‏راهنمای شکار تهدید تو Salesforce

به گفتهٔ تیم تحقیقات امنیتی Datadog، Salesforce یکی از پرکاربردترین پلتفرم‌های SaaSه که عمیقاً تو خط لولهٔ داده و عملیات سازمان‌ها جا خوش کرده و معمولاً به ده‌ها اپلیکیشن شخص‌ثالث هم وصله. تو یه سال گذشته کمپین‌های تهدید از همین اپ‌ها و APIهای Salesforce سوءاستفاده کردن تا داده بدزدن، به سرویس‌های ابری متصل نفوذ کنن و از دسترسیِ دزدیده‌شده پول در بیارن. این نوشته قسمت اول یه سری چندبخشیه که روی شکار تهدید تمرکز داره.

نویسنده می‌گه زنجیرهٔ حملهٔ مهاجم‌ها معمولاً یه الگوی ثابت داره: اول احراز هویت (با اطلاعات ورود کاربر، نشست SSO یا توکن OAuth)، بعد شمردن منابع (اینکه چه آبجکت‌هایی هست و چه محدودیت‌هایی داره)، بعد استخراج داده و در آخر باج‌گیری روی داده‌های خارج‌شده.

نقطهٔ شروع اغلب دسترسیِ لو رفتهٔ حساب یا اپه. مثلاً کاربر با یه تماس تلفنی که خودش رو پشتیبانی IT جا می‌زنه فریب می‌خوره و یه اپ متصل (OAuth) مخرب رو تأیید می‌کنه؛ یا یه یکپارچه‌سازیِ شخص‌ثالثِ مورد اعتماد (مثل ماجرای Salesloft Drift) لو می‌ره و توکن‌های OAuthش برای دسترسی به تننت‌های Salesforce استفاده می‌شه؛ یا اطلاعات SSO و کدهای MFAِ برداشته‌شده به دسترسیِ سطح‌نشست تبدیل می‌شن.

برای شکار، دو رده لاگ مهمه: Event Log Files (ELF) که رویدادها رو به صورت فایل قابل دانلود می‌ده، و Real-Time Event Monitoring (RTEM) که داده رو تقریباً بلادرنگ و قابل کوئری ارائه می‌کنه. نویسنده چند نکتهٔ ریز رو هم یادآوری می‌کنه؛ مثلاً وقتی Salesforce یوزر ایجنت رو ثبت نکرده باشه، مقدارش ۹۹۹۹ می‌شه.

تو مرحلهٔ شناسایی (Reconnaissance)، رویدادهای Aura Request می‌تونن نشون بدن که یه حساب مهمان یا لو رفته داره دنبال اطلاعات پیکربندی سایت‌ها و انجمن‌ها می‌گرده. تو دسترسی اولیه، ورودهای موفق با نوع کاربر Guest مهمن، چون حساب‌های مهمان گاهی با دسترسی بیش از حد پیکربندی می‌شن. تو دسترسی به اطلاعات هویتی هم باید مراقب موجِ ورودهای ناموفق با روش‌های ضعیف MFA (نشانهٔ حملهٔ Brute Force) و همین‌طور سوءاستفاده از توکن‌های OAuth بود.

تو مرحلهٔ کشف (Discovery)، مهاجم‌ها معمولاً اول اندازهٔ محیط رو درمیارن: کوئری روی اندپوینت /limits/ (آبجکت LimitSnapshot) تا محدودیت‌های API رو بفهمن و کمتر تو تله بیفتن، بعد گرفتن فهرست کل آبجکت‌ها و شمردن رکوردهای آبجکت‌های حساس مثل Account و Contact و User و Case. نویسنده می‌گه این کوئری‌های گسترده نشونهٔ جمع‌آوری قبل از خروج داده‌ست.

جمع‌بندی نویسنده اینه که این تکنیک‌ها همه‌چی رو نمی‌گیرن، ولی یه نقطهٔ شروع خوب برای بررسی تهدیدن. توصیه می‌کنه شناختت رو از لاگ‌های سازمان بالا ببری، فرضیه‌هاتو مرتب بازبینی کنی و کوئری‌های مفید رو به قانونِ شکار یا تشخیص تبدیل کنی تا مجبور نشی دوباره از صفر دنبالشون بگردی.

نکات کلیدی:

• زنجیرهٔ حمله معمولاً چهار گام داره: احراز هویت، شمردن منابع، استخراج داده و باج‌گیری
• هر کوئری شکار به یه تاکتیک MITRE ATT&CK نگاشت شده تا به کل زنجیره وصل شه
• دو رده لاگ اصلی: Event Log Files (ELF) و Real-Time Event Monitoring (RTEM)
• حساب‌های Guest و توکن‌های OAuthِ اپ‌های ناشناس از مهم‌ترین نقاط دیده‌بانی‌ان
• کوئری روی /limits/ و شمردن آبجکت‌های حساس، نشونهٔ آماده شدن برای خروج داده‌ست