La fuite d'informations pose un grave problème à des milliers d'entreprises dans le monde. De nombreuses startups logicielles et même de grandes entreprises bien établies ont du mal à garantir que données techniques est gardé sous clé. Les problèmes prolifèrent avec des secrets commis de manière inappropriée sur Dépôts GitHub et des compartiments Amazon S3 avec des autorisations mal configurées, laissant des informations sensibles ouvertes à quiconque.
En fait, une étude de l'Université de Caroline du Nord a révélé que sur une période de 6 mois, 200,000 80 mots de passe et clés API ont été publiés sur GitHub, et plus de XNUMX % étaient toujours disponibles à la fin de l'étude. Cet article vous expliquera comment vous pouvez identifier les fuites d'informations potentielles, y remédier et les prévenir de se produire dans le futur.
Table des Matières
Les pratiques de développement modernes présentent un risque de fuite d'informations unique
Le développement logiciel n'est plus ce qu'il était. De nombreuses organisations ont aujourd'hui de grandes équipes composées d'un mélange d'employés internes à temps plein et de sous-traitants, à la fois locaux et du monde entier. Alors que les équipes hybrides ont considérablement augmenté la rentabilité et la productivité dans le développement de logiciels, elles présentent également une activité extrêmement lucrative surface d'attaque. Cela fait référence au nombre total croissant de tous les vecteurs d'attaque possibles (points) où des attaquants ou des utilisateurs non autorisés peuvent accéder à un système ou saisir ou extraire des données. Par exemple, en travaillant à domicile, 47% d'employés tomberont dans le piège des escroqueries par hameçonnage, ce qui augmente les risques et offre plus d'opportunités aux acteurs malveillants.
En particulier, pendant cette nouvelle normalité, non seulement la décentralisation des travailleurs a eu un effet sur le risque de fuite d'informations, mais aussi, il y a eu une augmentation des attaques. Deloitte a signalé que la Suisse avait 350 cyberattaques en avril 2020. Cependant, leur nombre moyen d'attaques se situe entre 100 et 150.
Des équipes de développement importantes et diversifiées au niveau national représentent des défis pour la gestion des identités et des accès. Alors qu'un programme de sécurité de l'information bien planifié peut considérablement réduire la risque de données techniques exposées, des fuites d'informations peuvent toujours se produire facilement. Tout ce qu'il faut, c'est un développeur junior pour mal configurer les autorisations cloud, et de grandes quantités de données peuvent être exposées à Internet au sens large.
Les compartiments S3 exposés ne représentent pas seulement un risque pour l'équipe de développement. Un seau S3 non sécurisé appartenant à un dispensaire de cannabis a divulgué des dizaines de milliers de dossiers personnels de clients, entraînant des milliers d'informations personnelles identifiables (PII). De telles violations peuvent entraîner d'énormes risques pour la réputation ainsi que des mesures réglementaires.
Types de fuite d'informations
Identifiants ou adresses de la source de données cloud :
Le cloud fait partie d'Internet. Lorsque des données cloud sensibles sont exposées au reste d'Internet, c'est à ce moment qu'une violation de données cloud se produit. La plupart du temps, les acteurs malveillants accèdent à des buckets cloud mal configurés (AWS, Azure, GCP) ou à des bases de données (MySQL, ElasticSearch, etc.)
Qu'est-ce qu'un bucket cloud ?
Les buckets cloud sont des espaces pour stocker vos données. Tous les fichiers stockés dans le cloud doivent être stockés dans un compartiment. Vous pouvez contrôler l'accès et organiser les fichiers et les données dans un compartiment qui sont des éléments importants en ce qui concerne leur protection (mais nous en reparlerons plus tard).
Clés API tierces
Le vol ou la perte de données stockées par un tiers, tel qu'une plateforme de gestion de la relation client (CRM) ou une plateforme de planification des ressources d'entreprise (ERP), constitue une violation de vos clés API tierces.
Un exemple de ce type de fuite d'informations est le Fuite de données Facebook en 2019. Plus de détails ont été révélés dans le communiqué de presse initial qui indique qu'environ 533 millions d'utilisateurs ont été touchés. Deux ensembles de données d'applications Facebook tierces ont été piratés et ont exposé les numéros de téléphone des utilisateurs.
Prix: 5 milliards de dollars
Code source
Le code source est une collection de code informatique écrite à l'aide d'un langage de programmation lisible par l'homme. Si le code source et la propriété intellectuelle sont divulgués, cela peut entraîner une perte d'avantage concurrentiel.
Dans 2018, un Un stagiaire d'Apple a divulgué le code source alors qu'il quittait l'entreprise. Le stagiaire a partagé le code source de l'IOS, ce qui a facilité le jailbreak des iPhones avec ses amis chercheurs en sécurité. Bien sûr, le code source a fini par être partagé sur GitHub. Bien qu'Apple ait initialement déclaré que les informations divulguées n'affectaient pas la sécurité de leurs appareils, ils ont rapidement pris des mesures pour supprimer la douzaine de référentiels de code source répliqués sur GitHub. Non seulement le code source divulgué crée des vulnérabilités dont les acteurs malveillants peuvent profiter, mais aussi les concurrents et les clients.
Qu'est-ce que GitHub ?
GitHub est une plate-forme où des communautés de développeurs partagent du code dans le cadre d'un effort collectif pour aider à l'avancement de la programmation. Bien qu'il s'agisse d'une grande communauté, le code source, les clés API et les données de nombreuses organisations sont souvent divulgués sur GitHub et pour les acteurs malveillants, une fuite est une bonne nouvelle qui se propage souvent rapidement. Ces fuites sont généralement des erreurs honnêtes commises par des employés qui cherchent à partager du code ou à être plus efficaces, mais peuvent avoir des conséquences importantes pour les organisations.
Adresses, configuration ou secrets du serveur externe ou interne
Les adresses de serveur externes ou internes, la configuration ou les secrets peuvent fournir un support pour la découverte de réseaux d'acteurs malveillants et le mouvement latéral, ce qui peut conduire à une variété d'attaques potentielles courantes, y compris le vol de données, la destruction de données, ransomware, etc.
Prévention des fuites d'informations
Nous avons établi que la fuite d'informations pose d'énormes risques pour les entreprises, mais comment l'empêcher de se produire en premier lieu ? Ci-dessous quelques bonnes pratiques pour éviter les fuites de données sensibles à partir de compartiments AWS S3 ainsi que de référentiels GitHub. La première chose que votre entreprise peut faire est d'avoir une solide stratégie de prévention des fuites de données.
Prévenir les fuites du godet S3
Accès public au bloc S3
La première étape, et la plus importante, consiste à configurer correctement les compartiments pour éviter les fuites d'informations. Cela peut être accompli en configurant la fonctionnalité S3 Block Public Access, qui permet aux administrateurs de compte de définir rapidement et facilement des autorisations pour les compartiments, les points d'accès et les objets dans l'ensemble de l'organisation. Cela empêche également les ressources d'être accessibles au public, sans qu'il soit nécessaire de vérifier manuellement chaque compartiment.
Utiliser le principe du moindre privilège
Pour tous les environnements cloud, mais en particulier pour les compartiments S3 et le stockage de données, assurez-vous que votre organisation utilise le principe du moindre privilège. Les employés et les consultants ne devraient recevoir que suffisamment de privilèges pour effectuer leur travail de manière adéquate. Le fait de fournir aux utilisateurs un accès administratif au compte inutile peut entraîner des erreurs entraînant une fuite de données techniques. En utilisant le principe du moindre privilège, il réduit votre surface d'attaque, arrête la propagation des logiciels malveillants et améliore la productivité des utilisateurs.
Un modèle plus étendu du principe du moindre privilège est la confiance zéro. Ce concept devient de plus en plus populaire car la confiance zéro considère non seulement pour qui se voit accorder l'accès, mais la confiance zéro prend également en compte le contexte de la demande et le niveau de risque. Les deux concepts sont importants pour prévenir les fuites d'informations, mais, à mesure que les empreintes des organisations deviennent plus complexes, nous nous attendons à ce que davantage d'entreprises adoptent l'approche zéro confiance.
Chiffrer les données au repos
Si vous utilisez des compartiments pour stocker des données sensibles, assurez-vous qu'un chiffrement adéquat est utilisé pour empêcher tout accès non autorisé. Vous pouvez utiliser Amazon S3-Managed Keys (SSE-S3), qui fournit une clé unique qui tourne régulièrement, ou un chiffrement côté client pour y parvenir.
Utiliser une plate-forme de surveillance externe
Une plate-forme de protection contre les risques numériques telle que Flare peut permettre à votre organisation de comprendre votre empreinte numérique en temps quasi réel et de résoudre rapidement les problèmes de compartiment. Flare recherche en permanence les compartiments exposés, les référentiels GitHub et d'autres erreurs de configuration et peut vous alerter immédiatement si les autorisations ont été mal configurées. Non seulement nous surveillons le dark web, mais nous analysons le web clair et profond pour avoir une vue complète de votre surface d'attaque externe.
Prévenir les fuites de GitHub Repo
La prévention des fuites sur GitHub est essentielle pour les sociétés de développement de logiciels et les autres organisations qui développent du code personnalisé. Selon GitHub, en 2020, il y avait plus de cinquante-six millions d'utilisateurs de GitHub et plus de soixante millions de dépôts ont été créés. Alors que les référentiels SaaS collaboratifs peuvent permettre à des équipes du monde entier de travailler ensemble de manière transparente, ils représentent également une large surface d'attaque. De nombreuses organisations exposent involontairement des données telles que des clés d'API, des secrets et des jetons de service par le biais de pratiques de codage laxistes et d'autorisations trop généreuses.
Code source affichant les noms d'utilisateur et les mots de passe d'accès à la base de données.
Les secrets, un terme utilisé pour décrire les divers identifiants d'authentification numériques utilisés dans une infrastructure informatique, tels que les mots de passe, les clés, les jetons, etc., sont particulièrement préoccupants.
Voici quelques pratiques clés que vous pouvez utiliser pour réduire le risque de fuites accidentelles de GitHub :
Standardiser les pratiques de codage
Prenez le temps d'écrire clairement les règles de la route pour votre équipe de développement. Une fois que vous avez établi des politiques exploitables, formez vos développeurs à les respecter tout au long du cycle de vie du développement logiciel. Des politiques telles que l'interdiction du partage de compte pour contourner les problèmes d'autorisations et l'utilisation de hooks Git pré-commit pour détecter activement les secrets peuvent permettre à votre équipe de développement de réduire considérablement le risque de fuite de données techniques.
Centralisez votre stockage de clés et de secrets
De plus, il vaut la peine de considérer votre approche actuelle du stockage des clés et des secrets. Si vos clés de chiffrement ne sont pas sécurisées, cela peut compromettre d'autres pratiques de cybersécurité que vous employez. Envisagez d'utiliser un dépôt centralisé pour stocker en toute sécurité les clés et les secrets plutôt que de vous fier à une gamme d'outils DevOps. Le stockage centralisé peut faciliter le suivi des données techniques hautement sensibles, permettre à votre équipe de travailler efficacement et réduire le risque de fuite accidentelle.
Examiner périodiquement les autorisations
Il est essentiel de procéder à un examen régulier des autorisations basé sur le principe du moindre privilège. Les développeurs qui travaillent sur d'autres projets ou qui ont quitté l'organisation doivent être immédiatement privés de toute autorisation. En planifiant un examen périodique, vous pouvez vous responsabiliser et vous assurer que les autorisations des utilisateurs sont correctement configurées pour le travail qu'ils effectuent.
Encourager une culture de sécurité
De nombreuses organisations prennent des mesures pour se conformer à certaines réglementations en matière de sécurité de l'information et rassurent les principales parties prenantes sur le fait qu'elles prennent la sécurité de l'information au sérieux. Cependant, pour réduire le risque réel, vous devez créer activement une culture de la sécurité. Cela signifie intégrer des conversations sur la sécurité du développement dans les réunions de routine et former régulièrement les développeurs aux meilleures pratiques en matière de sécurité de l'information.
Surveiller en externe les environnements GitHub
Quelle que soit la qualité de votre sécurité, des erreurs se produisent. L'utilisation d'un logiciel externe de surveillance des fuites de données techniques peut vous aider à détecter les fuites que vous auriez pu manquer autrement. De plus, le logiciel Digital Risk Protection peut vous aider à identifier si des utilisateurs ont compromis des informations d'identification à vendre sur le dark web.
N'oubliez pas Pastebin
Pastebin est un site couramment utilisé par les développeurs et les pirates. Essentiellement, le site permet un partage de fichiers facile entre les utilisateurs, ce que l'on appelle des « collages ». Les pâtes sont utilisées de diverses manières par les équipes de développement et les acteurs malveillants. Pastebin permet la publication totalement anonyme de tout texte brut. Bien que l'entreprise supprime le contenu malveillant, elle s'appuie fortement sur les rapports des utilisateurs, ce qui peut entraîner un délai entre la publication et la suppression. Certaines utilisations de Pastebin incluent :
- Partage et collaboration rapides sur le code logiciel
- Partage de fichiers texte comme alternative aux documents Word
- Partage de liens Web sombres entre les utilisateurs
- Publier des vidages de violation de données des noms d'utilisateur, des e-mails et des mots de passe
- Publication du code source volé et d'autres données techniques
Nous encourageons fortement les organisations à surveiller activement Pastebin pour les identifiants de connexion d'entreprise et les fuites de données techniques. Si des informations sensibles sont compromises, il y a de fortes chances qu'elles apparaissent sous forme de pâte.
La fuite d'informations n'a pas à être dévastatrice
Quelle que soit la qualité de vos contrôles, une fuite d'informations peut arriver à n'importe quelle organisation. La combinaison de développeurs sous contrat, de multiples plates-formes logicielles et de dizaines de personnes impliquées dans le développement de logiciels se prête à erreur utilisateur. Flare fournit une plate-forme unique de protection contre les risques numériques qui peut aider non seulement surveiller les fuites d'informationsMais c'est aussi identifier les menaces sur le dark web tels que les stratagèmes de prise de contrôle de compte et la fraude financière.
