บริษัทตรวจพบเครื่องมือภายนอก 43 รายการเข้าถึงข้อมูลภายใน

หลังจากทำการหมุนเวียนข้อมูลลับและความปลอดภัยของเอกสาร พาดหัวข่าวเกี่ยวกับการรั่วไหลของข้อมูลผู้ให้บริการรายหนึ่งได้จุดประกายคำถามที่น่ากังวลว่า แท้จริงแล้วมีบุคคลภายนอกคนใดบ้างที่สามารถเข้าถึงข้อมูลของบริษัทได้ในขณะนี้ คำตอบที่ได้คือมีบริการภายนอกถึง 43 รายการที่ถือสิทธิ์เข้าถึงข้อความ ไฟล์ โค้ด หรือลูกค้าของบริษัทอย่างต่อเนื่อง โดยบริการส่วนใหญ่เป็นสิ่งที่คุ้นเคย แต่หนึ่งในนั้นคือระบบทดลองใช้ CRM ฟรีตั้งแต่ปี 2024 ที่ยังคงซิงก์ข้อมูลรายชื่อผู้ติดต่ออย่างต่อเนื่องเป็นเวลาถึง 2 ปีเต็ม

การให้สิทธิ์ผ่าน OAuth เปรียบเสมือนห่วงโซ่อุปทานที่เราเซ็นอนุมัติให้แก่บริษัทอื่นด้วยตนเอง ทุกสิทธิ์การเข้าถึงเปรียบเสมือนกุญแจที่ถูกมอบให้กับบริษัทอื่น รวมถึงท่าทีด้านความปลอดภัย พนักงาน ผู้ซื้อกิจการในอนาคต และวันที่แย่ที่สุดของพวกเขา เมื่อผู้ให้บริการถูกเจาะระบบ ผู้โจมตีไม่จำเป็นต้องใช้รหัสผ่านของเรา แต่สามารถใช้รหัสผ่านของผู้ให้บริการได้ทันที

กระบวนการตรวจสอบเริ่มต้นจากการตรวจดูแอปพลิเคชันทั้งหมดที่ติดตั้งในองค์กรผ่าน API ของ GitHub รวมถึงการตรวจสอบหน้าการจัดการแอปพลิเคชันของ Slack และ Google Workspace นอกจากนี้ยังรวมถึงการตรวจสอบส่วนขยายเบราว์เซอร์ที่เข้าสู่ระบบด้วยบัญชีบริษัท รวมถึงบริการชำระเงิน ระบบ DNS และแดชบอร์ดตรวจสอบต่างๆ การจัดทำบัญชีรายชื่อจึงต้องประกอบด้วย 5 คอลัมน์สำคัญ ได้แก่ ผู้ให้บริการ (vendor), พื้นที่ใช้งาน (surface), ขอบเขตสิทธิ์ (scopes), ข้อมูลที่เข้าถึงได้ (data reach) และแผนการยกเลิก (funeral plan) เนื่องจากเราไม่สามารถเพิกถอนสิทธิ์สิ่งที่เราไม่ได้จดบันทึกไว้ได้

แนวทางหนึ่งในการลดความเสี่ยงคือการเปลี่ยนจากการให้สิทธิ์อ่านข้อมูลแบบต่อเนื่อง (standing read) มาเป็นการส่งออกข้อมูลเป็นชุดรายเดือนแทน ตัวอย่างเช่นการใช้คำสั่งสคริปต์ดึงข้อมูลเหตุการณ์และบีบอัดไฟล์ก่อนอัปโหลดแบบทางเดียว เพื่อให้การเชื่อมต่อที่ไม่เคยเปิดค้างไว้ไม่สามารถรั่วไหลได้ นอกจากนี้การลดระดับสิทธิ์ (downgrade) มักทำได้ง่ายเนื่องจากผู้ให้บริการส่วนใหญ่ไม่สังเกตเห็น ซึ่งสะท้อนว่าพวกเขาไม่ได้จำเป็นต้องใช้สิทธิ์ในขอบเขตนั้นมากนัก