Govorimo o sigurnosti u oblaku

Prekomjerna izloženost

Recimo to ovako, šta se brineš oko razotkrivanja? Koja je vaša najvrednija imovina? Vaš broj socijalnog osiguranja? Podaci o vašem bankovnom računu? Privatni dokumenti ili fotografije? Vaša kripto seed fraza? Ako upravljate kompanijom ili ste odgovorni za čuvanje podataka, možete brinuti da će iste vrste informacija biti kompromitovane, ali na abroader scale. Vaši klijenti su vam povjerili zaštitu svojih podataka.

Kao potrošači, sigurnost naših podataka uzimamo zdravo za gotovo. Ovih dana sve češće se ti podaci pohranjuju u oblaku. Brojni dobavljači nude usluge koje korisnicima omogućavaju pravljenje rezervnih kopija podataka sa svojih lokalnih računara u oblak. Zamislite to kao virtuelni hard disk na nebu. Ovo se reklamira kao siguran i praktičan način zaštite vaših podataka. Zgodno, da. Možete oporaviti datoteku koju ste slučajno izbrisali. Možete vratiti cijeli tvrdi disk čiji su podaci oštećeni.

Ali je li sigurno? Dobijate bravu i ključ. Ključ je, obično, korisničko ime i lozinka. Šifrirano je i poznato samo vama. Zbog toga stručnjaci za sigurnost preporučuju čuvanje lozinke. Ako neko dobije pristup vašoj lozinki, ima virtuelni ključ vaše virtuelne kuće.

Ti znaš sve ovo. Vaša lozinka za backup cloud servis ima 16 znakova, sadrži velika i mala slova, brojeve i nekoliko specijalnih znakova. Mijenjate ga svakih šest mjeseci jer znate da hakeru to otežava. Razlikuje se od vaših ostalih lozinki – ne koristite istu lozinku za više lokacija. Šta bi moglo poći po zlu?

Neke kompanije nude ono što su označile kao „lični oblak“. Western Digital je jedna od onih kompanija koje pružaju jednostavan način za sigurnosnu kopiju vaših podataka u vaš lični prostor u oblaku. To je umrežena pohrana dostupna preko interneta. Priključuje se na vaš Wi-Fi ruter tako da mu možete pristupiti s bilo kojeg mjesta unutar vaše mreže. Pogodno, jer je takođe povezan na internet, svojim ličnim podacima možete pristupiti sa bilo kog mesta na internetu. Uz pogodnost dolazi i rizik.

Kompromitujuća pozicija

Ranije ove godine, hakeri su provalili u Western Digital's sistema i uspjeli su preuzeti približno 10 Tb podataka. Ucenjivači su tada držali podatke za otkupninu i pokušali da pregovaraju o dogovoru severno od 10,000,000 američkih dolara za siguran povratak podataka. Podaci su kao nafta. Ili je zlato bolja analogija. Jedan od hakera je progovorio pod uslovom da ostane anoniman. Ha! TechCrunch intervjuisao ga dok je bio u procesu sklapanja ovog posla. Ono što je zanimljivo jeste da su podaci koji su kompromitovani uključivali i Western Digitalcertifikat za potpisivanje koda. Ovo je tehnološki ekvivalent skeniranju mrežnjače. Certifikat je namijenjen pozitivnoj identifikaciji vlasnika ili nosioca. Uz ovo virtualno skeniranje mrežnice, nije potrebna lozinka za pristup „sigurnim“ podacima. Drugim riječima, s ovim certifikatom ovaj crni šešir biznismen može ući pravo na ulazna vrata digital palata.

zapadni Digital odbio je komentirati kao odgovor na tvrdnje hakera da su još uvijek u WD-ovoj mreži. Neimenovani haker izrazio je razočaranje predstavnicima Westerna Digital nije odgovarao na njegove pozive. Zvanično, u a press release, Zapadni Digital objavio je da, "Na osnovu dosadašnje istrage, Kompanija vjeruje da je neovlaštena strana dobila određene podatke iz njenih sistema i radi na razumijevanju prirode i obima tih podataka." Dakle, zapadni Digital je mama, ali haker brblja. Što se tiče načina na koji su to uradili, haker opisuje kako su iskoristili poznate ranjivosti i bili u mogućnosti da dobiju pristup podacima u oblaku kao globalni administrator.

Globalni administrator, po prirodi uloge, ima pristup svemu. Ne treba mu tvoja lozinka. On ima glavni ključ.

zapadni Digital nije sam

A pregled prošle godine je utvrđeno da je 83% anketiranih kompanija imalo više od jedne kršenje podataka, od čega je 45% bilo bazirano na oblaku. The prosek trošak povrede podataka u Sjedinjenim Državama iznosio je 9.44 miliona dolara. Troškovi su podijeljeni u četiri kategorije troškova — izgubljeni posao, otkrivanje i eskalacija, obavještavanje i odgovor nakon kršenja. (Nisam siguran u koju kategoriju spada otkupnina podataka. Nije jasno da li je neko od ispitanika platio zahtjeve za otkupninu.) Prosječno vrijeme potrebno organizaciji da identifikuje i odgovori na kršenje podataka je oko 9 mjeseci. Nije iznenađujuće, dakle, da nekoliko mjeseci nakon vesterna Digital prvi su priznali kršenje podataka, još uvijek istražuju.

Teško je tačno reći koliko je kompanija imalo kršenje podataka. Znam jednu veliku privatnu kompaniju koja je napadnuta ransomware-om. Vlasnici su odbili da pregovaraju i nisu platili. To je, umjesto toga, značilo izgubljene mejlove i datoteke sa podacima. Odlučili su da ponovo naprave sve od nezaraženih rezervnih kopija i ponovo instaliraju softver. Došlo je do značajnog zastoja i gubitka produktivnosti. Ovaj događaj nikada nije bio u medijima. Ta kompanija je imala sreće jer 66% mala i srednja preduzeća koja su napadnuta ransomware-om završavaju bez posla u roku od 6 mjeseci.

• 30,000 web stranica je hakovan svakodnevno
• 4 miliona fajlova je ukraden svaki dan
• 22 milijarde zapisa je bilo prekršila u 2021

Ako ste ikada poslovali ili koristili usluge Capital One, Marriott, Equifax, Target ili Uber, moguće je da je vaša lozinka ugrožena. Svaka od ovih velikih kompanija pretrpjela je značajnu povredu podataka.

• Kapital jedan: Haker je dobio pristup 100 miliona klijenata i aplikanata koristeći ranjivost u infrastrukturi oblaka kompanije.
• Marriott: Kršenje podataka razotkrilo je informacije o 500 miliona kupaca (ova povreda je bila neotkrivena 4 godine).
• Equifax: Otkriveni su lični podaci u oblaku o 147 miliona korisnika.
• Cilj: Sajber kriminalci su pristupili 40 miliona brojeva kreditnih kartica.
• Uber: Hakeri su kompromitovali laptop programera i dobili pristup 57 miliona korisnika i 600,000 vozača.
• LastPass^[1]: Hakeri su ukrali podatke iz trezora 33 miliona klijenata u proboju skladištenja u oblaku za ovu kompaniju za upravljanje lozinkama. Napadač je dobio pristup Lastpass-ovoj pohrani u oblaku koristeći „ključ za pristup pohrani u oblaku i ključeve za dešifriranje dualnog kontejnera za skladištenje“ ukradenih iz njegovog razvojnog okruženja.

Možete provjeriti da li ste bili izloženi kršenju podataka na ovoj web stranici: jesam li izdat? Upišite svoju adresu e-pošte i ona će vam pokazati u koliko je povreda podataka pronađena adresa e-pošte. Na primjer, ukucao sam jednu od svojih ličnih adresa e-pošte i otkrio da je to bio dio 25 različitih povreda podataka, uključujući Evite , Dropbox, Adobe, LinkedIn i Twitter.

Sprječavanje neželjenih udvarača

Zapad možda nikada neće javno priznati Digital tačno šta se desilo. Incident ilustruje dvije stvari: podaci u oblaku su sigurni onoliko koliko su sigurni koliko i njihovi čuvari, a čuvari ključeva moraju biti posebno pažljivi. Da parafraziram princip Petera Parkera, sa root pristupom dolazi velika odgovornost.

Da budemo precizniji, root korisnik i globalni administrator nisu potpuno isto. Oba imaju veliku moć, ali bi trebali biti odvojeni računi. Root korisnik posjeduje i ima pristup korporativnom cloud računu na najnižem nivou. Kao takav, ovaj nalog bi mogao da izbriše sve podatke, VM-ove, informacije o klijentima — sve što je preduzeće obezbedilo u oblaku. U AWS-u postoje samo 10 zadaci, uključujući postavljanje i zatvaranje vašeg AWS naloga, koji zaista zahtijevaju root pristup.

Administratorske naloge treba kreirati za obavljanje administrativnih zadataka (duh). Obično postoji više administratorskih naloga koji su obično bazirani na osobi, za razliku od jednog root naloga. Budući da su administratorski nalozi vezani za pojedinca, lako možete pratiti ko je napravio koje promjene u okruženju.

Najmanja privilegija za maksimalnu sigurnost

Anketa o kršenju podataka proučavala je uticaj 28 faktora na ozbiljnost povrede podataka. Upotreba AI sigurnosti, DevSecOps pristupa, obuka zaposlenih, upravljanje identitetom i pristupom, MFA, sigurnosna analitika, sve je to imalo pozitivan uticaj na smanjenje prosječnog iznosa u dolarima izgubljenog u incidentu. Dok su neuspjesi usklađenosti, složenost sigurnosnog sistema, nedostatak sigurnosnih vještina i migracija oblaka bili faktori koji su doprinijeli većem neto povećanju prosječne cijene povrede podataka.

Dok prelazite na oblak, morate biti oprezniji nego ikad u zaštiti svojih podataka. Evo nekoliko dodatnih načina da smanjite rizik i pokrenete sigurnije okruženje od a bezbjednost stajalište:

1. Višefaktorska autentifikacija: nametnuti MFA za root i sve administratorske račune. Još bolje, koristite fizički hardverski MFA uređaj. Potencijalnom hakeru bi bili potrebni ne samo ime naloga i lozinka, već i fizički MFA koji generiše sinhronizovani kod.

2. Snaga u malom broju: Ograničite ko ima pristup root-u. Neki stručnjaci za sigurnost predlažu ne više od 3 korisnika. Pažljivo upravljajte pristupom root korisnika. Ako nigdje drugdje ne provodite upravljanje identitetom i ukrcavanje, učinite to ovdje. Ako neko u krugu povjerenja napusti organizaciju, promijenite root lozinku. Oporavite MFA uređaj.

3. Zadane privilegije računa: Prilikom dodjeljivanja novih korisničkih naloga ili uloga, osigurajte da im se po defaultu dodijele minimalne privilegije. Počnite s minimalnom politikom pristupa, a zatim po potrebi dodijelite dodatne dozvole. Princip pružanja najmanje sigurnosti za postizanje zadatka je model koji će proći standarde usklađenosti sigurnosti SOC2. Koncept je da svaki korisnik ili aplikacija treba imati minimalnu sigurnost potrebnu za obavljanje tražene funkcije. Što je veća privilegija koja je ugrožena, to je veći rizik. Suprotno tome, što je manja privilegija izložena, to je manji rizik.

4. Privilegije revizije: Redovno revidirajte i provjeravajte privilegije dodijeljene korisnicima, ulogama i nalozima unutar vašeg cloud okruženja. Ovo osigurava da pojedinci imaju samo neophodnu dozvolu za obavljanje određenih zadataka.

5. Upravljanje identitetom i Just-in-time privilegije: Identificirajte i opozovite sve prekomjerne ili neiskorištene privilegije kako biste smanjili rizik od neovlaštenog pristupa. Omogućite korisnicima prava pristupa samo kada su im potrebna za određeni zadatak ili ograničeni period. Ovo minimizira površinu napada i smanjuje priliku za potencijalne sigurnosne prijetnje.

6. Ugrađeni akreditivi: Zabrana tvrdog kodiranja nešifrirane autentifikacije (korisničko ime, lozinka, pristupni ključevi) u skriptama, poslovima ili drugom kodu. Umjesto toga pogledajte a tajni menadžer koje možete koristiti za programsko preuzimanje vjerodajnica.

7. Konfiguracija infrastrukture kao koda (IaC).: Pridržavajte se najboljih sigurnosnih praksi kada konfigurirate svoju infrastrukturu oblaka koristeći IaC alate kao što su AWS CloudFormation ili Terraform. Izbjegnite davanje javnog pristupa prema zadanim postavkama i ograničite pristup resursima samo na pouzdane mreže, korisnike ili IP adrese. Koristite fine dozvole i mehanizme kontrole pristupa kako biste nametnuli princip najmanje privilegija.

8. Zapisivanje akcija: Omogućite sveobuhvatno evidentiranje i praćenje radnji i događaja unutar vašeg okruženja u oblaku. Snimite i analizirajte zapisnike za bilo kakve neobične ili potencijalno zlonamjerne aktivnosti. Implementirajte robusno upravljanje dnevnikom i rješenja za sigurnosne informacije i upravljanje događajima (SIEM) kako biste brzo otkrili i odgovorili na sigurnosne incidente.

9. Redovne procjene ranjivosti: Vršite redovne procene ranjivosti i testiranje penetracije da biste identifikovali bezbednosne slabosti u vašem cloud okruženju. Zakrpite i otklonite sve identifikovane ranjivosti odmah. Pratite sigurnosna ažuriranja i zakrpe koje je objavio vaš dobavljač u oblaku i osigurajte da se primjenjuju odmah radi zaštite od poznatih prijetnji.

10. Obrazovanje i obuka: Promovirati kulturu svijesti o sigurnosti i obezbijediti redovnu obuku zaposlenima o važnosti principa najmanje privilegija. Obrazujte ih o potencijalnim rizicima povezanim s prekomjernim privilegijama i najboljim praksama koje treba slijediti prilikom pristupa i upravljanja resursima unutar okruženja oblaka.

11. Zakrpe i ažuriranja: Smanjite ranjivosti redovnim ažuriranjem svih serverskih softvera. Održavajte svoju infrastrukturu oblaka i povezane aplikacije ažurnom kako biste se zaštitili od poznatih ranjivosti. Provajderi u oblaku često objavljuju sigurnosne zakrpe i ažuriranja, tako da je ključno ostati u toku s njihovim preporukama.

povjerenje

Sve se svodi na povjerenje – da samo onima u vašoj organizaciji pružite povjerenje da ostvare zadatke koje trebaju obaviti da bi svoj posao obavili. Stručnjaci za sigurnost preporučuju ZeroTrust. Sigurnosni model Zero Trust zasniva se na tri ključna principa:

• Eksplicitno provjerite – koristite sve dostupne podatke za provjeru identiteta i pristupa korisnika.
• Koristite pristup s najmanjim privilegijama – na vrijeme i dovoljno sigurnosti.
• Pretpostavite kršenje – šifrirajte sve, koristite proaktivnu analitiku i postavite hitan odgovor.

Kao potrošač oblaka i cloud usluga, to se također svodi na povjerenje. Morate se zapitati: „Vjerujem li svom dobavljaču da čuva moje dragocjene podatke u oblaku?“ Poverenje, u ovom slučaju, znači da se oslanjate na tu kompaniju, ili neku sličnu, za upravljanje sigurnošću kao što smo opisali gore. Alternativno, ako odgovorite negativno, jeste li spremni obavljati iste vrste aktivnosti upravljanja sigurnošću u svom kućnom okruženju. Vjerujete li sebi?

Kao kompanija koja pruža usluge u oblaku, kupci su vam ukazali povjerenje da zaštitite njihove podatke u vašoj infrastrukturi oblaka. To je proces koji je u toku. Budite informirani o novim prijetnjama, prilagodite svoje sigurnosne mjere u skladu s tim i sarađujte s iskusnim profesionalcima ili sigurnosnim konsultantima kako biste osigurali najveću zaštitu za svoje poslovanje u okruženju oblaka koji se stalno razvija.

1. https://www.bleepingcomputer.com/news/security/lastpass-hackers-stole-customer-vault-data-in-cloud-storage-breach/ ↑