- غادر غارتنر مجموعة Elasticsearch على الرؤية "العامة" لمدة ثمانية أشهر على الأقل.
- اكتشف بوب Diachenko قاعدة البيانات وجعل الكشف المقلق حول محتوياته.
- يعتقد Gartner أن البيانات ليست حساسة وتزعم أنه تم الحصول عليها من مصادر عامة.
الباحث اكتشف بوب دياتشينكو مجموعة Elasticsearch غير صحيحة تحتوي على أكثر من 1 تيرابايت من البيانات ، بعد البحث على محركات Shodan و BinaryEdge. وفقًا لبيانات التتبع ، كانت قاعدة البيانات متاحة للجمهور منذ يناير 2019 على الأقل ، ويبدو أنها تنتمي إلى CEB Inc ، وهي شركة تابعة لـ Gartner تركز على رؤى أفضل الممارسات العالمية. Gartner هي شركة استشارية بحثية عالمية من Connecticut ، وتركز على قطاع تكنولوجيا المعلومات. بعد شراء CEB مرة أخرى في نيسان (أبريل) 2017 ، لن يتمكنوا حقًا من إلقاء اللوم على فرق الإدارة السابقة.
اكتشف السيد دياتشينكو قاعدة البيانات في 14 أغسطس 2019 ، وأبلغ غارتنر على الفور. أقرت الشركة باستلام الإشعار ، وأكدت أن قاعدة البيانات كانت نظامًا قديمًا ، وشكرت الباحث ، وقامت بتأمين قاعدة البيانات. ومع ذلك ، وعلى عكس ادعاء شركة Gartner بأن البيانات تم الحصول عليها من مصادر علنية ، فقد وجد الباحث أكثر من 155 مليون سجل تحتوي على معلومات حساسة للغاية عن الموظف. تتضمن التفاصيل أسماءهم الكاملة ، والسيرة الذاتية ، والمهارات ، وسجلات التوظيف ، ورسائل البريد الإلكتروني للتواصل ، والمزيد. وهناك دليل آخر على أن هذه البيانات لم يتم الحصول عليها من مصادر علنية هو وجود مفتاح API يمكن أن يستخدمه الممثلون الضارون من أجل اختراق المزيد داخل شبكة الشركة.
مصدر الصورة: securitydiscovery.comلا يوجد أي دليل على وصول شخص ما إلى هذه البيانات ، حيث لم يتم إغلاق البيانات للابتزاز. ومع ذلك ، وبالنظر إلى الفترة الطويلة التي تركت فيها قاعدة البيانات هذه مفتوحة ، يرى الباحث أن فرصة قيام شخص ما بتسلل هذه المجموعة من البيانات مؤكد تقريبًا. حتى وقت كتابة هذا التقرير ، لم تصدر شركة Gartner بيانًا رسميًا عن هذا الحادث واستناداً إلى نظرتهم السابقة في هذا الشأن ، لا يبدو أنهم يرغبون في التعامل معه على أنه أمر خطير.
منذ بداية العام ، أبلغنا عن ثماني حوادث في قواعد البيانات غير المحمية اكتشفها بوب دياتشينكو وحده. المشكلة في تكوين خطأ في حماية قاعدة البيانات هي مشكلة لا تبدو وكأنها تهدأ في أي وقت قريب ، لذلك قرر الباحث تنظيم جلسة عبر الإنترنت حيث سيضع كل شيء حول حماية قاعدة البيانات وكيفية احتفاظ المحترفين بقواعد بيانات MongoDB و CouchDB و Elasticsearch مع المسؤولية. إذا كنت مهتمًا ، أرسل بريدًا إلكترونيًا على bob (at) securitydiscovery.com. رأينا هو أنه إذا كنت منخرطًا في إدارة البيانات ، فيجب أن تأخذ هذه اللوحة الرئيسية وتساعد في وضع حد لهذه المشكلة الأمنية المثيرة للقلق.
ما الذي تعتبره حلاً نهائيًا لمشكلة قاعدة البيانات غير المحمية؟ أخبرنا برأيك في قسم التعليقات أدناه ، أو في تقاريرنا الاجتماعية ، على Facebook و Twitter.
