O que você não gosta Google Cloud Firestore?
Fomos hackeados, e nosso número de leituras disparou literalmente para bilhões de leituras em um curto período, nossa conta aumentou em milhares de dólares e, como não conseguimos explicar isso aos nossos stakeholders, tivemos que interromper o desenvolvimento e nossos empregos estão menos estáveis do que antes.
Configuramos alertas e cotas em nossa API, mas as leituras contornaram a API e, assim, fomos alertados quando nossa conta apareceu - se tivéssemos nosso tempo novamente, teríamos encontrado uma maneira de configurar alertas nas próprias leituras do Firevase, mas partimos do pressuposto de que as leituras seriam através de nossas APIs.
Nossa equipe de segurança nos aconselhou que a exigência de incluir o arquivo de credenciais do Google em nosso aplicativo Android (para que o aplicativo saiba o ponto de extremidade a ser usado) significava que nosso ponto de extremidade do Firestore estava aberto para qualquer um ver, então estávamos confiando nas regras para funcionar. Estávamos confiantes de que isso estava ok e que ter regras em vigor mitigaria esses riscos.
O que experimentamos foi um agente malicioso, sem ganho próprio, encontrou uma maneira de destruir nosso serviço e aumentar nossa conta.
Caso isso ajude alguém, nossas regras estão abaixo. Estas não funcionaram e, de repente, estamos enfrentando uma conta massiva que danificou massivamente a reputação de nossas unidades de negócios dentro de nossa organização.
Até o momento (já se passaram cerca de 20 dias desde que o ataque foi notado), não recebemos assistência útil do Google para rastrear como o ataque funcionou, mas nossa equipe de segurança está supondo que alguém conseguiu fingir que suas solicitações estavam se originando de nosso domínio.
Usamos autenticação da Microsoft - nosso produto era direcionado a clientes empresariais - e testamos com sucesso a segurança com contas não autenticadas e contas autenticadas fora de nosso domínio. Análise coletada por e hospedada no G2.com.
