Атака №10: Злоупотреба с грешни cloud конфигурации (Cloud Misconfiguration Abuse)

Когато пропуските в сигурността са резултат от конфигурация, а не от пробив

Обобщение – Злоупотреба с грешни cloud конфигурации (Cloud Misconfiguration Abuse)

Как работи атаката

Cloud атаките не винаги започват със зловреден код.
Понякога започват с грешка в конфигурацията.

С внедряването на cloud платформи и услуги средите стават по-големи и по-сложни. Настройките за сигурност, правата за достъп и видимостта не винаги се развиват със същата скорост.

Атакуващите търсят именно тези пропуски.

Чести примери са:

• публично изложени хранилища
• прекомерно широки права
• изложени cloud услуги
• слаб контрол върху идентичността
• забравени или неуправлявани ресурси

За разлика от традиционните атаки, злоупотребата с грешни cloud конфигурации често не изисква пробив в система.

Достъпът може вече да съществува.

Именно това прави тези инциденти трудни и все по-чести.

Реални случаи

Следните примери показват как неправилните cloud конфигурации могат да доведат до сериозни инциденти. И в двата случая cloud платформата не е била компрометирана. Причината е комбинация от неправилно конфигурирани права за достъп, настройки на услугите и липса на достатъчен контрол върху конфигурациите.

Capital One (САЩ, 2019)

Сектор: Финансови услуги

Как е започнал инцидентът?
Нападателят използва неправилно конфигурирана Web Application Firewall (WAF), за да получи временни идентификационни данни от AWS Instance Metadata Service. Получените идентификационни данни наследяват разрешенията на неправилно конфигурирана Identity and Access Management (IAM) роля, което позволява достъп до Amazon Simple Storage Service (Amazon S3) ресурси извън необходимия обхват.

Какво е било компрометирано?

• данни на приблизително 106 милиона кандидати и клиенти;
• около 140 000 Social Security Numbers;
• около 80 000 банкови сметки;
• лични данни, кредитни оценки и информация по заявления за кредитни карти.

Как се е развила атаката?
След получаване на временните идентификационни данни нападателят успява да изброи наличните Amazon S3 ресурси и да извлече информация от множество cloud хранилища, до които компрометираната роля има достъп.

Оперативни и финансови последици

• приблизително 106 милиона засегнати лица;
• между 100 и 150 милиона щатски долара очаквани разходи за реакция, възстановяване и съдебни процедури;
• значителни регулаторни, финансови и репутационни последствия.

Какво би могло да ограничи щетите?

• прилагане на принципа за минимални привилегии (Least Privilege);
• по-строги Identity and Access Management (IAM) политики;
• автоматизирано откриване на cloud misconfigurations;
• наблюдение за необичайно използване на временни идентификационни данни;
• редовен преглед на Web Application Firewall (WAF) конфигурациите.

Microsoft Power Apps (2021)

Сектор: Публичен сектор, здравеопазване, транспорт и корпоративни услуги

Как е започнал инцидентът?
Изследователи от UpGuard установяват, че множество Microsoft Power Apps портали публикуват чувствителна информация поради неправилно конфигурирани разрешения за достъп. Не е използвана уязвимост в платформата или пробив в Microsoft Cloud.

Какво е било компрометирано?

• повече от 38 милиона публично достъпни записа;
• данни на най-малко 47 организации;
• телефонни номера, домашни адреси, имейли, Social Security Numbers, информация за ваксинации и служебни данни.

Как се е развил инцидентът?
Поради неправилно конфигурирани настройки чувствителната информация е била достъпна директно през интернет без необходимост от удостоверяване или специални техники за компрометиране.

Оперативни и финансови последици

Засегнати са най-малко 47 организации, сред които American Airlines, Ford, J.B. Hunt, Maryland Department of Health и New York City Public Schools. След разкриването на проблема Microsoft променя настройките по подразбиране за новите Power Apps портали, а организациите извършват спешен преглед на своите cloud конфигурации.

Какво би могло да ограничи щетите?

• периодични проверки за публично достъпни cloud ресурси;
• автоматизирано откриване на неправилни конфигурации;
• принцип „Default Deny“ при достъпа;
• редовен преглед на разрешенията и настройките за достъп;
• непрекъснат мониторинг на cloud средата.

Какво показват тези случаи?

И двата случая показват, че cloud платформата сама по себе си не е била компрометирана.

При Capital One неправилно конфигурирани права за достъп допринасят за изтичането на данни на приблизително 106 милиона души. При Microsoft Power Apps неправилни настройки правят публично достъпни повече от 38 милиона записа от най-малко 47 организации, без да бъде експлоатирана уязвимост в платформата.

Общият извод е, че сигурността в cloud средите зависи не само от доставчика на услугата, а и от правилното управление на конфигурациите, достъпа и непрекъснатия контрол върху промените. Дори една неправилно зададена настройка може да изложи на риск милиони записи.

Кого таргетира най-често

Злоупотребата с cloud конфигурации засяга среди, в които внедряването изпреварва управлението.

Роли

• cloud администратори
• DevOps и инфраструктурни екипи
• собственици на SaaS платформи
• потребители, управляващи cloud ресурси

Сектори

• технологии
• здравеопазване
• финанси
• електронна търговия
• публичен сектор

Тип организации

• cloud-first организации
• хибридни среди
• бързо растящи компании
• организации с разпределено управление на cloud ресурси

Колкото повече услуги се внедряват, толкова по-трудно става поддържането на последователна конфигурация.

На какво разчита атаката

Cloud инцидентите често възникват от комбинация между скорост и ограничена видимост.

Човешки фактор

• грешки в конфигурацията
• липса на познания за cloud сигурност
• прибързано внедряване
• прекомерно доверие в настройките по подразбиране

Технически пропуски

• изложени хранилища
• слаб контрол върху идентичността
• липса на мониторинг
• прекомерни права

Процесни слабости

• липса на cloud управление
• непоследователни прегледи на конфигурациите
• неясна собственост
• недостатъчен одит

Cloud изложеността често е случайна, но злоупотребата с нея е умишлена.

Как се хваща

Откриването зависи от разбирането как изглежда нормалното поведение в cloud средата.

Какво може да забележи потребителят

• неочаквана активност
• непознати известия за достъп
• прекъсване на услуги

Какво вижда IT екипът

• изложени ресурси
• необичайна API активност
• нетипични промени в конфигурации
• подозрителна употреба на права

Какво вижда SOC

• аномалии в cloud идентичността
• злоупотреба с привилегии
• подозрителни модели на достъп
• излагане на чувствителни ресурси

Cloud инцидентите често се откриват чрез видимост, а не само чрез аларми.

Как се ограничава въздействието

Реакцията трябва бързо да намали изложеността.

Основните действия включват:

• ограничаване на изложени ресурси
• преглед на правата
• спиране на неоторизиран достъп
• запазване на логове и cloud записи
• оценка на засегнатите ресурси и данни

Какво не помага:

• предположението, че изложеност означава пробив
• игнориране на грешни конфигурации, защото „нищо не се е случило“
• забавяне на коригиращите действия

Изложеността създава възможност.
Реакцията я намалява.

Какво реално помага

Cloud сигурността зависи от последователност и видимост.

Хора

• познания за cloud сигурност
• сигурни практики при внедряване
• ясна отговорност за cloud ресурсите

Процеси

• cloud управление
• преглед на конфигурации
• инвентаризация на ресурси
• преглед на достъпа

Технологии

• cloud security posture management (CSPM)
• мониторинг на идентичността
• логове и мониторинг
• least privilege подход

Cloud сигурността не е само въпрос на платформи.
Тя е въпрос на дисциплина при конфигурирането.

Чести митове

„Cloud доставчиците защитават всичко“
„Ако достъпът е удостоверен, значи е сигурен“
„Cloud средите са автоматично защитени“
„Грешните конфигурации са малък проблем“

В действителност много cloud инциденти започват от пропуски във видимостта и конфигурацията.

Атака №1: Фишинг и социално инженерство

Атака №2: Злоупотреба с акаунти и превземане на достъп

Атака №3: Компрометиране на бизнес имейли

Атака №4: Ransomware

Атака №5: Supply Chain Attack

Атака №6 – Insider Threat

Атака №7: Malware & Infostealers

Следва: Атака №11 – Разпределен отказ на услуга и прекъсване на услуги (Distributed Denial of Service (DDoS) & Service Disruption)