Puhumme turvallisuudesta pilvessä

Yli valotus

Sanotaanpa se näin, minkä paljastamisesta olet huolissasi? Mitkä ovat arvokkaimmat omaisuutesi? Sosiaaliturvanumerosi? Pankkitilisi tiedot? Yksityisiä asiakirjoja vai valokuvia? Krypto-siemenlauseesi? Jos johdat yritystä tai olet vastuussa tietojen säilyttämisestä, saatat olla huolissasi samantyyppisten tietojen vaarantumisesta, mutta ab.roader mittakaavassa. Asiakkaasi ovat uskoneet sinulle tietojensa suojaamisen.

Kuluttajina pidämme tietojemme turvallisuutta itsestäänselvyytenä. Nykyään tiedot tallennetaan yhä useammin pilveen. Useat toimittajat tarjoavat palveluita, joiden avulla asiakkaat voivat varmuuskopioida tietoja paikallisista tietokoneistaan ​​pilveen. Ajattele sitä virtuaalisena kiintolevynä taivaalla. Tätä mainostetaan turvallisena ja kätevänä tapana suojata tietosi. Kätevää kyllä. Voit palauttaa vahingossa poistamasi tiedoston. Voit palauttaa koko kiintolevyn, jonka tiedot ovat vioittuneet.

Mutta onko se turvallista? Sinulla on lukko ja avain. Avain on yleensä käyttäjätunnus ja salasana. Se on salattu ja vain sinä tiedät. Tästä syystä tietoturvaasiantuntijat suosittelevat, että pidät salasanasi turvassa. Jos joku pääsee käsiksi salasanaasi, hänellä on virtuaalinen avain virtuaalitaloasi.

Tiedät kaiken tämän. Varmuuskopiopalvelun salasanasi on 16 merkkiä pitkä, sisältää isoja ja pieniä kirjaimia, numeroita ja pari erikoismerkkiä. Vaihdat sen kuuden kuukauden välein, koska tiedät, että se vaikeuttaa hakkerin toimintaa. Se eroaa muista salasanoistasi – et käytä samaa salasanaa useille sivustoille. Mikä voisi mennä pieleen?

Jotkut yritykset tarjoavat "Personal Cloud" -brändiä. Läntinen Digital on yksi niistä yrityksistä, jotka tarjoavat helpon tavan varmuuskopioida tietosi henkilökohtaiseen tilaan pilvessä. Se on verkkotallennustila, joka on saatavilla Internetin kautta. Se liitetään Wi-Fi-reitittimeen, joten voit käyttää sitä missä tahansa verkon sisällä. Koska se on myös yhteydessä Internetiin, voit käyttää henkilökohtaisia ​​tietojasi kätevästi missä tahansa Internetissä. Mukavuuden mukana tulee riski.

Kompromissiasento

Aiemmin tänä vuonna hakkerit murtautuivat Westerniin Digitaljärjestelmän järjestelmiin ja pystyivät lataamaan noin 10 Tb tietoa. Mustat postittajat pitivät sitten tietoja lunnaita varten ja yrittivät neuvotella sopimuksen 10,000,000 XNUMX XNUMX Yhdysvaltain dollarin pohjoispuolella tietojen turvallisesta palauttamisesta. Data on kuin öljyä. Tai ehkä kulta on parempi analogia. Yksi hakkereista puhui nimettömänä. Hah! TechCrunch haastatteli häntä, kun hän oli tekemässä tätä liikesopimusta. Mielenkiintoista on, että tieto, joka vaarantui, sisälsi lännen Digitalkoodin allekirjoitussertifikaatti. Tämä on verkkokalvon skannauksen teknologinen vastine. Sertifikaatin tarkoituksena on tunnistaa omistaja tai haltija. Tämän virtuaalisen verkkokalvon skannauksen avulla "suojattujen" tietojen käyttäminen ei vaadi salasanaa. Toisin sanoen tällä todistuksella tämä mustahattu liikemies voi kävellä suoraan talon etuovesta digital palatsi.

western Digital kieltäytyi kommentoimasta vastauksena hakkerin väitteisiin, että he olivat edelleen WD:n verkossa. Nimeämätön hakkeri ilmaisi pettymyksensä, että edustajat Western Digital ei vastannut puheluihinsa. Virallisesti vuonna a lehdistötiedote, Läntinen Digital ilmoitti, että "Tähän mennessä tehdyn tutkimuksen perusteella yhtiö uskoo, että luvaton osapuoli on saanut tiettyjä tietoja järjestelmistään ja pyrkii ymmärtämään näiden tietojen luonteen ja laajuuden." Länsimaa siis Digital on äiti, mutta hakkeri huutaa. Mitä tulee siihen, miten he tekivät sen, hakkeri kuvailee, kuinka he käyttivät hyväkseen tunnettuja haavoittuvuuksia ja pääsivät käyttämään pilvessä olevia tietoja globaalina järjestelmänvalvojana.

Maailmanlaajuisella järjestelmänvalvojalla on roolin luonteen vuoksi pääsy kaikkeen. Hän ei tarvitse salasanaasi. Hänellä on pääavain.

western Digital ei ole yksin

A tutkimus viime vuonna havaittiin, että 83 prosentilla kyselyyn vastanneista yrityksistä oli ollut enemmän kuin yksi tietomurron, joista 45 % oli pilvipohjaisia. The keskimäärin Tietomurron hinta Yhdysvalloissa oli 9.44 miljoonaa dollaria. Kustannukset jaettiin neljään kustannusluokkaan: menetetty liiketoiminta, havaitseminen ja eskaloituminen, ilmoitukset ja rikkomisen jälkeinen reagointi. (En ole varma, mihin kategoriaan datalunnaat kuuluvat. Ei ole selvää, maksoiko kukaan vastaajista lunnaita.) Keskimääräinen aika, joka organisaatiolta kestää tunnistaa tietomurron ja vastata siihen, on noin 9 kuukautta. Ei siis ole yllätys, että useita kuukausia Westernin jälkeen Digital Ensin tunnustivat tietomurron, he tutkivat edelleen.

On vaikea sanoa tarkalleen, kuinka monella yrityksellä on ollut tietomurtoja. Tiedän yhden suuren yksityisen yrityksen, joka joutui kiristysohjelmien hyökkäyksen kohteeksi. Omistajat kieltäytyivät neuvottelemasta eivätkä maksaneet. Se tarkoitti sen sijaan sähköpostien ja datatiedostojen katoamista. He päättivät rakentaa kaiken uudelleen tartuttamattomista varmuuskopioista ja ohjelmistojen uudelleenasentamisesta. Seisokkeja oli merkittäviä ja tuottavuus heikkeni. Tämä tapahtuma ei koskaan ollut mediassa. Yhtiö oli onnekas, koska 66% Pienistä ja keskisuurista yrityksistä, jotka joutuvat kiristysohjelmien hyökkäyksen kohteeksi, lopetetaan toimintansa 6 kuukauden kuluessa.

• 30,000 XNUMX verkkosivustoa hakkeroitu päivittäin
• 4 miljoonaa tiedostoa on varastettu joka päivä
• Ennätyksiä oli 22 miljardia rikkonut vuonna 2021

Jos olet koskaan tehnyt liiketoimintaa Capital Onen, Marriottin, Equifaxin, Targetin tai Uberin kanssa tai käyttänyt niitä, on mahdollista, että salasanasi on vaarantunut. Jokainen näistä suurista yrityksistä joutui merkittävään tietomurtoon.

• Capital One: Hakkeri pääsi 100 miljoonan asiakkaan ja hakijan luo hyödyntämällä yrityksen pilviinfrastruktuurin haavoittuvuutta.
• Marriott: Tietomurto paljasti tietoja 500 miljoonasta asiakkaasta (tätä tietomurtoa ei havaittu neljään vuoteen).
• Equifax: 147 miljoonan asiakkaan henkilökohtaiset tiedot pilvessä paljastettiin.
• Kohde: Kyberrikolliset käyttivät 40 miljoonaa luottokorttinumeroa.
• Uber: Hakkerit vaaransivat kehittäjän kannettavan tietokoneen ja saivat pääsyn 57 miljoonalle käyttäjälle ja 600,000 XNUMX kuljettajalle.
• LastPass^[1]: Hakkerit varastivat 33 miljoonan asiakkaan varastotietoa tämän salasananhallintayrityksen pilvitallennusloukkauksessa. Hyökkääjä pääsi Lastpassin pilvitallennustilaan käyttämällä "pilvitallennuspääsyavainta ja kahden tallennuskontin salauksenpurkuavaimia", jotka varastettiin sen kehittäjäympäristöstä.

Voit tarkistaa, oletko paljastunut tietosuojaloukkaukselle tällä verkkosivustolla: olenko pukannut? Kirjoita sähköpostiosoitteesi, niin näet kuinka monesta tietoturvaloukkauksesta sähköpostiosoite on löydetty. Kirjoitin esimerkiksi yhden henkilökohtaisesta sähköpostiosoitteestani ja huomasin, että se oli osa 25:tä eri tietoturvaloukkausta, mukaan lukien Evite. , Dropbox, Adobe, LinkedIn ja Twitter.

Ei-toivottujen kosijoiden estäminen

Western ei ehkä koskaan saa julkista tunnustusta Digital tarkalleen mitä tapahtui. Tapaus havainnollistaa kahta asiaa: pilvessä olevat tiedot ovat vain niin turvallisia kuin sen säilyttäjien ja avainten pitäjien tulee olla erityisen varovaisia. Peter Parkerin periaatetta mukaillen, pääkäyttäjän oikeudet tuovat suurta vastuuta.

Tarkemmin sanottuna pääkäyttäjä ja globaali järjestelmänvalvoja eivät ole täsmälleen sama asia. Molemmilla on paljon valtaa, mutta niiden pitäisi olla erilliset tilit. Pääkäyttäjä omistaa yrityksen pilvitilin ja hänellä on pääsy siihen alimmalla tasolla. Sellaisenaan tämä tili voi poistaa kaikki tiedot, virtuaalikoneet ja asiakastiedot – kaiken, mitä yritys on turvannut pilveen. AWS:ssä niitä on vain 10 tehtäviä, mukaan lukien AWS-tilin määrittäminen ja sulkeminen, jotka todella vaativat pääkäyttäjän oikeudet.

Järjestelmänvalvojatilit tulee luoda hallinnollisten tehtävien suorittamista varten (duh). Yleensä on useita järjestelmänvalvojatilejä, jotka ovat yleensä henkilökohtaisia, toisin kuin yksi päätili. Koska järjestelmänvalvojan tilit on sidottu henkilöön, voit helposti seurata, kuka on tehnyt mitäkin muutoksia ympäristöön.

Pienin etuoikeus maksimaaliseen turvallisuuteen

Tietomurtotutkimuksessa tutkittiin 28 tekijän vaikutusta tietomurron vakavuuteen. Tekoälysuojauksen käyttö, DevSecOps-lähestymistapa, työntekijöiden koulutus, identiteetin ja käyttöoikeuksien hallinta, MFA ja tietoturva-analytiikka alensivat kaikki positiivisesti tapauksen yhteydessä menetettyjen dollarien keskimääräistä summaa. Sen sijaan vaatimustenmukaisuushäiriöt, turvajärjestelmän monimutkaisuus, tietoturvaosaamisen puute ja pilvisiirto olivat tekijöitä, jotka lisäsivät tietomurron keskimääräisiä kustannuksia.

Kun siirryt pilveen, sinun on oltava valppaampi kuin koskaan tietojesi suojaamisessa. Tässä on joitain muita tapoja vähentää riskiäsi ja ylläpitää turvallisempaa ympäristöä a turvallisuus näkökulma:

1. Monitekijätodennus: pakottaa MFA root- ja kaikille järjestelmänvalvojatileille. Vielä parempi, käytä fyysistä laitteisto-MFA-laitetta. Mahdollinen hakkeri ei tarvitse vain tilin nimeä ja salasanaa, vaan myös fyysistä MFA:ta, joka luo synkronoidun koodin.

2. Teho pieninä määrinä: Rajoita, kenellä on pääsy juuriin. Jotkut tietoturvaasiantuntijat suosittelevat enintään 3 käyttäjää. Hallitse pääkäyttäjän käyttöoikeuksia ahkerasti. Jos suoritat identiteetin hallintaa ja offboardingia missään muualla, tee se täällä. Jos joku luottamuspiirissä poistuu organisaatiosta, vaihda pääkäyttäjän salasana. Palauta MFA-laite.

3. Tilin oletusoikeudet: Kun luot uusia käyttäjätilejä tai rooleja, varmista, että niille myönnetään oletuksena vähimmäisoikeudet. Aloita vähimmäiskäyttökäytännöllä ja myönnä sitten lisäoikeuksia tarpeen mukaan. Periaate tarjota pienin turvallisuus tehtävän suorittamiseksi on malli, joka läpäisee SOC2-turvallisuusstandardit. Ideana on, että kaikilla käyttäjillä tai sovelluksilla on oltava vaaditun toiminnon suorittamiseen vaadittava vähimmäissuojaus. Mitä suurempi etuoikeus vaarantuu, sitä suurempi on riski. Toisaalta mitä pienempi etuoikeus on alttiina, sitä pienempi riski.

4. Tarkastusoikeudet: Tarkista ja tarkista säännöllisesti pilviympäristösi käyttäjille, rooleille ja tileille myönnetyt oikeudet. Näin varmistetaan, että henkilöillä on vain tarvittava lupa suorittaakseen heille määrätyt tehtävät.

5. Identiteetinhallinta ja Just-in-time -oikeudet: Tunnista ja peruuta kaikki ylimääräiset tai käyttämättömät oikeudet minimoimaan luvattoman käytön riski. Anna käyttäjille käyttöoikeudet vain silloin, kun he tarvitsevat niitä tiettyyn tehtävään tai rajoitetun ajan. Tämä minimoi hyökkäyksen pinnan ja vähentää mahdollisten turvallisuusuhkien mahdollisuutta.

6. Upotetut kirjautumistiedot: Estä salaamattoman todennuksen (käyttäjätunnus, salasana, pääsyavaimet) kovakoodaus komentosarjoissa, töissä tai muussa koodissa. Katso sen sijaan a salaisuuksien johtaja jonka avulla voit hakea tunnistetiedot ohjelmallisesti.

7. Infrastructure-as-Code (IaC) -määritys: Noudata turvallisuuden parhaita käytäntöjä määrittäessäsi pilviinfrastruktuuria käyttämällä IaC-työkaluja, kuten AWS CloudFormation tai Terraform. Vältä myöntämästä julkista käyttöoikeutta oletuksena ja rajoita resurssien käyttö vain luotettaviin verkkoihin, käyttäjiin tai IP-osoitteisiin. Käytä tarkkoja käyttöoikeuksia ja kulunvalvontamekanismeja vähiten etuoikeuksien periaatteen noudattamiseksi.

8. Toimintojen kirjaaminen: Ota käyttöön pilviympäristösi toimien ja tapahtumien kattava kirjaus ja seuranta. Tallenna ja analysoi lokit epätavallisten tai mahdollisesti haitallisten toimien varalta. Ota käyttöön vankat lokinhallinta- ja tietoturvatieto- ja tapahtumahallintaratkaisut (SIEM) tunnistaaksesi tietoturvahäiriöt ja reagoidaksesi niihin nopeasti.

9. Säännölliset haavoittuvuusarvioinnit: Suorita säännöllisiä haavoittuvuusarviointeja ja penetraatiotestejä tunnistaaksesi tietoturvaheikkoudet pilviympäristössäsi. Korjaa ja korjaa havaitut haavoittuvuudet viipymättä. Pidä kirjaa pilvipalveluntarjoajasi julkaisemista tietoturvapäivityksistä ja -korjauksista ja varmista, että ne asennetaan nopeasti suojataksesi tunnettuja uhkia vastaan.

10. Koulutus: Edistää turvallisuustietoisuuden kulttuuria ja järjestämällä työntekijöille säännöllistä koulutusta vähiten etuoikeuksien periaatteen tärkeydestä. Opeta heitä liiallisiin oikeuksiin liittyvistä mahdollisista riskeistä ja parhaista käytännöistä, joita on noudatettava käytettäessä ja hallittaessa resursseja pilviympäristössä.

11. Korjaukset ja päivitykset: Vähennä haavoittuvuuksia päivittämällä säännöllisesti kaikki palvelinohjelmistot. Pidä pilviinfrastruktuurisi ja siihen liittyvät sovelluksesi ajan tasalla suojautuaksesi tunnetuilta haavoittuvuuksilta. Pilvipalveluntarjoajat julkaisevat usein tietoturvakorjauksia ja -päivityksiä, joten niiden suositusten noudattaminen on erittäin tärkeää.

Luottamus

Se perustuu luottamukseen – anna vain organisaatiosi jäsenille luottamus suorittaakseen tehtävänsä, jotka he tarvitsevat työnsä suorittamiseksi. Turvallisuusasiantuntijat suosittelevat Luottamus nollaan. Zero Trust -tietoturvamalli perustuu kolmeen keskeiseen periaatteeseen:

• Vahvista eksplisiittisesti – käytä kaikkia saatavilla olevia tietopisteitä käyttäjän henkilöllisyyden ja käyttöoikeuden vahvistamiseen.
• Käytä vähiten etuoikeuksia – juuri ajoissa ja juuri tarpeeksi suojausta.
• Oletetaan rikkominen – salaa kaikki, käytä ennakoivaa analytiikkaa ja ota käyttöön hätäapu.

Pilven ja pilvipalvelujen kuluttajana se riippuu myös luottamuksesta. Sinun on kysyttävä itseltäsi: "Luotanko myyjääni tallentamaan kallisarvoiset tietoni pilveen?" Luottamus tarkoittaa tässä tapauksessa, että luotat kyseiseen yritykseen tai sen kaltaiseen yritykseen turvallisuuden hallinnassa yllä kuvatulla tavalla. Vaihtoehtoisesti, jos vastaat kieltävästi, oletko valmis suorittamaan samanlaisia ​​tietoturvanhallintatoimintoja kotiympäristössäsi. Luotatko itseesi?

Pilvipalveluita tarjoavana yrityksenä asiakkaat ovat luottaneet sinuun, jotta voit suojata tietonsa pilviinfrastruktuurissasi. Se on jatkuva prosessi. Pysy ajan tasalla uusista uhista, mukauta suojaustoimenpiteitäsi niiden mukaisesti ja tee yhteistyötä kokeneiden ammattilaisten tai tietoturvakonsulttien kanssa varmistaaksesi yrityksesi parhaan mahdollisen suojan jatkuvasti kehittyvässä pilviympäristössä.

1. https://www.bleepingcomputer.com/news/security/lastpass-hackers-stole-customer-vault-data-in-cloud-storage-breach/ ↑