I le aso 19 o Iulai, 2019, na maua ai e le Capital One le feʻau o loʻo fefefe uma kamupani faʻaonaponei-na tupu se soliga o faʻamatalaga. Na aafia ai le silia ma le 106 miliona tagata. 140 US numera saogalemu, tasi miliona Kanata numera saogalemu lautele. 000 faletupe. Le fiafia, e te le ioe?
Ae paga lea, e leʻi tupu le hack i le aso 19 o Iulai. E pei ona aliali mai, o Paige Thompson, a.k.a. Leaga, faia i le va o Mati 22 ma Mati 23, 2019. O lena lava toetoe lava fa masina talu ai. O le mea moni, naʻo le fesoasoani a faufautua i fafo na mafai ai e le Capital One ona iloa o se mea na tupu.
O se tagata faigaluega muamua a Amazon na saisai ma feagai ma le $250 sala tupe ma le lima tausaga i le falepuipui... ae o loʻo iai pea le tele o mea leaga o loʻo totoe. Aisea? Ona o le tele o kamupani na mafatia i hacks o loʻo taumafai e faʻamaeʻaina le tiute mo le faʻamalosia o latou atinaʻe ma talosaga i le lotolotoi o le faʻateleina o solitulafono i luga o le initaneti.
Ae ui i lea, e faigofie ona e google lenei tala. O le a tatou le o atu i tala faatino, ae talanoa i ai fa'atekinisi itu o le mataupu.
Muamua, o le a le mea na tupu?
O le Capital One e tusa ma le 700 pakete S3 o loʻo tafe, lea na kopiina e Paige Thompson ma faʻafefe.
Lona lua, o le isi lea tulaga o le fa'aletonu o le S3 pakete faiga fa'avae?
Leai, e le o le taimi lenei. O iina na ia maua ai le avanoa i se 'au'aunaga ma se fa'amalama e le sa'o le fa'atulagaina ma fa'atino le ta'aloga atoa mai iina.
Faatali, e mafai faapefea lena mea?
Ia, tatou amata i le saini i totonu o le server, e ui lava e le tele ni a tatou faʻamatalaga. Na na o le taʻuina mai ia i matou na tupu e ala i se "faʻamaʻi faʻafefe." O lea la, o se mea e faigofie e pei o le le sa'o o le fa'atulagaina o vaega o le puipuiga po'o le fa'atulagaina o le 'upega tafa'ilagi (Imperva), po'o le upega o feso'otaiga (iptables, ufw, shorewall, ma isi). Na o le Capital One na ioeina lona tausalaina ma fai mai ua tapunia le pu.
Fai mai Stone e leʻi matauina muamua e le Capital One le faʻaletonu o le pa puipui ae na vave ona gaoioi ina ua ia iloa. E mautinoa lava na fesoasoani lenei mea i le mea moni e faapea na tuua e le tagata taʻavale faʻamatalaga autu e iloagofie ai i le lautele lautele, o le tala lea a Stone.
Afai o lo'o e mafaufau pe aisea tatou te le o loloto ai i lenei vaega, faamolemole ia malamalama ona o le utiuti o faʻamatalaga e mafai ai ona tatou taumatemate. E leai se uiga o lenei mea ona o le hack na faʻalagolago i se pu na tuʻua e Capital One. Ma se'i vagana ua latou ta'u mai ia i matou nisi mea, o le a matou lisi uma auala e mafai ai e le Capital One ona tatala le latou server i le tuʻufaʻatasia ma auala uma e mafai ai e se tasi ona faʻaogaina se tasi o nei filifiliga eseese. O nei fa'aletonu ma metotia e mafai ona amata mai i le va'aiga fa'avalevalea e o'o atu i fa'ata'ita'iga lavelave. Tuuina atu le tele o avanoa, o le a avea lea ma se saga umi e aunoa ma se faaiuga moni. O lea la, seʻi o tatou taulaʻi atu i le iloiloina o le vaega o loo iai a tatou mea moni.
O le mea muamua e ave'ese ai o le: iloa mea e fa'atagaina e au pa puipui.
Fa'atuina se faiga fa'avae po'o se fa'agaioiga talafeagai e fa'amautinoa ai e NA'O mea e mana'omia ona tatala e tatala. Afai o loʻo e faʻaogaina punaoa AWS e pei o Vaega Puipui poʻo Network ACLs, e manino lava o le lisi siaki e suʻe suʻega e mafai ona umi ... ae pei lava o le tele o punaoa e faʻapipiʻiina (ie CloudFormation), e mafai foʻi ona faʻautometi a latou suʻega. Pe ose tusitusiga fa'apitonu'u e su'e ni mea fou mo fa'aletonu, po'o se mea e pei o se su'esu'ega saogalemu i se faiga CI/CD... e tele filifiliga faigofie e 'alo'ese mai ai.
O le vaega “ malie” o le tala, ana fa’apipi’i e le Capital One le pu i le taimi muamua... e leai se mea e tupu. Ma o lea, e saʻo, e masani lava ona faateʻia le vaʻai pe faʻapefea se mea moni faigofie lava ua na o le pau lea o le mafuaaga mo se kamupani e hacked. Ae maise le tasi e lapo'a pei o le Capital One.
O lea la, hacker i totonu - o le a le mea na tupu mulimuli ane?
Ia, pe a uma ona malepe i se faʻataʻitaʻiga EC2 ... tele e mafai ona sese. E masani lava ona e savali i luga o le naifi pe afai e te tuʻuina atu se tasi e alu i lena mamao. Ae fa'afefea ona o'o i pakete S3? Ina ia malamalama i lenei mea, seʻi o tatou talanoaina matafaioi a le IAM.
O lea la, o se tasi o auala e maua ai auaunaga a le AWS o le avea ma se Tagata Fa'aaoga. Lelei, o lenei mea e matua manino lava. Ae fa'apefea pe afai e te mana'o e tu'uina atu isi auaunaga AWS, e pei o au 'au'aunaga talosaga, avanoa i au pakete S3? O le mea lena e aoga ai matafaioi a le IAM. E aofia ai vaega e lua:
- Faiga Fa'alagolago - o a au'aunaga po'o tagata e mafai ona fa'aogaina lea matafaioi?
- Faiga Fa'atagaga - o le a le mea e fa'atagaina e lenei matafaioi?
Mo se faʻataʻitaʻiga, e te manaʻo e fai se matafaioi IAM e mafai ai e EC2 taimi ona maua se pakete S3: Muamua, o le matafaioi ua setiina ia iai se Faiga Faʻavae Faʻalagolago e mafai e le EC2 (le auaunaga atoa) poʻo faʻapitoa faʻapitoa ona "pulea" le matafaioi. O le taliaina o se matafaioi o lona uiga e mafai ona latou faaaogaina faatagaga a le matafaioi e faatino ai taga. Lona lua, o le Faiga Fa'atagaga e fa'atagaina ai le 'au'aunaga / tagata / puna'oa na "faia le matafaioi" e fai so'o se mea i luga o le S3, pe o le mauaina o se pakete fa'apitoa e tasi... pe sili atu i le 700, pei o le tulaga o le Capital One.
O le taimi lava e te i ai i se faʻataʻitaʻiga EC2 ma le matafaioi IAM, e mafai ona e mauaina faʻamaoniga i le tele o auala:
- E mafai ona e talosagaina fa'ata'ita'iga metadata ile
http://169.254.169.254/latest/meta-dataFaatasi ai ma isi mea, e mafai ona e mauaina le matafaioi IAM ma soʻo se ki avanoa i lenei tuatusi. Ioe, pe afai o oe i se faʻataʻitaʻiga.
- Fa'aaoga le AWS CLI...
Afai e fa'apipi'i le AWS CLI, e fa'atumuina i fa'amaoniga mai matafaioi IAM, pe a iai. Pau lava le mea o loʻo totoe o le galue e ala i le faʻataʻitaʻiga. Ioe, afai e tatala le latou Trust Policy, e mafai e Paige ona faia saʻo mea uma.
O le ute la o matafaioi a le IAM o loʻo latou faʻatagaina nisi o punaoa e galue IA OU SUI i ISI PUNAOA.
O lea ua e malamalama i matafaioi a le IAM, e mafai ona tatou talanoa e uiga i le mea na faia e Paige Thompson:
- Na ia maua le avanoa i le server (EC2 instance) e ala i se pu i le pa puipui
Pe o vaega saogalemu/ACLs po'o a latou lava 'upega tafaʻilagi, atonu e faigofie tele le pu, e pei ona taʻua i faamaumauga aloaia.
- O le taimi lava na i ai i luga o le 'auʻaunaga, sa mafai ona ia galue "e pei" o ia o le 'auʻaunaga lava ia
- Talu ai ona o le matafaioi a le IAM na faʻatagaina S3 avanoa i nei pakete 700+, na mafai ai ona maua
Talu mai lena taimi, na pau lava le mea e tatau ona ia faia o le faʻatonuina List Bucketsona sosoo ai lea ma le poloaiga Sync mai le AWS CLI...
. O le puipuia o ia mea leaga o le mafuaʻaga lea e faʻaalu ai e kamupani le tele o tupe i le puipuiga o atinaʻe ao, DevOps, ma tagata tomai faʻapitoa. Ma o le a le taua ma le taugofie o le alu i le ao? O lea e oo lava i le feagai ai ma le tele ma le tele o luʻitau cybersecurity !
Amioga o le tala: siaki lou saogalemu; Fa'atino su'etusi masani; Faʻaaloalo i le faʻavae o le faʻatauvaʻa itiiti mo faiga faʻavae saogalemu.
( E mafai ona e va'ai i le lipoti fa'aletulafono atoa).
puna: www.habr.com