Elasticsearchセキュリティ検証ツール「RAVEN」を用いた新たなデモンストレーションにより、侵害されたクラスターがデータの完全な窃取や長期的な不正アクセスにつながる可能性があることが明らかになりました。
今回の調査結果は、外部に露出した、あるいは十分に保護されていないElasticsearch環境が、依然として企業にとって深刻なリスクであり続けている理由を浮き彫りにしています。
RAVENは、個々のElasticsearchインデックスからドキュメントを抽出できるほか、システム系以外のすべてのインデックスからデータをエクスポートすることも可能です。
窃取されたレコードはNDJSON形式で保存されるため、攻撃者はデータを検索・解析したり、別のElasticsearch環境にインポートしたりすることができます。
これにより、当初は初期アクセスの問題に過ぎなかったものが、直接的にビジネスへ影響を及ぼす事態へと発展します。侵入者は顧客記録、内部ログ、注文情報、その他インデックス化された情報をコピーできてしまうのです。
このツールはElasticsearchのページネーション機能を利用して、レコードをバッチ単位で収集します。また、中断された抽出処理を再開する機能も備えており、大量データ転送中のネットワーク障害による影響を軽減します。
防御側にとっては、異常なクエリ量、繰り返されるページネーション処理、予期しないエクスポートといった兆候を速やかに調査する必要があることを意味します。
RAVENはスナップショットを悪用した窃取手法も実演しています。繰り返しクエリを送信して大量のデータを転送する代わりに、攻撃者はリポジトリを登録し、サーバー側でスナップショットを作成することができます。
このスナップショットにより、選択したインデックスのコピーが標的サーバーのファイルシステム上に配置される可能性があり、ネットワーク監視による検知が一層難しくなる恐れがあります。
今回の調査では、ElasticsearchのAPIキーにも焦点が当てられています。通常のユーザー名とパスワードとは異なり、APIキーは管理者が明示的に無効化しない限り、パスワードのローテーション後も有効なままとなります。
十分なアクセス権を持つ攻撃者は、生成に使用したアカウントの権限を引き継ぐAPIキーを作成できる可能性があります。防御側が侵入発生後にパスワードのリセットしか行わなかった場合、そのAPIキーによってデータやクラスター操作へのアクセスが継続してしまう恐れがあります。
RAVENは可視化されているAPIキーを列挙することもでき、検証担当者がサービス用の認証情報や自動化用アカウントを特定する助けとなります。実際の攻撃では、外部に露出した、あるいは過剰な権限を持つキーが、より深いアクセスへの足がかりとなる可能性があります。
防御側は、APIキーの一覧を管理し、必要最小限の権限のみを付与し、可能な場合は有効期限を設定し、インシデント対応時にはキーを失効させるべきです。
最も懸念されるのが、永続化に関する機能です。RAVENは3つの手法を実演しています。すなわち、不正な特権ユーザーの作成、長期間有効なAPIキーの生成、そしてElasticsearch Watcherを利用して削除されたアクセス手段を監視・復元する手法です。
Watcherは通常、アラート通知やスケジュールされたアクションのために使用されます。しかし今回のシナリオでは、これが悪用され、隠されたユーザーアカウントやAPIキーがまだ存在するかどうかを確認するために使われます。
防御側がアカウントを削除したりキーを失効させたりしても、Watcherタスクを見落としてしまうと、このツールは次回のスケジュール実行時に、削除されたはずのバックドアを再作成してしまいます。
これは、修復作業を困難にする罠となります。パスワードのリセットだけでは、別途作成されたユーザーは削除されません。ユーザーを削除しても、自動化されたタスクによって再作成されてしまえば意味がありません。
永続化の仕組みが稼働し続けている限り、APIキーを失効させても一時的な対処にしかならないとlevelblueは述べています。
Elasticsearchのインシデントに対応するセキュリティチームは、ユーザーアカウント、ロール、APIキー、Watcherの設定、スナップショットリポジトリ、そして直近の監査ログを確認する必要があります。
また、削除された認証情報を復元してしまうような予期しないスケジュールタスクが存在しないことも、あわせて検証すべきです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/raven-rebuilds-elasticsearch-backdoors/
