Ne luvut, jotka saavat sinut valvomaan yötä

Aloitetaan numerolla, joka ei jätä kylmäksi: hiljattain skannatuista 2 931 altistuneesta MySQL-tietokannasta peräti 2 930 oli jo ransomware-operaattoreiden merkitsemiä kohteita. Tämä ei ole ennuste. Tämä ei ole "saattaisi tapahtua." Tämä on vahvistettu tosiasia.

Prosenttiosuus? Karvat nostattava 99,96 %.

Jos olet toiminut sillä oletuksella, että altistuneet tietokannat saattaisivat pysyä huomaamattomina – odottaa rauhallisesti, kunnes joku vahingossa törmää niihin – tämä data murskaa sen harhan. Uhka-aktorit eivät odota. He ovat katsoneet.

Kuuden vuoden takainen toimintamalli, joka Yhä Toimii

Tässä on se häiritsevä osuus: käytössä oleva toimintamalli ei ole mikään hienostunut, nollapäiväinen hyökkäysketju. Se on pohjimmiltaan sama metodologia, joka on ollut liikkeellä noin vuodesta 2019–2020 lähtien.

Puhumme:

• Automatisoitu skannaus altistuneille tietokantaporteille (3306 MySQL:n tapauksessa)
• Credential stuffing oletus- tai heikoilla tunnuksilla
• Tietokantojen kartoitus korkea-arvoisten kohteiden tunnistamiseksi
• Hiljainen datan exfiltration ennen salausta
• Ransomwaren käyttöönotto yhä aggressiivisemmilla aikatauluilla

Työkalut ovat kypsyneet. Automatika on parantunut. Mutta ydinentrypointti? Virhekonfiguraatio. Altistuneet portit. Unohdetut testiympäristöt, jotka ovat yhä kytkettynä julkiseen internettiin.

Tämä ei ole osoitus hienostuneista kansallisvaltioaktoreista. Tämä on opportunistinen skannaus teollisessa mittakaavassa, toteutettu ryhmien toimesta, jotka ovat muuttaneet tietokantakompromission tehokkaaksi liiketoiminnaksi.

Miksi Altistuneet Tietokannat Ovat Helppo Saalis

Saattaa miettiä: jos tämä on niin tunnettua, miksi tietokannat pysyvät altistuneina?

Vastaus on petollisen yksinkertainen:

1. Kehittäjien mukavuus – Paikallinen kehitys tarkoittaa usein avoimia portteja helppoa pääsyä varten. Tuotantoon siirtyminen tapahtuu joskus näiden asetusten kanssa ennallaan.

2. Pilvivirhekonfiguraatiot – Julkiset pilvi-instanssit käynnistyvät usein turvaryhmät permissiivisessä tilassa "vain testausta varten."

3. Unohdetut testiympäristöt – Se staging-palvelin vuodelta 2022? Yhä käynnissä. Yhä altistunut.

4. Näkyvyyden puute – Tiimit eivät yksinkertaisesti tiedä, mikä on internet-facing.

5. Oletus piilossa olemisesta – "Kuka meitä tavoittelisi?" Vastaus: automatisoitujen bottien, jotka eivät diskriminoi.

Mitä Tämä Tarkoittaa Infrastruktuurillesi

Jos ajat mitä tahansa MySQL-tietokantoja – olipa kyse sovelluksestasi, analytiikastasi tai asiakastiedoistasi – sinun täytyy kohdella altistuneita instansseja kompromettoituneina, vaikka et olisi nähnyt tunkeutumisen merkkejä.

Hyökkääjien toimintamalli olettaa:

• Tietokantoja valvotaan huonosti
• Varmuuskopiot saattavat olla samalla kompromettoituneella järjestelmällä
• Organisaatiot panikoivat ja maksavat mieluummin kuin palauttavat todennettujen varmuuskopioiden kautta
• Tunnistus- ja vasteajat ovat riittävän hitaat, jotta salaus kannattaa

He eivät ole väärässä monissa tapauksissa.

Välitöntä Toimintaa

Tarkista altistumisesi:

• Käytä työkaluja kuten Shodan, Censys tai BinaryEdge tarkistaaksesi, ilmestyvätkö IP-osoitteesi internet-skannauskantoihin
• Käy läpi pilvipalveluntarjoajasi turvaryhmät ja verkko-ACLit
• Varmista, ettei yhtään tietokantaporttia ole saavutettavissa 0.0.0.0/0:sta

Koveta autentikointia:

• Pakota vahvat, uniikit salasanat kaikille tietokantatileille
• Toteuta IP-allowlisting aina kun mahdollista
• Harkitse yhteyksien tunnelointia VPN:n tai bastion-isäntien kautta suoran altistumisen sijaan

Todenna varmuuskopiointistrategiasi:

• Ovatko varmuuskopiot tallennettu offline-tilaan tai erilliseen turvallisuusvyöhykkeeseen?
• Milloin viimeksi on tehty onnistunut palautustesti?
• Onko sinulla point-in-time recovery -kyky?

Ota lokitus ja monitorointi käyttöön:

• Tietokannan auditilokien tulisi tallentaa yhteysyritykset, kyselyt ja hallinnolliset toiminnot
• Aseta hälytykset epätavallisista käyttömalleista tai massiivisesta dataviennistä
• Harkitse database activity monitoring (DAM) -ratkaisuja

Suurempi Kuva: Turvallisuus Infrastruktuurina

Tämä ei ole vain tietokantaongelma. Se on muistutus siitä, että turvallisuus täytyy kohdella perustavanlaatuisena infrastruktuurina, ei jälkikäteen ajateltuna lisäyksenä.

NameOceanilla näemme tämän kaavan toistuvasti – startupit ja kehittäjät liikkuvat nopeasti, shippaavat ominaisuuksia, ja vahingossa altistavat infrastruktuurin. Paine iteroida nopeasti on todellinen, mutta ransomware-incidentin tai datavuodon kustannus ylittää moninkertaisesti ne insinööritunnit, jotka tarvitaan asioiden kunnolliseen suojaamiseen alusta alkaen.

Verkkotunnusrekisteröijäsi, hosting-palveluntarjoajasi, DNS-konfiguraatiosi – nämä kaikki ovat entrypointeja, jotka ansaitsevat saman tarkastelun, jonka (toivottavasti) kohdistat tietokantatasoon.

Johtopäätös: Olettaen, että Sinua Tarkkaillaan

Ne 2 930 merkattua tietokantaa eivät ole poikkeuksia. Ne edustavat laajempaa todellisuutta: jos tietokantasi on altistunut internetille, se on jo jonkun tutkassa.

Toimintamalli on kuusi vuotta vanha, koska se toimii. Älä anna tuttavuuden näihin hyökkäysmetodeihin huumaa sinua välinpitämättömyyteen. Sen sijaan anna sen motivoida toimintaa.

Tarkista altistumisesi. Lukitse pääsy. Todenna varmuuskopiosi. Ja muista: nykyisessä uhkamaastossa näkymättömyys ei ole turvallisuusstrategia.

Pysy turvassa.

Onko sinulla kysyttävää tietokantainfrastruktuurin tai hosting-ympäristön suojaamisesta? Jätä kommentit – olemme täällä auttamassa sinua rakentamaan turvallisesti alusta alkaen.