Incidente de segurança de Ação de Graças de 2023

Resposta ao Incidente e Remediação

• Muitos se impressionam com a resposta “nuclear”: rotação de ~5.000 credenciais, triagem de ~4.900 sistemas, reimagem/reinicialização da frota global e segmentação física dos ambientes.
• Vários dizem que isso vai além do que a maioria dos grandes fornecedores faz após violações e torna renovações/vendas mais fáceis.
• Outros argumentam que esse nível de resposta deveria ser o mínimo esperado, não algo excepcional, e observam que grandes violações anteriores em outras empresas tiveram pouco impacto comercial de longo prazo.
• Alguns lembram incidentes anteriores (como bugs de parser) e questionam se a Cloudflare sempre foi tão transparente quanto agora se apresenta.

Okta, Credenciais e Zero Trust

• A intrusão decorre de credenciais obtidas em um comprometimento anterior do suporte da Okta que a Cloudflare não conseguiu rotacionar completamente.
• Debate sobre culpa: alguns veem um “ataque para baixo” à Okta para desviar a atenção da falha de rotação da Cloudflare; outros dizem que as falhas repetidas da Okta justificam críticas duras.
• Questionamento do marketing de “zero trust”: invasores usaram um único token bearer/service e contas de serviço para પહોંચar a Atlassian; críticos dizem que o verdadeiro zero trust restringiria isso ainda mais.
• Há discussão sobre por que credenciais “não usadas” ou mal compreendidas não foram simplesmente revogadas ou apagadas, em vez do receio operacional de quebrar dependências desconhecidas.

Escopo de Acesso e Impacto

• Os invasores acessaram uma pequena fração de tickets do Jira, páginas de wiki e repositórios, aparentemente focados em arquitetura e padrões de acesso, e não em dados de clientes.
• Alguns observam que a busca no Confluence/Jira pode vazar segredos sem abrir páginas, tornando o impacto real mais difícil de medir.
• Céticos argumentam que qualquer exposição de código-fonte interno e relatórios de bugs é séria e aumenta permanentemente o risco; outros enfatizam que apenas sistemas internos limitados foram tocados.

Escolhas de Ferramentas e Integrações de Terceiros

• Surpresa de que um grande provedor de infraestrutura use Bitbucket; defensores citam a integração com Atlassian e o custo.
• Preocupação de que uma conta de serviço do Smartsheet com privilégios de administrador no Jira e o ScriptRunner permitiram a instalação do Sliver C2, destacando os riscos de integrações poderosas de terceiros.

Substituição de Hardware e Desperdício

• Devolver e substituir equipamentos no novo data center do Brasil é elogiado por alguns como algo extremamente minucioso e condenado por outros como desperdício.
• Contraponto: para equipamentos de rede críticos com firmware potencialmente não confiável, a substituição é vista como a única forma de ter confiança.

Confiança, Transparência e Conformidade

• Muitos dizem que relatórios detalhados e a reação visível aumentam sua confiança na Cloudflare.
• Outros chamam o post do blog de “publicidade”, argumentando que ele enfatiza a remediação enquanto minimiza como a situação surgiu.
• Debate paralelo sobre PCI/SOC: alguns afirmam que forense externa é movida por conformidade, outros respondem que o PCI é em grande parte baseado em checklist e não é o principal motor aqui.

Discussão Paralela: Uso Pessoal de Dispositivos de Trabalho

• Longo desvio sobre o gerenciamento de dispositivos da Okta e se vale a pena manter contas/senhas pessoais em laptops corporativos.
• As opiniões variam de “absolutamente nada pessoal em dispositivos de trabalho” a “uso pessoal leve é inevitável e as políticas devem assumir que os endpoints estão comprometidos”.