Neapsaugoti informacinių sistemų serveriai
Užpuolikai ieško neapsaugotų Elasticsearch ir MongoDB serverių,
TriušisMQ- programinės įrangos pranešimų tarpininkas, pagrįstasAMQP standartas yra pakartojama tarpinė programinė įranga, skirta pranešimų apdorojimui. Sukurta Open Telecom platformos sistemos pagrindu, parašyta Erlang kalba, ir naudoja Mnesia kaip duomenų bazės variklį žinutėms saugoti.
Balandžio pradžioje informacijos saugumo ekspertai aptiko tinkleElasticsearch serveris, per kurį buvo galima gauti neteisėtą prieigą prie YouDo vartotojų duomenų bazės. O sausio mėnesį internete nutekėjo kreditų brokerio „Alfa-Credit“, kuris renka paskolų paraiškas ir padeda išsirinkti bei gauti paskolą iš banko, klientų duomenys. Jie buvo įtraukti į atvirojo kodo duomenų bazių valdymo sistemą MongoDB, kurią kai kurios įmonės naudojo vidiniais tikslais.
Rekomendacijos
- Stabilus Elasticsearch veikimas paprastai yrasukurti kelių serverių klasterį, kad Elastic egzemplioriai galėtų bendrauti tarpusavyje. Norėdami tai padaryti, atidarykite tinklo prievadus. Jei serveriai pasiekiami iš interneto, užpuolikas gali prisijungti prie duomenų bazės. Senesnėse Elasticsearch versijose, jaunesnėse nei 7.3.2, duomenų bazę galima pasiekti be autentifikavimo.
- Neteisėtos prieigos prie savo duomenų galima išvengti patikrinus informacinių sistemų parametrus standartinėse konfigūracijose ir apsaugant serverius bei virtualias mašinas ugniasienėmis.
Nesaugios tiesioginės nuorodos
IDOR (nesaugi tiesioginė objekto nuoroda,nesaugios tiesioginės nuorodos į objektus – „High-Tech“) – pažeidžiamumas, leidžiantis gauti neteisėtą prieigą prie tinklalapių ar failų. IDOR dažnai vadinamas terminu „brute force“ (iš anglų kalbos brute force - „High-tech“), o tai reiškia „žalia jėga“.
Dažniausias IDOR naudojimo būdas- užpuolikas surašo nuspėjamą identifikatorių ir gauna prieigą prie kito asmens duomenų. Daugelis serverių sukuria prieigos ID naudodami patentuotus algoritmus. Tokie algoritmai gali tiesiog padidinti kiekvieno vartotojo užklausos identifikatoriaus vertę. Kitas įprastas variantas yra naudoti funkciją iš dabartinio laiko ar kitus konkrečiam kompiuteriui skirtus duomenis. Naudodami šio tipo pažeidžiamumą galite perimti prieigą prie kitų žmonių paskyrų, susirašinėti ir gauti kitų žmonių duomenis. Tokio išpuolio sudėtingumas yra minimalus ir kartu gana pavojingas. Paprastas pavyzdys: rašote žiniatinklio programą arba kuriate REST API ir metodą, pvz., / Api / order /? OrderId = 17505638.
REST, reprezentacinis valstybės perdavimas,"pateikimo būsenos perkėlimas" -architektūrinis sąveikos tarp paskirstytos programos komponentų tinkle stilius. REST yra nuoseklus apribojimų rinkinys, į kurį atsižvelgiama kuriant paskirstytos hipermedijos sistemą. Iš pradžių šį terminą sugalvojo Roy Fielding, kuris buvo vienas iš HTTP protokolo kūrėjų. Puikus REST paslaugų dalykas yra tai, kad jos geriausiai išnaudoja HTTP protokolą.
Tai puiki galimybė įsibrovėliamskartoti duomenis. Net jei apribojate prieigą prie metodo per tarifų ribotuvą (bandymus ribojate laiku, iš vieno IP adreso arba iš vieno vartotojo agento - „Hi-tech“), tai negarantuoja saugumo. Užpuolikai gali apgauti antraštes, naudoti tarpinio serverio ūkius ir kitomis priemonėmis apeiti apribojimus.
Vienas iš naujausių aukšto lygio pavyzdžiųtokio pažeidžiamumo išnaudojimas – vartotojų duomenų nutekėjimas iš portalo, teikiančio informaciją apie baudas. Už saviizoliacijos pažeidimą Maskvoje nubaustų pasų duomenis buvo galima rasti internetinėse svetainėse, skirtose sumokėti baudas naudojant kaupimo numerį, kurį galima rasti grubia jėga naudojant paprastą programinę įrangą. Naudodamiesi unikaliu baudos kaupiamuoju identifikatoriumi (UIN) už saviizoliacijos pažeidimą Maskvoje, mokėjimo tarnybose galite rasti nubausto asmens asmens duomenis, įskaitant pavardę, vardą, patronimą ir paso duomenis.
Rekomendacijos
- Įsilaužimo per IDOR problemų galima išvengtijei kuriate ilgus klavišus iš raidžių, skaičių ir specialiųjų ženklų, taip pat naudojate greičio ribotuvo derinius, viršijančius ribines vertes, kurios bus perduotos stebėjimo sistemai.
Duomenų bazių vagystės
Tobulėjant informacinėms technologijoms,duomenų bazių vagystės atvejų, o nusikaltėliai gali būti tiek išoriniai įsilaužėliai, tiek jų pačių darbuotojai. Vagystės priežastis gali būti darbuotojo pasipiktinimas vadovybe, mažas atlyginimas ar noras papildomai užsidirbti iš savo pareigų. Be to, pagrindą galima pavogti ir parduoti „darknet“ tinkle (vagystės) arba panaudoti internete ieškant reikiamos informacijos (vadinamasis proveržis).
Čia lemiamą vaidmenį atlieka žmogusveiksnys, todėl sunku kovoti su tokio tipo nuotėkiu. Tai dažniausia ir skaudžiausia problema, su kuria susiduria įmonės ir informacijos saugos tarnybos.
Pavyzdžiui, duomenų bazės reguliariai parduodamos tamsiajame tinklevairuotojo duomenys. Tokie nutekėjimai dažniausiai pasitaiko kelių policijoje ir draudimo bendrovėse. Į tinklą taip pat buvo įtraukti piliečių, kurie kreipėsi dėl paskolų iš mikrofinansų organizacijų, duomenys. Klientų duomenys buvo parduoti specializuotoje svetainėje kovo pabaigoje. Klientų duomenų nutekėjimo problema yra labai opi bankininkystės sektoriuje, kur tokių informacijos pažeidimų kaina yra tiesiogiai susijusi su žmonių pinigais.
Dirbdami nuotoliniu būdu finansų įstaigų darbuotojai to nedaroJie tik parduoda asmeninius duomenis „DarkNet“, bet taip pat naudoja juos nesąžiningai. 2020 metų pradžioje teisminių bylų, susijusių su pinigų vagystėmis naudojantis tarnybine padėtimi, padaugėjo nei visus ankstesnius metus. Nesąžiningi banko darbuotojai nuo klientų duomenų pardavimo pereina prie pačių jų panaudojimo nusikalstamiems tikslams – klientų vardu vis dažniau ima paskolas, o taip pat iš sąskaitų nuima pinigus.
Rekomendacijos
- Laikykitės pagrindinių informacijos pateikimo taisykliųsaugumo. Pavyzdžiui, apriboti prieigą prie duomenų (gamybos ir bandymų duomenų bazės, atsarginės kopijos). Atrodytų, akivaizdus patarimas, bet kažkodėl daugelis jį pamiršta.
- Slaptažodžius laikykite saugioje saugykloje, pvz., Hashicorp Vault.
- Atlikite vartotojo veiksmų sistemos auditą, kuris leis laiku pastebėti neteisėtą veiklą ir užkirsti kelią galimiems pavojingiems sistemos vartotojų veiksmams.
- Darbo sutartyje su darbuotojais nurodykite atsakomybę už vartotojų duomenų bazių vagystes.
Kodo saugojimas atvirose saugyklose
Dažnai kūrėjai pateikia atvirą vietąkodų saugojimo sistemų saugyklos asmeninė informacija, susijusi su jų darbo vieta. Tai gali būti nuorodos į įmonės vidinę infrastruktūrą, kriptografiniai raktai, API žetonai ir kodo dalys, priklausančios įdarbinančiai įmonei. Nėra 100% garantijos apsaugoti įmonės interesus. Jei kūrėjai nori, kad jūsų kodas būtų viešai prieinamas, jie gali tik apsunkinti savo gyvenimą, bet netrukdyti jam. Joks dokumentas neišspręs šios problemos iki galo.
Šiaurės valstybinis universitetasKarolina atliko puikų darbą ir nuskaitė milijardus bylų: maždaug pusmetį (nuo 2017 m. Spalio 31 d. Iki 2018 m. Balandžio 20 d.) Tyrėjai stebėjo maždaug 13% visų viešųjų „GitHub“ saugyklų, nagrinėdami kiekvieną įsipareigojimą. Nuskaitymo rezultatai rodo, kad apie 100 000 saugyklų yra atsitiktinai kode pamiršti kriptografiniai raktai ir API žetonai, o kiekvieną dieną „GitHub“ atsiranda daugybė naujų tokio pobūdžio duomenų nutekėjimų.
Kadangi ekspertai stebėjo būklęapie šešis mėnesius, jie gavo galimybę ištirti, kaip sekasi pašalinti tokius nutekinimus iš kodo. Per visą stebėjimo laikotarpį tik 6% saugyklos savininkų beveik iškart pastebėjo, kad jie nutekino ir pašalino savo žetonus bei raktus iš atviros prieigos. Dar 12% kūrėjų tam prireikė daugiau nei dienos, o 19% nutekėjimą pašalino per 16 dienų. 81% kūrėjų visiškai nepastebėjo nutekėjimo ir, žinoma, net nežino, kuo tai gali kelti grėsmę.
Galite laikytis minimalių pagrįstų reikalavimųtaisyklės, kurios sumažins kodo nutekėjimo į išorę tikimybę. Trečdalį problemų išspręs komercinės paslapties režimas, antrą trečdalį – rūpestingas tvarkymas su teisėmis į naują kodą, o likusias – kruopštus dėmesys ir kompetentinga personalo atranka. O štai personalo skyriaus darbas ir atmosfera įmonėje tiesiogiai veikia jos informacijos saugumo laipsnį.
Rekomendacijos
- Turėtumėte reguliariai tikrinti atidarytas saugyklas, kad rastumėte neskelbtinos informacijos, susijusios su jūsų įmone.
- Darbo sutartyse turi būti nurodyta kalbavisiškas teisių perėmimas naujajam kodeksui. Taip pat leidimas naudoti programos kodą kaip sudėtingų objektų dalį, nenurodant autorių vardų (anonimiškai).
- Neperkelkite jokių teisių į seną kodą naujiems kūrėjams. Tiesiog nesudarykite su jais paskyrimo sutarčių.
- Personalo vadovo ar vidinės komunikacijos specialisto užduotis – sukurti pasitikėjimo ir vertės atmosferą įmonės personalui.
DDoS atakos
DDoS ataka arba paskirstytas atsisakymas teikti paslaugąataka – vienalaikis ir masinis informacijos užklausų siuntimas į centrinį serverį. Užpuolikas tokias užklausas generuoja naudodamas daugybę sistemų – botnetą, savo arba išsinuomotą „darknete“. Deja, šis populiarus ir nebrangus įrankis gali visam laikui paralyžiuoti beveik bet kurio resurso veikimą arba sukelti teikiamos paslaugos žlugimą.
Taigi kovo viduryje užpuolikai bandėišjungti JAV sveikatos departamento svetainę. Spėjama, kad išpuolio tikslas buvo atimti piliečiams prieigą prie oficialių duomenų apie epidemiją ir priemones, kurių buvo imtasi prieš ją: tuo pat metu, kai DDoS, nenustatyti asmenys socialiniuose tinkluose, SMS žinutėmis ir elektroniniu paštu, skleidė dezinformaciją, kad JAV įves karantiną visoje šalyje. Bandymas nepavyko: Sveikatos apsaugos ministerijos svetainė ir toliau veikė, nepaisant padidėjusio krūvio.
Kita DDoS ataka tapo didžiojo paryžiečio aukaligoninių tinklo „Assistance Publique“ - Hopitaux de Paris. Užpuolikai bandė išjungti gydymo įstaigų infrastruktūrą. Dėl išpuolio nuotoliniu būdu dirbantys ligoninės darbuotojai kurį laiką negalėjo naudotis darbo programomis ir įmonės el. Paštu. Tačiau kibernetiniams nusikaltėliams nepavyko paralyžiuoti visos organizacijos.
Maisto pristatymo paslaugos Lieferando (Vokietija) irThuisbezorgd (Nyderlandai) atsidūrė subtilesnėje situacijoje. Dėl DDoS atakų abi įmonės priėmė užsakymus, tačiau negalėjo jų apdoroti ir turėjo grąžinti pinigus klientams. Tuo pačiu metu užpuolikai, užpuolę Lieferando, reikalavo 2 BTC sustabdyti DDoS (rašymo metu šiek tiek daugiau nei 13 tūkst. USD).
Rekomendacijos
- Neturėtumėte sutaupyti apsaugos ir netikėtai pagautigaunamus išpuolius. Turite naudoti vieną iš anti-DDoS sistemų, kurios principas yra užmaskuoti tikrąjį savo sistemos IP adresą ir dinamiškai filtruoti tinklo veiklą, kurią sukelia kibernetiniai nusikaltėliai.
Skylės sistemos informacijos saugumo stebėjime
Siekdami išvengti duomenų nutekėjimo, mesBendradarbiaujame su geriausiais Rusijos pentestuotojais, kurie yra vadinamosios Raudonosios komandos dalis. Žargonu kalbant, bandymas yra kompiuterinių sistemų ar tinklų saugumo įvertinimo metodas, imituojant užpuoliko ataką. Raudonosios komandos veiksmai leidžia mums imituoti profesionalių išorinių užpuolikų grupės ataką natūraliausiu būdu, kad būtų galima nustatyti mūsų kodo ir infrastruktūros spragas.
Tiek mažos internetinės parduotuvės, tiek amerikietiškosfederalinės agentūros, tokios kaip Pentagonas, reguliariai naudoja klaidų apdovanojimų programas, kad nustatytų savo sistemų saugumo trūkumus. Bug bounty yra programa, kurią siūlo daugybė svetainių ir programinės įrangos kūrėjų, per kurią žmonės gali būti atpažinti ir apdovanoti už klaidų radimą. Šios programos leidžia kūrėjams aptikti ir ištaisyti klaidas, kol plačioji visuomenė apie jas nežino, užkertant kelią plačiam piktnaudžiavimui. Visi interneto gigantai turi „Bug Bounty“: „Apple“, „Microsoft“, „Facebook“, „Google“ ir „Intel“.
Rekomendacijos
Turite nuolat tikrinti savo informacijąneteisėtos prieigos sistema. Tam galite naudoti automatizuotus įrankius, galite atlikti įsiskverbimo testus savo darbuotojams arba paskelbti klaidų gausą, sumokėdami už rastas silpnybes.
Taip pat žiūrėkite:
Pažvelkite į 3D Visatos žemėlapį: jis buvo sudarytas 20 metų ir jau nustebino mokslininkus
Pažvelkite į vabalų lervas: jie gali išgelbėti planetą nuo plastiko, sunaikindami ją
Naujas tyrimas atskleidžia daugiau apie Žemės magnetinio lauko anomalijas