攻擊目標(biāo)簡(jiǎn)介：社交媒體/移動(dòng)應(yīng)用公司
這是一家擁有2000多萬(wàn)用戶的照片共享社交媒體應(yīng)用公司。該公司在Amazon Web Services （AWS）中存儲(chǔ)了超過(guò)1PB的用戶數(shù)據(jù)。在2018年的一次大規(guī)模數(shù)據(jù)泄漏事件中，該公司不幸成為受害者，近2000萬(wàn)用戶記錄被泄露。事件的發(fā)展過(guò)程是這樣的。
- 第一步：入侵合法用戶。數(shù)據(jù)泄露的第一步往往是攻擊者入侵合法用戶竊取憑證。在此次事件中，攻擊者利用魚(yú)叉式網(wǎng)絡(luò)釣魚(yú)攻擊獲取了公司網(wǎng)絡(luò)環(huán)境的管理用戶憑證。
- 第二步：強(qiáng)化訪問(wèn)。入侵合法用戶之后，黑客即使不通過(guò)被入侵用戶，也可以頻繁地采取措施加強(qiáng)對(duì)公司網(wǎng)絡(luò)環(huán)境的訪問(wèn)。在此次事件中，攻擊者會(huì)通過(guò)在國(guó)外注冊(cè)的IP地址連接到公司的云環(huán)境，并創(chuàng)建了具有完全管理權(quán)限的API訪問(wèn)密鑰 https://blog.radware.com/security/cloudsecurity/2019/03/are-your-devops-your-biggest-security-risks/。
- 第三步：偵察。一旦成功進(jìn)入公司網(wǎng)絡(luò)內(nèi)部，攻擊者就需要了解該角色被授予的權(quán)限以及可以進(jìn)行的操作。
- 第四步：利用。一旦確定了賬戶的可用權(quán)限，攻擊者就可以繼續(xù)利用這些權(quán)限。在其他活動(dòng)中，攻擊者可以復(fù)制主用戶數(shù)據(jù)庫(kù)，并利用公共權(quán)限將其泄露到公司網(wǎng)絡(luò)外部。
第五步：泄露。最后，由于可以隨時(shí)掌握客戶信息，攻擊者可以訪問(wèn)2000多萬(wàn)條包含用戶個(gè)人信息在內(nèi)的用戶記錄，并且可以將這些信息從網(wǎng)絡(luò)中泄露出去。
經(jīng)驗(yàn)教訓(xùn)
權(quán)限就相當(dāng)于受攻擊面：利用公有云環(huán)境就意味著，過(guò)去托管在企業(yè)內(nèi)部的資源現(xiàn)在脫離了系統(tǒng)管理員的控制，人們?cè)谑澜缛魏蔚胤蕉伎梢栽L問(wèn)這些資源。因此，公有云的運(yùn)維安全性是由能夠訪問(wèn)這些公有云工作負(fù)載的人及其所獲得的權(quán)限定義的。實(shí)際上，權(quán)限就相當(dāng)于受攻擊面。
過(guò)多的權(quán)限-頭號(hào)威脅：在云環(huán)境中，很容易就可以創(chuàng)建新資源并授予很多權(quán)限，但卻很難追蹤擁有這些權(quán)限的人。這種過(guò)多的權(quán)限常常被錯(cuò)誤地描述為錯(cuò)誤配置，但實(shí)際上是權(quán)限濫用的結(jié)果。因此，避免權(quán)限過(guò)多就成為了保護(hù)托管在公有云中的工作負(fù)載運(yùn)維安全的首要任務(wù)。
云端攻擊有典型的過(guò)程：盡管每次數(shù)據(jù)泄露事件的發(fā)展各不相同，但云端原生數(shù)據(jù)泄露攻擊通常都遵循一個(gè)典型過(guò)程，即入侵合法用戶賬戶、賬戶偵察、權(quán)限升級(jí)、資源利用和數(shù)據(jù)泄露。
云應(yīng)該具備哪些優(yōu)勢(shì)？
- 保護(hù)您的訪問(wèn)憑證：您與下一次數(shù)據(jù)泄露之間只有一個(gè)密碼的距離。最大限度地保護(hù)您的云端賬戶憑證對(duì)確保這些憑證不落入不法分子之手至關(guān)重要。
- 限制權(quán)限：云端用戶賬戶通常會(huì)被授予很多不需要或從不使用的權(quán)限。黑客通常會(huì)利用已授權(quán)權(quán)限和使用權(quán)限之間的漏洞。在前面的例子中，攻擊者利用賬戶權(quán)限創(chuàng)建了新的具有管理訪問(wèn)權(quán)限的API密鑰，啟用了新的數(shù)據(jù)庫(kù)，重置了數(shù)據(jù)庫(kù)主密碼并將其泄露到企業(yè)外部。將權(quán)限限制在用戶僅需要使用的范圍內(nèi)，這樣可以幫助確保即使賬戶被入侵，攻擊者所能造成的損害也是有限的。
- 可疑活動(dòng)預(yù)警：由于云端原生數(shù)據(jù)泄露通常有共同的過(guò)程， 那么例如端口掃描、調(diào)用之前使用的API和授予公共權(quán)限這些特定的賬戶活動(dòng)就可以被確定為可疑活動(dòng)。向惡意行為指示器（MBIs）發(fā)送預(yù)警信息可以在數(shù)據(jù)泄露發(fā)生之前進(jìn)行阻止。
- 自動(dòng)響應(yīng)流程/機(jī)制：最后，一旦確定了惡意活動(dòng)，進(jìn)行快速響應(yīng)至關(guān)重要。自動(dòng)響應(yīng)機(jī)制可以在檢測(cè)到惡意活動(dòng)的同時(shí)將其攔截，并最終阻止了數(shù)據(jù)泄露。
關(guān)于Radware
Radware 是為物理數(shù)據(jù)中心、云數(shù)據(jù)中心和軟件定義數(shù)據(jù)中心提供網(wǎng)絡(luò)安全和應(yīng)用交付解決方案的全球領(lǐng)導(dǎo)者。Radware屢獲殊榮的解決方案組合為全球企業(yè)提供了基礎(chǔ)架構(gòu)、應(yīng)用及企業(yè)IT防護(hù)服務(wù)，確保企業(yè)的數(shù)字體驗(yàn)。Radware解決方案成功幫助了全球12,500多家企業(yè)和運(yùn)營(yíng)商客戶快速應(yīng)對(duì)市場(chǎng)挑戰(zhàn)，保持業(yè)務(wù)連續(xù)性，在實(shí)現(xiàn)最高生產(chǎn)效率的同時(shí)有效降低成本。
