Czym jest usługa metadanych w chmurze i dlaczego napastnicy chcą się do niej dostać?

To specjalny wewnętrzny adres dostępny na każdej maszynie wirtualnej w chmurze, z którego maszyna może odczytać informacje o sobie, w tym tymczasowe poświadczenia dla przypisanych jej uprawnień. Oprogramowanie działające na serwerze używa tych poświadczeń, by sięgać do magazynów, baz danych i innych usług chmurowych bez hasła w konfiguracji, co jest dobrą praktyką. Ryzyko polega na tym, że wszystko, co potrafi sprawić, by serwer wysłał żądanie WWW na ten adres, może te poświadczenia również odczytać. Częstą drogą jest server-side request forgery (SSRF): błąd w aplikacji internetowej pozwalający napastnikowi zmusić serwer do pobrania wybranego adresu URL. Mając poświadczenia, napastnik działa na Twoim koncie chmurowym z uprawnieniami serwera. Obrona: wymagaj nowszej, opartej na sesji wersji usługi metadanych tam, gdzie dostawca ją oferuje, bo blokuje proste sfałszowane żądania; dawaj roli każdego serwera tylko potrzebne uprawnienia; naprawiaj błędy SSRF i weryfikuj adresy URL pobierane przez aplikacje; i ustaw alerty, gdy poświadczenia z roli serwera są używane spoza Twojego środowiska, co mogą pokazać logi aktywności dostawcy.

← Wszystkie pytania (25): Bezpieczeństwo chmury i SaaSWszystkie tematy