استخدام مكوّنات بها ثغرات معروفة: دراسة حالة اختراق Equifax

في تطوير البرمجيات الحديثة، نادراً ما تتم كتابة التطبيقات بالكامل من الصفر. يعتمد المطورون بشكل كبير على المكتبات مفتوحة المصدر (Open Source) لتسريع الإنجاز. في حين أن هذه الممارسة تتسم بالكفاءة العالية، إلا أنها تقدم سطح هجوم ضخم غير مرئي: استخدام مكونات بها ثغرات أمنية معروفة.

تشكل هذه الثغرة أحد أسرار اختراقات أمن المعلومات المتصدرة لقائمة OWASP. في هذا المقال، تقوم Cayvora Security بتحليل دراسةالة لاختراق Equifax التاريخي لعام 2017 واستخراج الدروس المستفادة.

تشريح التهديد

قد يحتوي تطبيق الويب العادي على أقل من 50,000 سطر من التعليمات البرمجية، ولكنه سيستورد ملايين الأسطر من التبعيات مفتوحة المصدر عبر برامج إدارة الحزم مثل npm أو pip. إذا تم اكتشاف ثغرة خطيرة (مثل تنفيذ التعليمات البرمجية عن بعد RCE) في واحدة فقط من هذه التبعيات، فسيتم اختراق كل تطبيق يشير إلى هذه المكتبة على الفور.

لماذا يحدث هذا؟ 1. الافتقار إلى حصر المكتبات: لا تعرف المؤسسات في كثير من الأحيان المكتبات التي تقوم بتشغيلها. 2. التبعيات المتداخلة. 3. التأخير في تثبيت التحديثات وحزم الإصلاح.

دراسة حالة: اختراق Equifax (أمريكا، 2017)

تمثل حادثة Equifax المثال الأبرز للتأثير الكارثي للمكونات غير المحدثة التابعة لجهات خارجية، حيث تم تسريب واستخراج بيانات شخصية لـ 147 مليون عميل.

الثغرة الأمنية (CVE-2017-5638 في Apache Struts)

كان السبب الجذري للاختراق هو ثغرة أمنية تكمن في Apache Struts 2، وهو إطار عمل مشهور لبرامج Java. مكّنت الثغرة المهاجم من إرسال طلب HTTP يحتوي على ترويسة Content-Type خبيث، مما تسبب في قيام الخادم بتنفيذ أوامر ضارة على نظام التشغيل متجاوزًا المصادقة والتحقق.

توقيت الكارثة

أصدرت مؤسسة Apache تصحيحاً (Patch) في مارس 2017. مع ذلك، ونظراً لعدم امتلاك Equifax لحصر دقيق بكافة خوادمها لتي تعمل بتقنية Struts، تُركت منصة الخدمة الخاصة بالمستهلك بدون تحديث. في منتصف شهر مايو، اكتشف المهاجمون النظام القديم وبدأوا في سرقة قواعد البيانات بهدوء تام.

استراتيجيات العلاج

1. الحفاظ على فاتورة المواد البرمجية (SBOM)

لا يمكنك تأمين ما لا تعرف أنك تملكه. إن SBOM عبارة عن قائمة منظمة بجميع المكونات والمكتبات المستخدمة.

2. تدقيق التكوين البرمجي (SCA)

تقوم أدوات SCA مثل Dependabot بمسح الكود الخاص بالتطبيقات وحزمها آليًا بصفة دورية للإبلاغ عن أي مكتبات عفا عليها الزمن أثناء عملية البناء CI/CD، ويمكن أن توقف النشر إذا وجدت ثغرات بتصنيف عالي (CVSS>7).

3. الترقيع الافتراضي بواسطة WAF

مرحليًا يمكن استخدام جدار حماية التطبيقات (WAF) لحظر حركة البيانات التي تحاكي نموذج الهجوم بشكل افتراضي قبل وصولها الخادم.

الخاتمة

يُعد اختراق Equifax تذكيراً مهماً، لن تكون حمايتك أقوى من أضعف مكتبة خارجية تستخدمها.