zoeken Nieuwsbrief
      Linkedin    Twitter   
  
nieuws
 

52 procent van de organisaties kampt met inbreuk op cloud-accounts

Zorgen over misbruik van OAuth-applicaties

29 maart 2021 - Enterprise app stores zoals Microsoft AppSource en Google Workspace Marketplace bieden miljoenen nuttige OAuth-apps en -add-ons. Denk aan analytics, security, CRM, document management, prouct management en meer. Een OAuth-app is een applicatie die samenwerkt met een cloud-dienst, maar ook kan worden geleverd door een andere partij dan de cloud-dienstverlener.

 De meeste OAuth-apps vragen gebruikers toestemming om toegang te krijgen tot informatie en gegevens en deze te beheren. Maar ook om de gebruiker aan te melden bij andere cloud-apps. Zij kunnen bijvoorbeeld toegang krijgen tot bestanden van gebruikers, hun agenda's lezen, namens hen e-mails versturen en nog veel meer.


Omdat OAuth-apps in grote mate toegang hebben tot cloud-applicaties, zijn ze een steeds interessanter doelwit en aanvalsmiddel voor cybercriminelen geworden. Aanvallers gebruiken verschillende methoden om OAuth-apps te misbruiken, waaronder het kraken van app-certificaten, wat ook gebeurde in de SolarWinds/Solorigate-campagne.
Volgens een nieuwe analyse van Proofpoint misbruiken aanvallers steeds vaker legitieme OAuth-apps om gegevens weg te sluizen en toegang te houden tot specifieke cloud-diensten nadat ze een account hebben overgenomen. In het afgelopen jaar hebben cybercriminelen bij 95 procent van de organisaties geprobeerd cloud-accounts over te nemen en in meer dan 50 procent van de gevallen was ten minste één aanval succesvol. Bij meer dan 30 procent van de gecompromitteerden was er sprake van criminele activiteiten na het verkrijgen van toegang. Voorbeelden hiervan zijn bestandsmanipulatie, het doorsturen van e-mails en OAuth-activiteiten. Bij tien procent van de organisaties werden geautoriseerde schadelijke OAuth-apps aangetroffen. Hierdoor hadden aanvallers toegang tot gebruikersinformatie en -gegevens en konden ze deze beheren, terwijl ze zich namens de gebruiker konden aanmelden bij andere cloud-apps.

Risico van cloud-integraties met OAuth
Deze add-on-apps gebruiken OAuth-verificatie om beperkte toegang tot clouddiensten te verkrijgen. Met OAuth kunnen accountinformatie of -gegevens van een gebruiker door apps worden gebruikt zonder dat het wachtwoord van de gebruiker wordt ingevoerd. OAuth werkt via HTTPS en gebruikt access tokens (in plaats van aanmeldingsgegevens) om apparaten, API's, servers en toepassingen te autoriseren.
 
Schadelijke apps phishen gebruikers om toestemming te krijgen voor toegang tot cloud-diensten
Een schadelijke applicatie is een vorm van cloud-malware die verschillende trucs gebruikt, zoals phishing van OAuth-tokens en app-imitatie, om gebruikers te verleiden toestemming te geven. Voor deze apps zijn meestal gevoelige gebruikersrechten nodig, zodat ze niet worden ontdekt door een IT-beheerder en toch toegang bieden tot de gevoelige informatie. Alleen al in 2020 ontdekte Proofpoint meer dan 180 malafide applicaties, waarvan de meeste meerdere gebruikers aanvielen.
 
Misbruik van OAuth is alomtegenwoordig
Proofpoint monitort duizenden afnemers van cloud-diensten en meer dan twintig miljoen actieve cloudgebruikers. In een onderzoek naar de gegevens over 2020 constateerde Proofpoint het volgende:
 
  • 95 procent van de organisaties was een doelwit
  • 52 procent van de organisaties had ten minste één gecompromitteerd account
  • 32 procent van de gedupeerde organisaties ondervond activiteiten na het verkrijgen van toegang, zoals bestandsmanipulatie, het doorsturen van e-mails en OAuth-activiteiten
  • tien procent van de organisaties had schadelijke OAuth-apps geautoriseerd
 
OAuth-misbruik gaat vaak hand in hand met accountovernames
Applicaties die worden misbruikt zijn meestal legitieme applicaties die door een aanvaller worden geautoriseerd en/of gebruikt om een niet-legitieme activiteit uit te voeren. Voorbeelden hiervan zijn het wegsluizen van data of de toegang tot specifieke middelen behouden wanneer een account wordt overgenomen. De belangrijkste reden om voor deze methode te kiezen is de beperkte zichtbaarheid en de duurzaamheid:
 
  • Met misbruikte applicaties kan de aanvaller ofwel een legitieme applicatie toevoegen aan het pakket met cloud-diensten of een bestaande applicatie gebruiken die eerder is geautoriseerd door de accounteigenaar. De toestemming voor een nieuwe app zou geen vragen oproepen en de logs zouden legitiem zijn. Voor schadelijke applicaties daarentegen is meestal buitengewone toestemming van de accounteigenaar nodig.
  • Dergelijke aanvallen zijn bestand tegen wachtwoordwijzigingen en multifactor-authenticatie (MFA), de twee belangrijkste instrumenten die worden gebruikt tegen het compromitteren van accounts. Dit geldt ook voor kwaadaardige OAuth-apps.
 
Hoe aanvallers OAuth-applicaties misbruiken:
 
  • Inloggen op applicaties: Aanvallers kunnen een applicatie misbruiken door er direct toegang toe te krijgen. Dit kan op verschillende manieren gebeuren. Bijvoorbeeld door in te loggen in de bestaande applicatie van het slachtoffer vanaf het apparaat van de aanvaller. Of door een nieuwe applicatie te autoriseren wanneer een account is overgenomen en deze in te stellen voor extern gebruik.
  • Certificaatupdate: Bij de recente aanval van SolarWinds speelden X.509-certificaten een cruciale rol. Deze certificaten worden in veel internetprotocollen gebruikt om gegevens privé en veilig over te dragen tussen een server en een client. Wanneer dit digitale certificaat is ondertekend door een vertrouwde certificeringsinstantie, bevestigt het dat iemand is wie hij zegt dat hij is - het domein, de organisatie of de persoon die in het certificaat is vermeld. Aanvallers kunnen certificaten stelen of aanmaken door systemen voor ondertekening te kraken.
  • Client secret-misbruik: Een client secret is een wachtwoord voor een applicatie. Het wordt gebruikt op een manier die vergelijkbaar is met die van applicatiecertificaten. Een client secret wordt aangemaakt in hetzelfde Azure AD-dashboard als certificaten. Geheimen kunnen worden gebruikt met andere OAuth2.0-flows dan de "Authorization Code Flow" (d.w.z. mobiele apps). De secrets zijn meestal 34 bytes lang en niet te wijzigen. De secret kan worden opgeslagen en verzonden als platte tekst. De code kan worden gekopieerd bij het maken ervan, nog voordat hij wordt versleuteld. Vaak wordt de client secret door de accounteiegenaar ergens opgeslagen als platte tekst in een bestand, mail of notitie.
  • Configuratiewijzigingen: Zodra een account is overgenomen, kan de aanvaller de lijst met applicaties van de accounteigenaar inzien. Elke applicatie heeft zijn eigen instellingen. Veel applicaties staan verschillende soorten koppelingen of interfaces met andere accounts of applicaties toe. De aanvaller kan een applicatie naar keuze configureren voor interactie met een account of een applicatie die is ingesteld op het apparaat van de aanvaller.
  • Misbruik van antwoord-URL’s: Wanneer een applicatie wordt geauthenticeerd, wordt het token gedeeld met een antwoord-URL, die kan aantonen waar de applicatiehost of de gebruikersclient zich bevindt. Nadat een aanvaller toegang heeft verkregen tot iemands account, kan hij een antwoord-URL (web-URL) toevoegen aan een bestaande applicatie in de app-instellingen om deze vervolgens te misbruiken.
 
Applicatiebeheer is cruciaal om misbruik van OAuth tegen te gaan
 
  • Applicatiemisbruik - een aanvaller die een legitieme applicatie gebruikt - betekent niet dat de applicatie kwetsbaar is
  • Organisaties moeten OAuth-applicaties actief beheren, de toegekende rechten aan applicaties minimaliseren en de gebruikerslijst beheren om risico's te verminderen
  • Applicaties met beheerdersrollen en app-gedelegeerde rechten vormen een groter risico omdat ze, wanneer ze worden misbruikt, een aanvaller bredere toegang verschaffen
  • Inlogcodes of client secrets mogen nooit worden opgeslagen als platte tekst
  • Een applicatie moet eigenaars hebben die het mechanisme van de applicatie begrijpen en wijzigingen bijhouden. Niet iedere gebruiker zou certificaten moeten kunnen ondertekenen.
  • Er moet op afwijkingen worden gelet, zoals vreemde toestemming voor een ongebruikelijke applicatie of de toevoeging van secrets, certificaten en antwoord-URL's van onbekende domeinen.

 
 Doorsturen   Reageer  

 

Laatste nieuws

 Kwart bedrijven heeft meer mensen ontslagen als gevolg van de coronacrisis
 Bumperkleven en smartphone grootste ergernis in het verkeer
 Bestuurders kunnen aansprakelijk zijn bij het aangaan van overeenkomsten
 

Gerelateerde nieuwsitems

 Cloudbeveiliging- en managementvaardigheden een ‘must have’
 Vier aandachtsgebieden voor de CIO op weg naar een datagedreven organisatie
 Gebruikers opleiden, Cloud Security en XDR zijn cruciaal voor cyberveiligheid in 2021
 ‘Veiliger en slimmer werken’ bovenaan agenda IT-afdeling
 
reacties
 
Er zijn nog geen reacties.

REAGEREN

Naam:
Emailadres:
URL: (niet verplicht) http:// 
 
Reactie/Opmerking:
Ik wil bericht per e-mail ontvangen als er meer reacties op dit artikel verschijnen.
 
Als extra controle, om er zeker van te zijn dat dit een handmatige reactie is, typ onderstaande code over in het tekstveld ernaast. Is het niet te lezen? Klik hier om de code te wijzigen.
advertorial
Plan van Aanpak: 3 stappen voor meer e-mail marketingsucces
In dit white paper / Plan van Aanpak legt Spotler uit hoe je 1) je doelen en doelgroepen in kaart brengt, 2) met welke middelen je je doelen en doelgroepen bereikt en 3) wie het uitvoert en wanneer. Download het handige document, inclusief checklist.
Download het Plan van Aanpak
Lees verder
Zo maak je een indrukwekkende online bedrijfspresentatie
reacties
Tien suggesties voor meer 'fun' op de werkplek (1) 
Bouw-cao zet aan tot fraude (1) 
Topmanagers vergaderen 100 procent van hun tijd (1) 
Manager moet werknemer los kunnen laten (4) 
Horeca start glimlachcursus voor medewerkers (1) 
Tips om online de perfecte werknemer te vinden (1) 
'Beleggers hebben binnen 3 tot 6 jaar hun geld terug' (1) 
top10
Van smart tv tot speelgoedpop: deze apparaten in huis bespioneren u
Nederlandse hackers nemen laptops over door ernstige kwetsbaarheden in Zoom
Een op zes mannen vindt dat partner te veel verdient
De favoriete vakgebieden van oud-horecapersoneel
Corona-versoepelingen in aantocht, maar bordspellen onverminderd populair
Kwart bedrijven heeft meer mensen ontslagen als gevolg van de coronacrisis
Jongere vindt werkgever verantwoordelijk voor de gezondheid van medewerkers
DDoS-aanvallen in 2020 krachtiger, complexer en langer
Medewerker overschat zichzelf in het herkennen van cyberincidenten
Door pandemie meer behoefte aan duurzame en flexibele mobiliteitsoplossingen
meer top 10