Создание резервной копии в Atlassian Jira
Описание
Несанкционированное создание резервных копий Jira представляет собой значительную угрозу информационной безопасности. Поскольку резервные копии содержат полную копию всех данных системы (включая проекты, задачи, учетные записи пользователей и конфигурации), их создание без надлежащего согласования может привести к утечке критически важной информации. Атакующий, получивший такую копию, может использовать данные для шантажа, проведения целевых атак или их продажи.
Частое или выполняемое в нетипичное время создание резервных копий также может свидетельствовать о потенциальной угрозе или нарушении политик безопасности.
Разбор
Для воспроизведения данного события необходимо создать резервную копию данных в Jira.
Это действие выполняется в административной панели по следующему пути:
- Перейдите в раздел System.
- В меню выберите пункт Backup Jira data.
- Введите имя файла резервной копии и нажмите на кнопку Backup.
Интерфейс создания резервной копии в Jira
При создании резервной копии генерируется событие, в котором в поле act установлено значение Export started или Экспорт начат.
Пример нормализованного события в SIEM
В данном событии следует обратить внимание на следующие ключевые поля:
suser- имя пользователя, выполнившего действие.dvchost- имя хоста, на котором было выполнено действие.fname- название файла резервной копии.src- IP-адрес, с которого была инициирована активность.
Создание резервной копии может выполняться легитимно системным администратором. Чтобы исключить генерацию корреляционных событий на такие действия, можно использовать активный список privileged_users_and_host. В этот список необходимо добавить записи, содержащие легитимные комбинации учетной записи (suser), рабочего места (src) и целевого хоста (dvchost).
Ссылки на дополнительные материалы
Вывод
Несмотря на то, что создание резервных копий в Jira — это стандартная процедура, данное действие необходимо отслеживать, так как оно связано с доступом ко всей критически важной информации в системе. Для эффективного мониторинга важно отличать нелегитимные действия от легитимных, используя списки исключений для авторизованных администраторов и системных заданий.
Возможный способ обнаружения
Правило детектирования основано на анализе событий от Jira Atlassian, где в поле act установлено значение Export started или Экспорт начат. Легитимная активность исключается путем проверки на отсутствие комбинации suser, src и dvchost в активном списке privileged_users_and_host.
Правила
Создание резервной копии Jira
id: RV-D-70
rid: 64dc471c-bce1-4dcf-b15b-b5f9a0fcb01e
name: Создание резервной копии Jira
Тестирование
- Atlassian Jira Project Management Software (v9.16.0)
False Positive
- Легитимная активность сотрудников в рамках создания резервных копий Jira.