在不留審計線索的情況下攻擊網站

Question

最近Aetna suffered a breach它丟失了65,000個SSN。他們從未能夠找到發生的事件的審計線索，這可能暗示該攻擊利用了XSS或類似技術。

有沒有特定的已知攻擊，壞人一再利用這種類型的攻擊？

Answer 1

人們常犯的錯誤有人們使用的常見平臺。如果不加修補，每個人都可以使用一個簡單的腳本來打破他人。

但是如果有人特意追求某些東西，在這種情況下，社會安全號碼在有組織犯罪圈中具有很高的價值，那麼我會希望有人花更多的時間來弄清楚該網站是如何工作和應用自定義的利用來獲取數據。

我不明白爲什麼它必須是XSS。如果他們的系統沒有將訪問日誌發送到服務器外，或者甚至記錄每個入口點，那麼有人可以利用各種方法利用可利用的服務器並在之後進行清理。

Answer 2

目前尚不完全清楚這是一次技術性失敗，而且鑑於未取得明確的取證結果，我認爲這更像是一次人爲失敗，無論是社交工程，數據遺留在列車座位上，或者心懷不滿的員工。

AFAIK真正留下零審計線索的唯一方法是審計未寫入。單獨記錄HTTP流量總會給你一些基於HTTP攻擊的證據。

Answer 3

我已經看到了一些自動化攻擊的結果，他們做的第一件事情之一是禁用日誌記錄，並刪除所有日誌。

這就是爲什麼將日誌記錄位置更改爲非標準路徑的常見原因 - 它不會對確定的攻擊者進行任何操作，但會在自動攻擊的情況下爲您提供更多信息。

Answer 4

缺乏審計線索並不令人意外。沒有多少公司在那裏保留有意義的審計線索。當然，通常有千兆字節和千兆字節的日誌，但誰會經歷所有這些？大多數IT場所只會在足夠老的時候丟棄它，所以完全有可能這種違規發生在前一段時間，而且他們已經從文章中剔除了日誌，因爲他們看起來並不知道可能的違規行爲，直到垃圾郵件開始進來。

我會懷疑可憐的IT而不是一些聰明的攻擊導致缺乏審計線索。