Ubeskyttede servere til informationssystemer
Angribere leder efter ubeskyttede Elasticsearch- og MongoDB-servere,
RabbitMQ- Software besked mægler baseret påAMQP-standarden er en replikerbar middleware med fokus på meddelelsesbehandling. Skabt på basis af Open Telecom Platform-systemet, skrevet i Erlang, og bruger Mnesia som databasemotor til lagring af beskeder.
I begyndelsen af april opdagede informationssikkerhedseksperter på netværketElasticsearch-server, hvorigennem uautoriseret adgang til YouDo-brugerdatabasen kunne opnås. Og i januar blev data fra kunder hos kreditmægleren Alfa-Credit, som indsamler låneansøgninger og hjælper med at udvælge og få et lån fra en bank, lækket online. De var indeholdt i open source-databasestyringssystemet MongoDB, der blev brugt af nogle virksomheder til interne formål.
anbefalinger
- For stabil drift af Elasticsearch er det normaltoprette en klynge af flere servere, så Elastic-instanser kan kommunikere med hinanden. For at gøre dette skal du åbne netværksporte. Hvis serverne er tilgængelige fra internettet, kan en angriber oprette forbindelse til databasen. I ældre versioner af Elasticsearch, yngre end 7.3.2, kan databasen tilgås uden godkendelse overhovedet.
- Uautoriseret adgang til dine data kan undgås ved at kontrollere indstillingerne af informationssystemer i standardkonfigurationer og beskytte servere og virtuelle maskiner med firewalls.
Usikre direkte links
IDOR (Insecure Direct Object Reference,usikre direkte links til objekter - "High-Tech") - en sårbarhed, der giver dig mulighed for at få uautoriseret adgang til websider eller filer. IDOR kaldes ofte udtrykket "brute force" (fra det engelske brute force - "High-tech"), hvilket betyder "brute force" i oversættelse.
Den mest almindelige måde at bruge IDOR på- en hacker gentager sig over en forudsigelig identifikator og får adgang til andres data. Mange servere genererer adgangs-id'er ved hjælp af proprietære algoritmer. Algoritmer som denne kan simpelthen øge identifikationsværdien for hver brugeranmodning. En anden almindelig mulighed er at bruge en funktion fra det aktuelle tidspunkt eller andre computerspecifikke data. Ved hjælp af denne type sårbarhed kan du opfange adgang til andres konti, korrespondance og modtage andres data. Kompleksiteten af et sådant angreb er minimal og på samme tid ret farligt. Et simpelt eksempel er, at du skriver en webapplikation, eller at du opretter en REST API og en metode som / api / orders /? OrderId = 17505638.
REST, repræsentativ statsoverførsel,"overførsel af præsentationstilstand" -arkitektonisk interaktionsstil mellem komponenter i en distribueret applikation på et netværk. REST er et konsekvent sæt af begrænsninger, der tages i betragtning, når man designer et distribueret hypermediesystem. Udtrykket blev oprindeligt opfundet af Roy Fielding, som var en af skaberne af HTTP-protokollen. Det fantastiske ved REST-tjenester er, at de udnytter HTTP-protokollen bedst muligt.
Dette er den perfekte mulighed for ubudne gæsterat gentage dataene. Selv hvis du begrænser adgangen til metoden gennem hastighedsbegrænseren (begrænser tidsforsøg fra en IP-adresse eller fra en brugeragent - "Hi-tech"), garanterer dette ikke sikkerhed. Angribere kan spoofe overskrifter, bruge proxyserverfarms og andre måder til at omgå begrænsninger.
Et af de seneste højprofilerede eksemplerudnyttelse af en sådan sårbarhed - lækage af brugerdata fra portalen med oplysninger om bøder. Pasoplysningerne om dem, der blev idømt bøder for at krænke selvisolation i Moskva, var tilgængelige på websteder for betaling af bøder ved hjælp af periodiseringsnummeret, som kan findes med rå magt ved hjælp af simpel software. Ved at bruge den unikke optjeningsidentifikator (UIN) for en bøde for overtrædelse af selvisolation i Moskva kan du i betalingstjenester finde personoplysningerne om den bøde, herunder efternavn, fornavn, patronym og pasoplysninger.
Anbefalinger
- Hackingproblemer via IDOR kan undgås afhvis du opretter lange nøgler fra bogstaver, tal og specialtegn samt bruger kombinationer af hastighedsbegrænsere, der overstiger tærskelværdierne, for hvilke der overføres til overvågningssystemet.
Database tyveri
Med udviklingen af informationsteknologi,tilfælde af databasetyveri, og de kriminelle kan være både eksterne hackere og deres egne medarbejdere. Årsagen til tyveriet kan være en medarbejders vrede over ledelsen, lav løn eller et ønske om yderligere at tjene penge på hans stilling. Desuden kan basen stjæles som en helhed og sælges på darknet (tyveri) eller bruges online til at søge efter de krævede oplysninger (det såkaldte gennembrud).
Her spilles den afgørende rolle af mennesketfaktor, så det er svært at bekæmpe denne type lækage. Dette er det mest almindelige og smertefulde problem, som virksomheder og informationssikkerhedstjenester står over for.
For eksempel sælges databaser jævnligt på darknetbilistdata. Sådanne lækager opstår oftest i færdselspolitiet og forsikringsselskaberne. Netværket omfattede også data fra borgere, der ansøgte om lån fra mikrofinansieringsorganisationer. Kundedata blev sat til salg i slutningen af marts på en specialiseret hjemmeside. Problemet med kundedatalæk er meget akut i banksektoren, hvor omkostningerne ved sådanne informationsbrud er direkte relateret til folks penge.
Når man arbejder eksternt, gør ansatte i finansielle institutioner det ikkeDe sælger kun personlige data på DarkNet, men de bruger dem også uærligt. I begyndelsen af 2020 var antallet af retssager vedrørende tyveri af penge ved brug af officiel stilling større end året før. Skruppelløse bankansatte går fra at sælge kundedata til selv at bruge dem til kriminelle formål – de optager i stigende grad lån i kundernes navn og trækker også penge fra deres konti.
anbefalinger
- Overhold de grundlæggende regler for informationsikkerhed. For eksempel begrænsning af adgang til data (produktions- og testdatabaser, sikkerhedskopier). Det virker som et oplagt råd, men af en eller anden grund glemmer mange det.
- Opbevar adgangskoder i en sikker boks, såsom Hashicorp Vault.
- Udfør en systemrevision af brugerhandlinger, som giver mulighed for rettidig varsel om uautoriseret aktivitet og forhindrer mulige farlige handlinger fra systembrugere.
- Foreskriv ansvar for tyveri af brugerdatabaser i ansættelseskontrakten med medarbejdere.
Opbevaring af kode i åbne arkiver
Ofte placerer udviklere åbentopbevaringssteder for kodelagringssystemer privat information relateret til deres arbejdssted. Disse kan være links til virksomhedens interne infrastruktur, kryptografiske nøgler, API-tokens og kodestykker, hvis rettigheder tilhører den arbejdsgivende virksomhed. Der er ingen 100% garanti for at beskytte virksomhedens interesser. Hvis udviklere ønsker at gøre din kode offentligt tilgængelig, kan de kun komplicere deres liv, men ikke forhindre det. Intet dokument løser dette problem fuldstændigt.
North State UniversityCaroline har udført et enormt job og scannet milliarder af filer: i omkring et halvt år (fra 31. oktober 2017 til 20. april 2018) overvågede forskere omkring 13% af alle offentlige opbevaringssteder på GitHub og undersøgte hver forpligtelse. Scanningsresultaterne indikerer, at omkring 100.000 arkiver indeholder kryptografiske nøgler og API-tokens, der ved et uheld er glemt i koden, og hver dag vises mange nye datalækager af denne art på GitHub.
Da eksperterne observerede tilstandenrepositories i omkring seks måneder, fik de muligheden for at studere, hvordan det er med fjernelse af sådanne lækager fra koden. I løbet af hele observationsperioden bemærkede kun 6% af arkivsejerne næsten øjeblikkeligt, at de var lækket og fjernet deres tokens og nøgler fra åben adgang. Yderligere 12% af udviklerne tog mere end en dag at gøre dette, og 19% fik lækagen inden for 16 dage. 81% af udviklerne bemærkede slet ikke lækagen og ved naturligvis ikke engang hvad det kan true.
Du kan overholde det mindste sæt af rimeligeregler, der vil reducere sandsynligheden for kodelækage til det ydre. Forretningshemmelighedsordningen vil løse en tredjedel af problemerne, omhyggelig håndtering af rettighederne til ny kode vil løse den anden tredjedel, og omhyggelig opmærksomhed og kompetent udvælgelse af personale vil løse resten. Og her påvirker HR-afdelingens arbejde og atmosfæren i virksomheden direkte graden af dens informationssikkerhed.
anbefalinger
- Du bør regelmæssigt scanne de åbne arkiver for følsomme oplysninger, der er relevante for din virksomhed.
- Ansættelseskontrakter skal indeholde sprog vedrfuldstændig afhændelse af rettigheder til den nye kodeks. Og også tilladelse til at bruge programkode som en del af komplekse objekter uden at angive navnene på forfatterne (anonymt).
- Overfør ikke nogen rettigheder til gammel kode til nye udviklere. Du skal bare ikke indgå tildelingsaftaler med dem.
- En HR-chefs eller intern kommunikationsspecialists opgave er at skabe en atmosfære af tillid og værdi for virksomhedens personale.
DDoS-angreb
DDoS-angreb eller Distributed Denial of Serviceangreb - samtidig og massiv afsendelse af informationsanmodninger til den centrale server. Angriberen genererer sådanne anmodninger ved hjælp af et stort antal systemer - et botnet, hans eget eller lejet på darknet. Desværre kan dette populære og billige værktøj permanent lamme driften af næsten enhver ressource eller forårsage kollaps af den service, den leverer.
Så i midten af marts forsøgte angriberne atdeaktiver webstedet for det amerikanske sundhedsministerium. Formålet med angrebet var formodentlig at fratage borgerne adgang til officielle data om epidemien og de foranstaltninger, der blev truffet mod den: På samme tid som DDoS spredte ukendte personer desinformation på sociale netværk via SMS og e-mail om, at en landsdækkende karantæne ville blive indført i USA. Forsøget mislykkedes: Sundhedsministeriets websted fortsatte med at arbejde på trods af den øgede arbejdsbyrde.
Et andet DDoS-angreb blev offer for en større pariserhospitalets netværk Assistance Publique - Hopitaux de Paris. Angriberne forsøgte at deaktivere medicinske institutioners infrastruktur. Som et resultat af angrebet var hospitalets personale, der arbejdede eksternt, ude af stand til at bruge arbejdsprogrammer og virksomhedens e-mail i nogen tid. Imidlertid kunne cyberkriminelle ikke lamme hele organisationen.
Madleveringstjenester Lieferando (Tyskland) ogThuisbezorgd (Holland) befandt sig i en mere delikat situation. Som et resultat af DDoS-angreb accepterede begge virksomheder ordrer, men kunne ikke behandle dem og måtte returnere penge til kunder. På samme tid krævede angriberne, der angreb Lieferando, 2 BTC for at stoppe DDoS (lidt over $ 13 tusind i skrivende stund).
anbefalinger
- Skimp ikke på beskyttelsen og fang uventetindkommende angreb. Du skal bruge et af anti-DDoS-systemerne, hvis princip er at maskere den virkelige IP-adresse på dit system og dynamisk filtrere netværksaktivitet forårsaget af cyberkriminelle.
Huller i systeminformationssikkerhedsovervågning
For at undgå datalæk, har viVi samarbejder med de bedste penetrationstestere i Rusland, som er en del af det såkaldte Red Team. Pentesting er i jargon en metode til at vurdere sikkerheden af computersystemer eller netværk ved at simulere et angreb fra en angriber. Red Teams handlinger giver os mulighed for at simulere et angreb fra en gruppe professionelle eksterne angribere på den mest naturalistiske måde for at identificere sårbarheder i vores kode og infrastruktur.
Både små onlinebutikker og amerikanskeføderale agenturer som Pentagon bruger regelmæssigt bug bounty-programmer til at identificere sikkerhedsfejl i deres systemer. Bug bounty er et program, der tilbydes af mange websteder og softwareudviklere, hvorigennem folk kan genkendes og belønnes for at finde fejl. Disse programmer gør det muligt for udviklere at opdage og rette fejl, før offentligheden kender til dem, hvilket forhindrer udbredt misbrug. Alle internetgiganter har Bug Bounty: Apple, Microsoft, Facebook, Google og Intel.
anbefalinger
Du skal konstant kontrollere dine oplysningersystem til uautoriseret adgang. Du kan bruge automatiserede værktøjer til dette, du kan gennemføre pentests af dine medarbejdere eller erklære en bug bounty og betale for de fundne sårbarheder.
Se også:
Se på 3D-kortet over universet: det blev samlet i 20 år, og det har allerede overrasket forskere
Se på billerlarver: de kan redde planeten fra plast ved at ødelægge den
Ny undersøgelse afslører mere om anomali i Jordens magnetfelt