几分钟内可利用的常见云错误配置报告

配置不当的云服务可以在几分钟内被威胁攻击者利用，有时甚至不到30秒。研究人员发现，攻击包括网络入侵、数据盗窃和勒索软件感染。

Palo Alto Networks的Unit 42的研究人员使用了一个由320个部署在全球的节点组成的Honeypot基础设施，他们错误地配置了云中的关键服务——包括远程桌面协议(RDP)、安全外壳协议(SSH)、服务器消息块(Samba)和Postgres数据库。

研究人员在周一发布的一份报告中披露，他们发现攻击者抓住了利用错误配置的机会，320个Honeypot中有80%在24小时内遭到入侵，并且在一周内全部遭到入侵。

此外，研究人员发现，一些攻击在几分钟内发生，其中一个速度特别快的威胁行为者在30秒内入侵了全球80个Honeypot中的96%。

鉴于组织管理漏洞的速度通常以天或月为单位，“攻击者可以在几分钟内找到并破坏我们的Honeypot，这一点非常令人震惊。”Unit 42首席云安全研究员Jay Chen在帖子中写道。

常见的云错误

研究清楚地表明，鉴于“这些面向互联网的服务大多连接到其他云工作负载，”这些常见的错误配置能以多快的速度导致数据泄露或攻击者破坏整个网络，Chen写道。他说，这强化了快速缓解和修补安全问题的重要性。

“当错误配置或易受攻击的服务暴露在互联网上时，攻击者只需几分钟即可发现并破坏该服务，”Chen写道，“在安全修复的时间安排方面没有任何误差。”

事实上，由于云服务配置错误，已经发生了许多引人注目的网络事件。仅今年，两个受欢迎的商业网点——Hobby Lobby零售连锁店和Wegman的杂货店——就因这些类型的错误而分别遭遇了数据泄露。

由于云存储桶配置错误，Hobby Lobby暴露了客户数据，而Wegman客户数据泄露也同样基于云的数据库配置错误。

引诱攻击者

Unit 42在2021年7月至2021年8月期间进行了当前的云错误配置研究，部署了320个蜜罐，在北美(NA)、亚太(APAC)和欧洲(EU)四个地区，SSH、Samba、Postgres和RDP的分布均匀。他们的研究分析了当时在基础设施中观察到的攻击的时间、频率和来源。

为了引诱攻击者，研究人员故意配置了一些具有弱凭据的帐户，例如admin:admin、guest:guest、administrator:password，它们在沙盒环境中授予对应用程序的有限访问权限。它们在发生妥协事件——即当威胁行为者通过其中一个凭据成功通过身份验证并获得对应用程序的访问权限时——重置honeypot。

研究人员还在honeypot子集上封锁了一系列已知扫描仪IP，根据观察到的网络扫描流量每天更新一次防火墙策略。

该团队根据各种攻击模式分析了攻击，包括：攻击者发现和破坏新服务所花费的时间、目标应用程序的两次连续入侵事件之间的平均时间、在honeypot上观察到的攻击者IP数量以及观察到攻击者IP的天数。

具体结果

研究结果表明，Samba honeypot是攻击速度最快的honeypot，也是攻击者以最快速度连续破坏服务honeypot。

然而，研究人员报告说，SSH是攻击者数量最多的错误配置服务，遭受的攻击者和破坏事件的数量远高于其他三个应用程序。他们发现，受攻击最多的SSH honeypot在一天内遭到169次攻击，而平均每个SSH蜜罐每天遭受26次攻击。

他们发现，研究人员还根据地区追踪了攻击情况，其中北美地区攻击的最多的是Samba和RDP，而来自亚太地区的攻击更频繁地针对Postgres和SSH。

Chen写道，总体而言，85%的honeypot攻击是在一天内观察到的，这向研究人员表明，阻止已知扫描仪IP对缓解攻击无效，因为攻击者很少重复使用相同的IP来发起攻击。

避免常见的云错误

研究人员表示，对于犯下容易被利用的常见云配置错误的组织来说，好消息是，它们也很容易避免。Chen为系统管理员列出了几项建议，以避免让服务暴露在攻击之下。

为了保护服务免受攻击者IP的攻击，云管理员可以实施防护措施以防止特权端口被打开，并创建审核规则来监控所有打开的端口和暴露的服务。

研究人员还建议管理员创建自动响应和补救规则来自动修复错误配置，并部署下一代防火墙来阻止恶意流量。

本文翻