Məzuniyyət zamanı dəyişdirilən firewall qaydası 50 milyon miqrasiya qeydinə yol açdı

Təhlükəsizlik mütəxəssisi məzuniyyətdə olarkən dəyişdirilən firewall qaydası kommersiya data mərkəzindən 50 milyon miqrasiya qeydi saxlayan məxfi dövlət istehsal serverinə qısa müddətlik yol açdı. Hadisə The Register nəşrinin PWNED rubrikasında sentyabrın 24-də dərc olunub. Onu təhlükəsizlik tədqiqatçısı Co Brinkli danışır; o, dövlət podratçısında informasiya sistemləri təhlükəsizliyi üzrə zabit kimi firewall qaydalarının dəyişdirilməsinə, şəbəkə hücumlarının aşkarlanması və qarşısının alınmasına cavabdeh olub.

Hadisələr 2010-cu illərin əvvəllərinə təsadüf edir. Tərtibatçılar yeni kodu aşağı təhlükəsizlikli data mərkəzində sınaqdan keçirir, sonra isə istehsal serverinin və məlumatların yerləşdiyi məxfi data mərkəzinə köçürürdülər və bu axını asanlaşdırmaq istəyirdilər. Kodu tərtibatdan istehsala köçürən provisioning serverlərinin məxfi mövqedəki bütün istehsal serverlərinə çıxışının olması üçün firewall qaydalarının dəyişdirilməsini tələb etdilər. Onlar həmçinin Microsoft və Oracle kimi qeyri-dövlət kirayəçilərinin eyni bağlantı ilə əlçatan serverlər saxladığı aşağı təhlükəsizlikli kommersiya data mərkəzinə VPN-lə daxil olmaq istəyirdilər. VPN-i hökumət deyil, data mərkəzinin özü təmin edirdi.

Xəbərdarlıq nəzərə alınmadı

Brinkli Dəyişikliklərin İcmal Şurasına bunun pis fikir olduğunu dedi. "Aşağı səviyyəli qorunan data mərkəzindən birbaşa istehsal üçün yüksək səviyyəli, məxfi data mərkəzinə keçirik və siz aşağı səviyyəli mərkəzdən istənilən şəxsə ən azı yüksək səviyyəli mərkəzə çıxış imkanı verən firewall qaydası açırsınız; bu, çox açıq-aydın problem yaradır" dedi o. Brinkli məzuniyyətdə olarkən tərtibatçılar müraciəti birbaşa Dəyişikliklərin Qəbul Şurasına çatdırdılar və qaydanın dəyişdirilməsinə nail oldular.

Nümayiş: noutbuk və telefon

İşə qayıtdıqdan sonra Brinkli şirkət əməkdaşı və hökumət nümayəndəsi üçün nümayiş təşkil etdi. Noutbukunu mobil telefona qoşaraq VPN vasitəsilə tərtibat serverinə daxil oldu və maşını yandırıb-söndürdü. Sonra həmin bağlantı ilə istehsal serverinə daxil olub ona nəzarət etdi. Bu serverdə 50 milyon miqrasiya qeydi var idi: ölkəyə kimlərin gəldiyi, bu insanların kimin yanında qaldığı və s. Kommersiya data mərkəzinin VPN-inə minlərlə insan çıxış əldə edirdi, məxfi dövlət şəbəkəsinə isə yalnız bir neçə onlarla nəfərin çıxışı olmalı idi. Beləliklə, qayda istehsal serverlərini böyük qrupdakı hər kəsin əli çatan məsafəyə gətirdi. İstifadəçi adı və parol yenə tələb olunurdu, lakin çoxfaktorlu autentifikasiya yox idi və o dövrdə parol standartları aşağı idi; ona görə parolun təxmin edilməsi və ya brute-force hücumu real idi.

Nəticə

Nümayişdən sonra rəhbərlər qaydanı dərhal əvvəlki vəziyyətinə qaytardılar. The Register-ın təqdim etdiyi dərs belədir: VPN və parol təkbaşına təminat deyil. Həssas məlumatlar daha çoxunu tələb edir və minimumu etmək kifayət deyil.