Категорирование объекта КИИ по 187-ФЗ: от открытого RDP до шифровальщика на учебном стенде

В субботу вечером охранная компания в США потеряла доступ ко всем внутренним сервисам. Один сервер с открытым портом 3389, семь часов — и атакующий прошёл от брутфорса RDP до полного захвата сети. Это задокументированный кейс Darktrace, не теоретическая модель. На обследовании энергетического объекта в РФ я видел ту же картину: АСУ ТП с RDP наружу, пароль из шести символов, категорирование объекта КИИ по 187-ФЗ — не проведено. Ниже — разбор учебного стенда, который воспроизводит эту цепочку от первого сканирования до «ransom note», и пошаговый ответ: какой этап категорирования должен был закрыть каждую дыру.

Учебный стенд: незащищённый RDP на объекте КИИ

Стенд имитирует типовой сегмент объекта КИИ — критической информационной инфраструктуры. По 187-ФЗ к объектам КИИ относятся информационные системы, информационно-телекоммуникационные сети и АСУ ТП (автоматизированные системы управления технологическими процессами), принадлежащие субъектам КИИ. Субъекты — организации из сфер энергетики, транспорта, связи, здравоохранения, финансов, оборонной и ряда других отраслей. Если вы работаете в одной из них, ваша организация — субъект КИИ по закону, даже если никто об этом не знает.

Архитектура стенда:

• Windows Server 2019 с включённой службой RDP (Remote Desktop Protocol — встроенный в Windows протокол удалённого рабочего стола), порт 3389 доступен из внешнего сегмента
• Доменный контроллер Active Directory во внутренней подсети
• Рабочая станция оператора АСУ ТП — конечная цель атакующего
• Межсетевой экран с правилами по умолчанию — пропускает RDP-трафик между сегментами

Запрос port:3389 в Shodan (поисковый движок по устройствам, подключённым к интернету) по данным ReliaQuest за 2024 год выдаёт более 4,4 миллиона открытых RDP-инстансов глобально. По данным британского NCSC (Национальный центр кибербезопасности), RDP — самый распространённый вектор у операторов шифровальщиков. Бизнес-логика атакующего прямая: готовый RDP-доступ продаётся на тёмных форумах пакетами. По ориентировочным оценкам ReliaQuest (2024), десять скомпрометированных сетей стоят порядка $2 500. Покупатель получает вход в инфраструктуру и разворачивает шифровальщик.

Стенд воспроизводит этот сценарий на примере энергетического объекта третьей категории значимости.

Категорирование объектов КИИ: зачем оно нужно до первого инцидента

Категорирование объектов критической информационной инфраструктуры (статья 7 187-ФЗ) — процесс, в ходе которого субъект КИИ (организация-владелец объекта) оценивает возможный ущерб от компьютерного инцидента и присваивает объекту одну из трёх категорий значимости: первая — наивысшая, третья — минимальная. Объект, получивший категорию, становится значимым объектом КИИ (ЗОКИИ).

Критерии оценки: социальная, экономическая, экологическая, политическая значимость и значимость для обороны. На практике комиссия отвечает на один вопрос: «Что случится, если эта система ляжет?» Для энергетического объекта ответ конкретный — нарушение электроснабжения N тысяч абонентов на M часов.

Три причины, почему это не бюрократия:

Категория определяет набор мер защиты. Приказ ФСТЭК (Федеральная служба по техническому и экспортному контролю — регулятор, отвечающий за защиту информации и контроль безопасности ЗОКИИ) №239 задаёт перечень обязательных мер для каждой категории: от управления доступом и сегментации до резервного копирования и реагирования на инциденты. Коды мер ниже приводятся по актуальной на момент написания редакции и требуют сверки с действующим текстом приказа.

Без категорирования защита не выстраивается. Невозможно определить, нужна ли MFA (многофакторная аутентификация) или offline-бэкапы, пока не определена категория.

Есть уголовная ответственность. Статья 274.1 УК РФ — до 10 лет за нарушение правил эксплуатации ЗОКИИ. Это не штраф, а реальный срок.

Процедуру проводит внутренняя комиссия организации. Как справедливо отмечает STEP LOGIC, «массив данных для категорирования предоставляется самой организацией, а суть услуг подрядчиков в 90% случаев состоит в наличии у них отработанных шаблонов». Комиссия включает руководителей подразделений, которые знают реальные процессы. Передача категорирования целиком подрядчику — путь к формальным документам, оторванным от инфраструктуры. Именно этот разрыв и эксплуатируется на стенде.

От разведки до шифровальщика: четыре фазы RDP-атаки на КИИ

Каждая фаза атаки на стенде маркирована техникой из MITRE ATT&CK — открытой базы тактик и техник, которую используют и атакующие, и защитники. T-коды (T1190, T1133 и т.п.) — идентификаторы конкретных техник. Зачем они здесь: чтобы на каждом шаге было видно, какой этап категорирования должен был сработать, а какая техника прошла мимо модели угроз.

Фаза 1: разведка — открытый порт 3389

Техника: External Remote Services (T1133), тактики Initial Access и Persistence — использование внешних удалённых сервисов для проникновения. T1133 описывает доступность RDP-сервиса извне; сканирование выполняется с Linux-хоста атакующего, целевая платформа — Windows.

Атакующий сканирует внешний периметр. nmap -sV -p 3389 <target_ip> покажет:

PORT     STATE SERVICE       VERSION
3389/tcp open  ms-wbt-server Microsoft Terminal Services

Порт открыт, сервис определён. RDP доступен из интернета без ограничений. Для атакующего это как незапертая дверь с табличкой «Добро пожаловать».

Какой этап категорирования закрывает эту дыру: самый первый — инвентаризация объектов и определение их границ. Комиссия фиксирует все информационные системы, сети и АСУ ТП, определяет точки подключения к внешним сетям. Если инвентаризация проведена корректно, сервер с RDP наружу попадает в перечень, а его внешнее подключение — в описание границ объекта. По NIST CSF 2.0 (фреймворк кибербезопасности от Национального института стандартов и технологий США) это функция ID.AM-01 — инвентаризация аппаратных средств.

На стенде инвентаризация не проведена. Сервер «забыт» — его подключили для подрядчика и не отключили. Классика.

Фаза 2: брутфорс RDP и начальный доступ

Техника: Password Guessing (T1110.001), тактика Credential Access — перебор паролей.

На стенде учётная запись operator с паролем P@ssw0rd1. Типичный словарный пароль, который встречается в каждом втором словаре для брутфорса. Атакующий запускает Hydra: hydra -l operator -P /path/to/short_wordlist.txt rdp://<target_ip> (нужна Hydra ≥9.x с модулем rdp; альтернативы — crowbar, ncrack). При коротком словаре (100–500 паролей) совпадение находится за минуты; полный перебор по rockyou.txt (14+ млн записей) занял бы часы из-за медленности RDP-протокола. Подключение через xfreerdp /v:<target_ip> /u:operator /p:P@ssw0rd1 /cert:ignore открывает рабочий стол Windows.

Одновременно задействуется Valid Accounts (T1078), тактики Initial Access, Persistence, Privilege Escalation, Defense Evasion — использование легитимных учётных данных. Атакующий теперь не «хакер» для системы, а законный пользователь.

По оценке Coveware, Emsisoft и Recorded Future (как цитирует Thales), RDP — крупнейший вектор для шифровальщиков. Если модель угроз при категорировании составлена честно, RDP-брутфорс обязан попасть в перечень актуальных угроз.

Какой этап категорирования закрывает: анализ угроз и моделирование. Для RDP-брутфорса определяются конкретные меры из Приказа ФСТЭК №239:

• ИАФ.1 — парольная политика, требование сложных паролей
• ИАФ.4 — многофакторная аутентификация
• Блокировка учётной записи после N неудачных попыток

Это напрямую соотносится с OWASP A07:2021 — Identification and Authentication Failures (слабые пароли, отсутствие защиты от подбора) и функцией NIST CSF PR.AA-01.

Для мониторинга попыток брутфорса полезен AbuseIPDB — публичная база отчётов о вредоносных IP-адресах. Категория #18 (Brute-Force) покрывает такие инциденты. Если внешний IP набирает confidence score выше 75 из 100 — блокируйте на периметре. На стенде ни парольная политика, ни мониторинг не реализованы.

Фаза 3: латеральное движение через RDP

Техника: Remote Desktop Protocol (T1021.001), тактика Lateral Movement — перемещение по сети через RDP.

Получив доступ к серверу в DMZ (демилитаризованная зона — сегмент сети между внешним и внутренним периметром), атакующий обнаруживает второй сетевой интерфейс во внутренний сегмент. В кейсе Darktrace атакующий после начального проникновения использовал WMI (Windows Management Instrumentation — штатный механизм удалённого управления Windows) и PsExec для перемещения к пяти устройствам в подсети. Штатные инструменты Windows — приём «living off the land» — позволили обойти все средства защиты, кроме поведенческой аналитики.

Darktrace зафиксировал атаку по нескольким моделям: Compliance / Incoming Remote Desktop, Device / Anomalous RDP Followed By Multiple Model Breaches, Device / New or Uncommon WMI Activity. В российском контексте аналогичные правила реализуются через меру АУД.4 из Приказа №239 — регистрация и анализ событий безопасности.

На стенде межсетевой экран между DMZ и внутренним сегментом настроен с правилами по умолчанию — пропускает RDP. Атакующий подключается к домен-контроллеру с теми же учётными данными. Два хопа — и он внутри.

Какой этап категорирования закрывает: определение категории и выбор мер. Для ЗОКИИ третьей категории Приказ №239 требует:

• ЗИС.17 — сегментация, контроль информационных потоков между сегментами
• АУД.4 — мониторинг событий (множественные RDP-подключения с одного хоста к разным серверам — аномалия, которую должен ловить SIEM)

Это соответствует OWASP A05:2021 — Security Misconfiguration (дефолтные правила МЭ, открытые ненужные порты) и функции NIST CSF DE.AE-01 — установление baseline сетевого поведения для обнаружения аномалий.

Фаза 4: шифровальщик через RDP — импакт на объект КИИ

Три техники подряд, все из тактики Impact:

1. Service Stop (T1489) — остановка антивирусных служб и средств мониторинга
2. Inhibit System Recovery (T1490) — удаление теневых копий (vssadmin delete shadows /all /quiet), отключение Windows Recovery
3. Data Encrypted for Impact (T1486) — шифрование файлов на локальных дисках и сетевых шарах

После этих шагов рабочая станция оператора АСУ ТП становится недоступной. В реальном сценарии — потеря управления технологическим процессом. Тот самый ущерб, который оценивают при категорировании.

Какой этап категорирования закрывает: оценка последствий компьютерного инцидента — ядро всей процедуры. Комиссия отвечает на вопрос: «Что произойдёт, если система ляжет?» Для энергообъекта: «Нарушение электроснабжения на M часов» → третья категория.

Меры из Приказа №239 для этой фазы:

• ОДТ.4, ОДТ.5 — резервное копирование. Offline-бэкапы вне основной сети, регулярная проверка восстановления. Бэкап на том же сервере — не бэкап, а утешение
• АВЗ.1 — антивирусная защита с tamper protection (защита от остановки самим вредоносом)
• ИНЦ.1–ИНЦ.5 — playbook реагирования на инциденты
• Взаимодействие с ГосСОПКА (государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак, ст. 5 187-ФЗ) — уведомление НКЦКИ (Национальный координационный центр по компьютерным инцидентам) в срок 3–24 часа в зависимости от категории

Проходим стенд: делай раз, делай два, делай три

Предпосылки: Kali Linux с установленными Nmap, Hydra, xfreerdp. Учебный стенд запущен и доступен по IP-адресу.

Делай раз — разведка. Запусти nmap -sV -p 3389 <target_ip>. Ожидаемый вывод: строка 3389/tcp open ms-wbt-server. Увидел — RDP доступен. Дополнительно проверь NLA (Network Level Authentication — предварительная аутентификация до установки полной RDP-сессии): nmap --script rdp-enum-encryption -p 3389 <target_ip>. Если NLA отключена — брутфорс проще, аутентификация не требуется до установки сессии. В выводе скрипта смотрите поле Security Layer: значение CredSSP — NLA включена; RDP Security или SSL — NLA отключена.

Делай два — получи доступ. Запусти hydra -l operator -P /path/to/short_wordlist.txt rdp://<target_ip> (Hydra ≥9.x с поддержкой модуля rdp/freerdp; альтернативы — crowbar или ncrack). Жди строку [3389][rdp] host: ... login: operator password: .... RDP-брутфорс медленный — одна попытка в несколько секунд из-за полного TCP/RDP-хендшейка. Для демонстрации используйте короткий словарь из 100–500 паролей, не полный rockyou.txt. Подключись: xfreerdp /v:<target_ip> /u:operator /p:<найденный_пароль> /cert:ignore. Получилось — если отобразился рабочий стол Windows Server, в заголовке окна IP-адрес целевого хоста.

Делай три — латеральное движение. На скомпрометированном хосте открой PowerShell. Выполни ipconfig /all — найди второй сетевой интерфейс (адрес вида 10.0.1.x). Просканируй внутреннюю подсеть встроенными средствами:

1..254 | ForEach-Object {
  $ip = "10.0.1.$_"
  if (Test-Connection $ip -Count 1 -Quiet) { Write-Host "$ip alive" }
}

На выходе — список живых хостов. Найди домен-контроллер (обычно первый адрес в подсети), попробуй подключиться к нему по RDP с теми же учётными данными. Подключение прошло — сегментация между сегментами отсутствует. Вот так просто.

Делай четыре — имитация импакта. На учебном стенде запускается безвредный скрипт-имитатор: он создаёт файлы с расширением .encrypted и выводит текст ransom note. Проверь результат: появились ли файлы .encrypted, доступна ли рабочая станция оператора, сохранились ли теневые копии (vssadmin list shadows в cmd от имени администратора). Теневых копий нет, файлы «зашифрованы» — стенд пройден, цепочка воспроизведена.

Чек-лист: этап атаки → мера защиты значимого объекта КИИ

Для харденинга Windows Server с RDP в качестве отправной точки — DISA STIG (Security Technical Implementation Guide). Профиль для Windows Server 2022 задаёт baseline конфигурации, включая настройки RDP.

Цепочка: не категорировали — не защитили — шифровальщик

Вся атака на стенде укладывается в одну логику. Организация — субъект КИИ. У неё АСУ ТП, управляющая подстанцией. Это объект КИИ. Если комиссия по категорированию:

1. Не включила сервер с RDP в перечень — объект формально не существует, обязанности субъекта КИИ по его защите не возникают
2. Занизила категорию — набор обязательных мер сокращается, сегментация и мониторинг не требуются
3. Составила модель угроз формально — брутфорс RDP не попал в актуальные угрозы, меры ИАФ не реализованы
4. Не провела оценку последствий — руководство не видит связь «шифровальщик на АРМ оператора = остановка подстанции»

Приказы ФСТЭК №235 (требования к созданию систем безопасности ЗОКИИ) и №239 (требования к обеспечению безопасности) формируют систему мер, закрывающую каждый этап атаки. Но только при корректном выполнении. Формальное категорирование, где комиссия копирует шаблон подрядчика без обследования реальной инфраструктуры, не защищает ни от чего. Аудит безопасности КИИ или пентест объекта КИИ на учебном стенде — способ увидеть эту разницу руками.

За несколько десятков обследований промышленных площадок я наблюдаю один паттерн: на бумаге категория определена, приказы процитированы, модель угроз подшита. В реальной инфраструктуре — RDP наружу, пароль из словаря, сегментации нет, бэкапы на том же сервере. Между документом и сетью — пропасть, которую шифровальщик через RDP преодолевает за ночь.

Главная проблема категорирования — не закон и не приказы. Проблема в том, что модель угроз составляют люди, которые ни разу не видели реальную атаку. Пока специалист, определяющий актуальные угрозы для ЗОКИИ, не запускал Hydra против собственного тестового RDP и не видел, как за пятнадцать минут подбирается словарный пароль, модель останётся бумагой. Учебный стенд вроде описанного решает эту задачу: вы видите, как T1133 превращается в T1486, и на каждом шаге понимаете, какой пункт приказа должен был сработать. Категорирование после этого перестаёт быть бюрократическим упражнением и становится инженерной задачей. Если тема КИИ новая и хочется пройти базу системно — на IB Basics в Codeby показывают не теорию, а как джуны реально решают первые задачи в SOC и blue team.