De kan inte vara säkra. I själva verket kan du aldrig vara säker på att du inte har blivit hackad. Men en grundlig undersökning kan få dig att dra slutsatsen att det är mer eller mindre troligt.

Twitter-uttalandena säger bara att det inte finns någon indikation på ett hack. Det utesluter inte möjligheten att de hackades, och när de uppmanar sina användare att ändra sina lösenord medger de implicit det.

När det gäller GitHub är formuleringen lite mer kategorisk. Men jag tror att det att tvinga en lösenordsåterställning visar att de förstår riskerna.

En sak till att notera är att läckaget i båda fallen var i ett rent internt loggningssystem. Det finns ingen indikation på att tredjepartsanvändare någonsin haft tillgång till detta system. Interna loggningssystem exponeras sällan externt och konsulteras endast internt när ett system behöver felsöka. Det är förmodligen också anledningen till att detta fel gick obemärkt förbi i flera månader: singulära loggposter någonstans i vad som förmodligen är en gigantisk mängd andra uttalanden blir vanligtvis inte uppmärksamma om de råkar vara bredvid eller mitt i uttalanden som behövs felsöka andra poster.

Twitter fick också nyligen veta om själva felet, vilket innebär att det är osannolikt att människor utanför företaget var medvetna om denna bugg innan Twitter var, än mindre räknat ut och utfört en attack för att hämta dem.

Det är svårt att bevisa ett negativt.

Så hur bevisar du att du är positiv? I detta fall: hur bevisar du en attack utifrån? Vanligtvis finns det flera system på plats för att övervaka olika former av attacker, intrång eller åtkomst. Dessa kan vara brandväggar, system för upptäckt av intrång, SIEMs och en mängd övervaknings- och loggningssystem. I dagens nätverk har varje komponent antingen någon form av övervakning eller tillåter övervakning via verktyg från tredje part som Check_MK.

Så varje steg på vägen - från gränsen till företagsnätverket till den maskin som innehöll värdefull information - övervakas i någon form eller form. Dessa loggar analyseras, beroende på nätverks- och företagspolicyer, regelbundet. Analyssystemen kan skilja mellan förväntad och oväntad trafik eller beteende. Un / Expected behavior är till exempel filåtkomst.

Interna loggfiler betraktas vanligtvis som konfidentiella data, så filåtkomst övervakas förmodligen också. Om någon som inte ingår i en viss användargrupp försöker kopiera / komma åt en intern loggfil, skulle det antagligen loggas som oväntat eller till och med förbjudet beteende. Om en möjlig motståndare kunde imitera någon med rättigheterna att få åtkomst till den här filen hade den också loggats, men som förväntat beteende.

I teorin är det möjligt att en angripare kan övervinna alla säkerhetskontroller, utnyttja 0-dagars sårbarheter, lämna inga spår i varje logg på varje komponent, IDS, SIEM och så vidare, kopiera den interna loggfilen och smuggla den ut, men det är mycket osannolikt.

Min gissning är att efter att loggfilen upptäcktes analyserades alla dessa loggar noggrant för att försöka bevisa om det fanns en attack utifrån. Analytikerna hittade inga misstänkta data och drog därför slutsatsen att med nästan absolut säkerhet det inte fanns någon attack utifrån. Och detta faktiskt vad du ser i Twitters pressmeddelande (se Florin Coadas kommentar). Återigen, min gissning: GitHubs pressmeddelande hade ett striktare språk för att stoppa spekulationer om det fanns ett hack. (Gick inte riktigt.;)

^{Naturligtvis är det också möjligt att Twitter och GitHub inte har några sådana säkerhetskontroller på plats, men jag hoppas verkligen inte.}

Jag antar att de har åtkomstloggar för nästan vad som helst som händer på deras servrar, de kan kontrollera om någon har tillgång till filen, när det var, vilket alias de loggade in med, deras källans IP-adress, etc. Om de kan bevisa att själva att all tillgång var av legitima anställda kan de med säkerhet säga att de inte har hackats. Observera att detta faktiskt inte garanterar att de inte hackas, bara att alla bevis pekar i den riktningen.

Svaret är väldigt enkelt. De anger inte att de är säkra. De säger faktiskt implicit att det faktiskt kunde ha varit ett brott på två sätt:

1. De säger att det är "ingen anledning att tro att det fanns" eller "inga bevis för" ett brott. Brist på bevis kan helt enkelt innebära att inkräktaren (s) täckte deras spår.
2. De bönfaller dig att ändra ditt lösenord, bara för att vara på den säkra sidan. Detta innebär att de inte kan garantera att inget intrång har inträffat.

Min tolkning av, särskilt av det mer djärva GitHub-uttalandet, är att de vill säga att det faktum att lösenorden placerades i loggfilen inte är resultatet av en hackingattack, utan resultatet av att en utvecklare introducerar felsökningskod av misstag till produktion. Detta är relevant eftersom en angripare kanske har infört denna funktion för att samla in lösenord för att fånga dem senare.

Det finns ingen garanti för att de aldrig har hackats och aldrig kommer att bli det, men denna händelse är oberoende från hackningsförsök.

Stora företag som detta borde ha massor av servrar och därför dirigeras all extern åtkomst via en bastionsvärd (extern betydelse inte från själva serverburet / rummet). Bastionen kan ha sagt loggning på ett sätt eftersom den vidarebefordrar alla kommandon från det externa nätverket till de operativa servrarna. Kommandona om de är inloggade kan lätt användas för att berätta om någon till exempel öppnade en fil med vim och det skulle lösa frågan om en användare hade hackats. SSH-åtkomst loggas också så att en känd "bra" IP / s kan filtreras bort för en användare och eventuella misstänkta eller udda poster kan undersökas av IT och om en post inte har kunnat förklaras skulle det utgöra ett brott. Annars skulle servern vara "säker" och det skulle inte vara så stort behov av att oroa sig för denna fråga.

Vad de faktiskt säger är att de är 100% säkra på att det verkligen var ett säkerhetsbrott. Av misstag. Förmodligen. Och av sig själva. Resten är glansig.

De kan se individen annorlunda, som en anställd, men det gör jag inte. En bra hacker fungerar inifrån och får förtroende. NSA? FSB?

De borde aldrig ha tillgång till ren text till våra lösenord. Det är inte så lösenordsåtkomst fungerar. Konsekvenserna är att det nu är upp till dig att byta lösenord överallt där du någonsin använder det. Anta att lösenordet nu är känt av alla.