Ingyenes biztonsági eszköz Amazon S3-hoz
Az Amazon S3 szolgáltatásokat igénybe vevő szervezetek számára egy hasznos eszköz vált elérhetővé az adatszivárgások megelőzéséhez.A világszinten széles körben használt Amazon S3 tárolószolgáltatások kapcsán már számos biztonsági probléma merült fel leginkább azok Amazon-ügyfelek általi nem megfelelő konfigurálása miatt. Gyakorta fordul elő ugyanis, hogy az adattárolók (bucketek) olyan módon működnek, hogy nyilvánosan is elérhetők bárki számára. Márpedig ezek a felhős tárak is megannyi bizalmas adatot tartalmazhatnak, beleértve a személyes adatokat, egyéb adatbázisokat, biztonsági mentéseket, szoftvereket, forráskódokat, hitelesítő és API-kulcsokat stb. Ezért a kiberbűnözők gyakran szemlézik ezeket, és könyörtelenül kihasználják a biztonsági réseket.
Eilon Harel biztonsági kutató volt az egyike azon szakembereknek, akik a SEGA tavalyi adatvédelmi incidensének kivizsgálásában részt vettek. Akkor a SEGA egy nem jól konfigurált S3 bucket miatt került kellemetlen helyzetbe, és szenvedett el adatvédelmi incidenst. Harel ekkor jött rá, hogy nincs igazán olyan eszköz, amivel hatékonyan fel lehetne térképezni, hogy egy-egy szervezet rendelkezik-e nyilvánosan elérhető, ugyanakkor bizalmas adatokat is tartalmazó felhős adattárakkal. Ezért úgy döntött, hogy kifejleszt egy saját eszközt, amit ingyenesen mindenki számára elérhetővé is tett (forráskóddal együtt).
Az S3crets Scanner egy Python alapú program, amely elsősorban azon bucketek feltérképezésére használható, amelyeket az üzemeltetők feltételezhetően véletlenül úgy konfiguráltak, hogy nyilvánosan is elérhetők maradtak. Ezért az újdonság azokat a bucketeket listázza, illetve elemzi, amelyek esetében az alábbi védelmi opciók értéke "false":
"BlockPublicAcls"
"BlockPublicPolicy"
"IgnorePublicAcls"
"RestrictPublicBuckets"
Az S3crets Scanner a feltárt adattárakat a Trufflehog3 eszközzel vizsgálja tovább annak érdekében, hogy a szöveges állományokban kimutathatóvá váljanak különféle típusú bizalmas adatok. Harel ehhez egy szabály (minta) készletet is összeállított, amivel a leggyakrabban előforduló bizalmas információk válhatnak detektálhatóvá, beleértve például a hozzáféréskezeléshez használatos tokeneket is.
-
A GitLab fejlesztői két sebezhetőségről adtak hírt.
-
Az IBM Security Guardium több tucat hibajavítással gyarapodott.
-
A Microsoft három biztonsági rést foltozott be az Edge webböngészőn.
-
A HAProxy egy újonnan feltárt biztonsági hiba miatt válhat támadhatóvá.
-
A Zyxel USG FLEX H szériás hálózati eszközökhöz egy hibajavítás érkezett.
-
A Cisco egyes biztonsági megoldásaihoz fontos patch-eket adott ki.
-
A VMware vCenter Server fontos biztonsági javítást kapott.
-
Kritikus veszélyességű, nulladik napi biztonsági hibát javított a Fortinet.
-
Több mint egy tucat patch érkezett az IBM Storage Protect Serverhez.
-
Az IBM a QRadar SIEM platformja kapcsán egy biztonsági közleményt adott ki.
Az ESET kutatói felfedtek egy vadonatúj számítógépes kártevő programmal végrehajtott, úgynevezett crimeware kampányt, amely három cseh bank ügyfeleit vette célba.
A Booking.com a szálláshelyeket kereső utazók egyik legfontosabb platformja, de mára egyéb szolgáltatások is elérhetővé váltak az oldalon keresztül.