Siber Saldırılar ve Veri İhlalleri
Bulut sağlayıcıları bazen her iki tarafın da farkında olmadan hassas müşteri verilerini saklayabiliyor. Sağlayıcı ihlal edildiğinde ise bu veriler sorun yaratıyor.
Açık kaynaklı bir veritabanı sağlayıcısının ihlali, şirketlerin bulut güvenliğini nasıl düşündüklerinde ciddi bir boşluğu istemeden ortaya çıkardı.
19 Ekim’de, SQL veritabanı programı TiDB’yi satan yazılım üreticisi PingCAP, ihlal edildiğini açıkladı. PingCAP’in sitesine göre şirket, Atlassian, Square ve Pinterest gibi büyük Amerikan şirketlerine hizmet veriyor; ayrıca Manus, Kimi ve daha fazlası da dahil olmak üzere Çin’in yapay zeka alanında faaliyet gösteren büyük oyuncularına da hizmet veriyor.
Fail, aldatıcı şekilde adlandırılmış “Fulcrum Security” ya da kısaca FulcrumSec, nispeten yeni bir şantaj grubu. Grubun sızıntı sitesinde LexisNexis, Novo Nordisk ve Manchester Airports Group (MAG) gibi büyük kuruluşlar yer alıyor. Bu sonbaharda FulcrumSec’in PingCAP’i ele geçirdiği görülüyor; bir aydan fazla süre boyunca bulut yönetimi, finans, analitik, depolama ve diğer sistemlerine neredeyse sınırsız erişim sağladı.
Daha büyük sorun, ihlalin alt müşterilerin hassas verilerini açığa çıkarıp çıkarmadığı. Araştırmalar devam ediyor ancak erken bulgular müşterilerin bir risk altında olabileceğini gösteriyor. Gerçek veritabanları ihlal edilmedi ama satıcının onlar hakkında sakladığı bilgiler ciddi sorunlara yol açmaya yetebilir.
Dark Reading yorum için PingCAP’e ulaştı ancak haber yayına hazır olduğunda şirketten yanıt gelmedi.
Satıcı İhlali TiDB Müşterilerini Riske Atıyor
Olayı keşfettikten 12 gün sonra yayımlanan bir güvenlik bildirimde PingCAP, saldırganların 9 Eylül’den 7 Ekim’e kadar sistemlerine erişimi olduğunu kabul etti. Şirketin yazdığına göre yetkisiz taraf çalınan servis hesabı kimlik bilgileriyle iç sistemlere girdi ve veri ile kaynak kodu kopyaladı.
PingCAP’in üçüncü taraf destekli kendi araştırması, saldırganların sistemlerinde kötü amaçlı komut çalıştırdığına ya da kalıcı erişim sürdürdüğüne dair kanıt bulamadı; ayrıca hiçbir müşterinin veritabanına erişilmediğini de belirtti. Bunun yerine tehdit aktörlerinin müşterilerin faturalama ve diğer iş verilerine, sözleşme şartları ve fiyatlandırma gibi bilgilere, bulut hesapları ve ürün kullanımına ilişkin çeşitli bilgilere — e-posta adresleri, SQL editörü metni ve hataları vb. — eriştiğini söyledi. Şifreli API anahtarlarının bulunduğu bir tabloyu da dışarı aktardılar; araştırmacılar şifrelemenin anahtarların kötüye kullanılmasını engellediğini belirtti.
FulcrumSec ise daha karamsar bir tablo çizdi.
Sızıntı sitesindeki isim-ayıp paylaşımında saldırganlar, PingCAP’in tüm servis yönetim kayıtlarına, finansal kayıtlarına, Google Cloud’da saklanan dosyalarına, Jira destek biletlerine, müşteri ilişkileri yönetimi (CRM) verilerine, analitik verilere, kaynak koduna ve TiDB Cloud hizmetine müşterilerinin her birinin yaptığı her bağlantının dört yıllık günlüğüne sahip olduklarını iddia etti.
Kritik nokta, saldırganların doğrudan hiçbir TiDB veritabanını çalmadığını iddia etmemeleri. Bunun yerine dolaylı olarak söz konusu API anahtarları ve diğer gizli bilgiler gibi istismar edilebilecek geniş kullanıcı verilerini ve bulut veritabanı komutlarıyla açığa çıkan potansiyel olarak hassas iç verileri elde ettiler.
Saldırganlar çapraz ateşe yakalanan bireysel şirketleri işaret etti: Airbnb ve Booking.com gibi ABD’li marka şirketleri, Baidu ve Fujitsu gibi Asya devleri ve Capcom, Konami ve Square Enix dahil dünyanın en büyük video oyunu şirketlerinden bazıları. Asya en büyük payı aldı; Japonya, Çin ve Hong Kong’da yaklaşık 2 bin etkilenen kuruluş, Hindistan’dan ise yaklaşık 500 kuruluş var.
Ayrıca FulcrumSec, yetkisiz erişimin sadece bir ay değil neredeyse iki ay sürdüğünü söyledi. Erişim o kadar kapsamlı ve engellenemezdi ki bu arada PingCAP’in kendi servis yönetim sisteminin bir kopyasını kurabildiler. Veriyi manuel olarak dışarı aktarmak yerine, replikasyon akışı şirketin iç veritabanının her altı saatte bir, 22 gün boyunca taze kopyalarını otomatik olarak çekti.
Tehdit aktörlerinin iddiaları her zaman şüpheyle karşılanmalı ve Dark Reading FulcrumSec’in iddialarını bağımsız olarak doğrulamadı. Yine de grubun güvenilirlik kaydı var.
Geçen yaz örneğin grup Manchester Airports Group (MAG)’i ihlal etti ve 86 GB veri çaldığını iddia etti. BleepingComputer’ın haberine göre bu veri, MAG’in itiraf ettiğinden çok daha fazla gerçek kişisel tanımlayıcı bilgi (PII) içeriyordu. Bazı saldırganlar kazançlarını abartırken bu olay tam tersiydi: Başlangıçtaki 86 GB’lık iddia aslında sıkıştırılmış veriyi ifade ediyordu. Saldırganlar, çalınan gerçek, sıkıştırılmamış toplamın aslında 640 GB olduğunu açıkladı.
Kuruluşlar: Hizmet Sağlayıcılarınızı Daha Eleştirel Değerlendirin
Hackerların anlatısını tamamen görmezden gelip PingCAP’in daha sınırlı değerlendirmesini doğru kabul etsek bile bu, müşteriler için potansiyel olarak ciddi bir risk anlamına gelir.
Muhtemelen en akut tehlikeler — geniş müşteri verilerinden ya da korunduğu varsayılan API anahtarlarından daha fazla — daha az açık olan sızdırılan verilerde yatıyor. Bu, Jira biletleri, SQL geçmişleri ve kuruluşların düşünmeden iç veri sızdırdığı yerleri içeriyor. Örneğin müşteriler bulut yönetimli veritabanı hizmetlerini kullandıklarında komutları açıkça satıcının sunucularına gönderiyorlar. Bu etkileşimler sıklıkla kurumsal sırları ya da başka pek çok türde hassas veriyi taşıyabiliyor.
Crystal Morin, Sysdig’de kıdemli siber güvenlik stratejisti, şöyle açıklıyor: “Satıcılar genellikle gizli bilgileri saklamak üzere tasarlanmaz. Ancak müşteriler kolaylık için sunulan özellikleri kullanmak üzere bunları sıklıkla satıcıya iletir ve veriler kimlik bilgisi deposu olarak pek kimsenin düşünmediği yerlere yerleşir.”
Morin, örnek olarak PingCAP’in SQL editörü metnini ve hatalarını gösteriyor. “Bu, sorgu geçmişi ve hata çıktısıdır; biri anlık hata ayıklama için bir bağlantı dizesini yapıştırdığında sırların birikebileceği yer burasıdır,” diye ekliyor Morin. FulcrumSec’in isim-ayıp paylaşımında örneğin, dışarı aktarılan SQL ifadeleri arasında bir tıbbi kliniğin hasta listesinin tamamının ve bir diğerinin tıbbi profesyoneller listesinin açıkça görüldüğü vurgulandı.
Keeper Security baş bilgi güvenliği sorumlusu Shane Barney Morin’in görüşünü destekliyor. “PingCAP olayı, kurumsal güvenlikte günlük bir gerçeği gösteriyor: Saldırganlar bir müşterinin birincil veritabanını doğrudan tehlikeye atmadan, yukarı akış kimlik bilgilerini sistematik olarak toplayarak da hedefe ulaşabilir,” diyor. “Modern yazılım-olarak-hizmet (SaaS) ekosistemlerinde müşteri meta verileri, API anahtarları ve teşhis sorgu günlükleri günlük operasyonel telemetri yoluyla satıcı ortamlarına sızar. Bir sağlayıcıdan servis hesabı kimlik bilgileri ya da yönetici API belirteçleri çalındığında, bu toplanmış operasyonel veri istismar için bir yol haritasına dönüşür.”
Barney, bulut güvenlik hijyeni önemini vurguluyor — satıcıya yönelik API anahtarlarını döndürmek ve geliştirici iş akışlarında sabit kodlanmış ve uzun ömürlü gizli bilgileri ortadan kaldırmak gibi — ve yönetilen hizmet sağlayıcılarını sürekli üçüncü taraf risk değerlendirmeleri ve SOC 2 Type II ve ISO 27001 gibi bağımsız sertifikasyon ve tasdikler talep ederek denetlemek.
Morin, kuruluşların bulut sağlayıcılarını değerlendirirken birkaç spesifik soru sormasını öneriyor. “Ekipler, satıcının müşteri sağladığı veriyi ne kadar süreyle tuttuğunu ve saklama politikasının ne olduğunu anlamaya çalışmalı. Ayrıca alım sırasında gizli bilgiler için tarama yapıp bulduklarını sansürleyip sansürlemediklerini de sormalı,” diyor. “Ekipler ayrıca servis hesabı kimlik bilgilerinin nasıl ele alındığını, kısa ömürlü olup olmadıklarını, nasıl kapsamlandıklarını, ne sıklıkla döndürüldüklerini ve anormal kimlik bilgisi ya da hesap kullanımında hangi tespitlerin devreye girdiğini anlamak isteyebilir.”
Ve ekliyor: “İhlal bildirimi hakkında, özellikle zaman çizelgesi ve tetikleyicileri konusunda bilgi alın.”
