Conclusion de l'enquête : 31 janvier 2024
Il s'agit de notre dernière mise à jour de ce bulletin de sécurité décrivant notre incident de sécurité de novembre 2023 impliquant un accès non autorisé à notre environnement de simulation. New Relic, des experts en cybersécurité de premier plan et des sociétés d'expertise médico-légale ont mené une enquête approfondie sur l'incident et ont fourni ensemble des mises à jour de ce bulletin de sécurité à mesure que les informations étaient disponibles. L’enquête est terminée et nous partageons des informations supplémentaires sur nos conclusions.
Arrière-plan
En novembre 2023, New Relic a pris connaissance d'un accès non autorisé à notre environnement de simulation, un environnement interne qui fournit une visibilité et des informations relatives à l'utilisation et au fonctionnement de nos services par nos clients à des fins de dépannage (« environnement de simulation »). L'environnement de simulation maintient les propres données d'observabilité de New Relic, y compris les événements de logs, les traces et autres fichiers de diagnostic, garantissant que nous avons une visibilité en cas de panne dans l'environnement de production de nos clients. Notamment, les données de télémétrie et d'application envoyées à New Relic par nos clients dans le cadre de leur utilisation de la plateforme New Relic ne résident pas dans notre environnement de simulation.
Après avoir pris connaissance de l'accès non autorisé à l'environnement de simulation, nous avons pris des mesures immédiates pour évaluer l'intégrité des applications internes, du système et infrastructure. Nous avons activé notre plan de réponse aux incidents et engagé plusieurs experts en cybersécurité tiers pour mener une enquête approfondie sur l’impact sur nos clients et notre entreprise.
Au cours de l'enquête, nous avons appris que l'acteur non autorisé avait utilisé des informations d'identification volées en relation avec un seul compte collaborateur New Relic pour accéder à l'environnement de simulation. L'accès non autorisé s'est produit peu de temps avant l'achèvement d'une migration planifiée du reste de notre collaborateur vers notre modèle de gestion des utilisateurs amélioré pour plus de sécurité.
New Relic a immédiatement révoqué l'accès au compte collaborateur compromis. Nous avons également analysé l'impact potentiel sur les clients en recherchant dans l'environnement de simulation les mots de passe, la clé API, l'identifiant de l'utilisateur, y compris les noms d'utilisateur et d'autres données clients. Notre enquête a également confirmé qu'il n'y avait aucun mouvement latéral depuis l'environnement de simulation vers des comptes clients dans des environnements séparés ou vers l'environnement de production de New Relic.
Mesures supplémentaires pour renforcer l’environnement
Nous avons pris des mesures supplémentaires pour remédier à l'impact de l'incident, notamment en supprimant les secrets de nos règles du logging, et avons pris des mesures pour renforcer davantage notre système, comme la mise en œuvre de couches supplémentaires de contrôles techniques, l'amélioration de nos contrôles d'accès au réseau et l'accélération de la migration de notre utilisateur collaborateur restant vers notre modèle de gestion des utilisateurs amélioré. Ces mesures supplémentaires ont été prises et complétées.
Constatations d'incident
Notre enquête sur l'incident de simulation de l'environnement est terminée et a révélé les éléments suivants :
- L'acteur non autorisé a utilisé un seul compte collaborateur New Relic pour accéder à l'environnement de simulation de New Relic.
- Toutes les activités d'un acteur non autorisé dans l'environnement de simulation de New Relic ont été entièrement identifiées et examinées par New Relic et nos sociétés médico-légales leaders du secteur.
- Entre le 24 octobre et le 15 novembre 2023, l'acteur non autorisé a exécuté une requête de recherche spécifique et a exfiltré ces résultats de requête de l'environnement de simulation.
- La dernière activité non autorisée observée dans l'environnement de simulation a eu lieu le 16 novembre 2023. Il n'y a aucune indication d'un accès persistant par l'acteur non autorisé dans l'environnement de simulation de New Relic.
- Un très petit pourcentage de nos clients a été impacté par la requête de recherche exécutée par l’acteur non autorisé.
- Il n'y a aucune indication de mouvement latéral depuis notre environnement de simulation vers les comptes New Relic des clients dans l'environnement de production séparé ou vers infrastructure de production de New Relic.
Tactiques, techniques et procédures (TTP)
Afin de soutenir notre industrie et notre communauté dans son ensemble, nous partageons les tactiques, techniques et procédures (TTP) utilisées par cet acteur non autorisé afin que notre communauté puisse exploiter ces informations pour identifier les risques potentiels pour leur environnement. Ces TTP ont été découverts et confirmés grâce à l'enquête menée par New Relic en partenariat avec des experts en criminalistique et en cybersécurité.
L'acteur non autorisé a utilisé les tactiques, techniques et procédures (TTP) suivantes :
- Bourrage d’identifiants ;
- Utilisation de Protonmail (proton.me) pour la communication;
- Utilisation de services VPN, y compris NordVPN, pour l'accès aux services publics ; et
- Extraction de données programmatique à l'aide d'API.
Efforts d’éradication et de remédiation
Nous comprenons que la meilleure défense commence ici même à New Relic. New Relic a pris un certain nombre de mesures pour éradiquer l'accès de l'acteur non autorisé lors de l'incident, notamment :
- Révocation immédiate de l’accès au compte collaborateur compromis ;
- Blocage des indicateurs de compromission associés à l’attaque ;
- Renforcer davantage les contrôles d'accès et les défenses contre le vol d'informations d'identification, en exploitant un ensemble d'outils de sécurité de pointe ; augmenter notre capacité à monitorer la sécurité dans l'ensemble de notre entreprise ; et
- Offrir une formation et une sensibilisation supplémentaire en matière de cybersécurité à nos collaborateurs.
Recommandations des clients
Nous avons terminé notre sensibilisation proactive auprès des clients dont les comptes ont été touchés par cet incident afin de les aider à comprendre l'impact et de leur communiquer les mesures correctives suggérées. Si vous n'avez pas reçu d'instructions spécifiques concernant votre système, vous n'avez aucune action à entreprendre. les clients doivent consulter nos bulletins de sécurité et nos guides de sécurité pour de bonnes pratiques. Il n’y a aucune mesure supplémentaire à prendre au-delà de ce qui vous a déjà été communiqué.
Nous regrettons tout inconvénient que cet incident a causé à nos clients. Notre PDG, notre CTO et notre CISO sont alignés sur l'état futur de la sécurité chez New Relic. Ils partagent le même engagement à apporter de vastes améliorations à notre posture de sécurité, et plus particulièrement à empêcher que le même type d’incident ne se reproduise à l’avenir. Nous avons discuté avec de nombreux clients, y compris ceux qui ne sont pas directement touchés par cet incident, et avons partagé à la fois notre engagement à faire mieux et les améliorations significatives que nous avons apportées à notre posture de sécurité. Nous continuerons à investir à long terme pour regagner la confiance de nos clients. Nous apprécions profondément la compréhension et le soutien dont nos clients ont fait preuve. À tous nos clients, nous nous réjouissons de poursuivre notre collaboration.