La violation de données Sisense compromet les informations d'identification du secteur des infrastructures critiques

La Cybersecurity and Infrastructure Security Agency (CISA) enquête sur une faille chez Sisense, une société de veille économique qui permet aux entreprises de suivre plusieurs services en ligne tiers. Sisense a exhorté ses clients à réinitialiser toutes les informations d'identification et tous les secrets partagés avec l'entreprise, en les conseillant de faire preuve de prudence et de alterner toutes les informations d'identification utilisées dans l'application Sisense.

Cybersecurity Breach at Sisense: Critical Infrastructure Sector Organizations Impacted

Violation de cybersécurité chez Sisense : les organisations du secteur des infrastructures critiques touchées

The United States Cybersecurity and Infrastructure Security Agency (CISA) has initiated an investigation into a data breach at business intelligence company Sisense. Sisense's products enable businesses to monitor the status of various external online services through a centralized dashboard.

L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ouvert une enquête sur une violation de données au sein de la société de renseignement économique Sisense. Les produits Sisense permettent aux entreprises de surveiller l'état de divers services en ligne externes via un tableau de bord centralisé.

CISA has strongly advised all Sisense customers to reset any credentials and secrets shared with the company, a recommendation previously issued by Sisense on April 10th.

CISA a fortement conseillé à tous les clients Sisense de réinitialiser tous les identifiants et secrets partagés avec l'entreprise, une recommandation précédemment émise par Sisense le 10 avril.

Sisense, headquartered in New York City, boasts over a thousand customers across multiple industries, including finance, telecommunications, healthcare, and higher education. On April 10th, Sangram Dash, Sisense's Chief Information Security Officer, informed customers of reports indicating that "certain Sisense company information may have been made available on what we have been advised is a restricted access server."

Sisense, dont le siège est à New York, compte plus d'un millier de clients dans plusieurs secteurs, notamment la finance, les télécommunications, la santé et l'enseignement supérieur. Le 10 avril, Sangram Dash, responsable de la sécurité des informations chez Sisense, a informé les clients de rapports indiquant que « certaines informations de la société Sisense pourraient avoir été mises à disposition sur ce qui, selon nous, est un serveur à accès restreint ».

"We are treating this matter with the utmost seriousness and have promptly commenced an investigation," Dash stated. "We have enlisted industry-leading experts to aid in our investigations. Our business operations have not been interrupted by this incident. However, as a precautionary measure, we strongly urge you to immediately change any credentials you use within your Sisense application."

"Nous traitons cette affaire avec le plus grand sérieux et avons rapidement ouvert une enquête", a déclaré Dash. "Nous avons fait appel à des experts de pointe pour nous aider dans nos enquêtes. Nos opérations commerciales n'ont pas été interrompues par cet incident. Cependant, par mesure de précaution, nous vous invitons vivement à modifier immédiatement les informations d'identification que vous utilisez dans votre application Sisense."

CISA's advisory acknowledges its collaboration with private industry partners in response to the incident, particularly considering the potential impact on critical infrastructure sectors. CISA pledged to provide updates as more information becomes available.

L'avis de la CISA reconnaît sa collaboration avec des partenaires du secteur privé en réponse à l'incident, compte tenu en particulier de l'impact potentiel sur les secteurs des infrastructures critiques. La CISA s'est engagée à fournir des mises à jour à mesure que de plus amples informations seront disponibles.

Sisense declined to comment when contacted about the accuracy of information shared by reliable sources close to the investigation. These sources indicate that the breach likely originated with the attackers' access to Sisense's Gitlab code repository. Within this repository, a token or credential provided the attackers access to Sisense's Amazon S3 buckets in the cloud.

Sisense a refusé de commenter lorsqu'il a été contacté sur l'exactitude des informations partagées par des sources fiables proches de l'enquête. Ces sources indiquent que la violation provient probablement de l'accès des attaquants au référentiel de code Gitlab de Sisense. Dans ce référentiel, un jeton ou un identifiant permettait aux attaquants d'accéder aux compartiments Amazon S3 de Sisense dans le cloud.

Sources further revealed that the attackers utilized their S3 access to exfiltrate terabytes of Sisense customer data, reportedly including millions of access tokens, email account passwords, and even SSL certificates.

Des sources ont en outre révélé que les attaquants ont utilisé leur accès S3 pour exfiltrer des téraoctets de données client Sisense, y compris des millions de jetons d'accès, de mots de passe de comptes de messagerie et même de certificats SSL.

This incident raises concerns about Sisense's safeguards for protecting sensitive customer data, particularly regarding whether the large volume of stolen data was encrypted while stored on Amazon cloud servers.

Cet incident soulève des inquiétudes quant aux mesures de protection mises en place par Sisense pour protéger les données sensibles des clients, en particulier quant à savoir si le grand volume de données volées a été crypté lors de leur stockage sur les serveurs cloud d'Amazon.

Crucially, the breach has compromised all credentials that Sisense customers used within their dashboards.

Surtout, la violation a compromis toutes les informations d'identification utilisées par les clients Sisense dans leurs tableaux de bord.

The incident also highlights the limited scope of Sisense's remediation actions on behalf of customers. Access tokens are essentially text files that enable extended login sessions, sometimes indefinitely. Depending on the service, attackers may be able to reuse these tokens to impersonate victims without presenting valid credentials.

L'incident met également en évidence la portée limitée des actions correctives de Sisense au nom des clients. Les jetons d'accès sont essentiellement des fichiers texte qui permettent des sessions de connexion prolongées, parfois indéfiniment. Selon le service, les attaquants peuvent réutiliser ces jetons pour usurper l'identité des victimes sans présenter d'informations d'identification valides.

Beyond resetting passwords, Sisense customers must assess their individual circumstances and determine whether to change passwords for third-party services previously integrated with Sisense.

Au-delà de la réinitialisation des mots de passe, les clients Sisense doivent évaluer leur situation individuelle et déterminer s'ils doivent modifier les mots de passe des services tiers précédemment intégrés à Sisense.

Following the incident, a public relations firm representing Sisense inquired about KrebsOnSecurity's plans for further updates. Sisense requested an opportunity to provide comments before publication.

À la suite de l'incident, une société de relations publiques représentant Sisense s'est enquise des projets de KrebsOnSecurity concernant d'autres mises à jour. Sisense a demandé l'opportunité de fournir des commentaires avant la publication.

However, after being confronted with details provided by sources, Sisense reportedly changed its position. "After consulting with Sisense, they have told me that they don't wish to respond," the PR representative stated via email.

Cependant, après avoir été confronté aux détails fournis par des sources, Sisense aurait changé de position. "Après avoir consulté Sisense, ils m'ont dit qu'ils ne souhaitaient pas répondre", a déclaré le représentant des relations publiques par courrier électronique.

Update, 6:49 p.m., ET:

Mise à jour, 18 h 49, HE :

It has been clarified that Sisense utilizes a self-hosted version of Gitlab, not the cloud version managed by Gitlab.com.

Il a été précisé que Sisense utilise une version auto-hébergée de Gitlab, et non la version cloud gérée par Gitlab.com.

Sisense's CISO, Dash, has issued a detailed update to customers. The revised guidance includes resetting access tokens across various technologies, such as Microsoft Active Directory credentials, GIT credentials, web access tokens, and single sign-on (SSO) secrets or tokens.

Dash, le RSSI de Sisense, a publié une mise à jour détaillée à l'intention des clients. Les directives révisées incluent la réinitialisation des jetons d'accès sur diverses technologies, telles que les informations d'identification Microsoft Active Directory, les informations d'identification GIT, les jetons d'accès Web et les secrets ou jetons d'authentification unique (SSO).

Dash's full message to customers is as follows:

Le message complet de Dash aux clients est le suivant :

"Good Afternoon,

"Bon après-midi,

We are following up on our prior communication of April 10, 2024, regarding reports that certain Sisense company information may have been made available on a restricted access server. As noted, we are taking this matter seriously and our investigation remains ongoing.

Nous faisons suite à notre précédente communication du 10 avril 2024 concernant des informations selon lesquelles certaines informations de la société Sisense auraient pu être mises à disposition sur un serveur à accès restreint. Comme indiqué, nous prenons cette affaire au sérieux et notre enquête se poursuit.

Our customers must reset any keys, tokens, or other credentials in their environment used within the Sisense application.

Nos clients doivent réinitialiser toutes les clés, jetons ou autres informations d'identification de leur environnement utilisés dans l'application Sisense.

Specifically, you should:

Plus précisément, vous devez :

• Change Your Password: Change all Sisense-related passwords on http://my.sisense.com

• Non-SSO:

  Changez votre mot de passe : modifiez tous les mots de passe liés à Sisense sur http://my.sisense.comNon-SSO :

  • Replace the Secret in the Base Configuration Security section with your GUID/UUID.
  • Reset passwords for all users in the Sisense application.
  • Logout all users by running GET /api/v1/authentication/logout_all under Admin user.

• Single Sign-On (SSO):

  Remplacez le secret dans la section Sécurité de la configuration de base par votre GUID/UUID. Réinitialisez les mots de passe pour tous les utilisateurs de l'application Sisense. Déconnectez-vous de tous les utilisateurs en exécutant GET /api/v1/authentication/logout_all sous Utilisateur administrateur. Authentification unique (SSO) :

  • If you use SSO JWT for the user's authentication in Sisense, you will need to update sso.shared_secret in Sisense and then use the newly generated value on the side of the SSO handler.
  • We strongly recommend rotating the x.509 certificate for your SSO SAML identity provider.
  • If you utilize OpenID, it's imperative to rotate the client secret as well.
  • Following these adjustments, update the SSO settings in Sisense with the revised values.
  • Logout all users by running GET /api/v1/authentication/logout_all under Admin user.
• Customer Database Credentials: Reset credentials in your database that were used in the Sisense application to ensure continuity of connection between the systems.
• Data Models: Change all usernames and passwords in the database connection string in the data models.
• User Params: If you are using the User Params feature, reset them.
• Active Directory/LDAP: Change the username and user password of users whose authorization is used for AD synchronization.
• HTTP Authentication for GIT: Rotate the credentials in every GIT project.
• B2D Customers: Use the following API PATCH api/v2/b2d-connection in the admin section to update the B2D connection.
• Infusion Apps: Rotate the associated keys.
• Web Access Token: Rotate all tokens.
• Custom Email Server: Rotate associated credentials.
• Custom Code: Reset any secrets that appear in custom code Notebooks.

If you need any assistance, please submit a customer support ticket at https://community.sisense.com/t5/support-portal/bd-p/SupportPortal and mark it as critical. We have a dedicated response team on standby to assist with your requests.

Si vous utilisez SSO JWT pour l'authentification de l'utilisateur dans Sisense, vous devrez mettre à jour sso.shared_secret dans Sisense, puis utiliser la valeur nouvellement générée du côté du gestionnaire SSO. Nous vous recommandons fortement de faire pivoter le certificat x.509 pour votre SSO SAML. fournisseur d'identité. Si vous utilisez OpenID, il est impératif de faire pivoter également le secret client. Après ces ajustements, mettez à jour les paramètres SSO dans Sisense avec les valeurs révisées. Déconnectez-vous de tous les utilisateurs en exécutant GET /api/v1/authentication/logout_all sous Utilisateur administrateur. .Credentials de la base de données client : réinitialisez les informations d'identification de votre base de données qui ont été utilisées dans l'application Sisense pour assurer la continuité de la connexion entre les systèmes. Modèles de données : modifiez tous les noms d'utilisateur et mots de passe dans la chaîne de connexion à la base de données dans les modèles de données. Paramètres utilisateur : si vous êtes à l'aide de la fonctionnalité Paramètres utilisateur, réinitialisez-les.Active Directory/LDAP : modifiez le nom d'utilisateur et le mot de passe utilisateur des utilisateurs dont l'autorisation est utilisée pour la synchronisation AD.Authentification HTTP pour GIT : faites pivoter les informations d'identification dans chaque projet GIT.Clients B2D : utilisez l'API suivante PATCH api/v2/b2d-connection dans la section admin pour mettre à jour la connexion B2D. Applications Infusion : faites pivoter les clés associées. Jeton d'accès Web : faites pivoter tous les jetons. Serveur de messagerie personnalisé : faites pivoter les informations d'identification associées. Code personnalisé : réinitialisez tous les secrets qui apparaissent. dans les blocs-notes à code personnalisé. Si vous avez besoin d'aide, veuillez soumettre un ticket d'assistance client à l'adresse https://community.sisense.com/t5/support-portal/bd-p/SupportPortal et le marquer comme critique. Nous disposons d’une équipe de réponse dédiée en attente pour répondre à vos demandes.

At Sisense, we give paramount importance to security and are committed to our customers' success. Thank you for your partnership and commitment to our mutual security.

Chez Sisense, nous accordons une importance primordiale à la sécurité et nous nous engageons pour le succès de nos clients. Merci pour votre partenariat et votre engagement envers notre sécurité mutuelle.

Regards,

Salutations,

Sangram Dash
Chief Information Security Officer"

Sangram DashChef de la sécurité de l'information"