Me räägime turvalisusest pilves

Üle särituse

Ütleme nii, mille paljastamise pärast muretsete? Mis on teie kõige väärtuslikum vara? Teie sotsiaalkindlustuse number? Teie pangakonto andmed? Isiklikud dokumendid või fotod? Sinu krüpto seemnefraas? Kui juhite ettevõtet või vastutate andmete turvalisuse eest, võite muretseda sama tüüpi teabe ohustamise pärast, kuid ab.roader skaalal. Teie kliendid on teile usaldanud oma andmete kaitse.

Tarbijatena peame oma andmete turvalisust iseenesestmõistetavaks. Tänapäeval salvestatakse andmeid üha sagedamini pilve. Mitmed müüjad pakuvad teenuseid, mis võimaldavad klientidel varundada andmeid oma kohalikest arvutitest pilve. Mõelge sellele kui virtuaalsele kõvakettale taevas. Seda reklaamitakse kui turvalist ja mugavat viisi teie andmete kaitsmiseks. Mugav jah. Saate taastada kogemata kustutatud faili. Saate taastada terve kõvaketta, mille andmed olid rikutud.

Aga kas see on ohutu? Teile antakse lukk ja võti. Võtmeks on tavaliselt kasutajanimi ja parool. See on krüpteeritud ja teada ainult teile. Seetõttu soovitavad turvaeksperdid oma parooli turvalisena hoida. Kui keegi saab juurdepääsu teie paroolile, on tal teie virtuaalse maja virtuaalvõti.

Sa tead seda kõike. Teie pilvevaruteenuse parool on 16 tähemärki pikk, sisaldab suuri ja väikesi tähti, numbreid ja paari erimärki. Muudate seda iga kuue kuu tagant, sest teate, et see muudab häkkeri jaoks raskemaks. See erineb teie teistest paroolidest – te ei kasuta sama parooli mitme saidi jaoks. Mis võib valesti minna?

Mõned ettevõtted pakuvad seda, mida nad on nimetanud isiklikuks pilveks. Lääne Digital on üks neist ettevõtetest, mis pakuvad lihtsat viisi oma andmete varundamiseks oma isiklikku pilveruumi. See on võrguga ühendatud salvestusruum, mis on saadaval Interneti kaudu. See ühendatakse teie Wi-Fi-ruuteriga, nii et pääsete sellele juurde kõikjalt võrgu sees. Mugavalt, kuna see on ühendatud ka Internetiga, pääsete oma isikuandmetele juurde kõikjalt Internetis. Mugavusega kaasneb risk.

Kompromiteeriv seisukoht

Selle aasta alguses tungisid häkkerid Westerni sisse Digitalsüsteemid ja said alla laadida umbes 10 Tb andmeid. Seejärel hoidsid mustad kirjasaatjad andmeid lunaraha saamiseks ja püüdsid andmete turvaliseks tagastamiseks sõlmida 10,000,000 XNUMX XNUMX USA dollarist põhja pool asuva tehingu. Andmed on nagu nafta. Või on kuld parem analoogia. Üks häkkeritest soovis jääda anonüümseks. ha! TechCrunch intervjueeris teda, kui ta seda äritehingut sõlmis. Huvitav on see, et rikutud andmed hõlmasid lääne andmeid Digitalkoodi allkirjastamise sertifikaat. See on võrkkesta skaneerimise tehnoloogiline ekvivalent. Sertifikaat on mõeldud omaniku või selle kandja positiivseks tuvastamiseks. Selle virtuaalse võrkkesta skaneerimisega pole "turvatud" andmetele juurdepääsuks parooli vaja. Teisisõnu, selle sertifikaadiga saab see musta mütsi ärimees astuda otse maja välisuksest sisse digital palee.

Lääne- Digital keeldus kommenteerimast vastuseks häkkeri väidetele, et nad olid endiselt WD võrgus. Nimetu häkker väljendas pettumust, et Westerni esindajad Digital ei vastanud oma kõnedele. Ametlikult aastal a Pressiteade, Lääne Digital teatas, et "Senise uurimise põhjal usub ettevõte, et volitamata isik sai oma süsteemidest teatud andmeid ja töötab selle nimel, et mõista nende andmete olemust ja ulatust." Niisiis, Lääne Digital on ema, aga häkker lobiseb. Selle kohta, kuidas nad seda tegid, kirjeldab häkker, kuidas nad kasutasid teadaolevaid turvaauke ja said globaalse administraatorina juurdepääsu pilves olevatele andmetele.

Ülemaailmsel administraatoril on rolli olemuse tõttu juurdepääs kõigele. Ta ei vaja teie parooli. Tal on põhivõti.

Lääne- Digital ei ole Üksi

A uuring eelmisel aastal leiti, et 83% küsitletud ettevõtetest oli olnud rohkem kui üks andmete rikkumine, millest 45% olid pilvepõhised. The keskmine andmerikkumise maksumus Ameerika Ühendriikides oli 9.44 miljonit USA dollarit. Kulud jaotati nelja kulukategooriasse – kaotatud äri, avastamine ja eskaleerimine, teavitamine ja rikkumisjärgne reageerimine. (Ma ei ole kindel, millisesse kategooriasse andmete lunaraha kuulub. Pole selge, kas keegi vastanutest lunaraha nõudis.) Keskmine aeg, mis organisatsioonil kulub andmetega seotud rikkumise tuvastamiseks ja sellele reageerimiseks, on umbes 9 kuud. Seega pole üllatav, et mitu kuud pärast Westerni Digital tunnistasid esmalt andmetega seotud rikkumist, uurivad nad endiselt.

Raske on täpselt öelda, kui palju ettevõtteid on andmetega rikkunud. Tean ühte suurt eraettevõtet, mida lunavara ründas. Omanikud keeldusid läbirääkimistest ja ei maksnud. See tähendas hoopis e-kirjade ja andmefailide kadumist. Nad otsustasid kõik uuesti üles ehitada, alates nakatamata varukoopiatest ja installides tarkvara uuesti. Esinesid märkimisväärsed seisakud ja vähenes tootlikkus. Seda sündmust pole kunagi meedias kajastatud. Sellel ettevõttel vedas, sest 66% Lunavara rünnatud väikeste ja keskmise suurusega ettevõtete tegevus lõpetab tegevuse 6 kuu jooksul.

• 30,000 XNUMX veebisaiti on häkkinud iga päev
• 4 miljonit faili on varastatud iga päev
• 22 miljardit rekordit oli rikkunud aastal 2021

Kui olete kunagi Capital One’i, Marriotti, Equifaxi, Targeti või Uberiga äri ajanud või neid teenuseid kasutanud, on võimalik, et teie parool on ohus. Kõik need suured ettevõtted kannatasid olulise andmerikkumise all.

• Capital One: häkker sai juurdepääsu 100 miljonile kliendile ja taotlejale, kasutades ära ettevõtte pilveinfrastruktuuri haavatavust.
• Marriott: andmetega seotud rikkumine paljastas teabe 500 miljoni kliendi kohta (seda rikkumist ei tuvastatud 4 aastat).
• Equifax: avaldati 147 miljoni kliendi isiklik teave pilves.
• Sihtmärk: küberkurjategijatel oli juurdepääs 40 miljonile krediitkaardinumbrile.
• Uber: häkkerid ohustasid arendaja sülearvutit ja said juurdepääsu 57 miljonile kasutajale ja 600,000 XNUMX draiverile.
• LastPass^[1]: Häkkerid varastasid selle paroolihalduri ettevõtte pilvesalvestuse rikkumise käigus 33 miljoni kliendi varahoidla andmeid. Ründaja sai juurdepääsu Lastpassi pilvesalvestusele, kasutades arendajakeskkonnast varastatud pilvmälu juurdepääsuvõtit ja kahe salvestusmahuti dekrüpteerimisvõtmeid.

Sellel veebisaidil saate kontrollida, kas olete puutunud kokku andmete rikkumisega: kas mind on löödud? Sisestage oma e-posti aadress ja see näitab, kui paljude andmetega seotud rikkumiste korral e-posti aadress leiti. Näiteks sisestasin ühe oma isikliku e-posti aadressi ja avastasin, et see oli osa 25 erinevast andmetega seotud rikkumisest, sealhulgas Evite , Dropbox, Adobe, LinkedIn ja Twitter.

Soovimatute kosilaste takistamine

Western ei pruugi kunagi saada avalikku tunnustust Digital täpselt sellest, mis juhtus. Juhtum illustreerib kaht asja: pilves olevad andmed on täpselt nii turvalised kui nende hoidjad ja võtmete hoidjad peavad olema eriti ettevaatlikud. Kui parafraseerida Peter Parkeri põhimõtet, siis juurjuurdepääsuga kaasneb suur vastutus.

Täpsemalt, juurkasutaja ja globaalne administraator ei ole täpselt samad. Mõlemal on palju jõudu, kuid need peaksid olema eraldi kontod. Juurkasutaja omab ettevõtte pilvekontot ja tal on sellele juurdepääs madalaimal tasemel. Sellisena võib see konto kustutada kõik andmed, virtuaalsed masinad ja klienditeabe – kõik, mida ettevõte on pilves turvanud. AWS-is on ainult 10 ülesanded, sealhulgas teie AWS-i konto seadistamine ja sulgemine, mis tõesti nõuavad juurjuurdepääsu.

Administraatorikontod tuleks luua haldusülesannete täitmiseks (duh). Tavaliselt on mitu administraatorikontot, mis on tavaliselt isikupõhised, erinevalt ühest juurkontost. Kuna administraatorikontod on seotud üksikisikuga, saate hõlpsalt jälgida, kes milliseid muudatusi keskkonnas tegi.

Väikseim privileeg maksimaalse turvalisuse tagamiseks

Andmerikkumiste uuringus uuriti 28 teguri mõju andmete rikkumise raskusastmele. Tehisintellekti turvalisuse kasutamine, DevSecOpsi lähenemisviis, töötajate koolitus, identiteedi- ja juurdepääsuhaldus, MFA ja turbeanalüütika mõjutasid positiivselt intsidendiga kaotatud dollari keskmist summat. Arvestades, et nõuetele vastavuse tõrked, turvasüsteemi keerukus, turbeoskuste nappus ja pilve migratsioon olid tegurid, mis aitasid kaasa andmete rikkumise keskmise netokulu suurenemisele.

Pilve üle minnes peate olema oma andmete kaitsmisel valvsam kui kunagi varem. Siin on mõned täiendavad viisid riski vähendamiseks ja turvalisema keskkonna loomiseks alates a turvalisus seisukoht:

1. Mitmefaktoriline autentimine: jõustada MFA juur- ja kõigi administraatorikontode jaoks. Veelgi parem, kasutage füüsilist riistvaralist MFA-seadet. Potentsiaalne häkker ei vaja mitte ainult konto nime ja parooli, vaid ka füüsilist MFA-d, mis genereerib sünkroonitud koodi.

2. Võimsus väikestes arvudes: Piirata, kellel on juurdepääs juurtele. Mõned turbeeksperdid soovitavad mitte rohkem kui 3 kasutajat. Hallake hoolikalt juurkasutaja juurdepääsu. Kui te ei kasuta identiteedihaldust ja väljumist kusagil mujal, tehke seda siin. Kui üks usaldusringkonnast lahkub organisatsioonist, muutke juurparool. Taasta MFA-seade.

3. Konto vaikeõigused: Uute kasutajakontode või rollide loomisel veenduge, et neile antaks vaikimisi minimaalsed õigused. Alustage minimaalse juurdepääsupoliitikaga ja seejärel andke vajaduse korral täiendavad õigused. Ülesande täitmiseks minimaalse turvalisuse tagamise põhimõte on mudel, mis läbib SOC2 turbe vastavusstandardid. Idee seisneb selles, et igal kasutajal või rakendusel peaks olema nõutava funktsiooni täitmiseks vajalik minimaalne turvalisus. Mida suurem on privileeg, mida ohustatakse, seda suurem on risk. Ja vastupidi, mida väiksem on privileeg, seda väiksem on risk.

4. Auditeerimisõigused: Kontrollige ja vaadake regulaarselt pilvekeskkonnas kasutajatele, rollidele ja kontodele määratud õigusi. See tagab, et isikutel on neile määratud ülesannete täitmiseks ainult vajalik luba.

5. Identiteedihaldus ja just-in-time privileegid: tuvastage ja tühistage kõik liigsed või kasutamata õigused, et minimeerida volitamata juurdepääsu ohtu. Andke kasutajatele juurdepääsuõigusi ainult siis, kui nad nõuavad neid teatud ülesande täitmiseks või piiratud perioodiks. See minimeerib rünnaku pinda ja vähendab võimalike turvaohtude võimalust.

6. Manustatud mandaadid: keelake skriptides, töödes või muus koodis krüptimata autentimise (kasutajanimi, parool, juurdepääsuvõtmed) kõvakodeerimine. Selle asemel vaadake a saladuste haldur mida saate kasutada mandaatide programmiliseks toomiseks.

7. Infrastructure-as-Code (IaC) konfiguratsioon: Järgige turvalisuse parimaid tavasid, kui konfigureerite oma pilvetaristut, kasutades IaC tööriistu, nagu AWS CloudFormation või Terraform. Vältige vaikimisi avaliku juurdepääsu andmist ja piirake juurdepääsu ressurssidele ainult usaldusväärsete võrkude, kasutajate või IP-aadressidega. Väiksemate privileegide põhimõtte jõustamiseks kasutage täpseid õigusi ja juurdepääsukontrolli mehhanisme.

8. Toimingute logimine: lubage oma pilvekeskkonnas toimingute ja sündmuste põhjalik logimine ja jälgimine. Jäädvustage ja analüüsige logisid ebatavaliste või potentsiaalselt pahatahtlike tegevuste tuvastamiseks. Rakendage tugevaid logihalduse ning turbeteabe ja sündmuste haldamise (SIEM) lahendusi, et avastada turvaintsidente ja neile kiiresti reageerida.

9. Regulaarsed haavatavuse hindamised: viige läbi regulaarselt haavatavuse hindamisi ja läbitungimisteste, et tuvastada oma pilvekeskkonna turvanõrkused. Parandage ja parandage viivitamatult kõik tuvastatud haavatavused. Jälgige oma pilveteenuse pakkuja välja antud turvavärskendusi ja -plaastreid ning veenduge, et need rakendataks kiiresti, et kaitsta end teadaolevate ohtude eest.

10. Haridus ja koolitus: edendada turvateadlikkuse kultuuri ja pakkuda töötajatele regulaarset koolitust vähimate privileegide põhimõtte tähtsuse kohta. Õpetage neid liigsete privileegidega seotud võimalike riskide ja parimate tavade kohta, mida järgida pilvekeskkonnas ressurssidele juurdepääsul ja nende haldamisel.

11. Plaastrid ja värskendused: vähendage haavatavusi, värskendades regulaarselt kogu serveritarkvara. Hoidke oma pilveinfrastruktuur ja sellega seotud rakendused ajakohasena, et kaitsta end teadaolevate haavatavuste eest. Pilveteenuse pakkujad annavad sageli välja turvapaigad ja -värskendused, seega on nende soovitustega kursis püsimine ülioluline.

Usalda

See taandub usaldusele – usalduse tagamine ainult teie organisatsiooni liikmetele ülesannete täitmiseks, mida nad peavad oma töö tegemiseks tegema. Turvaeksperdid soovitavad Null usaldus. Zero Trust turvamudel põhineb kolmel põhiprintsiibil:

• Kinnitage selgesõnaliselt – kasutage kõiki saadaolevaid andmepunkte kasutaja identiteedi ja juurdepääsu kinnitamiseks.
• Kasutage vähimate privileegidega juurdepääsu – õigel ajal ja piisavalt turvalisust.
• Eeldage rikkumist – krüptige kõik, kasutage ennetavat analüüsi ja pange paika hädaabi.

Pilve ja pilveteenuste tarbijana taandub see ka usaldusele. Peate endalt küsima: "Kas ma usaldan oma müüjat, et ta salvestab minu väärtuslikud andmed pilve?" Usaldus tähendab antud juhul seda, et usaldate turvalisuse haldamisel sellele ettevõttele või sarnasele ettevõttele, nagu eespool kirjeldasime. Teise võimalusena, kui vastate eitavalt, kas olete valmis tegema oma kodukeskkonnas sama tüüpi turbehaldustoiminguid. Kas sa usaldad ennast?

Pilveteenuseid pakkuva ettevõttena on kliendid usaldanud teid, et kaitsta oma andmeid teie pilveinfrastruktuuris. See on pidev protsess. Olge kursis tekkivate ohtudega, kohandage vastavalt oma turvameetmeid ja tehke koostööd kogenud spetsialistide või turvakonsultantidega, et tagada oma ettevõttele ülim kaitse pidevalt areneval pilvemaastikul.

1. https://www.bleepingcomputer.com/news/security/lastpass-hackers-stole-customer-vault-data-in-cloud-storage-breach/ ↑