Servidores de sistemas de información desprotegidos
Los atacantes buscan servidores Elasticsearch y MongoDB no seguros,
RabbitMQes un broker de mensajes de software basado en el estándar AMQP, un middleware replicable centrado en el procesamiento de mensajes.Creado sobre la base del sistema Open Telecom Platform, escrito en el lenguaje Erlang, se utiliza como motor de base de datos para almacenar mensajesMnesia.
A principios de abril, expertos en seguridad de la información descubrieron un servidor en la redElasticsearch, a través del cual fue posible obtener acceso no autorizado a la base de datos de usuarios de YouDo.Y en enero, los datos de los clientes de la correduría de crédito Alfa-Credit, que recogesolicitudes de préstamos y ayuda a elegir y obtener un préstamo del banco.Estaban contenidos en el sistema de gestión de bases de datos de código abierto MongoDB, que es utilizado por algunas empresas para tareas internas.
Recomendaciones
- Para un funcionamiento estable, Elasticsearch suele crear un clúster de varios servidores para que las instancias elásticas puedan comunicarse entre sí.Si se puede acceder a los servidores desde Internet, un atacante puedeEn versiones anteriores de Elasticsearch, anteriores a la 7.3.2, se puede acceder a la base de datos sin ningún tipo de autenticación.
- El acceso no autorizado a sus datos se puede evitar comprobando la configuración de los sistemas de información en configuraciones estándar y protegiendo los servidores y las máquinas virtuales con cortafuegos.
Enlaces directos inseguros
IDOR (Insecure Direct Object Reference) es una vulnerabilidad que permiteObtener acceso no autorizado a páginas web o archivos. A menudo se hace referencia a IDOR comoel término "fuerza bruta", que significa "fuerza bruta".
La forma más común de usar IDOR- un atacante enumera un identificador predecible y obtiene acceso a los datos de otra persona. Muchos servidores generan identificaciones de acceso utilizando algoritmos propietarios. Algoritmos como este pueden simplemente incrementar el valor del identificador para cada solicitud del usuario. Otra opción común es utilizar una función de la hora actual u otros datos específicos de la computadora. Con este tipo de vulnerabilidad, puede interceptar el acceso a las cuentas y la correspondencia de otras personas y recibir datos de otras personas. La complejidad de tal ataque es mínima y al mismo tiempo bastante peligrosa. Un ejemplo simple es que está escribiendo una aplicación web o está creando una API REST y un método como / api / orders /? OrderId = 17505638.
DESCANSO, Transferencia de estado representacional,"transferencia del estado de presentación" -Estilo arquitectónico de interacción entre componentes de una aplicación distribuida en una red. REST es un conjunto consistente de restricciones que se consideran al diseñar un sistema hipermedia distribuido. El término fue acuñado originalmente por Roy Fielding, uno de los creadores del protocolo HTTP. Lo mejor de los servicios REST es que aprovechan al máximo el protocolo HTTP.
Esta es la oportunidad perfecta para los intrusos.para iterar sobre los datos. Incluso si restringe el acceso al método a través del limitador de velocidad (limitando los intentos por tiempo, desde una dirección IP o desde un agente de usuario - "alta tecnología"), esto no garantiza la seguridad. Los atacantes pueden falsificar encabezados, utilizar granjas de servidores proxy y otros medios para eludir las restricciones.
Uno de los últimos ejemplos de alto perfil.explotación de dicha vulnerabilidad: fuga de datos de usuarios del portal que proporciona información sobre multas. Los datos del pasaporte de los multados por violar el autoaislamiento en Moscú estaban disponibles en los sitios web para pagar las multas utilizando el número de acumulación, que se puede encontrar por fuerza bruta utilizando un software sencillo. Utilizando el identificador único de acumulación (UIN) de una multa por violar el autoaislamiento en Moscú, en los servicios de pago se pueden encontrar los datos personales de la persona multada, incluidos el apellido, el nombre, el patronímico y los datos del pasaporte.
Recomendaciones
- Los problemas de piratería a través de IDOR pueden evitarse mediantesi crea claves largas a partir de letras, números y caracteres especiales, así como también utiliza combinaciones de limitadores de velocidad, superando los valores de umbral para los que se transmitirán al sistema de monitorización.
Robo de base de datos
Con el desarrollo de la tecnología de la información,casos de robo de bases de datos, y los delincuentes pueden ser tanto piratas informáticos externos como sus propios empleados. La razón del robo puede ser el resentimiento de un empleado contra la gerencia, el bajo salario o el deseo de monetizar adicionalmente su puesto. Además, la base se puede robar en su totalidad y vender en la darknet (robo), o utilizar en línea para buscar la información requerida (el llamado avance).
Aquí el papel decisivo lo juega el ser humano.factor, por lo que es difícil combatir este tipo de fugas. Este es el problema más común y doloroso al que se enfrentan las empresas y los servicios de seguridad de la información.
Por ejemplo, las bases de datos se venden habitualmente en la red oscura.datos del automovilista. Estas fugas ocurren con mayor frecuencia en la policía de tránsito y en las compañías de seguros. La red también incluyó datos de ciudadanos que solicitaron préstamos a organizaciones de microfinanzas. Los datos de los clientes se pusieron a la venta a finales de marzo en un sitio web especializado. El problema de las filtraciones de datos de los clientes es muy grave en la industria bancaria, en la que el costo de dichas filtraciones de información está directamente relacionado con el dinero de las personas.
Cuando trabajan de forma remota, los empleados de instituciones financieras noSólo venden datos personales en la DarkNet, pero también los utilizan de forma deshonesta. A principios de 2020, el número de casos judiciales relacionados con el robo de dinero utilizando cargos oficiales fue mayor que en todo el año anterior. Los empleados bancarios sin escrúpulos están pasando de vender datos de clientes a utilizarlos ellos mismos con fines delictivos: cada vez más solicitan préstamos en nombre de clientes y también retiran dinero de sus cuentas.
Recomendaciones
- Cumplir con las normas básicas de información.seguridad. Por ejemplo, limite el acceso a los datos (bases de datos de producción y prueba, copias de seguridad). Parecería un consejo obvio, pero por alguna razón mucha gente lo olvida.
- Guarde las contraseñas en una bóveda segura, como Hashicorp Vault.
- Realice una auditoría del sistema de las acciones de los usuarios, lo que le permitirá advertir a tiempo la actividad no autorizada y evitar posibles acciones peligrosas de los usuarios del sistema.
- Especificar la responsabilidad por el robo de bases de datos de usuarios en el contrato de trabajo con los empleados.
Almacenar código en repositorios abiertos
A menudo, los desarrolladores colocan en abiertorepositorios de sistemas de almacenamiento de código información privada relacionada con su lugar de trabajo. Estos pueden ser enlaces a la infraestructura interna de la empresa, claves criptográficas, tokens API y fragmentos de código, cuyos derechos pertenecen a la empresa empleadora. No hay garantía del 100% para proteger los intereses de la empresa. Si los desarrolladores quieren que su código esté disponible públicamente, solo pueden complicar su vida, pero no obstaculizarla. Ningún documento resolverá este problema por completo.
Universidad Estatal del NorteCarolina ha hecho un gran trabajo y escaneó miles de millones de archivos: durante aproximadamente medio año (desde el 31 de octubre de 2017 hasta el 20 de abril de 2018), los investigadores monitorearon aproximadamente el 13% de todos los repositorios públicos en GitHub, examinando cada confirmación. Los resultados del escaneo indican que alrededor de 100,000 repositorios contienen claves criptográficas y tokens API olvidados accidentalmente en el código, y todos los días aparecen muchas filtraciones de datos nuevos de este tipo en GitHub.
Dado que los expertos observaron la condiciónrepositorios durante unos seis meses, tuvieron la oportunidad de estudiar cómo están las cosas con la eliminación de tales filtraciones del código. Durante todo el período de observación, solo el 6% de los propietarios de repositorios notaron casi de inmediato que habían filtrado y eliminado sus tokens y claves del acceso abierto. Otro 12% de los desarrolladores tardaron más de un día en hacer esto, y el 19% solucionó la fuga en 16 días. El 81% de los desarrolladores no notó la filtración en absoluto y, obviamente, ni siquiera sabe lo que podría amenazar.
Puede cumplir con el conjunto mínimo de condiciones razonables.reglas que reducirán la probabilidad de fuga de código al exterior. El régimen de secreto comercial resolverá un tercio de los problemas, el manejo cuidadoso de los derechos sobre el nuevo código resolverá el segundo tercio, y una atención cuidadosa y una selección competente del personal resolverán el resto. Y aquí el trabajo del departamento de RR.HH. y el ambiente en la empresa inciden directamente en el grado de seguridad de la información.
Recomendaciones
- Debe escanear periódicamente los repositorios abiertos en busca de información confidencial relevante para su empresa.
- Los contratos de trabajo deben contener lenguaje sobreenajenación de derechos en su totalidad al nuevo código. Y también permiso para utilizar código de programa como parte de objetos complejos sin indicar los nombres de los autores (de forma anónima).
- No transfiera ningún derecho sobre el código antiguo a nuevos desarrolladores. Simplemente no celebre acuerdos de cesión con ellos.
- La tarea de un responsable de RR.HH. o especialista en comunicación interna es crear un ambiente de confianza y valor para el personal de la empresa.
ataques DDoS
Ataque DDoS o denegación de servicio distribuidoataque: envío simultáneo y masivo de solicitudes de información al servidor central. El atacante genera este tipo de solicitudes utilizando una gran cantidad de sistemas: una botnet, la suya propia o alquilada en la red oscura. Desafortunadamente, esta popular y económica herramienta puede paralizar permanentemente el funcionamiento de casi cualquier recurso o provocar el colapso del servicio que brinda.
Entonces, a mediados de marzo, los atacantes intentarondesactivar el sitio web del Departamento de Salud de EE. UU. Presuntamente, el propósito del ataque era privar a los ciudadanos del acceso a datos oficiales sobre la epidemia y las medidas tomadas contra ella: simultáneamente con el DDoS, desconocidos difunden desinformación en las redes sociales, vía SMS y correo electrónico de que se introduciría una cuarentena a nivel nacional en Estados Unidos. El intento fracasó: el sitio web del Ministerio de Salud siguió funcionando, a pesar del aumento de la carga de trabajo.
Otro ataque DDoS fue víctima de un importante parisinoAsistencia de la red hospitalaria Publique - Hopitaux de Paris. Los atacantes intentaron inutilizar la infraestructura de las instituciones médicas. Como resultado del ataque, el personal del hospital que trabajaba de forma remota no pudo utilizar los programas de trabajo ni el correo electrónico corporativo durante algún tiempo. Sin embargo, los ciberdelincuentes no lograron paralizar toda la organización.
Servicios de comida a domicilio Lieferando (Alemania) yThuisbezorgd (Holanda) se encontró en una situación más delicada. Como resultado de los ataques DDoS, ambas empresas aceptaron pedidos, pero no pudieron procesarlos y tuvieron que devolver dinero a los clientes. Al mismo tiempo, los atacantes que atacaron a Lieferando exigieron 2 BTC para detener DDoS (poco más de $ 13 mil al momento de escribir este artículo).
Recomendaciones
- No debería ahorrar en protección y atrapar inesperadamenteataques entrantes. Debe utilizar uno de los sistemas anti-DDoS, cuyo principio es enmascarar la dirección IP real de su sistema y filtrar dinámicamente la actividad de red causada por los ciberdelincuentes.
Agujeros en el monitoreo de seguridad de la información del sistema
Para evitar fugas de datos, nosotrosCooperamos con los mejores probadores de penetración de Rusia, que forman parte del llamado Equipo Rojo. Pentesting, en la jerga, es un método para evaluar la seguridad de sistemas o redes informáticas mediante la simulación de un ataque por parte de un atacante. Las acciones del Red Team nos permiten simular un ataque de un grupo de atacantes externos profesionales de la forma más naturalista posible para identificar vulnerabilidades en nuestro código e infraestructura.
Tanto pequeñas tiendas online como americanasLas agencias federales como el Pentágono usan regularmente programas de recompensas por errores para identificar fallas de seguridad en sus sistemas. Bug Bounty es un programa ofrecido por muchos sitios web y desarrolladores de software a través del cual las personas pueden ser reconocidas y recompensadas por encontrar errores. Estos programas permiten a los desarrolladores detectar y corregir errores antes de que el público en general los conozca, evitando abusos generalizados. Todos los gigantes de Internet tienen Bug Bounty: Apple, Microsoft, Facebook, Google e Intel.
Recomendaciones
Necesita verificar constantemente su informaciónsistema de acceso no autorizado. Puede usar herramientas automatizadas para esto, puede realizar pruebas de penetración por parte de sus empleados o declarar una recompensa por errores, pagando por las vulnerabilidades encontradas.
Ver tambien
Mire el mapa 3D del Universo: se compiló durante 20 años y ya ha sorprendido a los científicos
Mira las larvas de escarabajos: pueden salvar al planeta del plástico destruyéndolo
Nuevo estudio revela más sobre anomalías en el campo magnético de la Tierra