Kibernetinio saugumo centras: „CityBee“ duomenys galėjo būti paviešinti dėl netinkamo debesijos paslaugų administravimo

Nacionalinis kibernetinio saugumo centras (NKSC) prie Krašto apsaugos ministerijos baigė „CityBee“ klientų duomenų paviešinimo kibernetinio incidento tyrimą ir jo ataskaitą perdavė tyrimus dėl šio incidento tęsiantiems Policijos departamentui ir Valstybinei duomenų apsaugos inspekcijai, rašoma pranešime.
„Citybee“
Programišius / Žygimanto Gedvilos / BNS nuotr.

NKSC vertinimu, piktavaliai bendrovės klientų duomenis galėjo pasisavinti dėl netinkamo internetinės debesijos paslaugų naudojimo.

„NKSC atliktas tyrimas rodo, kad „CityBee“ klientų duomenys buvo paviešinti, nes rezervinė tų duomenų kopija buvo prieinama be papildomos autorizacijos piktavaliui atradus būdą prisijungti prie internetinės debesijos paslaugų teikėjo tarnybinių stočių“, – teigia NKSC direktorius Rytis Rainys.

„CityBee naudotojų duomenų bazės rezervinė kopija buvo patalpinta „Microsoft Azure“ debesijos paslaugų tarnybinėse stotyse atlikus nustatymus, kad duomenų prieiga būtų vieša. Dėl šios priežasties buvo sudarytos sąlygos tretiesiems asmenims be autorizacijos pasiekti „CityBee“ klientų duomenis ir juos pasisavinti.

NKSC turimais duomenimis, vieša prieiga buvo palikta vykdant duomenų bazės migravimą 2018 m. ir ši kibernetinio saugumo spraga buvo užkardyta tik paaiškėjus apie incidentą šių metų vasario mėn.

Internetinės debesijos paslaugos yra plačiai naudojamos, tačiau bendrovės, besinaudojančios tokiomis paslaugomis, privalo žinoti ir naudoti tokių paslaugų gerąsias praktikas bei užtikrinti ten esančių duomenų saugumą“, – pažymi NKSC direktorius Rytis Rainys.

Vidmanto Balkūno / 15min nuotr./Rytis Rainys
Vidmanto Balkūno / 15min nuotr./Rytis Rainys

Siekiant išvengti panašių incidentų, NKSC rekomenduoja įgyvendinti šias pagrindines debesijos paslaugų saugaus naudojimo rekomendacijas:

· Debesijos paslaugose naudoti ugniasienes aplikacijos lygmenyje (angl. – web application firewall).

· Įgalinti naudotojų paskyrų, ypatingai privilegijuotų naudotojų ir administratorių prisijungimus tik patvirtinus tapatybę keliais faktoriais (angl. – multi-factor authentication).

· Periodiškai atlikti privilegijuotų naudotojų paskyrų ir jų veiksmų analizę, valdyti prieigos teises pagal mažiausios privilegijos principą (angl. – principle of least privilege).

· Virtualius kietuosius diskus ir kitą jautrią informaciją šifruoti patikimais kriptografiniais algoritmais, o jų raktus saugoti tretiesiems asmenims neprieinamose vietose.

· Slaptažodžių saugojimui naudoti tam skirtus specialius algoritmus, tokius kaip „Bcrypt“, „Argon2“, pan.

· Dokumentuoti duomenų migravimo procesus.

· Užtikrinti žurnalinių įrašų agregavimą incidentų identifikavimui, įsigyti papildomus centralizuotus debesijos paslaugų valdymo sprendimus (angl. Cloud Access Security Broker).

· Vykdyti nuolatinį virtualių mašinų atnaujinimą.

Tirdamas šio kibernetinio incidento tyrimo aplinkybes NKSC disponavo ribota tyrimui pateikta „CityBee“ informacija.

Pranešti klaidą

Sėkmingai išsiųsta

Dėkojame už praneštą klaidą
Reklama
Pasisemti ilgaamžiškumo – į SPA VILNIUS
Akiratyje – žiniasklaida: ką veiks žurnalistai, kai tekstus rašys „Chat GPT“?
Reklama
Išmanesnis apšvietimas namuose su JUNG DALI-2
Reklama
„Assorti“ asortimento vadovė G.Azguridienė: ieškantiems, kuo nustebinti Kalėdoms, turime ir dovanų, ir idėjų