L'échelle et la gravité de cette attaque suggère que si vous n'avez pas mis à niveau vos sites Drupal, ou votre site n'est pas pris en charge par Acquia Cloud ou un autre fournisseur de confiance qui fournit des correctifs de niveau de plate-forme, les chances de votre site piraté sont très élevés. Si vous n'avez pas encore mis à niveau votre site, je vous recommande de restaurer à partir d'une sauvegarde prise avant que la vulnérabilité a été annoncée et mise à niveau avant de remettre votre site en ligne. (mise à jour: la restauration d'un site Drupal à partir de sauvegarde peut ne pas être suffisant que certains des exploits se réinstaller à partir de crontab. Vous devez supposer que tout l'hôte est compromis.)
La politique de divulgation responsable de Drupal
Il est important de garder à l'esprit que tous les logiciels a des bogues de sécurité, et heureusement pour Drupal, les bogues de sécurité critique sont rares. Il a été près de quatre ans depuis l'équipe de sécurité Drupal a publié un communiqué de sécurité pour Drupal Core qui est ce critique.
Ce qui importe, c'est comment les projets logiciels ou les éditeurs de logiciels traitent des bogues de sécurité. L'équipe de sécurité Drupal suit une «politique de divulgation coordonnée»: les questions restent confidentielles jusqu'à ce qu'il y ait un correctif publié. Une annonce publique est faite lorsque la menace a été adressée et une version sécurisée de Drupal Core est également disponible. Même lorsqu'un bug fix est mis à disposition, l'équipe de sécurité Drupal est très attentionnée avec sa communication. L'équipe est attentive à retenir autant de détails sur la vulnérabilité que possible pour rendre difficile pour les pirates de créer un exploit, et d'acheter des propriétaires de sites Drupal autant de temps que possible pour mettre à niveau. Dans ce cas, les propriétaires de sites Drupal avaient deux semaines avant l'apparition des premiers exploits publics.
Historiquement, beaucoup de fournisseurs de CMS propriétaires ont exécuté une approche différente, et ne divulguent pas toujours des bogues de sécurité. Au lieu de cela, ils corrigent souvent les bugs silencieusement. Dans ce scénario, le secret peut sembler être une bonne idée; il empêche les sites d'être piratés et il évite les mauvaises relations publiques. Cependant, masquer les vulnérabilités fournit un faux sentiment de sécurité, ce qui peut rendre les choses bien pires. Cette approche fonctionne également sous l'hypothèse que les pirates ne peuvent pas trouver des problèmes de sécurité sur leurs propres. Ils peuvent, et quand ils le font, encore plus de sites sont à risque d'être compromis.
L'approche de Drupal en matière de sécurité est la meilleure en classe — de la fixation du bogue, de la mise à l'essai de la solution, du préavis, de la coordination de la publication, de la réflexion de ne pas trop communiquer trop de détails, étant disponible pour les demandes de renseignements de presse, et à plusieurs reprises Rappelant à tout le monde de mettre à niveau.
Le niveau de plate-forme d'Acquia
En plus de la politique de divulgation responsable de l'équipe de sécurité Drupal, l'équipe de sécurité d'Acquia a surveillé de près les tentatives d'attaques sur notre infrastructure. Après la publication de l'article de recherche sur Checkpoint, Acquia a suivi l'origine des 500 000 tentatives d'attentats:
Cette image capte la répartition géographique des attaques de sa-Core-2018-002 contre les clients d'Acquia. Le nombre noté dans chaque bulle est le nombre total d'attaques qui provenaient de cet emplacement.
À ce jour, plus de 50 pour cent des tentatives d'attaques Acquia a été témoin originaire de l'Ukraine:
Chez Acquia, nous fournissons aux clients un correctif de sécurité automatique de l'infrastructure et du code Drupal, en plus des correctifs de niveau de plate-forme pour les bogues de sécurité. Notre engagement à maintenir nos clients en sécurité se reflète dans notre Push pour libérer une plate-forme de niveau Fix une heure après l'équipe de sécurité Drupal fait sa-Core-2018-002 disponible. Cette atténuation couvrait tous les clients avec les applications d'Acquia Cloud Free, d'Acquia Cloud Professional, d'Acquia Cloud Enterprise et d'Acquia Cloud site Factory; donner à nos clients la tranquillité d'esprit pendant qu'ils modernisaient leurs sites Drupal, avec ou sans notre aide. Cela signifie que lorsque les tentatives d'exploitation et les attaques sont apparues dans la nature, les clients d'Acquia étaient en sécurité. En tant que meilleure pratique, Acquia recommande toujours que les clients de mettre à niveau vers la dernière version sécurisée de Drupal Core, en plus des atténuations de la plate-forme.
Ce billet de blog a été co-écrit par Dries Buytaert et Cash Williams.
