Кратко

  • 7 октября LACNIC опубликовал руководство Guillermo Pereyra о Canary Token. В нём инцидент Grafana Labs 2025 года показывает, как проверка приманочных учётных данных может вызвать сигнал.
  • В расшифровке выступления Grafana отдельно указаны событие атаки в 04:30, срабатывание Canary Token при проверке TruffleHog в 06:15, реакция в 08:00 и анализ журналов в 11:00. Часовой пояс не назван; первая отметка не означает время первоначального доступа.

Срабатывание не датирует начало вторжения

Секрет могут похитить до того, как кто-либо коснётся приманки. Именно это различие видно в примере, выбранном LACNIC для нового руководства. 7 октября в блоге LACNIC вышла статья Guillermo Pereyra о Canary Token: приманочных файлах, учётных данных, URL или доменах, которые подают сигнал при определённом обращении. На странице есть оговорка, что мнение авторов не обязательно отражает позицию LACNIC. Это практическое руководство, а не свидетельство того, что LACNIC развернул такие токены или столкнулся с подобным инцидентом.

В руководстве случай Grafana описан как быстрое предупреждение: получив секреты из репозиториев GitHub, атакующий попытался проверить AWS-ключ, который оказался Canary Token. По версии LACNIC, сигнал пришёл немедленно, а вторжение удалось сдержать за несколько минут. Публичные материалы самой Grafana разделяют больше этапов.

В уведомлении о безопасности за 2025 год Grafana Labs сообщила, что из-за неправильно настроенного workflow GitHub Actions раскрыли ограниченное число токенов. Несанкционированный доступ затронул только системы автоматизации, не производственные среды и не артефакты релизов. Компания аннулировала раскрытые токены, сменила учётные данные, проверила workflows и изучила журналы доступа. На момент публикации расследование продолжалось; Grafana выражала высокую уверенность, что вторжение ограничилось пятью затронутыми репозиториями.

В более поздней расшифровке с GrafanaCON точнее объясняется роль Canary Token. Выступавшие говорят, что TruffleHog, инструмент поиска секретов, проверяет учётные данные через действующие сервисы. Событие атаки они относят к 04:30, срабатывание токена во время проверки TruffleHog — к 06:15, реакцию — к 08:00, а анализ журналов Loki — к 11:00. Часовой пояс не указан. Это временные отметки выступления, а не единая нормализованная хроника инцидента: первая не устанавливает время первоначального доступа, а токен фиксирует более позднюю проверку уже похищенного секрета.

По отметкам выступления между срабатыванием в 06:15 и отметкой реакции в 08:00 прошло 1 час 45 минут. Расшифровка не уточняет, была ли реакция в 08:00 первым практическим действием или формальной эскалацией, и не называет время завершения сдерживания. Эта последовательность не опровергает утверждение руководства о сдерживании за минуты, но и независимо не доказывает его. Она показывает, почему для сигнала, реакции и сдерживания нужны отдельные временные отметки.

Так становится яснее, что означает «немедленно». Токен может подать сигнал сразу после конкретного обращения к приманке. Но сам по себе он не показывает, когда взломали workflow, кто получил учётные данные, как далеко распространился доступ и устранена ли угроза. Согласно выступлению, сигнал выявил попытку проверки учётных данных; для оценки масштаба потребовались журналы и дальнейшая работа по реагированию.

Описанные выступавшими меры не сводились к размещению новых приманок. Секреты перенесли в хранилище, проверки Zizmor и TruffleHog сделали обязательными, охват Canary Token расширили, чрезмерные права приложений GitHub сократили, а пользователей дополнительно обучили. Эти действия направлены на пути утечки, объём полномочий и повторение уязвимости. Canary Token даёт один сигнал внутри системы защиты, но не заменяет остальные меры.

В руководстве LACNIC также сказано, что некоторые инструменты узнают общедоступные сервисы токенов и что сигнал бесполезен, если его канал никто не отслеживает. Выступавшие из Grafana привели конкретный пример: TruffleHog распознаёт известные ему бесплатные токены Thinkst и пропускает их. Это не относится ко всем инструментам и токенам, но означает, что отсутствие сигнала не доказывает, что секрет не искали. LACNIC также называет ложные срабатывания редкими, не приводя измеренную частоту или её знаменатель. Операционная ценность зависит от типа токена, пути его распространения и действий другого программного обеспечения.

Практический вывод не в том, что Canary Token обнаруживает атаку с первого шага. Грамотно размещённая приманка может быстро выявить более позднее взаимодействие — если сигнал доходит до команды, журналы пригодны для расследования, а команда вправе отозвать реальные данные и сузить их полномочия.

Источники