Audyt bezpieczeństwa i poszukiwanie źródła wycieku kluczy API

📋 Krótkie opisanie problemu

Wymagany specjalista ds. bezpieczeństwa informacji do zidentyfikowania źródła wycieku kluczy API z serwera produkcyjnego. Przez miesiąc dochodzi do systematycznego kradzieży danych uwierzytelniających z pliku .env z późniejszym wykorzystaniem do wysyłania spamu.

Budżet: Do uzgodnienia (omawiane po ocenie zakresu prac)

Termin: 3-7 dni na diagnozę + 3-5 dni monitorowania po zakończeniu

🔴 Opis problemu

Chronologia incydentów:

Co już zostało zrobione:

• ✅ Pełny audyt kodu aplikacji (tylko legalne backdoory)
• ✅ Sprawdzenie komputera programisty programami antywirusowymi (czysto)
• ✅ Usunięcie wszystkich rozszerzeń przeglądarki
• ✅ Pełna migracja na nowy serwer (czysta instalacja)
• ✅ Zmiana wszystkich kluczy API
• ✅ Szyfrowanie kopii zapasowych (AES, przechowywanie na Google Drive)
• ✅ Usunięcie danych uwierzytelniających z historii Git
• ✅ Zaangażowanie dwóch freelancerów (problem nie rozwiązany)

Aktualna sytuacja:

Po migracji na nowy serwer i podłączeniu Brevo z białą listą IP, wysyłki spamu ustały, LECZ dostawca zarejestrował próbę użycia nowego klucza API z nieznanego IP. Oznacza to, że wyciek danych uwierzytelniających trwa.

🎯 Zadanie

Znaleźć źródło wycieku kluczy API z pliku .env.

Możliwe wektory ataku (hipotezy):

1. Vulnerability w kodzie aplikacji — możliwość odczytu plików przez sieć
2. Komprymacja stacji roboczej programisty — keylogger, przechwytywanie schowka, zrzut ekranu
3. Komprymacja dostępu SSH/FTP — skradzione klucze, brute-force
4. Vulnerability w oprogramowaniu serwera — NGINX, PHP-FPM, PostgreSQL
5. Man-in-the-Middle — przechwytywanie podczas wdrażania/edycji
6. Wyciek przez CI/CD lub Git — przypadkowe wprowadzenie do historii
7. Komprymacja dostawcy hostingu — mało prawdopodobne, ale możliwe
8. Insider threat — dostęp osób trzecich do serwera/kodu

📦 Stos technologiczny projektu

📝 Co jest wymagane od wykonawcy

Etap 1: Audyt serwera (zdalnie)

• [ ] Analiza logów autoryzacji (/var/log/auth.log, lastlog, wtmp)
• [ ] Sprawdzenie na obecność rootkitów (rkhunter, chkrootkit, lynis)
• [ ] Audyt zadań cron wszystkich użytkowników
• [ ] Sprawdzenie usług systemd na podejrzane
• [ ] Analiza otwartych portów i połączeń sieciowych
• [ ] Sprawdzenie plików SUID/SGID
• [ ] Analiza .bashrc, .profile na iniekcje
• [ ] Sprawdzenie konfiguracji SSH i authorized_keys
• [ ] Audyt praw dostępu do pliku .env
• [ ] Sprawdzenie konfiguracji puli PHP-FPM
• [ ] Analiza konfiguracji NGINX pod kątem luk

Etap 2: Audyt kodu aplikacji

• [ ] Poszukiwanie możliwości LFI/RFI (Local/Remote File Inclusion)
• [ ] Sprawdzenie na możliwość Path Traversal
• [ ] Analiza punktów ładowania plików
• [ ] Sprawdzenie przetwarzania danych wejściowych od użytkownika
• [ ] Poszukiwanie hardcoded credentials
• [ ] Analiza logowania (czy klucze nie są logowane)
• [ ] Sprawdzenie wycieków informacji (phpinfo, tryb debugowania)

Etap 3: Audyt stacji roboczej programisty

• [ ] Głębokie skanowanie na malware (nie tylko antywirusowe)
• [ ] Sprawdzenie autostartu i harmonogramu zadań
• [ ] Analiza zainstalowanych programów
• [ ] Sprawdzenie rozszerzeń IDE (VSCode/PHPStorm)
• [ ] Analiza historii schowka
• [ ] Sprawdzenie ruchu sieciowego na podejrzane połączenia

Etap 4: Monitorowanie i pułapki

• [ ] Ustawienie monitorowania dostępu do pliku .env (auditd, inotify)
• [ ] Utworzenie klucza honeypot do śledzenia wycieku
• [ ] Ustawienie alertów przy podejrzanej aktywności

⚠️ Ważne warunki pracy

Dostęp do serwera:

Dostęp SSH jest udostępniany TYLKO przez zdalny pulpit (TeamViewer lub AnyDesk).

Bezpośredni dostęp SSH nie jest udostępniany ze względów bezpieczeństwa.

Komunikacja:

Obowiązkowa rozmowa telefoniczna/wideo przed rozpoczęciem pracy w celu:

• Weryfikacji wykonawcy
• Omówienia planu prac
• Uzgodnienia procesu

Warunki płatności:

Płatność następuje w ciągu 3-5 dni po zakończeniu prac, pod warunkiem braku nowych incydentów wycieku.

Jest to związane z tym, że poprzedni wykonawcy zgłaszali rozwiązanie problemu, ale wycieki trwały.

📊 Oczekiwany wynik

1. Raport z przeprowadzonego audytu z szczegółowym opisem sprawdzonych komponentów
2. Zidentyfikowane źródło wycieku (jeśli zostanie znalezione) z dowodami
3. Rekomendacje dotyczące usunięcia luk
4. Plan zapobiegania podobnym incydentom w przyszłości
5. Skonfigurowany system monitorowania dostępu do wrażliwych plików

👤 Wymagania wobec wykonawcy

• Doświadczenie w dziedzinie bezpieczeństwa informacji od 3 lat
• Doświadczenie w przeprowadzaniu testów penetracyjnych i audytów bezpieczeństwa
• Znajomość Linuxa na poziomie administratora
• Zrozumienie luk w aplikacjach webowych (OWASP Top 10)
• Doświadczenie w pracy z aplikacjami PHP
• Umiejętności w zakresie forenziki (digital forensics) — mile widziane
• Znajomość języka rosyjskiego (do komunikacji)

Atutem będzie:

• Doświadczenie w badaniu podobnych incydentów
• Certyfikaty (CEH, OSCP itp.)
• Portfolio/przykłady audytów bezpieczeństwa

📞 Jak odpowiedzieć

W odpowiedzi proszę podać:

1. Twoje doświadczenie w podobnych zadaniach (konkretne przypadki)
2. Jakie narzędzia planujesz użyć
3. Twoja wstępna hipoteza dotycząca źródła wycieku
4. Orientacyjne terminy i koszt

Projekt jest aktywny, w produkcji, obsługuje rzeczywistych klientów. Wymagana jest maksymalna ostrożność podczas przeprowadzania audytu.