조사 결론 : 2024년 1월 31일
이는 스테이징 환경에 대한 무단 액세스와 관련된 2023년 11월 보안 사고를 설명하는 이 보안 게시판의 최종 업데이트입니다. New Relic, 선도적인 사이버 전문가 및 법의학 회사는 이 사건에 대해 광범위한 조사를 수행했으며 정보가 입수되는 대로 이 보안 게시판에 업데이트를 제공했습니다. 조사가 완료되었으며 조사 결과에 대한 추가 정보를 공유하고 있습니다.
배경
2023년 11월, New Relic은 문제 해결 목적으로 고객의 서비스 사용 및 운영에 대한 가시성 및 정보를 제공하는 내부 환경인 스테이징 환경(“스테이징 환경”)에 대한 무단 액세스를 인지했습니다. 스테이징 환경은 로그, 이벤트, 추적 및 기타 진단 파일을 포함하여 New Relic의 자체 관찰 가능성 데이터를 유지 관리하여 고객이 직면하는 프로덕션 환경에서 오류가 발생할 경우 가시성을 보장합니다. 특히 고객이 New Relic 플랫폼을 사용할 때 New Relic으로 전송한 원격 측정 및 애플리케이션 데이터는 당사의 준비 환경에 상주하지 않습니다.
스테이징 환경에 대한 무단 액세스를 알게 된 후 우리는 내부 애플리케이션, 시스템 및 인프라의 무결성을 평가하기 위해 즉각적인 조치를 취했습니다. 우리는 사고 대응 계획을 활성화하고 여러 타사 사이버 보안 전문가를 참여시켜 고객과 비즈니스에 미치는 영향을 철저히 조사했습니다.
조사 과정에서 우리는 무단 공격자가 단일 New Relic 직원 계정과 관련하여 훔친 자격 증명을 사용하여 스테이징 환경에 액세스했다는 사실을 알게 되었습니다. 무단 액세스는 보안 강화를 위해 나머지 직원을 향상된 사용자 관리 모델 로 마이그레이션하려는 계획이 완료되기 직전에 발생했습니다.
New Relic은 손상된 직원 계정에 대한 액세스를 즉시 취소했습니다. 또한 스테이징 환경에서 비밀번호, API 키, 사용자 식별자(사용자 이름 및 기타 고객 데이터 포함)를 검색하여 고객에게 미칠 잠재적 영향을 분석했습니다. 또한 조사 결과 스테이징 환경에서 별도 환경의 고객 계정이나 New Relic의 프로덕션 환경으로의 측면 이동이 없는 것으로 확인되었습니다.
환경을 강화하기 위한 추가 단계
우리는 로깅 규칙에서 비밀을 수정하는 등 사건의 영향을 해결하기 위한 추가 조치를 취했으며, 추가 기술 제어 계층 구현, 네트워크 액세스 제어 강화, 마이그레이션 가속화 등 시스템을 더욱 강화하기 위한 조치를 취했습니다. 남은 직원 사용자를 향상된 사용자 관리 모델 로 전환합니다. 이러한 추가 단계가 수행되고 완료되었습니다.
사고 조사 결과
스테이징 환경 사건에 대한 조사가 완료되었으며 다음과 같은 사실이 밝혀졌습니다.
- 승인되지 않은 공격자는 단일 New Relic 직원 계정을 활용하여 New Relic의 스테이징 환경에 액세스했습니다.
- New Relic의 스테이징 환경 내에서 승인되지 않은 행위자에 의한 모든 활동은 New Relic과 업계 최고의 포렌식 회사에 의해 포괄적으로 식별되고 검토되었습니다.
- 2023년 10월 24일부터 11월 15일 사이에 승인되지 않은 공격자는 특정 검색어를 실행하고 스테이징 환경에서 이러한 쿼리 결과를 유출했습니다.
- 스테이징 환경에서 마지막으로 관찰된 무단 활동은 2023년 11월 16일이었습니다. New Relic의 스테이징 환경에는 승인되지 않은 행위자가 지속적으로 액세스했다는 징후가 없습니다.
- 승인되지 않은 공격자가 실행한 검색어의 영향을 받은 고객의 비율은 매우 낮습니다.
- 스테이징 환경에서 별도의 프로덕션 환경에 있는 고객의 New Relic 계정이나 New Relic의 프로덕션 인프라로의 측면 이동에 대한 징후는 없습니다.
전술, 기술 및 절차(TTP)
업계와 커뮤니티 전체를 지원하기 위해 우리는 이 무단 공격자가 사용하는 전술, 기술 및 절차(TTP)를 공유하여 커뮤니티가 이 정보를 활용하여 환경에 대한 잠재적 위험을 식별할 수 있도록 하고 있습니다. 이러한 TTP는 법의학 및 사이버 보안 전문가와 협력하여 New Relic이 수행한 조사를 통해 발견되고 확인되었습니다.
무단 공격자는 다음과 같은 전술, 기술 및 절차(TTP)를 사용했습니다.
- 크리덴셜 스터핑;
- Protonmail(proton.me) 사용 의사소통을 위해;
- 공공 서비스에 대한 액세스를 위해 NordVPN을 포함한 VPN 서비스 사용 그리고
- API를 사용한 프로그래밍 방식의 데이터 추출.
근절 및 교정 노력
우리는 최고의 방어가 바로 여기 New Relic에서 시작된다는 것을 알고 있습니다. New Relic은 사건이 발생한 동안 무단 행위자의 접근을 근절하기 위해 다음을 포함하여 여러 가지 조치를 취했습니다.
- 손상된 직원 계정에 대한 액세스를 즉시 취소합니다.
- 공격과 관련된 침해 지표 차단
- 업계 최고의 보안 도구 세트를 활용하여 액세스 제어 및 자격 증명 도용 방어를 더욱 강화합니다. 기업 전체의 보안을 모니터링하는 역량을 강화합니다. 그리고
- 직원들에게 추가적인 사이버 교육과 인식을 제공합니다.
고객 추천
우리는 이 사고로 인해 계정이 영향을 받은 고객에 대한 사전 대응을 완료하여 고객이 영향을 이해하고 제안된 해결 단계를 전달할 수 있도록 지원했습니다. 시스템에 관한 구체적인 지침을 받지 못한 경우 취해야 할 조치는 없습니다. 고객은 보안 게시판 과 보안 가이드에서 모범 사례를 검토해야 합니다. 이미 귀하에게 전달된 조치 외에 귀하가 취해야 할 추가 조치는 없습니다.
이번 사건으로 고객 여러분께 불편을 끼쳐드려 죄송합니다. CEO, CTO, CISO는 New Relic의 미래 보안 상태에 대해 의견을 같이 하고 있습니다. 그들은 우리의 보안 태세를 광범위하게 개선하고 특히 향후 동일한 유형의 사고가 발생하지 않도록 방지하기 위해 동일한 약속을 공유합니다. 우리는 이번 사고로 직접적인 영향을 받지 않은 고객을 포함하여 많은 고객과 이야기를 나눴으며 더 나은 조치를 취하겠다는 약속과 보안 태세에 대한 중요한 개선 사항을 모두 공유했습니다. 앞으로도 고객의 신뢰를 회복하기 위해 장기적인 투자를 계속하겠습니다. 고객 여러분께서 보여주신 이해와 지원에 깊은 감사를 드립니다. 모든 고객 여러분, 우리는 계속해서 함께 협력해 나가기를 기대합니다.