इंपर्वा ने क्लाउड WAF हैक के तकनीकी विवरण का खुलासा किया

अगस्त के अंत में, Imperva ने क्लाउड WAF (पूर्व में इनकैप्सुला) ग्राहकों को गोपनीय सूचनाओं के लीक होने की सूचना दी और खाता पासवर्ड रीसेट करने की पहल की। यह पता चला कि बाहरी लोगों ने पासवर्ड हैश, एपीआई कुंजियों और एसएसएल प्रमाणपत्रों तक पहुंच प्राप्त की है।

10 अक्टूबर को, कंपनी के सीईओ क्रिस हायलेन और सीटीओ कुणाल आनंद ने घटना का विवरण देते हुए पोस्टमार्टम किया। यह एक कंपनी के साथ कैसे हो सकता है जो डेटा और एप्लिकेशन सुरक्षा में माहिर है?

सारांशित करने के लिए, अपने स्वयं के होस्टिंग से अमेज़ॅन वेब सेवाओं के लिए डेटाबेस के गलत माइग्रेशन के कारण समस्या उत्पन्न हुई।

अपने पोस्ट में, क्रिस हेइलन प्रवास के दौरान की गई कई गलतियों को सूचीबद्ध करता है। साथ में, उन्होंने Amazon Web Services पर उत्पादन में किसी एक खाते में व्यवस्थापक API कुंजी को चोरी करने की अनुमति दी। एक जांच से पता चला कि अनधिकृत पहुंच अक्टूबर 2018 में वापस हुई।

15 सितंबर, 2017 से पहले पंजीकृत ग्राहकों के बारे में विभिन्न जानकारी के साथ एडमिन कुंजी ने हमलावर को डेटाबेस स्नैपशॉट तक पहुंच प्रदान की। जानकारी में ईमेल पते, हैशेड और नमकीन पासवर्ड शामिल हैं, और कई क्लाइंट्स के लिए, API कुंजियाँ और SSL प्रमाणपत्र ग्राहकों द्वारा प्रदान किए गए हैं।

विफलता का कालक्रम

सीटीओ के अनुसार, यह सब 2017 में शुरू हुआ, जब कंपनी ने एडब्ल्यूएस ( रिलेशनल डेटाबेस सर्विस , आरडीएस) सेवा पर विचार करना शुरू किया, क्योंकि इनकैप्सुला सिस्टम "नए ग्राहकों को आकर्षित करने और उनकी महत्वपूर्ण आवश्यकताओं को पूरा करने के कारण महत्वपूर्ण दबाव में था" । क्लाउड होस्टिंग में परिवर्तन को व्यवसाय को बढ़ाने के लिए आवश्यक था।

हालाँकि, "कुछ मुख्य निर्णय AWS मूल्यांकन प्रक्रिया के दौरान डेटाबेस स्नैपशॉट से जानकारी निकालने के लिए संयुक्त।"

इन घातक फैसलों में से एक इस स्नैपशॉट का निर्माण है।

एक और गलती AWS एपीआई कुंजी के साथ एक आंतरिक कंप्यूटिंग उदाहरण बना रही है, जिसे उपयोगकर्ता बाहर से एक्सेस कर सकते हैं।

इस प्रकार, हमलावर उदाहरण से समझौता करने, कुंजी चुराने और डेटाबेस स्नैपशॉट तक पहुंचने के लिए इसका उपयोग करने में सक्षम था।

हालांकि अक्टूबर 2018 में डेटा लीक हुआ था, इम्पर्वा ने केवल 20 अगस्त 2019 को हैक के बारे में सीखा, जब किसी तीसरे पक्ष ने कंपनी को अपने सर्वर से डेटा का एक सेट भेजा, जो बग बाउंटी प्रोग्राम के लिए इनाम की मांग कर रहा था। इंपर्वा का दावा है कि यह तीसरी पार्टी पहले से ज्ञात नहीं थी: “हमने प्रस्तुत डेटासेट में SQL डेटाबेस डंप की तुलना अपने स्नैपशॉट के साथ की - और एक मैच पाया। फिलहाल, हम कह सकते हैं कि ग्राहक डेटा तत्व 15 सितंबर, 2017 तक WAF खातों तक सीमित हैं। हमारे अन्य उत्पादों के डेटाबेस और स्नैपशॉट को फ़िल्टर नहीं किया गया है। "

GDPR कानून के अनुसार, कंपनी निर्धारित तरीके से कानून प्रवर्तन अधिकारियों और संबंधित नियामकों को अधिसूचित करती है। एक डेटाबेस की जाँच और क्षति के आकलन में कई सप्ताह लग गए। उसके बाद, इम्पर्व ने सार्वजनिक रूप से घटना के बारे में जानकारी का खुलासा किया।

इंपर्वा इस बात पर जोर देती है कि 2017 में डेटाबेस गतिविधि की निगरानी के लिए अपना स्वयं का उत्पाद डेटाबेस गतिविधि निगरानी (डीएएम) ने एडब्ल्यूएस आरडीएस (किसी भी अन्य क्लाउड होस्टिंग की तरह) का समर्थन नहीं किया और इसलिए आंतरिक रूप से इसका उपयोग नहीं किया गया। केवल 2019 में, क्लाउड डेटा सिक्योरिटी (सीडीएस), जो कि पाएएस के लिए उपयुक्त है, को विकसित किया गया था, जिसका उपयोग अब क्लाउड डब्ल्यूएएफ की निगरानी के लिए भी किया जाता है।

भविष्य के लिए सबक

आनंद का कहना है कि इम्पर्व ने भविष्य की घटनाओं को रोकने के लिए कुछ कदम उठाए हैं, जिनमें शामिल हैं:

• अभिगम नियंत्रण में वृद्धि;
  
• "स्नैपशॉट" के लिए एक्सेस चेक की संख्या बढ़ाना;
  
• निष्क्रिय उदाहरणों (समझौता किए गए लोगों सहित) का विघटन;
  
• डिफ़ॉल्ट रूप से वीपीएन के लिए सक्रिय कंप्यूटिंग उदाहरणों की मेजबानी करें;
  
• सॉफ्टवेयर की निगरानी और देरी के बिना पैच स्थापित करना;
  
• साख और कुंजियों का आवधिक परिवर्तन;
  
• बेहतर क्रेडेंशियल प्रबंधन
  
• इन्फ्रास्ट्रक्चर स्कैनिंग की आवृत्ति में वृद्धि।

AWS प्रबंधन कंसोल के लिए बहु-कारक प्रमाणीकरण पहले भी सक्षम किया गया है। हालांकि, आनंद के अनुसार, उसने एपीआई कुंजी के अनधिकृत उपयोग को नहीं रोका होगा।

तकनीकी निदेशक ने कहा कि, आंतरिक नियंत्रण में सुधार के लिए धन्यवाद, आज इस रिसाव को दोहराना संभव नहीं है। नया इंपर्व सिस्टम कमजोर डेटाबेस इंस्टेंस और स्नैपशॉट का पता लगाने के मामले में तुरंत संकेत देगा, जैसे कि 2018 हैक। तथ्य यह है कि AWS CloudTrail और GuardDuty लॉगिंग सिस्टम ने पहले काम किया था, और उन्होंने लॉग में अनधिकृत गतिविधि को लॉग किया, उन्होंने बस इसका संकेत नहीं दिया।

सीटीओ के अनुसार, घटना की जांच करने की प्रक्रिया में, कंपनी ने कोई अन्य भेद्यता नहीं पाई और एक डेटा लीक के शिकार हुए ग्राहकों के संबंध में साइबर अपराधियों द्वारा किसी भी दुर्भावनापूर्ण गतिविधि के बारे में नहीं पता है।

“हमारी जांच की शुरुआत में, हमने तुरंत अपने ग्राहकों को सूचित किया ताकि वे सूचित निर्णय ले सकें और सुरक्षा उपायों के अनुसार कार्य कर सकें जिनकी हमने सिफारिश की थी। इन सिफारिशों के लिए धन्यवाद, हमारे ग्राहकों ने 13,000 से अधिक पासवर्ड बदले, 13,500 से अधिक एसएसएल प्रमाणपत्र बदले और 1,400 से अधिक एपीआई कुंजियों को बहाल किया, आनंद ने कहा। "हमारा मिशन एक ही रहता है: हमारे ग्राहकों और उनके उपयोगकर्ताओं की ओर से, साइबर अपराधियों से डेटा और एप्लिकेशन को बचाने के लिए वैश्विक लड़ाई का नेतृत्व करते हैं।"

संदर्भ के लिए। Imperva वेब एप्लिकेशन और डेटा सुरक्षा समाधान (CDN, क्लाउड फ़ायरवॉल, रिवर्स प्रॉक्सी, DDoS हमलों से सुरक्षा और इतने पर) के दुनिया के अग्रणी प्रदाताओं में से एक है।



कंपनी की स्थापना 2002 में हुई थी, कर्मचारियों की संख्या 1000 लोगों से अधिक है, वार्षिक आय: $ 321.7 मिलियन (2017)। 2011 से, कंपनी के शेयरों को न्यूयॉर्क स्टॉक एक्सचेंज में कारोबार किया गया है, लेकिन जनवरी 2019 में इसे पूरी तरह से निजी निवेश फर्म थामा ब्रावो द्वारा खरीदा गया था, जो कि प्रौद्योगिकी और सॉफ्टवेयर कंपनियों की खरीद में माहिर है।

यह कहना मुश्किल है कि घटना से इंपर्व की छवि कैसे प्रभावित होगी और इससे व्यवसाय को कितना खतरा है। निश्चित रूप से, ग्राहकों की संख्या नहीं बढ़ेगी, और छवि खराब हो गई है।

DevOps त्रुटियों से कोई भी सुरक्षित नहीं है, विशेष रूप से क्लाउड इंस्टेंस को स्थापित करने के जटिल व्यवसाय में। लेकिन सभी में से कम से कम ऐसी त्रुटियों से उम्मीद की जा रही है जो इंपर्वा है।

“हम इस तथ्य के लिए जिम्मेदारी स्वीकार करते हैं कि घटना हमारी पसंद का परिणाम थी, जो कार्रवाई हमने डेटाबेस के प्रवास के दौरान और उसके पहले की थी या नहीं की थी। हम सलाह देते हैं कि सभी संगठन इंफ्रास्ट्रक्चर में एक सेवा (IaaS) समाधान के रूप में अनुप्रयोगों और डेटा को तैनात करने और प्रबंधित करने के लिए साझा जिम्मेदारी को पूरी तरह से पहचानने के लिए समय लेते हैं, ”इम्पेरवा सीटीओ ने कहा। "आप सुरक्षा के साथ" खत्म "कभी नहीं कर सकते। हर दिन हमें अपनी प्रक्रियाओं का मूल्यांकन और सुधार करने के लिए काम करना जारी रखना चाहिए। ”