Ноутбук DevOps-инженера и $6,3 млрд: почему на безопасность нужно выделять время

[Ctu]

В случае с Бинанс как будто, что-то недоговартвартвают. Ведь нужно не просто получить доступ к машине "девопса", нужно заранее знать и понимать как устроена и работает внутренняя информационная система, либо потратить какое-то время на анализ, невозможно просто так взять и подсунуть системе платёж, с 100% уверенностью что он пройдёт контроли и будет исполнен.

[Nyanny]

В случае с бинансом там вообще устроили комедийное шоу: одновременно говорят, что все логи зачищены и при этом в это же время сразу же явно называют виновных.

[kenomimi]

Ну если там подключилось ФБР, то скорее всего, большую часть данных до окончания расследования разглашать нельзя, чтобы не мешать следствию. Потому говорят только то, что можно говорить, и оно выглядит очень нелогично для внешнего наблюдателя.

[Ru6aKa]

невозможно просто так взять и подсунуть системе платёж, с 100% уверенностью что он пройдёт контроли и будет исполнен.

Если систему делали тяп ляп, то пройдет любой платеж и никакой алерт не сработает.

Обычно делают кворум подписантов с правилами подписи, которые или загружаются из защищенного хранилища, или просто сделаны хардкодом, допустим, транза до 1 млн, подписывается автоматически и нужно 2 из 3 подписей например, все что выше ручной апрув и ручная подпись от ответственных людей, тоже 2 из 3. Бывает делают старт с подтверждением паролем подписанта, чтобы хакер не мог просто поменять код и перезагрузить контейнер когда захочет.

А то выходит подозрительно, делаешь вывод с бинанса на 3 копейки, спросят 100500 подтверждений и еще могут отправить на проверку на 24 часа, а типы с компа хренпоймикого без палева 3 часа создают мутные транзы и потом делают вывод на 6 лярдов.

[kenomimi]

Девопс не может обслуживать прод без паролей и ключей. Как не изголяйся, но хакер все равно сломает систему, если он уже закрепился на устройстве и может управлять им извне.

Тут нужно изолировать сам ноутбук от интернета, чтобы хакер не смог управлять им. Выдать для ноута симку с доступом только к паре vpn ip компании - такое вполне существует в b2b. Модуль wifi физически вынуть, заменив на модем. Из этого впн доступ только в сеть компании без интерента и мощным dlp. Надо интернет? Либо еще один комп рядом, либо виртуалка в облаке. Все репы, которые нужны для работы, проксируются снаружи внутрь сети компании с задержкой на 1-2 недели и антивирусной проверкой... Даже если мы хватанули что-то, DLP система сходу увидит это по куче неуспешных соединений наружу. Тогда будет хоть какое-то подобие защищенности.

С доступом в интернет никакой защиты нет, вообще, и все антивирусы-файрволлы пустой звук, так как хакер высокого уровня вполне имеет ресурсы на тестирование своего зловреда на всех возможных антивирусах, а уязвимости чаще всего эксплуатируются сложными цепочками.

[nApoBo3]

Многоступенчатая авторизация это проблему успешно решает. Девопс сможет выполнить свою работу, но не сможет внести в систему "разрушающие" изменения. А так конечно, если каждому кодеру по руту выдать, а еще и по sa к хранилищу, что сплош и рядом встречается, рано или поздно это плохо закончится.

[nullc0de]

Согласен, у нас все на авось надеются, и принебрегают основами криптографии и безопасности, при этом думают, что их системы это неприступная крепость и оплот безопасности.

[vaslobas]

Так с чего девопс вообще имеет права единолично вносить изменения в критические части системы? На ревью отправить, а там пара коллег его должны утвердить эти изменения.

Шанс что сломают сразу троих сотрудников одновременно очень мал.

[kenomimi]

Такие темы организуются не "поломали тачку - закоммитили - применили". Такое грубое вмешательство стриггерит ИБ...

Девопс заходит на сайт, там связка, ему через уязвимость прилетает некая полезная нагрузка в виде куска бинарного кода. Она сидит в процессе браузера и не отсвечивает, но при этом ведет первичную разведку. Данные она отправляет только тогда, когда от браузера идет сетевая активность, чтобы не спалится. Дальше хакер по собранной информации генерит и заливает новый шелл, на выход из песочницы браузера, на повышение привелегий, на уход в ядро. Модифицируется в памяти ssh-клиент, получается сессия. Через эту сессию идет проникновение на прод, там снова через цепочку уязвимостей получаем полные права. И вот оттуда уже прямо на лету подменяются нужные участки кода... Все в оперативке, никаких новых файлов, процессов или потоков. И длинные цепочки уязвимостей, а не просто одна критическая cve. Плюс хакер до атаки заранее понимает всю инфраструктуру, и скорее всего, в процессе исследования жертвы стырил все исходники и нужные файлы.

Эта дрянь уже 10-12 лет назад была собрана в фреймворки и продавалась за большие деньги в даркнетах как готовый продукт для взломов. Что там сейчас, с появившимся ИИ, я даже представлять боюсь, особенно у тех, кто может поднять свой расцензуреный ИИ и располагает крутыми кожаными спецами.

[ladydebug-com]

Вспоминается сериал Flight Attendant, в котором одной из героинь дали флешку и попросили записать файл на лаптоп мужа, который работал в хай-теке. Всё это за какую-то символическую плату ~ 5К US$ (точно не помню), в результате какие-то корпоративные секреты утекли в Сев Корею, чувака уволили с волчим билетом и пришлось ему пойти работать в какой-то фаст-фуд, а жене его податься в бега т северокорейские ребята крепко её прижали. Интересно а какие перспективы открываются у Бинансовского ДевОпса?

[Jajaba]

Как же неожиданно удобно, когда есть мифические хакеры, на которых всегда можно всё свалить.

[Tor-Dur-Bar]

Смотрите, смотрите, у сарая нет одной стены! То есть серверы хорошо защищены, а вот пользовательские компьютеры… На каком ПО мог работать тот ноутбук? Archlinux с включённым AUR, Ubuntu навязывающая использование snap-store вместо нормальных репозиториев, macOS что становится похожей на полноценную ОС только после установки homebrew. Появились новости о том, как сотрудник Binance прокололся как раз на неправильной установке homebrew.