Coders Conquer Security Infrastructure as Code Serie: Sicherheitsfehlkonfiguration - Unzulässige Berechtigungen

Die Bedrohungen für die Cybersicherheit sind heutzutage allgegenwärtig und unerbittlich. Es ist so schlimm geworden, dass der Versuch, mit ihnen Schritt zu halten, nachdem Programme bereitgestellt wurden, fast unmöglich geworden ist. Stattdessen setzen kluge Unternehmen auf das Konzept "Infrastructure as Code", bei dem Entwickler bereits während der Erstellung von Anwendungen zu deren Sicherheit beitragen. In dieser Serie geht es darum, Sie auf die Sicherheit vorzubereiten, damit Sie die Schritte verstehen, die Sie als Entwickler unternehmen können, um mit der Bereitstellung einer sicheren Infrastruktur als Code in Ihrer eigenen Organisation zu beginnen.

Sicherheitsfehlkonfigurationen, insbesondere solche der Sorte "falsche Berechtigungen", treten am häufigsten auf, wenn ein Entwickler einen neuen Benutzer anlegt oder einer Anwendung als Werkzeug Berechtigungen erteilt, um eine Aufgabe zu erfüllen. Dies könnte zum Beispiel geschehen, um Informationen aus einer Datenbank zu sammeln. Wenn jedoch die Berechtigungen für den neuen Benutzer zu hoch angesetzt oder nicht standardmäßig für die jeweilige Aufgabe konfiguriert sind, kann dies eine ernsthafte Schwachstelle in den Code einbringen.

Bevor wir dazu kommen, testen Sie doch gleich mal Ihre Fähigkeiten. Versuchen Sie, einige unzulässige Berechtigungsschwachstellen zu finden und zu beheben:

Wie haben Sie abgeschnitten? Lassen Sie uns ein wenig tiefer graben:

Einem Benutzer oder einer Anwendung volle Rechte zu geben oder sich einfach nicht die Mühe zu machen, zu definieren, was der neue Benutzer tun können soll und welche Verhaltensweisen eingeschränkt sind, ist sicherlich der schnellste Weg, um neuen Code einzuführen. Und wenn alles perfekt läuft, wird die Anwendung diese Berechtigungen nutzen, um die ihr zugewiesene Aufgabe zu erfüllen. Die Gefahr besteht darin, dass ein Hacker diesen Prozess entdeckt und dann den Benutzer kompromittiert. Auch wenn der Benutzer erstellt wurde, um eine bestimmte Funktion für eine bestimmte Anwendung zu erfüllen, kann er, wenn er kompromittiert wurde, einem Angreifer ermöglichen, andere Anwendungen, Daten oder sogar das Netzwerk zu gefährden.

Wie werden Sicherheitsfehlkonfigurationen ausgenutzt?

Um die Gefahr zu veranschaulichen, lassen Sie uns einen Blick darauf werfen, wie eine häufige Aufgabe manchmal innerhalb der Docker-Cloud-Umgebung kodiert wird. Nehmen wir an, dass ein Entwickler den Prometheus MySQL Exporter-Dienst verwendet, um Informationen aus einer Datenbank zu sammeln. Der einfachste Weg, dies zu ermöglichen, besteht darin, dem Exporter die Berechtigung zum Zugriff auf die Datenbank zu erteilen. Der Code könnte also etwa so aussehen:

FROM mysql:latest
COPY ./scripts/create_users.sh /docker-entrypoint-initdb.d/
USER 999
CREATE USER exporter@% IDENTIFIED BY $EXPORTER_PASSWORD;
GRANT ALL ON *.* TO exporter@%;
GRANT SELECT ON performance_schema.* TO exporter@%;

Dies würde sicherlich dafür sorgen, dass der Exporteur seine Aufgabe erfüllen kann. Da die Berechtigungen jedoch nicht definiert sind, hat der Exporteur tatsächlich die Möglichkeit, fast alles zu tun. Natürlich würde der Exporteur selbst niemals außerhalb seiner programmierten Verhaltensweisen handeln. Was würde aber passieren, wenn ein Angreifer in der Lage wäre, den Exporter-Dienst zu kompromittieren? In diesem Fall könnte der Angreifer, da ihm volle Rechte eingeräumt wurden, alle Arten von nicht autorisierten Aufgaben mit dem SQL-Dienst durchführen.

Sichern und Beseitigen von unzulässigen Berechtigungen

Auch hier wenden wir uns dem Konzept der Infrastruktur als Code zu. Wenn Sie die Sicherheit in Ihre Anwendungen codieren, während diese erstellt werden, dann wird das Netzwerk immer auf einer viel besseren Gesamtbasis stehen, wenn es um Cybersicherheit geht.

Wenn ein Entwickler im obigen Docker-Beispiel möchte, dass der Prometheus-MySQL-Exporter eine Datenbank abfragen kann, dann kann er das sicherer machen, indem er definiert, was er dürfen soll. Ein gutes Beispiel hierfür wäre:

FROM mysql:latest
COPY ./scripts/create_users.sh /docker-entrypoint-initdb.d/
USER 999
CREATE USER exporter@% IDENTIFIED BY $EXPORTER_PASSWORD;
GRANT PROCESS, REPLICATION CLIENT ON *.* TO exporter@%;
GRANT SELECT ON performance_schema.* TO exporter@%;

In diesem Fall hat der für den Prometheus-MySQL-Exporter-Dienst konfigurierte MySQL-Benutzer nur eingeschränkte Rechte für den MySQL-Dienst. Insbesondere sind nur die Berechtigungen PROCESS und REPLICATION CLIENT erlaubt. Dies würde einen böswilligen Benutzer daran hindern, einen kompromittierten Prometheus-MySQL-Exporter-Dienst auszunutzen.

Die Einschränkung von Berechtigungen auf Code-Ebene kann sicherstellen, dass Benutzer und Anwendungen nur genügend Berechtigungen für die jeweilige Aufgabe haben. Und das kann einen großen Beitrag zur Sicherung Ihrer Netzwerke und zur Umsetzung des Konzepts "Infrastruktur als Code" leisten.

Besuchen Sie die Secure Code Warrior Blog-Seiten, um mehr über diese Schwachstelle zu erfahren und zu erfahren, wie Sie Ihr Unternehmen und Ihre Kunden vor den Folgen anderer Sicherheitslücken schützen können. Sie können auch unseren Showcase der Schulungsplattform Secure Code Warrior ausprobieren, um alle Ihre Cybersecurity-Fähigkeiten zu verfeinern und auf dem neuesten Stand zu halten.