ทูลโอเพ่นซอร์สตัวใหม่ที่สแกนตรวจรหัสในบัคเก็ต AWS S3

ทูลใหม่ตัวนี้ชื่อ ‘S3crets Scanner’ (ฟรีด้วย) พัฒนาออกมาสำหรับให้เหล่านักวิจัยและคนที่ทดสอบเจาะระบบทั้งหลายใช้ค้นหา “Secret” ที่เผลอเก็บไว้บนสตอเรจสาธารณะบนบริการพับลิกคลาวด์อย่าง Amazon AWS S3 โดยไม่ตั้งใจ

สำหรับ Amazon S3 (Simple Storage Service) เป็นบริการสตอเรจบนคลาวด์ยอดนิยมที่หลายบริษัทใช้จัดเก็บซอฟต์แวร์ เซอร์วิส และข้อมูลตัวเองในคอนเทนเนอร์ย่อยๆ ที่เรียกว่า “Bucket” แต่หลายครั้งที่มักลืมตั้งค่ารักษาความปลอดภัยจนหลุดออกมาบนอินเทอร์เน็ตได้

นอกจากนี้ บัคเก็ตพวกนี้อาจมีสิ่งที่เรียกว่า Secret ที่เป็นพวกคีย์ยืนยันตัวตน คีย์สำหรับเข้าถึงระบบต่างๆ หรือคีย์ API เป็นต้น ซึ่งสามารถนำไปใช้เข้าถึงบริการต่างๆ หรือแม้แต่เข้าถึงเครือข่ายของบริษัทอันนำไปสู่ความเสียหายร้ายแรงได้

จากการสืบสวนกรณีข้อมูลของ SEGA ที่หลุดล่าสุด นักวิจัย Eilon Harel จึงคิดค้นตัวสแกนอัตโนมัตินี้แล้วปล่อยให้ใช้ผ่าน GitHub เป็นทูลภาษา Python ที่ช่วยค้นหา Secret บนบั๊กเก็ต S3 สาธารณะ ได้อย่างรวดเร็ว พร้อมส่งต่อเข้าระบบ SIEM ได้เลย

อ่านเพิ่มเติมที่นี่