Server non protetti di sistemi di informazione
Gli aggressori cercano server Elasticsearch e MongoDB non protetti,
RabbitMQ- Broker di messaggi software basato suLo standard AMQP è un middleware replicabile focalizzato sull'elaborazione dei messaggi. Creato sulla base del sistema Open Telecom Platform, scritto in Erlang, e utilizza Mnesia come motore di database per l'archiviazione dei messaggi.
All'inizio di aprile, gli esperti di sicurezza informatica hanno scoperto sulla reteServer Elasticsearch, attraverso il quale potrebbe essere ottenuto l'accesso non autorizzato al database utenti di YouDo. E a gennaio sono trapelati online i dati dei clienti del mediatore creditizio Alfa-Credit, che raccoglie le richieste di prestito e aiuta a selezionare e ottenere un prestito da una banca. Erano contenuti nel sistema di gestione di database open source MongoDB, utilizzato da alcune aziende per scopi interni.
raccomandazioni
- Per un funzionamento stabile di Elasticsearch di solito lo ècreare un cluster di più server in modo che le istanze elastiche possano comunicare tra loro. Per fare ciò, aprire le porte di rete. Se i server sono accessibili da Internet, un utente malintenzionato può connettersi al database. Nelle versioni precedenti di Elasticsearch, precedenti alla 7.3.2, è possibile accedere al database senza alcuna autenticazione.
- L'accesso non autorizzato ai propri dati può essere evitato controllando le impostazioni dei sistemi informativi nelle configurazioni standard e proteggendo server e macchine virtuali con firewall.
Collegamenti diretti non sicuri
IDOR (riferimento oggetto diretto non sicuro,collegamenti diretti non sicuri a oggetti - "High-Tech") - una vulnerabilità che consente di ottenere l'accesso non autorizzato a pagine Web o file. IDOR è spesso chiamato il termine "forza bruta" (dall'inglese brute force - "high-tech"), che nella traduzione significa "forza bruta".
Il modo più comune di utilizzare IDOR- un utente malintenzionato elenca un identificatore prevedibile e ottiene l'accesso ai dati di qualcun altro. Molti server generano ID di accesso utilizzando algoritmi proprietari. Algoritmi come questo possono semplicemente incrementare il valore identificativo per ogni richiesta dell'utente. Un'altra opzione comune è quella di utilizzare una funzione dell'ora corrente o altri dati specifici del computer. Utilizzando questo tipo di vulnerabilità, è possibile intercettare l'accesso agli account di altre persone, la corrispondenza e ricevere i dati di altre persone. La complessità di un tale attacco è minima e allo stesso tempo abbastanza pericolosa. Un semplice esempio è che stai scrivendo un'applicazione web o stai creando un'API REST e un metodo come / api / ordini /? OrderId = 17505638.
REST, trasferimento di stato rappresentativo,"trasferimento dello stato di presentazione" -stile architettonico di interazione tra i componenti di un'applicazione distribuita su una rete. REST è un insieme coerente di vincoli considerati durante la progettazione di un sistema ipermediale distribuito. Il termine è stato originariamente coniato da Roy Fielding, uno dei creatori del protocollo HTTP. Il bello dei servizi REST è che sfruttano al meglio il protocollo HTTP.
Questa è l'occasione perfetta per gli intrusiper scorrere i dati. Anche se si limita l'accesso al metodo tramite il limitatore di velocità (limitando i tentativi nel tempo, da un indirizzo IP o da un agente utente - "Hi-tech"), ciò non garantisce la sicurezza. Gli aggressori possono falsificare le intestazioni, sfruttare le server farm proxy e utilizzare altri mezzi per aggirare le restrizioni.
Uno degli ultimi esempi di alto profilosfruttamento di tale vulnerabilità - fuga di dati dell'utente dal portale che fornisce informazioni sulle multe. I dettagli del passaporto delle persone multate per aver violato l'autoisolamento a Mosca erano disponibili sui siti web per il pagamento delle multe utilizzando il numero di competenza, che può essere trovato con la forza bruta utilizzando un semplice software. Utilizzando l'identificatore univoco di competenza (UIN) di una multa per aver violato l'autoisolamento a Mosca, nei servizi di pagamento è possibile trovare i dati personali della persona multata, inclusi cognome, nome, patronimico e dettagli del passaporto.
Raccomandazioni
- I problemi di hacking tramite IDOR possono essere evitati dase si creano chiavi lunghe da lettere, numeri e caratteri speciali, oltre a utilizzare combinazioni di limitatori di velocità, superando i valori di soglia per i quali verranno trasmessi al sistema di monitoraggio.
Furto di database
Con lo sviluppo della tecnologia dell'informazione,casi di furto di database e i criminali possono essere sia hacker esterni che i propri dipendenti. Il motivo del furto potrebbe essere il risentimento di un dipendente nei confronti della direzione, uno stipendio basso o il desiderio di monetizzare ulteriormente la sua posizione. Inoltre, la base può essere rubata nel suo insieme e venduta sulla darknet (furto), oppure utilizzata online per cercare le informazioni richieste (la cosiddetta svolta).
Qui il ruolo decisivo è giocato dall’uomofattore, quindi è difficile combattere questo tipo di perdite. Questo è il problema più comune e doloroso affrontato dalle aziende e dai servizi di sicurezza informatica.
Ad esempio, i database vengono regolarmente venduti sulla darknetdati degli automobilisti. Tali perdite si verificano più spesso nella polizia stradale e nelle compagnie di assicurazione. La rete includeva anche i dati dei cittadini che hanno richiesto prestiti a organizzazioni di microfinanza. I dati dei clienti sono stati messi in vendita alla fine di marzo su un sito specializzato. Il problema delle fughe di dati dei clienti è molto acuto nel settore bancario, in cui il costo di tali violazioni delle informazioni è direttamente correlato al denaro delle persone.
Quando lavorano in remoto, i dipendenti degli istituti finanziari noVendono dati personali solo sulla DarkNet, ma li usano anche in modo disonesto. All’inizio del 2020, il numero di procedimenti giudiziari relativi al furto di denaro utilizzando posizioni ufficiali è stato maggiore rispetto all’intero anno precedente. I dipendenti bancari senza scrupoli stanno passando dalla vendita dei dati dei clienti all'uso personale per scopi criminali: contraggono sempre più prestiti a nome dei clienti e prelevano anche denaro dai loro conti.
raccomandazioni
- Rispettare le regole fondamentali dell'informazionesicurezza. Ad esempio, limitare l'accesso ai dati (database di produzione e di test, backup). Sembrerebbe un consiglio ovvio, ma per qualche motivo molte persone se ne dimenticano.
- Conserva le password in un deposito sicuro, come Hashicorp Vault.
- Condurre un controllo del sistema delle azioni degli utenti, che consentirà un avviso tempestivo di attività non autorizzate e impedirà possibili azioni pericolose degli utenti del sistema.
- Specificare la responsabilità per il furto dei database degli utenti nel contratto di lavoro con i dipendenti.
Memorizzazione del codice in repository aperti
Spesso gli sviluppatori mettono in apertoarchivi di sistemi di memorizzazione del codice informazioni private relative al luogo di lavoro. Questi possono essere collegamenti all'infrastruttura interna dell'azienda, chiavi crittografiche, token API e pezzi di codice, i cui diritti appartengono all'azienda che dà lavoro. Non esiste una garanzia al 100% per proteggere gli interessi dell'azienda. Se gli sviluppatori vogliono rendere il tuo codice pubblicamente disponibile, possono solo complicare la loro vita, ma non ostacolarla. Nessun documento risolverà completamente questo problema.
North State UniversityCarolina ha svolto un lavoro straordinario e ha scansionato miliardi di file: per circa sei mesi (dal 31 ottobre 2017 al 20 aprile 2018), i ricercatori hanno monitorato circa il 13% di tutti i repository pubblici su GitHub, esaminando ogni commit. I risultati della scansione indicano che circa 100.000 repository contengono chiavi crittografiche e token API dimenticati accidentalmente nel codice e ogni giorno su GitHub compaiono molte nuove fughe di dati di questo tipo.
Dal momento che gli esperti hanno osservato la condizionerepository per circa sei mesi, hanno avuto l'opportunità di studiare come stanno le cose con la rimozione di tali perdite dal codice. Durante l'intero periodo di osservazione, solo il 6% dei proprietari di repository ha notato quasi immediatamente di essere trapelato e rimosso i propri token e chiavi dall'accesso aperto. Un altro 12% degli sviluppatori ha impiegato più di un giorno per farlo e il 19% ha risolto la perdita entro 16 giorni. L'81% degli sviluppatori non ha notato affatto la fuga di notizie e, ovviamente, non sa nemmeno cosa potrebbe minacciare.
È possibile rispettare l'insieme minimo di ragionevoleregole che ridurranno la probabilità di fuga di codice verso l’esterno. Il regime del segreto commerciale risolverà un terzo dei problemi, un'attenta gestione dei diritti sul nuovo codice risolverà il secondo terzo, e un'attenta attenzione e una competente selezione del personale risolveranno il resto. E qui il lavoro del dipartimento Risorse umane e l'atmosfera in azienda influiscono direttamente sul grado di sicurezza delle informazioni.
raccomandazioni
- Dovresti scansionare regolarmente i repository aperti per informazioni sensibili rilevanti per la tua azienda.
- I contratti di lavoro devono contenere una lingua in meritoalienazione totale dei diritti al nuovo codice. E anche il permesso di utilizzare il codice del programma come parte di oggetti complessi senza indicare i nomi degli autori (in modo anonimo).
- Non trasferire alcun diritto sul vecchio codice a nuovi sviluppatori. Basta non stipulare accordi di cessione con loro.
- Задача HR-менеджера или специалиста по внутренним коммуникациям — создать атмосферу доверия и ценности кадров компании.
DDoS-атаки
DDoS-атака, или Distributed Denial of Service attacco: invio simultaneo e massiccio di richieste di informazioni al server centrale. L'aggressore genera tali richieste utilizzando un gran numero di sistemi: una botnet propria o noleggiata sulla darknet. Sfortunatamente, questo strumento popolare ed economico può paralizzare permanentemente il funzionamento di quasi tutte le risorse o causare il collasso del servizio fornito.
Quindi, a metà marzo, gli aggressori hanno cercato di farlodisabilitare il sito web del Dipartimento della Salute degli Stati Uniti. Presumibilmente, lo scopo dell'attacco era quello di privare i cittadini dell'accesso ai dati ufficiali sull'epidemia e alle misure adottate contro di essa: contemporaneamente agli attacchi DDoS, persone non identificate diffondevano sui social network, tramite SMS ed e-mail, la disinformazione che gli Stati Uniti avrebbero introdotto una quarantena a livello nazionale. Il tentativo è fallito: il sito web del Ministero della Salute ha continuato a funzionare, nonostante l'aumento del carico.
Un altro attacco DDoS è caduto vittima di un importante pariginorete ospedaliera Assistenza Publique - Hopitaux de Paris. Gli aggressori hanno cercato di disabilitare l'infrastruttura delle istituzioni mediche. A seguito dell'attacco, il personale ospedaliero che lavora da remoto non è stato in grado di utilizzare i programmi di lavoro e la posta elettronica aziendale per un po 'di tempo. Tuttavia, i criminali informatici non sono riusciti a paralizzare l'intera organizzazione.
Servizi di consegna cibo Lieferando (Germania) eThuisbezorgd (Paesi Bassi) si è trovata in una situazione più delicata. A seguito degli attacchi DDoS, entrambe le società hanno preso ordini, ma non sono stati in grado di elaborarli e hanno dovuto restituire denaro ai clienti. Allo stesso tempo, gli aggressori che hanno attaccato Lieferando hanno chiesto 2 BTC per fermare DDoS (poco più di $ 13mila al momento della scrittura).
raccomandazioni
- Non lesinare sulla protezione e catturare inaspettatamenteattacchi in arrivo. È necessario utilizzare uno dei sistemi anti-DDoS, il cui principio è quello di mascherare il vero indirizzo IP del sistema e filtrare dinamicamente l'attività di rete causata da intrusi.
Дыры в системном мониторинге информационной безопасности
Для того, чтобы избежать утечек данных, мы сотрудничаем с лучшими пентестерами России, которые входят в так называемую Red Team. Пентест на жаргоне — это метод оценки безопасности компьютерных систем или сетей средствами моделирования атаки злоумышленника. Действия Red Team позволяют максимально натуралистично имитировать атаку группы профессиональных внешних нарушителей для выявления уязвимостей нашего кода и инфраструктуры.
Entrambi piccoli negozi online e americaniLe agenzie federali come il Pentagono usano regolarmente programmi di bug bounty per identificare le falle di sicurezza nei loro sistemi. Bug bounty è un programma offerto da molti siti web e sviluppatori di software attraverso il quale le persone possono essere riconosciute e premiate per aver trovato bug. Questi programmi consentono agli sviluppatori di rilevare e correggere i bug prima che il grande pubblico ne sia a conoscenza, prevenendo abusi diffusi. Tutti i giganti di Internet hanno Bug Bounty: Apple, Microsoft, Facebook, Google e Intel.
raccomandazioni
Devi controllare costantemente le tue informazionisistema di accesso non autorizzato. Puoi utilizzare strumenti automatizzati per questo, puoi condurre test di penetrazione dai tuoi dipendenti o dichiarare un bug bounty, pagando per le vulnerabilità trovate.
Vedi anche:
Guarda la mappa 3D dell'Universo: è stata compilata per 20 anni e ha già sorpreso gli scienziati
Guarda le larve di coleottero: possono salvare il pianeta dalla plastica distruggendolo
Un nuovo studio rivela ulteriori informazioni sull'anomalia nel campo magnetico terrestre