4006-555-883

Imperva解释了黑客如何窃取AWS API密钥并访问客户数据

发布时间:2019-10-16 10:24:00

  Imperva分享了它最近遭遇的事件以及黑客如何在云Web应用防火墙(WAF)客户上获取数据的细节。

  今年8月,网络安全公司Imperva披露了一项数据泄露事件,该事件暴露了其云网络应用防火墙(WAF)产品(前身为Incapsula)的一些客户的敏感信息。

  incapsula是一项cdn服务,旨在保护客户的网站免受所有威胁并缓解ddos攻击。

  imperva首席执行官chris hylen透露,该公司于2019年8月20日获悉这一事件,当时该公司获悉数据暴露影响云web应用防火墙(waf)产品。


  “我们希望非常清楚,这一数据公开仅限于我们的云waf产品,”海伦的公告中写道。“以下是我们对今天局势的了解:

  2019年8月20日,我们从第三方获悉,数据暴露影响到我们云waf产品的一部分客户,这些客户在2017年9月15日之前拥有账户。

  截至2017年9月15日,我们的Incapsula客户数据库的元素已经暴露。其中包括:

  电子邮件地址

  哈希和盐渍密码”

  laked数据包括所有在2017年9月15日之前注册的云waf客户的电子邮件地址、散列和盐渍密码。

  Hyen补充说,截至2017年9月15日,Incapsula客户的一个子集已经公开了API密钥,客户提供了SSL证书。

  在Imperva发表的一篇博客文章中,该公司证实,有人曾要求提供窃听器赏金,从而向其通报了这一事件。该公司解释说,数据是经过过滤的,没有利用其系统中的任何漏洞。

  数据分析证实,攻击者在10月份窃取了数据。

  Imperva发布的帖子写道:“我们的调查发现,2018年10月,我们的一个生产AWS账户未经授权使用了一个管理API密钥,这导致了一个包含电子邮件和哈希和盐渍密码的数据库快照曝光。”

  “我们将提供的数据集中的SQL转储与快照进行了比较,找到了一个匹配项。在本文中,我们可以说,上述定义的客户数据元素仅限于2017年9月15日之前的云waf帐户。我们其他产品的数据库和快照没有经过筛选,

  该公司宣布采取了额外的安全措施来保护其客户,包括默认情况下在其vpn背后创建新实例、实施监控和修补程序、停用未使用和非关键的计算实例。

  Imperva解释说,该事件与2017年开始的将其基础设施迁移到AWS云技术的过程有关。

  当时,开发团队创建了一个数据库快照,用于测试和评估向aws的迁移。他们创建的一个内部计算实例已在线公开,其中包含一个aws api密钥。这个实例被破坏了,黑客从aws api密钥中过滤出来,并使用它访问快照。

  为了应对这一事件,Imperva更改了13000个密码,超过13500个SSL证书被轮换并重新生成了大约1400个API密钥。好消息是,该公司不知道与黑客有关的恶意账户活动。

在公司仍在调查这一事件的同时,它建议其客户采取以下安全措施:

  更改云WAF的用户帐户密码(https://my.incapsula.com)

  实现单点登录(SSO)

  启用双因素身份验证

  生成并上载新的SSL证书

  重置API密钥

  (内容翻译于securityaffairs.co)

最新发布
1
央企密码中台建设:高效与安全并存的数字化转型必然选择
2
政府网站数据安全防护这样做,兼容性与国密算法合规性兼顾
3
Digicert全球价格调整策略-中国区市场指导价格执行通知
4
热点问题解答 | vTrus SSL证书三问三答,自主品牌保障企业网站安全合规
5
“数据安全”连续四年被写入政府工作报告,天威诚信核心技术护航数据全生命周期安全
6
《中华人民共和国档案法实施条例》正式施行,天威诚信数字信任服务推进档案信息化、法制化建设
7
反转不断的“凤印案” 从《大唐狄公案》看传统印章的管理困局
8
各地文旅局“卷”疯了!电子合同服务助力旅游经济快速上分!
9
《铁路关键信息基础设施安全保护管理办法》发布,双算法证书方案让数据传输更加安全可信
10
共创共赢!铜锁项目获评2023开源创新榜“优秀开源项目”
相关推荐
政府网站数据安全防护这样做,兼容性与国密算法合规性兼顾
商务部等12部门联合印发重磅文件,SSL数据安全保障服务价值凸显
《中华人民共和国档案法实施条例》正式施行,天威诚信数字信任服务推进档案信息化、法制化建设
反转不断的“凤印案” 从《大唐狄公案》看传统印章的管理困局
共创共赢!铜锁项目获评2023开源创新榜“优秀开源项目”
Digicert全球价格调整策略-中国区市场指导价格执行通知
“数据安全”连续四年被写入政府工作报告,天威诚信核心技术护航数据全生命周期安全
《铁路关键信息基础设施安全保护管理办法》发布,双算法证书方案让数据传输更加安全可信
热点问题解答 | vTrus SSL证书三问三答,自主品牌保障企业网站安全合规
行业用户认可|天威诚信获评“2023用户推荐网络安全厂商品牌”