крадіжки. За її даними, зловмисник виконав команду, що прочитала змінну середовища з паролем до бази даних. А за The Hacker News, 25 вересня він зайшов на платформу керування одним із пристроїв під ідентичністю внутрішнього співробітника. Гроші вивели з гарячих і теплих гаманців (тих, що підключені до мережі й працюють з виплатами).
Друга історія про Citrix NetScaler. 27 вересня 2026 року Citrix опублікувала бюлетень про вісім вразливостей у NetScaler ADC (пристрій, що розподіляє трафік до застосунків) і NetScaler Gateway (шлюз віддаленого доступу, зокрема VPN). Дві з них, CVE-2026-88771 і CVE-2026-88772, SecurityWeek описує як zero-day, обидві мають оцінку 9,5 за шкалою CVSS. У бюлетені CISA сказано, що зловмисники активно експлуатують їх у світі, а обидві вразливості додано до каталогу відомих експлуатованих вразливостей (KEV). Федеральним агенціям США дали строк до 30 вересня 2026 року.
Це не збіг, а закономірність
За VulnCheck, у 2025 році 28,96% вразливостей з їхнього каталогу KEV почали експлуатувати в день публікації CVE або раніше. CVE це публічний ідентифікатор вразливості. Тобто часто патча ще нема, а атака вже йде. Серед цілей експлуатації найчастіше трапляються саме периметрові пристрої: firewall, VPN, proxy.
Звідси висновок без драматизму. Периметровий пристрій такий самий актив, як сервер: він має вразливості, облікові записи, журнали й власника. Тільки його звикли вважати захистом, а не поверхнею атаки. Коли читаєте новину про чужий інцидент, перше питання не «хто винен», а «чи є в нас такий пристрій і хто його патчить». Нижче сім кроків, які допомагають відповісти на це заздалегідь.
Перші три кроки: бачити, керувати, чути
Крок перший. Реєстр периметрових пристроїв. Запишіть кожен firewall, VPN-шлюз, балансувальник і проксі: модель, версію, власника, адресу керування, строк підтримки. Без реєстру про вразливий NetScaler ви дізнаєтесь з новин, а не з власного списку, і не будете певні, чи він у вас узагалі є.
Крок другий. Окремий канал керування з MFA. MFA це багатофакторна автентифікація, другий фактор поза паролем. Адміністрування пристроїв не повинне бути доступне з того самого інтернету, який вони охороняють. Потрібна окрема мережа керування, вхід через захищений вузол і MFA для кожного адміністратора. Якщо облікові дані співробітника відкривають платформу керування, як це описано у випадку Bitget, другий фактор стає останнім бар'єром.
Крок третій. Журнали з пристроїв у моніторинг. На такі пристрої зазвичай не ставлять EDR (endpoint detection and response, агент, що стежить за підозрілою поведінкою на сервері чи ноутбуці), тому самі вони про злам не повідомлять. Збирайте журнали в центральну систему моніторингу й налаштуйте сигнали на зміну конфігурації, нові облікові записи, незвичні входи та невідомі файли. Питання не в тому, чи журнали є. Питання, хто й коли їх читає.
Решта чотири: час, межі, секрети, гроші
Крок четвертий. Строк на патчі для периметра в годинах. Для звичайних серверів ще можливі тижні, для периметра з відомою експлуатацією вже ні: Citrix оприлюднила бюлетень 27 вересня, а агенціям США дали строк до 30 вересня. Запишіть у політиці конкретну кількість годин для критичних вразливостей периметра, які вже експлуатують, і визначте, хто має право вимкнути сервіс, якщо патча ще нема. Орієнтир пріоритету: чи є вразливість у каталозі KEV.
Крок п'ятий. Сегментація між периметром і критичними системами. Припустіть, що пристрій зламано, і запитайте, що він бачить. З периметра не повинно бути прямого маршруту до баз даних, платіжних серверів і гаманців. У Bitget, за Mandiant, зловмисник перейшов з пристроїв на сервер гаманців. Дозволений трафік між зонами описуйте явно, решту закривайте. Тоді зламаний пристрій дає зловмиснику одну кімнату, а не весь будинок.
Крок шостий. Секрети не в змінних середовища. Змінну бачить кожен процес і кожен, хто потрапив на сервер. За SlowMist, пароль до бази даних прочитали саме так. Тримайте паролі й ключі в сховищі секретів, видавайте тимчасові, обмежуйте доступ окремо для кожного сервісу, змінюйте після будь-якої підозри.
Крок сьомий. Подвійний контроль на великі фінансові операції. Якщо зловмисник дійшов до платіжної системи, останній бар'єр це процес. Операції вище порогу мають підтверджувати друга людина або незалежна система, а нові адреси отримувачів і зміна лімітів проходять окрему перевірку. Ми не стверджуємо, що це зупинило б Bitget: як там влаштовано гаманці, публічно не описано.
Сценарій для red team: «периметр уже зламано»
Red team (команда, що імітує реальних атакувальників) може починати не з пошуку вразливості, а з припущення: на периметровому пристрої сторонній уже є. Далі перевіряють, чи він дотягнеться до мережі керування, чи знайде секрети, чи дійде до критичних систем і платіжних процесів. І головне, чи хтось це помітить і за який час. Такий сценарій перевіряє кроки з другого по сьомий разом, а не окремі налаштування. Це корисно, бо показує реальний шлях атаки, а не перелік окремих недоліків. Про формат читайте на сторінці Red Team Assessment.
Пентест (тест на проникнення) доповнює його з іншого боку: шукає вразливості й помилки конфігурації самого периметра, див. тест на проникнення. А огляд захищеності системної інфраструктури допомагає навести лад у налаштуваннях, ролях і журналах пристроїв. Фінустанови ЄС можуть розглянути TIBER-EU, формат тестування на основі реальних загроз.
З чого почати
З реєстру: решта кроків без нього будуються навмання. Якщо хочете звірити свій периметр із цим списком, поговоримо про ваш кейс.
Join our newsletter list
Sign up to get the most recent blog articles in your email every week.
Similar Topic
Related Blogs
More Articles
Latest Blogs
Frequently Asked Questions
Wondering About Something? Let’s Clear Things Up!
We’ve gathered all the important info right here. Explore our FAQs and find the answers you need.
What types of cybersecurity services does Audit3A offer?
Audit3A provides comprehensive cybersecurity services including application and infrastructure security, cybersecurity governance risk and compliance, SIEM solutions, vulnerability management, and anti-malware solutions. We also offer penetration testing, web and mobile application security, and fraud risk management.
How can Audit3A help my business comply with industry-specific regulations?
Our team specializes in assisting organizations with establishing effective cybersecurity governance frameworks, managing cybersecurity risks, and conducting audits for compliance with various regulations and standards. We ensure your cybersecurity practices align with industry best practices and regulatory requirements specific to your sector.
What makes Audit3A different from other cybersecurity companies?
Audit3A stands out due to our comprehensive approach, combining advanced technology with expert human analysis. We offer tailored solutions for businesses of all sizes, have a global presence with local expertise, and maintain a strong focus on research and development to stay ahead of emerging threats.
How often should my organization conduct a cybersecurity audit?
The frequency of cybersecurity audits can vary depending on your industry, regulatory requirements, and risk profile. However, we generally recommend conducting a comprehensive audit at least annually, with more frequent assessments of specific areas or in response to significant changes in your IT environment.
Can Audit3A provide cybersecurity solutions for small businesses as well as large enterprises?
Yes, Audit3A offers scalable solutions suitable for organizations of all sizes. We have specific packages designed for small businesses that provide essential security measures while being cost-effective. Our team can tailor our services to meet the unique needs and budget constraints of your business.
What is the process for engaging Audit3A's services?
The engagement process typically begins with an initial consultation to understand your specific needs and challenges. We then conduct a preliminary assessment of your current security posture. Based on this, we propose a customized security plan. Once agreed, we implement the solutions, provide necessary training, and offer ongoing support and monitoring.
How does Audit3A stay updated with the latest cybersecurity threats and technologies?
Audit3A invests heavily in research and development. We have our own R&D lab dedicated to studying emerging cyber threats. We also collaborate with leading universities, participate in developing international security standards, and maintain a program for independent security researchers. Our team regularly updates their skills and certifications to stay at the forefront of cybersecurity technology and practices.
You can copy our materials only after making sure that your services are safe.
This site is protected by reCAPTCHA and the Google Privacy Policy and Terms of Service apply.