ລາຍລະອຽດດ້ານວິຊາການຂອງການ hack Capital One ໃນ AWS

ໃນວັນທີ 19 ກໍລະກົດ 2019, ບໍລິສັດ Capital One ໄດ້ຮັບຂໍ້ຄວາມທີ່ທຸກບໍລິສັດທັນສະໄໝຢ້ານ—ການລະເມີດຂໍ້ມູນເກີດຂຶ້ນ. ມັນໄດ້ສົ່ງຜົນກະທົບຕໍ່ປະຊາຊົນຫຼາຍກວ່າ 106 ລ້ານຄົນ. 140 ຕົວເລກປະກັນສັງຄົມຂອງສະຫະລັດ, ນຶ່ງລ້ານເລກປະກັນສັງຄົມຂອງການາດາ. 000 ບັນຊີທະນາຄານ. ບໍ່ພໍໃຈ, ເຈົ້າເຫັນດີບໍ?

ແຕ່ຫນ້າເສຍດາຍ, ການ hack ບໍ່ໄດ້ເກີດຂຶ້ນໃນວັນທີ 19 ກໍລະກົດ. ຍ້ອນວ່າມັນຫັນອອກ, Paige Thompson, a.k.a. ຜິດພາດ, ສັນຍາລະຫວ່າງວັນທີ 22 ຫາ 23 ມີນາ 2019. ນັ້ນ​ແມ່ນ ເກືອບສີ່ເດືອນກ່ອນ. ໃນຄວາມເປັນຈິງ, ມັນເປັນພຽງແຕ່ການຊ່ວຍເຫຼືອຂອງທີ່ປຶກສາພາຍນອກເທົ່ານັ້ນທີ່ Capital One ສາມາດຄົ້ນພົບວ່າບາງສິ່ງບາງຢ່າງໄດ້ເກີດຂຶ້ນ.

ອະດີດພະນັກງານ Amazon ໄດ້ຖືກຈັບ ແລະປະເຊີນກັບການປັບໃໝ 250 ໂດລາ ແລະຈໍາຄຸກ XNUMX ປີ... ແຕ່ຍັງມີຂໍ້ເສຍຫຼາຍຢ່າງທີ່ຍັງເຫຼືອຢູ່. ເປັນຫຍັງ? ເນື່ອງຈາກວ່າບໍລິສັດຈໍານວນຫຼາຍທີ່ໄດ້ຮັບຄວາມເດືອດຮ້ອນຈາກການ hack ກໍາລັງພະຍາຍາມ shrug off ຄວາມຮັບຜິດຊອບສໍາລັບການສ້າງຄວາມເຂັ້ມແຂງໂຄງລ່າງພື້ນຖານແລະຄໍາຮ້ອງສະຫມັກຂອງເຂົາເຈົ້າທ່າມກາງການເພີ່ມຂຶ້ນຂອງອາຊະຍາກໍາທາງອິນເຕີເນັດ.

ຢ່າງໃດກໍຕາມ, ທ່ານສາມາດ google ເລື່ອງນີ້ໄດ້ຢ່າງງ່າຍດາຍ. ພວກເຮົາຈະບໍ່ເຂົ້າໄປໃນລະຄອນ, ແຕ່ເວົ້າກ່ຽວກັບ ດ້ານວິຊາການ ຂ້າງຂອງເລື່ອງ.

ກ່ອນ​ອື່ນ​ຫມົດ, ສິ່ງ​ທີ່​ເກີດ​ຂຶ້ນ?

Capital One ມີປະມານ 700 ຖັງ S3 ແລ່ນ, ເຊິ່ງ Paige Thompson ໄດ້ຄັດລອກແລະ siphoned ໄປ.

ອັນທີສອງ, ນີ້ແມ່ນກໍລະນີອື່ນຂອງນະໂຍບາຍ bucket S3 ທີ່ບໍ່ຖືກຕ້ອງ?

ບໍ່, ບໍ່ແມ່ນເວລານີ້. ໃນທີ່ນີ້ນາງໄດ້ຮັບການເຂົ້າເຖິງເຄື່ອງແມ່ຂ່າຍທີ່ມີໄຟວໍທີ່ຖືກຕັ້ງຄ່າບໍ່ຖືກຕ້ອງແລະດໍາເນີນການທັງຫມົດຈາກບ່ອນນັ້ນ.

ລໍຖ້າ, ມັນເປັນໄປໄດ້ແນວໃດ?

ດີ, ໃຫ້ເລີ່ມຕົ້ນໂດຍການເຂົ້າສູ່ລະບົບເຄື່ອງແມ່ຂ່າຍ, ເຖິງແມ່ນວ່າພວກເຮົາບໍ່ມີລາຍລະອຽດຫຼາຍ. ພວກເຮົາພຽງແຕ່ຖືກບອກວ່າມັນເກີດຂຶ້ນຜ່ານ "ໄຟວໍທີ່ຖືກຕັ້ງຄ່າຜິດ." ດັ່ງນັ້ນ, ບາງສິ່ງບາງຢ່າງທີ່ງ່າຍດາຍເຊັ່ນການຕັ້ງຄ່າກຸ່ມຄວາມປອດໄພທີ່ບໍ່ຖືກຕ້ອງຫຼືການຕັ້ງຄ່າຂອງເວັບ app firewall (Imperva), ຫຼື network firewall (iptables, ufw, shorewall, ແລະອື່ນໆ). Capital One ພຽງແຕ່ຍອມຮັບຄວາມຜິດຂອງຕົນແລະກ່າວວ່າມັນໄດ້ປິດຂຸມ.

Stone ກ່າວວ່າ Capital One ບໍ່ໄດ້ສັງເກດເຫັນຈຸດອ່ອນຂອງ Firewall ແຕ່ໃນເບື້ອງຕົ້ນໄດ້ປະຕິບັດຢ່າງໄວວາເມື່ອມັນຮູ້. ນີ້ແນ່ນອນໄດ້ຮັບການຊ່ວຍໂດຍຄວາມຈິງທີ່ວ່າແຮກເກີຖືກກ່າວຫາວ່າໄດ້ປະໄວ້ຂໍ້ມູນການລະບຸຕົວຕົນທີ່ສໍາຄັນຢູ່ໃນສາທາລະນະ, Stone ກ່າວ.

ຖ້າເຈົ້າສົງໄສວ່າເປັນຫຍັງພວກເຮົາຈຶ່ງບໍ່ລົງເລິກໃນສ່ວນນີ້, ກະລຸນາເຂົ້າໃຈວ່າ ເນື່ອງຈາກຂໍ້ມູນຈຳກັດ ພວກເຮົາພຽງແຕ່ສາມາດຄາດເດົາໄດ້. ນີ້ເຮັດໃຫ້ຄວາມຮູ້ສຶກທີ່ບໍ່ມີການ hack ຂຶ້ນກັບຂຸມທີ່ປະໄວ້ໂດຍ Capital One. ແລະເວັ້ນເສຍແຕ່ວ່າພວກເຂົາບອກພວກເຮົາເພີ່ມເຕີມ, ພວກເຮົາຈະບອກວິທີການທີ່ເປັນໄປໄດ້ທັງຫມົດທີ່ Capital One ປ່ອຍໃຫ້ເຄື່ອງແມ່ຂ່າຍຂອງພວກເຂົາເປີດປະສົມປະສານກັບທຸກວິທີທີ່ເປັນໄປໄດ້ທີ່ຜູ້ໃດຜູ້ຫນຶ່ງສາມາດໃຊ້ຫນຶ່ງໃນທາງເລືອກທີ່ແຕກຕ່າງກັນເຫຼົ່ານີ້. ຂໍ້ບົກພ່ອງແລະເຕັກນິກເຫຼົ່ານີ້ສາມາດຕັ້ງແຕ່ການກວດກາທີ່ໂງ່ຈ້າໄປສູ່ຮູບແບບທີ່ສັບສົນຢ່າງບໍ່ຫນ້າເຊື່ອ. ເນື່ອງຈາກຂອບເຂດຂອງຄວາມເປັນໄປໄດ້, ນີ້ຈະກາຍເປັນ saga ຍາວທີ່ບໍ່ມີບົດສະຫຼຸບທີ່ແທ້ຈິງ. ດັ່ງນັ້ນ, ໃຫ້ພວກເຮົາສຸມໃສ່ການວິເຄາະສ່ວນທີ່ພວກເຮົາມີຂໍ້ເທັດຈິງ.

ດັ່ງນັ້ນສິ່ງທີ່ເອົາໄປທໍາອິດແມ່ນ: ຮູ້ວ່າ firewalls ຂອງທ່ານອະນຸຍາດໃຫ້.

ສ້າງນະໂຍບາຍຫຼືຂະບວນການທີ່ເຫມາະສົມເພື່ອຮັບປະກັນວ່າພຽງແຕ່ສິ່ງທີ່ຕ້ອງການເປີດແມ່ນເປີດ. ຖ້າທ່ານກໍາລັງໃຊ້ຊັບພະຍາກອນຂອງ AWS ເຊັ່ນກຸ່ມຄວາມປອດໄພຫຼື ACLs ເຄືອຂ່າຍ, ແນ່ນອນ, ບັນຊີລາຍການກວດສອບການກວດສອບສາມາດຍາວ ... ແຕ່ຄືກັບວ່າຊັບພະຍາກອນຈໍານວນຫຼາຍຖືກສ້າງຂື້ນໂດຍອັດຕະໂນມັດ (i.e. CloudFormation), ມັນກໍ່ເປັນໄປໄດ້ທີ່ຈະເຮັດໃຫ້ການກວດສອບຂອງພວກເຂົາອັດຕະໂນມັດ. ບໍ່ວ່າຈະເປັນ script homemade ທີ່ສະແກນວັດຖຸໃຫມ່ສໍາລັບຂໍ້ບົກພ່ອງ, ຫຼືບາງສິ່ງບາງຢ່າງເຊັ່ນ: ການກວດສອບຄວາມປອດໄພໃນຂະບວນການ CI / CD ... ມີຫຼາຍທາງເລືອກທີ່ງ່າຍເພື່ອຫຼີກເວັ້ນການນີ້.

ສ່ວນ "ຕະຫລົກ" ຂອງເລື່ອງແມ່ນຖ້າຫາກວ່າ Capital One ໄດ້ສຽບຂຸມໃນຄັ້ງທໍາອິດ ... ບໍ່ມີຫຍັງເກີດຂຶ້ນ. ແລະດັ່ງນັ້ນ, ກົງໄປກົງມາ, ມັນສະເຫມີຕົກໃຈທີ່ຈະເບິ່ງວ່າມີບາງສິ່ງບາງຢ່າງແທ້ໆ ງ່າຍດາຍ pretty ກາຍເປັນເຫດຜົນດຽວທີ່ບໍລິສັດຖືກແຮັກ. ໂດຍສະເພາະຫນຶ່ງຂະຫນາດໃຫຍ່ເທົ່າກັບ Capital One.

ດັ່ງນັ້ນ, ແຮກເກີພາຍໃນ - ສິ່ງທີ່ເກີດຂຶ້ນຕໍ່ໄປ?

ແລ້ວ, ຫຼັງຈາກ breaking ເຂົ້າໄປໃນ EC2 ຕົວຢ່າງ ... ຫຼາຍສາມາດຜິດພາດ. ເຈົ້າກຳລັງຍ່າງຕາມແຄມມີດ ຖ້າເຈົ້າປ່ອຍໃຫ້ຜູ້ໃດຜູ້ໜຶ່ງໄປໄກ. ແຕ່ມັນເຂົ້າໄປໃນຖັງ S3 ໄດ້ແນວໃດ? ເພື່ອເຂົ້າໃຈເລື່ອງນີ້, ໃຫ້ພວກເຮົາປຶກສາຫາລືກ່ຽວກັບບົດບາດ IAM.

ດັ່ງນັ້ນ, ວິທີຫນຶ່ງທີ່ຈະເຂົ້າເຖິງການບໍລິການ AWS ແມ່ນການເປັນຜູ້ໃຊ້. ຕົກລົງ, ອັນນີ້ແມ່ນເຫັນໄດ້ຊັດເຈນ. ແຕ່ແນວໃດຖ້າທ່ານຕ້ອງການໃຫ້ບໍລິການ AWS ອື່ນໆ, ເຊັ່ນເຄື່ອງແມ່ຂ່າຍແອັບພລິເຄຊັນ, ການເຂົ້າເຖິງຖັງ S3 ຂອງທ່ານ? ນັ້ນແມ່ນສິ່ງທີ່ບົດບາດ IAM ແມ່ນສໍາລັບ. ພວກ​ເຂົາ​ເຈົ້າ​ປະ​ກອບ​ດ້ວຍ​ສອງ​ອົງ​ປະ​ກອບ​:

1. ນະໂຍບາຍຄວາມໄວ້ວາງໃຈ - ບໍລິການໃດແດ່ ຫຼືປະຊາຊົນສາມາດໃຊ້ບົດບາດນີ້ໄດ້?
2. ນະໂຍບາຍການອະນຸຍາດ - ບົດບາດນີ້ອະນຸຍາດໃຫ້ຫຍັງແດ່?

ຕົວຢ່າງ, ທ່ານຕ້ອງການສ້າງບົດບາດ IAM ທີ່ຈະອະນຸຍາດໃຫ້ EC2 instances ເຂົ້າເຖິງ bucket S3: ທໍາອິດ, ພາລະບົດບາດຖືກກໍານົດໃຫ້ມີນະໂຍບາຍຄວາມໄວ້ວາງໃຈທີ່ EC2 (ການບໍລິການທັງຫມົດ) ຫຼືຕົວຢ່າງສະເພາະສາມາດ "ຄອບຄອງ" ພາລະບົດບາດ. ການຍອມຮັບບົດບາດຫມາຍຄວາມວ່າພວກເຂົາສາມາດນໍາໃຊ້ການອະນຸຍາດຂອງພາລະບົດບາດເພື່ອປະຕິບັດການກະທໍາ. ອັນທີສອງ, ນະໂຍບາຍການອະນຸຍາດອະນຸຍາດໃຫ້ບໍລິການ / ຄົນ / ຊັບພະຍາກອນທີ່ "ປະຕິບັດບົດບາດ" ເຮັດຫຍັງໃນ S3, ບໍ່ວ່າຈະເປັນການເຂົ້າເຖິງຖັງສະເພາະ ... ຫຼືຫຼາຍກວ່າ 700, ເຊັ່ນດຽວກັບ Capital One.

ເມື່ອທ່ານຢູ່ໃນຕົວຢ່າງ EC2 ກັບບົດບາດ IAM, ທ່ານສາມາດໄດ້ຮັບຂໍ້ມູນປະຈໍາຕົວໃນຫຼາຍວິທີ:

1. ທ່ານສາມາດຮ້ອງຂໍ metadata ຕົວຢ່າງໄດ້ທີ່ http://169.254.169.254/latest/meta-data

   ໃນບັນດາສິ່ງອື່ນໆ, ທ່ານສາມາດຊອກຫາບົດບາດ IAM ດ້ວຍກະແຈການເຂົ້າເຖິງໃດໆຢູ່ໃນທີ່ຢູ່ນີ້. ແນ່ນອນ, ພຽງແຕ່ຖ້າທ່ານຢູ່ໃນຕົວຢ່າງ.

2. ໃຊ້ AWS CLI...

   ຖ້າ AWS CLI ຖືກຕິດຕັ້ງ, ມັນຖືກໂຫລດດ້ວຍຂໍ້ມູນປະຈໍາຕົວຈາກບົດບາດ IAM, ຖ້າມີ. ສິ່ງທີ່ຍັງເຫຼືອແມ່ນເຮັດວຽກຜ່ານຕົວຢ່າງ. ແນ່ນອນ, ຖ້ານະໂຍບາຍຄວາມໄວ້ວາງໃຈຂອງພວກເຂົາເປີດ, Paige ສາມາດເຮັດທຸກຢ່າງໂດຍກົງ.

ດັ່ງນັ້ນຄວາມສໍາຄັນຂອງບົດບາດ IAM ແມ່ນວ່າພວກເຂົາອະນຸຍາດໃຫ້ຊັບພະຍາກອນບາງຢ່າງປະຕິບັດແທນເຈົ້າໃນຊັບພະຍາກອນອື່ນໆ.

ໃນປັດຈຸບັນທີ່ທ່ານເຂົ້າໃຈບົດບາດຂອງ IAM, ພວກເຮົາສາມາດເວົ້າກ່ຽວກັບສິ່ງທີ່ Paige Thompson ໄດ້ເຮັດ:

1. ນາງໄດ້ຮັບການເຂົ້າເຖິງເຄື່ອງແມ່ຂ່າຍ (EC2 instance) ຜ່ານຂຸມໃນ firewall

   ບໍ່ວ່າຈະເປັນກຸ່ມຄວາມປອດໄພ / ACLs ຫຼື firewalls ຄໍາຮ້ອງສະຫມັກເວັບໄຊຕ໌ຂອງຕົນເອງ, ຂຸມແມ່ນອາດຈະຂ້ອນຂ້າງງ່າຍທີ່ຈະສຽບ, ດັ່ງທີ່ໄດ້ກ່າວໄວ້ໃນບັນທຶກຢ່າງເປັນທາງການ.

2. ເມື່ອຢູ່ໃນເຄື່ອງແມ່ຂ່າຍ, ນາງສາມາດປະຕິບັດ "ຄືກັບວ່າ" ນາງເປັນເຄື່ອງແມ່ຂ່າຍຂອງຕົນເອງ
3. ເນື່ອງຈາກບົດບາດຂອງເຊີບເວີ IAM ໄດ້ອະນຸຍາດໃຫ້ S3 ເຂົ້າເຖິງ 700+ buckets ເຫຼົ່ານີ້, ມັນຈຶ່ງສາມາດເຂົ້າຫາພວກມັນໄດ້.

ຕັ້ງແຕ່ເວລານັ້ນມາ, ທັງຫມົດທີ່ນາງຕ້ອງເຮັດແມ່ນດໍາເນີນການຄໍາສັ່ງ List Bucketsແລະຫຼັງຈາກນັ້ນຄໍາສັ່ງ Sync ຈາກ AWS CLI...

ທະນາຄານ Capital One ຄາດຄະເນຄວາມເສຍຫາຍຈາກການ hack ຢູ່ທີ່ລະຫວ່າງ $100 ຫາ $150 ລ້ານ. ການປ້ອງກັນຄວາມເສຍຫາຍດັ່ງກ່າວເປັນເຫດຜົນທີ່ບໍລິສັດລົງທຶນຫຼາຍໃນການປົກປ້ອງໂຄງສ້າງພື້ນຖານຂອງຄລາວ, DevOps, ແລະຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພ. ແລະວິທີການທີ່ມີຄ່າແລະປະຫຍັດຄ່າໃຊ້ຈ່າຍແມ່ນການເຄື່ອນຍ້າຍໄປສູ່ຄລາວ? ຫຼາຍດັ່ງນັ້ນເຖິງແມ່ນວ່າຢູ່ໃນການປະເຊີນຫນ້າກັບສິ່ງທ້າທາຍດ້ານຄວາມປອດໄພ cyber ຫຼາຍຂຶ້ນ ຕະຫຼາດເມຄສາທາລະນະໂດຍລວມເພີ່ມຂຶ້ນ 42% ໃນໄຕມາດທໍາອິດຂອງປີ 2019!

ສົມບັດສິນຂອງເລື່ອງ: ກວດເບິ່ງຄວາມປອດໄພຂອງເຈົ້າ; ດໍາເນີນການກວດສອບປົກກະຕິ; ເຄົາລົບຫຼັກການສິດທິພິເສດຫນ້ອຍທີ່ສຸດສໍາລັບນະໂຍບາຍຄວາມປອດໄພ.

(ມັນເປັນ ທ່ານສາມາດເບິ່ງບົດລາຍງານທາງດ້ານກົດຫມາຍສະບັບເຕັມ).

ແຫຼ່ງຂໍ້ມູນ: www.habr.com