Введение

15 октября компания BeyondTrust раскрыла информацию об уязвимости CVE-2026-102764, затрагивающей устройства BeyondTrust Remote Support (ранее Bomgar). BeyondTrust Remote Support — это корпоративное решение для безопасного удаленного доступа, которое позволяет ИТ-командам безопасно подключаться к удаленным конечным точкам и устранять неполадки. Успешная эксплуатация этой уязвимости приводит к произвольной загрузке файлов.

В ходе реагирования на инцидент специалисты Mandiant выявили доказательства того, что ARMORY CASTLE, предполагаемая шпионская группировка, связанная с КНР (ранее отслеживалась как UNC5221), использовала эту уязвимость как уязвимость нулевого дня в конце августа 2026 года. В этом блоге описывается, как ARMORY CASTLE повышала привилегии и устанавливала постоянный доступ к скомпрометированным устройствам BeyondTrust Remote Support после эксплуатации CVE-2026-102764, а также предоставляются практические рекомендации для специалистов по защите.

Организациям следует подготовиться к возможной масштабной эксплуатации после этого раскрытия, поскольку ARMORY CASTLE и другие злоумышленники исторически проводили широкие оппортунистические атаки, как только информация об уязвимости становилась публичной.

Эксплуатация

Mandiant обнаружила доказательства эксплуатации CVE-2026-102764 в файлах журналов access, syslog, messages, thin-scc, brain и SSL, которые доступны только через зашифрованный LUKS раздел, содержащий каталог /home. Мы настоятельно рекомендуем пострадавшим организациям немедленно применить обновление безопасности patches, предоставленное BeyondTrust для устранения уязвимости, и ознакомиться с дополнительными рекомендациями в их blog.

Пост-эксплуатация

После успешной эксплуатации CVE-2026-102764 специалисты Mandiant зафиксировали, что ARMORY CASTLE использовала несколько различных тактик, техник и процедур (TTP) для закрепления в системе, повышения привилегий и обеспечения горизонтального перемещения. На протяжении всего вторжения ARMORY CASTLE демонстрировала глубокое понимание внутренних механизмов устройств BeyondTrust, что подтверждается использованием проприетарных утилит CLI, шаблонов конфигурации запуска и локальной маршрутизации обратного прокси-сервера. Злоумышленники использовали недавно выявленное кастомное вредоносное ПО, веб-шелл SAWFLY и туннелировщик BARECLAW для взаимодействия с устройством BeyondTrust. Кроме того, злоумышленники регулярно удаляли журналы устройства и артефакты на конечных точках, чтобы сохранить доступ и избежать обнаружения.

Рисунок 1: Последовательность событий компрометации BeyondTrust группировкой ARMORY CASTLE

Развертывание веб-шелла

После успешной эксплуатации CVE-2026-102764 ARMORY CASTLE инициировала POST-запросы к /app_84304470%2Ephp. Mandiant не удалось восстановить файл, связанный с этими POST-запросами. Примерно через 11 минут после первоначального POST-запроса файловая система зафиксировала создание веб-шелла SAWFLY по пути к корневому каталогу веб-сервера /%SITE_SERVICE_ACCOUNT%/ingredi/app/laravel/public/. ARMORY CASTLE использовала веб-шелл SAWFLY в качестве одной из своих основных точек закрепления в среде на протяжении всего вторжения.

Веб-шелл SAWFLY

SAWFLY (mangoapi.php) — это обфусцированный легковесный PHP веб-шелл, который реализует двустороннюю зашифрованную связь с C2-сервером, используя кастомный транспортный уровень Base32 и 256-битный потоковый шифр RC4. Веб-шелл проверяет входящие HTTP POST-запросы на наличие обфусцированного параметра _c94mfe.

Если параметр отсутствует, скрипт немедленно устанавливает HTTP-статус 404 Not Found (http_response_code(404)) и завершает работу, чтобы избежать автоматизированных веб-краулеров и сканеров уязвимостей. Когда параметр _c94mfe предоставлен, веб-шелл декодирует полезную нагрузку из Base32, расшифровывает ее с помощью RC4 с жестко закодированным 32-байтовым ключом и выполняет полученный PHP-код через @eval(). Любое ненулевое возвращаемое значение от выполненного кода шифруется RC4 с тем же ключом, кодируется в Base32 и отправляется обратно клиенту.

Повышение привилегий через права SUID

Веб-шелл SAWFLY работал под учетной записью службы сайта, непривилегированным локальным пользователем. Чтобы повысить привилегии, злоумышленники скопировали исполняемый файл системной оболочки (/bin/sh) в файл /usr/bin/dbus-authd.

Затем злоумышленники изменили владельца файла на root и включили права Set User ID (SUID). Когда для бинарного файла включены права SUID, он выполняется с привилегиями владельца файла (root), а не пользователя, запустившего команду, что фактически предоставляет злоумышленнику постоянный бэкдор с правами root на хост-системе.

После закрепления через веб-шелл злоумышленники повысили свои права с учетной записи веб-службы до уровня root-контроля над хостом устройства. Это дало им доступ ко всем учетным данным, которые устройство хранило или передавало, а также возможность изменять файлы, которые сохраняются после перезагрузки и сброса конфигурации.

Сбор учетных данных: извлечение из хранилища BeyondTrust

Mandiant зафиксировала попытки злоумышленников собрать учетные данные непосредственно из встроенной базы данных управления секретами устройства. Для этого злоумышленники использовали бинарный файл /ns/sbin/bt-secrets, который является проприетарной административной утилитой командной строки (CLI), встроенной в устройства BeyondTrust и используемой для управления, хранения и извлечения паролей, ключей API и учетных данных конечных точек.

Злоумышленники систематически перебирали несколько вариантов синтаксиса CLI, чтобы найти и выгрузить хранилище учетных данных устройства:

Рисунок 2: Восстановленные команды из журналов сообщений

Сначала злоумышленники попытались нацелиться на хранилище для конкретной учетной записи службы сайта, чтобы извлечь пароли и ключи, назначенные исключительно этому профилю.

Затем они выполнили резервную команду, нацеленную на глобальное хранилище паролей уровня устройства, чтобы выгрузить все сохраненные административные учетные данные.

Злоумышленники завершили взаимодействие с бинарным файлом bt-secrets принудительным удалением записей, хранящихся в /home/bomgar/log/bt-secrets.log, и любых архивных файлов.

Рисунок 3: Восстановленные команды из журналов сообщений

Закрепление

Для долгосрочного постоянного доступа Mandiant зафиксировала, что злоумышленники нацелились на шаблоны конфигурации BeyondTrust, чтобы предоставить учетной записи службы сайта права root без пароля.

Сначала злоумышленники создали каталог /home/bomgar/sbin/post_boot.d, который зарезервирован для скриптов, выполняемых автоматически при запуске системы. В этом каталоге они создали shell-скрипт под названием zz-root-persist.

Содержимое скрипта zz-root-persist указывает на то, что он сначала проверяет, предоставлены ли учетной записи пользователя права root без пароля в файле /ns/config/sudoers.template. Если запись отсутствует, скрипт добавляет '%SITE_SERVICE_ACCOUNT% ALL=(ALL) NOPASSWD: ALL' в шаблон. Эта запись, добавленная в шаблон sudoers, предоставляет учетной записи пользователя сайта административные привилегии без пароля для выполнения любой команды на хост-системе.

Наконец, скрипт выполняет '/ns/sbin/bt-sysconfig' --no-restart misc, что заставляет бэкенд устройства немедленно проанализировать /ns/config/sudoers.template и перестроить активный файл /etc/sudoers. Эта стратегия гарантирует, что повышение привилегий злоумышленников сохранится после перезагрузки системы и сброса конфигурации, которые обычно перезаписывают ручные изменения, внесенные непосредственно в /etc/sudoers.

Рисунок 4: Содержимое zz-root-persist

Антикриминалистика

На протяжении всего периода несанкционированного доступа к устройству специалисты Mandiant неоднократно фиксировали попытки злоумышленников ослабить защиту и затруднить обнаружение путем систематического удаления системных журналов, логов веб-сервера и журналов уровня приложений.

Используя веб-шелл SAWFLY, злоумышленники выполнили следующую команду с повышенными привилегиями sudo для удаления активных журналов как в каталогах хоста, так и в каталогах, специфичных для сайта:

Рисунок 5: Восстановленная команда

Боковое перемещение: злоупотребление сеансом администратора BeyondTrust

После компрометации устройства BeyondTrust злоумышленники перешли в приложение BeyondTrust Remote Support для проведения разведки с использованием скомпрометированных учетных данных администратора. Сначала злоумышленники использовали учетную запись администратора для входа в веб-портал администрирования.

Рисунок 6: Запись в системном журнале BeyondTrust

Протестировав первоначальный доступ и убедившись в возможности временного присоединения к локальной групповой политике администраторов, злоумышленники изменили стратегию для обеспечения долгосрочного присутствия. Они напрямую изменили разрешения скомпрометированной учетной записи, повысив права как для локальных Jump Items, так и для Team с «Нет доступа» до «Администратор». Jump Items — это отдельные системы или устройства, доступные для удаленного подключения в рамках Jump Group, что позволяет администраторам организовывать доступ к удаленным системам и контролировать его. Это изменение конфигурации предоставило злоумышленникам постоянные неограниченные права на запуск удаленных сеансов к подчиненным системам, включенным в список Jump Item устройства.

Рисунок 7: Запись в системном журнале BeyondTrust

Внутренняя разведка

После получения повышенных административных привилегий специалисты Mandiant зафиксировали установление злоумышленниками сеанса удаленной поддержки для воздействия на внутренние конечные точки.

После подключения злоумышленники использовали встроенные инструменты поддержки устройства, чтобы запросить и получить полный доступ к файловой системе. Они применили встроенную службу передачи файлов BeyondTrust Remote Support для загрузки и эксфильтрации конфиденциальных внутренних документов, полезных для сетевой разведки, таких как описи программного обеспечения, непосредственно с рабочего стола пользователя.

Туннелятор BARECLAW

Специалисты Mandiant зафиксировали, как злоумышленники туннелируют трафик через устройство BeyondTrust с помощью специального прокси-туннеля SOCKS5. BARECLAW — это туннелятор, написанный на языке C, который предоставляет прокси-сервис SOCKS5, работающий поверх транспорта WebSocket, и ретранслирует TCP-соединения между удаленным клиентом и пунктами назначения. BARECLAW статически включает в себя веб-сервер CivetWeb для обеспечения функциональности HTTP и WebSocket, а также использует OpenSSL для TLS. BARECLAW является настраиваемым и предоставляет возможность требовать аутентификацию, шифровать данные между клиентом и туннелятором, ограничивать доступные пункты назначения определенными диапазонами CIDR, направлять трафик через вышестоящий прокси-сервер, а также изменять конечную точку WebSocket и порты прослушивания по умолчанию.

BARECLAW получает конфигурацию через ввод CLI и предоставляет меню опций CLI:

Рисунок 8: Меню опций CLI BARECLAW

Злоумышленники выполнили BARECLAW с помощью следующих аргументов командной строки:

Рисунок 9: Полные аргументы командной строки BARECLAW

Эта командная строка настраивает BARECLAW на прослушивание TCP-порта 19800 и создание конечной точки WebSocket /uidchanarge на системе жертвы. Клиенты обязаны проходить аутентификацию с использованием токена, указанного в аргументах командной строки, в то время как аргумент -q подавляет ведение журнала туннелятора. Туннелируемые данные шифруются с помощью XOR-процедуры, производной от этого токена и 8-байтового значения, предоставляемого клиентом в начале сеанса. Отсутствие аргументов --ssl-cert и --listen-tls в опциях CLI означает, что TLS в данном конкретном случае не был включен.

Изменения в Haproxy.conf

Помимо создания туннеля BARECLAW, специалисты Mandiant зафиксировали изменение злоумышленниками файла /ns/config/haproxy.conf, чтобы обеспечить доступ к BARECLAW напрямую из интернета. Служба HAProxy, работающая на устройствах BeyondTrust, выступает в качестве обратного прокси-сервера для устройства, который принимает входящие запросы от имени сервера BeyondTrust и перенаправляет их на соответствующие внутренние службы, работающие в локальной системе (такие как веб-интерфейсы, административные порталы или шлюзы приложений), основываясь на порте или URL-пути запроса.

Файл haproxy.conf является основным конфигурационным скриптом, который определяет, как устройство BeyondTrust обрабатывает, маршрутизирует и защищает входящий трафик. Модификации злоумышленников сначала создали список контроля доступа (ACL) с именем wswsws для мониторинга входящего трафика по конкретному пути URI /uidchanarge. При обнаружении запроса, соответствующего этому пути, HAProxy обходит обычные веб-службы устройства и направляет трафик на специальный бэкенд, обозначенный как webskd3.

Рисунок 10: Модификация ACL в haproxy.conf

Затем бэкенд webskd3 направляет входящий веб-поток локально (127.0.0.1 / localhost) на TCP-порт 19800, где активно прослушивает утилиту BARECLAW. Эта привязка только к локальному адресу гарантирует, что прослушиватель бэкдора остается полностью скрытым от внешних сетевых сканирований, так как к нему можно получить доступ только изнутри через локальное перенаправление HAProxy.

Рисунок 11: Модификация маршрута бэкенда в haproxy.conf

Атрибуция

GTIG приписывает эксплуатацию уязвимости нулевого дня CVE-2026-102764 и последующее развертывание SAWFLY и BARECLAW предполагаемой шпионской группировке ARMORY CASTLE (ранее отслеживаемой как UNC5221), связанной с КНР. Инструментарий и тактики, методы и процедуры (TTP), использованные при этом вторжении, соответствуют ранее наблюдаемой активности ARMORY CASTLE.

Ранее GTIG сообщала об использовании ARMORY CASTLE множественных уязвимостей в периферийных устройствах и развертывании обширного набора специализированных инструментов для достижения своих целей, начиная от пассивных бэкдоров и веб-шеллов и заканчивая троянизированными компонентами периферийных устройств. Группировка ARMORY CASTLE активна как минимум с октября 2023 года и в ходе своих операций нацеливалась на широкий спектр стран и отраслей.

Прогноз и последствия

В прошлых кампаниях ARMORY CASTLE проводила широкомасштабную и оппортунистическую эксплуатацию после публичного раскрытия уязвимостей, которые она ранее использовала выборочно как уязвимости нулевого дня, стремясь проникнуть в целевые организации до того, как будут развернуты исправления. Возможно, мы станем свидетелями аналогичных попыток широкомасштабной эксплуатации, связанных с CVE-2026-102764.

GTIG с высокой степенью уверенности оценивает, что ARMORY CASTLE продолжит использовать уязвимости нулевого дня в периферийных устройствах для получения доступа к средам в целях шпионажа. Специалистам по защите также следует подготовиться к тому, что после раскрытия CVE-2026-102764 ARMORY CASTLE может провести широкомасштабную эксплуатацию, аналогичную той, которую GTIG наблюдала в 2024 году после раскрытия CVE-2023-46805 и CVE-2024-21887.

Устранение уязвимостей и усиление защиты

Организациям, которые еще не применили , следует немедленно оценить свою подверженность риску и ознакомиться с дополнительными рекомендациями BeyondTrust в их . Уязвимость CVE-2026-102764 затрагивает все поддерживаемые версии Remote Support вплоть до 26.2.3 и позволяет неаутентифицированному удаленному злоумышленнику выполнять файловые операции на устройстве, что может привести к получению контроля на уровне хоста и доступу ко всем учетным данным, которые устройство хранит или передает. Любое устройство, доступное из интернета в уязвимой версии в период эксплуатации, следует считать потенциально скомпрометированным до проведения проверки. Mandiant рекомендует поэтапный подход, при котором исправление уязвимостей является приоритетным, что позволяет сбалансировать сдерживание угроз и минимизировать перебои в работе службы поддержки.

Немедленное смягчение последствий

Организациям следует выбрать один из следующих вариантов в зависимости от их допустимого уровня риска, наличия признаков компрометации и операционных потребностей.

Вариант 1: Применение патча BT26-05 (рекомендация Mandiant)

Remote Support SaaS: BeyondTrust применила патч ко всем арендаторам SaaS 9 октября 2026 года. Никаких действий со стороны клиента для самого устройства не требуется. Шаги по работе с учетными данными и конфигурацией из Варианта 3 остаются в силе.

Remote Support SaaS: BeyondTrust применила патч ко всем арендаторам SaaS 9 октября 2026 года. Никаких действий со стороны клиента для самого устройства не требуется. Шаги по работе с учетными данными и конфигурацией из Варианта 3 остаются в силе.

Самостоятельно размещенные версии 24.3.1 или новее: примените патч BT26-05-RS через интерфейс /appliance или убедитесь, что он был применен автоматически, если устройство подписано на автоматические обновления.

Самостоятельно размещенные версии 24.3.1 или новее: примените патч BT26-05-RS через интерфейс /appliance или убедитесь, что он был применен автоматически, если устройство подписано на автоматические обновления.

Самостоятельно размещенные версии старше 24.3.1: обновитесь до поддерживаемой версии, а затем примените патч. Обновление устраняет уязвимость, но не исправляет последствия предыдущей компрометации.

Самостоятельно размещенные версии старше 24.3.1: обновитесь до поддерживаемой версии, а затем примените патч. Обновление устраняет уязвимость, но не исправляет последствия предыдущей компрометации.

Если патч не отображается в /appliance, откройте обращение в службу поддержки BeyondTrust, сославшись на BT26-05.

Если патч не отображается в /appliance, откройте обращение в службу поддержки BeyondTrust, сославшись на BT26-05.

Вариант 2: Изоляция скомпрометированных или подозрительных устройств

Сохраните данные перед действиями: сделайте снимки виртуальных устройств с памятью и экспортируйте диск перед любыми изменениями или перезагрузкой. Для оборудования серии B и арендаторов SaaS запросите криминалистическое сохранение через службу поддержки BeyondTrust. Соберите логи syslog, обратного прокси-сервера или WAF, а также межсетевого экрана периметра за весь период воздействия, поскольку злоумышленник с доступом к хосту может удалить логи на самом устройстве. Mandiant установила, что злоумышленник удалял логи на протяжении всего инцидента.

Сохраните данные перед действиями: сделайте снимки виртуальных устройств с памятью и экспортируйте диск перед любыми изменениями или перезагрузкой. Для оборудования серии B и арендаторов SaaS запросите криминалистическое сохранение через службу поддержки BeyondTrust. Соберите логи syslog, обратного прокси-сервера или WAF, а также межсетевого экрана периметра за весь период воздействия, поскольку злоумышленник с доступом к хосту может удалить логи на самом устройстве. Mandiant установила, что злоумышленник удалял логи на протяжении всего инцидента.

Изоляция на периметре: заблокируйте входящий трафик на публичный адрес устройства на межсетевом экране, а не в /appliance, чтобы конфигурация осталась нетронутой для проверки.

Изоляция на периметре: заблокируйте входящий трафик на публичный адрес устройства на межсетевом экране, а не в /appliance, чтобы конфигурация осталась нетронутой для проверки.

Ограничение исходящего трафика: запретите исходящий трафик, за исключением обращений к серверам обновлений и лицензирования BeyondTrust, и регистрируйте каждое отклоненное соединение.

Ограничение исходящего трафика: запретите исходящий трафик, за исключением обращений к серверам обновлений и лицензирования BeyondTrust, и регистрируйте каждое отклоненное соединение.

Прекращение путей доступа: завершите активные сеансы поддержки и отключите новые сеансы, Jump Clients, Jumpoints и учетные записи API через /login. Отключайте, а не удаляйте, чтобы сохранить контрольный журнал.

Прекращение путей доступа: завершите активные сеансы поддержки и отключите новые сеансы, Jump Clients, Jumpoints и учетные записи API через /login. Отключайте, а не удаляйте, чтобы сохранить контрольный журнал.

Переустановка вместо очистки: разверните устройства с подтвержденным или неизвестным статусом компрометации из чистого, полностью пропатченного образа. Клиенты не могут провести аудит файловой системы хоста устройства, а вредоносное ПО на уровне хоста сохраняется после перезагрузки и сброса конфигурации. Восстанавливайте только резервную копию конфигурации, датированную периодом до начала воздействия, или восстановите самую новую резервную копию в изолированной среде и завершите проверку согласно Варианту 3, Часть B, прежде чем что-либо подключать. Выпустите новый TLS-сертификат и переразверните Jump Clients, Jumpoints и консоль представителя с переустановленного устройства.

Переустановка вместо очистки: разверните устройства с подтвержденным или неизвестным статусом компрометации из чистого, полностью пропатченного образа. Клиенты не могут провести аудит файловой системы хоста устройства, а вредоносное ПО на уровне хоста сохраняется после перезагрузки и сброса конфигурации. Восстанавливайте только резервную копию конфигурации, датированную периодом до начала воздействия, или восстановите самую новую резервную копию в изолированной среде и завершите проверку согласно Варианту 3, Часть B, прежде чем что-либо подключать. Выпустите новый TLS-сертификат и переразверните Jump Clients, Jumpoints и консоль представителя с переустановленного устройства.

Примечание: Изоляция и завершение сеансов прерывают работу службы поддержки. Организациям следует согласовать действия с сотрудниками службы поддержки и представителями поставщика перед началом работ.

Вариант 3: Применение целевых компенсирующих мер

Следующие меры снижают подверженность риску и ограничивают последствия после эксплуатации. Они не заменяют установку патча.

Часть A: Сетевые ограничения

Ограничьте доступ к административным интерфейсам /login и /appliance по IP-адресу или сегменту сети на уровне устройства. Из интернета должны быть доступны только трафик консоли представителя, портала клиента и Jump Client.

Ограничьте доступ к административным интерфейсам /login и /appliance по IP-адресу или сегменту сети на уровне устройства. Из интернета должны быть доступны только трафик консоли представителя, портала клиента и Jump Client.

Где это операционно возможно, разместите обратный прокси-сервер или WAF с полным логированием URI перед устройством, чтобы вести запись путей запросов, которую устройство не сможет изменить.

Где это операционно возможно, разместите обратный прокси-сервер или WAF с полным логированием URI перед устройством, чтобы вести запись путей запросов, которую устройство не сможет изменить.

Часть B: Ротация учетных данных и проверка конфигурации

Отзыв сеансов и регистраций: завершите все активные сеансы поддержки, затем переразверните Jump Clients, Jumpoints и консоль представителя с пропатченного или переустановленного устройства, чтобы аннулировать существующие токены.

Отзыв сеансов и регистраций: завершите все активные сеансы поддержки, затем переразверните Jump Clients, Jumpoints и консоль представителя с пропатченного или переустановленного устройства, чтобы аннулировать существующие токены.

Ротируйте учетные данные в порядке зависимости: административные учетные данные /appliance; администраторы /login и локальные пользователи; секреты API-клиентов; учетные записи привязки поставщика безопасности и ключи подписи SAML; учетные данные Remote Support Vault и интегрированные учетные данные Password Safe или Privileged Remote Access (PRA), ротируемые в целевой системе; учетные данные интеграции (SMTP, syslog, коннекторы Information Technology Service Management (ITSM), секреты исходящих событий); а также любые учетные данные, введенные в сеанс поддержки в течение этого окна.

Ротируйте учетные данные в порядке зависимости: административные учетные данные /appliance; администраторы /login и локальные пользователи; секреты API-клиентов; учетные записи привязки поставщика безопасности и ключи подписи SAML; учетные данные Remote Support Vault и интегрированные учетные данные Password Safe или Privileged Remote Access (PRA), ротируемые в целевой системе; учетные данные интеграции (SMTP, syslog, коннекторы Information Technology Service Management (ITSM), секреты исходящих событий); а также любые учетные данные, введенные в сеанс поддержки в течение этого окна.

Проверьте конфигурацию /login на соответствие базовому уровню до начала окна: изменения пользователей и ролей, особенно повышение ролей Jump Item до уровня администратора; политики групп и сеансов; учетные записи API; поставщики безопасности; Jump Items и Jumpoints; а также пункты назначения исходящих событий или syslog. Удалите все, что не имеет записи об изменениях или назначенного владельца.

Проверьте конфигурацию /login на соответствие базовому уровню до начала окна: изменения пользователей и ролей, особенно повышение ролей Jump Item до уровня администратора; политики групп и сеансов; учетные записи API; поставщики безопасности; Jump Items и Jumpoints; а также пункты назначения исходящих событий или syslog. Удалите все, что не имеет записи об изменениях или назначенного владельца.

Просмотрите отчеты о сеансах поддержки за этот период, включая передачу файлов, чтобы установить, к каким конечным точкам был получен доступ и что было с них передано. Каждая затронутая конечная точка попадает в область поиска для последующего анализа.

Просмотрите отчеты о сеансах поддержки за этот период, включая передачу файлов, чтобы установить, к каким конечным точкам был получен доступ и что было с них передано. Каждая затронутая конечная точка попадает в область поиска для последующего анализа.

Примечание: Ротируйте учетные данные только после того, как устройство было исправлено или переустановлено. Более ранняя ротация подвергает новые учетные данные риску раскрытия злоумышленнику, который все еще контролирует устройство.

Часть C: Ограничения плоскости управления

Требуйте единый вход (SSO) через SAML с использованием устойчивой к фишингу многофакторной аутентификации (MFA) для всех пользователей /login и удалите локальные учетные записи, за исключением одной защищенной учетной записи для экстренного доступа (break-glass) с оповещением об использовании.

Требуйте единый вход (SSO) через SAML с использованием устойчивой к фишингу многофакторной аутентификации (MFA) для всех пользователей /login и удалите локальные учетные записи, за исключением одной защищенной учетной записи для экстренного доступа (break-glass) с оповещением об использовании.

Убедитесь, что встроенная учетная запись администратора настроена с использованием многофакторной аутентификации (MFA) в соответствии с официальными Руководствами по двухфакторной аутентификации BeyondTrust.

Убедитесь, что встроенная учетная запись администратора настроена с использованием многофакторной аутентификации (MFA) в соответствии с официальными Руководствами по двухфакторной аутентификации BeyondTrust.

Установите роль Jump Item по умолчанию в каждой групповой политике на «Нет доступа» и предоставляйте роли через политики, а не для каждого пользователя отдельно.

Установите роль Jump Item по умолчанию в каждой групповой политике на «Нет доступа» и предоставляйте роли через политики, а не для каждого пользователя отдельно.