AWS 'ਤੇ ਕੈਪੀਟਲ ਵਨ ਹੈਕ ਦੇ ਤਕਨੀਕੀ ਵੇਰਵੇ

19 ਜੁਲਾਈ, 2019 ਨੂੰ, ਕੈਪੀਟਲ ਵਨ ਨੂੰ ਸੁਨੇਹਾ ਪ੍ਰਾਪਤ ਹੋਇਆ ਕਿ ਹਰ ਆਧੁਨਿਕ ਕੰਪਨੀ ਡਰਦੀ ਹੈ — ਇੱਕ ਡਾਟਾ ਉਲੰਘਣਾ ਹੋਈ ਹੈ। ਇਸ ਨੇ 106 ਮਿਲੀਅਨ ਤੋਂ ਵੱਧ ਲੋਕ ਪ੍ਰਭਾਵਿਤ ਕੀਤੇ। 140 ਅਮਰੀਕੀ ਸਮਾਜਿਕ ਸੁਰੱਖਿਆ ਨੰਬਰ, 000 ਲੱਖ ਕੈਨੇਡੀਅਨ ਸਮਾਜਿਕ ਸੁਰੱਖਿਆ ਨੰਬਰ। 80 ਬੈਂਕ ਖਾਤੇ। ਖੁਸ਼ਗਵਾਰ, ਕੀ ਤੁਸੀਂ ਸਹਿਮਤ ਨਹੀਂ ਹੋ?

ਬਦਕਿਸਮਤੀ ਨਾਲ, ਹੈਕ 19 ਜੁਲਾਈ ਨੂੰ ਨਹੀਂ ਹੋਇਆ। ਜਿਵੇਂ ਕਿ ਇਹ ਪਤਾ ਚਲਦਾ ਹੈ, ਪੇਜ ਥੌਮਸਨ, ਉਰਫ. ਅਸਥਿਰਨੇ ਇਸ ਨੂੰ 22 ਮਾਰਚ ਤੋਂ 23 ਮਾਰਚ, 2019 ਦੇ ਵਿਚਕਾਰ ਕੀਤਾ। ਜੋ ਕਿ ਹੈ ਲਗਭਗ ਚਾਰ ਮਹੀਨੇ ਪਹਿਲਾਂ. ਵਾਸਤਵ ਵਿੱਚ, ਇਹ ਸਿਰਫ ਬਾਹਰੀ ਸਲਾਹਕਾਰਾਂ ਦੀ ਮਦਦ ਨਾਲ ਹੀ ਸੀ ਕਿ ਕੈਪੀਟਲ ਵਨ ਇਹ ਪਤਾ ਲਗਾਉਣ ਦੇ ਯੋਗ ਸੀ ਕਿ ਕੁਝ ਹੋਇਆ ਸੀ।

ਇੱਕ ਸਾਬਕਾ ਐਮਾਜ਼ਾਨ ਕਰਮਚਾਰੀ ਨੂੰ ਗ੍ਰਿਫਤਾਰ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ ਉਸਨੂੰ $ 250 ਜੁਰਮਾਨਾ ਅਤੇ ਪੰਜ ਸਾਲ ਦੀ ਕੈਦ ਦਾ ਸਾਹਮਣਾ ਕਰਨਾ ਪਿਆ... ਪਰ ਅਜੇ ਵੀ ਬਹੁਤ ਸਾਰੀ ਨਕਾਰਾਤਮਕਤਾ ਬਾਕੀ ਹੈ। ਕਿਉਂ? ਕਿਉਂਕਿ ਬਹੁਤ ਸਾਰੀਆਂ ਕੰਪਨੀਆਂ ਜੋ ਹੈਕ ਤੋਂ ਪੀੜਤ ਹਨ, ਸਾਈਬਰ ਕ੍ਰਾਈਮ ਵਿੱਚ ਵਾਧੇ ਦੇ ਦੌਰਾਨ ਆਪਣੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਮਜ਼ਬੂਤ ​​​​ਕਰਨ ਦੀ ਜ਼ਿੰਮੇਵਾਰੀ ਤੋਂ ਪਿੱਛੇ ਹਟਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਰਹੀਆਂ ਹਨ।

ਵੈਸੇ ਵੀ, ਤੁਸੀਂ ਇਸ ਕਹਾਣੀ ਨੂੰ ਆਸਾਨੀ ਨਾਲ ਗੂਗਲ ਕਰ ਸਕਦੇ ਹੋ। ਅਸੀਂ ਡਰਾਮੇ ਵਿੱਚ ਨਹੀਂ ਜਾਵਾਂਗੇ, ਪਰ ਗੱਲ ਕਰਾਂਗੇ ਤਕਨੀਕੀ ਮਾਮਲੇ ਦਾ ਪੱਖ.

ਸਭ ਤੋਂ ਪਹਿਲਾਂ, ਕੀ ਹੋਇਆ?

ਕੈਪੀਟਲ ਵਨ ਕੋਲ ਲਗਭਗ 700 S3 ਬਾਲਟੀਆਂ ਚੱਲ ਰਹੀਆਂ ਸਨ, ਜਿਨ੍ਹਾਂ ਨੂੰ ਪੇਜ ਥਾਮਸਨ ਨੇ ਕਾਪੀ ਕੀਤਾ ਅਤੇ ਬੰਦ ਕਰ ਦਿੱਤਾ।

ਦੂਜਾ, ਕੀ ਇਹ ਗਲਤ ਸੰਰਚਿਤ S3 ਬਾਲਟੀ ਨੀਤੀ ਦਾ ਇੱਕ ਹੋਰ ਮਾਮਲਾ ਹੈ?

ਨਹੀਂ, ਇਸ ਵਾਰ ਨਹੀਂ। ਇੱਥੇ ਉਸਨੇ ਇੱਕ ਗਲਤ ਤਰੀਕੇ ਨਾਲ ਸੰਰਚਿਤ ਫਾਇਰਵਾਲ ਦੇ ਨਾਲ ਇੱਕ ਸਰਵਰ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕੀਤੀ ਅਤੇ ਉੱਥੋਂ ਸਾਰੀ ਕਾਰਵਾਈ ਕੀਤੀ।

ਉਡੀਕ ਕਰੋ, ਇਹ ਕਿਵੇਂ ਸੰਭਵ ਹੈ?

ਖੈਰ, ਆਓ ਸਰਵਰ ਵਿੱਚ ਲੌਗਇਨ ਕਰਕੇ ਸ਼ੁਰੂਆਤ ਕਰੀਏ, ਹਾਲਾਂਕਿ ਸਾਡੇ ਕੋਲ ਬਹੁਤ ਸਾਰੇ ਵੇਰਵੇ ਨਹੀਂ ਹਨ। ਸਾਨੂੰ ਸਿਰਫ ਦੱਸਿਆ ਗਿਆ ਸੀ ਕਿ ਇਹ ਇੱਕ "ਗਲਤ ਸੰਰਚਨਾ ਕੀਤੀ ਫਾਇਰਵਾਲ" ਦੁਆਰਾ ਹੋਇਆ ਹੈ। ਇਸ ਲਈ, ਗਲਤ ਸੁਰੱਖਿਆ ਸਮੂਹ ਸੈਟਿੰਗਾਂ ਜਾਂ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਫਾਇਰਵਾਲ (ਇਮਪਰਵਾ), ਜਾਂ ਨੈੱਟਵਰਕ ਫਾਇਰਵਾਲ (iptables, ufw, shorewall, ਆਦਿ) ਦੀ ਸੰਰਚਨਾ ਜਿੰਨੀ ਸਧਾਰਨ ਚੀਜ਼। ਕੈਪੀਟਲ ਵਨ ਨੇ ਸਿਰਫ ਆਪਣਾ ਦੋਸ਼ ਸਵੀਕਾਰ ਕੀਤਾ ਅਤੇ ਕਿਹਾ ਕਿ ਇਸ ਨੇ ਮੋਰੀ ਨੂੰ ਬੰਦ ਕਰ ਦਿੱਤਾ ਹੈ।

ਸਟੋਨ ਨੇ ਕਿਹਾ ਕਿ ਕੈਪੀਟਲ ਵਨ ਨੇ ਸ਼ੁਰੂ ਵਿੱਚ ਫਾਇਰਵਾਲ ਦੀ ਕਮਜ਼ੋਰੀ ਵੱਲ ਧਿਆਨ ਨਹੀਂ ਦਿੱਤਾ ਪਰ ਇੱਕ ਵਾਰ ਇਸ ਬਾਰੇ ਪਤਾ ਲੱਗਣ 'ਤੇ ਤੁਰੰਤ ਕਾਰਵਾਈ ਕੀਤੀ। ਇਹ ਯਕੀਨੀ ਤੌਰ 'ਤੇ ਇਸ ਤੱਥ ਦੁਆਰਾ ਮਦਦ ਕੀਤੀ ਗਈ ਸੀ ਕਿ ਹੈਕਰ ਨੇ ਕਥਿਤ ਤੌਰ 'ਤੇ ਜਨਤਕ ਡੋਮੇਨ ਵਿੱਚ ਮੁੱਖ ਪਛਾਣ ਜਾਣਕਾਰੀ ਛੱਡ ਦਿੱਤੀ ਸੀ, ਸਟੋਨ ਨੇ ਕਿਹਾ.

ਜੇਕਰ ਤੁਸੀਂ ਸੋਚ ਰਹੇ ਹੋ ਕਿ ਅਸੀਂ ਇਸ ਹਿੱਸੇ ਵਿੱਚ ਡੂੰਘਾਈ ਵਿੱਚ ਕਿਉਂ ਨਹੀਂ ਜਾ ਰਹੇ ਹਾਂ, ਤਾਂ ਕਿਰਪਾ ਕਰਕੇ ਸਮਝੋ ਕਿ ਸੀਮਤ ਜਾਣਕਾਰੀ ਦੇ ਕਾਰਨ ਅਸੀਂ ਸਿਰਫ ਅੰਦਾਜ਼ਾ ਲਗਾ ਸਕਦੇ ਹਾਂ। ਇਸ ਦਾ ਕੋਈ ਮਤਲਬ ਨਹੀਂ ਬਣਦਾ ਕਿ ਹੈਕ ਕੈਪੀਟਲ ਵਨ ਦੁਆਰਾ ਛੱਡੇ ਗਏ ਇੱਕ ਮੋਰੀ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ। ਅਤੇ ਜਦੋਂ ਤੱਕ ਉਹ ਸਾਨੂੰ ਹੋਰ ਨਹੀਂ ਦੱਸਦੇ, ਅਸੀਂ ਸਿਰਫ਼ ਉਹਨਾਂ ਸਾਰੇ ਸੰਭਾਵੀ ਤਰੀਕਿਆਂ ਦੀ ਸੂਚੀ ਬਣਾਵਾਂਗੇ ਜੋ ਕੈਪੀਟਲ ਵਨ ਨੇ ਉਹਨਾਂ ਦੇ ਸਰਵਰ ਨੂੰ ਉਹਨਾਂ ਸਾਰੇ ਸੰਭਾਵੀ ਤਰੀਕਿਆਂ ਦੇ ਨਾਲ ਸੁਮੇਲ ਵਿੱਚ ਖੁੱਲ੍ਹਾ ਛੱਡ ਦਿੱਤਾ ਹੈ ਜਿਹਨਾਂ ਨਾਲ ਕੋਈ ਇਹਨਾਂ ਵੱਖ-ਵੱਖ ਵਿਕਲਪਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦਾ ਹੈ। ਇਹ ਖਾਮੀਆਂ ਅਤੇ ਤਕਨੀਕਾਂ ਜੰਗਲੀ ਮੂਰਖ ਨਜ਼ਰਾਂ ਤੋਂ ਲੈ ਕੇ ਅਵਿਸ਼ਵਾਸ਼ਯੋਗ ਗੁੰਝਲਦਾਰ ਪੈਟਰਨਾਂ ਤੱਕ ਹੋ ਸਕਦੀਆਂ ਹਨ। ਸੰਭਾਵਨਾਵਾਂ ਦੀ ਸੀਮਾ ਦੇ ਮੱਦੇਨਜ਼ਰ, ਇਹ ਇੱਕ ਲੰਮੀ ਗਾਥਾ ਬਣ ਜਾਵੇਗੀ ਜਿਸਦਾ ਕੋਈ ਅਸਲ ਸਿੱਟਾ ਨਹੀਂ ਹੋਵੇਗਾ। ਇਸ ਲਈ, ਆਓ ਉਸ ਹਿੱਸੇ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ 'ਤੇ ਧਿਆਨ ਦੇਈਏ ਜਿੱਥੇ ਸਾਡੇ ਕੋਲ ਤੱਥ ਹਨ।

ਇਸ ਲਈ ਪਹਿਲਾ ਕਦਮ ਹੈ: ਜਾਣੋ ਕਿ ਤੁਹਾਡੀਆਂ ਫਾਇਰਵਾਲ ਕੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀਆਂ ਹਨ।

ਇਹ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਇੱਕ ਨੀਤੀ ਜਾਂ ਸਹੀ ਪ੍ਰਕਿਰਿਆ ਸਥਾਪਤ ਕਰੋ ਕਿ ਸਿਰਫ਼ ਉਹੀ ਖੋਲ੍ਹਿਆ ਜਾਵੇ ਜੋ ਖੋਲ੍ਹਣ ਦੀ ਲੋੜ ਹੈ। ਜੇਕਰ ਤੁਸੀਂ ਸੁਰੱਖਿਆ ਸਮੂਹਾਂ ਜਾਂ ਨੈੱਟਵਰਕ ACLs ਵਰਗੇ AWS ਸਰੋਤਾਂ ਦੀ ਵਰਤੋਂ ਕਰ ਰਹੇ ਹੋ, ਤਾਂ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਆਡਿਟ ਲਈ ਚੈਕਲਿਸਟ ਲੰਮੀ ਹੋ ਸਕਦੀ ਹੈ... ਪਰ ਜਿਸ ਤਰ੍ਹਾਂ ਬਹੁਤ ਸਾਰੇ ਸਰੋਤ ਸਵੈਚਲਿਤ ਤੌਰ 'ਤੇ ਬਣਾਏ ਜਾਂਦੇ ਹਨ (ਜਿਵੇਂ ਕਿ CloudFormation), ਉਹਨਾਂ ਦੀ ਆਡਿਟਿੰਗ ਨੂੰ ਸਵੈਚਲਿਤ ਕਰਨਾ ਵੀ ਸੰਭਵ ਹੈ। ਭਾਵੇਂ ਇਹ ਘਰੇਲੂ ਸਕ੍ਰਿਪਟ ਹੈ ਜੋ ਖਾਮੀਆਂ ਲਈ ਨਵੀਆਂ ਵਸਤੂਆਂ ਨੂੰ ਸਕੈਨ ਕਰਦੀ ਹੈ, ਜਾਂ CI/CD ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਸੁਰੱਖਿਆ ਆਡਿਟ ਵਰਗੀ ਕੋਈ ਚੀਜ਼... ਇਸ ਤੋਂ ਬਚਣ ਲਈ ਬਹੁਤ ਸਾਰੇ ਆਸਾਨ ਵਿਕਲਪ ਹਨ।

ਕਹਾਣੀ ਦਾ "ਮਜ਼ਾਕੀਆ" ਹਿੱਸਾ ਇਹ ਹੈ ਕਿ ਜੇ ਕੈਪੀਟਲ ਵਨ ਨੇ ਪਹਿਲੇ ਸਥਾਨ 'ਤੇ ਮੋਰੀ ਨੂੰ ਪਲੱਗ ਕੀਤਾ ਹੁੰਦਾ ... ਕੁਝ ਨਹੀਂ ਹੁੰਦਾ. ਅਤੇ ਇਸ ਲਈ, ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ, ਇਹ ਦੇਖਣਾ ਹਮੇਸ਼ਾ ਹੈਰਾਨ ਕਰਨ ਵਾਲਾ ਹੁੰਦਾ ਹੈ ਕਿ ਅਸਲ ਵਿੱਚ ਕੁਝ ਕਿਵੇਂ ਹੈ ਬਹੁਤ ਸਧਾਰਨ ਕੰਪਨੀ ਦੇ ਹੈਕ ਹੋਣ ਦਾ ਇੱਕੋ ਇੱਕ ਕਾਰਨ ਬਣ ਜਾਂਦਾ ਹੈ। ਖਾਸ ਕਰਕੇ ਕੈਪੀਟਲ ਵਨ ਜਿੰਨਾ ਵੱਡਾ।

ਇਸ ਲਈ, ਅੰਦਰ ਹੈਕਰ - ਅੱਗੇ ਕੀ ਹੋਇਆ?

ਖੈਰ, ਇੱਕ EC2 ਉਦਾਹਰਣ ਨੂੰ ਤੋੜਨ ਤੋਂ ਬਾਅਦ... ਬਹੁਤ ਕੁਝ ਗਲਤ ਹੋ ਸਕਦਾ ਹੈ। ਜੇਕਰ ਤੁਸੀਂ ਕਿਸੇ ਨੂੰ ਇੰਨੀ ਦੂਰ ਜਾਣ ਦਿੰਦੇ ਹੋ ਤਾਂ ਤੁਸੀਂ ਅਮਲੀ ਤੌਰ 'ਤੇ ਚਾਕੂ ਦੇ ਧਾਰ 'ਤੇ ਚੱਲ ਰਹੇ ਹੋ। ਪਰ ਇਹ S3 ਬਾਲਟੀਆਂ ਵਿੱਚ ਕਿਵੇਂ ਆਇਆ? ਇਸ ਨੂੰ ਸਮਝਣ ਲਈ, ਆਓ IAM ਰੋਲ ਦੀ ਚਰਚਾ ਕਰੀਏ।

ਇਸ ਲਈ, AWS ਸੇਵਾਵਾਂ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਦਾ ਇੱਕ ਤਰੀਕਾ ਹੈ ਉਪਭੋਗਤਾ ਹੋਣਾ। ਠੀਕ ਹੈ, ਇਹ ਇੱਕ ਬਹੁਤ ਸਪੱਸ਼ਟ ਹੈ. ਪਰ ਜੇ ਤੁਸੀਂ ਹੋਰ AWS ਸੇਵਾਵਾਂ ਦੇਣਾ ਚਾਹੁੰਦੇ ਹੋ, ਜਿਵੇਂ ਕਿ ਤੁਹਾਡੇ ਐਪਲੀਕੇਸ਼ਨ ਸਰਵਰ, ਤੁਹਾਡੀ S3 ਬਾਲਟੀਆਂ ਤੱਕ ਪਹੁੰਚ? IAM ਦੀਆਂ ਭੂਮਿਕਾਵਾਂ ਇਸ ਲਈ ਹਨ। ਉਹ ਦੋ ਭਾਗਾਂ ਦੇ ਬਣੇ ਹੁੰਦੇ ਹਨ:

1. ਟਰੱਸਟ ਨੀਤੀ - ਕਿਹੜੀਆਂ ਸੇਵਾਵਾਂ ਜਾਂ ਲੋਕ ਇਸ ਭੂਮਿਕਾ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹਨ?
2. ਅਨੁਮਤੀਆਂ ਨੀਤੀ - ਇਹ ਭੂਮਿਕਾ ਕਿਸ ਚੀਜ਼ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ?

ਉਦਾਹਰਨ ਲਈ, ਤੁਸੀਂ ਇੱਕ IAM ਰੋਲ ਬਣਾਉਣਾ ਚਾਹੁੰਦੇ ਹੋ ਜੋ EC2 ਉਦਾਹਰਨਾਂ ਨੂੰ ਇੱਕ S3 ਬਾਲਟੀ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦੇਵੇਗੀ: ਪਹਿਲਾਂ, ਭੂਮਿਕਾ ਨੂੰ ਇੱਕ ਟਰੱਸਟ ਪਾਲਿਸੀ ਲਈ ਸੈੱਟ ਕੀਤਾ ਗਿਆ ਹੈ ਜੋ EC2 (ਪੂਰੀ ਸੇਵਾ) ਜਾਂ ਖਾਸ ਉਦਾਹਰਨਾਂ ਭੂਮਿਕਾ ਨੂੰ "ਹਾਸਲ" ਕਰ ਸਕਦੀਆਂ ਹਨ। ਭੂਮਿਕਾ ਨੂੰ ਸਵੀਕਾਰ ਕਰਨ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਉਹ ਕਾਰਵਾਈਆਂ ਕਰਨ ਲਈ ਭੂਮਿਕਾ ਦੀਆਂ ਇਜਾਜ਼ਤਾਂ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹਨ। ਦੂਜਾ, ਅਨੁਮਤੀਆਂ ਨੀਤੀ ਸੇਵਾ/ਵਿਅਕਤੀ/ਸਰੋਤ ਨੂੰ S3 'ਤੇ ਕੁਝ ਵੀ ਕਰਨ ਦੀ "ਭੂਮਿਕਾ ਨਿਭਾਈ" ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ, ਭਾਵੇਂ ਇਹ ਇੱਕ ਖਾਸ ਬਾਲਟੀ ਤੱਕ ਪਹੁੰਚ ਹੋਵੇ... ਜਾਂ 700 ਤੋਂ ਵੱਧ, ਜਿਵੇਂ ਕਿ ਕੈਪੀਟਲ ਵਨ ਦੇ ਮਾਮਲੇ ਵਿੱਚ।

ਇੱਕ ਵਾਰ ਜਦੋਂ ਤੁਸੀਂ IAM ਭੂਮਿਕਾ ਦੇ ਨਾਲ ਇੱਕ EC2 ਉਦਾਹਰਨ ਵਿੱਚ ਹੋ, ਤਾਂ ਤੁਸੀਂ ਕਈ ਤਰੀਕਿਆਂ ਨਾਲ ਪ੍ਰਮਾਣ ਪੱਤਰ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦੇ ਹੋ:

1. ਤੁਸੀਂ 'ਤੇ ਇੰਸਟੈਂਸ ਮੈਟਾਡੇਟਾ ਲਈ ਬੇਨਤੀ ਕਰ ਸਕਦੇ ਹੋ http://169.254.169.254/latest/meta-data

   ਹੋਰ ਚੀਜ਼ਾਂ ਦੇ ਨਾਲ, ਤੁਸੀਂ ਇਸ ਪਤੇ 'ਤੇ ਕਿਸੇ ਵੀ ਐਕਸੈਸ ਕੁੰਜੀਆਂ ਨਾਲ IAM ਰੋਲ ਲੱਭ ਸਕਦੇ ਹੋ। ਬੇਸ਼ੱਕ, ਕੇਵਲ ਤਾਂ ਹੀ ਜੇਕਰ ਤੁਸੀਂ ਇੱਕ ਉਦਾਹਰਣ ਵਿੱਚ ਹੋ।

2. AWS CLI ਵਰਤੋ...

   ਜੇਕਰ AWS CLI ਇੰਸਟਾਲ ਹੈ, ਤਾਂ ਇਹ IAM ਰੋਲ ਤੋਂ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨਾਲ ਲੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜੇਕਰ ਮੌਜੂਦ ਹੈ। ਜੋ ਕੁਝ ਬਚਿਆ ਹੈ ਉਹ ਉਦਾਹਰਣ ਦੁਆਰਾ ਕੰਮ ਕਰਨਾ ਹੈ. ਬੇਸ਼ੱਕ, ਜੇਕਰ ਉਨ੍ਹਾਂ ਦੀ ਟਰੱਸਟ ਨੀਤੀ ਖੁੱਲ੍ਹੀ ਸੀ, ਤਾਂ ਪੇਜ ਸਿੱਧੇ ਤੌਰ 'ਤੇ ਸਭ ਕੁਝ ਕਰ ਸਕਦਾ ਸੀ।

ਇਸ ਲਈ IAM ਭੂਮਿਕਾਵਾਂ ਦਾ ਸਾਰ ਇਹ ਹੈ ਕਿ ਉਹ ਕੁਝ ਸਰੋਤਾਂ ਨੂੰ ਹੋਰ ਸਰੋਤਾਂ 'ਤੇ ਤੁਹਾਡੀ ਤਰਫੋਂ ਕੰਮ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੇ ਹਨ।

ਹੁਣ ਜਦੋਂ ਤੁਸੀਂ IAM ਦੀਆਂ ਭੂਮਿਕਾਵਾਂ ਨੂੰ ਸਮਝਦੇ ਹੋ, ਅਸੀਂ ਇਸ ਬਾਰੇ ਗੱਲ ਕਰ ਸਕਦੇ ਹਾਂ ਕਿ ਪੇਜ ਥੌਮਸਨ ਨੇ ਕੀ ਕੀਤਾ:

1. ਉਸਨੇ ਫਾਇਰਵਾਲ ਵਿੱਚ ਇੱਕ ਮੋਰੀ ਦੁਆਰਾ ਸਰਵਰ (EC2 ਉਦਾਹਰਣ) ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕੀਤੀ

   ਭਾਵੇਂ ਇਹ ਸੁਰੱਖਿਆ ਸਮੂਹ/ACL ਜਾਂ ਉਹਨਾਂ ਦੇ ਆਪਣੇ ਵੈਬ ਐਪਲੀਕੇਸ਼ਨ ਫਾਇਰਵਾਲ ਸਨ, ਮੋਰੀ ਸ਼ਾਇਦ ਪਲੱਗ ਕਰਨ ਲਈ ਕਾਫ਼ੀ ਆਸਾਨ ਸੀ, ਜਿਵੇਂ ਕਿ ਅਧਿਕਾਰਤ ਰਿਕਾਰਡਾਂ ਵਿੱਚ ਦੱਸਿਆ ਗਿਆ ਹੈ।

2. ਇੱਕ ਵਾਰ ਸਰਵਰ 'ਤੇ, ਉਹ "ਜਿਵੇਂ" ਕੰਮ ਕਰਨ ਦੇ ਯੋਗ ਸੀ ਜਿਵੇਂ ਕਿ ਉਹ ਖੁਦ ਸਰਵਰ ਸੀ
3. ਕਿਉਂਕਿ IAM ਸਰਵਰ ਰੋਲ S3 ਨੂੰ ਇਹਨਾਂ 700+ ਬਾਲਟੀਆਂ ਤੱਕ ਪਹੁੰਚ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਇਹ ਉਹਨਾਂ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਦੇ ਯੋਗ ਸੀ

ਉਸ ਪਲ ਤੋਂ, ਉਸ ਨੂੰ ਬੱਸ ਕਮਾਂਡ ਚਲਾਉਣੀ ਸੀ List Bucketsਅਤੇ ਫਿਰ ਹੁਕਮ Sync AWS CLI ਤੋਂ...

ਕੈਪੀਟਲ ਵਨ ਬੈਂਕ ਨੇ ਹੈਕ ਤੋਂ ਹੋਣ ਵਾਲੇ ਨੁਕਸਾਨ ਦਾ ਅੰਦਾਜ਼ਾ $100 ਅਤੇ $150 ਮਿਲੀਅਨ ਦੇ ਵਿਚਕਾਰ ਹੈ।. ਅਜਿਹੇ ਨੁਕਸਾਨ ਨੂੰ ਰੋਕਣ ਲਈ ਕੰਪਨੀਆਂ ਕਲਾਉਡ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੀ ਸੁਰੱਖਿਆ, DevOps, ਅਤੇ ਸੁਰੱਖਿਆ ਮਾਹਰਾਂ ਵਿੱਚ ਇੰਨਾ ਜ਼ਿਆਦਾ ਨਿਵੇਸ਼ ਕਿਉਂ ਕਰਦੀਆਂ ਹਨ। ਅਤੇ ਕਿੰਨੀ ਕੀਮਤੀ ਅਤੇ ਲਾਗਤ-ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਕਲਾਉਡ ਵੱਲ ਵਧ ਰਹੀ ਹੈ? ਇੰਨਾ ਜ਼ਿਆਦਾ ਕਿ ਵੱਧ ਤੋਂ ਵੱਧ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਚੁਣੌਤੀਆਂ ਦਾ ਸਾਹਮਣਾ ਕਰਦੇ ਹੋਏ ਵੀ 42 ਦੀ ਪਹਿਲੀ ਤਿਮਾਹੀ ਵਿੱਚ ਸਮੁੱਚੇ ਜਨਤਕ ਕਲਾਉਡ ਮਾਰਕੀਟ ਵਿੱਚ 2019% ਦਾ ਵਾਧਾ ਹੋਇਆ ਹੈ!

ਕਹਾਣੀ ਦਾ ਨੈਤਿਕ: ਆਪਣੀ ਸੁਰੱਖਿਆ ਦੀ ਜਾਂਚ ਕਰੋ; ਨਿਯਮਤ ਆਡਿਟ ਕਰੋ; ਸੁਰੱਖਿਆ ਨੀਤੀਆਂ ਲਈ ਘੱਟੋ-ਘੱਟ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਦੇ ਸਿਧਾਂਤ ਦਾ ਆਦਰ ਕਰੋ।

(ਇਹ ਇਸ ਲਈ ਹੈ ਤੁਸੀਂ ਪੂਰੀ ਕਾਨੂੰਨੀ ਰਿਪੋਰਟ ਦੇਖ ਸਕਦੇ ਹੋ)।

ਸਰੋਤ: www.habr.com