Производителя EDR-решения Carbon Black обвинили в сливе терабайтов данных клиентов

Главная — Блог —

14.08.2017

О компрометации сообщили специалисты компании DirectDefense, обнаружив на сервисе VirusTotal конфиденциальную корпоративную информацию клиентов Carbon Black – производителя EDR-решения (Endpoint Detection and Response) для защиты конечных устройств.

Работа платформы базируется на белых списках файлов и приложений. Когда система обнаруживает файлы, не указанные в белом списке, запускается процесс проверки: подозрительные элементы выгружаются сначала в облако, а затем – в мультисканер. Тот проводит анализ и возвращает файлы с вердиктом, на основе которого EDR-платформа классифицирует неизвестные файлы как безвредные или вредоносные. Проблема в том, что копии проверенных файлов (пусть и с измененными названиями) сохраняются на сервисе, и скачать их может любой человек, оплативший доступ к ресурсу. Именно так сотрудники DirectDefense обнаружили утечку данных клиентов Carbon Black в середине 2016 года, расследуя возможную компрометацию данных своего клиента.

Специалисты анализировали образец вредоносного ПО в online-сканере VirusTotal – и случайно обнаружили любопытные файлы, которые оказались внутренними приложениями крупного производителя телекоммуникационного оборудования. Более глубокое изучение помогло найти «сотни тысяч файлов, содержащих терабайты данных», которые загрузил один аплоадер. Расследование показало, что ключ API – 32d05c66 – принадлежит Carbon Black и используется для загрузки файлов Cb Response. По словам главы DirectDefense Джима Брума (Jim Broome), часть скомпрометированной информации принадлежала компаниям из списка Fortune 1000, в том числе Apple, Google и Amazon.

В ответ на заявление DirectDefense, Carbon Black подчеркнула, что решение делиться информацией с третьими сторонами пользователи принимают сами: по умолчанию эта функция в Cb Respons отключена. А в случае ее активизации пользователем, система предупреждает, что данные могут предоставляться третьим сторонам.

Представители Carbon Black обвинили DirectDefense в «крайне безответственном обнародовании информации, как по отношению к Carbon Black, так и по отношению к компаниям, приведенным в качестве примера». Однако Джим Брум парировал, что его компания знала об опциональных возможностях Cb Response, хоть и не упоминала об этом. Он также подчеркнул, что исследование DirectDefense отнюдь не является исчерпывающим и в большей мере обращено к пользователям EDR-решений, которым стоит вникать в политики конфиденциальности EDR-решений, которыми они пользуются.

ВЕРНУТЬСЯ К СПИСКУ СТАТЕЙ

Подпишитесь на нашу рассылку и получите свод правил информационной безопасности для сотрудников в шуточных стишках-пирожках.

Заполняя настоящую веб-форму и отправляя указанные в ней персональные данные, я даю свое согласие ООО «СерчИнформ» (далее – оператор) на обработку моих персональных данных в соответствии с Политикой конфиденциальности (https://searchinform.ru/resources/security/, далее — Политика) с правом передачи оператором моих персональных данных третьим лицам, которые являются партнерами оператора. Я понимаю, что мои персональные данные будут переданы с использованием открытых каналов связи (сети международного обмена Интернет) и впоследствии могут обрабатываться как с использованием средств автоматизации, так и без использования таких средств.

Давая настоящее согласие, я подтверждаю, что:

действую свободно, своей волей и в своих интересах;
являюсь дееспособным;
настоящее согласие является конкретным, информированным и сознательным;
ознакомился с Политикой в отношении обработки персональных данных, размещенной на настоящем сайте.

Я понимаю, что в соответствии с федеральным законодательством получение оператором согласия на обработку персональных данных является обязательным, и в случае моего отказа от их предоставления и (или) отсутствия согласия на их обработку, интересующие меня услуги не могут быть оказаны оператором.

Я, в соответствии с ч.1 ст. 18 Федерального закона от13.03.2006 г. №38-ФЗ «О рекламе», даю своё согласие ООО «СерчИнформ» (ИНН 7704306397, адрес: 127254, г. Москва, проезд Огородный, д. 16/1, стр. 3, помещение 901) (далее - СерчИнформ) на направление мне на указанные мной контактные данные сообщений в информационных и/или рекламно-информационных целях об услугах (в широком понимании этого определения, в том числе, но не ограничиваясь, сервисах, мероприятиях, встречах, вебинарах, конференциях и т.д.) СерчИнформ со следующими условиями:

Я даю согласие на получение информации и рекламы путем осуществления прямых контактов со мной с помощью любых средств связи включая, но не ограничиваясь, направления sms-сообщений и/или puch-уведомлений и/или электронных писем и/или сообщений в мессенджерах и/или посредством телефонных звонков и/или факсимильной связи.
Я гарантирую, что предоставленная мной информация является полной, достоверной и точной, а также что при представлении информации не нарушаются действующее законодательство Российской Федерации, законные права и интересы третьих лиц. Вся представленная информация заполнена мной в отношении себя лично.
Я согласен/согласна с тем, что текст данного мной по собственной воле и в моих интересах согласия хранится в электронном виде в базе данных СерчИнформ и подтверждает факт согласия на обработку моих контактных данных в соответствии с положениями настоящего документа.
Настоящее согласие действует до поступления в СерчИнформ любым способом (письменно, устно, в электронном виде) требования от меня как субъекта персональных данных о прекращении обработки персональных данных в соответствии с ч.2 ст. 15 Федерального закона от 27.07.2006 г. №152-ФЗ «О персональных данных».
Я подтверждаю, что любое моё действие по нажатию на кнопку «Отправить», «Зарегистрироваться», «Записаться», «Оставить заявку», проставлению отметки « » является достаточной формой согласия и позволяет подтвердить сторонам факт получения такого согласия, при этом иных доказательств для дополнительного подтверждения моего свободного волеизъявления не потребуется.
Я подтверждаю, что владею информацией о том, что в любой момент в течение всего срока действия настоящего согласия, я вправе отозвать согласие и отписаться от получения рассылок как путем устного обращения к представителю СерчИнформ, так и путем перехода по соответствующей ссылке в любом письме, или путем направления письменного уведомления в СерчИнформ об отзыве своего согласия и отказе от рассылок.