Нов инструмент с отворен код сканира публичните AWS S3 за тайни

Нов скенер с отворен код „S3crets Scanner“ позволява на изследователи и червени екипи да търсят „тайни“, погрешно съхранявани в публично изложени или фирмени контейнери за съхранение на Amazon AWS S3.

Amazon S3 (Simple Storage Service) е услуга за съхранение в облака, която обикновено се използва от компаниите за съхранение на софтуер, услуги и данни в контейнери.

За съжаление понякога компаниите не успяват да защитят правилно своите  S3 и по този начин публично излагат съхраняваните данни в интернет.

В миналото този тип неправилна конфигурация е ставала причина за нарушения на сигурността на данните, като хакерите  са получавали достъп до данни за служители или клиенти, резервни копия и други видове данни.

В допълнение към данните за приложенията, изходният код или конфигурационните файлове в контейнерите на S3 могат да съдържат и „тайни“, които са ключове за удостоверяване, токени за достъп и API ключове.

Ако тези тайни бъдат разкрити по неправилен начин и станат достояние на хакери, те могат да им позволят много по-голям достъп до други услуги или дори до корпоративната мрежа на компанията.

Сканиране на S3 за тайни

По време на упражнение за проучване на неотдавнашното разкриване на активи на SEGA изследователят по сигурността Ейлон Харел открива, че не съществуват инструменти за сканиране на случайни изтичания на данни, затова решава да създаде свой собствен автоматичен скенер и да го пусне като инструмент с отворен код в GitHub.

За да помогне за навременното откриване на разкрити тайни в публични  S3, Харел създава инструмент на Python, наречен „S3crets Scanner“, който автоматично извършва следните действия:

  • Използване на  CSPM, за получаване на  списък на публичните контейнери
  • Изготвяне на списък със съдържанието чрез заявки към API
  • Проверка за разкрити текстови файлове
  • Изтегляне на съответните текстови файлове
  • Сканиране на съдържанието за тайни
  • Препращане на резултатите към SIEM

Инструментът за сканиране ще включи в списъка само контейнери S3, за които следните конфигурации са настроени на „False“, което означава, че експозицията вероятно е случайна:

  • „BlockPublicAcls“
  • „BlockPublicPolicy“
  • „IgnorePublicAcls“
  • „RestrictPublicBuckets“

Всички контейнери, които са били предназначени за публични, се филтрират от списъка, преди да бъдат изтеглени текстовите файлове за стъпката „сканиране на тайни“.

При сканирането на скриптът ще провери съдържанието на текстовите файлове с помощта на инструмента Trufflehog3 – подобрена версия на скенера за тайни, базирана на Go, която може да проверява за пълномощия и частни ключове в GitHub, GitLab, файлови системи и  S3.

Trufflehog3 сканира файловете, изтеглени от S3crets, като използва набор от персонализирани правила, разработени от Харел, които са насочени към разкриване на лична информация (PII) и вътрешни токени за достъп.

Когато се използва периодично за сканиране на активите на дадена организация, изследователят смята, че „S3crets Scanner“ може да помогне на фирмите да сведат до минимум вероятността от изтичане на данни или пробив в мрежата в резултат на разкриване на тайни.

И накрая, инструментът може да се използва и за „бели“ действия, като например сканиране на публично достъпни контейнери и уведомяване на собствениците на разкрити тайни, преди лошите да ги открият.

 

Източник: По материали от Интернет

Подобни публикации

6 декември 2022

Най-големият пазар на малуер за мобилни устройс...

Изследователи в областта на киберсигурността хвърлиха светлина върх...
5 декември 2022

Социалните медии повишават насилието в училище

Нов доклад, публикуван от британския мозъчен тръст Crest Advisory, ...
4 декември 2022

Google с нова актуализация на Chrome, поправя ...

  В петък гигантът в областта на търсенето в интернет Google п...
1 декември 2022

Google с обвинения към испански шпионски софтуер

Смята се, че базираният в Барселона доставчик на софтуер за наблюде...
1 декември 2022

За дигиталните активи на починалите

Напоследък много наши потребители ни питат какво се случва с пароли...
30 ноември 2022

Уязвимост на Hyundai позволява хакване на ключ...

Изследователи са открили недостатъци в редица приложения, свързани ...
28 ноември 2022

Поредна глоба за Meta

Ирландската комисия за защита на данните (DPC) наложи глоба на Meta...
28 ноември 2022

Социалните медии трябва да престанат да копират...

Интернет не е само за тийнейджъри. Когато поколението Z навлезе в м...
Бъдете социални
Още по темата
28/11/2022

Поредна глоба за Meta

Ирландската комисия за защита на данните...
24/11/2022

34 руски групи откраднаха н...

Цели 34 рускоговорящи банди, разпространяващи зловреден...
22/11/2022

Google Cloud Platform вече ...

Toвa е един от най-широко използваните...
Последно добавени
06/12/2022

Най-големият пазар на малуе...

Изследователи в областта на киберсигурността хвърлиха...
05/12/2022

Социалните медии повишават ...

Нов доклад, публикуван от британския мозъчен...
04/12/2022

Google с нова актуализация ...

  В петък гигантът в областта...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!