giao diện lập trình ứng dụng Khóa, mật khẩu, khóa mã hóa và các dữ liệu nhạy cảm khác - được gọi chung trong phát triển phần mềm là "bí mật" - bảo mật một loạt các công nghệ trong suốt vòng đời phát triển phần mềm. Thật không may, họ tiếp tục tìm đường vào tay những kẻ tấn công.
Các nhà nghiên cứu tại Đại học bang Bắc Carolina đã chứng minh hai cách tiếp cận khác nhau để khai thác bí mật, một kỹ thuật đã phát hiện ra 99% các tệp mới cam kết chứa bí mật trong thời gian thực. Họ tìm thấy thời gian trung bình để khám phá là 20 giây. Ngay cả khi bạn nhận ra rằng bạn đã vô tình đẩy một bí mật vào kho lưu trữ công khai, bạn có thể chỉ có trung bình 20 giây để thiết lập một bí mật mới.
Rò rỉ bí mật cho phép tội phạm mạng truy cập và thao túng dữ liệu. Với suy nghĩ này, OPSWAT Đặt ra để tạo ra một giải pháp thân thiện với nhà phát triển để phát hiện bí mật trong mã trước khi nó được đẩy đến kho lưu trữ công khai hoặc được biên dịch thành bản phát hành. Ngoài ra, công nghệ nâng cao phát hiện tốt hơn các bí mật và thông tin bí mật được che giấu.
Hãy xem những loại bí mật nào bị rò rỉ, hậu quả và cách ngăn chặn nó xảy ra.
Những rủi ro thầm lặng của bí mật nhúng
Bí mật được mã hóa cứng bao gồm thông tin nhạy cảm được tích hợp vào phần mềm, chẳng hạn như tên người dùng, mật khẩu, khóa SSH, mã thông báo truy cập và dữ liệu nhạy cảm khác. Nếu các nhà phát triển để lại bí mật trong mã nguồn hoặc cấu hình của ứng dụng, họ có thể sẽ trở thành mục tiêu chính cho các tác nhân độc hại tấn công. Các tác nhân độc hại liên tục quét kho lưu trữ mã công khai để tìm các mẫu xác định bí mật.
Để minh họa rõ hơn điều này, hãy xem xét mã Java sau:
Các nhà phát triển có thể sử dụng mã tương tự như thế này để thử nghiệm cục bộ và quên xóa nó khi họ đẩy mã vào kho lưu trữ. Sau khi biên dịch, tệp thực thi sẽ chứa thông tin đăng nhập cho "admin" hoặc "secretpass" trong mã của nó. Không quan trọng môi trường là gì - cho dù đó là ứng dụng máy tính để bàn, thành phần máy chủ hay bất kỳ nền tảng phần mềm nào khác - các chuỗi nhúng này nằm bị lộ. Không còn nghi ngờ gì nữa, các khóa bị lộ thường là bước đầu tiên để nhiều tội phạm mạng vi phạm một hệ thống được củng cố khác.
Rò rỉ bí mật gần đây và tác động của chúng
Vào năm 2021, các đối thủ mạng đã lợi dụng lỗ hổng trong cách CodeCov tạo ra hình ảnh Docker, tinh chỉnh một công cụ tải lên để chuyển tiếp thông tin đăng nhập cho chúng, có khả năng gây nguy hiểm cho các giao thức phát triển của nhiều doanh nghiệp. Trong một sự cố riêng biệt, tin tặc đã tiết lộ mã nguồn từ nền tảng phát trực tuyến trò chơi Twitch, tiết lộ hơn 6.000 kho lưu trữ Git và khoảng 3 triệu tài liệu.
Vi phạm này đã phơi bày hơn 6.600 bí mật phát triển, mở đường cho các cuộc xâm nhập tiềm năng tiếp theo. Đáng chú ý, các sự cố vô ý khác sau khi vi phạm an ninh đã được báo cáo tại các công ty nổi tiếng như Samsung Electronics, Toyota Motor Corporation và Microsoft.
Vấn đề bí mật bị phơi bày là phổ biến. Sau đây là một số rò rỉ đáng kể khác đã xảy ra trong những năm gần đây:
Vào ngày 3 tháng 7 năm 2022, Changpeng Zhao, Giám đốc điều hành của Binance, đã tweet về một vụ vi phạm dữ liệu nghiêm trọng. Ông cho biết bọn tội phạm đã bán 1 tỷ đĩa trên web đen. Chúng bao gồm tên, địa chỉ, và thậm chí cả hồ sơ cảnh sát và y tế. Vụ rò rỉ bắt đầu vì ai đó đã sao chép mã nguồn với chi tiết truy cập vào một trang blog Trung Quốc, cho phép mọi người nhìn thấy nó.
Vào ngày 2 tháng 8 năm 2022, 3,207 mobile các ứng dụng bị phát hiện rò rỉ Twitter giao diện lập trình ứng dụng Phím. Điều này có nghĩa là tin nhắn riêng tư giữa những người dùng Twitter trong các ứng dụng này có thể được truy cập.
Vào ngày 1 tháng 9 năm 2022, Symantec đã báo cáo rằng 1.859 ứng dụng (cả iPhone và Android) có mã thông báo AWS. 77% trong số các mã thông báo này có thể truy cập các dịch vụ AWS riêng tư và 47% cho phép truy cập vào một lượng lớn tệp được lưu trữ.
Target phải đối mặt với các vấn đề khi kẻ tấn công đánh cắp 40 triệu chi tiết thẻ khách hàng. Doanh số bán hàng của họ giảm 4% sau đó. Thời báo New York báo cáo rằng vấn đề này tiêu tốn của Target 202 triệu đô la.
Sau tất cả những gì đã xảy ra, chúng ta phải hỏi, "tại sao các công ty này không phát hiện ra những rò rỉ này sớm hơn?" Việc xem xét mã cẩn thận hoặc kiểm tra thường xuyên có thể đã phát hiện ra những vấn đề này trước khi chúng trở thành một vấn đề lớn.
Thế nào OPSWATPhòng chống mất dữ liệu chủ động (DLP) của có thể giúp ngăn chặn rò rỉ dữ liệu
Các Công nghệ ngăn ngừa thất thoát dữ liệu chủ động có chức năng phát hiện bí mật tích hợp. Tính năng này sẽ thông báo ngay cho bạn khi phát hiện ra bí mật, chẳng hạn như giao diện lập trình ứng dụng khóa hoặc mật khẩu trong mã nguồn. Cụ thể, nó có thể phát hiện các bí mật liên quan đến Amazon Web Services, Microsoft Azure và Google Cloud Nền tảng.
Hãy lấy vụ rò rỉ dữ liệu của Binance làm ví dụ. Theo báo cáo, ai đó đã gửi thông tin sau đây lên blog. Công nghệ ngăn ngừa thất thoát dữ liệu chủ động có thể quét mã, xác định các cơ chế truy cập chung và thông báo cho các nhà phát triển trước khi họ đẩy mã lên kho lưu trữ công khai.
Công nghệ ngăn ngừa thất thoát dữ liệu chủ động phát hiện những sai lầm tiềm ẩn trước khi chúng trở thành vấn đề nghiêm trọng hơn.
Về Công nghệ OPSWAT ngăn ngừa thất thoát dữ liệu chủ động
Công nghệ OPSWAT ngăn ngừa thất thoát dữ liệu chủ động phát hiện, chặn hoặc biên tập dữ liệu nhạy cảm, giúp các tổ chức ngăn ngừa rò rỉ dữ liệu tiềm ẩn và vi phạm tuân thủ. Bên cạnh các bí mật được mã hóa cứng, Công nghệ ngăn ngừa thất thoát dữ liệu chủ động phát hiện thông tin nhạy cảm và bí mật trước khi chúng trở thành vấn đề nghiêm trọng.
Tìm hiểu thêm về cách Công nghệ OPSWAT ngăn ngừa thất thoát dữ liệu chủ động ngăn chặn dữ liệu nhạy cảm và được quản lý ra khỏi hoặc nhập vào hệ thống của tổ chức bạn.
Liên hệ với a cơ sở hạ tầng trọng yếu Chuyên gia an ninh mạng để biết thêm thông tin và hỗ trợ.
