Oskyddade servrar av informationssystem
Angripare letar efter oskyddade Elasticsearch- och MongoDB-servrar,
RabbitMQ- programvara meddelande mäklare baserad påAMQP-standarden är en replikerbar mellanprogramvara fokuserad på meddelandebehandling. Skapad på basis av Open Telecom Platform-systemet, skrivet i Erlang, och använder Mnesia som en databasmotor för att lagra meddelanden.
I början av april upptäckte informationssäkerhetsexperter på nätverketElasticsearch-server, genom vilken obehörig åtkomst till YouDo-användardatabasen kunde erhållas. Och i januari läckte data från kunder till kreditmäklaren Alfa-Credit, som samlar in låneansökningar och hjälper till att välja och få lån från en bank, online. De fanns i databashanteringssystemet MongoDB med öppen källkod, som används av vissa företag för interna ändamål.
rekommendationer
- För stabil drift av Elasticsearch är det vanligtvisskapa ett kluster med flera servrar så att Elastic-instanser kan kommunicera med varandra. För att göra detta, öppna nätverksportar. Om servrarna är tillgängliga från Internet kan en angripare ansluta till databasen. I äldre versioner av Elasticsearch, yngre än 7.3.2, kan databasen nås utan autentisering alls.
- Obehörig åtkomst till dina data kan undvikas genom att kontrollera informationssystemens inställningar i standardkonfigurationer och skydda servrar och virtuella maskiner med brandväggar.
Osäkra direktlänkar
IDOR (Insecure Direct Object Reference,osäkra direktlänkar till objekt - "High-Tech") - en sårbarhet som gör att du kan få obehörig åtkomst till webbsidor eller filer. IDOR kallas ofta termen "brute force" (från engelskan brute force - "High-tech"), vilket betyder "brute force" i översättning.
Det vanligaste sättet att använda IDOR- en angripare räknar upp en förutsägbar identifierare och får åtkomst till någon annans data. Många servrar genererar åtkomst-ID med proprietära algoritmer. Algoritmer som detta kan helt enkelt öka identifieringsvärdet för varje användarförfrågan. Ett annat vanligt alternativ är att använda en funktion från aktuell tid eller annan datorspecifik data. Med hjälp av denna typ av sårbarhet kan du fånga åtkomst till andra människors konton, korrespondens och ta emot andras data. Komplexiteten i en sådan attack är minimal och samtidigt ganska farlig. Ett enkelt exempel är att du skriver en webbapplikation eller att du skapar ett REST-API och en metod som / api / orders /? OrderId = 17505638.
REST, Representativ statlig överföring,"överföring av presentationstillstånd" -arkitektonisk stil för interaktion mellan komponenter i en distribuerad applikation i ett nätverk. REST är en konsekvent uppsättning begränsningar som beaktas när ett distribuerat hypermediasystem utformas. Termen myntades ursprungligen av Roy Fielding, som var en av skaparna av HTTP-protokollet. Det fina med REST-tjänster är att de utnyttjar HTTP-protokollet på bästa sätt.
Detta är den perfekta möjligheten för inkräktareatt iterera över data. Även om du begränsar åtkomsten till metoden genom hastighetsbegränsaren (begränsar tidens försök, från en IP-adress eller från en användaragent - "Hi-tech") garanterar detta inte säkerhet. Angripare kan förfalska rubriker, använda proxyserverfarmar och andra sätt att kringgå begränsningar.
Ett av de senaste högprofilerade exemplenutnyttjande av en sådan sårbarhet - läckage av användardata från portalen som ger information om böter. Passuppgifterna om de som bötfällts för att ha brutit mot självisolering i Moskva fanns tillgängliga på webbplatser för att betala böter med hjälp av ackumuleringsnumret, som kan hittas med brutalt våld med hjälp av enkel programvara. Genom att använda den unika ackumuleringsidentifieraren (UIN) för böter för överträdelse av självisolering i Moskva, kan du i betaltjänster hitta personuppgifterna för den bötesbelagda personen, inklusive efternamn, förnamn, patronym och passuppgifter.
Rekommendationer
- Problem med hackning via IDOR kan undvikas avom du skapar långa nycklar från bokstäver, siffror och specialtecken samt kombinationer av hastighetsbegränsare som överskrider de tröskelvärden som överförs till övervakningssystemet.
Databasstöld
Med utvecklingen av informationsteknologi,fall av databasstöld och brottslingar kan vara både externa hackare och sina egna anställda. Anledningen till stölden kan vara en anställdas harsel mot ledningen, en låg lön eller en önskan att dessutom tjäna pengar på sin position. Dessutom kan basen stulas i sin helhet och säljas på darknet (stöld), eller användas online för att söka efter önskad information (det så kallade genombrottet).
Här spelas den avgörande rollen av människanfaktor, så det är svårt att bekämpa denna typ av läckage. Detta är det vanligaste och mest smärtsamma problemet för företag och informationssäkerhetstjänster.
Till exempel säljs databaser regelbundet på darknetbilistdata. Sådana läckor förekommer oftast hos trafikpolisen och försäkringsbolagen. Nätverket inkluderade också uppgifter om medborgare som ansökte om lån från mikrofinansieringsorganisationer. Kunddata lades ut till försäljning i slutet av mars på en specialiserad webbplats. Problemet med kunddataläckor är mycket akut i banksektorn, där kostnaden för sådana informationsintrång är direkt relaterade till människors pengar.
När man arbetar på distans, gör det inte anställda i finansiella institutionerDe säljer bara personuppgifter på DarkNet, men de använder dem också oärligt. I början av 2020 var antalet rättsfall relaterade till stöld av pengar med hjälp av tjänsteställning fler än under hela föregående år. Skrupelfria bankanställda går från att sälja kunduppgifter till att själva använda dem i kriminella syften – de tar alltmer lån i kunders namn, och tar även ut pengar från sina konton.
rekommendationer
- Följ de grundläggande reglerna för informationsäkerhet. Begränsa till exempel åtkomst till data (produktions- och testdatabaser, säkerhetskopior). Det verkar vara självklart råd, men av någon anledning glömmer många bort det.
- Förvara lösenord i ett säkert valv, till exempel Hashicorp Vault.
- Gör en systemrevision av användaråtgärder, som möjliggör snabb information om obehörig aktivitet och förhindrar eventuella farliga åtgärder för systemanvändare.
- Ange ansvar för stöld av användardatabaser i anställningsavtalet med anställda.
Lagring av kod i öppna förvar
Ofta placerar utvecklare öppetförvar med kodlagringssystem privat information relaterad till deras arbetsplats. Det kan vara länkar till företagets interna infrastruktur, kryptografiska nycklar, API-symboler och kodkod, vars rättigheter tillhör det anställda företaget. Det finns ingen 100% garanti för att skydda företagets intressen. Om utvecklare vill göra din kod offentligt tillgänglig kan de bara göra livet svårare, men inte hindra. Inget dokument kommer att lösa problemet helt.
North State UniversityCarolina har gjort ett enormt jobb och skannat miljarder filer: under ungefär ett halvt år (från 31 oktober 2017 till 20 april 2018) övervakade forskare ungefär 13% av alla offentliga förvar på GitHub och undersökte varje åtagande. Skanningsresultaten indikerar att cirka 100 000 förvar innehåller kryptografiska nycklar och API-symboler som av misstag glömts bort i koden, och varje dag dyker upp många nya dataläckage av detta slag på GitHub.
Eftersom experterna observerade tillståndetförvar i cirka sex månader fick de möjlighet att studera hur det går med att ta bort sådana läckor från koden. Under hela observationsperioden märkte bara 6% av lagringsägarna nästan omedelbart att de hade läckt och tagit bort sina symboler och nycklar från öppen åtkomst. Ytterligare 12% av utvecklarna tog mer än en dag för att göra detta och 19% fixade läckan inom 16 dagar. 81% av utvecklarna märkte inte läckan alls, och uppenbarligen vet inte ens vad det kan hota.
Du kan följa den minsta uppsättningen av rimligaregler som minskar sannolikheten för kodläckage till utsidan. Affärshemlighetsregimen kommer att lösa en tredjedel av problemen, noggrann hantering av rättigheterna till ny kod kommer att lösa den andra tredjedelen, och noggrann uppmärksamhet och kompetent urval av personal kommer att lösa resten. Och här påverkar HR-avdelningens arbete och atmosfären i företaget direkt graden av dess informationssäkerhet.
rekommendationer
- Du bör regelbundet skanna öppna förvar för känslig information som är relevant för ditt företag.
- Anställningsavtal ska innehålla språk angfullständigt överlåtelse av rättigheter till den nya koden. Och även tillåtelse att använda programkod som en del av komplexa objekt utan att ange namnen på författarna (anonymt).
- Överför inte några rättigheter till gammal kod till nya utvecklare. Bara inte ingå uppdragsavtal med dem.
- En HR-chef eller internkommunikationsspecialist har till uppgift att skapa en atmosfär av förtroende och värde för företagets personal.
DDoS-attacker
DDoS-attack eller Distribuerad Denial of Serviceattack - samtidig och massiv sändning av informationsförfrågningar till den centrala servern. Angriparen genererar sådana förfrågningar med hjälp av ett stort antal system - ett botnät, sitt eget eller hyrt på darknet. Tyvärr kan detta populära och billiga verktyg permanent förlama driften av nästan vilken resurs som helst eller orsaka kollaps av tjänsten den tillhandahåller.
Så i mitten av mars försökte angriparnainaktivera webbplatsen för US Department of Health. Antagligen var syftet med attacken att beröva medborgarna tillgång till officiella uppgifter om epidemin och de åtgärder som vidtagits mot den: samtidigt som DDoS sprider okända personer disinformation på sociala nätverk, via SMS och e-post om att en rikstäckande karantän skulle införas i USA. Försöket misslyckades: webbplatsen för hälsoministeriet fortsatte att fungera, trots den ökade belastningen.
En annan DDoS-attack föll offer för en stor parissjukhusnätverk Assistance Publique - Hopitaux de Paris. Angriparna försökte inaktivera infrastrukturen för medicinska institutioner. Som ett resultat av attacken kunde sjukhuspersonal som arbetade på distans inte använda arbetsprogram och företags e-post under en tid. Cyberbrottslingar misslyckades dock med att förlamma hela organisationen.
Matleveranstjänster Lieferando (Tyskland) ochThuisbezorgd (Nederländerna) befann sig i en mer känslig situation. Som ett resultat av DDoS-attacker accepterade båda företagen order, men kunde inte behandla dem och var tvungna att returnera pengar till kunderna. Samtidigt krävde angriparna som attackerade Lieferando 2 BTC för att stoppa DDoS (drygt 13 tusen dollar i skrivande stund).
rekommendationer
- Du bör inte spara på skyddet och fånga oväntatinkommande attacker. Du måste använda ett av anti-DDoS-systemen, vars princip är att maskera ditt verkliga IP-adress och dynamiskt filtrera nätverksaktivitet orsakad av angripare.
Hål i systeminformationssäkerhetsövervakning
För att undvika dataläckor har viVi samarbetar med de bästa penetreringstestarna i Ryssland, som ingår i det så kallade Red Team. Pentesting, på jargong, är en metod för att bedöma säkerheten hos datorsystem eller nätverk genom att simulera en attack från en angripare. Red Teams handlingar tillåter oss att simulera en attack av en grupp professionella externa angripare på det mest naturalistiska sättet som möjligt för att identifiera sårbarheter i vår kod och infrastruktur.
Både små onlinebutiker och amerikanskafederala byråer som Pentagon använder regelbundet bounty-program för att identifiera säkerhetsbrister i sina system. Bug bounty är ett program som erbjuds av många webbplatser och mjukvaruutvecklare genom vilket människor kan erkännas och belönas för att hitta buggar. Dessa program tillåter utvecklare att upptäcka och fixa buggar innan allmänheten känner till dem och förhindrar omfattande missbruk. Alla Internet-jättar har Bug Bounty: Apple, Microsoft, Facebook, Google och Intel.
rekommendationer
Du måste hela tiden kontrollera din informationsystem för obehörig åtkomst. Du kan använda automatiserade verktyg för detta, du kan genomföra pentest av dina anställda eller förklara en bounty som betalar för de hittade sårbarheterna.
Se även:
Titta på 3D-kartan över universum: den sammanställdes i 20 år och den har redan förvånat forskare
Titta på skalbaggarna: de kan rädda planeten från plast genom att förstöra den
Ny studie avslöjar mer om anomali i jordens magnetfält