Πώς παραβιάζονται πραγματικά τα sites, και πώς να μην είστε το εύκολο θύμα.
Στην ασφάλεια, η υποτιθέμενη αιτία είναι συνήθως «τίποτα δεν πάει στραβά». Να πώς παραβιάζονται πραγματικά τα sites, γιατί η κορυφή αυτής της λίστας προλαμβάνεται, και πώς αποδεικνύεται από έξω ότι μια διόρθωση έκλεισε την πόρτα.
Σε αυτό το άρθρο 4 ενότητες
- Στην ασφάλεια, η υποτιθέμενη αιτία είναι «τίποτα δεν πάει στραβά». Οι περισσότεροι δεν ξέρουν ότι έχουν παραβιαστεί.
- Η παρακολούθηση και οι ροές threat intelligence μας είναι συνδεδεμένες ώστε να ανοίγουν το ticket, οπότε το πρώτο μήνυμα είναι συνήθως δικό μας. Το να το πιάνεις πρώτος είναι η δουλειά.
- Τα sites παραβιάζονται με βαρετούς τρόπους. Ξεπερασμένο λογισμικό και πράγματα που έμειναν ανοιχτά κατά λάθος είναι η κορυφή της λίστας, και ακριβώς αυτά πιάνει ένας έλεγχος πριν το go-live και το συνεχές patching.
- Η εύρεση της παραβίασης είναι το μισό. Όταν κλείνουμε μία, αποδεικνύουμε ότι η πόρτα είναι κλειστή επιτιθέμενοι ξανά από μια διεύθυνση που δεν εμπιστευόμαστε. Αν μπορούμε ακόμη να φτάσουμε εκεί, δεν έχει διορθωθεί.
Υπάρχει ένα σημάδι σε κάθε κλήση ασφαλείας. Η υποτιθέμενη αιτία του πελάτη είναι συνήθως η χειρότερη που υπάρχει: τίποτα δεν πάει στραβά. Δεν κάλεσαν επειδή κάτι φάνηκε περίεργο. Κάλεσαν επειδή τους το είπαμε εμείς. Μέχρι μια παραβίαση να γίνει ορατή στον άνθρωπο που κατέχει το site, συνήθως έχει ήδη συμβεί.
Στην ασφάλεια, η υποτιθέμενη αιτία είναι «τίποτα δεν πάει στραβά»
“quote: Στην ασφάλεια, η υποτιθέμενη αιτία του πελάτη είναι συνήθως «τίποτα δεν πάει στραβά». Δεν ήξεραν ότι είχαν παραβιαστεί. attribution: EUROVPS SECURITY”
Αυτή είναι όλη η διαφορά. Όχι ότι δεν συμβαίνουν παραβιάσεις. Συμβαίνουν, σε κάθε πλατφόρμα, σε κάθε είδος site. Η διαφορά είναι ποιος το βλέπει πρώτος: ένα επίπεδο ανίχνευσης που παρακολουθεί για τις υπογραφές μιας παραβίασης, ή μια ροή threat intelligence που σημαδεύει κίνηση που δεν θα έπρεπε να υπάρχει, ενώ ο πίνακας του ίδιου του site δείχνει ακόμη πράσινο. Η παρακολούθησή μας και αυτές οι ροές είναι συνδεδεμένες ώστε να ανοίγουν το ticket, και γι' αυτό το πρώτο μήνυμα είναι συνήθως δικό μας.
Πώς παραβιάζονται πραγματικά τα sites
Αφαιρέστε την κινηματογραφική εκδοχή και οι τρόποι με τους οποίους παραβιάζονται πραγματικά τα sites είναι βαρετοί, και επαναλαμβάνονται. Να η κατάταξη, με τον συχνότερο πρώτο. Τίποτα στην κορυφή αυτής της λίστας δεν είναι έξυπνο.
Ξεπερασμένο ή end-of-life λογισμικό
Ο συχνότερος τρόπος εισόδου, με μεγάλη διαφορά. Μια εφαρμογή με δημόσια γνωστή ευπάθεια, εκτεθειμένη στο internet, χρόνια πίσω σε patches. Εκτεθειμένη στο internet και χρόνια πίσω σε patches είναι ό,τι χρειάζεται. Το exploit είναι έτοιμο στο ράφι. Δεν απαιτείται εξυπνάδα.
Κάτι που έμεινε ανοιχτό κατά λάθος
Δεν χρειάζεται exploit. Η πόρτα ήταν απλώς ανοιχτή. Μια βάση δεδομένων δεμένη σε κάθε διεπαφή δικτύου χωρίς authentication. Ένα config ή debug αρχείο αναγνώσιμο από όλους. Ένα CMS που διαρρέει τα usernames του από ένα ανοιχτό API. Ένα ξεχασμένο staging subdomain που απαντά ακόμη. Κανείς δεν εισέβαλε. Μπήκαν περπατώντας.
Το origin προσβάσιμο πίσω από το CDN
Το site κάθεται πίσω από CDN, αλλά ο πραγματικός server απαντά ακόμη απευθείας αν μπορείτε να τον βρείτε, και η διεύθυνσή του συχνά βρίσκεται στο DNS αλληλογραφίας του ίδιου του domain. Η μπροστινή πόρτα φυλάσσεται ενώ η πίσω είναι στηριγμένη ανοιχτή.
Brute-force διαπιστευτηρίων χωρίς άμυνα Layer 7
Μια σελίδα login χωρίς τίποτα μπροστά της στο επίπεδο εφαρμογής, που σφυροκοπείται μέχρι κάτι να υποχωρήσει. Ένα firewall Layer 3/4 το αφήνει να περάσει κατευθείαν: για ένα φίλτρο πορτών, μοιάζει με κανονική κίνηση σε μια πόρτα που πρέπει να μείνει ανοιχτή.
Αδύναμα, επαναχρησιμοποιημένα ή εκτεθειμένα διαπιστευτήρια χωρίς MFA
Ένας κωδικός που διέρρευσε αλλού, επαναχρησιμοποιήθηκε εδώ, χωρίς δεύτερο παράγοντα που να τον καθιστά άχρηστο. Η κλειδαριά ήταν εντάξει. Το κλειδί είχε ήδη αντιγραφεί.
Εξερχόμενο spam από ήδη παραβιασμένο λογαριασμό
Συχνά το πρώτο εξωτερικό σημάδι μιας παραβίασης που έχει ήδη συμβεί. Ο λογαριασμός δεν είναι ο στόχος. Είναι η εξέδρα εκτόξευσης, και το spam είναι ο καπνός, όχι η φωτιά.
Phishing και social engineering
Το ανθρώπινο επίπεδο. Κανένα bug λογισμικού. Κάποιος απλώς πείστηκε να παραδώσει τα κλειδιά.
Κοιτάξτε τα δύο πρώτα. Ξεπερασμένο λογισμικό και πράγματα που έμειναν ανοιχτά κατά λάθος. Κανένα από τα δύο δεν είναι έξυπνη επίθεση. Και τα δύο είναι ακριβώς αυτά που ένας πειθαρχημένος έλεγχος πριν το go-live και το συνεχές patching πιάνουν πριν δοκιμάσει κανείς το πόμολο. Αυτή είναι ολόκληρη η υπόθεση υπέρ του managed security. Οι περισσότερες διαρρήξεις δεν είναι διαρρήξεις. Είναι είσοδοι περπατώντας. Και η είσοδος περπατώντας προλαμβάνεται.
Το να το πιάνεις πρώτος είναι η δουλειά. Το να αποδεικνύεις ότι έκλεισε είναι η διαφορά.
Η εύρεση της παραβίασης είναι η μισή δουλειά. Το μισό που σχεδόν κανείς δεν κάνει είναι να αποδείξει ότι η διόρθωση όντως κράτησε. Όταν κλείνουμε μια παραβίαση, δεν παίρνουμε τον λόγο του πίνακα ότι η πόρτα είναι κλειστή. Επιτιθέμαστε ξανά στο origin όπως θα το έκανε ένας επιτιθέμενος: από ένα μηχάνημα σε άλλο datacenter μας, από μια έξοδο που το firewall δεν είχε ποτέ πει να εμπιστεύεται. Αν ο δικός μας scanner μπορεί ακόμη να φτάσει εκεί, δεν έχει διορθωθεί. Μόνο όταν η πόρτα είναι κλειστή από έξω, από μια διεύθυνση που δεν εμπιστευόμαστε, τη λέμε κλειστή.
“quote: Η δουλειά δεν είναι απλώς να διορθώσεις την παραβίαση. Είναι να την πιάσεις πρώτος, και μετά να αποδείξεις από έξω ότι η πόρτα είναι κλειστή. attribution: EUROVPS SECURITY”
Αυτή η μέθοδος, να επιτίθεσαι ξανά στο δικό σου origin από μια μη έμπιστη θέση και να επιβεβαιώνεις τι θα έβλεπε πραγματικά ένας επιτιθέμενος, είναι ξεχωριστή πειθαρχία και έχει δικό της άρθρο. Το Αποδεικνύουμε από έξω ότι είναι κλειστό περνά όλο το playbook.
Επτά τρόποι να μην είστε το εύκολο θύμα
Τίποτα στην κορυφή εκείνης της κατάταξης δεν χρειάζεται ιδιοφυή επιτιθέμενο. Που σημαίνει ότι το περισσότερο προλαμβάνεται με το να μην είστε ο εύκολος στόχος. Επτά συνήθειες, με τη σειρά που αποδίδουν.
Patch ή απόσυρση
Αν είναι εκτεθειμένο στο internet και ασυντήρητο, είναι ευθύνη. Ενημερώστε το ή κατεβάστε το. Δεν υπάρχει τρίτη επιλογή που να τελειώνει καλά.
Υποθέστε ότι το origin θα βρεθεί
Κλειδώστε το στις περιοχές IP του CDN ώστε μόνο το CDN να μπορεί να το φτάσει, και σταματήστε να διαρρέετε τη διεύθυνσή του στο DNS αλληλογραφίας σας. Ένα κρυμμένο origin δεν είναι κρυμμένο αν το ανακοινώνει το ίδιο σας το DNS.
Ένα firewall L3/4 δεν είναι WAF
Το φιλτράρισμα πορτών δεν διαβάζει αιτήματα. Brute-force, injection και κατάχρηση σε επίπεδο εφαρμογής περνούν όλα από πόρτες που πρέπει να αφήσετε ανοιχτές. Χρειάζεστε άμυνα που επιθεωρεί το Layer 7.
Ελέγξτε πριν δηλώσετε ότι τελειώσατε
Το «δουλεύει» δεν είναι «είναι κλειστό». Ελέγξτε τι είναι εκτεθειμένο, τι είναι αναγνώσιμο από όλους, τι είναι ακόμη δεμένο στο δημόσιο internet, πριν το go-live, όχι αφού φτάσει η ειδοποίηση.
Υποθέστε ότι τα διαπιστευτήρια διαρρέουν. Κάντε τα άχρηστα εκτός whitelist.
MFA παντού, και δέστε τις ευαίσθητες διαδρομές σε γνωστές διευθύνσεις. Ένας κλεμμένος κωδικός δεν πρέπει να ανοίγει τίποτα από μόνος του.
Παρακολουθήστε τον παρατηρητή
Παρακολούθηση που τυφλώνεται και συνεχίζει να αναφέρει πράσινο είναι χειρότερη από καθόλου παρακολούθηση, επειδή αγοράζει ψεύτικη ηρεμία. Επιβεβαιώστε ότι ο ανιχνευτής μπορεί πραγματικά να δει.
Αποδείξτε τη διόρθωση από έξω
Η μόνη δοκιμή που μετράει είναι η ματιά του επιτιθέμενου. Επιτεθείτε ξανά από μια διεύθυνση που δεν εμπιστεύεστε και επιβεβαιώστε ότι η πόρτα είναι κλειστή.
Ευθείες απαντήσεις
Πώς χακάρονται πραγματικά τα websites στο managed hosting;+
Κυρίως με δύο βαρετούς τρόπους. Ξεπερασμένο ή end-of-life λογισμικό με δημόσια γνωστή ευπάθεια, εκτεθειμένο στο internet, και πράγματα που έμειναν ανοιχτά κατά λάθος: μια βάση δεδομένων χωρίς auth, ένα config αρχείο αναγνώσιμο από όλους, ένα ξεχασμένο staging subdomain. Τα έξυπνα exploits είναι πολύ πιο κάτω στη λίστα. Οι περισσότερες διαρρήξεις είναι είσοδοι περπατώντας.
Πώς θα ήξερα καν αν το site μου παραβιάστηκε;+
Συχνά δεν θα το ξέρατε, και αυτό είναι το θέμα. Η παρακολούθηση και οι ροές threat intelligence μας είναι συνδεδεμένες ώστε να ανοίγουν το ticket, οπότε το πρώτο μήνυμα για μια παραβίαση είναι συνήθως δικό μας. Η υποτιθέμενη αιτία από την πλευρά του πελάτη είναι συνήθως «τίποτα δεν πάει στραβά». Εξερχόμενο spam ή ειδοποίηση από τρίτο είναι συχνά το πρώτο εξωτερικό σημάδι, και μέχρι τότε έχει ήδη συμβεί.
Είναι ασφαλής ο server μου αν έχει firewall;+
Ένα firewall στο Layer 3/4 φιλτράρει πόρτες. Δεν διαβάζει αιτήματα. Brute-force διαπιστευτηρίων, injection και κατάχρηση σε επίπεδο εφαρμογής ταξιδεύουν όλα από πόρτες που πρέπει να αφήσετε ανοιχτές, οπότε του μοιάζουν με κανονική κίνηση. Ένα firewall δεν είναι WAF. Για να σταματήσουν αυτά χρειάζεται άμυνα που επιθεωρεί το Layer 7.
Μπορούν οι επιτιθέμενοι να βρουν τον origin server μου αν είναι πίσω από CDN;+
Συχνά, ναι. Το CDN βοηθά μόνο αν το origin δεν μπορεί να προσεγγιστεί απευθείας, και η πραγματική διεύθυνση του origin συχνά διαρρέει στο DNS αλληλογραφίας του ίδιου του domain. Κλειδώστε το origin στις περιοχές IP του CDN και σταματήστε να το ανακοινώνετε στο DNS, αλλιώς η φυλαγμένη μπροστινή πόρτα έχει την πίσω στηριγμένη ανοιχτή.
Στο managed hosting, ποιος είναι υπεύθυνος για το patching των εφαρμογών μου;+
Η πλατφόρμα και η εφαρμογή είναι διαφορετικές δουλειές, και το κενό ανάμεσά τους είναι εκεί όπου παραβιάζονται τα sites. Εμείς κρατάμε την πλατφόρμα θωρακισμένη και ελέγχουμε πριν το go-live. Αλλά μια end-of-life εφαρμογή με γνωστή ευπάθεια είναι κοινός κίνδυνος. Η managed αξία είναι ότι ένας πειθαρχημένος έλεγχος πριν το go-live και το συνεχές patching πιάνουν τα περισσότερα πριν δοκιμάσει κανείς το πόμολο.
Δεν είστε σίγουροι τι είναι εκτεθειμένο; Ρωτήστε πριν το ανακαλύψει κάποιος άλλος.
Φέρτε το σε έναν μηχανικό, όχι σε μια ουρά tickets. Ελέγχουμε τι είναι προσβάσιμο από έξω, σας λέμε καθαρά τι να κλείσετε, και μετά αποδεικνύουμε ότι έκλεισε.
Μιλήστε με έναν μηχανικόΦτάσατε στο τέλος.
Βάλτε την ανάγνωση σε εφαρμογή
Τι τρέχετε;
Πείτε μας για τον φόρτο εργασίας, την κίνηση και τις απαιτήσεις ανάκαμψης. Ξεκινήστε από το εργαλείο διαμόρφωσης server ή συζητήστε τις λεπτομέρειες με έναν μηχανικό.
Γραμμένο από τους μηχανικούς που χτίζουν και λειτουργούν την υποδομή που περιγράφει.Μιλήστε με έναν μηχανικό