Экспорт множества задач в Atlassian Jira
Описание
Массовый экспорт задач из Jira может быть признаком потенциальной утечки данных. Атакующий, имея доступ к системе, может экспортировать чувствительную информацию о задачах, проектных планах, уязвимостях и других важных данных. Это может привести к утечке конфиденциальной информации, компрометации коммерческой тайны или раскрытию данных о внутренней инфраструктуре компании.
Разбор
Для воспроизведения данного события необходимо выполнить экспорт задач. Это можно сделать следующим образом:
- Перейдите на страницу со списком задач (My open issues).
- Нажмите на кнопку Export и выберите требуемый формат.
Экспорт задачи в Jira
При выполнении экспорта генерируется событие, в котором поле act имеет значение Issues exported или Задачи экспортированы.
Событие экспорта задачи
В данном событии следует обратить внимание на ключевые поля:
suser- учетная запись, от имени которой была выполнена активность.src- IP-адрес хоста, с которого была инициирована активность.dvchost- хост, на котором была выполнена активность.
Поскольку экспорт задач может выполняться легитимно, для исключения ложных срабатываний на действия авторизованных пользователей можно использовать активный список privileged_users_and_host.
Ссылки на дополнительные материалы
Вывод
Данное правило помогает обнаруживать возможные инциденты утечки данных через массовый экспорт информации из Jira. Ложноположительные срабатывания могут возникать при массовой выгрузке задач для анализа, аудита или отчетности, если эти действия выполняются легитимными пользователями, не внесенными в списки исключений.
Возможный способ обнаружения
Правило детектирования основано на анализе событий от источника Atlassian Jira с действием act равным Issues exported или Задачи экспортированы.
Легитимная активность исключается с помощью проверки на отсутствие комбинации suser, src и dvchost в активном списке privileged_users_and_host.
Правила
Экспорт множества задач в Jira
id: RV-D-72
rid: 8516d606-a262-4e09-b5f9-8cf2187c1557
name: Экспорт множества задач в Jira
Тестирование
- Atlassian Jira Project Management Software (v9.16.0)
False Positive
- Легитимная активность, в рамках которой сотруднику необходимо провести экспорт задач для их сохранения/переноса.