Опять утечка данных в крупной компании: разбираем инцидент и чеклист для SecOps

Сегодня утром обнаружил новость об очередной утечке данных — на этот раз пострадал крупный ритейлер. Опять кривые настройки S3, опять публичные бакеты. Уже даже не удивляюсь, просто устал.

Что произошло?

По предварительным данным, в открытом доступе оказались:

1. Персональные данные клиентов (имена, email, телефоны)
3. Хэши паролей (к счастью, salted)
5. История заказов за последние 3 месяца

6. Всё это лежало в S3 бакете с политикой public-read. Кто-то нашел это через GrayhatWarfare и поднял шум.

   Чеклист для предотвращения подобного

   После каждого такого инцидента я дополняю свой чеклист для аудита облачных хранилищ:

   1. Проверка прав доступа — все бакеты должны быть private по умолчанию
   3. Мониторинг конфигураций — AWS Config Rules или аналоги
   5. Регулярный аудит — хотя бы раз в квартал
   7. Инвентаризация данных — нельзя защитить то, о чём не знаешь

   8. Особенно бесит, когда такие вещи происходят в компаниях с собственными security-командами. Как можно пропустить public S3 в 2024 году?

      Что делать, если утечка уже произошла

      Из свежего опыта коллег по инцидент-респонсу:

      • Немедленно закрыть доступ
      • Запустить forensics для оценки масштаба
      • Подготовить уведомления для регуляторов
      • Обновить IAM политики (опять же, principle of least privilege)

      • P.S. Если у вас до сих пор нет автоматического сканирования открытых S3 бакетов — сегодня же поставьте.