Okta, Zscaler et les attaques de dérive: une histoire de deux stratégies de sécurité

Une récente attaque de chaîne d'approvisionnement ciblant les clients Drift met en évidence l'importance des mesures de sécurité robustes. Découvrez comment Okta et Zscaler ont navigué sur la même menace avec des résultats très différents.

The recent Salesloft Drift attacks sent ripples through the cybersecurity world, with Okta and Zscaler finding themselves in the crosshairs. While both companies faced the same threat, their experiences diverged dramatically, offering valuable lessons in cybersecurity strategy. In mid-August, a widespread data theft campaign occurred over a 10-day period.

Les récentes attaques de SalesLoft Drift ont envoyé des ondulations dans le monde de la cybersécurité, Okta et Zscaler se retrouvant dans la réticule. Alors que les deux sociétés ont été confrontées à la même menace, leurs expériences ont divergé de façon spectaculaire, offrant de précieuses leçons dans la stratégie de cybersécurité. À la mi-août, une campagne de vol de données généralisée s'est produite sur une période de 10 jours.

The Divergent Paths of Okta and Zscaler

Les chemins divergents d'Okta et de Zscaler

Okta's proactive security measures successfully thwarted the attack, preventing any lasting damage. Zscaler, however, wasn't as fortunate, experiencing unauthorized access to both customer and internal company data. This stark contrast underscores the critical role of a robust and layered security approach.

Les mesures de sécurité proactives d'Okta ont réussi à contrecarrer l'attaque, empêchant tout dommage durable. Zscaler, cependant, n'a pas été aussi chanceux, éprouvant un accès non autorisé aux données des clients et de l'entreprise interne. Ce contraste frappant souligne le rôle critique d'une approche de sécurité robuste et en couches.

Understanding the Attack

Comprendre l'attaque

The attack, attributed to the threat group UNC6395, exploited vulnerabilities in Salesloft's GitHub account and Drift's Amazon Web Services environment. This allowed the attackers to obtain OAuth tokens used by Drift customers, granting them access to sensitive data on integrated platforms.

L'attaque, attribuée au groupe de menaces UNC6395, a exploité les vulnérabilités du compte GitHub de SalesLoft et de l'environnement de services Web d'Amazon de Drift. Cela a permis aux attaquants d'obtenir des jetons OAuth utilisés par les clients Drift, leur accordant l'accès à des données sensibles sur les plates-formes intégrées.

Okta's Proactive Defense

Défense proactive d'Okta

Okta's success stemmed from its proactive monitoring and IP address restrictions for API calls. By identifying and blocking unauthorized access attempts from outside its configured IP range, Okta effectively neutralized the threat. David Bradbury, Okta's chief security officer, emphasized the importance of automating IP restriction implementation to make it more accessible for companies.

Le succès d'Okta provenait de sa surveillance proactive et de ses restrictions d'adresse IP pour les appels d'API. En identifiant et en bloquant les tentatives d'accès non autorisées de l'extérieur de sa plage IP configurée, Okta a effectivement neutralisé la menace. David Bradbury, directeur de la sécurité d'Okta, a souligné l'importance d'automatiser la mise en œuvre des restrictions IP pour la rendre plus accessible aux entreprises.

Zscaler's Experience and Lessons Learned

L'expérience et les leçons apprises de Zscaler

Despite having discontinued its use of Drift a month prior to the attack, Zscaler was still vulnerable due to an active OAuth token. The company faced the exposure of customer data, including names, email addresses, and product licensing information. Sam Curry, Zscaler's CISO, highlighted the critical need for limiting IP address ranges for API queries and rotating tokens more frequently.

Bien qu'il ait interrompu son utilisation de la dérive un mois avant l'attaque, Zscaler était toujours vulnérable en raison d'un jeton OAuth actif. La société a été confrontée à l'exposition des données des clients, y compris des noms, des adresses e-mail et des informations sur les licences de produits. Sam Curry, le CISO de Zscaler, a mis en évidence le besoin critique de limiter les plages d'adresses IP pour les requêtes API et les jetons rotatifs plus fréquemment.

The Mystery of Token Theft

Le mystère du vol de jeton

The exact method used to steal the OAuth tokens remains unclear. While Salesloft's investigation is ongoing, both Okta and Zscaler emphasize the need for stronger token security measures. As Bradbury noted, the internet's reliance on easily reusable tokens presents a significant vulnerability.

La méthode exacte utilisée pour voler les jetons OAuth reste incertaine. Alors que l'enquête de Salesloft est en cours, Okta et Zscaler soulignent la nécessité de mesures de sécurité de jetons plus fortes. Comme Bradbury l'a noté, la dépendance d'Internet à des jetons facilement réutilisables présente une vulnérabilité importante.

Collective Defense and the Future of API Security

Défense collective et l'avenir de la sécurité des API

Both Bradbury and Curry stressed the importance of collective defense and vendor accountability. APIs are becoming a major attack vector, requiring enhanced monitoring and preventative controls. Bradbury advocated for Demonstrating Proof of Possession (DPoP) as a mechanism to restrict token use and prevent theft. Curry emphasized that “APIs are becoming a new highway of access that we need more control over, and we need better control of collectively.”

Bradbury et Curry ont tous deux souligné l'importance de la défense collective et de la responsabilité des fournisseurs. Les API deviennent un vecteur d'attaque majeur, nécessitant une surveillance améliorée et des contrôles préventifs. Bradbury a plaidé pour démontrer la preuve de possession (DPOP) comme mécanisme pour restreindre l'utilisation de jetons et prévenir le vol. Curry a souligné que «les API deviennent une nouvelle autoroute d'accès sur laquelle nous avons besoin de plus de contrôle, et nous avons besoin d'un meilleur contrôle collectivement.»

A Call to Action

Un appel à l'action

This incident serves as a wake-up call for security leaders to prioritize security features in vendor selection and demand higher standards from their SaaS providers. By working together and sharing lessons learned, the cybersecurity community can raise the bar for security and create a more resilient ecosystem.

Cet incident sert de réveil aux leaders de la sécurité afin de hiérarchiser les fonctionnalités de sécurité dans la sélection des fournisseurs et exiger des normes plus élevées de leurs fournisseurs SaaS. En travaillant ensemble et en partageant les leçons apprises, la communauté de la cybersécurité peut élever la barre pour la sécurité et créer un écosystème plus résilient.

So, next time you're thinking about your company's security posture, remember the tale of Okta and Zscaler. It's a reminder that in the world of cybersecurity, a proactive approach and a strong defense are always in style, and maybe a little bit of luck. Stay safe out there, folks!

Donc, la prochaine fois que vous réfléchissez à la posture de sécurité de votre entreprise, rappelez-vous l'histoire d'Okta et de Zscaler. C'est un rappel que dans le monde de la cybersécurité, une approche proactive et une forte défense sont toujours à la mode, et peut-être un peu de chance. Restez en sécurité là-bas, les amis!