Търсене
Close this search box.

Нов инструмент с отворен код сканира публичните AWS S3 за тайни

Нов скенер с отворен код „S3crets Scanner“ позволява на изследователи и червени екипи да търсят „тайни“, погрешно съхранявани в публично изложени или фирмени контейнери за съхранение на Amazon AWS S3.

Amazon S3 (Simple Storage Service) е услуга за съхранение в облака, която обикновено се използва от компаниите за съхранение на софтуер, услуги и данни в контейнери.

За съжаление понякога компаниите не успяват да защитят правилно своите  S3 и по този начин публично излагат съхраняваните данни в интернет.

В миналото този тип неправилна конфигурация е ставала причина за нарушения на сигурността на данните, като хакерите  са получавали достъп до данни за служители или клиенти, резервни копия и други видове данни.

В допълнение към данните за приложенията, изходният код или конфигурационните файлове в контейнерите на S3 могат да съдържат и „тайни“, които са ключове за удостоверяване, токени за достъп и API ключове.

Ако тези тайни бъдат разкрити по неправилен начин и станат достояние на хакери, те могат да им позволят много по-голям достъп до други услуги или дори до корпоративната мрежа на компанията.

Сканиране на S3 за тайни

По време на упражнение за проучване на неотдавнашното разкриване на активи на SEGA изследователят по сигурността Ейлон Харел открива, че не съществуват инструменти за сканиране на случайни изтичания на данни, затова решава да създаде свой собствен автоматичен скенер и да го пусне като инструмент с отворен код в GitHub.

За да помогне за навременното откриване на разкрити тайни в публични  S3, Харел създава инструмент на Python, наречен „S3crets Scanner“, който автоматично извършва следните действия:

  • Използване на  CSPM, за получаване на  списък на публичните контейнери
  • Изготвяне на списък със съдържанието чрез заявки към API
  • Проверка за разкрити текстови файлове
  • Изтегляне на съответните текстови файлове
  • Сканиране на съдържанието за тайни
  • Препращане на резултатите към SIEM

Инструментът за сканиране ще включи в списъка само контейнери S3, за които следните конфигурации са настроени на „False“, което означава, че експозицията вероятно е случайна:

  • „BlockPublicAcls“
  • „BlockPublicPolicy“
  • „IgnorePublicAcls“
  • „RestrictPublicBuckets“

Всички контейнери, които са били предназначени за публични, се филтрират от списъка, преди да бъдат изтеглени текстовите файлове за стъпката „сканиране на тайни“.

При сканирането на скриптът ще провери съдържанието на текстовите файлове с помощта на инструмента Trufflehog3 – подобрена версия на скенера за тайни, базирана на Go, която може да проверява за пълномощия и частни ключове в GitHub, GitLab, файлови системи и  S3.

Trufflehog3 сканира файловете, изтеглени от S3crets, като използва набор от персонализирани правила, разработени от Харел, които са насочени към разкриване на лична информация (PII) и вътрешни токени за достъп.

Когато се използва периодично за сканиране на активите на дадена организация, изследователят смята, че „S3crets Scanner“ може да помогне на фирмите да сведат до минимум вероятността от изтичане на данни или пробив в мрежата в резултат на разкриване на тайни.

И накрая, инструментът може да се използва и за „бели“ действия, като например сканиране на публично достъпни контейнери и уведомяване на собствениците на разкрити тайни, преди лошите да ги открият.

 

Източник: По материали от Интернет

Подобни публикации

20 май 2024

Атака над ARRL постави радиолюбителите по света...

Американската радиорелейна лига (ARRL) предупреждава, че е претърпя...

Защита на вашите коммити от известни CVEs с Git...

Всички разработчици искат да създават сигурен и надежден софтуер. Т...
20 май 2024

Чрез GitHub и FileZilla се доставя коктейл от ...

Наблюдавана е „многостранна кампания“, при която се зло...
20 май 2024

7 бъга излезли на Pwn2Own все още чакат поправка

Редица сериозни грешки в Windows все още не са навлезли в криминалн...
20 май 2024

Китайци са арестувани за пране на 73 милиона до...

Министерството на правосъдието на САЩ повдигна обвинения на двама а...
20 май 2024

Квантовата навигация може да замени GPS съвсем ...

Британски консорциум, финансиран от правителството на Обединеното к...
Бъдете социални
Още по темата
26/03/2024

Случаят AnyDesk: Какви стъ...

На 2 февруари популярният инструмент за...
16/03/2024

(Пре)представете си управле...

Докато организациите търсят решения за защита...
07/03/2024

Клиентите на Atlassian тряб...

CISO на Atlassian предупреждава клиентите на...
Последно добавени
20/05/2024

Атака над ARRL постави ради...

Американската радиорелейна лига (ARRL) предупреждава, че...
20/05/2024

Защита на вашите коммити от...

Всички разработчици искат да създават сигурен...
20/05/2024

Чрез GitHub и FileZilla се ...

Наблюдавана е „многостранна кампания“, при която...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!