黑客利用 Okta 攻击中窃取到的授权令牌，攻击 Cloudflare
内容提要
据报道，Cloudflare的Atlassian服务器遭到网络入侵，攻击者访问了Confluence维基、Jira错误数据库和Bitbucket源代码管理系统。Cloudflare已采取措施保护客户数据和系统，并表示此次事件对公司运营影响有限。Cloudflare认为此次攻击是由一个民族国家攻击者实施的，目的是获得对其全球网络的持久和广泛访问。
延伸解读
Okta 攻击的连锁反应
文章指出，攻击者使用的访问令牌和三个服务账户凭据源自 Okta 入侵事件，而 Cloudflare 未及时轮换这些凭据。这凸显了第三方身份服务被攻破后，下游企业若未及时更新凭据，可能成为攻击者的跳板。企业应建立凭据轮换机制，尤其是在供应商发生安全事件后。
攻击者的目标与持久访问
攻击者利用 Jira 的 ScriptRunner 建立持久访问，并试图访问控制台服务器，该服务器可连接至尚未投产的巴西圣保罗数据中心。这表明攻击者旨在获取对 Cloudflare 全球网络的持久和广泛访问，而非仅窃取数据。这种针对基础设施的长期潜伏威胁，需要企业加强内部系统的监控和隔离。
事件响应与恢复措施
Cloudflare 在检测到恶意活动后，切断了攻击者访问，并轮换了超过 5000 个生产凭证，对测试和暂存系统进行物理分割，对 4893 个系统进行取证分流，并重新映像和重启了全球网络上的所有系统。这些措施展示了大规模安全事件后的彻底恢复流程，但同时也反映了攻击者可能已深入内部网络。
历史攻击的对比与启示
文章提到，Cloudflare 在 2023 年 10 月和 2022 年 8 月也遭遇过网络攻击，但均未影响客户信息或系统。与本次相比，2022 年的攻击因 FIDO2 安全密钥而失败，而本次则因未轮换 Okta 泄露的凭据而成功。这强调了多因素认证和及时修补第三方漏洞的重要性。
Q&A
Cloudflare 的 Atlassian 服务器是如何被入侵的？
攻击者使用从 Okta 攻击中窃取的访问令牌和三个服务账户凭据，获得了对 Cloudflare 自托管 Atlassian 服务器的访问权限。
攻击者访问了 Cloudflare 的哪些系统？
攻击者访问了 Confluence 维基、Jira 错误数据库和 Bitbucket 源代码管理系统，并尝试访问一个控制台服务器。
Cloudflare 在事件发生后采取了哪些应对措施？
Cloudflare 轮换了所有生产凭证（超过 5000 个），对测试和暂存系统进行了物理分割，对 4893 个系统进行了取证分流，并重新映像和重启了全球网络上的所有系统，包括所有 Atlassian 服务器。
这次攻击对 Cloudflare 的客户数据有影响吗？
没有影响。Cloudflare 表示此次事件未影响客户数据或系统，其服务、全球网络系统或配置也未受到影响。
Cloudflare 认为攻击者是谁？他们的目标是什么？
Cloudflare 认为攻击者是一个民族国家攻击者，目的是获得对 Cloudflare 全球网络的持久和广泛访问。
Cloudflare 过去还遭遇过哪些网络攻击？
2023 年 10 月，Cloudflare 的 Okta 实例因从 Okta 支持系统窃取的身份验证令牌被攻破；2022 年 8 月，攻击者试图使用网络钓鱼窃取的员工凭证入侵，但因 FIDO2 安全密钥而失败。
