इक्विफैक्स: सबसे बड़े डेटा लीक के एक साल बाद

नमस्कार, हेब्र! हम सभी इक्विफैक्स डेटाबेस (145.5 मिलियन ग्राहकों) से व्यक्तिगत डेटा के रिसाव को याद करते हैं। एक साल बाद, अगस्त 2018 में, जीएओ (सरकारी जवाबदेही कार्यालय, संक्षिप्त जीएओ) यू.एस. कांग्रेस की लेखा परीक्षा, मूल्यांकन और विश्लेषणात्मक-जांच निकाय है) ने रिपोर्ट जारी की “प्रतिक्रिया में इक्विफेक्स और संघीय एजेंसियों द्वारा लिया गया कार्य”। 2017 ब्रीच ”, आप इसे यहाँ पढ़ सकते हैं । मैं केवल उन अंशों को बनाऊंगा जो मेरे लिए दिलचस्प लग रहे थे, और मुझे आशा है, पाठकों के लिए दिलचस्प होगा।

इक्विफैक्स - एक क्रेडिट ब्यूरो। यह संयुक्त राज्य अमेरिका की तीन सबसे बड़ी क्रेडिट एजेंसियों में से एक है और साथ ही एक्सपेरियन और ट्रांसयूनियन (सामूहिक रूप से उन्हें "बिग थ्री" कहा जाता है)। ब्यूरो के पास व्यक्तियों के 280.2 मिलियन से अधिक क्रेडिट इतिहास और कानूनी संस्थाओं के 749 हजार क्रेडिट इतिहास का आधार है।

घटनाओं के कालक्रम

एक पूरे के रूप में सभी जानकारी एक साल पहले जानी गई थी, लेकिन फिर भी मैं एक बार फिर से हमले के मुख्य चरणों से गुजरना चाहता हूं। यहां मैं सूचना सुरक्षा घटना से निपटने पर ध्यान देना चाहता हूं।

10 मार्च, 2017 को, हमलावरों ने विशिष्ट कमजोरियों के लिए इंटरनेट से सुलभ सेवाओं को स्कैन किया, जो यूएस-सीईआरटी ने 2 दिन पहले रिपोर्ट की थी। Apache Struts Web Framework (CVE-2017-5638, https://investor.equifax.com/news-and-events/news/2017/09-15-2017-224018832 ) में कमजोरियाँ। पोर्टल पर भेद्यता पाई गई, जो नागरिकों को इक्विफैक्स क्रेडिट रिपोर्ट की सटीकता / शुद्धता को चुनौती देने वाले दस्तावेजों को अपलोड करने की अनुमति देती है। विशेष सॉफ्टवेयर का उपयोग करके, हमलावर भेद्यता का फायदा उठाने और पोर्टल पर अनधिकृत पहुंच प्राप्त करने में सक्षम थे। उस समय डेटा चोरी नहीं हुआ था।

13 मई, 2017 को डेटा चोरी शुरू हुई। पोर्टल से छेड़छाड़ किए जाने के बाद, हमलावरों ने बहुमूल्य जानकारी की तलाश में अन्य डेटाबेस को अनुरोध भेजा। इसलिए उन्हें व्यक्तिगत डेटा के साथ अनएन्क्रिप्टेड लॉगिन और पासवर्ड के साथ एक भंडार मिला, जिसने अन्य डेटाबेस तक पहुंच दी। कुल मिलाकर, लगभग 9,000 अनुरोध दुर्भावनापूर्ण उपयोगकर्ताओं द्वारा भेजे गए थे, इन अनुरोधों की कुछ प्रतिक्रियाएं व्यक्तिगत डेटा के साथ थीं। हमलावरों ने मौजूदा एन्क्रिप्टेड संचार चैनलों का उपयोग अनुरोधों और आदेशों को पूरा करने के लिए किया। मौजूदा एन्क्रिप्टेड संचार चैनलों का उपयोग करके हमलावरों को एक सामान्य नेटवर्क स्ट्रीम में खो जाने और किसी का ध्यान नहीं जाने दिया जाता है। इक्विफैक्स डेटाबेस से सफलतापूर्वक जानकारी निकालने के बाद, यह सामान्य एन्क्रिप्टेड ट्रैफ़िक से बाहर खड़े नहीं होने पर, छोटे भागों में बाहर की ओर प्रेषित किया गया था। यह हमला खोजे जाने तक 76 दिनों तक चला।

29 जुलाई, 2017 को सूचना सुरक्षा विशेषज्ञों ने, आईटी अवसंरचना की स्थिति की नियमित जांच की, इस पोर्टल पर घुसपैठ का पता लगाया। पेनेट्रेशन का पता तब चला जब एन्क्रिप्टेड ट्रैफ़िक का निरीक्षण किया जाने लगा। कमांड्स की खोज की गई जो सिस्टम के मानक संचालन का हिस्सा नहीं थे। उस तिथि तक, घुसपैठ की जांच प्रणाली द्वारा एन्क्रिप्ट किए गए ट्रैफ़िक का निरीक्षण नहीं किया गया था क्योंकि प्रमाणपत्र की समय सीमा समाप्त हो गई थी और एक नया स्थापित नहीं किया गया था। इसके अलावा, प्रमाणपत्र 10 महीने पहले समाप्त हो गया था, यह पता चला है कि एन्क्रिप्ट किए गए ट्रैफ़िक का 10 महीने तक निरीक्षण नहीं किया गया था। पैठ का पता लगाने के बाद, विशेषज्ञों ने आईपी पते को अवरुद्ध किया जिसमें से अनुरोध भेजे गए थे।

30 जुलाई, 2017 को सूचना सुरक्षा विभाग ने अतिरिक्त संदिग्ध गतिविधि की खोज की, यह इंटरनेट से पोर्टल तक पहुंच को अवरुद्ध करने का निर्णय लिया गया।
31 जुलाई, 2017 को CISO ने घटना के मुख्य कार्यकारी अधिकारी को सूचित किया।

2 अगस्त - 2 अक्टूबर, 2017 इक्विफैक्स ने एक जांच शुरू की, यह निर्धारित करने की कोशिश की कि कितना डेटा चोरी हुआ और यह रिसाव कितने लोगों को प्रभावित करेगा। हमने सिस्टम के लॉग का अध्ययन किया जो घुसपैठियों द्वारा क्षतिग्रस्त या हटाए नहीं गए थे। लॉग के अनुसार, विशेषज्ञों ने यह निर्धारित करने के लिए हमलावरों के कार्यों के अनुक्रम को पुन: पेश करने का प्रयास किया कि क्या डेटा समझौता किया गया था। 2 अगस्त को, कंपनी ने लीक की एफबीआई को सूचित किया।

हमले की सफलता को प्रभावित करने वाले कारक

नीचे रिपोर्ट से ये कारक हैं:

• पहचान (पहचान)। अपाचे स्ट्रट्स की कमजोरता की पहचान नहीं की गई है। यूएस-सीईआरटी ने अपाचे स्ट्रट्स में एक नई भेद्यता के बारे में एक अधिसूचना भेजी, इसे सिस्टम प्रशासकों को पुनर्निर्देशित किया गया। मेलिंग सूची पुरानी हो गई थी, और अपडेट / पैचिंग में शामिल लोगों को यह पत्र प्राप्त नहीं हुआ था। इक्विफेक्स ने भेद्यता के बारे में पता चलने के एक सप्ताह बाद संसाधनों को स्कैन करने का दावा किया है, और स्कैनर को पोर्टल पर यह भेद्यता नहीं मिली।
• जांच (जांच)। एक्सपायर्ड सर्टिफिकेट ने हमलावरों को किसी का ध्यान नहीं जाने दिया। इक्विफैक्स में एक घुसपैठ का पता लगाने की प्रणाली है, लेकिन समय सीमा समाप्त प्रमाणपत्र ने एन्क्रिप्टेड ट्रैफ़िक का निरीक्षण करने की अनुमति नहीं दी।
• विभाजन (विभाजन)। डेटाबेस को एक-दूसरे से अलग-थलग नहीं किया गया था, हमलावर उन डेटाबेस तक पहुंच प्राप्त करने में सक्षम थे जो पोर्टल (प्रवेश बिंदु) से संबंधित नहीं हैं।
• डाटा गवर्नेंस डेटा प्रबंधन का तात्पर्य खातों (लॉगिन) पासवर्ड सहित संरक्षित जानकारी तक पहुँच को प्रतिबंधित करना है।
  
  यह भी अतिरिक्त रूप से नोट किया गया था कि डेटाबेस प्रश्नों की आवृत्ति पर सीमा निर्धारित करने के लिए तंत्र की कमी है। इसने हमलावरों को लगभग 9000 अनुरोधों को पूरा करने की अनुमति दी, जो सामान्य ऑपरेशन के लिए आवश्यक है।

कार्रवाई की गई

दुर्भाग्य से, वास्तव में कुछ भी नहीं पता चला था, निम्नलिखित उपाय नोट किए गए थे:

• सॉफ्टवेयर के लिए पैच / अपडेट की पहचान करने और लागू करने के लिए एक नई प्रक्रिया लागू की जाती है, साथ ही इन पैच की स्थापना को नियंत्रित करने के लिए;
• एक नया डेटा और एप्लिकेशन सुरक्षा नीति लागू की जाती है;
• नेटवर्क ट्रैफ़िक की निरंतर निगरानी के लिए नए उपकरणों का उपयोग किया जाता है;
• आंतरिक सर्वर, साथ ही बाहरी सर्वर और आंतरिक लोगों के बीच पहुंच को प्रतिबंधित करने के लिए अतिरिक्त नियम जोड़े गए;
• अंत उपकरणों के लिए एक अतिरिक्त सुरक्षा उपकरण का उपयोग किया जाता है जो कॉन्फ़िगरेशन के उल्लंघन का पता लगाता है, समझौता (आईओसी) के संभावित संकेतकों का मूल्यांकन करता है, और स्वचालित रूप से पहचान की गई कमजोरियों के सिस्टम प्रशासक को सूचित करता है।

इक्विफैक्स प्रिंसिपल सरकारी ग्राहकों द्वारा लिया गया कार्य

इक्विफैक्स के मुख्य सरकारी ग्राहक:

• अमेरिकी आंतरिक राजस्व सेवा (आईआरएस);
• यूएस सोशल सिक्योरिटी एडमिनिस्ट्रेशन - सोशल सिक्योरिटी एडमिनिस्ट्रेशन (SSA);
• यूनाइटेड स्टेट्स पोस्टल सर्विस (USPS) यूनाइटेड स्टेट्स पोस्टल सर्विस है।

इक्विफैक्स प्रिंसिपल सरकारी ग्राहकों द्वारा किए गए उपाय:

• इस रिसाव से प्रभावित ग्राहकों की पहचान की जाती है और उन्हें सूचित किया जाता है।
• इक्विफैक्स सुरक्षा उपायों का स्वतंत्र मूल्यांकन किया गया है (इस NIST दस्तावेज़ https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53r4.pdf के साथ सबसे अधिक संभावना के अनुपालन के लिए);
• लीक के मामले में अधिसूचना के बारे में इक्विफैक्स के साथ संशोधित समझौते;
• नागरिकों की पहचान के लिए प्रक्रियाओं में बदलाव किए गए;
• नई सेवाओं के बारे में इक्विफैक्स के साथ अल्पकालिक अनुबंध रद्द।

ब्यूरो के निहितार्थ और खर्च

नीचे दिए गए परिणाम पाए गए हैं:

• सीआईओ और सीएसओ ने सुंदर अमेरिकी वाक्यांश "प्रभावी तुरंत" लिंक के साथ निकाल दिया।
• सीईओ को खारिज कर दिया, जो 2005 की कड़ी के बाद से इस पद पर हैं।
• इक्विफैक्स ने कानूनी मुद्दों पर फिलहाल $ 243 मिलियन खर्च किए हैं, नई सुरक्षा निगरानी सेवाएं जो ग्राहकों को मुफ्त में दी जाती हैं, और 8 राज्यों ने लिंक ब्यूरो पर अतिरिक्त आवश्यकताएं रखी हैं।