Nechráněné servery informačních systémů
Útočníci hledají nechráněné servery Elasticsearch a MongoDB,
RabbitMQ- softwarový zprostředkovatel zpráv založený naStandard AMQP je replikovatelný middleware zaměřený na zpracování zpráv. Vytvořeno na základě systému Open Telecom Platform, napsaného v Erlangu, a používá Mnesia jako databázový stroj pro ukládání zpráv.
Začátkem dubna v síti objevili odborníci na informační bezpečnostElasticsearch server, přes který lze získat neoprávněný přístup do databáze uživatelů YouDo. A v lednu unikla online data klientů úvěrového makléře Alfa-Credit, který sbírá žádosti o úvěr a pomáhá vybrat a získat úvěr od banky. Byly obsaženy v open source systému pro správu databází MongoDB, který některé společnosti používají pro interní účely.
Doporučení
- Pro stabilní provoz Elasticsearch to obvykle jevytvořit cluster několika serverů, aby mohly instance Elastic spolu komunikovat. Chcete-li to provést, otevřete síťové porty. Pokud jsou servery dostupné z internetu, může se k databázi připojit útočník. Ve starších verzích Elasticsearch, mladších než 7.3.2, lze k databázi přistupovat zcela bez ověření.
- Neoprávněnému přístupu k vašim datům se lze vyhnout kontrolou nastavení informačních systémů ve standardních konfiguracích a ochranou serverů a virtuálních strojů firewally.
Nebezpečné přímé odkazy
IDOR (Nezabezpečený přímý objektový odkaz,nezabezpečené přímé odkazy na objekty – „High-Tech“) – zranitelnost, která umožňuje získat neoprávněný přístup k webovým stránkám nebo souborům. IDOR je často nazýván termínem „brute force“ (z anglického brute force – „High-tech“), což v překladu znamená „hrubá síla“.
Nejběžnější způsob použití IDOR- útočník iteruje přes předvídatelný identifikátor a získá přístup k datům někoho jiného. Mnoho serverů generuje přístupová ID pomocí proprietárních algoritmů. Algoritmy, jako je tento, mohou jednoduše zvýšit hodnotu identifikátoru pro každý požadavek uživatele. Další běžnou možností je použít funkci z aktuálního času nebo jiná data specifická pro počítač. Pomocí tohoto typu chyby zabezpečení můžete zachytit přístup k účtům jiných osob, korespondenci a přijímat údaje jiných lidí. Složitost takového útoku je minimální a zároveň velmi nebezpečná. Jednoduchým příkladem je, že píšete webovou aplikaci nebo vytváříte rozhraní REST API a metodu jako / api / commands /? OrderId = 17505638.
REST, Reprezentativní převod státu,"přenos prezentačního stavu" -architektonický styl interakce mezi komponentami distribuované aplikace v síti. REST je konzistentní sada omezení, která se berou v úvahu při navrhování distribuovaného hypermediálního systému. Termín původně vytvořil Roy Fielding, který byl jedním z tvůrců protokolu HTTP. Na službách REST je skvělé, že nejlépe využívají protokol HTTP.
To je ideální příležitost pro vetřelceiterovat data. I když omezíte přístup k metodě pomocí omezovače rychlosti (omezení pokusů o čas, z jedné adresy IP nebo z jednoho agenta uživatele - „Hi-tech“), to nezaručuje zabezpečení. Útočníci mohou zfalšovat záhlaví, používat farmy serverů proxy a další prostředky k obcházení omezení.
Jeden z nejnovějších vysoce profilovaných příkladůzneužití takové zranitelnosti - únik uživatelských dat z portálu poskytujícího informace o pokutách. Údaje o pasech těch, kteří byli pokutováni za porušení sebeizolace v Moskvě, byly k dispozici na webových stránkách za placení pokut pomocí akruálního čísla, které lze zjistit hrubou silou pomocí jednoduchého softwaru. Pomocí jedinečného akruálního identifikátoru (UIN) pokuty za porušení sebeizolace v Moskvě můžete v platebních službách najít osobní údaje pokutované osoby, včetně příjmení, jména, patronymu a údajů o pasu.
Doporučení
- Problémům s hackováním prostřednictvím IDOR se lze vyhnout pomocípokud vytváříte dlouhé klávesy z písmen, číslic a speciálních znaků a také používáte kombinace omezovačů rychlosti, překročení prahových hodnot, které budou přeneseny do monitorovacího systému.
Krádež databáze
S rozvojem informačních technologiípřípady krádeže databáze a zločinci mohou být jak externí hackeři, tak jejich vlastní zaměstnanci. Důvodem krádeže může být nelibost zaměstnance vůči vedení, nízký plat nebo touha dodatečně zpeněžit jeho postavení. Kromě toho může být základna odcizena jako celek a prodána na darknetu (krádež), nebo použita online k vyhledání požadovaných informací (tzv. Průlom).
Rozhodující roli zde hraje člověkfaktor, takže je obtížné bojovat proti tomuto typu úniku. Toto je nejběžnější a nejbolestivější problém, kterému čelí společnosti a služby informační bezpečnosti.
Na darknetu se například pravidelně prodávají databázemotoristické údaje. K takovým únikům nejčastěji dochází u dopravní policie a pojišťoven. Síť obsahovala i data občanů, kteří žádali o půjčky u mikrofinančních organizací. Zákaznická data byla dána do prodeje koncem března na specializovaném webu. Problém úniků klientských dat je velmi akutní v bankovnictví, kde náklady na takové úniky informací přímo souvisí s penězi lidí.
Při práci na dálku zaměstnanci finančních institucí nikolivNa DarkNetu pouze prodávají osobní údaje, ale také je používají nepoctivě. Začátkem roku 2020 byl počet soudních sporů souvisejících s krádeží peněz na služebním místě vyšší než v celém předchozím roce. Bezohlední zaměstnanci bank přecházejí od prodeje klientských dat k jejich vlastnímu využívání ke kriminálním účelům – stále častěji si berou půjčky na jméno klientů a také vybírají peníze z jejich účtů.
Doporučení
- Dodržujte základní informační pravidlabezpečnostní. Například omezit přístup k datům (produkční a testovací databáze, zálohy). Zdálo by se to jako jasná rada, ale z nějakého důvodu na ni mnoho lidí zapomíná.
- Uchovávejte hesla v zabezpečeném trezoru, jako je Hashicorp Vault.
- Proveďte systémový audit akcí uživatelů, který vám umožní včas si všimnout neoprávněné aktivity a zabránit možným nebezpečným akcím uživatelů systému.
- Odpovědnost za krádež uživatelských databází specifikujte v pracovní smlouvě se zaměstnanci.
Ukládání kódu do otevřených úložišť
Vývojáři často zveřejňují příspěvky v otevřeném zdrojovém kóduúložiště soukromých informací o systémech pro ukládání kódů souvisejících s jejich pracovištěm. Mohou to být odkazy na interní infrastrukturu společnosti, kryptografické klíče, tokeny API a části kódu, jejichž práva patří zaměstnávající společnosti. Neexistuje 100% záruka na ochranu zájmů společnosti. Pokud vývojáři chtějí váš kód zpřístupnit veřejnosti, mohou jim jen zkomplikovat život, ale nebránit mu. Žádný dokument tento problém nevyřeší úplně.
North State UniversityCarolina odvedla ohromnou práci a naskenovala miliardy souborů: přibližně půl roku (od 31. října 2017 do 20. dubna 2018) vědci sledovali přibližně 13% všech veřejných úložišť na GitHubu a zkoumali každý závazek. Výsledky skenování ukazují, že asi 100 000 úložišť obsahuje kryptografické klíče a tokeny API omylem zapomenuté v kódu a každý den se na GitHubu objevuje mnoho nových úniků dat tohoto druhu.
Protože odborníci tento stav pozorovaliúložiště po dobu asi šesti měsíců, dostali příležitost studovat, jak je to s odstraněním takových úniků z kódu. Během celého pozorovacího období si pouze 6% vlastníků úložišť téměř okamžitě všimlo, že došlo k úniku, a odstranili své tokeny a klíče z otevřeného přístupu. Dalším 12% vývojářů to trvalo déle než den a 19% opravilo únik do 16 dnů. 81% vývojářů si nevšimlo úniku vůbec a očividně ani neví, co by to mohlo hrozit.
Můžete dodržet minimální soubor přiměřenýchpravidla, která sníží pravděpodobnost úniku kódu ven. Třetinu problémů vyřeší režim obchodního tajemství, druhou třetinu vyřeší pečlivé zacházení s právy na nový kód a zbytek vyřeší pečlivá pozornost a kompetentní výběr personálu. A zde práce HR oddělení a atmosféra ve firmě přímo ovlivňují míru jejího informačního zabezpečení.
Doporučení
- Pravidelně byste měli hledat v otevřených úložištích citlivé informace týkající se vaší společnosti.
- Pracovní smlouvy musí obsahovat jazyk týkající sezcizení práv v plném rozsahu novému zákoníku. A také povolení používat programový kód jako součást komplexních objektů bez uvedení jmen autorů (anonymně).
- Nepřevádějte žádná práva na starý kód na nové vývojáře. Jen s nimi neuzavírejte smlouvy o postoupení.
- Úkolem HR manažera nebo specialisty na interní komunikaci je vytvořit atmosféru důvěry a hodnoty pro zaměstnance společnosti.
DDoS útoky
DDoS útok nebo distribuované odmítnutí službyútok - současné a masivní odesílání požadavků na informace na centrální server. Útočník takové požadavky generuje pomocí velkého množství systémů – botnetu, vlastního nebo pronajatého na darknetu. Bohužel tento oblíbený a levný nástroj může trvale paralyzovat provoz téměř jakéhokoli zdroje nebo způsobit kolaps služby, kterou poskytuje.
V polovině března se tedy útočníci pokusilideaktivovat web amerického ministerstva zdravotnictví. Účelem útoku bylo pravděpodobně zbavení občanů přístupu k oficiálním údajům o epidemii a proti ní přijatým opatřením: současně s DDoS šířily neznámé osoby dezinformace na sociálních sítích, prostřednictvím SMS a e-mailu o celonárodní karanténě. zavedena ve Spojených státech. Pokus se nezdařil: web ministerstva zdravotnictví fungoval i přes zvýšenou pracovní zátěž.
Další útok DDoS se stal obětí velkého Pařížanasíť nemocničních asistencí Publique - Hopitaux de Paris. Útočníci se pokusili zneškodnit infrastrukturu zdravotnických zařízení. V důsledku útoku nemohli zaměstnanci nemocnice, kteří pracují na dálku, po určitou dobu používat pracovní programy a firemní e-mail. Kybernetickým zločincům se však nepodařilo paralyzovat celou organizaci.
Služby dodávky potravin Lieferando (Německo) aThuisbezorgd (Nizozemsko) se dostalo do choulostivější situace. V důsledku DDoS útoků obě společnosti přijímaly objednávky, ale nemohly je zpracovat a musely zákazníkům vrátit peníze. Útočníci, kteří zaútočili na Lieferando, zároveň požadovali 2 BTC, aby zastavili DDoS (v době psaní tohoto článku něco přes 13 000 $).
Doporučení
- Nešetřete na ochraně a neočekávaně chyťtepříchozí útoky. Musíte použít jeden ze systémů anti-DDoS, jehož principem je maskování skutečné IP adresy vašeho systému a dynamické filtrování síťové aktivity způsobené útočníky.
Díry v monitorování bezpečnosti informací systému
Abychom zabránili úniku dat, mySpolupracujeme s nejlepšími penetračními testery v Rusku, kteří jsou součástí tzv. Red Teamu. Pentesting, v žargonu, je metoda hodnocení bezpečnosti počítačových systémů nebo sítí simulací útoku útočníka. Akce Červeného týmu nám umožňují simulovat útok skupiny profesionálních externích útočníků tím nejpřirozenějším možným způsobem, abychom identifikovali zranitelnosti v našem kódu a infrastruktuře.
Jak malé online obchody, tak americkéfederální agentury, jako je Pentagon, pravidelně používají programy odměn za chyby k identifikaci bezpečnostních nedostatků ve svých systémech. Bug bounty je program nabízený mnoha webovými stránkami a vývojáři softwaru, jehož prostřednictvím mohou být lidé rozpoznáni a odměněni za hledání chyb. Tyto programy umožňují vývojářům detekovat a opravovat chyby dříve, než se o nich dozví široká veřejnost, a zabránit tak jejich rozsáhlému zneužívání. Bug Bounty mají všichni internetoví giganti: Apple, Microsoft, Facebook, Google a Intel.
Doporučení
Musíte neustále kontrolovat své informacesystém pro neoprávněný přístup. K tomu můžete použít automatizované nástroje, můžete provádět penetrační testy vašimi zaměstnanci nebo deklarovat odměnu za chybu a platit za nalezené chyby zabezpečení.
Viz také:
Podívejte se na 3D mapu vesmíru: byla sestavena po dobu 20 let a už to vědce překvapilo
Podívejte se na larvy brouka: mohou zničit planetu z plastu
Nová studie odhaluje více o anomáliích v magnetickém poli Země