مقدمة
في السنوات الأخيرة، تحول المهاجمون بشكل متزايد إلى عمليات العيش خارج الأرض “الأقل من البرامج الضارة” ضد البيئات السحابية وبيئات SaaS. امتد هذا الاتجاه أيضًا إلى الابتزاز وبرامج الفدية: فبدلاً من نشر برامج الفدية التقليدية لتشفير الملفات، تفضل الجهات الفاعلة في مجال التهديد أحيانًا استغلال نقاط الضعف في الخدمات المكشوفة مثل قواعد البيانات وإساءة استخدام الأوامر المشروعة لسرقة البيانات أو تشفيرها أو تدميرها والمطالبة بالدفع مقابل إعادة الملفات أو الحفاظ عليها خاصة.
أحد الأمثلة البارزة التي لاحظناها هو الهجمات التي تستهدف خوادم قواعد البيانات المتصلة بالإنترنت والتي تم تكوينها بكلمات مرور ضعيفة أو بدون مصادقة على الإطلاق. تم الإبلاغ عن هذا النشاط الضار من قبل العديد من مجموعات البحث على مر السنين، بما في ذلك الحملات التي تستهدف MySQL وPostgreSQL وMongoDB وHadoop وCouchDB وElasticsearch.
يتصل المهاجمون عن بعد بهذه الخوادم، وينسخون البيانات إلى موقع آخر، ويمسحون قاعدة البيانات، ثم يتركون وراءهم مذكرة فدية مخزنة في قاعدة البيانات نفسها. يتجاوز هذا الأسلوب العديد من طرق الكشف التقليدية لأنه لا يتم إسقاط أي ثنائي ضار على الإطلاق؛ يتم الضرر بالكامل باستخدام أوامر قاعدة البيانات العادية.
تطور تكتيك الفدية هذا من حالات قليلة معزولة إلى حملات آلية واسعة النطاق. منذ فبراير 2017، لاحظ باحثون من Rapid7 أن الآلاف من قواعد البيانات المفتوحة يتم اختطافها بكميات كبيرة. اليوم، تقوم الجهات الفاعلة في مجال التهديد بتشغيل روبوتات متخصصة تزحف على الإنترنت بحثًا عن قواعد بيانات تم تكوينها بشكل خاطئ، وتكون قادرة على اختراق هدف جديد في غضون ساعات أو حتى دقائق من وصوله إلى الإنترنت. إن سهولة الأتمتة وإغراء الأرباح السريعة والسهلة جعلت من برامج الفدية “الخالية من البرامج الضارة” لقواعد البيانات تهديدًا مستمرًا.
ظهور برامج الفدية “الخالية من البرامج الضارة”.
في حين أن هجمات برامج الفدية الكلاسيكية تتضمن عادةً إصابة البيئة المستهدفة ببرامج ضارة تقوم بتشفير الملفات الموجودة على القرص باستخدام مفتاح لا يعرفه سوى المهاجم، برامج الفدية لقاعدة البيانات لا يقوم بتشفير البيانات على الإطلاق – وبدلاً من ذلك، يستخدم المهاجمون الوظيفة المضمنة في قاعدة البيانات (الاستعلامات والأوامر) لجعل البيانات غير متاحة.
هذه الطريقة لها العديد من المزايا للمهاجمين. أولاً، يترك أثرًا أخف: لا يوجد برنامج ثنائي مخصص للبرامج الضارة يمكن اكتشافه عبر حلول أمان نقطة النهاية، نظرًا لأن الهجوم يعزز العمليات المسموح بها على خدمة قاعدة البيانات. ثانيًا، يعتمد غالبًا على استغلال التكوينات الأمنية الخاطئة (مثل بيانات الاعتماد الافتراضية أو الوصول المفتوح إلى الشبكة) بدلاً من الثغرات الأمنية في البرامج، مما يعني أنه يمكن أن ينجح بغض النظر عن إصدار الخادم، ودون الحاجة إلى عمليات استغلال معقدة. وأخيرًا، من خلال العمل عبر البروتوكولات العادية (على سبيل المثال، تنفيذ استعلامات SQL)، من المرجح أن يندمج النشاط مع سلوك المستخدم أو المسؤول الشرعي وبالتالي يتجنب الاكتشاف بواسطة الدفاعات التقليدية المستندة إلى المضيف.
في الواقع، تحقق هذه الهجمات نفس هدف برامج الفدية – حرمان الضحية من الوصول إلى بياناتها – ولكن بدون مؤشرات البرامج الضارة. وبدلاً من الملفات المشفرة، يتم ببساطة إخفاء البيانات أو قفلها في شكل نسخة احتياطية لقاعدة البيانات في حوزة المهاجم. قد تكون مذكرة الفدية وغياب البيانات العلامة الوحيدة الواضحة للتسوية.
والجدير بالذكر أن الحملات الأحدث اعتمدت أساليب الابتزاز المزدوج حتى في هذه السيناريوهات الأقل استخدامًا للبرامج الضارة. سيزعم المهاجمون أنهم سرقوا البيانات (سواء قاموا بالفعل بتسريبها أم لا) ويهددون بتسريبها علنًا إذا لم يتم دفع الفدية. على سبيل المثال، كما هو مذكور في تقرير من Guardicore Labs (الآن Akamai)، قامت حملة تستهدف خوادم MySQL بتحميل تفريغ قاعدة بيانات الضحايا إلى موقع “مزاد” على الويب المظلم والسماح للضحايا برؤية بياناتهم للبيع من أجل الضغط على الدفع. وبالمثل، غالبًا ما تحذر مذكرات الفدية من أنه إذا لم يدفع الضحية، فسيتم نشر البيانات أو بيعها للآخرين. وهذا يوضح أنه حتى بدون استخدام البرامج الضارة، فإن ابتزاز قاعدة البيانات يعكس تكتيكات عمليات برامج الفدية الأوسع.
ومع ذلك، فإن الخطر يتجاوز فقدان البيانات والابتزاز: يمكن للمهاجم الذي لديه حق الوصول إلى قاعدة البيانات في كثير من الأحيان تصعيد امتيازاته لتحقيق تنفيذ التعليمات البرمجية عن بعد (RCE). بمجرد إنشاء موطئ قدم هذا، يمكنهم البدء في التحرك بشكل جانبي في بيئتك باستخدام الخادم المخترق كنقطة انطلاق لاكتشاف الأنظمة الأخرى ومهاجمتها. لذلك، حتى في الحالات التي لا تكون فيها البيانات المسروقة ذات قيمة بالضرورة، من المهم التعامل مع مذكرة الفدية كمؤشر مبكر على تسوية أعمق محتملة من قبل مشغل برنامج الفدية أو أي خصم آخر.
تشريح هجوم برنامج الفدية على قاعدة البيانات
من السهل أن نفهم سبب استهداف المهاجمين لخوادم قواعد البيانات المكشوفة لأغراض سرقة البيانات والابتزاز – فمن المحتمل أن تحتوي على معلومات قيمة (بيانات العملاء، والسجلات المالية، والملكية الفكرية، وما إلى ذلك)، وليس المقصود منها أن تكون مكشوفة للإنترنت بشكل مباشر: على عكس خوادم الويب وخوادم واجهة برمجة التطبيقات، تم تصميم خوادم قواعد البيانات للعمل خلف جدران الحماية أو الشبكات الخاصة.
ونتيجة لذلك، فإن العديد من التكوينات الافتراضية لخوادم قواعد البيانات هذه تهمل المصادقة الصارمة وضوابط التعرض، مما قد يدفع المستخدمين إلى نشرها في حالة تم تكوينها بشكل خاطئ دون إدراك المخاطر. وهذا غالبًا ما يترك قواعد البيانات مفتوحة على مصراعيها للإنترنت، وتفتقر إلى الضمانات المناسبة ويجعلها فريسة سهلة لمشغلي برامج الفدية.
عادةً ما يبدأ المهاجمون عملياتهم من خلال فحص على مستوى الإنترنت بحثًا عن منافذ قاعدة البيانات المكشوفة مثل 3306 (MySQL) و5432 (PostgreSQL). ثم يستخدمون تقنيات البصمات للتأكد من أن الأهداف هي بالفعل خدمات قاعدة بيانات، واختبار المصادقة المفقودة، وتجربة اسم المستخدم الافتراضي: مجموعات كلمات المرور، ومحاولة استخدام كلمات المرور الضعيفة.
إذا نجح المهاجم في المصادقة على خادم قاعدة البيانات، فسيقوم المهاجم باستخراج عينة بيانات صغيرة، وإصدار أوامر SQL مدمرة مثل `DROP DATABASE` أو `DELETE` مجمعة، وأخيرًا يقوم بإنشاء جدول جديد باسم مثل `RECOVER_YOUR_DATA` أو `README_TO_RECOVER` الذي يحتوي على ملاحظة تتضمن طلب فدية وعنوان محفظة عملة مشفرة. كما هو موضح في لقطة الشاشة أدناه، في قاعدة بيانات علائقية مثل PostgreSQL، غالبًا ما يقوم المهاجمون بإنشاء جدول جديد وإدراج مذكرة الفدية نفسها كصف في الجدول:
وبالمثل، في قاعدة بيانات NoSQL مثل MongoDB، عادةً ما يقوم المهاجم بإنشاء مجموعة جديدة باسم إرشادي وإدراج مذكرة الفدية كمستند:
قياس المخاطر
يُظهر تحليلنا التوزيع التالي للبيئات السحابية ذات هجمات برامج الفدية الناجحة عبر أنواع مختلفة من خوادم قواعد البيانات. يعد MongoDB حاليًا الهدف الأكثر شيوعًا، حيث يمثل PostgreSQL ثاني أكبر حصة من البيئات التي بها حوادث. قواعد البيانات العلائقية التقليدية مثل MySQL ومتغيراتها (مثل Amazon Aurora MySQL وMariaDB) تتعرض أيضًا للاختراق ولكن بشكل أقل تكرارًا.
لتحديد المخاطر الإجمالية على البيئات السحابية، قمنا بمقارنة الوضع الأمني لخمسة خوادم قواعد بيانات شائعة: PostgreSQL، وMySQL، وMariaDB، وMongoDB، وRedis. وكما هو متوقع، يُظهر تحليلنا وجود علاقة مباشرة بين الشعبية العامة لخادم قاعدة بيانات معين والنسبة المئوية للبيئات التي تحتوي على مثيل واحد على الأقل معرضًا مباشرةً للإنترنت. الطرف الغريب في مجموعة البيانات هو Redis، الذي يتمتع بتعرض منخفض نسبيًا (5.3% من البيئات) على الرغم من شعبيته الواسعة (74% من البيئات).
ومع ذلك، فإن التعرض للإنترنت ليس سوى نصف القصة. تعتمد المخاطر الفعالة على كيفية تكوين قواعد البيانات المكشوفة هذه:
على الرغم من أن Redis لديه معدل تعرض منخفض نسبيًا، إلا أنه يحتوي على معدل مرتفع نسبيًا من التكوين الخاطئ، حيث أن 72% من البيئات التي تحتوي على مثيلات Redis المكشوفة تحتوي على مثيل واحد على الأقل تم تكوينه بدون مصادقة أو ببيانات اعتماد ضعيفة. ومع ذلك، نظرًا لأن Redis يعمل في الذاكرة، فهو ليس مرشحًا جيدًا جدًا لبرامج الفدية لقاعدة البيانات، وبدلاً من ذلك عادةً ما يسيء المهاجمون تكوينات Redis الخاطئة من أجل اختراق المضيف الأساسي من أجل التعدين الخفي.
كيف يمكن للمنظمات أن تدافع عن نفسها؟
وقاية
-
يجب أن تتواجد خوادم قاعدة البيانات في قطاعات شبكة خاصة، محمية بجدران الحماية ومجموعات الأمان التي تسمح فقط بحركة المرور من خوادم التطبيقات الموثوقة، حيث نادرًا ما يكون هناك سبب مشروع لقاعدة بيانات الإنتاج لقبول الاتصالات من عناوين IP التعسفية على الإنترنت.
-
إذا كان المسؤولون عن بعد بحاجة إلى الوصول، فيجب توجيههم عبر مضيف آمن (أو خادم سريع) محمي بمصادقة متعددة العوامل (MFA)، بدلاً من فتح منفذ قاعدة البيانات للعالم.
-
يجب حماية خوادم قواعد البيانات الداخلية من أنشطة ما بعد الاختراق من خلال فرض مصادقة قوية:
-
تعطيل الوصول بدون كلمة مرور
-
استخدم بيانات اعتماد قوية وفريدة من نوعها
-
الاستفادة من وزارة الخارجية
-
-
للتخفيف من آثار فقدان البيانات، قم بتنفيذ إستراتيجية النسخ الاحتياطي:
-
قم بإجراء نسخ احتياطية تلقائية منتظمة للبيانات المهمة والحساسة واختبر عملية الاسترداد للتأكد من أن النسخ الاحتياطية قابلة للتطبيق.
-
قم بتخزين النسخ الاحتياطية في موقع منفصل يمكن التحكم في الوصول إليه.
-
كشف
-
قم بمسح بيئتك بأكملها بشكل استباقي ومستمر لرسم خريطة لسطح الهجوم الفعال الخاص بك. يتيح لك ذلك تحديد أي موارد حساسة مكشوفة ومتأثرة بالتكوينات الخاطئة ونقاط الضعف حتى تتمكن من معالجتها قبل أن تتاح للمهاجمين فرصة اكتشافها واستغلالها.
-
البحث عن مؤشرات التسوية (IOCs). تحقق بانتظام من قواعد بياناتك بحثًا عن العناصر الفريدة التي تشير إلى نجاح الهجوم. كما هو مذكور أعلاه، تعد قواعد البيانات أو الجداول التي تم إنشاؤها حديثًا والتي تحمل أسماء مثل README_TO_RECOVER مؤشرات قوية على وجود برامج الفدية في قاعدة البيانات. راجع الملحق للحصول على قائمة كاملة بـ IOCs المعروفة.
كيف يمكن أن يساعد الحذق؟
يكتشف Wiz Dynamic Scanner المثيلات المكشوفة علنًا لخوادم قاعدة البيانات المذكورة أعلاه أينما كانت موجودة في بيئتك، ويتحقق باستمرار من التكوينات الخاطئة ونقاط الضعف.
يمكن لعملاء Wiz التحقق من صفحة قواعد سطح الهجوم لمراجعة القواعد والنتائج المتعلقة بخوادم قاعدة البيانات:
يقوم Wiz أيضًا بإجراء عمليات فحص بدون وكيل لبطاقات IOC المتعلقة بملاحظات الفدية في قاعدة البيانات وتنبيه العملاء في حالة العثور على أي دليل من هذا القبيل.
