Biz buludda təhlükəsizlik haqqında danışırıq
Aşırı Ekspozisiya
Belə deyək, nəyi ifşa etməkdən narahatsınız? Ən qiymətli sərvətləriniz hansılardır? Sosial Müdafiə Nömrəniz? Bank hesabı məlumatınız? Şəxsi sənədlər, yoxsa fotoşəkillər? Sizin kriptovalyuta ifadəniz? Əgər siz bir şirkəti idarə edirsinizsə və ya məlumatların saxlanmasına cavabdehsinizsə, eyni növ məlumatların oğurlanmasından narahat ola bilərsiniz, lakinroader miqyası. Müştəriləriniz tərəfindən məlumatlarının qorunması sizə həvalə olunub.
İstehlakçılar olaraq biz məlumatlarımızın təhlükəsizliyini təbii qəbul edirik. Bu günlərdə daha tez-tez məlumatlar buludda saxlanılır. Bir sıra satıcılar müştərilərə yerli kompüterlərindən buludda məlumatların ehtiyat nüsxəsini çıxarmağa imkan verən xidmətlər təklif edirlər. Bunu göydəki virtual sabit disk kimi düşünün. Bu, məlumatlarınızı qorumaq üçün təhlükəsiz və rahat bir yol kimi elan edilir. Rahat, bəli. Siz təsadüfən sildiyiniz faylı bərpa edə bilərsiniz. Məlumatları pozulmuş bütün sabit diski bərpa edə bilərsiniz.
Amma təhlükəsizdirmi? Sizə kilid və açar verilir. Əsas, adətən, istifadəçi adı və paroldur. O, şifrələnib və yalnız sizə məlumdur. Buna görə də təhlükəsizlik mütəxəssisləri parolunuzu təhlükəsiz saxlamağı tövsiyə edirlər. Kimsə parolunuza giriş əldə edərsə, onda virtual evinizin virtual açarı var.
Bütün bunları bilirsən. Ehtiyat bulud xidmətinə parolunuz 16 simvol uzunluğundadır, böyük və kiçik hərflərdən, rəqəmlərdən və bir neçə xüsusi simvoldan ibarətdir. Siz onu altı aydan bir dəyişirsiniz, çünki bilirsiniz ki, bu, hakerin işini çətinləşdirir. Bu, digər parollarınızdan fərqlidir – birdən çox sayt üçün eyni paroldan istifadə etmirsiniz. Nə səhv ola bilər?
Bəzi şirkətlər "Şəxsi Bulud" kimi markaladıqları şeyi təklif edirlər. Qərb Digital məlumatlarınızı buludda şəxsi məkanınıza ehtiyat nüsxəsini çıxarmağın asan yolunu təmin edən şirkətlərdən biridir. Bu, internet üzərindən mövcud olan şəbəkə yaddaşıdır. O, Wi-Fi marşrutlaşdırıcınıza qoşulur ki, şəbəkənizin istənilən yerindən ona daxil ola biləsiniz. Rahatlıqla, o, həm də internetə qoşulduğundan, şəxsi məlumatlarınıza internetin istənilən yerindən daxil ola bilərsiniz. Rahatlıqla risk də gəlir.
Güzəştli Mövqe
Bu ilin əvvəlində hakerlər Qərbə daxil oldular Digital's sistemləri və təxminən 10 Tb məlumat endirə bildi. Qara poçt göndərənlər daha sonra məlumatları fidyə qarşılığında saxladılar və məlumatların təhlükəsiz qaytarılması üçün 10,000,000 ABŞ dolları məbləğində sövdələşməni müzakirə etməyə çalışdılar. Məlumatlar neft kimidir. Və ya bəlkə qızıl daha yaxşı bənzətmədir. Hakerlərdən biri anonimlik şərti ilə danışıb. ha! TechCrunch bu iş sövdələşməsi prosesində olarkən ondan müsahibə aldı. Maraqlısı odur ki, oğurlanan məlumatlar arasında Qərb də var Digitalkod imzalama sertifikatı. Bu, retinanın skanının texnoloji ekvivalentidir. Sertifikat sahibini və ya daşıyıcısını müsbət müəyyən etmək üçün nəzərdə tutulub. Bu virtual retinanın skanı ilə "təhlükəsiz" məlumatlara giriş üçün heç bir parol tələb olunmur. Yəni bu şəhadətnamə ilə bu qara papaqlı iş adamı düz giriş qapısından içəri keçə bilər digital Saray.
qərb Digital hakerin hələ də WD şəbəkəsində olduqlarına dair iddialarına cavab olaraq şərh verməkdən imtina etdi. Adı açıqlanmayan haker Western nümayəndələrinin məyus olduğunu bildirib Digital zənglərinə cavab vermədi. Rəsmi olaraq, a BASIN, Qərb Digital "Bu günə qədər aparılan araşdırmaya əsasən, Şirkət icazəsiz tərəfin onun sistemlərindən müəyyən məlumatları əldə etdiyinə inanır və bu məlumatların mahiyyətini və əhatə dairəsini anlamaq üçün çalışır." Beləliklə, Qərb Digital anamdır, amma haker laqqırtı edir. Bunu necə etdiklərinə gəlincə, haker onların məlum zəifliklərdən necə istifadə etdiklərini və qlobal inzibatçı kimi buluddakı məlumatlara çıxış əldə edə bildiklərini təsvir edir.
Qlobal idarəçi, rolunun təbiətinə görə, hər şeyə çıxışı var. Onun parolunuza ehtiyacı yoxdur. Onun əsas açarı var.
qərb Digital Tək deyil
A sorğu Keçən il anketə qatılan şirkətlərin 83%-nin sahib olduğu təsbit edildi birdən çox məlumatların pozulması, bunun 45%-i bulud əsaslı idi. The orta ABŞ-da məlumatların pozulmasının dəyəri 9.44 milyon ABŞ dolları təşkil edib. Xərclər dörd xərc kateqoriyasına bölündü - itirilmiş biznes, aşkarlanma və eskalasiya, bildiriş və pozuntudan sonra cavab. (Məlumatların ödənilməsinin hansı kateqoriyaya aid olduğuna əmin deyiləm. Respondentlərdən hər hansı birinin fidyə tələbi ödəyib-ödəmədiyi bəlli deyil.) Məlumatın pozulmasını müəyyən etmək və ona cavab vermək üçün təşkilatın tələb etdiyi orta vaxt təxminən 9 aydır. Qərbdən bir neçə ay keçməsi təəccüblü deyil Digital əvvəlcə məlumat pozuntusunu etiraf etdilər, onlar hələ də araşdırırlar.
Nə qədər şirkətin məlumat pozuntusu ilə üzləşdiyini dəqiq söyləmək çətindir. Mən ransomware tərəfindən hücuma məruz qalan bir böyük özəl şirkəti tanıyıram. Sahiblər danışıqlardan imtina etdilər və pul ödəmədilər. Bu, əvəzinə e-poçtları və məlumat fayllarını itirmək deməkdir. Onlar yoluxmamış ehtiyat nüsxələrindən tutmuş hər şeyi yenidən qurmağı və proqram təminatını yenidən quraşdırmağı seçdilər. Əhəmiyyətli dayanma vaxtı və məhsuldarlıq itkisi var idi. Bu hadisə heç vaxt mediada olmayıb. Bu şirkət ona görə şanslı idi 66% ransomware hücumuna məruz qalan kiçik və orta ölçülü şirkətlər 6 ay ərzində fəaliyyətini dayandırır.
- 30,000 vebsayt var Hesabıma girildi gündəlik
- 4 milyon fayl var oğurluq hər gün
- 22 milyard qeyd edildi pozmuş 2021 ilə
Əgər siz nə vaxtsa Capital One, Marriott, Equifax, Target və ya Uber ilə iş görmüsünüzsə və ya onlardan istifadə etmisinizsə, parolunuzun oğurlanması mümkündür. Bu böyük şirkətlərin hər biri əhəmiyyətli məlumat pozuntusuna məruz qalıb.
- Capital One: Bir haker şirkətin bulud infrastrukturunda zəiflikdən istifadə edərək 100 milyon müştəri və ərizəçiyə giriş əldə etdi.
- Marriott: Məlumat pozuntusu 500 milyon müştəri haqqında məlumatı ifşa etdi (bu pozuntu 4 il ərzində aşkar edilmədi).
- Equifax: Buludda 147 milyon müştərinin şəxsi məlumatları ifşa olundu.
- Hədəf: Kibercinayətkarlar 40 milyon kredit kartı nömrəsinə daxil olublar.
- Uber: Hakerlər tərtibatçının noutbukunu ələ keçirərək 57 milyon istifadəçi və 600,000 XNUMX sürücüyə giriş əldə ediblər.
- LastPass[1]: Hakerlər bu parol meneceri şirkəti üçün bulud saxlama pozuntusunda 33 milyon müştərinin kassa məlumatlarını oğurladılar. Təcavüzkar Lastpass-ın bulud anbarına onun tərtibatçı mühitindən oğurlanmış “bulud saxlama giriş açarı və ikili saxlama konteynerinin deşifrə açarları”ndan istifadə edərək giriş əldə edib.
Bu veb-saytda məlumatların pozulmasına məruz qalıb-qalmadığınızı yoxlaya bilərsiniz: mən qarışıq oldum? E-poçt ünvanınızı yazın və o sizə e-poçt ünvanının neçə məlumat pozuntusunun aşkar edildiyini göstərəcək. Məsələn, mən şəxsi e-poçt ünvanlarımdan birini daxil etdim və bunun Evite də daxil olmaqla 25 müxtəlif məlumat pozuntusunun bir hissəsi olduğunu gördüm. , Dropbox, Adobe, LinkedIn və Twitter.
İstənməyən Taliblərin qarşısını almaq
Qərb tərəfindən heç vaxt ictimai etiraf olmaya bilər Digital tam olaraq nə baş verdiyini. Hadisə iki şeyi göstərir: buluddakı məlumatlar yalnız onun qoruyucuları qədər təhlükəsizdir və açarların sahibləri xüsusilə diqqətli olmalıdırlar. Peter Parker Prinsipini ifadə etmək üçün kökə giriş böyük məsuliyyət daşıyır.
Daha dəqiq desək, kök istifadəçi və qlobal idarəçi tam olaraq eyni deyil. Hər ikisinin çox gücü var, lakin ayrı hesablar olmalıdır. Kök istifadəçi ən aşağı səviyyədə korporativ bulud hesabına sahibdir və ona giriş imkanına malikdir. Beləliklə, bu hesab bütün məlumatları, VM-ləri, müştəri məlumatlarını – biznesin buludda qoruduğu hər şeyi silə bilər. AWS-də yalnız var 10 vəzifələriAWS hesabınızın qurulması və bağlanması da daxil olmaqla, həqiqətən kök girişi tələb edir.
İnzibati tapşırıqları yerinə yetirmək üçün administrator hesabları yaradılmalıdır (duh). Tək kök hesabından fərqli olaraq adətən bir neçə Administrator hesabı olur ki, bunlar adətən şəxsə əsaslanır. Administrator hesabları fərdi şəxsə bağlı olduğundan, ətraf mühitdə kimin hansı dəyişiklikləri etdiyini asanlıqla izləyə bilərsiniz.
Maksimum təhlükəsizlik üçün ən az imtiyaz
Məlumatların pozulması sorğusu 28 amilin məlumat pozuntusunun şiddətinə təsirini öyrənib. Süni intellekt təhlükəsizliyinin istifadəsi, DevSecOps yanaşması, işçilərin təlimi, şəxsiyyət və girişin idarə edilməsi, XİN, təhlükəsizlik analitikasının hamısı insident zamanı itirilən orta dollar məbləğinin azalmasına müsbət təsir göstərib. Halbuki, uyğunluq uğursuzluqları, təhlükəsizlik sisteminin mürəkkəbliyi, təhlükəsizlik bacarıqlarının çatışmazlığı və bulud miqrasiyası məlumatların pozulmasının orta qiymətində daha yüksək xalis artıma səbəb olan amillərdir. 
Buluda köçdükcə məlumatlarınızı qorumaqda həmişəkindən daha diqqətli olmalısınız. Riskinizi azaltmaq və daha təhlükəsiz mühit yaratmaq üçün bir neçə əlavə yol var təhlükəsizlik baxım:
1. Çox faktorlu Doğrulama: kök və bütün Administrator hesabları üçün MFA-nı tətbiq edin. Daha da yaxşısı, fiziki hardware MFA cihazından istifadə edin. Potensial hakerə təkcə hesab adı və şifrə deyil, həm də sinxronlaşdırılmış kod yaradan fiziki XİN lazımdır.
2. Az sayda güc: Kökə kimin çıxışı olduğunu məhdudlaşdırın. Bəzi təhlükəsizlik mütəxəssisləri 3 istifadəçidən çox olmamağı tövsiyə edir. Kök istifadəçi girişini ciddi şəkildə idarə edin. Əgər siz şəxsiyyət idarəçiliyi və off-boarding funksiyalarını başqa heç bir yerdə həyata keçirmirsinizsə, bunu burada edin. Etibar dairəsindən biri təşkilatı tərk edərsə, kök parolunu dəyişdirin. MFA cihazını bərpa edin.
3. Defolt Hesab İmtiyazları: Yeni istifadəçi hesablarını və ya rollarını təmin edərkən, defolt olaraq onlara minimal imtiyazların verildiyinə əmin olun. Minimum giriş siyasəti ilə başlayın və sonra lazım olduqda əlavə icazələr verin. Tapşırığı yerinə yetirmək üçün ən az təhlükəsizliyi təmin etmək prinsipi SOC2 təhlükəsizlik uyğunluq standartlarını keçəcək bir modeldir. Konsepsiya ondan ibarətdir ki, istənilən istifadəçi və ya proqram tələb olunan funksiyanı yerinə yetirmək üçün tələb olunan minimum təhlükəsizliyə malik olmalıdır. İmtiyaz nə qədər yüksək olarsa, risk də bir o qədər çox olar. Əksinə, məruz qalan imtiyaz nə qədər az olarsa, risk də bir o qədər az olar.
4. Audit imtiyazları: Bulud mühitinizdə istifadəçilərə, rollara və hesablara təyin edilmiş imtiyazları mütəmadi olaraq yoxlayın və nəzərdən keçirin. Bu, fərdlərin təyin olunmuş vəzifələri yerinə yetirmək üçün yalnız zəruri icazəyə malik olmasını təmin edir.
5. Şəxsiyyət İdarəetmə və Tam Zamanında İmtiyazlar: İcazəsiz giriş riskini minimuma endirmək üçün həddindən artıq və ya istifadə olunmamış imtiyazları müəyyən edin və ləğv edin. İstifadəçilərə yalnız müəyyən tapşırıq və ya məhdud müddət üçün tələb olunduqda giriş hüquqlarını təmin edin. Bu, hücum səthini minimuma endirir və potensial təhlükəsizlik təhdidləri üçün fürsət pəncərəsini azaldır. 
6. Daxil edilmiş etimadnamələr: Skriptlərdə, işlərdə və ya digər kodlarda şifrələnməmiş autentifikasiyanın (istifadəçi adı, parol, giriş açarları) sərt kodlaşdırılmasını qadağan edin. Bunun əvəzinə a sirlər meneceri etimadnamələri proqramlı şəkildə əldə etmək üçün istifadə edə biləcəyiniz.
7. Kod olaraq İnfrastruktur (IaC) Konfiqurasiyası: AWS CloudFormation və ya Terraform kimi IaC alətlərindən istifadə edərək bulud infrastrukturunuzu konfiqurasiya edərkən ən yaxşı təhlükəsizlik təcrübələrinə riayət edin. Standart olaraq ictimai girişin verilməsindən çəkinin və resurslara girişi yalnız etibarlı şəbəkələrə, istifadəçilərə və ya IP ünvanlarına məhdudlaşdırın. Ən az imtiyaz prinsipini tətbiq etmək üçün incə dənəli icazələrdən və girişə nəzarət mexanizmlərindən istifadə edin.
8. Fəaliyyətlərin Qeydiyyatı: Bulud mühitinizdə fəaliyyət və hadisələrin hərtərəfli qeydini və monitorinqini aktivləşdirin. İstənilən qeyri-adi və ya potensial zərərli fəaliyyətlər üçün qeydləri götürün və təhlil edin. Təhlükəsizlik insidentlərini tez bir zamanda aşkar etmək və onlara cavab vermək üçün möhkəm jurnal idarəetməsi və təhlükəsizlik məlumatı və hadisələrin idarə edilməsi (SIEM) həllərini tətbiq edin.
9. Müntəzəm Zəifliyin Qiymətləndirilməsi: Bulud mühitinizdə təhlükəsizlik zəifliklərini müəyyən etmək üçün müntəzəm olaraq zəifliyin qiymətləndirilməsi və nüfuzetmə testi həyata keçirin. Müəyyən edilmiş hər hansı zəiflikləri dərhal düzəldin və düzəldin. Bulud provayderiniz tərəfindən buraxılan təhlükəsizlik yeniləmələrini və yamaqlarını izləyin və məlum təhlükələrdən qorunmaq üçün onların dərhal tətbiq olunduğundan əmin olun.
10. Təhsil və Təlim: Təhlükəsizlik məlumatlılığı mədəniyyətini təşviq edin və ən az imtiyaz prinsipinin əhəmiyyəti ilə bağlı işçilərə müntəzəm təlim keçin. Onları həddindən artıq imtiyazlarla bağlı potensial risklər və bulud mühitində resurslara daxil olarkən və idarə edərkən əməl edilməli olan ən yaxşı təcrübələr haqqında maarifləndirin.
11. Yamalar və Yeniləmələr: Bütün server proqram təminatını müntəzəm olaraq yeniləyərək zəiflikləri azaldın. Məlum zəifliklərdən qorunmaq üçün bulud infrastrukturunuzu və əlaqəli tətbiqləri yeni saxlayın. Bulud provayderləri tez-tez təhlükəsizlik yamaqlarını və yeniləmələrini buraxırlar, buna görə də onların tövsiyələri ilə aktual qalmaq çox vacibdir.
Etibar
Bu, güvənməkdən irəli gəlir - yalnız təşkilatınızdakılara işini yerinə yetirmək üçün etməli olduqları vəzifələri yerinə yetirmək üçün etimadı təmin etmək. Təhlükəsizlik mütəxəssisləri tövsiyə edir Sıfır etibar. Zero Trust təhlükəsizlik modeli üç əsas prinsipə əsaslanır:
- Aydın şəkildə yoxlayın – istifadəçinin şəxsiyyətini və girişini təsdiqləmək üçün bütün mövcud məlumat nöqtələrindən istifadə edin.
- Ən az imtiyazlı girişdən istifadə edin - vaxtında və kifayət qədər təhlükəsizlik.
- Pozuntu qəbul edin - hər şeyi şifrələyin, proaktiv analitikadan istifadə edin və fövqəladə hallara cavab verin.
Bulud və bulud xidmətlərinin istehlakçısı kimi o, həm də etibara düşür. Özünüzdən soruşmalısınız: "Mən satıcıma qiymətli məlumatımı buludda saxlamağa etibar edirəmmi?" Bu halda güvən o deməkdir ki, siz yuxarıda təsvir etdiyimiz kimi təhlükəsizliyi idarə etmək üçün həmin şirkətə və ya onun kimi birinə etibar edirsiniz. Alternativ olaraq, mənfi cavab versəniz, ev mühitinizdə eyni növ təhlükəsizlik idarəetmə fəaliyyətini həyata keçirməyə hazırsınız. Özünüzə güvənirsiniz?
Buludda xidmətlər göstərən şirkət olaraq, müştərilər bulud infrastrukturunuzdakı məlumatlarını qorumaq üçün sizə etibar ediblər. Davam edən bir prosesdir. Yaranan təhdidlərdən xəbərdar olun, təhlükəsizlik tədbirlərinizi müvafiq qaydada uyğunlaşdırın və daim inkişaf edən bulud mənzərəsində biznesiniz üçün ən yüksək mühafizəni təmin etmək üçün təcrübəli peşəkarlar və ya təhlükəsizlik məsləhətçiləri ilə əməkdaşlıq edin.
- https://www.bleepingcomputer.com/news/security/lastpass-hackers-stole-customer-vault-data-in-cloud-storage-breach/ ↑
