Sisense-Datenverstoß gefährdet die Anmeldedaten des kritischen Infrastruktursektors

Die Cybersecurity and Infrastructure Security Agency (CISA) untersucht einen Verstoß bei Sisense, einem Business-Intelligence-Unternehmen, das es Unternehmen ermöglicht, mehrere Online-Dienste Dritter zu verfolgen. Sisense hat Kunden aufgefordert, alle mit dem Unternehmen geteilten Anmeldeinformationen und Geheimnisse zurückzusetzen, und rät zur Vorsicht und zur Rotation aller in der Sisense-Anwendung verwendeten Anmeldeinformationen.

Cybersecurity Breach at Sisense: Critical Infrastructure Sector Organizations Impacted

Cybersicherheitsverstoß bei Sisense: Kritische Organisationen im Infrastruktursektor betroffen

The United States Cybersecurity and Infrastructure Security Agency (CISA) has initiated an investigation into a data breach at business intelligence company Sisense. Sisense's products enable businesses to monitor the status of various external online services through a centralized dashboard.

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat eine Untersuchung zu einem Datenverstoß beim Business-Intelligence-Unternehmen Sisense eingeleitet. Mit den Produkten von Sisense können Unternehmen den Status verschiedener externer Online-Dienste über ein zentrales Dashboard überwachen.

CISA has strongly advised all Sisense customers to reset any credentials and secrets shared with the company, a recommendation previously issued by Sisense on April 10th.

CISA hat allen Sisense-Kunden dringend empfohlen, alle mit dem Unternehmen geteilten Anmeldeinformationen und Geheimnisse zurückzusetzen, eine Empfehlung, die Sisense bereits am 10. April herausgegeben hatte.

Sisense, headquartered in New York City, boasts over a thousand customers across multiple industries, including finance, telecommunications, healthcare, and higher education. On April 10th, Sangram Dash, Sisense's Chief Information Security Officer, informed customers of reports indicating that "certain Sisense company information may have been made available on what we have been advised is a restricted access server."

Sisense hat seinen Hauptsitz in New York City und verfügt über mehr als tausend Kunden in verschiedenen Branchen, darunter Finanzen, Telekommunikation, Gesundheitswesen und Hochschulbildung. Am 10. April informierte Sangram Dash, Chief Information Security Officer von Sisense, Kunden über Berichte, denen zufolge „bestimmte Unternehmensinformationen von Sisense möglicherweise auf einem Server mit eingeschränktem Zugriff verfügbar gemacht wurden“.

"We are treating this matter with the utmost seriousness and have promptly commenced an investigation," Dash stated. "We have enlisted industry-leading experts to aid in our investigations. Our business operations have not been interrupted by this incident. However, as a precautionary measure, we strongly urge you to immediately change any credentials you use within your Sisense application."

„Wir behandeln diese Angelegenheit mit größter Ernsthaftigkeit und haben umgehend eine Untersuchung eingeleitet“, erklärte Dash. „Wir haben branchenführende Experten hinzugezogen, um unsere Untersuchungen zu unterstützen. Unser Geschäftsbetrieb wurde durch diesen Vorfall nicht unterbrochen. Als Vorsichtsmaßnahme fordern wir Sie jedoch dringend auf, alle Anmeldeinformationen, die Sie in Ihrer Sisense-Anwendung verwenden, unverzüglich zu ändern.“

CISA's advisory acknowledges its collaboration with private industry partners in response to the incident, particularly considering the potential impact on critical infrastructure sectors. CISA pledged to provide updates as more information becomes available.

Die Beratung von CISA würdigt die Zusammenarbeit mit privaten Industriepartnern als Reaktion auf den Vorfall, insbesondere im Hinblick auf die möglichen Auswirkungen auf kritische Infrastruktursektoren. CISA hat sich verpflichtet, Aktualisierungen bereitzustellen, sobald weitere Informationen verfügbar sind.

Sisense declined to comment when contacted about the accuracy of information shared by reliable sources close to the investigation. These sources indicate that the breach likely originated with the attackers' access to Sisense's Gitlab code repository. Within this repository, a token or credential provided the attackers access to Sisense's Amazon S3 buckets in the cloud.

Sisense lehnte es ab, sich zu der Richtigkeit der Informationen zu äußern, die von zuverlässigen, an der Untersuchung beteiligten Quellen übermittelt wurden. Diese Quellen deuten darauf hin, dass der Verstoß wahrscheinlich auf den Zugriff der Angreifer auf das Gitlab-Code-Repository von Sisense zurückzuführen ist. Innerhalb dieses Repositorys ermöglichte ein Token oder Anmeldedaten den Angreifern Zugriff auf die Amazon S3-Buckets von Sisense in der Cloud.

Sources further revealed that the attackers utilized their S3 access to exfiltrate terabytes of Sisense customer data, reportedly including millions of access tokens, email account passwords, and even SSL certificates.

Quellen enthüllten außerdem, dass die Angreifer ihren S3-Zugriff nutzten, um Terabytes an Sisense-Kundendaten zu exfiltrieren, darunter Berichten zufolge Millionen von Zugriffstokens, E-Mail-Kontokennwörtern und sogar SSL-Zertifikaten.

This incident raises concerns about Sisense's safeguards for protecting sensitive customer data, particularly regarding whether the large volume of stolen data was encrypted while stored on Amazon cloud servers.

Dieser Vorfall wirft Bedenken hinsichtlich der Sicherheitsvorkehrungen von Sisense zum Schutz sensibler Kundendaten auf, insbesondere hinsichtlich der Frage, ob die große Menge an gestohlenen Daten verschlüsselt wurde, während sie auf den Cloud-Servern von Amazon gespeichert wurden.

Crucially, the breach has compromised all credentials that Sisense customers used within their dashboards.

Entscheidend ist, dass der Verstoß alle Anmeldeinformationen gefährdet hat, die Sisense-Kunden in ihren Dashboards verwendet haben.

The incident also highlights the limited scope of Sisense's remediation actions on behalf of customers. Access tokens are essentially text files that enable extended login sessions, sometimes indefinitely. Depending on the service, attackers may be able to reuse these tokens to impersonate victims without presenting valid credentials.

Der Vorfall verdeutlicht auch den begrenzten Umfang der Abhilfemaßnahmen von Sisense im Namen der Kunden. Zugriffstoken sind im Wesentlichen Textdateien, die längere Anmeldesitzungen ermöglichen, manchmal auf unbestimmte Zeit. Abhängig vom Dienst können Angreifer diese Token möglicherweise wiederverwenden, um sich als Opfer auszugeben, ohne gültige Anmeldeinformationen vorzulegen.

Beyond resetting passwords, Sisense customers must assess their individual circumstances and determine whether to change passwords for third-party services previously integrated with Sisense.

Über das Zurücksetzen von Passwörtern hinaus müssen Sisense-Kunden ihre individuellen Umstände beurteilen und entscheiden, ob Passwörter für Dienste von Drittanbietern geändert werden sollen, die zuvor in Sisense integriert waren.

Following the incident, a public relations firm representing Sisense inquired about KrebsOnSecurity's plans for further updates. Sisense requested an opportunity to provide comments before publication.

Nach dem Vorfall erkundigte sich eine PR-Firma, die Sisense vertritt, nach den Plänen von KrebsOnSecurity für weitere Updates. Sisense bat um die Möglichkeit, vor der Veröffentlichung Kommentare abzugeben.

However, after being confronted with details provided by sources, Sisense reportedly changed its position. "After consulting with Sisense, they have told me that they don't wish to respond," the PR representative stated via email.

Nachdem Sisense jedoch mit den von Quellen bereitgestellten Details konfrontiert wurde, änderte es Berichten zufolge seine Position. „Nach Rücksprache mit Sisense haben sie mir mitgeteilt, dass sie nicht antworten möchten“, erklärte der PR-Vertreter per E-Mail.

Update, 6:49 p.m., ET:

Update, 18:49 Uhr, ET:

It has been clarified that Sisense utilizes a self-hosted version of Gitlab, not the cloud version managed by Gitlab.com.

Es wurde klargestellt, dass Sisense eine selbst gehostete Version von Gitlab verwendet, nicht die von Gitlab.com verwaltete Cloud-Version.

Sisense's CISO, Dash, has issued a detailed update to customers. The revised guidance includes resetting access tokens across various technologies, such as Microsoft Active Directory credentials, GIT credentials, web access tokens, and single sign-on (SSO) secrets or tokens.

Der CISO von Sisense, Dash, hat ein detailliertes Update für Kunden herausgegeben. Die überarbeiteten Leitlinien umfassen das Zurücksetzen von Zugriffstokens für verschiedene Technologien, wie z. B. Microsoft Active Directory-Anmeldeinformationen, GIT-Anmeldeinformationen, Webzugriffstoken und Single Sign-On (SSO)-Geheimnisse oder -Tokens.

Dash's full message to customers is as follows:

Die vollständige Botschaft von Dash an die Kunden lautet wie folgt:

"Good Afternoon,

"Guten Tag,

We are following up on our prior communication of April 10, 2024, regarding reports that certain Sisense company information may have been made available on a restricted access server. As noted, we are taking this matter seriously and our investigation remains ongoing.

Wir knüpfen an unsere frühere Mitteilung vom 10. April 2024 bezüglich Berichten an, dass bestimmte Sisense-Unternehmensinformationen möglicherweise auf einem Server mit eingeschränktem Zugriff verfügbar gemacht wurden. Wie bereits erwähnt, nehmen wir die Angelegenheit ernst und unsere Untersuchung ist noch nicht abgeschlossen.

Our customers must reset any keys, tokens, or other credentials in their environment used within the Sisense application.

Unsere Kunden müssen alle Schlüssel, Token oder andere Anmeldeinformationen in ihrer Umgebung zurücksetzen, die innerhalb der Sisense-Anwendung verwendet werden.

Specifically, you should:

Konkret sollten Sie:

• Change Your Password: Change all Sisense-related passwords on http://my.sisense.com

• Non-SSO:

  Ändern Sie Ihr Passwort: Ändern Sie alle Sisense-bezogenen Passwörter auf http://my.sisense.comNon-SSO:

  • Replace the Secret in the Base Configuration Security section with your GUID/UUID.
  • Reset passwords for all users in the Sisense application.
  • Logout all users by running GET /api/v1/authentication/logout_all under Admin user.

• Single Sign-On (SSO):

  Ersetzen Sie das Geheimnis im Abschnitt „Basiskonfigurationssicherheit“ durch Ihre GUID/UUID. Setzen Sie Passwörter für alle Benutzer in der Sisense-Anwendung zurück. Melden Sie alle Benutzer ab, indem Sie GET /api/v1/authentication/logout_all unter Admin-Benutzer ausführen. Single Sign-On (SSO) :

  • If you use SSO JWT for the user's authentication in Sisense, you will need to update sso.shared_secret in Sisense and then use the newly generated value on the side of the SSO handler.
  • We strongly recommend rotating the x.509 certificate for your SSO SAML identity provider.
  • If you utilize OpenID, it's imperative to rotate the client secret as well.
  • Following these adjustments, update the SSO settings in Sisense with the revised values.
  • Logout all users by running GET /api/v1/authentication/logout_all under Admin user.
• Customer Database Credentials: Reset credentials in your database that were used in the Sisense application to ensure continuity of connection between the systems.
• Data Models: Change all usernames and passwords in the database connection string in the data models.
• User Params: If you are using the User Params feature, reset them.
• Active Directory/LDAP: Change the username and user password of users whose authorization is used for AD synchronization.
• HTTP Authentication for GIT: Rotate the credentials in every GIT project.
• B2D Customers: Use the following API PATCH api/v2/b2d-connection in the admin section to update the B2D connection.
• Infusion Apps: Rotate the associated keys.
• Web Access Token: Rotate all tokens.
• Custom Email Server: Rotate associated credentials.
• Custom Code: Reset any secrets that appear in custom code Notebooks.

If you need any assistance, please submit a customer support ticket at https://community.sisense.com/t5/support-portal/bd-p/SupportPortal and mark it as critical. We have a dedicated response team on standby to assist with your requests.

Wenn Sie SSO JWT für die Benutzerauthentifizierung in Sisense verwenden, müssen Sie sso.shared_secret in Sisense aktualisieren und dann den neu generierten Wert auf der Seite des SSO-Handlers verwenden. Wir empfehlen dringend, das x.509-Zertifikat für Ihre SSO-SAML zu rotieren Identitätsanbieter. Wenn Sie OpenID verwenden, ist es unbedingt erforderlich, auch das Client-Geheimnis zu rotieren. Aktualisieren Sie nach diesen Anpassungen die SSO-Einstellungen in Sisense mit den überarbeiteten Werten. Melden Sie alle Benutzer ab, indem Sie GET /api/v1/authentication/logout_all unter dem Admin-Benutzer ausführen .Kundendatenbank-Anmeldeinformationen: Setzen Sie die Anmeldeinformationen in Ihrer Datenbank zurück, die in der Sisense-Anwendung verwendet wurden, um die Kontinuität der Verbindung zwischen den Systemen sicherzustellen. Datenmodelle: Ändern Sie alle Benutzernamen und Kennwörter in der Datenbankverbindungszeichenfolge in den Datenmodellen. Benutzerparameter: Wenn ja Setzen Sie sie mithilfe der Funktion „Benutzerparameter“ zurück. Active Directory/LDAP: Ändern Sie den Benutzernamen und das Benutzerkennwort von Benutzern, deren Autorisierung für die AD-Synchronisierung verwendet wird. HTTP-Authentifizierung für GIT: Rotieren Sie die Anmeldeinformationen in jedem GIT-Projekt. B2D-Kunden: Verwenden Sie die folgende API PATCH api/v2/b2d-connection im Admin-Bereich, um die B2D-Verbindung zu aktualisieren. Infusion Apps: Rotieren Sie die zugehörigen Schlüssel. Web Access Token: Rotieren Sie alle Token. Benutzerdefinierter E-Mail-Server: Rotieren Sie die zugehörigen Anmeldeinformationen. Benutzerdefinierter Code: Setzen Sie alle angezeigten Geheimnisse zurück in benutzerdefinierten Code-Notebooks. Wenn Sie Hilfe benötigen, reichen Sie bitte ein Kundensupport-Ticket unter https://community.sisense.com/t5/support-portal/bd-p/SupportPortal ein und markieren Sie es als kritisch. Wir verfügen über ein engagiertes Reaktionsteam, das Ihnen bei Ihren Anfragen behilflich ist.

At Sisense, we give paramount importance to security and are committed to our customers' success. Thank you for your partnership and commitment to our mutual security.

Bei Sisense legen wir größten Wert auf Sicherheit und engagieren uns für den Erfolg unserer Kunden. Vielen Dank für Ihre Partnerschaft und Ihr Engagement für unsere gegenseitige Sicherheit.

Regards,

Grüße,

Sangram Dash
Chief Information Security Officer"

Sangram DashChief Information Security Officer“