Специалист по безопасности и тестировщик систем защиты от проникновений Эндрю Тирни (Andrew Tierney), известный под ником CyberGibbons, смог проникнуть в закрытый дата-центр, используя обычный «сантехнический» коридор, предназначенный для служебного пользования. Информацию, необходимую для проникновения, он обнаружил на общедоступных планах строения.
В серии твитов Тирни описал процесс проникновения из одной, общедоступной части здания в закрытую, где и расположен дата-центр. Тирни выяснил, что в зданиях подобного типа помещения часто планируются с использованием технического коридора, расположенного за туалетными кабинками. Ирония в том, что из кабинки на общедоступной территории можно попасть в сам коридор, идущий за помещением туалета, а из него выйти в кабинку, находящуюся на закрытой территории.
Источник изображения: twitter.com/cybergibbons
Коридор заканчивался дверью в помещение, откуда был выход на территорию самого ЦОД, в норме отделённого от другой части здания стеной. Хотя подобные «пентесты» призваны выявлять дефекты защиты для их последующего устранения, настоящий злоумышленник мог бы проникнуть в помещение для кражи или компрометации данных или даже повреждения оборудования. Стоит отметить, что подобные «аппаратные уязвимости» часто встречаются в зданиях любых типов.
В комментариях к серии твитов пользователи вспомнили другие ошибки проектирования, встреченные ими: отсутствие заграждений между публичной и закрытой зонами в пространстве над навесным потолком или под полом, установка дверей петлями наружу (причём так, что штыри из них можно без проблем вынуть), усиление основных дверей и дооснащение их магнитным замком, но использование обычного навесного замка для других.
Источник:
