Bunny.net、CDNノードが置かれたサーバーへの不正アクセスを受け全TLS証明書を再発行

BunnyはアルメニアでGcoreを使っていた。ハッキングされたのはGcore自身であり、Bunnyではない。Bunnyは単に影響を受けた下流の一つで、しかもPOPの一つに過ぎない。

https://lowendtalk.com/discussion/222315/gcore-compromised-v...

タイトルは非常に誤解を招く。

「どちらの調査でも当社サーバーへの不正アクセスの兆候は見つかっていませんが、可能性を完全に排除することはできません。

もしCDNノードへの不正アクセスが実際に発生していた場合、潜在的に露出した可能性のある情報は、そのサーバー上に一時的にキャッシュされたCDNコンテンツ、Pull Zoneの設定、および保存されていたTLS証明書です。

追加の予防措置として、bunny.netプラットフォームのドメイン（b-cdn.netおよびbunny.run）のすべてのTLS証明書を失効させ、再発行しました。カスタムドメイン向けのマネージドTLS証明書の再発行は進行中で、今後24時間以内に完了する見込みです。マネージド証明書をご利用のお客様は何もする必要はありません。このプロセスが完了次第、ステータスページでさらに更新情報を投稿します。

ご自身でTLS証明書を管理している場合は、予防措置として新しい秘密鍵で証明書を失効・再発行することをお勧めします。

問題のサーバーには、bunny.netのアカウントデータを含む他の顧客データは保存されておらず、内部システムも影響を受けていません。」

つまり、基盤となるプロバイダーが例えばディスク読み取りを潜在的に許可していた可能性があり、上記はbunnyがこの場合ディスク上にあったかもしれないと言っている内容なのか？そう読めばいいのか？

> 影響を受けたプロバイダーからの警告を受けた後、当社のエンジニアリングチームは直ちに対応しました。20分以内に、そのサーバー経由のトラフィックルーティングを停止しました。その後、調査のために関連するセキュリティログを確認・保存し、サーバーを安全にワイプし、他のシステムへのアクセス権を取り消しました。影響を受けたサーバーは当社のインフラから永久に削除されました。

潜在的な侵害に対応する際の正しい手順は、インシデントを封じ込め、調査のためにすべてを保存することだ。どのデータを保持し、どのデータを保持しないかを選別しようとしてはいけない。残念ながら彼らは証拠を破壊してしまった可能性が高く、攻撃者が実際にサーバーに侵入したかどうか、また侵入した場合はどのように行ったかを特定できなくなるだろう。これは、彼らのインシデント対応計画が貧弱か存在しないことを物語っている。

毎時間何かしらのインシデントが起きている気がする。