Hoy mismo recibí una notificación de un incidente de seguridad en Mandrill . Al principio, me preocupé, pero luego, después de adentrarme en los detalles, me confundí en cuanto a por qué consideraban esto digno de mención.
Para resumir, parece que Mandrill realizó algunos cambios en sus grupos de seguridad EC2, lo que hizo que algunos puertos de sus servidores de registro estuvieran accesibles a Internet durante unas semanas.
El 10 de marzo, descubrimos pruebas de que se hicieron intentos automáticos contra los servidores de registro interno de Mandrill en un esfuerzo por usarlos en una red de bots. El análisis de los servidores que se vieron afectados, incluidos los registros de tráfico de red y los archivos presentes en los servidores, indica que estos intentos no tuvieron éxito. No hay indicios de que los servidores hayan sido diseñados para acceder a los datos almacenados en ellos.
Investigamos el problema y encontramos que la oportunidad de este ataque surgió de un cambio en el cortafuegos que hicimos el 20 de febrero para controlar de forma más granular el acceso a algunos de los servidores de Mandrill. Partes de la infraestructura de Mandrill se alojan en los servicios web de Amazon (AWS), y usamos grupos de seguridad EC2 para controlar el acceso. Se hizo un cambio a un grupo de seguridad que contenía más servidores de los que pretendíamos afectar. Como resultado, se hizo público un grupo de servidores que alojan los registros de aplicaciones internas de Mandrill en lugar de permitir el acceso solo interno.
Ahora, todos tratamos con botnets todo el tiempo y es bastante conocido cómo mantener sus máquinas razonablemente a salvo de ellas. Sobre todo porque casi todo lo que ejecuto es público y veo millones de intentos de botnets, ninguno de los cuales tiene éxito en hacer nada más que generar entradas de registro.
Pero debido a esto, recomiendan que todos invaliden y cambien todas sus claves API. Personalmente, tengo cerca de una docena de claves API activas y me llevará más de una tarde cambiar todas estas en las que se deben cambiar.
Mi pensamiento personal es que han reaccionado de forma masiva a esto. Pero no lo sé todo. ¿Hay alguna razón por la que simplemente tener puertos abiertos se consideraría un compromiso potencial aquí?