„Chainstack“ aptinka duomenų pažeidimą atskleistiems administratoriaus įrankiams

TL;DR: „Chainstack“ išplėstinėje incidentų ataskaitoje daugiausia dėmesio skiriama prieigos kontrolės gedimams. Pagal atkūrimo nurodymus baigtas kredencialų kaitaliojimas tampa prioritetu.

„Chainstack“ pridėjo techninių detalių prie saugumo incidento, kurį pirmą kartą atskleidė lapkričio 3 d. Jo atnaujintoje ataskaitoje su technine dalimi lapkričio 10 d. aprašomas spalio mėn. įsilaužimas, pagrįstas konfigūracijos ir prieigos kontrolės gedimais. Bendrovė teigia, kad nerado jokių įrodymų, kad buvo išnaudotas programinės įrangos pažeidžiamumas.

Kaip nepavyko prieigos kontrolės

Anot „Chainstack“, užpuolikas pateko per kūrimo „Grafana“ egzempliorių su nepakeistais numatytais administratoriaus kredencialais. Tada prieigos kelio dalis buvo neautentifikuotas įrankių serveris su plačiais Kubernetes leidimais. Mašinos kredencialai taip pat susiejo kūrimo ir gamybos aplinkas.

Operacinė pamoka yra apie paskyros pasiekiamumą po pirmojo prisijungimo. Žemo profilio testavimo paslauga gali tapti reikšminga, jei ji gali susisiekti su jautriomis sistemomis arba turi privilegijų, kurios apima ne tik jos tiesioginį darbą.

„NewsBTC“ praneša apie NEAR AI infrastruktūros incidentą, ištyrė susijusią ribą tarp programos ir ją palaikančių paslaugų. Mechanizmai skiriasi, tačiau abu aplinkinė infrastruktūra yra svarbi kriptovaliutų platformos saugumui.

Į ką klientų prašoma kreiptis

Ataskaitoje nurodomi paskyrų pavadinimai, organizacijos informacija, el. pašto adresai ir slaptažodžių maišos, kurios gali būti atskleistos. Jis traktuoja mazgo kredencialus kaip atskleistus, nepaisant to, kad neranda įrodymų, kad jie buvo perskaityti, ir prašo klientų pakeisti slaptažodžius, pasukti mazgo kredencialus ir atkurti platformos API raktus, jei jie naudojami.

Slaptažodžio maiša ir veikiantis prieigos raktas sukelia įvairių problemų. Maiša yra slaptažodžių atvaizdavimas, o aktyvus prieigos raktas gali tiesiogiai įgalioti užklausas. Todėl negalima manyti, kad prisijungimo slaptažodžio pakeitimas panaikins visus kitus su programa susijusius kredencialus.

Štai kodėl incidento instrukcijose turi būti aiškiai nurodyti paveikti kredencialų tipai. Vienintelė slaptažodžio keitimo instrukcija gali palikti kūrėjus neaiškus dėl programos galutinių taškų, automatizuotų užduočių ir paslaugų integravimo.

Kredencialų kaitaliojimas turi užbaigimo veiksmą

„Chainstack“ mazgų valdymo dokumentacijoje aprašomas etapinis sukimosi procesas. Nauji kredencialai generuojami, o esami lieka aktyvūs. Tada programos gali būti pakeistos prieš išjungiant senus kredencialus.

Dokumentuose teigiama, kad abu rinkiniai veikia iki paskutinio veiksmo be automatinio laiko apribojimo. Užbaigus pasukimą visam laikui atmetamos užklausos naudojant ankstesnius kredencialus. Taip pat sakoma, kad mazgo pasukimas nekeičia kelių grandžių autentifikavimo prieigos rakto.

Operatoriui persidengimas sumažina veikiančios paslaugos nutraukimo riziką atnaujinant programas. Atitinkama pareiga yra užbaigti migraciją. Vien tik sugeneravus pakaitalą, lieka prieinamos ankstesnės prieigos priemonės.

Todėl naudingas užbaigimo įrašas stebėtų, kurios programos buvo perkeltos ir kada buvo išjungti seni kredencialai. Tai yra praktinė kontrolė, kurią komanda gali patikrinti po pirminės avarijos.

Pagrindinė dizaino problema yra žinoma

„Grafana“ saugos gairėse įspėjama, kad paslaugos vietiniame tinkle gali būti pasiekiamos per duomenų šaltinio tarpinį serverį. Jame aprašomi valdikliai, pvz., leidžiamų paskirties vietų ribojimas ir ugniasienės taisyklių naudojimas siekiant apriboti prieigą prie jautrių vidinių paslaugų.

Šios atsargumo priemonės nustato, ką įrankis gali pasiekti ir kas gali prie jo prisijungti. Autentifikavimas ir tinklo ribos atlieka skirtingus darbus; leidimų ribos suteikia kitą sluoksnį, jei kuri nors riba nepavyksta.

„NewsBTC“ ataskaitoje apie grandinės analizės atkūrimo atrankos paslaugas parodoma, kodėl operatyvinio atkūrimo ir duomenų ekspozicijos analizė gali vykti skirtingais laiko intervalais.

„Chainstack“ išplėstinė paskyra suteikia klientams daugiau informacijos, kurią jie gali įvertinti. Likęs bandymas – ar prieigos pakeitimai baigti ir ar peržiūrėti valdikliai gali neleisti vienai pažeistai paslaugai pasiekti daug daugiau nei numatyta.

parašė News Desk ir redagavo Samuelis Rae.