Spear-Phishing gegen DevOps-Mitarbeiter

Drei Tipps zur Absicherung von Public-Cloud-Ressourcen
Die Hauptvorteile der Migration in die Cloud sind die Agilität und Flexibilität, die Cloud-Umgebungen bieten, wenn es um die Bereitstellung von Computerressourcen geht

Immer häufiger erhalten Hacker Zugriff auf die Public-Cloud-Ressourcen von Unternehmen und Organisationen. Die Ursache ist oft ein nachlässiger Umgang mit den Zugangsschlüsseln berechtigter Nutzer. Eine wesentliche Quelle solcher Schlüssel stellen Entwickler-Plattformen wie GitHub dar, auf denen Mitglieder der DevOps-Teams oft auch vertrauliche Informationen ablegen, die sich in Skripten oder Konfigurationsdateien befinden.

Hacker sind sich dessen bewusst und führen automatisierte Scans auf solchen Repositories durch, um ungeschützte Schlüssel zu finden. Sobald sie solche Schlüssel gefunden haben, erhalten Hacker direkten Zugriff auf die exponierte Cloud-Umgebung, die sie für Datendiebstahl, Account-Übernahme und Ressourcenausbeutung nutzen.

Ein sehr häufiger Anwendungsfall ist der Zugriff von Hackern auf ein Cloud-Konto, in dem sie dann multiple Instanzen starten, um Kryptowährungen zu schürfen. Die Kryptowährung bleibt beim Hacker, während der Besitzer des Cloud-Kontos die Rechnung für die Nutzung von Computerressourcen bezahlen kann.

Solche Fälle von Erschleichung sind häufiger als man denken sollte - auch namhafte Auto- und Software-Hersteller oder Internet-Unternehmen finden sich unter den Opfern. Der Schaden kann dabei durchaus 4- bis 5-stellige Beträge pro Tag erreichen. Das Problem ist so weit verbreitet, dass Amazon sogar eine spezielle Supportseite eingerichtet hat, auf der den Entwicklern mitgeteilt wird, was sie tun sollen, wenn sie versehentlich ihre Zugangsschlüssel preisgeben.

Neben dem Hochladen auf GitHub & Co. gibt es jedoch auch andere Möglichkeiten, Zugangsschlüssel zu exponieren. Hierzu zählen etwa Fehlkonfiguration von Cloud-Ressourcen, die solche Schlüssel enthalten, Kompromittierung von Drittanbietern, die über solche Zugangsdaten verfügen, Exposition durch Client-seitigen Code, der Schlüssel enthält, gezielte Spear-Phishing-Angriffe gegen DevOps-Mitarbeiter und mehr. Radware hat drei grundlegende Tipps für Public-Cloud-Nutzer, mit denen sie sich vor Missbrauch ihrer Ressourcen schützen können:

1. Vom Worst Case ausgehen
Natürlich ist die Sicherung der Vertraulichkeit von Anmeldeinformationen von größter Bedeutung. Da solche Informationen jedoch auf verschiedene Weise und aus einer Vielzahl von Quellen weitergegeben werden können, sollte man davon ausgehen, dass Anmeldeinformationen bereits veröffentlicht sind oder in Zukunft veröffentlicht werden können. Die Annahme dieser Denkweise wird dabei helfen, den Schaden, der durch diese Gefährdung entstehen kann, zu begrenzen.

2. Berechtigungen einschränken
Die Hauptvorteile der Migration in die Cloud sind die Agilität und Flexibilität, die Cloud-Umgebungen bieten, wenn es um die Bereitstellung von Computerressourcen geht. Agilität und Flexibilität gehen jedoch oft auf Kosten der Sicherheit. Ein gutes Beispiel ist die Gewährung von Berechtigungen für Benutzer, die sie nicht haben sollten. Im Namen der Zweckmäßigkeit erteilen Administratoren den Benutzern häufig pauschale Berechtigungen, um einen uneingeschränkten Betrieb zu gewährleisten.

Das Problem ist jedoch, dass die Mehrzahl der Benutzer die meisten der ihnen gewährten Berechtigungen nie verwenden und sie wahrscheinlich gar nicht erst benötigen. Dies führt zu einer klaffenden Sicherheitslücke, denn wenn einer dieser Benutzer (oder deren Zugriffsschlüssel) gefährdet wird, können Angreifer diese Berechtigungen ausnutzen, um erheblichen Schaden anzurichten. Daher wird die Begrenzung dieser Berechtigungen nach dem Prinzip der geringsten Privilegien erheblich dazu beitragen, potenzielle Schäden zu begrenzen, wenn Zugriffsschlüssel in falsche Hände geraten

3. Die Früherkennung ist entscheidend
Der letzte Schritt ist die Implementierung von Maßnahmen, die die Benutzeraktivität auf potenziell schädliches Verhalten überwachen. Ein solches bösartiges Verhalten kann die erstmalige Verwendung von APIs, der Zugriff von ungewöhnlichen Orten aus, der Zugriff zu ungewöhnlichen Zeiten, verdächtige Kommunikationsmuster, die Exposition von Daten oder Ressourcen und vieles mehr sein. Die Implementierung von Erkennungsmaßnahmen, die nach solchen Indikatoren für bösartiges Verhalten suchen, diese korrelieren und vor potenziell bösartigen Aktivitäten warnen, wird dazu beitragen, dass Hacker frühzeitig entdeckt werden, bevor sie größeren Schaden anrichten können.
(Radware: ra)

eingetragen: 18.05.19
Newsletterlauf: 07.06.19

Radware: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Tipps und Hinweise