Offensive Scenario — Software house. Ο πιο πολύτιμος —και πιο ευάλωτος— θησαυρός
μιας εταιρείας λογισμικού είναι το source code και τα secrets της. Ένα leaked
token θαμμένο σε παλιό commit ή ένα .env που έγινε push κατά λάθος αρκεί για πρόσβαση
σε production. Το ερώτημα για τη διοίκηση: ξέρετε τι secrets υπάρχουν στο git history σας — και θα
το βλέπατε αν κάποιος τα χρησιμοποιούσε;

Σημείωση: το παρακάτω σενάριο παρουσιάζεται σε υψηλό, υπεύθυνο επίπεδο. Δεν περιλαμβάνει λειτουργικά payloads ή copy-paste βήματα εκμετάλλευσης. Όλα τα ονόματα, IP, domains και χρήστες είναι ανωνυμοποιημένα εργαστηριακά παραδείγματα (π.χ. contoso.local, 10.10.x.x, CORP-DC01) και αντιστοιχούν σε πραγματικά μοτίβα που έχει συναντήσει η Audax σε ελεγχόμενα έργα υπό NDA.

Executive Summary

Το σενάριο αναπαράγει ελεγχόμενα μια διαρροή secrets από source repository σε software
house: ενεργά keys στο git history, ευαίσθητα αρχεία σε commits, απουσία branch protection
και απενεργοποιημένο secret scanning. Η Audax εργάζεται εντός εξουσιοδοτημένου scope και αποδεικνύει
το μονοπάτι από leaked secret έως πρόσβαση, καθώς και το κενό ανίχνευσης.

Το επιχειρησιακό ρίσκο

Η διαρροή κώδικα και secrets σημαίνει απώλεια διανοητικής ιδιοκτησίας, μη εξουσιοδοτημένη
πρόσβαση σε production και cloud, δυνητική αλλοίωση artifacts που φτάνουν σε πελάτες, και έκθεση
δεδομένων. Για ένα software house, πλήττονται ταυτόχρονα το προϊόν, η εμπιστοσύνη πελατών και η
συμμόρφωση (NIS2 ως πάροχος, GDPR).

Πώς θα μπορούσε να εξελιχθεί ένα αντίστοιχο σενάριο επίθεσης

  1. Code Repositories (T1213.003): πρόσβαση/αναζήτηση στο source repo.
  2. Credentials In Files (T1552.001): εξαγωγή secrets από αρχεία και git
    history.
  3. Valid Accounts (T1078): χρήση leaked credentials για πρόσβαση σε cloud/prod.
  4. Supply Chain (T1195.002): δυνητική αλλοίωση κώδικα ή artifacts.
Kali Linux που εκτελεί ελεγχόμενο secret scanning στο git ιστορικό ενός software house και εντοπίζει ενεργά AWS keys, ιδιωτικά κλειδιά και ένα prod .env θαμμένα σε παλιά commits.
Ενεργά secrets θαμμένα στο git history (AWS keys, id_rsa, prod .env): η διαγραφή από το HEAD δεν τα αφαιρεί — το credential exposure παραμένει.

Το πρόβλημα δεν λύνεται με διαγραφή από το HEAD — και κανείς δεν το ανιχνεύει:

PowerShell/CLI που δείχνει ότι ο οργανισμός του software house δεν έχει branch protection, επιτρέπει direct push στο main και έχει το secret scanning απενεργοποιημένο.
Καμία branch protection, direct push στο main και secret scanning off: το credential exposure δεν ανιχνεύεται ποτέ αυτόματα.

Τι δοκιμάζει η Audax ελεγχόμενα

Τι πρέπει να ανιχνεύσει το SOC, το SIEM και το EDR

  • χρήση API keys/credentials από ασυνήθιστες IP ή εκτός CI·
  • commits με patterns secrets και push ευαίσθητων αρχείων·
  • direct push στο main / παράκαμψη review·
  • κλωνοποίηση repos από νέους ή πρώην χρήστες·
  • ενεργοποίηση secret scanning και ο χρόνος μέχρι το alert.
Τακτική (Tactic) ATT&CK ID Τεχνική Τι σημαίνει στο σενάριο
Collection T1213.003 Code Repositories Πρόσβαση/αναζήτηση σε source repos.
Credential Access T1552.001 Credentials In Files Secrets/keys σε αρχεία & git history.
Initial Access T1078 Valid Accounts Χρήση leaked creds για πρόσβαση σε cloud/prod.
Privilege Escalation T1098 Account Manipulation Δημιουργία/μεταβολή access από leaked tokens.
Impact T1195.002 Compromise Software Supply Chain Πιθανή αλλοίωση κώδικα/artifacts.
MITRE ATT&CK mapping του σεναρίου (ελεγχόμενη προσομοίωση).

Τι τεχνική απόδειξη παράγεται

Λίστα verified leaked secrets (anonymized) με blast radius, επικυρωμένο μονοπάτι έως πρόσβαση,
ευρήματα access control (branch protection, membership), τα σημεία όπου η ανίχνευση έπρεπε να
ενεργοποιηθεί και αντιστοίχιση με business impact. Ενδεικτικοί δείκτες:

Τύπος Ένδειξη (anonymized) Πλαίσιο ανίχνευσης
Secret AWS key in commit 3f9c1a Ενεργό, 14 μηνών, στο git history.
Secret id_rsa (private key) Ιδιωτικό κλειδί σε commit history.
File prod .env in commit 7ab2e0 DB & API creds εκτεθειμένα.
Config main χωρίς branch protection Direct push χωρίς review.
Gap Secret scanning = off Καμία αυτόματη ανίχνευση leaks.
Ενδεικτικοί δείκτες (IOCs) προς ανίχνευση. Όλες οι τιμές είναι ανωνυμοποιημένες εργαστηριακές αναφορές.

Τι παραδίδεται στη διοίκηση

Executive risk summary με έμφαση στην προστασία IP και production, ιεραρχημένο remediation roadmap
(secret rotation/purge, secret manager, branch protection, secret scanning, offboarding),
παρατηρήσεις ωριμότητας ανίχνευσης, συσχέτιση με NIS2, και πλάνο retesting.

Πώς μειώνεται ο κίνδυνος

  • άμεσο rotation/revoke leaked secrets και purge από το git history·
  • secret manager, short-lived credentials, απαγόρευση secrets στον κώδικα·
  • branch protection, required reviews, signed commits·
  • ενεργό secret scanning (pre-commit + server) και αυστηρό offboarding·
  • Continuous Exposure Management για διαρκή έλεγχο και retesting.

Κλείστε Offensive Assessment

Θέλετε να μάθετε αν η άμυνά σας μπορεί να ανιχνεύσει, να καθυστερήσει και να σταματήσει ένα αντίστοιχο σενάριο; Η Audax μπορεί να το δοκιμάσει ελεγχόμενα, τεκμηριωμένα και με καθαρό πλάνο διορθωτικών ενεργειών — από τα αρχικά σημεία εισόδου έως την κρίσιμη επίπτωση, με πλήρη τεχνική απόδειξη και executive report.

Κλείστε Offensive Assessment →

Θέλετε να επικυρώσετε την ασφάλειά σας στην πράξη;

Η Audax αποδεικνύει το ρίσκο με πραγματικά σενάρια επίθεσης — όχι απλώς λίστες ελέγχου.

Ζητήστε δωρεάν αξιολόγηση →