Naghisgot kami bahin sa seguridad sa panganod

Labaw sa Pagkaladlad

Atong ibutang kini nga paagi, unsa ang imong gikabalak-an mahitungod sa pagbutyag? Unsa ang imong labing bililhon nga mga kabtangan? Imong Numero sa Social Security? Ang imong impormasyon sa bank account? Pribado nga mga dokumento, o mga litrato? Ang imong crypto seed phrase? Kung nagdumala ka sa usa ka kompanya, o responsable sa pagtipig sa datos, mahimo ka mabalaka bahin sa parehas nga mga tipo sa kasayuran nga makompromiso, apan sa abroade scale. Gisaligan ka sa imong mga kustomer sa pagpanalipod sa ilang datos.

Isip mga konsumidor, gidawat namo ang seguridad sa among datos nga walay bayad. Mas ug mas kanunay niining mga adlawa nga ang datos gitipigan sa panganod. Daghang mga tigbaligya nagtanyag mga serbisyo nga nagtugot sa mga kustomer sa pag-backup sa datos gikan sa ilang lokal nga mga kompyuter hangtod sa panganod. Hunahunaa kini nga usa ka virtual nga hard drive sa langit. Gi-anunsyo kini ingon usa ka luwas ug kombenyente nga paagi aron mapanalipdan ang imong datos. Kombenyente, oo. Mahimo nimong mabawi ang usa ka file nga wala nimo tuyoa nga natangtang. Mahimo nimong ibalik ang tibuuk nga hard drive kansang data nadaot.

Apan luwas ba kini? Gihatagan ka ug kandado ug yawe. Ang yawe mao, kasagaran, usa ka username ug password. Gi-encrypt kini ug ikaw ra ang nakaila. Mao nga girekomenda sa mga eksperto sa seguridad nga huptan nga luwas ang imong password. Kung adunay makakuha og access sa imong password, sila adunay virtual nga yawe sa imong virtual nga balay.

Nasayod ka niining tanan. Ang imong password sa backup nga cloud service kay 16 ka karakter ang gitas-on, adunay uppercase ug lowercase nga letra, numero ug usa ka magtiayong espesyal nga karakter. Gibag-o nimo kini matag unom ka bulan tungod kay nahibal-an nimo nga nakapalisud kini sa hacker. Lahi kini sa imong uban nga mga password – dili ka mogamit sa parehas nga password alang sa daghang mga site. Unsa ang mahimong sayop?

Ang ubang mga kompanya nagtanyag kung unsa ang ilang gimarkahan ingon usa ka "Personal nga Cloud." Kasadpan Digital mao ang usa sa mga kompanya nga naghatag usa ka dali nga paagi sa pag-backup sa imong data sa imong personal nga wanang sa usa ka panganod. Kini nga networked storage anaa sa internet. Gisaksak kini sa imong Wi-Fi router aron ma-access nimo kini bisan asa sulod sa imong network. Sayon, tungod kay konektado usab kini sa internet, mahimo nimong ma-access ang imong personal nga datos gikan sa bisan asa sa internet. Uban sa kasayon ​​moabut ang risgo.

Usa ka Pagkompromiso nga Posisyon

Sayo niining tuiga, ang mga hacker misulod sa Kasadpan Digital's mga sistema ug nakahimo sa pag-download sa gibana-bana nga 10 Tb sa datos. Ang mga itom nga mailer dayon naghupot sa datos alang sa lukat ug misulay sa pag-negosasyon sa usa ka deal sa amihanan nga US $10,000,000 alang sa luwas nga pagbalik sa datos. Ang datos sama sa lana. O tingali ang bulawan usa ka mas maayong analohiya. Usa sa mga hacker nagsulti sa kondisyon nga dili mailhan. Ha! TechCrunch giinterbyu siya samtang naa siya sa proseso sa kini nga deal sa negosyo. Unsa ang makapaikag mao nga ang datos nga nakompromiso naglakip sa Western Digitalsertipiko sa pagpirma sa code. Kini ang teknolohikal nga katumbas sa usa ka retina scan. Ang sertipiko gituyo aron positibo nga mailhan ang tag-iya o nagdala. Uban niining virtual retina scan, walay password ang gikinahanglan alang sa pag-access sa "secured" nga datos. Sa laing pagkasulti, uban niini nga sertipiko kining itom nga kalo nga negosyante makalakaw diha mismo sa atubangan nga pultahan sa digital palasyo.

Western Digital nagdumili sa pagkomento isip tubag sa mga pangangkon sa hacker nga naa pa sila sa network sa WD. Ang wala nganli nga hacker nagpahayag sa kasagmuyo nga ang mga representante sa Western Digital dili mubalik sa iyang mga tawag. Opisyal, sa usa ka press release, Kasadpan Digital gipahibalo nga, "Base sa imbestigasyon hangtod karon, ang Kompanya nagtuo nga ang dili awtorisado nga partido nakakuha pipila nga datos gikan sa mga sistema niini ug nagtrabaho aron masabtan ang kinaiyahan ug kasangkaran sa kana nga datos." Busa, Western Digital mao ang mama, apan ang hacker nagbagulbol. Sama sa kung giunsa nila kini gibuhat, gihubit sa hacker kung giunsa nila gipahimuslan ang nahibal-an nga mga kahuyangan ug nakakuha og access sa data sa panganod ingon usa ka global nga tagdumala.

Ang usa ka global nga tigdumala, pinaagi sa kinaiya sa tahas, adunay access sa tanan. Dili niya kinahanglan ang imong password. Siya adunay master key.

Western Digital dili Nag-inusara

A survey sa miaging tuig nakit-an nga 83% sa mga kompanya nga gisurbi adunay labaw pa kay sa usa paglapas sa datos, 45% niini mga cloud-based. Ang average Ang kantidad sa usa ka paglapas sa datos sa Estados Unidos kay US $9.44 milyon. Ang mga gasto gibahin sa upat ka mga kategorya sa gasto - nawala nga negosyo, pagtuki ug pag-uswag, pagpahibalo ug tubag sa paglapas sa post. (Dili ko sigurado kung unsa nga kategorya ang ransom sa datos. Dili klaro kung adunay bisan kinsa sa mga respondent nga nagbayad sa mga gipangayo nga lukat.) Ang kasagaran nga oras nga gikinahanglan sa usa ka organisasyon aron mailhan ug makatubag sa usa ka paglapas sa datos mga 9 ka bulan. Busa, dili ikatingala nga pipila ka bulan human sa Kasadpan Digital una nga giila ang usa ka paglapas sa datos, padayon pa sila nga nag-imbestiga.

Lisud isulti kung pila ang mga kompanya nga adunay mga paglapas sa datos. Nakaila ko og usa ka dako nga pribadong kompanya nga giatake sa ransomware. Ang mga tag-iya nagdumili sa negosasyon ug wala mobayad. Kana nagpasabut, sa baylo, nawala ang mga email ug data file. Gipili nila nga tukuron pag-usab ang tanan gikan sa wala maapektuhan nga mga backup ug i-install pag-usab ang software. Adunay mahinungdanon nga down-time ug nawala nga produktibo. Kini nga panghitabo wala gayud sa media. Swerte ang maong kompanya kay 66% sa gagmay hangtod sa medium nga kadako nga mga kompanya nga giatake sa ransomware matapos nga mawala sa negosyo sa sulod sa 6 ka bulan.

• 30,000 ka mga website gitigbas adlaw-adlaw nga
• 4 milyon nga mga file gikawat kada adlaw
• 22 bilyon nga mga rekord gilapas sa 2021

Kung naka negosyo ka na, o gigamit ang mga serbisyo sa Capital One, Marriott, Equifax, Target o Uber, posible nga nakompromiso ang imong password. Ang matag usa sa mga dagkong kompanya nag-antus sa usa ka hinungdanon nga paglapas sa datos.

• Capital One: Ang usa ka hacker nakakuha og access sa 100 ka milyon nga mga kustomer ug mga aplikante pinaagi sa pagpahimulos sa usa ka kahuyang sa cloud infrastructure sa kompanya.
• Marriott: Usa ka paglapas sa datos nagbutyag sa impormasyon sa 500 ka milyon nga mga kustomer (kini nga paglapas wala mamatikdi sulod sa 4 ka tuig).
• Equifax: Ang personal nga impormasyon sa panganod sa 147 ka milyon nga mga kustomer nabutyag.
• Target: Ang mga cybercriminals naka-access sa 40 milyon nga numero sa credit card.
• Uber: Gikompromiso sa mga hacker ang laptop sa developer ug naka-access sa 57 milyon nga tiggamit ug 600,000 nga mga drayber.
• LastPass^[1]: Gikawat sa mga hacker ang 33 ka milyon nga datos sa vault sa mga kustomer sa usa ka paglapas sa pagtipig sa panganod alang niining kompanya sa tagdumala sa password. Ang tig-atake nakakuha og access sa Lastpass' cloud storage gamit ang "cloud storage access key ug dual storage container decryption keys" nga gikawat gikan sa developer environment niini.

Mahimo nimong susihon aron mahibal-an kung nahibal-an ka ba sa usa ka paglapas sa datos sa kini nga website: nahimo na ba ako I-type ang imong email address ug kini magpakita kanimo kung pila ang mga paglapas sa datos nga nakit-an ang email address. Pananglitan, akong gi-type ang usa sa akong personal nga email address ug nakit-an nga kini usa ka bahin sa 25 nga lainlaing mga paglapas sa datos, lakip ang Evite , Dropbox, Adobe, LinkedIn ug Twitter.

Pagpugong sa Dili Gusto nga mga Manliligaw

Tingali wala'y publiko nga pag-ila sa Kasadpan Digital sa eksakto kung unsa ang nahitabo. Ang insidente nag-ilustrar og duha ka butang: ang datos sa panganod kay luwas ra sa mga tig-atiman niini ug ang mga tigtipig sa mga yawe kinahanglang mag-amping ilabina. Sa paraphrase sa Peter Parker Principle, uban sa root access moabut ang dakong responsibilidad.

Aron mahimong mas tukma, ang usa ka gamut nga tiggamit ug usa ka global nga tagdumala dili parehas. Ang duha adunay daghang gahum apan kinahanglan nga lahi nga mga account. Ang root user nanag-iya ug adunay access sa corporate cloud account sa pinakaubos nga lebel. Ingon niana, kini nga account mahimong magtangtang sa tanan nga datos, VM, impormasyon sa kostumer - ang tanan nga gisiguro sa usa ka negosyo sa panganod. Sa AWS, naa ra 10 nga mga buluhaton, lakip ang pag-set up ug pagsira sa imong AWS account, nga nanginahanglan gyud og root access.

Ang mga account sa tagdumala kinahanglan himuon aron mahimo ang mga buluhaton sa pagdumala (duh). Adunay kasagaran daghang mga account sa Administrator nga kasagaran gibase sa tawo, dili sama sa usa ka root account. Tungod kay ang mga account sa Administrator nahigot sa usa ka indibidwal, dali nimo mabantayan kung kinsa ang naghimo sa mga pagbag-o sa palibot.

Labing Gamay nga Pribilehiyo alang sa Kinatas-ang Seguridad

Ang data breach survey nagtuon sa epekto sa 28 ka mga hinungdan sa kagrabe sa usa ka data breach. Ang paggamit sa seguridad sa AI, usa ka pamaagi sa DevSecOps, pagbansay sa empleyado, pagdumala sa identidad ug pag-access, MFA, analytics sa seguridad tanan adunay positibo nga epekto sa pagkunhod sa kasagaran nga kantidad sa dolyar nga nawala sa usa ka insidente. Samtang, ang mga kapakyasan sa pagsunod, pagkakomplikado sa sistema sa seguridad, kakulang sa kahanas sa seguridad, ug paglalin sa panganod mga hinungdan nga nakatampo sa mas taas nga pagtaas sa net sa kasagaran nga gasto sa usa ka paglapas sa datos.

Sa imong paglalin sa panganod, kinahanglan nimo nga labi ka mabinantayon kaysa kaniadto sa pagpanalipod sa imong datos. Ania ang pipila ka dugang nga mga paagi sa pagpakunhod sa imong risgo ug pagpadagan sa usa ka mas luwas nga palibot gikan sa a seguridad panan-aw:

1. Muli-factor Authentication: ipatuman ang MFA para sa gamut ug tanang Administrator accounts. Mas maayo pa, gamita ang pisikal nga hardware MFA device. Ang usa ka potensyal nga hacker magkinahanglan dili lamang sa ngalan sa account ug password, apan usab sa pisikal nga MFA nga nagmugna og usa ka synchronize nga code.

2. Gahum sa gamay nga numero: Limitahi kung kinsa ang adunay access sa gamut. Ang ubang mga eksperto sa seguridad nagsugyot nga dili molapas sa 3 ka tiggamit. Makugihon nga pagdumala sa pag-access sa root user. Kung gipatuman nimo ang pagdumala sa identidad ug wala’y boarding bisan diin, buhata kini dinhi. Kung ang usa sa circle of trust mobiya sa organisasyon, usba ang root password. Iuli ang MFA device.

3. Default nga mga Pribilehiyo sa Account: Kung nanghatag ug bag-ong mga account o tahas sa gumagamit, siguroha nga gihatagan sila gamay nga mga pribilehiyo pinaagi sa default. Pagsugod sa usa ka gamay nga palisiya sa pag-access ug dayon paghatag dugang nga pagtugot kung gikinahanglan. Ang prinsipyo sa paghatag og pinakagamay nga seguridad aron matuman ang usa ka buluhaton usa ka modelo nga mopasar sa SOC2 security compliance standards. Ang konsepto mao nga ang bisan kinsa nga tiggamit o aplikasyon kinahanglan adunay labing gamay nga seguridad nga gikinahanglan aron mahimo ang gikinahanglan nga function. Kon mas taas ang pribilehiyo nga makompromiso, mas dako ang risgo. Sa kasukwahi, ang ubos nga pribilehiyo nga nabutyag, mas ubos ang risgo.

4. Mga Pribilehiyo sa Pag-audit: Kanunay nga i-audit ug ribyuha ang mga pribilehiyo nga gihatag sa mga tiggamit, mga tahas, ug mga account sulod sa imong cloud environment. Kini nagsiguro nga ang mga indibidwal adunay lamang sa gikinahanglan nga pagtugot sa pagbuhat sa ilang gitudlo nga mga buluhaton.

5. Pagdumala sa Identidad ug Just-in-time nga mga Pribilehiyo: Ilha ug bawia ang bisan unsang sobra o wala magamit nga mga pribilehiyo aron mamenosan ang risgo sa dili awtorisado nga pag-access. Ihatag lang ang mga katungod sa pag-access sa mga tiggamit kung kinahanglan nila sila alang sa usa ka piho nga buluhaton o limitado nga panahon. Gipamenos niini ang nawong sa pag-atake ug gipakunhod ang bintana sa oportunidad alang sa mga potensyal nga hulga sa seguridad.

6. Gi-embed nga mga kredensyal: Idili ang hard-coding sa wala ma-encrypt nga authentication (username, password, access keys) sa mga script, trabaho, o uban pang code. Hinuon tan-awa ang usa ka tagdumala sa sekreto nga imong magamit sa programmatically pagkuha sa mga kredensyal.

7. Infrastructure-as-Code (IaC) Configuration: Pagsunod sa labing maayong gawi sa seguridad kung gi-configure ang imong imprastraktura sa panganod gamit ang mga gamit sa IaC sama sa AWS CloudFormation o Terraform. Likayi ang paghatag og access sa publiko pinaagi sa default ug limitahan ang pag-access sa mga kahinguhaan ngadto lamang sa mga kasaligang network, tiggamit, o mga IP address. Gamita ang maayo nga mga pagtugot ug mga mekanismo sa pagkontrol sa pag-access aron ipatuman ang prinsipyo nga labing gamay nga pribilehiyo.

8. Pag-log sa mga Aksyon: I-enable ang komprehensibo nga pag-log ug pagmonitor sa mga aksyon ug panghitabo sulod sa imong cloud environment. Pagkuha ug pag-analisar sa mga log alang sa bisan unsang dili kasagaran o posible nga makadaot nga mga kalihokan. Ipatuman ang lig-on nga pagdumala sa log ug impormasyon sa seguridad ug pagdumala sa panghitabo (SIEM) nga mga solusyon aron mahibal-an ug matubag dayon ang mga insidente sa seguridad.

9. Regular nga Pagsusi sa Pagkahuyang: Paghimo ug regular nga vulnerability assessments ug penetration testing aron mailhan ang mga kahuyang sa seguridad sa imong cloud environment. Pag-patch ug pag-ayo dayon sa bisan unsang nahibal-an nga mga kahuyangan. Pagsubay sa mga update sa seguridad ug mga patch nga gipagawas sa imong cloud provider ug siguruha nga kini magamit dayon aron mapanalipdan batok sa nahibal-an nga mga hulga.

10. Edukasyon ug Training: Pagpasiugda og kultura sa kaamgohan sa seguridad ug paghatag og regular nga pagbansay sa mga empleyado mahitungod sa kamahinungdanon sa prinsipyo sa labing gamay nga pribilehiyo. Tudloi sila mahitungod sa posibleng mga risgo nga nalangkit sa sobra nga mga pribilehiyo ug ang pinakamaayong gawi nga sundon sa dihang mag-access ug magdumala sa mga kapanguhaan sulod sa cloud environment.

11. Mga Patch ug Updates: Bawasan ang mga kahuyangan pinaagi sa kanunay nga pag-update sa tanang software sa server. Ipadayon ang imong imprastraktura sa panganod ug kaubang mga aplikasyon nga hangtod karon aron mapanalipdan batok sa nahibal-an nga mga kahuyangan. Ang mga tighatag sa panganod kanunay nga nagpagawas sa mga patch sa seguridad ug mga pag-update, busa ang pagpabilin nga bag-o sa ilang mga rekomendasyon hinungdanon.

pagsalig

Nag-agad kini sa pagsalig - naghatag lamang sa pagsalig sa imong organisasyon aron matuman ang mga buluhaton nga kinahanglan nilang buhaton aron mahuman ang ilang trabaho. Girekomenda sa mga eksperto sa seguridad Zero nga Pagsalig. Ang modelo sa seguridad sa Zero Trust gibase sa tulo ka hinungdanon nga mga prinsipyo:

• Tin-aw nga pamatud-i – gamita ang tanang anaa nga mga punto sa datos aron ma-validate ang pagkatawo ug pag-access sa usa ka user.
• Gamita ang pinakagamay nga pribilihiyo nga pag-access – saktong oras ug igo lang nga seguridad.
• Hunahunaa ang paglapas - i-encrypt ang tanan, gamita ang proactive analytics ug adunay emerhensya nga tubag sa lugar.

Ingon usa ka konsumedor sa mga serbisyo sa panganod ug panganod, nagsalig usab kini. Kinahanglan nimong pangutan-on ang imong kaugalingon, "Misalig ba ako sa akong tigbaligya nga itago ang akong bililhon nga datos sa panganod?" Ang pagsalig, sa kini nga kaso, nagpasabut nga nagsalig ka sa kana nga kompanya, o usa nga sama niini, sa pagdumala sa seguridad sama sa among gihulagway sa taas. Sa laing paagi, kung motubag ka sa negatibo, andam ka ba sa paghimo sa parehas nga mga matang sa kalihokan sa pagdumala sa seguridad sa imong palibot sa balay. Misalig ka ba sa imong kaugalingon?

Ingon usa ka kompanya nga naghatag serbisyo sa panganod, ang mga kostumer nagbutang sa ilang pagsalig kanimo aron mapanalipdan ang ilang datos sa imong imprastraktura sa panganod. Kini usa ka nagpadayon nga proseso. Magpabilin nga nahibal-an bahin sa mga mitumaw nga hulga, ipahiangay ang imong mga lakang sa seguridad sumala niana, ug pakigtambayayong sa mga eksperyensiyado nga propesyonal o consultant sa seguridad aron masiguro ang labing kaayo nga proteksyon sa imong negosyo sa kanunay nga nag-uswag nga talan-awon sa panganod.

1. https://www.bleepingcomputer.com/news/security/lastpass-hackers-stole-customer-vault-data-in-cloud-storage-breach/ ↑