👝 🌼 🎟️ बादल क्यों गरजते हैं: बादल परिनियोजन विफलताएँ 🏮 💍 🎤

एक बड़े संगठन में क्लाउड कार्यान्वयन में आमतौर पर विभिन्न प्रदाताओं से कई सेवाएं शामिल होती हैं, जिनमें से प्रत्येक में इंटरैक्शन, सेटिंग्स और यहां तक कि प्रोटोकॉल के अपने नियम हैं। नतीजतन, सुरक्षा कॉन्फ़िगरेशन इतनी जटिल हो जाती है कि इसे ट्रैक करना मुश्किल होता है और समझने में कठिन भी। अपने नए अध्ययन में, हमने एक उदाहरण के रूप में अमेज़ॅन वेब सेवाओं का उपयोग करके क्लाउड इन्फ्रास्ट्रक्चर को तैनात करने में सबसे आम गलतियों को एकत्र किया , और हम उनमें से कुछ को इस पोस्ट में साझा करेंगे।

क्लाउड प्रदाता आज उन सेवाओं की पेशकश करते हैं जो तुच्छ "समर्पण" या फ़ाइल भंडारण से परे हैं। हर सेवा के हर पहलू को प्रोग्राम किया जा सकता है। यह डेवलपर्स और ऑपरेटरों को पारंपरिक डेटा सेंटर की तुलना में सुरक्षा पर अधिक नियंत्रण देता है। हालांकि, फ़ंक्शन और उनके कॉन्फ़िगरेशन टूल का धन इस तथ्य की ओर जाता है कि आप कई इंटरफेस से कॉन्फ़िगर कर सकते हैं, और - और यह महत्वपूर्ण है - डिफ़ॉल्ट पैरामीटर अलग-अलग तरीकों के लिए अलग-अलग हैं।

अनुभवी उपयोगकर्ताओं के लिए यह कोई समस्या नहीं है - इसके विपरीत, वे कार्य के लिए सबसे उपयुक्त उपकरण का उपयोग करेंगे। हालांकि, दूसरों के लिए, परिणाम उनकी उम्मीदों पर खरा नहीं उतरेंगे।

अमेज़न S3 स्टोरेज

अमेज़ॅन सिंपल स्टोरेज सर्विसेज या अमेज़ॅन एस 3 कई ग्राहकों द्वारा उपयोग की जाने वाली क्लाउड सेवाओं में से एक है, जिसका इस्तेमाल छोटी कंपनियों से लेकर बड़े निगमों तक किया जाता है। लोकप्रियता ने S3 को हमलावरों के लिए एक पसंदीदा लक्ष्य में बदल दिया है जो अपने कॉन्फ़िगरेशन में सेवाओं और त्रुटियों के कार्यान्वयन में खामियों की तलाश कर रहे हैं।

साइबर अपराधियों द्वारा उपयोग किए जाने वाले सबसे आम अमेज़न S3 हमले वैक्टर हैं:

रिकॉर्डिंग के लिए सार्वजनिक भंडारण की सुविधा;
खातों का अवरोधन;
विशेषाधिकारों का दुरुपयोग।

रिकॉर्डिंग साझा करना

फरवरी 2018 में, मोनेरो क्रिप्टोक्यूरेंसी माइनर को सबसे बड़े अमेरिकी समाचार पत्रों की साइट पर खोजा गया था। प्रत्येक पाठक जो साइट पर आया था, उसने अपराधियों के लिए सिक्के ढाले, जिन्होंने प्रकाशन की जावास्क्रिप्ट फ़ाइलों में दुर्भावनापूर्ण कोड जोड़ा।

अखबार की साइट को अमेज़ॅन द्वारा होस्ट किया गया था और एस 3 रिपॉजिटरी में सभी चित्रों, लिपियों और शैली फ़ाइलों को संग्रहीत किया गया था। इस भंडार तक पहुंच केवल पढ़ने तक ही सीमित थी, इसलिए साइट प्रशासकों के लिए हैकिंग एक पूर्ण आश्चर्य था। वे बस यह नहीं समझ सके कि क्लाउड सेवा के विशेषज्ञों द्वारा यह समझाने के बाद कि उन्हें कैसे हैक किया गया था, इसका कारण गलत पहुंच अधिकार था।

अमेज़ॅन S3 रिपॉजिटरी का उपयोग http / https के माध्यम से किया जा सकता है, और इस भाग में, साइट व्यवस्थापकों ने सब कुछ सही किया, केवल पढ़ने तक पहुंच को प्रतिबंधित किया। हालांकि, S3 को कमांड लाइन के माध्यम से AWS देशी प्रोटोकॉल के माध्यम से भी एक्सेस किया जा सकता है, और इस तरह के कॉल के लिए एक्सेस अधिकार अलग से सेट किए जाने चाहिए, और डिफ़ॉल्ट रूप से, AWS CLI के माध्यम से स्टोरेज एक्सेस सभी AWS अधिकृत उपयोगकर्ताओं के लिए अनुमत है। नए अमेज़ॅन S3 उपयोगकर्ताओं के लिए

डिफ़ॉल्ट वॉल्ट के

लिए कंसोल कमांड a3 s3api get-bucket-acl --bucket <BUCKET_NAME> चलाने का परिणाम स्पष्ट है, उनकी वॉल्ट अनुमतियों को दोगुना-प्रतिबंधित करने की आवश्यकता स्पष्ट है, जिससे कई घटनाएं हुईं।

2018 के अंत में, AWS ने नए S3 रिपॉजिटरी के लिए कंसोल से सार्वजनिक पहुंच को प्रतिबंधित करके सुरक्षा नीति को फिर से परिभाषित किया, लेकिन कमांड लाइन का उपयोग करते समय यह नीति लागू नहीं की गई थी। पहुँच को अभी भी एक अलग टीम तक सीमित किया जाना था।

2018-2019 में, एस 3 स्टोरेज का समझौता व्यापक हो गया। कुछ सुरक्षा पेशेवरों और अनुकूल हैकरों ने विशेष रूप से एडब्ल्यूएस संसाधनों की तलाश की जो लिखने के लिए खुले थे और वहां चेतावनी की फाइलें छोड़ दीं।

AWS S3 के असुरक्षित कॉन्फ़िगरेशन के बारे में अनाम चेतावनी

किसी ने सुरक्षित भंडारण पैरामीटर स्थापित करने के लिए अपनी सेवाएं भी दीं:

पैनेस्टर रैंडम रॉबी से चेतावनी और सेवाएं प्रदान करना।

रेंबी रॉबी विगिन्स पेंटेस्टर के लिए यादृच्छिक रॉबी नाम का छद्म नाम है, जिसने 2018 में रिकॉर्डिंग के लिए खुले हजारों S3 स्टोरेज पर अपनी चेतावनी छोड़ दी थी।

S3 रिपॉजिटरी में होस्ट की गई साइटों को स्वतंत्र रूप से संशोधित करने की क्षमता का तुरंत हैकर्स ने फायदा उठाया। Magecart समूह ने सामूहिक रूप से बैंक कार्ड डेटा और उपयोगकर्ता खाता जानकारी चोरी करने के लिए दुर्भावनापूर्ण कोड पेश किया। आखिरकार, जो कुछ भी आवश्यक था, वह एक साइट ढूंढना था जो भुगतान स्वीकार करता है और एडब्ल्यूएस का उपयोग करता है। नतीजतन, अपराधी ऐसे संसाधनों के लिए सैकड़ों हजारों आगंतुकों का डेटा चोरी करने में कामयाब रहे।

डेटा का उदाहरण जो अपराधियों के लिए एक स्किमर को दिया गया था

, मैजार्ट के कार्यों के पीड़ितों में प्रसिद्ध ब्रांडों सहित सैकड़ों ऑनलाइन स्टोर हैं।

अध्ययन के दौरान, हमने पाया कि एडब्ल्यूएस सेवाओं के सुरक्षित विन्यास के बारे में कई प्रकाशनों और सिफारिशों के बावजूद, कम से कम पांच समझौता किए गए ऑनलाइन स्टोर S3 स्टोर का उपयोग करना जारी रखते हैं जो कि योग्य हैं। आज तक, उनकी साइटों में स्किमर नहीं हैं, लेकिन उन्हें किसी भी समय जोड़ा जा सकता है, क्योंकि कमजोर संसाधनों की खोज को सुविधाजनक बनाने के लिए साइबर अपराधियों के पास उनके निपटान में सुविधाजनक उपकरण हैं।

S3 ओपन स्टोरेज सर्च टूल

स्लर्प, बकेट स्ट्रीम और s3scanner उपकरण आपको पठनीय और लिखने योग्य भंडारण खोजने में मदद करते हैं।

स्लरप आपको किसी दिए गए डोमेन के लिए संभव भंडारण नाम खोजने में मदद करता है और उनमें लिखने की अनुमति की जांच करता है:

स्लरप आउटपुट उदाहरण। Http द्वारा प्रवेश बंद है।

AWS सीएलआई के माध्यम से पाया गया भंडारण की उपलब्धता की जांच करने के लिए, आप गेट -बकेट-एसीएल कमांड का उपयोग कर सकते हैं:

AWS एपीआई के माध्यम से संसाधन तक पहुंच भी बंद है।

पायथन में लिखी s3scanner उपयोगिता संभव भंडारण नाम खोजने के लिए एक सरल अनुमान का उपयोग करती है और उन तक पहुंच की जांच करती है।

S3scanner

का उपयोग करके S3 स्टोरेज की उपलब्धता की खोज और जाँच करना । बाल्टी स्ट्रीम उपयोगिता सार्वजनिक स्रोतों में संभावित रूप से कमजोर S3 स्टोरेज के लिए खोज करती है, उदाहरण के लिए, सर्टिफिकेट ट्रांसपेरेंसी और अन्य पत्रिकाओं में।

AWSBucketDump उपयोगिता उन रिपॉजिटरी फ़ाइलों को सूचीबद्ध करती है जिनके नाम में विशिष्ट कीवर्ड होते हैं:

AWSBucketDump उपयोगिता परिणाम

इन उपयोगिताओं का उपयोग करते हुए, दिसंबर 2018 से जनवरी 2019 तक हमें 5200 से अधिक अद्वितीय S3 स्टोरेज मिले। इनमें से 4,400 मानक AWS कमांड-लाइन उपयोगिताओं के लिए उपलब्ध थे। उनमें से केवल 79 पढ़ने के लिए और 40 लेखन के लिए उपलब्ध थे। उनके हिस्से तक पहुँचने के लिए, आवश्यक अधिकारों को निर्दिष्ट करना आवश्यक था।

कैसे खाते हैं लीक

संसाधनों तक पहुँच अधिकार डेवलपर्स के लिए सिरदर्द का एक स्रोत है। और क्लाउड फंड्स के मामले में समस्या और भी विकट हो जाती है। संसाधनों तक पहुंच प्राप्त करने के लिए प्रक्रियाओं को प्रमाणित किया जाना चाहिए, अन्यथा डेटा चोरी या समझौता होने का खतरा है। पूरा सवाल यह है कि रिपॉजिटरी में कोड प्रकाशित करते समय डेटा से छेड़छाड़ किए बिना यह कैसे किया जाए, जैसा कि पास्टेबिन पर पोस्ट किए गए निम्नलिखित टुकड़े के लेखक ने किया था:

Pastebin पर प्रकाशित कोड का एक टुकड़ा वैध AWS एपीआई आईडी और कुंजी के साथ प्रकाशित किया गया था

इस डेटा का उपयोग करके, हमलावर सभी अधिकार प्राप्त कर सकते हैं जो इस एप्लिकेशन के खाते द्वारा प्रदान किए गए हैं।

क्रेडेंशियल लीक का एक अन्य स्रोत कुबेरनेट्स एपीआई क्लाइंट प्रमाण पत्र है। एक तरफ, डिफ़ॉल्ट कॉन्फ़िगरेशन में, इस कंटेनर ऑर्केस्ट्रेशन सिस्टम को क्लाइंट प्रमाणपत्र के रूप में अनिवार्य सुरक्षा की आवश्यकता होती है। दूसरी ओर, आश्चर्यजनक भोले के साथ डेवलपर्स GitHub, Pastebin और अन्य सेवाओं पर कोड के साथ प्रमाण पत्र प्रकाशित करते हैं।

केवल पास्टबिन में हमने कॉन्फ़िगरेशन स्क्रिप्ट के साथ रखे गए पचास अलग-अलग क्लाइंट प्रमाणपत्रों को खोजने का प्रबंधन किया।

यदि कहीं भी स्पष्ट पाठ में प्रमाण पत्र प्रकाशित करना एक बुरा विचार है, तो इसे GitHub पर पोस्ट करना सिर्फ घृणित है, क्योंकि:

एक प्रमाण पत्र को हटाने के लिए, आपको इसे रिपॉजिटरी में सभी सहेजे गए संस्करणों से हटाना होगा;
- , , ;
, , , .

संकलित एपीआई कुंजी और प्रमाण पत्र गंभीर वित्तीय क्षति का स्रोत बन सकते हैं, जैसे कि एक दिन के लिए एक रूसी कंपनी पर अमेज़ॅन का $ 12 हजार बकाया है : इसने बिट्रिक्स पर एक वेबसाइट को हैक किया, जिसने अन्य चीजों के अलावा, एस 3 स्टोरेज तक पहुंच के लिए एपीआई कुंजी का संकेत दिया।

एक रूसी कंपनी के बिलिंग पैनल से स्क्रीनशॉट, चोरी की गई एपीआई कुंजी जिसका उपयोग कई आभासी मशीनों और क्रिप्टोक्यूरेंसी खनन बनाने के लिए किया गया था। स्रोत: habr.com/en/post/357764

ग्राहक डेटा का रिसाव कम दर्दनाक नहीं हो सकता है, जैसा कि 2019 में इम्पेरवा में है । Imperva ने API कुंजी चुरा ली और सभी क्लाइंट डेटा को मर्ज कर दिया।

चुराए गए खातों का उपयोग साइबर अपराधियों द्वारा अवैध रूप से समर्पित एडब्ल्यूएस सर्वरों का व्यापार करने के लिए किया जा सकता है, जिसका भुगतान वास्तविक मालिकों को करना होगा। लोल्स्टेम फोरम पर, हमें "शुद्ध शून्य डेडिकोस" की पेशकश करने वाले 250 से अधिक विज्ञापन मिले।

मंच lolzteam पर घोषणा। आखिर में कौन देगा अमेजन को भुगतान?

एपीआई कुंजी लीक का एक तीसरा स्रोत प्रोग्रामर के लिए विभिन्न प्रकार के प्रशिक्षण पाठ्यक्रम हैं।

एडब्ल्यूएस सेवाओं को शुरुआती से सरल बनाने के लिए कनेक्ट करने की प्रक्रिया को समझाने की कोशिश करते हुए, लेखक खराब अभ्यास को दोहराते हैं, जो भविष्य में समझौता के नए और नए मामलों की ओर जाता है।

पायथन कोर्स से एक स्निपेट जो बताता है कि अमेज़ॅन एस 3 सेवाओं के साथ कैसे काम किया जाए। कार्यक्रम में हार्डकोड को कुंजी की पेशकश की जाती है

प्रगतिशील और सुरक्षित जावा भाषा पर पाठ्यक्रम के लेखक एपीआई कुंजी की सुरक्षा के लिए इस तरह के लापरवाह रवैये को प्रदर्शित करते हैं :

भाषा अलग है, लेकिन सलाह एक ही है - कार्यक्रम पाठ में चाबियाँ सही हैं।

हमारी सिफारिशें

क्लाउड सेवाओं का गलत कॉन्फ़िगरेशन क्रिप्टोक्यूरेंसी खनन से डेटा चोरी और ऑनलाइन स्किमर्स की शुरूआत के लिए पट्टे पर कंप्यूटिंग संसाधनों के अवैध उपयोग से कई जोखिम पैदा करता है। इस संबंध में, हम अनुशंसा करते हैं कि सुरक्षाकर्मी प्रक्रिया पूरी होने से पहले संभावित कमजोरियों की पहचान करने के लिए क्लाउड परिनियोजन परिदृश्यों का विश्लेषण करें। AWS CloudFormation जैसी क्लाउड सत्यापन स्क्रिप्ट यह जानकारी प्रदान करती है कि परिणामी आधारभूत संरचना कैसे काम करेगी, जहां गलत या अनुपलब्ध सुरक्षा सेटिंग्स या लॉग देखने के लिए। ट्रेंड माइक्रो द्वारा विकसित सुरक्षा उपकरणों में, क्लाउड वातावरण की सुरक्षा के उद्देश्य से एक उत्पाद है - अमेज़ॅन ईसी 2 उदाहरणों के लिए गहन सुरक्षा।और क्लाउड अनुरूपता उपकरण असुरक्षित सेटिंग्स के लिए कंपनी के क्लाउड वातावरण की अनुमति देता है।

एस 3 रिपॉजिटरी के साथ बातचीत करने के लिए एडब्ल्यूएस एपीआई कुंजियों का उपयोग करने वाले प्रोग्रामर के लिए, हम सुझाव देते हैं कि एडब्ल्यूएस सीक्रेट मैनेजर, डॉकर सीक्रेट्स, ब्लैकबॉक्स, गिट-सीक्रेट्स और इसी तरह के अन्य उपकरणों के माध्यम से काम करने के लिए स्विच करें जो मूल के साथ संग्रहीत क्रेडेंशियल्स के समझौता और दुर्भावनापूर्ण उपयोग से बचने की अनुमति देगा। आवेदन ग्रंथों।

बादल क्यों गरजते हैं: बादल परिनियोजन विफलताएँ

अमेज़न S3 स्टोरेज

रिकॉर्डिंग साझा करना

S3 ओपन स्टोरेज सर्च टूल

कैसे खाते हैं लीक

हमारी सिफारिशें

More articles: