Identitats d’aplicació compromeses permeten destruir recursos a Azure
Dues identitats d’aplicació del mateix tenant van executar més de 150 operacions destructives en 35 minuts i van esborrar la majoria de més de 100 comptes d’emmagatzematge.
Què ha passat
Microsoft descriu com Storm-3168 va fer servir dues identitats d’aplicació del mateix tenant. Amb elles va executar més de 150 operacions destructives o de robatori de credencials en 35 minuts: va esborrar la majoria de més de 100 comptes d’emmagatzematge, un Key Vault, una Function App i un pla d’App Service. Els bloquejos de recursos i la protecció contra eliminació van salvar part de l’emmagatzematge, i van fallar els intents de treure els bloquejos d’Azure Backup i Site Recovery. Un secret de l’aplicació estava publicat en un repositori públic de GitHub, tot i que Microsoft no confirma que fos la via d’entrada.
Per què importa
El mal no va arribar per un compte de persona, sinó per una identitat d’aplicació amb permisos amplis que ningú no mirava: aquest tipus de compte no té doble factor ni crida l’atenció quan s’utilitza. En 35 minuts es pot desfer feina de anys si una credencial de servei acumula privilegis i ningú no vigila què fa. Que els bloquejos salvessin part de l’emmagatzematge és la prova que les barreres que es posen abans de l’incident són les que de debò compten.
Què recomanem
Limitar els privilegis de les identitats d’aplicació, guardar i rotar els seus secrets fora del codi i protegir els recursos i les còpies amb bloquejos i immutabilitat. Un secret en un repositori públic s’ha de rotar sempre, es confirmi o no que va ser l’entrada. I revisar qui pot treure aquests bloquejos, perquè un permís que els anul·la deixa la protecció sobre el paper.
Servei relacionat: Infraestructura i Cloud · copias-recuperacion
Vols saber com t’afecta?
Revisem el teu entorn i et diem què cal prioritzar, sense compromís.