根底にある事象は限定的だが示唆に富む。攻撃者はパッチが存在する前にMetabaseの重大なSQLインジェクション脆弱性を武器化し、FrameworkやTallyを含む企業のセルフホスト型インスタンスからデータを抜き取った。
戦略的な物語は、単一の脆弱性ではなく、それが代表するカテゴリーにある。ビジネスインテリジェンスや組み込み分析ツールは、企業のデータ重力の中心に位置し、データウェアハウス、顧客記録、製品テレメトリー全体への特権的な読み取りアクセスを持つ。そのため、ほとんどのセキュリティチームのリスク台帳上のプロファイルに比して、不釣り合いに価値の高い標的となっている。ここでの侵害は単一のアプリを危険にさらすだけでなく、そのアプリがクエリするために構築された集約データ全体を露出させる可能性がある。ファイル転送やETLツールと並んで、攻撃者がこの階層のソフトウェアを優先し続けることが予想される。なぜなら、攻撃に対するリターンが卓越しているからだ。
言及すべきガバナンスのギャップも存在する。セルフホスト型のオープンコア製品はパッチの責任を顧客に転嫁するが、多くのチームはそれらをマネージドSaaSのように展開し、忘れてしまう。ゼロデイ攻撃は対応時間をゼロに圧縮する。つまり、分析コンソールをパブリックインターネットに境界露出させることは、もはや許容できないデフォルトとして扱うべきである。このパターンはMOVEitやAccellionのキャンペーンを反映している。広く組み込まれたインフラの単一の欠陥が、数百の下流データ窃取インシデントへと連鎖するのだ。
グローバルテクノロジーリーダーにとって、3つの行動が導かれる。第一に、すべての分析およびBIデプロイメントを棚卸しし、それらをアイデンティティ認識プロキシやVPNの背後に配置すること。本番データをクエリするものは、インターネットに面してはならない。第二に、データレイヤーツールを脆弱性管理における第一層資産として扱い、SLAを週単位ではなく時間単位で測定すること。第三に、データベースおよびクエリレイヤーでの持ち出し指向の検知を追加すること。インジェクション攻撃は、データが外部に流出するまで正規のトラフィックのように見えることが多いからだ。
投資家やベンダーにとって、このシグナルは、マネージド型でセキュリティ強化された分析サービスと、データセキュリティ態勢管理(DSPM)スタートアップにとっての拡大する堀を意味する。オープンコアBIの構築対ホスティングの計算は、パッチ遅延を吸収し、ランタイム保護を提供するベンダーに傾いている。Snowflake、Databricks、クラウドネイティブBIプロバイダーのような企業は、企業が、過度に負担のかかった社内チームではなく、プロバイダーがゼロデイ時計を所有するプラットフォームに統合するにつれて、恩恵を受ける立場にある。
