Кампраміс Axios npm: што здарылася, каго гэта закранула і як гэтаму перашкодзіць

Чаму npm-атака на Axios небяспечная

На першы погляд, здаецца, што ўсё ў парадку. Запыт выкананы паспяхова, праграма паводзіць сябе належным чынам, і pipelineпрацягваюць праходзіць без памылак.

Аднак, найважнейшая дэталь адбываецца да адпраўкі запыту. Падчас гэтага акна выканання ўзламаная залежнасць можа ціха атрымліваць доступ і збіраць канфідэнцыйныя дадзеныя, такія як загалоўкі аўтарызацыі, токены API, метададзеныя запыту і зменныя асяроддзя.

Паколькі гэтая логіка працуе ўнутры даверанай бібліятэкі, якая знаходзіцца непасрэдна ў шляху HTTP-запыту, яна фактычна працуе з тымі ж прывілеямі, што і само прыкладанне. У выніку яно можа атрымліваць доступ да дадзеных, якія звычайна абаронены ад знешніх зламыснікаў.

Асабліва небяспечным гэта робіць не толькі доступ да дадзеных, але і адсутнасць бачных наступстваў. Няма ніякіх парушэнняў у функцыянальнасці, ніякіх няўдалых запытаў і ніякіх неадкладных сігналаў аб тым, што нешта не так. З аперацыйнага пункту гледжання ўсё працягвае працаваць належным чынам.

Тым часам канфідэнцыйная інфармацыя можа ўжо пакідаць сістэму праз выходныя злучэнні, якія зліваюцца са звычайным трафікам прыкладанняў.

Чаму гэта ў першую чаргу праблема DevOps

Для каманд DevOps гэты тып атакі асабліва цяжка выявіць, бо ён лёгка інтэгруецца ў існуючыя працоўныя працэсы.

Залежнасці ўсталёўваюцца аўтаматычна, pipelineвыконваюцца нармальна, і ніякіх неадкладных збояў не ўзнікае.

Адначасова, CI/CD асяроддзі часта раскрываюць каштоўныя паўнамоцтвы, у тым ліку:

• Токены пастаўшчыка хмарных паслуг
• Ключы разгортвання
• CI/CD сакрэты аўтэнтыфікацыі

Узламаная залежнасць, якая працуе ў гэтым кантэксце, можа атрымаць доступ да гэтых уліковых дадзеных непасрэдна.

Гэта стварае сітуацыю, калі ўсё выглядае нармальна, у той час як доступ да канфідэнцыйных дадзеных ажыццяўляецца ў фонавым рэжыме.

Рэальная рызыка: сакрэтнае раскрыццё ў вялікіх маштабах

Кампраміс Axios NPM падкрэслівае ключавы зрух у сучасных стратэгіях атак.

Мэта ўжо не ў тым, каб выкарыстоўваць уразлівасці, а ў тым, каб атрымаць доступ да сапраўдных уліковых дадзеных.

Паколькі сучасныя сістэмы абапіраюцца на аўтэнтыфікацыю на аснове асяроддзя, залежнасць, якая працуе падчас выканання, можа атрымаць доступ да:

• API ключы
• Токены паслуг
• Уліковыя дадзеныя ў воблаку

Гэтыя паўнамоцтвы не трэба парушаць.

Іх трэба толькі выкарыстоўваць.

Гэта дазваляе зламыснікам перамяшчацца ў іншыя месцы, атрымліваць доступ да сэрвісаў і здабываць дадзеныя з выкарыстаннем легітымнай аўтэнтыфікацыі.

У выніку, наступствы залежаць ад таго, якія сакрэты будуць раскрыты, а не ад таго, як будзе выканана атака.

Чаму традыцыйныя інструменты бяспекі гэтага не разумеюць

Традыцыйныя падыходы з цяжкасцю выяўляюць гэтыя атакі, бо яны сканцэнтраваны на вядомых уразлівасцях або статычных сігнатурах. Аднак, як падкрэсліваецца ў Аналіз OpenAI З-за кампраметацыі інструмента распрацоўшчыка Axios рэальная рызыка ўзнікае падчас выканання, калі давераныя залежнасці ўзаемадзейнічаюць з канфідэнцыйнымі дадзенымі.

Аднак скампраметаваная залежнасць можа не ўтрымліваць ніякіх відавочных паказчыкаў.

Могуць быць:

• Няма CVE
• Няма шкоднаснага подпісу
• Няма анамальнага сінтаксісу

Адначасова статычны аналіз не ацэньвае паводзіны падчас выканання. Ён не можа вызначыць, як залежнасць узаемадзейнічае з канфідэнцыйнымі дадзенымі пасля выканання.

Гэта стварае прабел, калі код выглядае бяспечным падчас аналізу, але становіцца рызыкоўным падчас выканання.

Як выявіць і прадухіліць атакі, падобныя на npm, у Axios

Прадухіленне такога тыпу npm-атакі Axios патрабуе пераходу ад статычнай праверкі да ўсведамлення выканання.

Камандам патрэбна бачнасць таго, як паводзяць сябе залежнасці, а не толькі таго, што яны ўтрымліваюць.

Гэта ўключае ў сябе:

• Маніторынг доступу да канфідэнцыйных дадзеных падчас выканання
• Выяўленне сакрэтаў да таго, як яны трапяць у сховішчы
• Сканаванне pipelineі артэфакты для раскрытых уліковых дадзеных
• Назіранне за выходнай сеткавай актыўнасцю на наяўнасць анамалій

Аднак аднаго выяўлення недастаткова.

Ад выяўлення да прафілактыкі: што насамрэч зніжае рызыку

Пасля падобнага інцыдэнту каманды часта сутыкаюцца з вялікай колькасцю патэнцыйна раскрытых уліковых дадзеных.

Задача не ў тым, каб знайсці іх. Задача ў тым, каб вызначыць, якія з іх важныя.

Ключавым пытаннем становіцца:

Якія сакрэты ўсё яшчэ актуальныя і іх можна выкарыстоўваць?

Без праверкі каманды марнуюць час на неактыўныя ўліковыя дадзеныя, у той час як рэальныя рызыкі застаюцца адкрытымі.

Эфектыўнае рэагаванне патрабуе:

• Выяўленне раскрытых сакрэтаў
• Праверка таго, ці яны ўсё яшчэ даюць доступ
• Хуткае адкліканне або паварот іх

Гэта скарачае час экспазіцыі і абмяжоўвае акно дзеянняў зламысніка.

Як Xygeni дапамагае знізіць рызыкі ў ланцужку паставак

Ксігені вырашае гэтую праблему, аб'ядноўваючы выяўленне, праверку і ліквідацыю наступстваў у адзін працоўны працэс.

Ён пастаянна выяўляе раскрытыя сакрэты па ўсім кодзе, pipelineі артэфакты. Адначасова ён правярае, ці гэтыя ўліковыя дадзеныя ўсё яшчэ актыўныя ў асяроддзі.

Гэта дазваляе камандам засяродзіцца на тым, што зламыснікі могуць рэальна выкарыстоўваць.

Пасля вызначэння актыўных сакрэтаў аўтаматызаваныя рабочыя працэсы выпраўлення дапамагаюць скараціць час раскрыцця інфармацыі шляхам адклікання або кантраляванай ратацыі.

У выніку рэакцыя становіцца хутчэйшай і больш дакладнайcisе, і менш разбуральны.