Nou ap pale de sekirite nan nwaj la

Plis pase Ekspozisyon

Ann mete l konsa, kisa w enkyete w pou w ekspoze? Ki sa ki byen ki gen plis valè ou yo? Nimewo Sekirite Sosyal ou a? Enfòmasyon sou kont labank ou a? Dokiman prive, oswa foto? Fraz kriptografik ou a? Si ou jere yon konpayi, oswa ou responsab pou konsève done yo, ou ka enkyete w sou menm kalite enfòmasyon yo te konpwomèt, men sou ab.roader echèl. Kliyan ou yo te konfye w pwoteksyon done yo.

Kòm konsomatè, nou pran sekirite nan done nou yo pou yo akòde. Plis ak pi souvan jou sa yo ke done yo estoke nan nwaj la. Yon kantite machann ofri sèvis ki pèmèt kliyan yo fè backup done ki soti nan òdinatè lokal yo nan nwaj la. Panse a li kòm yon kondwi vityèl difisil nan syèl la. Sa a se pibliye kòm yon fason ki an sekirite ak pratik pwoteje done ou yo. Pratik, wi. Ou ka refè yon dosye ke ou te aksidantèlman efase. Ou ka retabli tout yon kondwi difisil ki gen done pèvèti.

Men, èske li an sekirite? Yo ba w yon seri ak kle. Kle a se, anjeneral, yon non itilizatè ak modpas. Li chiffres Et konnen sèlman pou ou. Se poutèt sa ekspè sekirite rekòmande kenbe modpas ou an sekirite. Si yon moun gen aksè a modpas ou, li gen kle vityèl kay vityèl ou a.

Ou konnen tout bagay sa yo. Modpas ou pou sèvis nwaj backup la gen 16 karaktè, li gen lèt majiskil ak miniskil, nimewo ak yon koup karaktè espesyal. Ou chanje li chak sis mwa paske ou konnen sa fè li pi difisil pou pirate a. Li diferan de lòt modpas ou yo - ou pa sèvi ak menm modpas la pou plizyè sit. Ki sa ki ka ale mal?

Gen kèk konpayi ki ofri sa yo te make kòm yon "Nwaj Pèsonèl." Lwès Digital se youn nan konpayi sa yo ki bay yon fason fasil pou fè backup done ou nan espas pèsonèl ou nan yon nwaj. Li nan depo rezo ki disponib sou entènèt la. Li ploge nan routeur Wi-Fi ou pou ou ka jwenn aksè nan li nenpòt kote andedan rezo ou. Yon bon fason, paske li konekte tou ak entènèt la, ou ka jwenn aksè nan done pèsonèl ou nenpòt kote sou entènèt la. Ak konvenyans vini risk.

Yon Pozisyon Konpwomi

Byen bonè ane sa a, entru te kraze nan Lwès Digitalsistèm yo epi yo te kapab telechaje apeprè 10 To done. Anons nwa yo te kenbe done yo pou ranson epi yo te eseye negosye yon kontra nan nò 10,000,000 dola ameriken pou retounen done yo san danje. Done se tankou lwil oliv. Oswa petèt lò se yon pi bon analoji. Youn nan entru yo te pale sou kondisyon anonim. Ha! TechCrunch te fè entèvyou ak li pandan li te nan pwosesis kontra biznis sa a. Ki sa ki enteresan se ke done yo ki te konpwomèt enkli Lwès Digitalsètifika siyati kòd la. Sa a se ekivalan teknolojik yon eskanè retin. Sètifika a gen entansyon pou idantifye pozitivman pwopriyetè a oswa moun ki genyen. Avèk eskanè retin vityèl sa a, pa gen okenn modpas obligatwa pou aksè nan done "sekirize". Sa vie di, ak sètifika sa a biznisman chapo nwa ka mache dwat devan pòt la digital palè.

Lwès Digital te refize fè kòmantè an repons a reklamasyon pirate a ke yo te toujou nan rezo WD a. Hacker a non te eksprime desepsyon ke reprezantan yo nan Western Digital pa ta retounen apèl li yo. Ofisyèlman, nan yon Press Release, Lwès Digital te anonse ke, "Baze envestigasyon an jiska dat, Konpayi an kwè pati ki pa otorize a te jwenn sèten done nan sistèm li yo epi li ap travay pou konprann nati a ak dimansyon done sa yo." Se konsa, Western Digital se maman, men pirate a ap pale. Kòm pou jan yo te fè li, pirate a dekri ki jan yo eksplwate frajilite li te ye epi yo te kapab jwenn aksè a done nan nwaj la kòm yon administratè mondyal.

Yon administratè mondyal, pa nati wòl la, gen aksè a tout bagay. Li pa bezwen modpas ou. Li gen kle mèt la.

Lwès Digital se pa pou kont li

A sondaj ane pase a te jwenn ke 83% nan konpayi yo sondaj te genyen plis pase yon sèl vyolasyon done, 45% nan yo ki te baze sou nwaj. La mwayèn pri yon vyolasyon done nan peyi Etazini te US $ 9.44 milyon dola. Depans yo te divize an kat kategori pri - pèdi biznis, deteksyon ak eskalade, notifikasyon ak repons apre vyolasyon. (Mwen pa fin sèten nan ki kategori ranson done a ye. Li pa klè si nenpòt nan moun ki repond yo te peye demann ranson.) Tan an mwayèn li pran yon òganizasyon pou idantifye epi reponn a yon vyolasyon done se apeprè 9 mwa. Se pa yon sipriz, lè sa a, ke plizyè mwa apre Lwès Digital premye rekonèt yon vyolasyon done, yo toujou ap mennen ankèt.

Li difisil pou di egzakteman konbyen konpayi yo te gen vyolasyon done. Mwen konnen yon gwo konpayi prive ki te atake pa ransomware. Pwopriyetè yo te refize negosye epi yo pa t peye. Sa vle di, olye de sa, pèdi imèl ak dosye done. Yo te chwazi rebati tout bagay soti nan sovgad ki pa enfekte ak réinstaller lojisyèl. Te gen siyifikatif down-time ak pèdi pwodiktivite. Evènman sa a pa t janm nan medya yo. Konpayi sa a te gen chans paske 66% nan ti ak mwayen konpayi yo ki te atake pa ransomware fini soti nan biznis nan 6 mwa.

• 30,000 sit entènèt yo rache chak jou
• 4 milyon fichye yo yo vòlè li chak jou
• 22 milya dosye yo te vyole nan 2021

Si ou te janm fè biznis ak, oswa itilize sèvis Capital One, Marriott, Equifax, Target oswa Uber, li posib ke modpas ou te konpwomèt. Chak nan gwo konpayi sa yo te soufri yon vyolasyon done enpòtan.

• Capital One: Yon pirate te jwenn aksè a 100 milyon kliyan ak aplikan lè li eksplwate yon vilnerabilite nan enfrastrikti nwaj konpayi an.
• Marriott: Yon vyolasyon done ekspoze enfòmasyon sou 500 milyon kliyan (vyolasyon sa a pa detekte pou 4 ane).
• Equifax: Enfòmasyon pèsonèl nan nwaj la sou 147 milyon kliyan yo te ekspoze.
• Sib: Sibèrkriminèl yo te jwenn aksè nan 40 milyon nimewo kat kredi.
• Uber: Hackers konpwomèt laptop yon pwomotè epi yo te jwenn aksè a 57 milyon itilizatè yo ak 600,000 chofè.
• LastPass^[1]: Hackers yo te vòlè done vout 33 milyon kliyan yo nan yon vyolasyon depo nwaj pou konpayi manadjè modpas sa a. Atakè a te jwenn aksè nan depo nwaj Lastpass lè l sèvi avèk yon "kle aksè nan depo nwaj ak kle dechifre veso depo doub" yo vòlè li nan anviwònman pwomotè li yo.

Ou ka tcheke pou wè si ou te ekspoze nan yon vyolasyon done sou sit entènèt sa a: mwen te pwned? Tape adrès imel ou a epi li pral montre w konbyen vyolasyon done yo te jwenn adrès imel la. Pa egzanp, mwen tape youn nan adrès imel pèsonèl mwen yo epi mwen jwenn ke li te fè pati 25 vyolasyon done diferan, ki gen ladan Evite. , Dropbox, Adobe, LinkedIn ak Twitter.

Kontrouve pretandan endezirab

Gen dwa pa janm gen yon rekonesans piblik pa Western Digital nan egzakteman sa ki te pase. Ensidan an montre de bagay: done ki nan nwaj la an sekirite menm jan ak gadyen li yo ak gadyen kle yo bezwen espesyalman fè atansyon. Pou parafraze Prensip Peter Parker la, ak aksè rasin vini yon gwo responsablite.

Pou yo ka pi presi, yon itilizatè rasin ak yon administratè mondyal yo pa egzakteman menm bagay la. Tou de gen anpil pouvwa men yo ta dwe kont separe. Itilizatè rasin lan posede epi li gen aksè a kont nwaj antrepriz la nan nivo ki pi ba a. Kòm sa yo, kont sa a ka efase tout done, VMs, enfòmasyon kliyan - tout bagay ke yon biznis te an sekirite nan nwaj la. Nan AWS, genyen sèlman 10 travay, ki gen ladan mete kanpe ak fèmen kont AWS ou a, ki vrèman mande pou aksè rasin.

Kont administratè yo ta dwe kreye pou fè travay administratif (duh). Anjeneral gen plizyè kont Administratè ki anjeneral baze sou moun, kontrèman ak kont rasin sèl la. Paske kont Administratè yo mare ak yon moun, ou ka fasilman kontwole ki moun ki fè chanjman nan anviwònman an.

Pi piti Privilèj pou Sekirite Maksimòm

Sondaj sou vyolasyon done yo te etidye enpak 28 faktè sou gravite yon vyolasyon done. Itilizasyon sekirite AI, yon apwòch DevSecOps, fòmasyon anplwaye, jesyon idantite ak aksè, MFA, analiz sekirite yo tout te gen yon enpak pozitif nan diminye kantite lajan an mwayèn pèdi nan yon ensidan. Lè nou konsidere ke, echèk konfòmite, konpleksite sistèm sekirite, mank ladrès sekirite, ak migrasyon nwaj yo te faktè ki kontribye nan pi gwo ogmantasyon nèt nan pri an mwayèn nan yon vyolasyon done.

Pandan w ap emigre nan nwaj la, ou bezwen pi vijilan pase tout tan nan pwoteje done ou yo. Men kèk fason adisyonèl pou redwi risk ou epi kouri yon anviwònman ki pi an sekirite nan yon sekirite pwen de vi:

1. Otantifikasyon mili-faktè: aplike MFA pou rasin ak tout kont Administratè. Menm pi bon, sèvi ak yon aparèy MFA pyès ki nan konpitè fizik. Yon pirate potansyèl ta bezwen non sèlman non kont lan ak modpas, men tou, MFA fizik la ki jenere yon kòd senkronize.

2. Pouvwa nan ti kantite: Limite moun ki gen aksè a rasin lan. Gen kèk ekspè sekirite sijere pa plis pase 3 itilizatè. Jere aksè itilizatè rasin asidu. Si ou egzekite jesyon idantite ak off-boarding okenn lòt kote, fè li isit la. Si youn nan sèk la konfyans kite òganizasyon an, chanje modpas rasin lan. Refè aparèy MFA a.

3. Privilèj Kont Default: Lè pwovizyon nouvo kont itilizatè oswa wòl, asire yo ke yo akòde privilèj minimòm pa default. Kòmanse ak yon règleman aksè minimòm epi apresa bay otorizasyon adisyonèl jan sa nesesè. Prensip bay pi piti sekirite pou akonpli yon travay se yon modèl ki pral pase estanda konfòmite sekirite SOC2. Konsèp la se ke nenpòt itilizatè oswa aplikasyon ta dwe gen minimòm sekirite ki nesesè pou fè fonksyon ki nesesè yo. Plis pi wo privilèj ki konpwomèt, se pi gwo risk. Kontrèman, pi ba privilèj ekspoze a, pi ba risk la.

4. Privilèj odit: Regilyèman tcheke epi revize privilèj yo bay itilizatè yo, wòl, ak kont nan anviwònman nwaj ou a. Sa a asire ke moun yo gen sèlman pèmisyon ki nesesè pou fè travay yo deziyen.

5. Jesyon idantite ak privilèj jis nan tan: Idantifye epi anile nenpòt privilèj twòp oswa ki pa itilize pou minimize risk aksè san otorizasyon. Bay itilizatè dwa aksè sèlman lè yo mande yo pou yon travay espesifik oswa yon peryòd limite. Sa minimize sifas atak la epi redwi fenèt opòtinite pou potansyèl menas sekirite yo.

6. kalifikasyon entegre: Entèdi kodaj difisil nan otantifikasyon ki pa kode (non itilizatè, modpas, kle aksè) nan scripts, travay, oswa lòt kòd. Olye de sa gade nan yon manadjè sekrè ke ou ka itilize pou pwograme rekipere kalifikasyon yo.

7. Konfigirasyon enfrastrikti kòm kòd (IaC).: Konfòme ak pi bon pratik sekirite lè w ap konfigirasyon enfrastrikti nwaj ou a lè l sèvi avèk zouti IaC tankou AWS CloudFormation oswa Terraform. Evite akòde aksè piblik pa default epi mete restriksyon sou aksè nan resous yo sèlman nan rezo ou fè konfyans, itilizatè yo, oswa adrès IP yo. Sèvi ak otorizasyon ak mekanis kontwòl aksè pou aplike prensip pi piti privilèj yo.

8. Anrejistre Aksyon yo: Pèmèt anrejistreman konplè ak siveyans aksyon ak evènman nan anviwònman nwaj ou a. Kapte ak analize mòso bwa pou nenpòt aktivite etranj oswa potansyèlman move. Aplike solid jesyon log ak enfòmasyon sekirite ak jesyon evènman (SIEM) solisyon pou detekte epi reponn a ensidan sekirite san pèdi tan.

9. Evalyasyon Vulnerabilite regilye yo: Fè evalyasyon vilnerabilite regilye ak tès pénétration pou idantifye feblès sekirite nan anviwònman nwaj ou a. Patch epi korije nenpòt vilnerabilite yo idantifye san pèdi tan. Kenbe tras de mizajou sekirite ak plak founisè nwaj ou a pibliye epi asire yo aplike san pèdi tan pou pwoteje kont menas li te ye.

10. Edikasyon ak Fòmasyon: Ankouraje yon kilti konsyantizasyon sekirite epi bay anplwaye yo fòmasyon regilye konsènan enpòtans prensip pi piti privilèj yo. Edike yo sou risk potansyèl ki asosye ak privilèj twòp ak pi bon pratik yo swiv lè w ap jwenn aksè ak jere resous nan anviwònman nwaj la.

11. Patch ak Mizajou: Diminye vilnerabilite yo pa mete ajou regilyèman tout lojisyèl sèvè. Kenbe enfrastrikti nwaj ou ak aplikasyon ki asosye yo ajou pou pwoteje kont frajilite li te ye. Founisè Cloud yo souvan pibliye plak sekirite ak mizajou, kidonk rete aktyèl ak rekòmandasyon yo enpòtan anpil.

Fè konfyans

Li desann nan konfyans - bay sèlman moun ki nan òganizasyon w la konfyans nan akonpli travay yo bezwen fè pou fè travay yo fè. Ekspè sekirite yo rekòmande Zewo Trust. Modèl sekirite Zero Trust la baze sou twa prensip kle:

• Verifye klèman – sèvi ak tout pwen done ki disponib pou valide idantite ak aksè yon itilizatè.
• Sèvi ak aksè pi piti privilèj - jis nan tan ak jis ase sekirite.
• Sipoze vyolasyon - ankripte tout bagay, anplwaye analiz proaktif epi gen repons pou ijans an plas.

Kòm yon konsomatè nan nwaj la ak sèvis nwaj yo, li tou desann nan konfyans. Ou dwe mande tèt ou, "èske mwen fè machann mwen konfyans pou estoke done presye mwen yo nan nwaj la?" Trust, nan ka sa a, vle di ke ou konte sou konpayi sa a, oswa yon sèl tankou li, pou jere sekirite jan nou te dekri pi wo a. Altènativman, si ou reponn an negatif, èske ou prepare pou fè menm kalite aktivite jesyon sekirite nan anviwònman lakay ou. Ou fè tèt ou konfyans?

Kòm yon konpayi ki bay sèvis nan nwaj la, kliyan yo te mete konfyans yo nan ou pou pwoteje done yo nan enfrastrikti nwaj ou a. Se yon pwosesis k ap kontinye. Rete enfòme sou menas k ap parèt yo, adapte mezi sekirite ou yo kòmsadwa, epi kolabore ak pwofesyonèl ki gen eksperyans oswa konsiltan sekirite pou asire pwoteksyon pi gwo pou biznis ou nan peyizaj nwaj la ki toujou ap evolye.

1. https://www.bleepingcomputer.com/news/security/lastpass-hackers-stole-customer-vault-data-in-cloud-storage-breach/ ↑