Η Mandiant κυκλοφόρησε το AuraInspector, ένα εργαλείο γραμμής εντολών ανοιχτού κώδικα που βοηθά τους υπερασπιστές ασφαλείας να εντοπίζουν και να ελέγχουν εσφαλμένες διαμορφώσεις ελέγχου πρόσβασης στο πλαίσιο Salesforce Aura.
Το εργαλείο αντιμετωπίζει ένα κρίσιμο κενό ασφαλείας στις αναπτύξεις του Salesforce Experience Cloud, όπου οι εσφαλμένες διαμορφώσεις εκθέτουν συχνά ευαίσθητα δεδομένα, συμπεριλαμβανομένων αριθμών πιστωτικών καρτών, εγγράφων ταυτότητας και πληροφοριών υγείας.
Το τελικό σημείο Aura, ένα θεμελιώδες στοιχείο της διεπαφής Lightning Experience του Salesforce, είναι μια από τις πιο κοινά στοχευμένες επιφάνειες επίθεσης στις εφαρμογές Experience Cloud.
Οι κανόνες κοινής χρήσης αντικειμένων του Salesforce καλύπτουν πολλαπλά επίπεδα διαμόρφωσης, καθιστώντας δύσκολο για τους διαχειριστές να εντοπίσουν πιθανές εσφαλμένες διαμορφώσεις ελέγχου πρόσβασης από μια εξωτερική προοπτική.
Το AuraInspector αυτοματοποιεί την ανίχνευση αυτών των εκθέσεων και παρέχει πρακτικές πληροφορίες αποκατάστασης.
Το εργαλείο αξιοποιεί διάφορες τεχνικές επίθεσης που είχαν τεκμηριωθεί προηγουμένως από την ομάδα Offensive Security Services της Mandiant.
| Χαρακτηριστικό | Περιγραφή |
|---|---|
| Αυτόματη ανίχνευση αύρας | Βρίσκει αυτόματα το τελικό σημείο Aura |
| Σάρωση πρόσβασης αντικειμένων | Ελέγχει ποια αντικείμενα και αρχεία είναι προσβάσιμα |
| Ανακάλυψη λίστας εγγραφών | Βρίσκει εκτεθειμένες λίστες εγγραφών και τις διευθύνσεις URL τους |
| Έλεγχος αυτοεγγραφής | Ελέγχει εάν η αυτόματη εγγραφή είναι ενεργοποιημένη και λαμβάνει συνδέσμους εγγραφής |
| Ανακάλυψη URL | Βρίσκει αυτόματα τις διευθύνσεις URL οικίας και διαχειριστή |
| Παράκαμψη GraphQL | Χρησιμοποιεί μια μέθοδο GraphQL για να ανακτήσει περισσότερες από 2.000 εγγραφές |
| Action Bulking | Στέλνει πολλαπλές ενέργειες σε ένα αίτημα |
| Λειτουργία μόνο για ανάγνωση | Διαβάζει μόνο δεδομένα, δεν κάνει αλλαγές |
| Εργαλείο γραμμής εντολών | Απλό CLI για σάρωση και αναφορές |
| Ανοιχτού κώδικα | Διαθέσιμο στο GitHub |
Προσδιορίζει προσβάσιμα αντικείμενα μέσω μεθόδων Aura, όπως το getItems και το getConfigData, οι οποίες μπορούν να εκθέσουν ευαίσθητες εγγραφές όταν τα στοιχεία ελέγχου πρόσβασης δεν έχουν ρυθμιστεί σωστά.
Το AuraInspector ελέγχει επίσης για εκτεθειμένες λίστες εγγραφών, οι οποίες είναι στοιχεία Salesforce που παρέχουν άμεση πρόσβαση σε εγγραφές αντικειμένων όταν τα δικαιώματα έχουν λανθασμένη ρύθμιση παραμέτρων.
Ένα σημαντικό χαρακτηριστικό είναι η ικανότητα του εργαλείου να εντοπίζει ενεργοποιημένα τελικά σημεία αυτοκαταχώρισης.
Η Mandiant παρατήρησε περιπτώσεις κατά τις οποίες οι σύνδεσμοι αυτοεγγραφής αφαιρέθηκαν από τις σελίδες σύνδεσης. Ωστόσο, η λειτουργικότητα παρέμεινε ενεργοποιημένη, επιτρέποντας τη μη εξουσιοδοτημένη δημιουργία λογαριασμού.
Ανακάλυψη: Ενσωμάτωση GraphQL
Το AuraInspector εισάγει μια τεχνική που δεν είχε τεκμηριωθεί στο παρελθόν χρησιμοποιώντας τον ελεγκτή GraphQL Aura της Salesforce για να παρακάμψει το τυπικό όριο ανάκτησης των 2.000 εγγραφών.
.webp.jpeg "Εργαλείο ανοιχτού κώδικα για ανάλυση εσφαλμένης διαμόρφωσης πλαισίου Salesforce Aura")
Αυτό επιτρέπει μια ολοκληρωμένη αξιολόγηση του αντίκτυπου της εσφαλμένης διαμόρφωσης χωρίς χειροκίνητους τρόπους αντιμετώπισης της ταξινόμησης.
Το εργαλείο αυτοματοποιεί την κατασκευή ερωτημάτων GraphQL για την ανάκτηση πλήρων συνόλων δεδομένων όταν αποτυγχάνουν τα στοιχεία ελέγχου πρόσβασης.
Το εργαλείο ανακαλύπτει αυτόματα κρίσιμες πληροφορίες με βάση τα συμφραζόμενα, συμπεριλαμβανομένων των τελικών σημείων Aura, διευθύνσεων URL οικίας και λίστας εγγραφών, κατάσταση αυτοεγγραφής και προσβάσιμα πλαίσια διαχείρισης.
Εκτελεί λειτουργίες αυστηρά μόνο για ανάγνωση, διασφαλίζοντας ότι οι δοκιμασμένες περιπτώσεις παραμένουν αμετάβλητες. Mandiant συνιστά Οι διαχειριστές ελέγχουν τα δικαιώματα επισκέπτη χρήστη χρησιμοποιώντας την αρχή του ελάχιστου προνομίου.
.webp.jpeg "Εργαλείο ανοιχτού κώδικα για ανάλυση εσφαλμένης διαμόρφωσης πλαισίου Salesforce Aura")
Ελέγξτε τους κανόνες κοινής χρήσης και τις προεπιλογές σε ολόκληρο τον οργανισμό, απενεργοποιήστε την περιττή αυτο-εγγραφή και εφαρμόστε τις βέλτιστες πρακτικές ασφάλειας του Salesforce.
Το εργαλείο Security Health Check και ο περιεκτικός Οδηγός ασφαλείας Salesforce παρέχουν πρόσθετη καθοδήγηση για τη σκλήρυνση.
Το AuraInspector είναι τώρα διαθέσιμο στο GitHub, επιτρέποντας στις ομάδες ασφαλείας να εντοπίζουν και να αποκαθιστούν τις εκθέσεις που σχετίζονται με την Aura προτού οι αντίπαλοι τις εκμεταλλευτούν προληπτικά.
