महीने की महाकाव्य असफलता: पुल डेटा पर "वेक्टर" के रूप में rsync

प्रारंभ में, मैं सिर्फ इस लेख की पहली शाखा के लिए कुछ टिप्पणियों के लिए एक लिंक फेंकना चाहता था, उदाहरण के लिए, क्यों चिपके हुए पोर्ट बाहर (कितना व्यर्थ में) अच्छा नहीं है।
खैर, जवाब बड़ा हो गया है चादर में इस लेख में, और टिप्पणी में एक या दो लोग दिखाई देंगे (और शायद कोई काम आएगा)।

हम शब्द के सबसे गंभीर अर्थों में भेद्यता के बारे में बात नहीं कर रहे हैं, लेकिन एक लंबी फट के साथ तुरंत पैर में गोली मारने के लिए उपेक्षा (लापरवाही या आलस्य) कैसे करें।

वास्तव में क्या हुआ

अपगुर्ड साइबर रिस्क टीम को एक "छेद" मिला, जहां गुप्त लोगों सहित कई दस्तावेज़ झूठ बोल रहे थे (मैं किसी अन्य शब्द को नहीं चुन सकता हूं) प्रत्यक्ष सार्वजनिक पहुंच में।
गंभीरता का आकलन करने के लिए - उस "होल" डिवीजन द्वारा कवर की गई कंपनियों में वीडब्ल्यू, क्रिसलर, फोर्ड, टोयोटा, जीएम, टेस्ला और थिसेन क्रुप शामिल हैं।

सभी विभिन्न प्रकारों के लिए डेटा, गोपनीयता की डिग्री और "हस्ताक्षर" गोपनीयता, लेकिन ...

जहाँ घसीटा गया पाया

लेवल वन रोबोटिक्स समूह से संबंधित सार्वजनिक रूप से सुलभ सर्वरों पर, "ओईएम के लिए स्वचालन और असेंबली प्रक्रिया में विशेषज्ञता वाला एक इंजीनियरिंग सेवा प्रदाता ..."
वास्तव में प्रभावित निर्माण कंपनियों की सूची, ऊपर देखें।

क्या घसीटा गया पाया

असेंबली लाइन डायग्राम (10 से अधिक वर्षों के लिए), फैक्ट्री परिसर, रोबोट कॉन्फ़िगरेशन और प्रलेखन के लिए स्थान योजना, कर्मचारी आईडी के साथ अनुरोध फॉर्म, वीपीएन एक्सेस अनुरोध फॉर्म, गैर-प्रकटीकरण समझौते (यहां हंसी), इत्यादि सहित लगभग 157GB अच्छे हैं। .D। आदि यह उपरोक्त सभी कंपनियों के लिए सही है। इसके अलावा, कर्मचारियों के व्यक्तिगत डेटा (लेवल वन और अन्य), जिसमें ड्राइवर के लाइसेंस और पासपोर्ट के स्कैन, लेवल वन बिजनेस डेटा (चालान, अनुबंध और बैंक खाता विवरण) शामिल हैं। लेकिन फिर, वार्म-अप के लिए।

और अंत में जाहिरा तौर पर पूरी तरह से खत्म करने के लिए, सर्वर पर पहुंच स्तर (अनुमतियाँ सेट), "छेद" खोलने के समय, अचानक लिखने योग्य के रूप में प्रकट हुई, अर्थात कोई भी संभावित रूप से वहां दस्तावेजों को बदल सकता है, उदाहरण के लिए, सीधे हस्तांतरण के लिए एकाउंटेंट को निर्देशों में बैंक खाता संख्या बदलकर, वह खुद को कर्मचारियों में एक प्रियजन के रूप में नामांकित कर सकता है, वह एक दुर्भावनापूर्ण कार्यक्रम, आदि चिपका सकता है। आनन्द।

कैसे घसीटा गया द्वारा रोका गया

और यहाँ (जैसा कि मैंने पहले ही ऊपर संकेत दिया है) सब कुछ बहुत सरल है - सर्वर rsync के माध्यम से सुलभ था (या अचानक अचानक बन गया)। Rsync सर्वर IP द्वारा सीमित नहीं था (उपयोगकर्ताओं, कुंजियों आदि के स्तर पर नहीं), अर्थात। सभी डेटा को rsync पोर्ट से जुड़े किसी भी rsync क्लाइंट द्वारा लिखा जा सकता है।

एक बार फिर से - rsync ने बिना किसी अतिरिक्त सत्यापन के, एक खुले बंदरगाह को बाहर फेंक दिया।

शायद सरल - गलत सेटिंग (एक ही रसोई में कई रसोइयों का प्रभाव, आदि)।
मुझे नहीं पता (और UpGuard चुप है) वास्तव में क्या था - चाहे ssh खुला था (जो कि संभावना नहीं है), परिवहन परत के रूप में rsh, डायरेक्ट यूनिसन या किसी अन्य सॉकेट विधि, rdiff या HTTP से HTTPync, आदि के रूप में rsh गया। कई विकल्प हैं, लेकिन मुद्दा यह है कि किसी भी मामले में "अटैक वेक्टर" को सरलतम फ़ायरवॉल नियम द्वारा शून्य किया जाएगा जो केवल कड़ाई से परिभाषित बंदरगाहों और 127.0.0.1 , [::1] और "कुछ दोस्तों" से कनेक्शन की अनुमति देता है पते, उर्फ ​​श्वेतसूची।

हमारे पास क्या है?

उत्पादन के स्वचालन ने उद्योग को बदल दिया है, लेकिन इसने जोखिम के लिए कई नए क्षेत्रों को भी बनाया है, जहां सबसे कमजोर कड़ी (मानव कारक सहित, चाहे दुर्भावनापूर्ण इरादे से, ओवरसाइट, गलत धारणा या मूर्खतापूर्ण आलस्य के कारण) संपूर्ण कॉर्पोरेट सुरक्षा प्रणाली को शून्य कर देती है, जिसका अर्थ है उन उद्यमों को संगठन के डिजिटल पारिस्थितिकी तंत्र में शामिल सभी लिंक का अधिक गंभीर ध्यान रखने की आवश्यकता है।

और आपके VPS-ke पर (या शायद कहीं और, जहाँ ट्रैफ़िक को कल या किसी तरह "बाहर" से लपेटा जा सकता है), सफ़ेद सूची (श्वेत सूची) के साथ पाप से दूर सब कुछ बंद कर दें ताकि कल कुछ सेवा अचानक बाहर हो जाए ( या एक नया हमला वेक्टर जो दिखाई दिया है) ने बेसबोर्ड के नीचे आपकी सुरक्षा को नहीं गिराया है।

ठीक है, अपने "इंजीनियरिंग और अन्य सेवाओं के प्रदाता" पर एक परिचित ऑडिटर सेट करें ...

अचानक वहां भी rsync पोर्ट बाहर चिपक जाते हैं - बंदूक में कलंक।