Bunny CDN, 아르메니아 서버 침해 의심에 20분 만에 트래픽 차단

Bunny는 아르메니아에서 Gcore를 사용했습니다. Gcore 자체가 해킹당한 것이지 Bunny가 아닙니다. Bunny는 단지 그들의 POP 중 하나에서 영향을 받은 다운스트림일 뿐입니다.

https://lowendtalk.com/discussion/222315/gcore-compromised-v...

제목은 심하게 오해의 소지가 있습니다.

두 조사 모두 우리 서버에 대한 무단 접근의 징후를 발견하지 못했지만, 가능성을 완전히 배제할 수는 없습니다.

만약 CDN 노드에 대한 무단 접근이 실제로 발생했다면, 잠재적으로 노출될 수 있었던 정보는 일시적으로 캐시된 CDN 콘텐츠, Pull Zone 구성, 그리고 해당 서버에 저장된 TLS 인증서였을 것입니다.

추가 예방 조치로, bunny.net 플랫폼 도메인(b-cdn.net 및 bunny.run)의 모든 TLS 인증서를 취소하고 재발급했습니다. 사용자 정의 도메인에 대한 관리형 TLS 인증서 재발급은 진행 중이며 다음 24시간 이내에 완료될 것으로 예상됩니다. 관리형 인증서를 사용하는 고객은 별도로 조치할 필요가 없습니다. 이 과정이 완료되면 상태 페이지에 추가 업데이트를 게시하겠습니다.

자체 TLS 인증서를 관리하는 경우, 예방 조치로 인증서를 취소하고 새로운 개인 키로 재발급할 것을 권장합니다.

bunny.net 계정 데이터를 포함한 다른 고객 데이터는 문제의 서버에 저장되지 않았으며, 내부 시스템도 영향을 받지 않았습니다.

그래서 기본 제공업체가 예를 들어 디스크 읽기를 허용했을 가능성이 있고, 위 내용은 이 경우 디스크에 있었을 수 있는 것에 대해 bunny가 말하는 것 같네요? 제가 제대로 이해한 건가요?

> 영향을 받은 제공업체로부터 경고를 받은 후, 우리 엔지니어링 팀은 즉시 조치를 취했습니다. 20분 이내에 해당 서버를 통한 트래픽 라우팅을 중단했습니다. 그런 다음 조사를 위해 관련 보안 로그를 검토하고 보존했으며, 서버를 안전하게 초기화하고 다른 시스템에 대한 접근 권한을 취소했습니다. 영향을 받은 서버는 우리 인프라에서 영구적으로 제거되었습니다.

잠재적 침해에 대응할 때 올바른 절차는 사건을 봉쇄하고 조사를 위해 모든 것을 보존하는 것입니다. 어떤 데이터를 보관하고 보관하지 않을지 선택적으로 하려고 하지 마세요. 안타깝게도 그들은 증거를 훼손했을 가능성이 높으며, 공격자가 실제로 서버를 침해했는지, 침해했다면 어떻게 했는지 판단할 수 없을 것입니다. 이는 그들이 사고 대응 계획이 부실하거나 아예 없음을 보여줍니다.

매시간 사건이 터지는 것 같네요.