Киберпреступники научились обходить ловушки в облачных сервисах

Для выявления взломов учетных записей в облачных сервисах используются ловушки, но взломщики научились их обходить.

В облачных сервисах хранится много ценной информации, что делает их привлекательной мишенью для киберпреступников. Злоумышленники постоянно изобретают новые способы получения доступа к чужим учетным записям и похищения их содержимого. В свою очередь, у специалистов в области безопасности облачных сервисов есть собственные методы усиления защиты учетных записей и противодействия кибератакам. На случай, если кому-то все-таки удастся прорвать защиту, безопасники оставляют специальные цифровые ловушки. Эти ловушки, так называемые ханитокены (honeytoken), срабатывают при проникновении постороннего и подают соответствующий сигнал.

В роли ханитокена зачастую выступают данные, оставленные ИБ-специалистами для привлечения киберпреступников. К примеру, это может быть отправленное самому себе электронное письмо с темой «Важные банковские данные» и ссылкой-ханитокеном. Если кто-то прошел по ней, значит, учетная запись была взломана. Ханитокены для облачных сервисов представляют собой учетные данные – лакомый кусочек для любого хакера.

Как сообщают эксперты Rhino Security Labs, киберпреступники научились обходить расставленные для них ловушки. Словно мышь, укравшая кусок сыра прямиком из мышеловки, они похищают данные в обход ханитокенов, используемых крупнейшим облачным провайдером Amazon Web Services (AWS).

Данная проблема имеет две составляющие. Первая – сервис CloudTrail, используемый AWS для управления токенами. CloudTrail не поддерживает целый пласт нишевых сервисов – на них не распространяются функции видимости и не создаются записи активности, а для киберпреступников отсутствие записей означает отсутствие следов.

Вторая составляющая проблемы – слишком информативные сообщения об ошибках. В частности, в них отображается Amazon Resource Name – название учетных данных, использовавшихся для отправки запроса. Amazon Resource Name также указывает, используется ли ханитокен. Атакующий может просто вызвать ошибку и увидеть, с каким пользователем имеет дело и есть ли ханитокены, а в CloudTrail не появится об этом ни единой записи.