En juillet, plus de 50 entreprises internationales ont subi une fuite de code source due à des erreurs de configuration du développement logiciel dans les applications DevOps, Ordinateur Bleeping écrit. Les entreprises opéraient dans diverses industries, y compris la technologie, les services financiers, la vente au détail, le divertissement et la fabrication, et peuvent également avoir été utilisées comme sources d'attaque tierces pour leurs partenaires commerciaux. Selon le chercheur qui a détecté la fuite, certaines entreprises étaient plus intéressées par la façon dont le code a été obtenu, plutôt que de le supprimer des référentiels publics.
Ce n'était pas le seul incident impliquant fuite technique sur un hub de référentiel cette année. Plus tôt en janvier, un chercheur détection de fuite de code source, clés API et informations d'identification d'une entreprise canadienne de communications et de médias. Dans un communiqué, la société a affirmé que le code était obsolète et ne constituait donc pas une menace importante pour elle-même ou pour ses clients. Certains peuvent cependant ne pas être d'accord, car le le code pourrait être utilisé pour détecter les vulnérabilités dans les produits qui l'exécutent déjà.
À un rythme croissant par rapport à l'année précédente, le stockage en nuage non sécurisé et les erreurs de configuration figuraient parmi les principales causes de violations dans tous les secteurs en 2019, selon VerizonRapport d'enquête sur les violations de données 2020. Cette trouvaille est probablement le résultat de les entreprises font un meilleur travail en les signalant, estime un scientifique senior des données de sécurité de l'information chez Verizon Enterprise.
rapport académique publié par la North Carolina State University (NCSU) a révélé que plus de 100,000 XNUMX référentiels avaient divulgué des clés API et cryptographiques. De plus, il a également constaté que "des milliers de nouvelles clés sont divulguées quotidiennement et que la majorité des secrets divulgués restent disponibles pendant des semaines ou plus". L'équipe a constaté que "la validation de fichiers de clés cryptographiques et de clés API intégrées directement dans le code sont les principales causes de fuite" sur GitHub.
Que pouvez-vous apprendre de ces fuites ?
Les fuites techniques peuvent inclure plans, informations sur les produits et clés API et cryptographiques, entre autres. C'est généralement accidentel, car les pratiques de sécurité sont ignorées par le personnel opérant dans des environnements basés sur Git. Les développeurs ou sous-traitants internes peuvent travailler avec différents outils open source et publier par erreur du code sur des référentiels externes, telles que GitHub ou GitLab, des plates-formes basées sur le cloud ou des forums de support tels que Stack Overflow.
Plate-forme populaire pour la recherche en génie logiciel, GitHub est connue pour ses fuites de clés et de mots de passe depuis 2013. Malheureusement, si des secrets techniques sont divulgués, les entreprises peuvent ne pas savoir qui, le cas échéant, y a déjà accédé.
Comme mentionné précédemment, ces fuites peuvent arriver à grandes ou petites entreprises, et ils sont plus fréquents que prévu. Plutôt que de faire honte à qui que ce soit, il est plus important de savoir comment vous réagissez en tant qu'entreprise. Pour réduire l'impact, ces fuites doivent être identifié dans les plus brefs délais, sans compromettre le processus de développement logiciel. La réalité, cependant, confirme qu'ils peuvent passer inaperçus pendant longtemps avant d'être identifiés.
Les entreprises qui ont plus de main-d'œuvre ont développé leurs propres outils pour essayer de détecter les fuites de code en temps réel. Le problème est que les équipes de renseignement sur les cybermenaces (CTI) peuvent consacrer trop de temps à la collecte et à l'analyse manuelles des données, ce qui laisse peu de temps pour la correction proprement dite. Plus il faut de temps pour détecter une fuite technique, plus il aura d'impact sur les opérations commerciales, la confiance des clients et la réputation de la marque. Sans parler de l'attention médiatique négative et même des poursuites judiciaires, si votre marque est plus célèbre que d'autres.
Le défi majeur en matière de sécurité est que les entreprises manquent de visibilité externe sur l'exposition réelle de leurs dérapages numériques. S'ils ne sont pas détectés sur des plates-formes accessibles au public, ils pourraient mettre en péril votre propriété intellectuelle et entraîner des dommages financiers et de crédibilité. Les fuites techniques pourraient également donner un avantage aux acteurs malveillants, car ils auraient accès à des informations secrètes sur votre infrastructure et votre configuration. Les équipes de sécurité interne ne peuvent pas toujours gérer cela par elles-mêmes, elles doivent donc un coup de main. Les mécanismes de défense proactive impliquent la transparence et couverture améliorée des risques numériques tels que les fuites techniques.
