Пентестер нашел в открытом доступе планы коммуникаций здания и проник в закрытую зону дата-центра через туалет
ИБ-эксперт, инженер и тестировщик физических систем защиты Эндрю Тирни (Andrew «Cybergibbons» Tierney) рассказал, как смог пройти в закрытую зону дата-центра по лежащим в свободном доступе чертежам здания. Он обнаружил инженерные коммуникации с коридорчиком, где можно было решать проблемы со сливом от писсуаров и чинить механизмы скрытых бачков унитазов в кабинках.
Тирни выяснил, что на планах инженерных коммуникаций есть физический коридорчик, предусмотренный для быстрого решения проблем со сливом от писсуаров и кабинок. Доступ в это пространство оказался открыт для всех, если знать, где нажать и как выглядит скрытая фальш-дверца.
В исследуемом Тирни здании, где размещался дата-центр, туалет был общий, но разделённый сплошной стеной без вентиляционного прохода сверху на две части. Первая была доступна всем посетителям. Доступ ко второй был только у сотрудников дата-центра, которые ходили туда из защищённого периметра.
Тирни смог зайти в доступную зону, открыть дверку в технический коридор, пройти по нему далее и выйти в защищённой зоне туалета дата-центра.
Исследователю для этого понадобилось просто подождать, пока освободятся две крайние кабинки, где есть дверцы в техкорридор. Тирни уточнил, что при выходе из коридора наружу он подождал и убедился, что дальняя кабинка пуста, прежде чем открывать дверцу.
В итоге эксперт смог проникнуть в зону, где другие сотрудники дата-центра входили через отдельные турникеты по пропускам.
Тирни не пояснил, рассказал ли он СБ дата-центра о проблеме и что было далее с этим коридором.
