כיצד קובצי גיבוי פגיעים בענן עלולים לחשוף את כל בסיס הנתונים של הארגון שלכם
במבדק אבטחת מידע שגרתי התגלה שקובצי גיבוי קריטיים המכילים מידע רגיש ביותר היו חשופים לחלוטין ברשת. במאמר זה נפרט כיצד תקלה פשוטה הובילה לחשיפה מסיבית של מידע רגיש, וכיצד ארגונים יכולים למנוע תרחיש דומה.
חשיפת קובצי גיבוי במאגרים ציבוריים: כך תאבטחו את המידע הרגיש שלכם
כיצד שימוש לא מאובטח במשאבי ענן עלול להוביל לחשיפה חמורה של מידע רגיש
במבדקי אבטחת מידע, פעמים רבות מתגלות פרצות שאינן נובעות ישירות מהאפליקציה עצמה, אלא משימוש לא נכון או לא מאובטח במשאבים חיצוניים. במאמר זה נציג מקרה שגילינו במהלך מבדק אבטחת מידע לאפליקציה של אחד מלקוחותינו, ובו נמצאו קובצי גיבוי (BAK) רגישים השמורים במאגר קבצים ציבורי המיועד להורדת קבצים ע"י משתמשי האפליקציה. חשיפה זו אפשרה גישה למידע רגיש שכלל את כל בסיס הנתונים של האפליקציה.
הבנת הבעיה: חשיפת קובצי גיבוי דרך מאגרי קבצים ציבוריים
כיצד גיבויים פגיעים עלולים להוות איום חמור על אבטחת המידע
לקוחות רבים משתמשים בשירותי ענן לצורך אחסון והורדה של קבצים כמו מסמכים, תוכנות, מדריכים, תמונות ועוד. משתמשים יכולים להוריד מהם קבצים שונים הקשורים לאפליקציה או למערכת מסוימת. לעיתים קבצים רגישים כמו קובצי גיבוי נשמרים בטעות במאגרים אלה ללא אבטחה מתאימה, דבר שמוביל לחשיפות חמורות.
במהלך מבדק האבטחה, גילינו באתר תמיכה של הלקוח קובצי PDF להורדה עם הסברים על שימוש באפליקציה. אותם קבצים היו שמורים במאגר קבצים ציבורי (במקרה שלנו AWS S3 Bucket) – כלומר, נגישים לכל גולשי הרשת. מהבדיקה עלה שבאותו מאגר קבצים נמצאו קובצי BAK – קובצי גיבוי שכללו את כל בסיס הנתונים של האפליקציה כולל מידע מהשנה האחרונה.
חשיפת מידע רגיש דרך קובצי גיבוי
כיצד חשיפה בלתי מבוקרת של גיבויים מסכנת את המידע הרגיש של הארגון
במסגרת הבדיקה, הורדנו את אחד מקובצי הגיבוי (BAK) וביצענו ניתוח שלו. בתוך קובץ הגיבוי נמצא כל המידע הרגיש של בסיס הנתונים של הלקוח שכלל פרטים אישיים של משתמשים, לוגים של שימוש באפליקציה, פרטי לקוחות ועוד.
לפיכך הצלחנו למעשה לגשת לכל המידע הרגיש של האפליקציה, בלי לנצל פרצות באפליקציה עצמה.
העובדה שהקובץ היה זמין להורדה לכל מי שגלש לאתר, הביאה לכך שגורם זדוני יכול היה באותה קלות לגשת למידע זה, להשתמש בו לרעה, ולבצע פעולות כמו גניבת זהויות, הונאות או פגיעה עסקית בלקוח.
לפרצה זו יש השלכות חמורות על האבטחה של כל מערכות הלקוח, בייחוד אם מביאים בחשבון שקובצי הגיבוי כללו גם מידע על תהליכים פנימיים ופרטי משתמשים נוספים. כשל כזה באבטחה מציב את החברה במצב פגיע ומסוכן, העלול לפגוע במוניטין שלה ובאמון לקוחותיה.
תובנות ממומחי סייבר של IPV Security
צעדים להגנה על הארגון מפני חשיפת קובצי גיבוי במאגרים ציבוריים
כדי למנוע תרחישים דומים בעתיד, מומלץ לארגונים לבצע את הצעדים האלה:
- אחסון מאובטח של קובצי גיבוי – יש לוודא שקובצי גיבוי אינם מאוחסנים במאגרים ציבוריים או בשרתים חיצוניים ללא בקרת גישה מתאימה. יש לאחסן קובצי גיבוי במיקומים מאובטחים בלבד המוגנים בסיסמאות ובבקרות גישה.
- הגבלת גישה לקבצים רגישים – על גורמים מורשים בלבד לקבל גישה לקבצים רגישים כמו קובצי גיבוי. ניהול הרשאות נכון מסייע במניעת גישה לא מורשית.
- שימוש בנוהל ביצוע גיבויים – יש ליישם נוהל מסודר ומאובטח ליצירת קובצי גיבוי ושמירתם כדי להבטיח שהמידע הרגיש נשמר בצורה בטוחה ומגנה על פרטיות המידע. על המדיניות לכלול גם פרטים על גיבוי של קבצים רגישים ואופן הצפנתם.
- סריקות אבטחה קבועות – יש לבצע סריקות תקופתיות למאגרים ציבוריים ואתרי עזר של החברה כדי לזהות קבצים רגישים הנחשפים בטעות ולבצע מחיקות או הגנות מתאימות.
סיכום: מניעת חשיפת מידע רגיש דרך קובצי גיבוי
כיצד ניהול מאובטח של קובצי גיבוי יכול למנוע פגיעה חמורה במידע הרגיש של הארגון.
שמירה לא מבוקרת של קובצי גיבוי במאגרי קבצים ציבוריים יכולה להוביל לחשיפה חמורה של נתונים רגישים, כפי שאפשר לראות במקרה זה. הפרקטיקה של העלאת קובצי גיבוי לאתרי עזר בצורה לא מאובטחת מסכנת את האבטחה של כל מערכת האפליקציה. יש צורך בבקרות הדוקות יותר על ניהול הקבצים ועל תהליך הגיבוי כדי להבטיח שמקרים כאלו לא יתרחשו בעתיד ולהגן על הנתונים הרגישים של הלקוחות.
להתייעצות בנושא ניהול מערכת הגיבויים או להזמנת מבדק חדירה אפליקטיבי, פנו למומחי איי פי וי סקיוריטי!
להתייעצות מקצועית ניתן לפנות אלינו לאימייל info@ipvsecurity.com או במספר הטלפון 077-4447130. IPV Security מתמחה זה 20 שנה באבטחת מידע, סייבר, סקרי סיכונים ותקנים ורגולציות הנוגעים לביטחון מידע ועוד.
