Imperva分享了它最近遭遇的事件以及黑客如何在云Web应用防火墙(WAF)客户上获取数据的细节。
今年8月，网络安全公司Imperva披露了一项数据泄露事件，该事件暴露了其云网络应用防火墙(WAF)产品(前身为Incapsula)的一些客户的敏感信息。
incapsula是一项cdn服务，旨在保护客户的网站免受所有威胁并缓解ddos攻击。
imperva首席执行官chris hylen透露，该公司于2019年8月20日获悉这一事件，当时该公司获悉数据暴露影响云web应用防火墙(waf)产品。
“我们希望非常清楚，这一数据公开仅限于我们的云waf产品，”海伦的公告中写道。“以下是我们对今天局势的了解：
2019年8月20日，我们从第三方获悉，数据暴露影响到我们云waf产品的一部分客户，这些客户在2017年9月15日之前拥有账户。
截至2017年9月15日，我们的Incapsula客户数据库的元素已经暴露。其中包括：
电子邮件地址
哈希和盐渍密码”
laked数据包括所有在2017年9月15日之前注册的云waf客户的电子邮件地址、散列和盐渍密码。
Hyen补充说，截至2017年9月15日，Incapsula客户的一个子集已经公开了API密钥，客户提供了SSL证书。
在Imperva发表的一篇博客文章中，该公司证实，有人曾要求提供窃听器赏金，从而向其通报了这一事件。该公司解释说，数据是经过过滤的，没有利用其系统中的任何漏洞。
数据分析证实，攻击者在10月份窃取了数据。
Imperva发布的帖子写道：“我们的调查发现，2018年10月，我们的一个生产AWS账户未经授权使用了一个管理API密钥，这导致了一个包含电子邮件和哈希和盐渍密码的数据库快照曝光。”
“我们将提供的数据集中的SQL转储与快照进行了比较，找到了一个匹配项。在本文中，我们可以说，上述定义的客户数据元素仅限于2017年9月15日之前的云waf帐户。我们其他产品的数据库和快照没有经过筛选，
该公司宣布采取了额外的安全措施来保护其客户，包括默认情况下在其vpn背后创建新实例、实施监控和修补程序、停用未使用和非关键的计算实例。
Imperva解释说，该事件与2017年开始的将其基础设施迁移到AWS云技术的过程有关。
当时，开发团队创建了一个数据库快照，用于测试和评估向aws的迁移。他们创建的一个内部计算实例已在线公开，其中包含一个aws api密钥。这个实例被破坏了，黑客从aws api密钥中过滤出来，并使用它访问快照。
为了应对这一事件，Imperva更改了13000个密码，超过13500个SSL证书被轮换并重新生成了大约1400个API密钥。好消息是，该公司不知道与黑客有关的恶意账户活动。
在公司仍在调查这一事件的同时，它建议其客户采取以下安全措施：
更改云WAF的用户帐户密码(https://my.incapsula.com)
实现单点登录(SSO)
启用双因素身份验证
生成并上载新的SSL证书
重置API密钥
(内容翻译于securityaffairs.co)
