Según un estudio de la compañía Comparitech

El 6% de los depósitos de Google Cloud están mal configurados

25
Google Cloud

El equipo de investigación de la compañía Comparitech ha publicado un estudio que revela que el 6% de los depósitos o buckets de Google Cloud están mal configurados, ya que no tienen habilitado el control de acceso, de manera que cualquiera pueda acceder a sus contenidos.

Este estudio ha analizado un total de 2.064 depósitos de Google Cloud, de los cuales determinaron que 131 son vulnerables al acceso no autorizado por parte de otros usuarios. Entre los datos que la firma ha descubierto se encuentran 6.000 documentos escaneados que incluyen pasaportes, certificados de nacimiento y perfiles personales de niños en India. También una base de datos perteneciente a un desarrollador web ruso, que contenía los registros de su chat y las credenciales del servidor de correo electrónico.

“Estos buckets pueden contener archivos confidenciales, bases de datos, código fuente y credenciales, entre otras cosas. Los atacantes podrían aprovechar estas vulnerabilidades para robar datos, comprometer sitios web y lanzar más ataques”, ha advertido el investigador de Comparitech Paul Bischoff en una publicación en el blog de la firma.

Cómo han descubierto los buckets de Google expuestos

Paul Bischoff ha explicado que los depósitos de Google siguen unas pautas de nomenclatura que facilitan su búsqueda. Por ejemplo, los nombres de las bases de datos de Google Cloud deben tener entre tres y 63 caracteres; contener solo letras minúsculas, números, guiones, guiones bajos y puntos, sin espacios; y los nombres deben comenzar y terminar con un número o letra.

“Nuestros investigadores pudieron escanear la web utilizando una herramienta especial disponible tanto para administradores como para piratas informáticos. Buscaron nombres de dominio de los 100 sitios web principales de Alexa en combinación con palabras comunes utilizadas al nombrar grupos como ‘bak’, ‘db’, ‘base de datos’ y ‘usuarios’. Al filtrar en función de la entrada de búsqueda y las pautas de nomenclatura, pudieron encontrar más de 2.000 depósitos en aproximadamente 2,5 horas. Nuestros investigadores señalaron que probablemente podrían mejorar su análisis para cubrir aún más dominios”, explica Bischoff.

Una vez conseguida la lista de buckets, los investigadores revisaron uno a uno para ver cuáles eran vulnerables o estaban mal configurados. Alrededor del 6%, permitían el acceso sin autentificación.

“Aquí es dónde nuestros investigadores detuvieron el análisis pero, por supuesto, un atacante podría llegar mucho más lejos. Por ejemplo, un atacante podría descargar todos los archivos del depósito utilizando la herramienta de línea de comandos ‘gsutils’, una herramienta oficial de Google para administrar depósitos”, advierte.

Cómo evitar el acceso no autorizado a los depósitos de Google

Paul Bischoff también ha dedicado una parte de su publicación a explicar cómo se puede evitar el acceso no autorizado a los depósitos de Google. Lo primero es escanear la web, para lo cual recomienda usar gsutil, una aplicación de Python que te permite acceder a Cloud Storage desde la línea de comandos, o BucketMiner, para buscar el nombre de su empresa en la infraestructura de Google y Amazon. Estas aplicaciones producirán una serie de estadísticas, imágenes y nombres de archivo y le informaran de si su bucket está abierto al público.

Asimismo, Bischoff ha recogido los cinco pasos que ha dado Google para proteger los buckets de Google Cloud:

  • Activar el acceso uniforme a nivel de depósito y su política de organización.
  • Habilitar el uso compartido restringido al dominio.
  • Cifrar loss datos de Cloud Storage con Cloud KMS.
  • Auditar los datos de Cloud Storage con Cloud Audit Logging.
  • Proteger los datos con VPC Service Controls.

Google Cloud ofrece herramientas y soluciones para ayudar a los clientes a proteger y asegurar sus datos en GCP, que incluyen: controles de servicio de VPC, gestión de acceso e identidad en la nube, ACLs, Cloud DLP, el centro de comando de seguridad en la nube.

Artículo
El 6% de los depósitos de Google Cloud están mal configurados
Nombre
El 6% de los depósitos de Google Cloud están mal configurados
Descripcion
Un estudio de la compañía Comparitech ha determinado que el 6% de los buckets de Google Cloud no tienen habilitado el control de acceso.
Autor
Publico
Escudo Digital
Logo