Kiberxavfsizlik sohasida taqdim etilgan RAVEN nomli vosita Elasticsearch tizimi buzib olinishi oqibatida qanday jiddiy xavflar yuzaga kelishi mumkinligini ko‘rsatib berdi. Ushbu vosita orqali tajovuzkor tizimga bir marta kirish huquqini qo‘lga kiritgach, katta hajmdagi ma’lumotlarni o‘g‘irlashi, yangi kirish vositalarini yaratishi va hatto administratorlar parollarni almashtirgandan keyin ham tizimga qayta kirish imkoniyatini saqlab qolishi mumkin.

RAVEN hozircha amaldagi kiberjinoyatchilar tomonidan olib borilayotgan hujumlarda qo‘llanilayotgan vosita sifatida aniqlanmagan. U xavfsizlik mutaxassislari tomonidan ruxsat etilgan sinovlarda foydalanish uchun yaratilgan. Biroq ushbu vositaning imkoniyatlari Elasticsearch va Kibana tizimlari yetarli darajada himoyalanmagan taqdirda, tajovuzkorlar qanday jiddiy xavflarni yuzaga keltirishi mumkinligini yaqqol ko‘rsatadi.

Tizimga kirish qanday boshlanadi?

RAVEN’ning ishlashi uchun tajovuzkor avvalo Elasticsearch yoki uning boshqaruv tizimiga kirish imkoniyatini qo‘lga kiritishi kerak.

Bunday holat quyidagi sabablarga ko‘ra yuzaga kelishi mumkin:

• Elasticsearch xizmatining internet tarmog‘iga ochiq qoldirilishi;
• 9200-port orqali himoyasiz Elasticsearch klasteriga kirish;
• Kibana tizimining buzib olinishi;
• Kibana’dagi zaifliklardan foydalanish;
• eskirgan dasturiy ta’minot va o‘z vaqtida o‘rnatilmagan xavfsizlik yangilanishlari;
• zaif yoki oshkor bo‘lgan administrator parollaridan foydalanish;
• noto‘g‘ri sozlangan autentifikatsiya va ruxsatlarni boshqarish tizimi.

Ya’ni, muammo RAVEN vositasining o‘zidan boshlanmaydi. Eng katta xavf — tajovuzkorning dastlab Elasticsearch infratuzilmasiga kirish imkoniyatini qo‘lga kiritishidir. Shundan keyin RAVEN kabi vositalar yordamida hujum yanada kengayishi mumkin.

Barcha ma’lumotlar o‘g‘irlanishi mumkin

RAVEN’ning eng xavfli imkoniyatlaridan biri Elasticsearch’da saqlanayotgan ma’lumotlarni katta hajmda nusxalab olishdir.

Tajovuzkor:

• alohida indeksdagi ma’lumotlarni;
• bir nechta indekslarni;
• tizimga tegishli bo‘lmagan barcha indekslardagi ma’lumotlarni

to‘liq eksport qilishi mumkin.

Olingan ma’lumotlar keyinchalik fayllarga saqlanishi yoki tajovuzkor nazoratidagi boshqa Elasticsearch serveriga ko‘chirilishi mumkin. Bunda indekslarning sozlamalari va tuzilmasi ham saqlab qolinishi ehtimoli mavjud.

Bu esa bitta buzilgan Elasticsearch klasteri orqali tashkilotning katta hajmdagi ma’lumotlari qo‘lga kiritilishi mumkinligini anglatadi.

Masalan, tajovuzkor quyidagi ma’lumotlarga ega bo‘lishi mumkin:

• mijozlar ma’lumotlari;
• buyurtmalar va tranzaksiyalar;
• ichki tizimlarga oid ma’lumotlar;
• ilovalar jurnallari;
• xizmat ma’lumotlari;
• boshqa maxfiy yoki muhim ma’lumotlar.

RAVEN uzilib qolgan ma’lumot yig‘ish jarayonini davom ettirish imkoniyatiga ham ega. Bu esa tajovuzkorga katta hajmdagi ma’lumotlarni bosqichma-bosqich yig‘ib olish imkonini beradi.

Snapshot orqali ma’lumotlarni yashirinroq nusxalash xavfi

RAVEN Elasticsearch’ning snapshot funksiyasidan ham foydalanishi mumkin.

Bunda tajovuzkor ma’lumotlarni oddiy so‘rovlar orqali birma-bir yuklab olish o‘rniga, Elasticsearch tizimining o‘zida indekslarning nusxasini yaratishga harakat qiladi.

Bunday faoliyatni aniqlash ayrim hollarda qiyinroq bo‘lishi mumkin. Shu sababli tashkilotlar quyidagi holatlarni muntazam nazorat qilib borishi kerak:

• noma’lum snapshot repository’lari;
• ruxsatsiz yaratilgan zaxira nusxalar;
• kutilmagan snapshot jarayonlari;
• noma’lum manzillarga ma’lumot uzatilishi bilan bog‘liq faoliyat.

Agar tizimda tashkilotga noma’lum yangi snapshot repository yoki kutilmagan zaxiralash jarayoni aniqlansa, ushbu holat zudlik bilan tekshirilishi lozim.

Parolni almashtirish har doim ham tajovuzkorni tizimdan chiqarib yubormaydi

RAVEN bilan bog‘liq eng muhim xavflardan biri — API kalitlari orqali tizimga kirish imkoniyatining saqlanib qolishidir.

Odatda kiberhodisa aniqlanganda administratorlar birinchi navbatda buzilgan hisoblarning parollarini almashtiradilar. Ammo tajovuzkor avvaldan API kalit yaratib qo‘ygan bo‘lsa, parol almashtirilgandan keyin ham ushbu kalit orqali tizimga kirish imkoniyati saqlanib qolishi mumkin.

Oddiy qilib aytganda:

Administrator parolni almashtiradi → eski parol ishlamaydi → ammo tajovuzkor avval yaratgan API kaliti orqali tizimga kirishda davom etishi mumkin.

Bu holat tashkilotlarda hodisaga javob berish jarayonida faqat parollarni almashtirish yetarli emasligini ko‘rsatadi.

Shubhali yoki noma’lum API kalitlari alohida aniqlanib, tekshirilishi va zarur hollarda bekor qilinishi kerak.

Tajovuzkor o‘ziga bir nechta “zaxira eshiklar” yaratishi mumkin

RAVEN orqali namoyish etilgan ssenariyda tajovuzkor tizimdagi mavjudligini saqlab qolish uchun bir nechta usullardan foydalanishi mumkin.

Jumladan:

1. Ruxsatsiz foydalanuvchi yaratish

Tajovuzkor yuqori huquqlarga ega yangi foydalanuvchi hisobini yaratishi mumkin. Agar ushbu hisob o‘z vaqtida aniqlanmasa, u orqali tizimga qayta kirish davom etadi.

2. API kalit yaratish

Tajovuzkor paroldan mustaqil ishlaydigan API kalit yaratishi mumkin. Shu sababli faqat parolni almashtirish barcha kirish imkoniyatlarini avtomatik ravishda bekor qilmaydi.

3. Watcher orqali kirishni avtomatik tiklash

Eng xavfli holatlardan biri — Elasticsearch’ning Watcher mexanizmidan foydalanishdir.

Watcher ma’lum vaqt oralig‘ida avtomatik ishga tushadigan vazifadir. Agar tajovuzkor ushbu mexanizmdan noto‘g‘ri maqsadda foydalansa, o‘chirilgan foydalanuvchi yoki API kalitni qayta tiklashga urinishi mumkin.

Masalan:

1. Tajovuzkor tizimga kiradi.
2. O‘ziga yashirin foydalanuvchi yaratadi.
3. API kalit yaratadi.
4. Watcher sozlaydi.
5. Administrator shubhali foydalanuvchini va API kalitni o‘chiradi.
6. Ammo Watcher tizimda qoladi.
7. Watcher keyinchalik yana ishga tushib, o‘chirilgan kirish vositalarini qayta yaratishi mumkin.

Shu sababli kiberhodisani bartaraf etish jarayonida faqat foydalanuvchi hisoblarini o‘chirish kifoya emas. Ularni qayta tiklashi mumkin bo‘lgan barcha avtomatlashtirilgan mexanizmlar ham tekshirilishi kerak.

Tashkilotlar nimalarni tekshirishi kerak?

Elasticsearch tizimida buzilish yoki shubhali faollik aniqlanganda quyidagi obyektlar to‘liq tekshirilishi lozim:

• barcha foydalanuvchi hisoblari;
• administratorlik huquqiga ega foydalanuvchilar;
• API kalitlari;
• xizmat hisoblari;
• Watcher va boshqa rejalashtirilgan vazifalar;
• snapshot repository’lari;
• so‘nggi yaratilgan foydalanuvchilar;
• so‘nggi yaratilgan autentifikatsiya vositalari;
• tizim ruxsatlaridagi o‘zgarishlar;
• audit va xavfsizlik jurnallari.

Ayniqsa, tashkilotga noma’lum bo‘lgan yangi foydalanuvchilar, API kalitlari va avtomatlashtirilgan vazifalar zudlik bilan tekshirilishi kerak.

Qanday himoyalanish mumkin?

Elasticsearch va Kibana infratuzilmasini himoya qilish uchun quyidagi choralarni ko‘rish tavsiya etiladi:

Birinchidan, Elasticsearch va Kibana xizmatlarini to‘g‘ridan-to‘g‘ri internetga ochiq qoldirmaslik lozim. 9200 va 5601-portlarga kirish faqat ishonchli tarmoqlar yoki ruxsat etilgan manzillar orqali amalga oshirilishi kerak.

Ikkinchidan, Elasticsearch, Kibana va boshqa bog‘liq komponentlarni muntazam yangilab borish zarur. Aniqlangan xavfsizlik zaifliklari imkon qadar tezroq bartaraf etilishi kerak.

Uchinchidan, API kalitlarini muntazam xatlovdan o‘tkazish muhim. Har bir kalit kimga tegishli ekani, nima maqsadda yaratilgani va qanday huquqlarga egaligi aniq bo‘lishi kerak.

To‘rtinchidan, foydalanuvchilarga faqat o‘z vazifalarini bajarishi uchun zarur bo‘lgan eng kam ruxsatlar berilishi lozim. Ortiqcha administratorlik huquqlari buzilish oqibatlarini yanada og‘irlashtirishi mumkin.

Beshinchidan, Watcher, snapshot va boshqa avtomatlashtirilgan jarayonlar muntazam tekshirilib turishi kerak.

Oltinchidan, yangi foydalanuvchi yaratilishi, API kalit hosil qilinishi, ruxsatlar o‘zgartirilishi va snapshot repository qo‘shilishi kabi muhim harakatlar bo‘yicha tezkor ogohlantirish tizimlarini joriy etish tavsiya etiladi.

RAVEN vositasi namoyish etayotgan asosiy xavf shundan iboratki, tajovuzkor tizimga bir marta kirish imkoniyatini qo‘lga kiritgach, faqat ma’lumotlarni o‘g‘irlash bilan cheklanib qolmasligi mumkin.

U qo‘shimcha foydalanuvchilar yaratishi, API kalitlaridan foydalanishi, ma’lumotlarni to‘liq nusxalashi va avtomatlashtirilgan mexanizmlar orqali tizimga qayta kirish imkoniyatini saqlab qolishga urinishi mumkin.

Shu sababli Elasticsearch infratuzilmasida xavfsizlik hodisasi yuz berganda faqat parolni almashtirish bilan cheklanib bo‘lmaydi.

Tashkilotlar foydalanuvchi hisoblari, API kalitlari, xizmat hisoblari, Watcher vazifalari, snapshot repository’lari va boshqa barcha kirish mexanizmlarini to‘liq tekshirishi zarur.

Eng muhim xulosa shuki: parolni almashtirish — kiberhodisaga javob berish jarayonining yakuni emas, balki boshlang‘ich choralaridan biridir. Tizim to‘liq xavfsiz holatga qaytishi uchun tajovuzkor yaratgan barcha yashirin va mustaqil kirish imkoniyatlari aniqlanib, butunlay bartaraf etilishi lozim.