Wy hawwe it oer feiligens yn 'e wolk
Oer bleatstelling
Litte wy it sa sizze, wat meitsje jo jo soargen oer it eksposearjen? Wat binne jo meast weardefolle besittings? Jo sosjale feiligensnûmer? Jo bankrekken ynformaasje? Privee dokuminten, of foto's? Jo crypto-seedfrase? As jo in bedriuw beheare, of ferantwurdlik binne foar it befeiligjen fan gegevens, kinne jo soargen meitsje oer deselde soarten ynformaasje dy't kompromitteare wurde, mar op abroader skaal. Jo binne troch jo klanten fertroud mei de beskerming fan har gegevens.
As konsuminten nimme wy de feiligens fan ús gegevens as fanselssprekkend. Hieltyd faker dizze dagen dat gegevens wurde opslein yn 'e wolk. In oantal leveransiers biede tsjinsten oan wêrtroch klanten gegevens fan har lokale kompjûters kinne reservekopy meitsje nei de wolk. Tink oan it as in firtuele hurde skiif yn 'e himel. Dit wurdt advertearre as in feilige en handige manier om jo gegevens te beskermjen. Handig, ja. Jo kinne in bestân weromhelje dat jo per ûngelok wiske hawwe. Jo kinne in folsleine hurde skiif werstelle wêrfan de gegevens skansearre binne.
Mar is it feilich? Jo wurde foarsjoen fan in slot en kaai. De kaai is, typysk, in brûkersnamme en wachtwurd. It is fersifere en allinich bekend foar jo. Dêrom advisearje feiligenseksperts om jo wachtwurd feilich te hâlden. As immen tagong krijt ta jo wachtwurd, hawwe se de firtuele kaai foar jo firtuele hûs.
Jo witte dit alles. Jo wachtwurd foar de reservekopywolktsjinst is 16 karakters lang, befettet haad- en lytse letters, sifers en in pear spesjale tekens. Jo feroarje it elke seis moanne, om't jo witte dat it it dreger makket foar de hacker. It is oars as jo oare wachtwurden - jo brûke net itselde wachtwurd foar meardere siden. Wat koe der mis gean?
Guon bedriuwen biede wat se hawwe markearre as in "Persoanlike wolk." Western Digital is ien fan dy bedriuwen dy't in maklike manier leverje om jo gegevens op jo persoanlike romte yn in wolk te backupjen. It is netwurk opslach beskikber fia it ynternet. It plug yn jo Wi-Fi-router, sadat jo tagong kinne fan oeral yn jo netwurk. Gemaklik, om't it ek ferbûn is mei it ynternet, kinne jo tagong krije ta jo persoanlike gegevens fan oeral op it ynternet. Mei gemak komt risiko.
In kompromisearjende posysje
Earder dit jier bruts hackers yn Western Digital's systemen en koene sawat 10 Tb oan gegevens downloade. De swarte mailers holden doe de gegevens foar losjild en besochten in deal benoarden US $ 10,000,000 te ûnderhanneljen foar it feilige werombringen fan de gegevens. Gegevens binne as oalje. Of miskien is goud in bettere analogy. Ien fan 'e hackers spruts op betingst fan anonimiteit. Ha! Techcrunch ynterviewd him wylst hy wie yn it proses fan dizze saaklike deal. Wat nijsgjirrich is is dat de gegevens dy't kompromittearre waarden Western omfette Digital's sertifikaat foar ûndertekening fan koade. Dit is it technologyske ekwivalint fan in retina-scan. It sertifikaat is bedoeld om de eigner of drager posityf te identifisearjen. Mei dizze firtuele retina-scan is gjin wachtwurd nedich foar tagong ta "befeilige" gegevens. Mei oare wurden, mei dit sertifikaat dizze swarte hoed sakeman kin rinne rjocht yn 'e foardoar fan' e digital paleis.
Western Digital wegere om reaksjes te jaan yn reaksje op de oanspraken fan 'e hacker dat se noch yn it netwurk fan WD wiene. De net neamde hacker spruts teloarstelling út dat fertsjintwurdigers by Western Digital soe net werom syn oproppen. Offisjeel, yn in parseberjocht, western Digital oankundige dat, "Op grûn fan it ûndersyk oant no ta, it bedriuw is fan betinken dat de net-autorisearre partij bepaalde gegevens fan har systemen krige en wurket om de aard en omfang fan dy gegevens te begripen." Dus, Western Digital is mem, mar de hacker blabbert. As foar hoe't se it diene, beskriuwt de hacker hoe't se bekende kwetsberens eksploitearre en koenen tagong krije ta gegevens yn 'e wolk as in globale behearder.
In wrâldwide behearder, troch de aard fan 'e rol, hat tagong ta alles. Hy hat jo wachtwurd net nedich. Hy hat de masterkaai.
Western Digital is net allinnich
A ûndersyk ferline jier fûn dat 83% fan 'e ûndersochte bedriuwen hie hie mear as ien gegevensbreuk, wêrfan 45% wolkbasearre wie. De trochsneed kosten fan in gegevens brek yn 'e Feriene Steaten wie US $ 9.44 miljoen. Kosten waarden ferdield yn fjouwer kostenkategoryen - ferlern bedriuw, detectie en eskalaasje, notifikaasje en antwurd nei brekken. (Ik bin der net wis fan yn hokker kategory de gegevens losjild is. It is net dúdlik oft ien fan de respondinten dien betelle losjild easken.) De gemiddelde tiid it duorret in organisaasje te identifisearjen en reagearje op in gegevens ynbreuk is sa'n 9 moannen. It is dus gjin ferrassing dat ferskate moannen nei Western Digital earst erkend in gegevens ynbreuk, se binne noch ûndersiket.
It is lestich om krekt te sizzen hoefolle bedriuwen gegevensbrekken hawwe hân. Ik wit ien grut partikulier bedriuw dat waard oanfallen troch ransomware. De eigners wegeren te ûnderhanneljen en betelje net. Dat betsjutte ynstee ferlern e-mails en gegevensbestannen. Se keas foar om alles opnij op te bouwen fan net-ynfekteare backups en software opnij te ynstallearjen. D'r wie signifikante down-time en ferlern produktiviteit. Dit evenemint wie nea yn 'e media. Dat bedriuw hie gelok omdat 66% fan lytse oant middelgrutte bedriuwen dy't oanfallen wurde troch ransomware einigje binnen 6 moannen út it bedriuw.
- 30,000 websiden binne hacked deistich
- 4 miljoen bestannen binne stole eltse dei
- 22 miljard records wiene ynbrutsen yn 2021
As jo oait saken dien hawwe mei of de tsjinsten fan Capital One, Marriott, Equifax, Target of Uber hawwe brûkt, is it mooglik dat jo wachtwurd kompromittearre is. Elk fan dizze grutte bedriuwen lijen in wichtige gegevensbreuk.
- Capital One: In hacker krige tagong ta 100 miljoen klanten en sollisitanten troch in kwetsberens te brûken yn 'e wolkynfrastruktuer fan it bedriuw.
- Marriott: In gegevensbrek bleatsteld ynformaasje oer 500 miljoen klanten (dizze ynbreuk gie 4 jier net ûntdutsen).
- Equifax: Persoanlike ynformaasje yn 'e wolk oer 147 miljoen klanten waard bleatsteld.
- Doel: Cyberkriminelen hawwe tagong ta 40 miljoen kredytkaartnûmers.
- Uber: Hackers kompromissen de laptop fan in ûntwikkelder en krigen tagong ta 57 miljoen brûkers en 600,000 sjauffeurs.
- LastPass[1]: Hackers stielen 33 miljoen klanten 'klanten gegevens yn in wolk opslach brek foar dit wachtwurd manager bedriuw. De oanfaller krige tagong ta de wolkopslach fan Lastpass mei in "cloud storage access key and dual storage container decryption keys" stellen út syn ûntwikkelderomjouwing.
Jo kinne kontrolearje om te sjen oft jo binne bleatsteld yn in gegevensbreuk op dizze webside: bin ik pwn? Typ jo e-postadres yn en it sil jo sjen litte hoefolle gegevens ynbreuken it e-mailadres is fûn yn. Ik typte bygelyks ien fan myn persoanlike e-mailadressen yn en fûn dat it diel wie fan 25 ferskillende gegevenslekken, ynklusyf Evite , Dropbox, Adobe, LinkedIn en Twitter.
Unwanted Suitors tsjinhâlde
D'r kin noait in iepenbiere erkenning wêze troch Western Digital fan krekt wat der bard is. It ynsidint yllustrearret wol twa dingen: gegevens yn 'e wolk binne allinich sa feilich as har keepers en de wachters fan 'e kaaien moatte foaral foarsichtich wêze. Om it Peter Parker-prinsipe te parafrasearjen, komt mei root tagong grutte ferantwurdlikens.
Om krekter te wêzen, in root-brûker en in globale behearder binne net krekt itselde. Beide hawwe in protte macht, mar moatte aparte akkounts wêze. De root-brûker besit en hat tagong ta it bedriuwswolkakkount op it leechste nivo. As sadanich koe dit akkount alle gegevens, VM's, klantynformaasje wiskje - alles dat in bedriuw yn 'e wolk hat befeilige. Yn AWS binne d'r allinich 10 taken, ynklusyf it ynstellen en sluten fan jo AWS-akkount, dy't wirklik root-tagong fereaskje.
Beheardersakkounts moatte wurde makke om bestjoerlike taken út te fieren (duh). D'r binne meastentiids meardere Administrator-akkounts dy't gewoanlik op persoan basearre binne, yn tsjinstelling ta it ienige root-akkount. Om't Administrator-akkounts keppele binne oan in yndividu, kinne jo maklik kontrolearje wa't hokker feroarings yn 'e omjouwing makke hat.
Minste privileezje foar maksimale feiligens
De enkête foar gegevensbreuk studearre de ynfloed fan 28 faktoaren op 'e earnst fan in gegevensbrek. It gebrûk fan AI-befeiliging, in DevSecOps-oanpak, training fan meiwurkers, identiteits- en tagongsbehear, MFA, befeiligingsanalytyk hiene allegear in positive ynfloed by it ferminderjen fan it gemiddelde dollarbedrach ferlern gien yn in ynsidint. Wylst konformiteitsfouten, kompleksiteit fan befeiligingssysteem, tekoart oan befeiligingsfeardigens, en wolkmigraasje faktoaren wiene dy't bydroegen oan in hegere nettoferheging fan 'e gemiddelde kosten fan in gegevensbreuk. 
As jo migrearje nei de wolk, moatte jo wachtiger wêze dan ea by it beskermjen fan jo gegevens. Hjir binne wat ekstra manieren te ferminderjen jo risiko en rinne in feiliger omjouwing fan in feiligens stânpunt:
1. Muli-faktor ferifikaasje: hanthavenje MFA foar root en alle Administrator akkounts. Noch better, brûk in fysike hardware MFA-apparaat. In potinsjele hacker soe net allinich de akkountnamme en wachtwurd nedich wêze, mar ek de fysike MFA dy't in syngronisearre koade genereart.
2. Macht yn lytse oantallen: Beheine wa't tagong hat ta de root. Guon feiligenseksperts suggerearje net mear as 3 brûkers. Behear root-brûkers tagong taai. As jo identiteitsbehear en off-boarding nergens oars útfiere, doch it dan hjir. As ien yn 'e sirkel fan fertrouwen de organisaasje ferlit, feroarje dan it rootwachtwurd. Herstel it MFA-apparaat.
3. Standert akkount privileezjes: As jo nije brûkersaccounts of rollen oanbiede, soargje derfoar dat se standert minimale privileezjes krije. Begjin mei in minimaal tagongsbelied en jou dan ekstra tagongsrjochten as nedich. It prinsipe fan it leverjen fan de minste feiligens om in taak út te fieren is in model dat SOC2-noarmen foar befeiliging neilibjen sil passe. It konsept is dat elke brûker of applikaasje de minimale feiligens moat hawwe dy't nedich is om de fereaske funksje út te fieren. Hoe heger it privileezje dat kompromittearre is, hoe grutter it risiko. Oarsom, hoe leger it bleatsteld privileezje, hoe leger it risiko.
4. Auditing Privileges: Kontrolearje en kontrolearje regelmjittich de privileezjes tawiisd oan brûkers, rollen en akkounts yn jo wolkomjouwing. Dit soarget derfoar dat partikulieren allinich de nedige tastimming hawwe om har oanwiisde taken út te fieren.
5. Identiteitsbehear en Just-in-time Privileges: Identifisearje en ynlûke alle oerstallige of net brûkte privileezjes om it risiko fan net autorisearre tagong te minimalisearjen. Jou tagongsrjochten allinich oan brûkers as se se nedich binne foar in spesifike taak of in beheinde perioade. Dit minimalisearret it oanfalsflak en ferleget it finster fan kâns foar potensjele feiligensbedrigingen. 
6. Ynsletten referinsjes: Ferbiede de hurde kodearring fan net-fersifere autentikaasje (brûkersnamme, wachtwurd, tagongskaaien) yn skripts, banen of oare koade. Ynstee sjoch yn in geheimen manager dat jo brûke kinne om programmatysk referinsjes op te heljen.
7. Ynfrastruktuer-as-koade (IaC) konfiguraasje: Folgje de bêste praktiken foar feiligens by it konfigurearjen fan jo wolkynfrastruktuer mei IaC-ark as AWS CloudFormation of Terraform. Foarkom it jaan fan iepenbiere tagong standert en beheine tagong ta boarnen ta allinich fertroude netwurken, brûkers of IP-adressen. Brûk fynkorrelige tagongsrjochten en tagongskontrôlemeganismen om it prinsipe fan minste privileezje te hanthavenjen.
8. Logging fan aksjes: Skeakelje wiidweidich logging en tafersjoch fan aksjes en eveneminten yn jo wolkomjouwing yn. Fange en analysearje logs foar alle ûngewoane of potinsjeel kweade aktiviteiten. Implementearje robúste logbehear en oplossings foar feiligensynformaasje en evenemintenbehear (SIEM) om befeiligingsynsidinten prompt te detektearjen en te reagearjen.
9. Reguliere kwetsberens Assessments: Fier regelmjittige kwetsberensbeoardielingen en penetraasjetests út om feiligensswakke punten yn jo wolkomjouwing te identifisearjen. Patch en reparearje alle identifisearre kwetsberens fuortendaliks. Hâld track fan befeiligingsupdates en patches frijjûn troch jo wolkprovider en soargje derfoar dat se direkt wurde tapast om te beskermjen tsjin bekende bedrigingen.
10. Underwiis en training: Befoarderje in kultuer fan feiligens bewustwêzen en jouwe regelmjittige training oan meiwurkers oangeande it belang fan it prinsipe fan minste privileezje. Underwiis se oer de potinsjele risiko's dy't ferbûn binne mei oermjittige privileezjes en de bêste praktiken om te folgjen by tagong en behear fan boarnen yn 'e wolkomjouwing.
11. Patches en updates: Ferminderje kwetsberens troch regelmjittich alle serversoftware te aktualisearjen. Hâld jo wolkynfrastruktuer en byhearrende applikaasjes bywurke om te beskermjen tsjin bekende kwetsberens. Wolke-oanbieders jouwe faak befeiligingspatches en updates út, dus aktueel bliuwe mei har oanbefellings is krúsjaal.
Fertrouwe
It komt del op fertrouwen - allinich dy yn jo organisaasje it fertrouwen jaan om de taken te foltôgjen dy't se moatte dwaan om har wurk dien te krijen. Feiligens saakkundigen advisearje Nul fertrouwen. It Zero Trust-befeiligingsmodel is basearre op trije wichtige prinsipes:
- Ferifiearje eksplisyt - brûk alle beskikbere gegevenspunten om de identiteit en tagong fan in brûker te falidearjen.
- Brûk de minste privileezje tagong - krekt op 'e tiid en krekt genôch feiligens.
- Oannimme brek - fersiferje alles, brûk proaktive analytiken en hawwe needreaksje yn plak.
As konsumint fan 'e wolk- en wolktsjinsten komt it ek op fertrouwen. Jo moatte josels ôffreegje, "fertrou ik myn leveransier om myn kostbere gegevens yn 'e wolk op te slaan?" Fertrouwen, yn dit gefal, betsjut dat jo fertrouwe op dat bedriuw, of ien lykas it, om feiligens te behearjen lykas wy hjirboppe beskreaun hawwe. As alternatyf, as jo negatyf beäntwurdzje, binne jo ree om deselde soarten befeiligingsbehearaktiviteiten yn jo thúsomjouwing út te fieren. Fertrousto dysels?
As bedriuw dat tsjinsten yn 'e wolk leveret, hawwe klanten har fertrouwen yn jo pleatst om har gegevens yn jo wolkynfrastruktuer te beskermjen. It is in trochgeand proses. Bliuw op 'e hichte oer opkommende bedrigingen, oanpasse jo befeiligingsmaatregels dêrop, en gearwurkje mei betûfte professionals as befeiligingskonsultanten om de grutste beskerming foar jo bedriuw te garandearjen yn it hieltyd evoluearjende wolkelânskip.
- https://www.bleepingcomputer.com/news/security/lastpass-hackers-stole-customer-vault-data-in-cloud-storage-breach/ ↑
