AWS પર કેપિટલ વન હેકની તકનીકી વિગતો

19 જુલાઈ, 2019 ના રોજ, કેપિટલ વનને એવો સંદેશ મળ્યો કે દરેક આધુનિક કંપનીને ડર છે - ડેટા ભંગ થયો છે. તેનાથી 106 મિલિયનથી વધુ લોકો પ્રભાવિત થયા છે. 140 યુએસ સામાજિક સુરક્ષા નંબરો, એક મિલિયન કેનેડિયન સામાજિક સુરક્ષા નંબરો. 000 બેંક ખાતા. અપ્રિય, તમે સંમત નથી?

કમનસીબે, 19મી જુલાઈના રોજ હેક થયું ન હતું. જેમ તે બહાર આવ્યું છે, પેજ થોમ્પસન, ઉર્ફે. અનિયમિત, તે 22 માર્ચ અને 23 માર્ચ, 2019 વચ્ચે પ્રતિબદ્ધ છે. તે જ લગભગ ચાર મહિના પહેલા. હકીકતમાં, બહારના સલાહકારોની મદદથી જ કેપિટલ વનને કંઈક થયું હોવાનું જાણવા મળ્યું હતું.

એમેઝોનના ભૂતપૂર્વ કર્મચારીની ધરપકડ કરવામાં આવી હતી અને તેને $250 દંડ અને પાંચ વર્ષની જેલનો સામનો કરવો પડ્યો હતો... પરંતુ હજુ પણ ઘણી બધી નકારાત્મકતા બાકી છે. શા માટે? કારણ કે હેક્સનો ભોગ બનેલી ઘણી કંપનીઓ સાયબર ક્રાઈમના વધારા વચ્ચે તેમના ઈન્ફ્રાસ્ટ્રક્ચર અને એપ્લિકેશનને મજબૂત બનાવવાની જવાબદારીમાંથી છટકી જવાનો પ્રયાસ કરી રહી છે.

કોઈપણ રીતે, તમે આ વાર્તા સરળતાથી ગૂગલ કરી શકો છો. અમે નાટકમાં નહીં જઈશું, પણ વાત કરીશું તકનીકી બાબતની બાજુ.

સૌ પ્રથમ, શું થયું?

કેપિટલ વનમાં લગભગ 700 S3 બકેટ ચાલી રહી હતી, જેને પેઇજ થોમ્પસને કોપી કરી અને કાઢી નાખી.

બીજું, શું આ S3 બકેટ પોલિસીની ખોટી ગોઠવણીનો બીજો કેસ છે?

ના, આ વખતે નહીં. અહીં તેણીએ ખોટી રીતે ગોઠવેલી ફાયરવોલ સાથે સર્વરની ઍક્સેસ મેળવી અને ત્યાંથી સમગ્ર કામગીરી હાથ ધરી.

રાહ જુઓ, તે કેવી રીતે શક્ય છે?

ઠીક છે, ચાલો સર્વર પર લૉગ ઇન કરીને શરૂઆત કરીએ, જો કે અમારી પાસે ઘણી વિગતો નથી. અમને ફક્ત કહેવામાં આવ્યું હતું કે તે "ખોટી ગોઠવેલી ફાયરવોલ" દ્વારા થયું છે. તેથી, વેબ એપ્લિકેશન ફાયરવોલ (Imperva), અથવા નેટવર્ક ફાયરવોલ (iptables, ufw, shorewall, વગેરે) ની ખોટી સુરક્ષા જૂથ સેટિંગ્સ અથવા ગોઠવણી જેટલું સરળ કંઈક. કેપિટલ વનએ માત્ર તેનો અપરાધ સ્વીકાર્યો અને કહ્યું કે તેણે છિદ્ર બંધ કરી દીધું છે.

સ્ટોને જણાવ્યું હતું કે કેપિટલ વને શરૂઆતમાં ફાયરવોલની નબળાઈની નોંધ લીધી ન હતી પરંતુ એકવાર તે તેની જાણ થયા પછી ઝડપથી કાર્યવાહી કરી હતી. આ ચોક્કસપણે એ હકીકત દ્વારા મદદ કરવામાં આવી હતી કે હેકરે કથિત રીતે સાર્વજનિક ડોમેનમાં કી ઓળખવા માટેની માહિતી છોડી દીધી હતી, સ્ટોને જણાવ્યું હતું.

જો તમે આશ્ચર્ય પામી રહ્યા છો કે અમે આ ભાગમાં ઊંડાણમાં કેમ નથી જઈ રહ્યા, તો કૃપા કરીને સમજો કે મર્યાદિત માહિતીને લીધે અમે ફક્ત અનુમાન કરી શકીએ છીએ. આનો કોઈ અર્થ નથી જો કે હેક કેપિટલ વન દ્વારા છોડવામાં આવેલા છિદ્ર પર આધારિત છે. અને જ્યાં સુધી તેઓ અમને વધુ ન કહે ત્યાં સુધી, અમે ફક્ત કેપિટલ વન દ્વારા તેમના સર્વરને ખુલ્લું રાખવાની તમામ સંભવિત રીતોની સૂચિ બનાવીશું જે કોઈ વ્યક્તિ આ વિવિધ વિકલ્પોમાંથી એકનો ઉપયોગ કરી શકે છે. આ ભૂલો અને તકનીકો જંગલી મૂર્ખ અવલોકનથી લઈને અતિ જટિલ પેટર્ન સુધીની હોઈ શકે છે. શક્યતાઓની શ્રેણીને જોતાં, આ કોઈ વાસ્તવિક નિષ્કર્ષ વિનાની લાંબી ગાથા બની જશે. તેથી, ચાલો તે ભાગનું વિશ્લેષણ કરવા પર ધ્યાન કેન્દ્રિત કરીએ જ્યાં આપણી પાસે તથ્યો છે.

તેથી પ્રથમ ટેકઅવે છે: જાણો કે તમારી ફાયરવોલ શું મંજૂરી આપે છે.

જે ખોલવાની જરૂર છે તે જ ખોલવામાં આવે તેની ખાતરી કરવા માટે નીતિ અથવા યોગ્ય પ્રક્રિયા સ્થાપિત કરો. જો તમે સુરક્ષા જૂથો અથવા નેટવર્ક ACLs જેવા AWS સંસાધનોનો ઉપયોગ કરી રહ્યાં છો, તો દેખીતી રીતે ઓડિટ માટેનું ચેકલિસ્ટ લાંબુ હોઈ શકે છે... પરંતુ જેમ ઘણા સંસાધનો આપોઆપ બનાવવામાં આવે છે (એટલે ​​​​કે CloudFormation), તેમ તેમના ઓડિટને સ્વચાલિત કરવું પણ શક્ય છે. ભલે તે હોમમેઇડ સ્ક્રિપ્ટ હોય જે ખામીઓ માટે નવા ઑબ્જેક્ટને સ્કેન કરે છે, અથવા CI/CD પ્રક્રિયામાં સુરક્ષા ઑડિટ જેવું કંઈક... આને ટાળવા માટે ઘણા સરળ વિકલ્પો છે.

વાર્તાનો "રમૂજી" ભાગ એ છે કે જો કેપિટલ વન પ્રથમ સ્થાને છિદ્ર પ્લગ કર્યું હોત તો... કંઈ થયું ન હોત. અને તેથી, પ્રમાણિકપણે, કંઈક ખરેખર કેવી રીતે થાય છે તે જોવું હંમેશા આઘાતજનક છે ખૂબ સરળ કંપની હેક થવાનું એકમાત્ર કારણ બની જાય છે. ખાસ કરીને કેપિટલ વન જેટલું મોટું.

તો, અંદર હેકર - આગળ શું થયું?

ઠીક છે, EC2 દાખલા તોડ્યા પછી... ઘણું ખોટું થઈ શકે છે. જો તમે કોઈને તેટલી દૂર જવા દો તો તમે વ્યવહારીક રીતે છરીની ધાર પર ચાલી રહ્યા છો. પરંતુ તે S3 ડોલમાં કેવી રીતે પ્રવેશ્યું? આ સમજવા માટે, ચાલો IAM ભૂમિકાઓની ચર્ચા કરીએ.

તેથી, AWS સેવાઓને ઍક્સેસ કરવાની એક રીત છે વપરાશકર્તા બનવું. ઠીક છે, આ એક ખૂબ સ્પષ્ટ છે. પરંતુ જો તમે અન્ય AWS સેવાઓ આપવા માંગતા હોવ, જેમ કે તમારા એપ્લિકેશન સર્વર્સ, તમારી S3 બકેટ્સની ઍક્સેસ? IAM ભૂમિકાઓ તે માટે છે. તેઓ બે ઘટકો ધરાવે છે:

1. ટ્રસ્ટ નીતિ - કઈ સેવાઓ અથવા લોકો આ ભૂમિકાનો ઉપયોગ કરી શકે છે?
2. પરવાનગી નીતિ - આ ભૂમિકા શું પરવાનગી આપે છે?

ઉદાહરણ તરીકે, તમે એક IAM ભૂમિકા બનાવવા માગો છો જે EC2 દાખલાઓને S3 બકેટને ઍક્સેસ કરવાની મંજૂરી આપશે: પ્રથમ, ભૂમિકાને ટ્રસ્ટ પોલિસી માટે સેટ કરવામાં આવે છે કે જે EC2 (સંપૂર્ણ સેવા) અથવા ચોક્કસ ઉદાહરણો ભૂમિકાને "ઓવર" કરી શકે છે. ભૂમિકા સ્વીકારવાનો અર્થ એ છે કે તેઓ ક્રિયાઓ કરવા માટે ભૂમિકાની પરવાનગીઓનો ઉપયોગ કરી શકે છે. બીજું, પરવાનગી નીતિ એ સેવા/વ્યક્તિ/સંસાધનને S3 પર કંઈપણ કરવા માટે "ભૂમિકા સંભાળી છે" પરવાનગી આપે છે, પછી ભલે તે એક ચોક્કસ બકેટને ઍક્સેસ કરતી હોય... અથવા 700 થી વધુ, જેમ કે કેપિટલ વનના કિસ્સામાં.

એકવાર તમે IAM ભૂમિકા સાથે EC2 દાખલામાં આવી ગયા પછી, તમે ઘણી રીતે ઓળખપત્રો મેળવી શકો છો:

1. તમે પર ઇન્સ્ટન્સ મેટાડેટાની વિનંતી કરી શકો છો http://169.254.169.254/latest/meta-data

   અન્ય વસ્તુઓની સાથે, તમે આ સરનામાં પર કોઈપણ ઍક્સેસ કી વડે IAM ભૂમિકા શોધી શકો છો. અલબત્ત, જો તમે એક ઉદાહરણમાં હોવ તો જ.

2. AWS CLI નો ઉપયોગ કરો...

   જો AWS CLI ઇન્સ્ટોલ કરેલ હોય, તો તે IAM ભૂમિકાઓમાંથી ઓળખપત્રો સાથે લોડ થાય છે, જો હાજર હોય. જે બાકી છે તે ઉદાહરણ દ્વારા કામ કરવાનું છે. અલબત્ત, જો તેમની ટ્રસ્ટ પોલિસી ખુલ્લી હોય, તો પેજ સીધું બધું કરી શકે છે.

તેથી IAM ભૂમિકાઓનો સાર એ છે કે તેઓ કેટલાક સંસાધનોને અન્ય સંસાધનો પર તમારા વતી કાર્ય કરવાની મંજૂરી આપે છે.

હવે જ્યારે તમે IAM ની ભૂમિકાઓને સમજો છો, તો અમે પેજ થોમ્પસને શું કર્યું તે વિશે વાત કરી શકીએ છીએ:

1. તેણીએ ફાયરવોલમાં છિદ્ર દ્વારા સર્વર (EC2 ઉદાહરણ) ની ઍક્સેસ મેળવી

   ભલે તે સુરક્ષા જૂથો/ACLs હોય અથવા તેમની પોતાની વેબ એપ્લિકેશન ફાયરવોલ હોય, હોલને પ્લગ કરવા માટે કદાચ એકદમ સરળ હતું, જેમ કે સત્તાવાર રેકોર્ડમાં જણાવ્યા મુજબ.

2. એકવાર સર્વર પર, તેણી "જેમ કે" તે પોતે સર્વર હોય તેવું કાર્ય કરવામાં સક્ષમ હતી
3. IAM સર્વરની ભૂમિકાએ S3 ને આ 700+ બકેટ્સને ઍક્સેસ કરવાની મંજૂરી આપી હોવાથી, તે તેમને ઍક્સેસ કરવામાં સક્ષમ હતું

તે ક્ષણથી, તેણીએ ફક્ત આદેશ ચલાવવાનો હતો List Bucketsઅને પછી આદેશ Sync AWS CLI થી...

કેપિટલ વન બેંકનો અંદાજ છે કે હેકથી $100 અને $150 મિલિયનની વચ્ચેનું નુકસાન. આવા નુકસાનને અટકાવવા માટે શા માટે કંપનીઓ ક્લાઉડ ઇન્ફ્રાસ્ટ્રક્ચર પ્રોટેક્શન, DevOps અને સુરક્ષા નિષ્ણાતોમાં આટલું રોકાણ કરે છે. અને ક્લાઉડ તરફ આગળ વધવું કેટલું મૂલ્યવાન અને ખર્ચ-અસરકારક છે? એટલું બધું કે વધુને વધુ સાયબર સુરક્ષા પડકારોનો સામનો કરવા છતાં 42 ના પ્રથમ ક્વાર્ટરમાં એકંદરે જાહેર ક્લાઉડ માર્કેટ 2019% વધ્યું!

વાર્તાની નૈતિકતા: તમારી સલામતી તપાસો; નિયમિત ઓડિટ કરો; સુરક્ષા નીતિઓ માટે ઓછામાં ઓછા વિશેષાધિકારના સિદ્ધાંતનો આદર કરો.

(તે તમે સંપૂર્ણ કાનૂની અહેવાલ જોઈ શકો છો).

સોર્સ: www.habr.com