Что проверить в инфраструктуре до слияния, чтобы не унаследовать чужие проблемы

Сделка M&A (слияния и поглощения) — это всегда стресс. И для тех, кто входит в новый бизнес, и для тех, кто приобретает. Бизнес считает синергию, юристы проверяют документы, интеграторы рисуют схемы объединения сетей. И только CISO поглощающей компании смотрит на ИТ-ландшафт приобретаемой компании и понимает, что это минное поле.

Когда вы объединяете инфраструктуры, вы покупаете не только активы и клиентскую базу. Вы покупаете чужие уязвимости, скомпрометированные учетки, токсичный Active Directory и инсайдеров, которые прямо сейчас сливают базу клиентов, пока не грянуло сокращение.

Если просто поднять VPN и соединить домены, проблемы поглощаемой компании мгновенно станут вашими. Разбираемся, как провести ИБ-рентген чужой инфраструктуры до того, как вы пустите её в свой периметр.

1. Службы каталогов: аудит «скелетов в шкафу»

1.1 Active Directory (или его отечественные аналоги) — это фундамент. Если в нём бардак, переносить его в ваш чистый домен нельзя. Вы просто заразите свою среду. До объединения сетей запросите выгрузку из их каталога и прогоните её через инструменты анализа привилегий и харденинга. На что смотреть в первую очередь:

Гигиена и «мёртвые души»

— Неактивные учетки (например, более 90 дней). Это идеальные плацдармы для скрытного проникновения. Если сотрудник уволился полгода назад, а его УЗ жива — это приглашение для злоумышленника.

— Группы-призраки. Группы без владельца, без описания и без пользователей — в крупных компаниях их сотни. Злоумышленники часто используют такие группы для получения дополнительных доступов и продвижения по инфраструктуре.

— Циклическая вложенность. Ситуация, когда Группа А входит в Группу Б, а Б — в А, это не только ломает логику доступов, но и может вызывать сбои при миграции.

— Избыточность прав (Privilege Creep). Пользователи, состоящие в 30-50 группах одновременно — это признак того, что доступы выдавались «по просьбе трудящихся», а не по бизнес-ролям, избыточные права — путь к утечкам чувствительных данных.

1.2 Критические уязвимости конфигурации (Харденинг)

Не верьте словам местных админов «у нас всё закрыто», проверяйте факты:

• Kerberoasting и AS-REP Roasting. Есть ли сервисные учетки со слабыми паролями и SPN, которые можно взломать оффлайн? Есть ли пользователи с отключенной преаутентификацией Kerberos?
• Токсичные делегирования. Права типа GenericAll или GenericWrite на критические объекты (например, на группу Domain Admins или контроллеры домена) у широких групп вроде Domain Users.
• Слабые парольные политики. Отсутствие MFA для администраторов, пароли, которые не меняются годами (Password never expires), и отсутствие блокировки при брутфорсе.
• Секреты в SYSVOL. Анонимный или избыточный доступ к сетевым папкам со скриптами входа и GPO, где часто лежат зашитые пароли.

Рекомендация. Если компания в процессе импортозамещения и использует Linux-каталоги — не расслабляйтесь. Там тоже есть свои «грабли»: анонимный доступ по LDAP, отсутствие LDAPS, уязвимые ACI (Access Control Instructions) и права root через SSH.

2. Сетевые потоки: что они делают на самом деле?

Статические правила межсетевых экранов покажут только то, что разрешено. Они не покажут, что происходит по факту. До физического объединения сетей заведите на их шлюзах зеркалирование трафика или настройте отправку Netflow и логов Proxy в аналитическую платформу с возможностями NDR или поведенческого анализа.

Вам нужно построить базовые сетевые профили, чтобы увидеть аномалии, например:

• Туннелирование и обход DLP. Ищите аномалии в ICMP и DNS протоколах. Если с рабочей станции бухгалтерии летит 50 МБ DNS-трафика в час, то скорее всего это DNS-туннель, а не разрешение сайтов.
• Теневые C2-каналы и эксфильтрация. Смотрите на логи прокси-серверов. Обращайте внимание на хосты с аномально долгими сессиями и объемом выгрузки данных на нестандартные веб-ресурсы. Злоумышленник может сидеть в их сети месяцами, маскируя C2-трафик под обычные HTTPS-запросы.
• Аномалии VPN. Кто подключается в 3 часа ночи? У кого сессия не рвется 24/7? Чей объем полученных данных через VPN-туннель в 10 раз превышает норму? Это маркеры либо скомпрометированной учетки, либо инсайдерской деятельности.
• BitTorrent и P2P. Использование распределенных протоколов на серверах или рабочих станциях является не только нагрузкой на сеть, но и прямым каналом для утечки данных и привнесения вредоносного ПО.

Если есть возможность дополнительно используйте NTA-решения для получения более глубокого контекста.

3. Поведенческая аналитика для поиска инсайдеров и скрытых угроз

M&A — это стресс для сотрудников поглощаемой компании. Люди боятся увольнений, премий не будет, и некоторые решают прихватить с собой наработки, базы клиентов или исходный код. Это классическая задача экономической безопасности.

Классической корреляции и поиска по известным сигнатурам SIEM может не хватать. Инсайдер или скомпрометированный админ использует легитимные инструменты. Вам нужна поведенческая аналитика (UEBA), которая строит базовый профиль каждого пользователя и бьёт тревогу при отклонениях.

Рекомендации по профилированию до слияния:

3.1 Файловые серверы (File Server)

— Массовый сбор (Collection). Пользователь, который вчера обращался к 5 папкам, а сегодня рекурсивно сканирует 500 уникальных и нетиповых для себя сетевых каталогов.

— Смена паттерна. Отклонение в распределении доступа. Например, человек никогда не заходил в папку «Финансовые планы», а за неделю до сделки начал её регулярно синхронизировать.

— Нетипичные хосты. Обращение к файловым шарам с IP-адресов, с которых этот сотрудник никогда не работал.

3.2 Базы данных

— Новые объекты и операции. Аналитик всегда делал SELECT из трех таблиц. Внезапно он начинает обращаться к новым базам и выполнять DROP или выгрузку через нетипичные приложения.

— Затраты CPU. Аномально высокое процессорное время на выполнение запросов может говорить о попытке несанкционированного дампа всей БД.

— Аномалии по времени. Смещение почасовой активности. Например, пользователь, работающий строго с 9 до 18, внезапно начинает генерировать запросы ночью или после окончания рабочего дня.

3.3 Почта и внешнее взаимодействие

Цифровая гигиена. Кто из сотрудников поглощаемой компании регулярно получает и, что хуже, открывает фишинговые рассылки и вирусные вложения? Эти люди — главная угроза при объединении почтовых контуров. Их нужно отправить на переобучение до того, как они откроют дверь шифровальщику в вашей общей сети.

4. Ролевая модель и бизнес-процессы

При слиянии бизнес часто требует: «Сделайте так, чтобы их отдел продаж имел доступ к нашей CRM, а наши логисты — к их складу».

Если делать это вручную, вы получите хаос. Используйте алгоритмы машинного обучения для построения матрицы бизнес-ролей.

4.1. Выявите реальные, а не бумажные роли.

4.2. Найдите «супер-пользователей» — сотрудников, на которых замыкаются все бизнес-процессы. С точки зрения ИБ это колоссальный риск: если их учетку скомпрометируют (или они сами уйдут к конкурентам), бизнес встанет.

4.3. Сформируйте рекомендации: какие группы нужно создать, а какие — расформировать, чтобы применить принцип наименьших привилегий еще на этапе проектирования новой структуры.

Сводные рекомендации при M&A

Чтобы не унаследовать чужие проблемы, внедрите этот этап в процесс интеграции:

1. Режим Read-Only (За 30-60 дней до слияния).

— Настройте одностороннюю передачу логов (Netflow, Proxy, AD, FileServer, БД, СЗИ) из инфраструктуры поглощаемой организации в ваши аналитические платформы.

— Минимизируйте изменения и свои действия в инфраструктуре поглощаемой компании до момента слияния, не ломайте их процессы, выполняйте мониторинг.

2. Аудит каталогов (Харденинг).

— Прогоните выгрузку служб каталогов через инструменты проверки на уязвимости (Kerberoasting, DCSync, слабые GPO, теневые админы) и анализ аномальных привилегий.

— Потребуйте ИТ-отдел очистить «мёртвые» учетки и токсичные группы до миграции.

3. Запуск поведенческого профилирования.

— Накопите статистику за 2-3 недели или используйте исторические данные из систем логменеджмента. Выявите пользователей с аномальным поведением (слив данных, ночная активность, обращение к нетипичным ресурсам).

— Передайте списки «рисковых» сотрудников службе безопасности и HR.

4. Очистка и проектирование прав доступа.

— Сформируйте целевую ролевую модель.

— Мигрируйте только чистые, верифицированные учетные записи и группы.

5. Контроль периметра в День X.

В момент открытия маршрутизации между сетями держите перед глазами дашборды и перечни сработок с аномалиями DNS/ICMP-туннелирования и попытками бокового перемещения (Lateral Movement).

Заключение

Интеграция ИТ-инфраструктур при слияниях — это не просто техническая задача по настройке Trust-отношений между доменами и прорубке VPN-туннеля. Это задача по управлению рисками.

Поведенческая аналитика, автоматизированный харденинг каталогов и поиск аномальных привилегий перестают быть опциональными инструментами для энтузиастов. В условиях, когда цена утечки интеллектуальной собственности или остановки бизнеса из-за чужого шифровальщика может превысить стоимость самой сделки, глубокий ИБ-аудит поглощаемой компании становится обязательным стандартом работы современного CISO.

Не покупайте кота в мешке. Используйте все данные о нем!

Авторы: Николай Перетягин, менеджер продукта Dataplan, компания NGR Softlab; Андрей Шабалин, руководитель группы анализа данных NGR Softlab