Typ útoku
BOLA – narušená autorizácia na úrovni objektu
Útočník mení identifikátor objektu v API požiadavke a získa prístup k dátam alebo operáciám, ktoré patria inému používateľovi, účtu alebo tenantovi.
Prečo je tento scenár dôležitý
BOLA vzniká, keď API overí identitu používateľa, ale pri každej práci s objektom neoverí jeho oprávnenie ku konkrétnemu záznamu. Manipulácia ID v URL, parametri, hlavičke, tele požiadavky alebo GraphQL premennej môže viesť k čítaniu, zmene alebo vymazaniu cudzích dát.
Kontrola musí byť vykonaná na strane servera pre každý objekt a každú operáciu. Neuhádnuteľné UUID, samotná autentifikácia ani porovnanie jedného user ID nenahrádzajú centrálne pravidlá autorizácie, deny-by-default, testovanie a detekciu anomálií.
Scenár používa MITRE ATT&CK® ako referenčný model. Ide o odbornú interpretáciu SecTec a neznamená schválenie alebo odporúčanie zo strany MITRE.
Relevantné taktiky ATT&CK
- Collection
- Initial Access
Relevantné techniky ATT&CK
Referenčné rámce
Technológie a vendori SecTec
Nasledujúca hierarchia je odvodená zo schváleného mapovania ATT&CK na technológie a technológií na vendorov.