Ноутбук DevOps-инженера и $6,3 млрд: почему на безопасность нужно выделять время

Вот важная новость с фронта ИИ: virelos 18 минут назад Краткое содержание статьи Ноутбук DevOps-инженера и $6,3 млрд: почему на безопасность нужно выделять время Средний 4 мин 784 DevOps * Информационная безопасность * Системное администрирование * Управление разработкой * Искусственный интеллект Мнение 29 октября из Binance, крупнейшей криптобиржи мира, вывели около $6,3 млрд. По первой версии самой биржи, всё началось со скомпрометированного ноутбука DevOps-инженера. Через ноутбук атакующий добрался до service container и оттуда отправил транзакции на вывод.

Ключи от кошельков не утекли: транзакции подписала сама система биржи, потому что запрос пришёл изнутри. Криптовалюта здесь вторична. Мне интереснее другое: задачи по безопасности у нас месяцами лежат в бэклоге, а ноутбук инженера с доступом в прод остаётся самым удобным входом в компанию.

Технические детали

Почему это касается не только биржЦепочка «ноутбук инженера → контейнер в проде → действие, которое не откатить» есть почти в любой компании. Где-то это вывод денег, а где-то удаление базы, выгрузка клиентских данных или выпуск сертификата. На ноутбуке DevOps обычно лежит kubeconfig от боевых кластеров, ключи облака, SSH-ключи и токены CI.

Часто всё это статическое и живёт месяцами. Когда инженер со своей машины ходит в прод, в логах это выглядит как обычная работа. Когда с той же машины ходит атакующий, в логах всё выглядит точно так же.

Binance не первыйИсторий, где входом стала машина или креды инженера, за последние годы набралось достаточно. Три самых показательных:КогдаКомпанияЧто случилосьдекабрь 2022 — январь 2023CircleCIНа ноутбук инженера попал infostealer, антивирус его не заметил. Украли SSO-сессию с уже пройденной 2FA, добрались до прода и выгрузили переменные окружения, токены и ключи клиентов.

Отраслевые последствия

Всем клиентам пришлось ротировать секреты. сентябрь 2022UberПосле социальной инженерии атакующий нашёл на сетевой шаре PowerShell-скрипт с захардкоженным паролем админа Thycotic, PAM-системы компании. Из PAM достал креды от AWS, Google Workspace, Duo, OneLogin, vSphere.

2022LastPassДомашний компьютер senior DevOps-инженера взломали через уязвимый Plex. Кейлоггер снял мастер-пароль, дальше был волт с ключами от бэкапов продовой базы в S3. Ни в одном из этих случаев не ломали периметр в классическом смысле.

Атакующие заходили через инженера с доступами или через секрет, который лежал не там. А скрипт с паролем или токен в переменных CI — это как раз наша зона ответственности. ИБ и DevOps: почему безопасность откладываютУ DevOps-команды метрики понятные: скорость релизов, аптайм, время восстановления.

Этот прогресс даёт важные сигналы о будущем отрасли, и технологический мир внимательно наблюдает.