Идеальный сканер безопасности, который не увидел главного

Была глубокая ночь, когда я наткнулся на то, что перевернуло моё представление о безопасности.

Никакого клиента, никаких совещаний. Я сидел за своим обычным столом, перед теми же двумя мониторами, и гонял red team симуляцию против собственной платформы. Терминал, свежая сборка, недели написанного кода.

Сканер отработал безупречно. Все CVE, которые должен был найти, он нашёл. Оценки серьёзности выставились как надо. Дашборд горел ровно так, как и положено исправной приборной панели. По всем метрикам, которые я сам же задал, система сделала свою работу.

А потом я сделал глупую, а может, самую полезную за последние месяцы вещь: представил себя атакующим.

Не абстрактным злоумышленником из документации OWASP или NIST. Я вошёл в роль конкретного человека, которому нужно проникнуть в организацию, которую мы защищаем. Он изучил цель, знает её отрасль, понимает, что внутри ценно, и у него полно времени.

Путь, который я нашёл, не вызвал ни одного срабатывания. Уязвимость имела базовый балл CVSS 4.3 — средний уровень, даже не входила в топ-50 находок сканера. Сама по себе, в вакууме, она ничего не значила. Но в контексте конкретной архитектуры, рядом с двумя другими безобидными находками, она оказалась дверью.

Я долго смотрел на экран. Не потому, что меня удивило, что сканер её пропустил, — я понимал техническую причину. Меня поразило другое: ведь это я писал этот сканер. Я разрабатывал его логику, решал, что для него приоритетно. А теперь, встав на ту сторону, думая как тот, кто хочет внутрь, а не как тот, кто защищает, я увидел, что именно построил неправильно.

Допущение, вшитое во всё

Каждая строчка кода, которую я писал в области безопасности, исходила из набора представлений о том, что такое безопасность, что важно, что считать угрозой, что нужно знать защитнику.

Большинство этих представлений я взял из индустрии: шкалы CVSS, таксономии угроз MITRE, приоритеты от крупных вендоров, регуляторов и сертификационных программ. Я не ставил их под сомнение, потому что они были фундаментом. Фундамент не обсуждают, пока строишь дом.

Но в ту ночь, глядя в терминал и на находку с баллом 4.3, через которую я прошёл в энтерпрайз, как будто дверь была открыта, мне пришлось признать неприятное: фундамент заложили не под то здание.