Вот компании, подверженные риску взлома Microsoft Azure
Под угрозой оказались данные как минимум трех тысяч компаний, использующих облачную систему Microsoft, Azure Cosmos DB. Но недостаток, обнаруженный Визом, просуществовал пару лет. Вот подробности
На прошлой неделе Microsoft предупредила тысячи клиентов своей службы облачных вычислений об ошибке в системе, которая позволила бы злоумышленникам читать, изменять или удалять данные, содержащиеся в базе данных Azure Cosmos DB.
Уязвимость была обнаружена командой американской фирмы по кибербезопасности Wiz: ее технический директор Ами Луттвак ранее занимала ту же должность в группе облачной безопасности Microsoft.
ПРОБЛЕМА БД COSMOS
Wiz обнаружил, что он может получить доступ к ключам доступа к базам данных Cosmos DB более трех тысяч компаний. Microsoft не может изменить эти ключи самостоятельно, поэтому они разослали по электронной почте всем своим клиентам с просьбой создать новые.
ЗАКАЗЧИКИ MICROSOFT CLOUD
К компаниям, использующим службу Cosmos DB, относятся Coca-Cola Company, нефтяная компания ExxonMobil и компания-разработчик программного обеспечения Citrix Systems. Существует также сеть аптек Walgreens, одна из крупнейших в США, которая использует Cosmos DB для управления транзакциями по рецептам на лекарства (она делает более 6 миллионов в день).
НАГРАДА В 40 ТЫСЯЧ ДОЛЛАРОВ
За обнаружение недостатка и сообщение о нем Wiz была вознаграждена Microsoft 40 000 долларов. Уязвимость, как сообщили Reuters в Microsoft, была исправлена «немедленно».
В электронном письме клиентам Microsoft сообщает, что нет никаких доказательств того, что кто-то использовал уязвимость Cosmos DB для доступа к ключам и взлома данных.
«САМАЯ УЯЗВИМОСТЬ В ОБЛАКАХ, КОТОРАЯ ВЫ МОЖЕТЕ ПРЕДСТАВИТЬ»
В интервью Reuters Латтвак сказал, что этот недостаток является «худшей уязвимостью облака, которую только можно вообразить […]. Это центральная база данных Azure, и мы могли получить доступ к любой базе данных клиентов, которую хотели ».
ГДЕ БЫЛА НЕИСПРАВНОСТЬ
Команда Wiz обнаружила проблему Cosmos DB (называемую ChaosDB) 9 августа и проинформировала Microsoft 12-го числа. Недостаток фактически существовал с середины 2019 года, потому что он был в инструменте визуализации под названием Jupyter Notebook., Доступном в течение нескольких лет и Включено по умолчанию в Cosmos с февраля.
КЛИЕНТЫ В РИСКЕ?
Microsoft уведомила только клиентов Cosmos DB, ключи доступа которых были видны в этом месяце, когда Wiz обнаружила уязвимость. Но Латтвак сказал, что даже компании, которые не были уведомлены Microsoft, возможно, сталкивались с нарушениями в своих базах данных в прошлом.
Microsoft сообщила Reuters, что «клиенты, которые могли пострадать, получили от нас уведомление», не вдаваясь в подробности. Wiz предложила всем пользователям Azure, а не только 3300, проинформированным Microsoft, изменить свои ключи доступа.
ПЛОХОЙ ПЕРИОД ДЛЯ MICROSOFT
Плохое время для репутации Microsoft в области кибербезопасности. Несколько месяцев назад произошла крупная кибератака SolarWinds (которая также затронула девять правительственных учреждений США), предположительно осуществленная связанными с Россией киберпреступниками, которые украли ее исходный код у Microsoft. После этого, среди прочего, были проникновения на серверы Microsoft Exchange.
Однако проблемы уязвимости облачной платформы Azure, возможно, даже более серьезны, потому что отраслевые эксперты — и сама Microsoft — уже давно подталкивают компании отказаться от своих инфраструктур данных и полагаться на облачные системы именно для обеспечения большей безопасности. Reuters объясняет, что кибератаки на облако встречаются реже, но могут иметь разрушительные последствия из-за огромного объема задействованных данных. Некоторые, однако, не публикуются.
ИНВЕСТИЦИИ В БЕЗОПАСНОСТЬ
Недавно, после встречи с официальными лицами администрации Джо Байдена в США, Microsoft заявила, что инвестирует 20 миллиардов долларов в кибербезопасность в течение пяти лет, что в четыре раза больше, чем на текущих уровнях. Еще 150 миллионов будут выделены на техническую помощь федеральным, государственным и местным учреждениям США в обновлении систем цифровой безопасности.
Это автоматический перевод публикации, опубликованной в журнале Start Magazine по адресу https://www.startmag.it/innovazione/microsoft-cloud-azure-falla-sicurezza-wiz/ в Mon, 30 Aug 2021 07:51:17 +0000.