F5 Labs威胁研究人员仍在继续追踪物联网威胁。 其最新报告 揭示了攻击者不仅在主动搜寻存在漏洞的物联网设备，还将构建基础设施作为攻击目标。
F5 Labs威胁研究人员在跟踪针对IoT设备的攻击时（这些攻击主要通过telnet和SSH访问实施），可能无意中发现了试图接管构建基础设施系统的行为，其中包括Jenkins和Vagrant。此外，Oracle、MySQL、PostGres和Hadoop等数据库系统以及监控服务提供商Nagios似乎也是常见目标。
暴力破解攻击中使用的凭据可见于“遭受攻击最多的50组管理员凭据”列表，上述所有系统均在其中频繁出现。
需要注意的是，这些攻击主要针对SSH和telnet等远程访问服务，利用的是这些系统在安装时通常会创建的操作系统用户。大多数此类系统部署在基于Linux的系统上，并按照最佳实践自动创建一个权限受限的系统级用户来运行相关程序。默认情况下，这些用户没有密码。但正如Vagrant的创建基础镜像文档所述，这些用户通常会被设置密码并授予登录权限。
“应为此用户配置Vagrant默认用于尝试SSH连接的不安全密钥对。此外，尽管Vagrant默认使用基于密钥的身份验证，但通常会将“vagrant”用户的密码设置为“vagrant”。”
值得注意的是，在F5 Labs的最新报告中，攻击者尝试访问系统时使用的正是这一凭据组合，即“vagrant:vagrant”。同样值得关注的是，“deploy/deploy”也位列遭受攻击最多的50组凭据。结合其中可识别出的Jenkins和Vagrant构建基础设施凭据，这表明攻击者日益意识到此类系统易于访问，并且其中存在大量有价值的攻击目标。鉴于构建或部署系统具有分布式特性及其用途，攻击者一旦获得访问权限，便可能有大量可乘之机。攻陷Jenkins用户账户可能会使攻击者获得源代码访问权限，进而为其在应用或系统中注入各种恶意代码提供大量机会。
构建基础设施对企业日益重要。例如，90%的Jenkins用户认为它对关键业务至关重要。但这不仅涉及Jenkins，还涉及各类自动化框架和构建基础设施。
根据我们最新的《应用交付现状》调查，相当一部分组织普遍使用自动化将变更推送到生产环境。这意味着Vagrant等系统必然会在生产环境中运行，但不一定与其他系统隔离。
应保持谨慎，并仔细评估构建基础设施及相关系统所使用的凭据。鉴于这些系统的用途，更应妥善管理凭据，并在必要时借助外部安全服务限制远程访问，甚至完全禁止远程访问。
随着自动化在生产环境中的应用日益广泛，企业领导者和安全专业人员应当警惕此类系统遭入侵所带来的威胁。我们的威胁研究人员发现，攻击者已经意识到构建和自动化系统是极具价值的目标，并在积极设法获取访问权限。
请务必注意安全。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。