Co poszło nie tak w firmie ‘Capital One’? – część II

„Co poszło nie tak w firmie giganta finansowego – ‘Capital One’? – część II” – to kontynuacja opublikowanego przez nas w zeszłym tygodniu materiału o naruszeniu danych firmy ‘Capital One’, które zostały upublicznione 19 lipca (część I).

• Użycie zewnętrznej usługi zdalnej – External Remote Service (T1133) . Może zostać zainicjowany z powodu niewłaściwej segmentacji sieci lub bezpośrednio zdalnego dostępu do wewnętrznego systemu organizacji (który powinien być ograniczony i odpowiednio zabezpieczony np. za pomocą serwerów proxy, bram czy zapór sieciowych lub VPN).

Skybox nieustannie ocenia zgodność z regułami, dostępem i konfiguracją sieci, upewniając się, że ograniczenia określone w polityce są egzekwowane w rzeczywistości, a kontrole są zgodne z zasadą najniższych uprawnień. Skybox wykorzystuje model topologii sieciowej oraz informację z systemów bezpieczeństwa do analizy dostępu typu „end to end” – pomiędzy sieciami i strefami sieci oraz w ich obrębie – aby potwierdzić, że istnieje odpowiednia segmentacja.

• Wykorzystanie aktywnego konta – Valid Accounts (T1078). Możliwe np. wtedy, gdy urządzenie sieciowe korzysta z domyślnych uprawnień, osoba atakująca może użyć domyślnych haseł, aby uzyskać dostęp do urządzenia.

Skybox zapewnia wiele specyficznych dla platformy zasad konfiguracji, które można dowolnie dostosowywać do potrzeb biznesowych lub pozostawić w postaci „dostarczonej z pudełka”. Zasady zawierają zestaw kontroli konfiguracji, z których każda jest reprezentowana przez wyrażenie regularne. Podczas analizy plików konfiguracyjnych urządzeń informację o naruszeniach są przekazywane tylko wtedy, gdy wyrażenie regularne, którego poszukujemy zostaje dopasowane. Oznacza to, że urządzenie nie jest zgodne z najlepszymi praktykami przedstawionymi przez producenta bądź naszymi założeniami.

Konsekwencje naruszenia ochrony danych przez Capital One są ogromne. Reputacja Capital One została poważnie naruszona, cena akcji na amerykańskiej giełdzie po informacji o wycieku danych spadły o 4% godzinę po ich ogłoszeniu. Natomiast wyciek ten może kosztować Capital One znacznie więcej niż nadszarpnięta reputacja, firma już teraz musi liczyć się z karami grzywny za naruszenie regulacji lub też potencjalnymi odszkodowaniami w procesach sądowych.

Konsekwencje wycieku danych, które miały miejsce w Capital One są odczuwane nie tylko przez nich samych. Chociaż firma świadcząca usługi finansowe jest ostatecznie odpowiedzialna za naruszenie, wpłynęło to również na jej dostawcę w chmurze, firmę Amazon – według serwisów informacyjnych powiązanie AWS z atakiem może wystarczyć, aby poważnie zaszkodzić firmie Amazon. Obecnie toczy się walka o świadczenie 10-cio letnich usług w chmurze dla Departamentu Obrony USA wartego 10 miliardów dolarów. Powiązanie firmy Amazon z tym wyciekiem może skutkować nie wybraniem ich w toczącym się postępowaniu.

Zaraz po wypłacie 700 milionów dolarów za naruszenie Equifax, naruszenie danych Capital One powinno służyć jako ostrzeżenie dla wielu organizacji, nie tylko w sektorze usług finansowych. Innowacja jest atrakcyjna, ale należy do niej podchodzić ostrożnie: należy trzymać rękę na pulsie oraz być pewnym, że nasze rozwiązania są odpowiednio skonfigurowane i są bezpieczne. Organizacje przechodzące transformację chmurową muszą zapewnić odpowiedni nadzór nad dostępnością do sieci chmurowych i wewnątrz nich.

Jeżeli szybkość, z jaką Capital One zareagował na powiadomienie o naruszeniu, jest jakąkolwiek wskazówką dotyczącą problemu, który był przyczyną wycieku, prawdopodobnie nie było to nic skomplikowanego – pewnie to coś, co mieli zrobić „kilka miesięcy temu”.

Źródło: www.skybox.com