Як насправді зламують сайти, і як не бути легкою мішенню.
У безпеці припущена причина зазвичай «нічого не сталося». Ось як сайти насправді компрометують, чому верхівку цього списку можна відвернути, і як виправлення доводять зачиненим ззовні.
У цій статті 4 розділів
- У безпеці припущена причина є «нічого не сталося». Більшість людей не знають, що їх зламали.
- Наш моніторинг і канали threat intelligence підключені так, щоб відкривати тікет, тож перше повідомлення зазвичай наше. Зловити першим і є роботою.
- Сайти компрометують нудними способами. Застаріле програмне забезпечення і речі, ненавмисно лишені відкритими, очолюють список, і саме їх ловлять аудит перед go-live і безперервне патчення.
- Знайти злам є лише половиною справи. Коли ми закриваємо один, ми доводимо, що двері зачинені, атакуючи знову з адреси, якій не довіряємо. Якщо ми досі можемо до нього дістатися, він не виправлений.
У кожному дзвінку про безпеку є характерна ознака. Припущена причина з боку клієнта зазвичай є найгіршою з можливих: нічого не сталося. Вони не дзвонили, бо щось виглядало не так. Вони подзвонили, бо ми їм сказали. До того моменту, як злам стає видимим людині, якій належить сайт, він зазвичай уже стався.
У безпеці припущена причина є «нічого не сталося»
“quote · attribution: EUROVPS SECURITY У безпеці припущена причина з боку клієнта зазвичай «нічого не сталося». Вони не знали, що їх зламали.”
У цьому вся різниця. Не в тому, що зламів не буває. Вони бувають, на кожній платформі, із сайтами будь-якого типу. Різниця в тому, хто бачить це першим: рівень виявлення, який стежить за ознаками компрометації, або канал threat intelligence, який позначає трафік, якого не повинно існувати, тоді як власний dashboard сайту досі показує зелене. Наш моніторинг і ці канали підключені так, щоб відкривати тікет, і саме тому перше повідомлення зазвичай наше.
Як сайти насправді компрометують
Приберіть кіноверсію, і способи, якими сайти насправді компрометують, виявляться нудними, і вони повторюються. Ось рейтинг, від найпоширенішого. Ніщо на верхівці цього списку не є винахідливим.
Застаріле програмне забезпечення або програмне забезпечення з вичерпаним терміном підтримки
Найпоширеніший шлях усередину, з великим відривом. Застосунок із публічно відомою вразливістю, виставлений в інтернет, на роки позаду з патчами. Виставлений в інтернет і на роки позаду з патчами, це все, що потрібно. Експлойт готовий і доступний. Жодної винахідливості не потрібно.
Щось ненавмисно лишене відкритим
Експлойт не потрібен. Двері просто були відчинені. Сховище даних, прив’язане до кожного мережевого інтерфейсу без автентифікації. Конфігураційний або налагоджувальний файл, доступний усім на читання. CMS, яка віддає імена своїх користувачів через відкритий API. Забутий піддомен staging, який досі відповідає. Ніхто не вламувався. Вони зайшли.
Origin, досяжний за CDN
Сайт стоїть за CDN, але справжній сервер усе ще відповідає напряму, якщо його знайти, а його адреса часто лежить у поштовому DNS самого домену. Парадні двері охороняються, тоді як задні підперті.
Перебір облікових даних без захисту на рівні 7
Сторінка входу без нічого перед нею на рівні застосунку, яку довбають, доки щось не піддасться. Firewall рівнів 3/4 пропускає це прямо: для фільтра портів це виглядає як звичайний трафік до порту, який має лишатися відкритим.
Слабкі, повторно використані або викриті облікові дані без MFA
Пароль, що витік деінде, повторно використаний тут, без другого фактора, який зробив би його марним. Замок був у порядку. Ключ уже скопіювали.
Вихідний спам з уже скомпрометованого облікового запису
Часто перша зовнішня ознака зламу, який уже стався. Обліковий запис не є мішенню. Він є стартовим майданчиком, а спам є димом, а не вогнем.
Фішинг і соціальна інженерія
Людський рівень. Жодної помилки в програмному забезпеченні. Когось просто переконали віддати ключі.
Подивіться на перші два. Застаріле програмне забезпечення і речі, ненавмисно лишені відкритими. Жодне з них не є винахідливою атакою. Обидва є саме тим, що дисциплінований аудит перед go-live і безперервне патчення ловлять до того, як хтось спробує ручку дверей. У цьому весь аргумент за managed security. Більшість зламів не є зламами. У них заходять. І захід можна відвернути.
Зловити першим є роботою. Довести, що зачинено, є різницею.
Знайти злам є половиною роботи. Половина, яку майже ніхто не робить, це довести, що виправлення справді втрималося. Коли ми закриваємо компрометацію, ми не віримо dashboard на слово, що порт зачинений. Ми атакуємо origin знову так, як це зробив би атакувальник: з машини в іншому з наших дата-центрів, через egress, якому firewall ніколи не казали довіряти. Якщо наш власний сканер досі може до нього дістатися, він не виправлений. Лише коли двері зачинені ззовні, з адреси, якій ми не довіряємо, ми називаємо їх закритими.
“quote · attribution: EUROVPS SECURITY Робота полягає не лише у виправленні зламу. Вона в тому, щоб зловити його першим, а потім довести ззовні, що двері зачинені.”
Цей метод, повторна атака на власний origin з недовіреної точки і підтвердження того, що насправді побачив би атакувальник, є окремою дисципліною і має власну статтю. Ми доводимо, що зачинено, ззовні проходить повний playbook.
Сім способів не бути легкою мішенню
Ніщо на верхівці цієї таксономії не потребує геніального атакувальника. А це означає, що більшу частину можна відвернути, просто не будучи легкою мішенню. Сім звичок, у порядку, в якому вони окуповуються.
Патчте або виводьте з експлуатації
Якщо воно виставлене в інтернет і не підтримується, це зобов’язання. Оновіть його або зніміть. Третього варіанту з добрим кінцем немає.
Виходьте з того, що origin знайдуть
Замкніть його на діапазони IP CDN, щоб лише CDN міг до нього дістатися, і припиніть видавати його адресу у вашому поштовому DNS. Прихований origin не прихований, якщо ваш власний DNS його оголошує.
Firewall L3/4 не є WAF
Фільтрація портів не читає запити. Перебір, ін’єкції і зловживання на рівні застосунку проїжджають портами, які ви мусите лишати відкритими. Вам потрібен захист, який інспектує рівень 7.
Аудит перед тим, як оголосити готовим
«Працює» не є «зачинено». Перевірте, що виставлено, що доступне всім на читання, що досі прив’язане до публічного інтернету, до go-live, а не після того, як прийде повідомлення.
Виходьте з того, що облікові дані витечуть. Зробіть їх марними поза whitelist.
MFA всюди, і прив’яжіть чутливі шляхи до відомих адрес. Викрадений пароль сам по собі не повинен відкривати нічого.
Стежте за тим, хто стежить
Моніторинг, який сліпне і досі показує зелене, гірший за відсутність моніторингу, бо купує хибний спокій. Підтвердьте, що детектор справді бачить.
Доведіть виправлення ззовні
Єдиний тест, який рахується, це погляд очима атакувальника. Атакуйте знову з адреси, якій не довіряєте, і підтвердьте, що двері зачинені.
Прямі відповіді
Як насправді зламують сайти на managed-хостингу?+
Переважно двома нудними способами. Застаріле програмне забезпечення або програмне забезпечення з вичерпаним терміном підтримки з публічно відомою вразливістю, виставлене в інтернет, і речі, ненавмисно лишені відкритими: сховище даних без автентифікації, конфігураційний файл, доступний усім на читання, забутий піддомен staging. Винахідливі експлойти далеко внизу списку. Більшість зламів є заходами.
Як я взагалі дізнаюся, що мій сайт зламали?+
Часто не дізнаєтеся, і в цьому суть. Наш моніторинг і канали threat intelligence підключені так, щоб відкривати тікет, тож перше повідомлення про компрометацію зазвичай наше. Припущена причина з боку клієнта зазвичай «нічого не сталося». Вихідний спам або повідомлення від третьої сторони часто є першою зовнішньою ознакою, а до того часу це вже сталося.
Чи захищений мій сервер, якщо він має firewall?+
Firewall на рівнях 3/4 фільтрує порти; він не читає запити. Перебір облікових даних, ін’єкції і зловживання на рівні застосунку йдуть портами, які ви мусите лишати відкритими, тож для нього вони виглядають як звичайний трафік. Firewall не є WAF. Щоб їх зупинити, потрібен захист, який інспектує рівень 7.
Чи можуть атакувальники знайти мій origin-сервер, якщо він за CDN?+
Часто так. CDN допомагає лише тоді, коли до origin не можна дістатися напряму, а справжня адреса origin часто витікає в поштовому DNS самого домену. Замкніть origin на діапазони IP CDN і припиніть оголошувати його в DNS, інакше охоронювані парадні двері мають підперті задні.
На managed-хостингу хто відповідає за патчення моїх застосунків?+
Платформа і застосунок є різними роботами, і прогалина між ними є тим місцем, де сайти компрометують. Ми тримаємо платформу захищеною і проводимо аудит перед go-live. Але застосунок з вичерпаним терміном підтримки, що працює з відомою вразливістю, є спільним ризиком. Цінність managed у тому, що дисциплінований аудит перед go-live і безперервне патчення ловлять більшу частину до того, як хтось спробує ручку дверей.
Не впевнені, що виставлено назовні? Запитайте до того, як дізнається хтось інший.
Принесіть це інженеру, а не черзі тікетів. Ми перевіряємо, що досяжне ззовні, прямо кажемо вам, що закрити, а потім доводимо, що зачинено.
Поговоріть з інженеромВи дійшли до кінця.
Застосуйте прочитане на практиці
Що ви запускаєте?
Розкажіть нам про навантаження, трафік і вимоги до відновлення. Почніть з конструктора сервера або обговоріть деталі з інженером.
Написано інженерами, які будують і експлуатують інфраструктуру, про яку йдеться.Поговоріть з інженером