शोध इंजिन सामग्रीची सूची तयार करण्यासाठी बनवले गेले होते. तथापि, हल्लेखोर तुमच्या चुकांची सूची तयार करण्यासाठी त्यांचा वापर करतात. क्वेरी allintext:login फाइलचा प्रकार:लॉग हे निरुपद्रवी वाटू शकते. प्रत्यक्षात, ऑथेंटिकेशन फ्लो, क्रेडेन्शियल्स, टोकन्स आणि अंतर्गत इन्फ्रास्ट्रक्चर डेटा असलेल्या उघड लॉग फाइल्स शोधण्याचा हा एक सर्वात सोपा मार्ग आहे.
जर गूगल ते लॉग पाहू शकत असेल, तर हल्लेखोरही पाहू शकतात. एकदा इंडेक्स झाल्यावर, माहिती उघड होणे अटळ होऊन बसते. शिवाय, जेव्हा क्रेडेन्शियल्स सार्वजनिकरित्या उपलब्ध असलेल्या फाईलमध्ये दिसतात, तेव्हा माहिती चोरीची प्रक्रिया आधीच सुरू झालेली असते.
१. allintext का:login filetype:log हे दिसण्यापेक्षा जास्त धोकादायक आहे
गूगल डॉर्क ही एक शोध क्वेरी आहे, जी शोध इंजिनद्वारे अनुक्रमित केलेली संवेदनशील किंवा चुकीच्या पद्धतीने कॉन्फिगर केलेली सामग्री शोधण्यासाठी प्रगत ऑपरेटर वापरते. ती गूगलचा गैरवापर करत नाही. उलट, ती तुमच्या असुरक्षिततेचा गैरफायदा घेते.
या क्वेरीमध्ये दोन ऑपरेटर एकत्र केले आहेत:
- allintext: ज्या पृष्ठांवर सर्व संज्ञा मुख्य मजकुरात आढळतात ती पृष्ठे परत करते
- फाइलचा प्रकार:लॉग परिणामांना मर्यादित करते
.logफाइल
म्हणून
म्हणजे: “मला त्या लॉग फाईल्स दाखवा ज्यात तो शब्द आहे login. "
वरवर पाहता, ते क्षुल्लक वाटते. मात्र, प्रत्यक्षात त्याचे परिणाम अनेकदा असे दिसून येतात:
- सार्वजनिकरित्या उघड केलेले वेब सर्व्हर लॉग
- CI/CD आर्टिफॅक्ट म्हणून अपलोड केलेले लॉग
- डीबग लॉग चुकून commitभांडारांना जोडलेले
- प्लेनटेक्स्ट क्रेडेंशियल्ससह अॅप्लिकेशन लॉग
ही सर्च इंजिनमधील त्रुटी नाही. उलट, हे एक डेटा उघड होण्याची असुरक्षितता चुकीच्या कॉन्फिगरेशनमुळे हे घडले आहे. गूगलने फक्त सार्वजनिकरित्या उपलब्ध असलेल्या गोष्टींचीच सूची तयार केली.
२. उघड झालेल्या लॉग फाईल्समध्ये हल्लेखोरांना प्रत्यक्षात काय आढळते
जेव्हा हल्लेखोर पळून जातात allintext:login फाइलचा प्रकार:लॉगते अंदाधुंदपणे ब्राउझ करत नाहीत. ते प्रमाणीकरणाच्या खुणा शोधत आहेत.
२.१ प्लेनटेक्स्ट क्रेडेन्शियल्स
लॉगमध्ये अनेकदा खालीलप्रमाणे नोंदी असतात:
or
किंवा SMTP क्रेडेन्शियल्स सुद्धा:
ऑथेंटिकेशन पेलोड्स लॉग करणे हा प्रोडक्शन क्रेडेंशियल्स लीक करण्याचा सर्वात जलद मार्गांपैकी एक आहे. परिणामी, एकच उघड झालेली लॉग फाईल तुमचे संपूर्ण ॲक्सेस कंट्रोल मॉडेल अवैध ठरवू शकते.
२.२ सेशन टोकन्स आणि जेडब्ल्यूटी
जेव्हा पासवर्ड नोंदवले जात नाहीत, तेव्हाही अनेकदा टोकन नोंदवले जातात.
उदाहरणार्थ:
एका वैध JWT किंवा सेशन कुकीमध्ये .log फाईल सक्षम करू शकते:
- सत्र अपहरण
- विशेषाधिकार वाढ
- अंतर्गत प्रणालींमध्ये आडवी हालचाल
दुसऱ्या शब्दांत सांगायचे तर, लॉग्समधील टोकन्स डीबगिंग आउटपुटला ऑथेंटिकेशन बायपास व्हेक्टरमध्ये रूपांतरित करतात.
2.3 CI/CD कृत्रिमता
बिल्ड लॉग विशेषतः धोकादायक असतात. खरं तर, CI/CD सिस्टम अनेकदा बिल्डच्या टप्प्यांदरम्यान एन्व्हायर्नमेंट व्हेरिएबल्स प्रिंट करतात.
हल्लेखोरांना अनेकदा आढळून येते:
खालील ओळींचा समावेश आहे:
If CI/CD कलाकृती सार्वजनिक झाल्या की रहस्येही सार्वजनिक होतात. गूगल डॉर्क केवळ शोधाला गती देतो.
२.४ क्लाउड आणि पायाभूत सुविधा डेटा
उघड झालेल्या लॉग्समधून अनेकदा हे दिसून येते:
- एडब्ल्यूएस ऍक्सेस की
- अझूर स्टोरेज कनेक्शन स्ट्रिंग्ज
- अंतर्गत सेवा यूआरएल
- डेटाबेस क्रेडेन्शियल्स
- रेडिस एंडपॉइंट्स
जरी नंतर क्रेडेन्शियल्स बदलले गेले तरी, हल्लेखोराकडे आता खालील गोष्टी असतात:
- पायाभूत सुविधांचे मॅपिंग
- नामकरण परंपरा
- भविष्यातील हल्ल्यांसाठी लक्ष्यित गुप्त माहिती
त्यामुळे, उघड केलेले लॉग प्रवेश आणि टेहळणी दोन्ही प्रदान करतात.
३. हे लॉग मुळात सार्वजनिक कसे झाले?
लॉग्स गूगलमध्ये आपोआप येत नाहीत. ते सार्वजनिकरित्या उपलब्ध असल्यामुळेच त्यांची सूची तयार होते.
३.१ चुकीच्या पद्धतीने कॉन्फिगर केलेले वेब सर्व्हर
सामान्य नमुन्यांमध्ये हे समाविष्ट आहे:
/logs/प्रमाणीकरणाशिवाय प्रवेश करण्यायोग्य डिरेक्टरीज- डिरेक्टरी सूची सक्षम केली
- Nginx किंवा Apache कच्च्या स्वरूपात सर्व्ह करत आहे
.logफाइल
जर एखादा लॉग HTTP द्वारे पोहोचण्यायोग्य असेल, तर तो इंडेक्स करण्यायोग्य असतो.
3.2 CI/CD कलाकृती प्रदर्शन
ठराविक चुका:
- सार्वजनिक कलाकृती सक्षम केल्या गिटहब क्रिया
- लॉग्स ओपन S3 बकेट्समध्ये अपलोड केले.
- Pipeline प्रमाणीकरणाशिवाय प्रवेशयोग्य खुणा
A pipeline जे लॉग्स एका सार्वजनिक बकेटमध्ये साठवते, ते प्रभावीपणे आपली गुपिते उघड करते.
३.३ प्रोडक्शनमधील डीबग मोड
फ्रेमवर्क डिफॉल्ट धोकादायक असू शकतात:
याव्यतिरिक्त, अत्याधिक रिक्वेस्ट लॉगिंगमुळे खालील गोष्टी प्रिंट होऊ शकतात:
- शीर्षक
- टोकन
- पूर्ण विनंती बॉडी
प्रोडक्शनमधील डीबग लॉगिंग तुमच्या ॲप्लिकेशनला क्रेडेंशियल एक्सपोर्टरमध्ये रूपांतरित करते.
३.४ डॉकर आणि कंटेनर लॉग्स
कंटेनरयुक्त वातावरणामुळे नवीन एक्सपोजर मार्ग निर्माण होतात:
- शेअर्ड व्हॉल्यूममध्ये माउंट केलेले लॉग
- असुरक्षित एंडपॉइंट्सवर लॉग निर्यात करणारे साइडकार
- लॉग dashboardसार्वजनिक प्रवेशासह
जर कंटेनर लॉग्स HTTP किंवा ओपन स्टोरेजद्वारे उपलब्ध असतील, तर ते शोधण्यायोग्य असतात. अखेरीस, त्यांची अनुक्रमणिका तयार केली जाते.
४. वास्तववादी हल्ल्याचा प्रवाह: डॉर्कपासून ब्रीचपर्यंत
हल्ल्याची एक सामान्य साखळी खालीलप्रमाणे दिसते:
हल्लेखोर पळून जातो:
- उघडकीस आलेले निष्कर्ष
.logफाइल - अर्क:
- JWT टोकन
- बेसिक ऑथ हेडर
- डेटाबेस कनेक्शन स्ट्रिंग
यांच्याविरुद्ध प्रमाणीकरणाचे प्रयत्न:
- API एंडपॉइंट
- प्रशासक पॅनेल
- अंतर्गत सेवा
प्रमाणीकरण यशस्वी झाल्यास, हल्लेखोर पुढील गोष्टी करू शकतो:
- विशेषाधिकार वाढवा
- बाजूने सरका
- प्रवेश CI/CD
- पुरवठा साखळीशी तडजोड करा
जी गोष्ट एक शोध प्रश्न म्हणून सुरू झाली, ती अशी झाली:
- सत्र अपहरण
- अंतर्गत क्रेडेन्शियल स्टफिंग
- Pipeline नियंत्रित
- कलाकृती विषबाधा
हे सर्व एका सार्वजनिकरित्या अनुक्रमित लॉग फाइलमधून घेतले आहे.
५. 'अतिप्रमाणात' लॉगिंग करणे ही ॲपसेकची समस्या का आहे
लॉगिंग तटस्थ नसते. उलट, ते एक निर्माण करते दुय्यम डेटा स्टोअर.
तुम्ही संवेदनशील डेटा नोंदवल्यास, तुम्ही तुमच्या गुपितांची दुसरी प्रत तयार करता.
तथापि, थ्रेट मॉडेलिंगमधून लॉग्स अनेकदा वगळले जातात. STRIDE अंतर्गत, हे स्पष्टपणे खालील गोष्टींशी संबंधित आहे:
प्रकटीकरण माहिती
म्हणून, सुरक्षित SDLC कार्यपद्धतींनी लॉग्सना असे मानावे:
- सुरक्षा-संबंधित कलाकृती
- संवेदनशील मालमत्ता
- संरक्षणाची आवश्यकता असलेले पायाभूत सुविधांचे घटक
जर तुमचे थ्रेट मॉडेल लॉग्सकडे दुर्लक्ष करत असेल, तर ते अपूर्ण आहे.
६. लॉग फाईल्समधील क्रेडेन्शियल गळती कशी टाळावी
६.१ गुपिते नोंदवणे थांबवा
कधीही लॉग करू नका:
- पासवर्ड
- टोकन
- API की
- सत्र आयडी
- अधिकृतता शीर्षलेख
डीबग मोडमध्ये सुद्धा.
जेव्हा शक्य असेल, तेव्हा स्वयंचलित संपादन लागू करा.
६.२ संरचित आणि सुरक्षित लॉगिंग
मास्किंग आणि फिल्टरिंगसह स्ट्रक्चर्ड लॉगिंगचा वापर करा.
उदाहरण (Node.js):
उदाहरण (पायथन):
मुख्य तत्त्व सोपे आहे: गोपनीय माहिती कधीही लॉग सिंकपर्यंत पोहोचता कामा नये.
६.३ लॉक डाउन लॉग स्टोरेज
सुरक्षा नियंत्रणांमध्ये खालील बाबींचा समावेश असावा:
- डिरेक्टरी सूची अक्षम करा
- संरक्षित करा
/logs/प्रमाणीकरणासह मार्ग - बकेटचा प्रवेश प्रतिबंधित करा
- धारणा धोरणे लागू करा
- स्थिर लॉग एन्क्रिप्ट करा
लॉग्स कधीही HTTP द्वारे सार्वजनिकरित्या पोहोचण्यायोग्य असू नयेत.
6.4 CI/CD Guardrails
व्यक्तिगत पुनरावलोकन पुरेसे नाही. त्याऐवजी, स्वयंचलित नियंत्रणे लागू करा:
- आर्टिफॅक्ट प्रकाशित करण्यापूर्वी लॉग्सचे गुप्त स्कॅनिंग
- टोकन आढळल्यास बिल्ड अयशस्वी करा.
- क्रेडेन्शियल्स असलेले आर्टिफॅक्ट अपलोड प्रतिबंधित करा
- आर्टिफॅक्ट्ससाठी हॅश प्रमाणीकरण
CI/CD इंडेक्सिंग होण्यापूर्वी एक्सपोजर रोखले पाहिजे.
७. झायजेनी allintext ला कसे प्रतिबंधित करते:login फाइलचा प्रकार: लॉग घटना
समस्या गूगल डॉर्क नाही. समस्या उघडकीस येण्याची आहे. त्यामुळे, इंडेक्सिंग होण्यापूर्वीच प्रतिबंध झाला पाहिजे.
७.१ लॉग्स आणि आर्टिफॅक्ट्समधील गुप्त माहिती शोधणे
झायजेनी स्कॅन:
- अर्ज नोंदी
- CI/CD नोकरीचे ठसे
- कलाकृती तयार करा
- डॉकर लेयर्स
- क्रमबद्ध आउटपुट
जर क्रेडेन्शियल्स, टोकन्स किंवा संवेदनशील मूल्ये यामध्ये दिसत असतील .log फाईल्स, झायजेनी त्यांना तात्काळ फ्लॅग करते.
7.2 CI/CD Guardrails तो ब्लॉक एक्सपोजर
मॅन्युअल रिव्ह्यूवर अवलंबून राहण्याऐवजी, झायजेनी येथे सुरक्षा लागू करते pipeline स्तरः
हेः
- लॉगमध्ये सिक्रेट्स आढळल्यास बिल्ड अयशस्वी होते.
- ब्लॉक्स आर्टिफॅक्ट प्रकाशन
- अपघाताने सार्वजनिक ठिकाणी उघड होण्यापासून प्रतिबंधित करते
- मुख्य घटकापर्यंत पोहोचण्यापूर्वी असुरक्षित विलीनीकरण थांबवते
जर एखादा CI जॉब टोकन प्रिंट करत असेल, pipeline अपयशी.
अनुक्रमणिका नाही.
कोणताही संपर्क नाही.
कोणतीही घटना घडली नाही.
७.३ गूगलच्या नजरेस पडण्यापूर्वी शिफ्ट-लेफ्टचे संरक्षण
वेळेचे महत्त्व.
यावर प्रतिक्रिया देण्याऐवजी:
Xygeni ही समस्या थांबवते:
- At commit वेळ
- दरम्यान pull request प्रमाणीकरण
- दरम्यान pipeline अंमलबजावणी
- कलाकृती प्रकाशनापूर्वी
जर लॉग कधीच सार्वजनिक झाला नाही, तर गूगल त्याला कधीही अनुक्रमित करत नाही.
अंतिम निष्कर्ष: जर गूगल एखादी गोष्ट इंडेक्स करू शकत असेल, तर हल्लेखोरांनी ती आधीच केली आहे.
लॉग्स निरुपद्रवी नसतात. खरे तर, ते क्वचितच तात्पुरते असतात. मुळातच, ते खाजगी नसतात. त्यामुळे, प्रत्येक लॉग फाईलला केवळ डीबगिंग आउटपुट म्हणून न पाहता, सुरक्षेच्या दृष्टीने एक महत्त्वपूर्ण मालमत्ता म्हणून मानले पाहिजे.
जर संवेदनशील डेटा पोहोचला तर .log फाईल सार्वजनिकरित्या उपलब्ध होते, ते तात्काळ हल्ल्याचे क्षेत्र बनते. शिवाय, एकदा सर्च इंजिनद्वारे सूचीबद्ध झाल्यावर, त्याचा प्रसार तुमच्या नियंत्रणाबाहेर जातो.
लॉगिंग थांबवणे हा उपाय नाही. उलट, जबाबदारीने लॉगिंग करणे आणि साठवणूक व वितरणावर कडक नियंत्रण ठेवणे हा उपाय आहे. दुसऱ्या शब्दांत सांगायचे झाल्यास, सुरक्षा ही केवळ ॲप्लिकेशनपुरती मर्यादित न राहता ऑब्झर्वेबिलिटी लेयरपर्यंतही विस्तारित झाली पाहिजे.
त्याऐवजीः
- गुप्त गोष्टींची नोंद करणे थांबवा
- लाकूड साठवणुकीला कुलूप लावा
- अंमलात आणा pipeline guardrails
- शोध आणि धोरण अंमलबजावणी स्वयंचलित करा
शेवटी, प्रतिबंध हा वेळेवर अवलंबून असतो. कारण एकदा का... allintext:login फाइलचा प्रकार:लॉग तुमचे डोमेन परत मिळते, तेव्हा घटना आधीच सुरू झालेली असते.
