在不留审计线索的情况下攻击网站

Question

最近Aetna suffered a breach它丢失了65,000个SSN。他们从未能够找到发生的事件的审计线索，这可能暗示该攻击利用了XSS或类似技术。

有没有特定的已知攻击，坏人一再利用这种类型的攻击？

Answer 1

人们常犯的错误有人们使用的常见平台。如果不加修补，每个人都可以使用一个简单的脚本来打破他人。

但是如果有人特意追求某些东西，在这种情况下，社会安全号码在有组织犯罪圈中具有很高的价值，那么我会希望有人花更多的时间来弄清楚该网站是如何工作和应用自定义的利用来获取数据。

我不明白为什么它必须是XSS。如果他们的系统没有将访问日志发送到服务器外，或者甚至记录每个入口点，那么有人可以利用各种方法利用可利用的服务器并在之后进行清理。

Answer 2

目前尚不完全清楚这是一次技术性失败，而且鉴于未取得明确的取证结果，我认为这更像是一次人为失败，无论是社交工程，数据遗留在列车座位上，或者心怀不满的员工。

AFAIK真正留下零审计线索的唯一方法是审计未写入。单独记录HTTP流量总会给你一些基于HTTP攻击的证据。

Answer 3

我已经看到了一些自动化攻击的结果，他们做的第一件事情之一是禁用日志记录，并删除所有日志。

这就是为什么将日志记录位置更改为非标准路径的常见原因 - 它不会对确定的攻击者进行任何操作，但会在自动攻击的情况下为您提供更多信息。

Answer 4

缺乏审计线索并不令人意外。没有多少公司在那里保留有意义的审计线索。当然，通常有千兆字节和千兆字节的日志，但谁会经历所有这些？大多数IT场所只会在足够老的时候丢弃它，所以完全有可能这种违规发生在前一段时间，而且他们已经从文章中剔除了日志，因为他们看起来并不知道可能的违规行为，直到垃圾邮件开始进来。

我会怀疑可怜的IT而不是一些聪明的攻击导致缺乏审计线索。