Zagrożenia związane z ekspozycją aplikacji treningowych w chmurze

W dzisiejszych czasach celowo narażone aplikacje treningowe odgrywają kluczową rolę w edukacji dotyczącej bezpieczeństwa, testach wewnętrznych oraz prezentacjach produktów. Narzędzia takie jak OWASP Juice Shop, DVWA, Hackazon i bWAPP zostały zaprojektowane jako niebezpieczne z założenia, co czyni je wartościowymi dla nauki o technikach ataków w kontrolowanych środowiskach.

Problemem nie są same aplikacje, lecz sposób ich wdrażania oraz utrzymania w rzeczywistych środowiskach chmurowych. Badania Pentera Labs wskazały, że aplikacje przeznaczone do izolowanego użycia były często wystawiane na publiczny internet, działając w aktywnych kontach chmurowych i łącząc się z tożsamościami chmurowymi mającymi szerszy dostęp niż jest to konieczne.

Wzorce wdrożenia zaobserwowane w badaniach

Badania Pentera Labs ujawniły, że aplikacje te często były wdrażane z domyślnymi ustawieniami, minimalną izolacją oraz zbyt szerokimi rolami chmurowymi. Śledztwo wykazało, że wiele z tych wystawionych środowisk treningowych było bezpośrednio połączonych z aktywnymi tożsamościami chmurowymi oraz uprawnionymi rolami, co umożliwiało atakującym przejście znacznie dalej niż same vulnerabilne aplikacje, potencjalnie w głąb szerszej infrastruktury chmurowej klienta.

W takich sytuacjach jedna wystawiona aplikacja treningowa może stanowić punkt wyjścia dla ataku. Gdy atakujący uzyskują dostęp do połączonych tożsamości chmurowych i uprawnionych ról, nie są już ograniczeni do pierwotnej aplikacji ani hosta. Zamiast tego mogą uzyskać możliwość interakcji z innymi zasobami w tym samym środowisku chmurowym, co znacząco zwiększa zakres i potencjalny wpływ naruszenia.

Dowody na aktywne wykorzystanie

Środowiska treningowe, które zidentyfikowano w trakcie badań, nie były jedynie źle skonfigurowane. Pentera Labs zaobserwowało wyraźne dowody, że atakujący aktywnie wykorzystywali tę ekspozycję w praktyce. W szerszym zbiorze wystawionych aplikacji treningowych około 20% instancji zawierało artefakty wdrożone przez złośliwe podmioty, w tym działalność wydobywania kryptowalut, webshells oraz mechanizmy trwałości. Artefakty te wskazywały na wcześniejsze naruszenia oraz bieżące nadużycia wystawionych systemów.

Obecność aktywnego wydobywania kryptowalut oraz narzędzi trwałości dowodzi, że wystawione aplikacje treningowe są nie tylko wykrywalne, ale już są wykorzystywane w większym zakresie.

Zakres wpływu

Wystawione i wykorzystywane środowiska zidentyfikowane podczas badań nie ograniczały się do małych lub izolowanych systemów testowych. Pentera Labs zaobserwowało ten wzór wdrożenia w środowiskach chmurowych związanych z organizacjami z listy Fortune 500 oraz wiodącymi dostawcami bezpieczeństwa cybernetycznego, takimi jak Palo Alto, F5 i Cloudflare.

Pomimo różnic w konfiguracji indywidualnych środowisk, podlegający analizie wzór pozostał spójny: aplikacja szkoleniowa lub demonstracyjna była wdrażana bez wystarczającej izolacji, pozostawiana publicznie dostępną oraz łączona z uprzywilejowanymi tożsamościami chmurowymi.

Dlaczego to jest istotne

Środowiska treningowe i demonstracyjne są często traktowane jako zasoby o niskim ryzyku lub tymczasowe aktywa. W związku z tym często są wykluczane z standardowego monitorowania bezpieczeństwa, przeglądów dostępu oraz procesów zarządzania cyklem życia. Z biegiem czasu te środowiska mogą pozostawać wystawione długo po upływie ich pierwotnego celu.

Badania pokazują, że wykorzystanie nie wymaga podatności zależnych od zero-day ani zaawansowanych technik ataku. Domyślne dane uwierzytelniające, znane słabości i publiczna ekspozycja były wystarczające, aby przekształcić aplikacje treningowe w punkt dostępu do szerszego dostępu chmurowego.

Oznaczenie środowiska jako „szkoleniowe” lub „testowe” nie zmniejsza jego ryzyka. Kiedy jest narażone na internet i połączone z uprzywilejowanymi tożsamościami chmurowymi, te systemy stają się częścią efektywnej powierzchni ataku organizacji.

Aby uzyskać więcej informacji o metodologii, procesie odkrywania oraz rzeczywistym wykorzystaniu obserwowanym podczas tych badań, zapraszamy do zapoznania się z pełnym blogiem badawczym Pentera Labs oraz do udziału w transmisji na żywo, która odbędzie się 12 lutego.

Artykuł napisany przez Noama Yaffe, starszego badacza bezpieczeństwa w Pentera Labs. W przypadku pytań lub dyskusji prosimy o kontakt na adres labs@pentera.io.