Descoperirea și Exploatarea Pasivă a Bucket-urilor de Stocare Cloud

Acest articol detaliază o tehnică pasivă de recunoaștere utilizată pentru descoperirea și exploatarea bucket-urilor de stocare cloud configurate greșit, precum Amazon S3, Google Cloud Storage (GCS) și Azure Blob. Metoda ocolește scanerele tradiționale de securitate prin utilizarea log-urilor publice de transparență a certificatelor (CT) și a serviciilor de indexare. Atacatorii pot compila o listă de nume potențiale de bucket-uri asociate cu o companie țintă, monitorizând log-urile CT pentru certificatele TLS emise subdomeniilor companiei. Unelte precum `bucket-stream` analizează aceste log-uri pentru a genera permutări ale numelor de bucket-uri bazate pe convenții comune de denumire, mapând eficient activele de stocare cloud ale companiei fără a trimite un singur pachet către țintă.

Faza de descoperire pasivă este îmbunătățită suplimentar de servicii precum GrayhatWarfare, care indexează miliarde de fișiere în milioane de bucket-uri de la principalii furnizori cloud. Cercetătorii de securitate pot căuta în acest index extensii de fișiere sensibile (de ex., `.env`, `.sql`, `.key`) asociate cu numele unei companii. Acest lucru permite atacatorilor să identifice dacă date sensibile au fost expuse și indexate anterior, chiar dacă bucket-ul este securizat ulterior. Articolul subliniază că această identificare pasivă are loc înainte de orice scanare activă sau verificare a permisiunilor, făcând ineficiente controalele convenționale de securitate în această fază inițială critică.

În urma identificării pasive, unelte de scanare activă precum `S3Scanner` și `AWSBucketDump` pot fi utilizate pentru confirmarea permisiunilor și colectarea de credențiale. Pentru GCS și Azure, există tehnici pasive echivalente, cum ar fi verificarea legăturilor `allUsers` sau a listărilor anonime de containere. Problema centrală evidențiată este asimetria în vizibilitatea atacului: descoperirea cea mai importantă a activelor are loc silențios, lăsând echipele de securitate inconștiente până după ce exfiltrarea datelor a avut loc potențial. Aceasta subliniază necesitatea monitorizării proactive a log-urilor CT și a indexurilor publice ca parte a unei strategii cuprinzătoare de securitate cloud.