Cloudflare je pretrpio sigurnosnu povredu s otkrićem da se osumnjičeni napadač iz nacionalne države infiltrirao u njegov interni Atlassian poslužitelj. Proboj, koji se dogodio 14. studenog, a otkriven 23. studenog, doveo je do kompromitacije Cloudflareove Confluence wiki, Jira baze podataka o greškama i Bitbucket sustava za upravljanje izvornim kodom.

Napadači su prvi put dobili pristup Cloudflareovom Atlassian poslužitelju 14. studenog i proveli izviđanje prije nego što su se vratili 22. studenog kako bi uspostavili trajni pristup. Koristili su ScriptRunner za Jira i pristupili Cloudflareovom sustavu upravljanja izvornim kodom Bitbucket, ali nisu uspjeli u svojim nastojanjima da pristupe konzolnom poslužitelju povezanom s nepokrenutim podatkovnim centrom u São Paulu, Brazil.

Napadači su upotrijebili jedan pristupni token i tri vjerodajnice računa usluge koje su prethodno ukradene tijekom provale Okte u listopadu 2023. kako bi ugrozili sigurnost Cloudflarea. Međutim, Cloudflare je brzo otkrio zlonamjernu aktivnost 23. studenog i prekinuo pristup hakerima do jutra 24. studenog.

Nakon kršenja, Cloudflareov tim za kibernetičku sigurnost pokrenuo je temeljitu istragu 26. studenoga. Tvrtka je rotirala više od 5000 proizvodnih vjerodajnica, provela forenzičku trijažu 4893 sustava i ponovno pokrenula svoju globalnu mrežu, uključujući sve Atlassian poslužitelje. Osim toga, Cloudflare je proizvođačima vratio opremu iz svog podatkovnog centra u Brazilu radi sigurnosnog osiguranja. Napori za sanaciju zaključili su 5. siječnja, s Cloudflareom koji je aktivno unaprjeđivao očvršćavanje softvera, vjerodajnice i upravljanje ranjivostima.

Povreda Cloudflareove Okte 2023. uzrokovana je kompromitacijom računa inženjera korisničke podrške Okte putem sofisticirane phishing kampanje usmjerene na inženjera podrške. Napadači bi, nakon što dobiju pristup računu inženjera podrške, potencijalno mogli vidjeti i izvršiti radnje unutar Okta računa više Okta klijenata. Cloudflare je uspješno obuzdao taj incident, osiguravajući da podaci korisnika nisu ugroženi.

Izvršni direktor Cloudflarea Matthew Prince, tehnički direktor John Graham-Cumming i CISO Grant Bourzikas naglasili su da je proboj imao ograničen operativni učinak, ali je shvaćen ozbiljno zbog osjetljivog pristupa koji su napadači dobili. Nadalje su ustvrdili da je napad imao za cilj dobiti rašireni pristup Cloudflareovoj globalnoj mreži, ali su ipak potvrdili sigurnost svojih korisničkih podataka i sustava.

Kako bi spriječili incidente poput kršenja Cloudflarea, tvrtke bi trebale implementirati proaktivne sigurnosne mjere kao što su redovita rotacija vjerodajnica i nadzor, poboljšana obuka zaposlenika s fokusom na svijest o krađi identiteta i edukaciju o cyber prijetnjama, usvajanje sigurnosnog modela Zero-Trust, provođenje višefaktorske autentifikacije, korištenje naprednih sustave za otkrivanje prijetnji i posjedovanje plana brzog odgovora na incidente. Osim toga, učinkovito upravljanje rizikom dobavljača ključno je za procjenu i ublažavanje rizika koje predstavljaju dobavljači trećih strana i njihovi sigurnosni položaji.

Provedba ovih mjera ključna je za zaštitu poduzeća od mogućih provala i osiguravanje sigurnosti njihovih sustava i korisničkih podataka. Kao što je Cloudflare pokazao, brzo otkrivanje i brzi, sveobuhvatni napori za sanaciju bitni su za učinkovito rješavanje kršenja sigurnosti. Ako vam se svidio ovaj članak, pratite Heimdal® Security na LinkedInu, Twitteru, Facebooku i Youtubeu za više vijesti i tema o kibernetičkoj sigurnosti.

Link na izvor