Kita bercakap tentang keselamatan dalam awan

Pendedahan Terlalu

Mari kita katakan begini, apa yang anda bimbang untuk mendedahkan? Apakah aset anda yang paling berharga? Nombor Keselamatan Sosial anda? Maklumat akaun bank anda? Dokumen peribadi, atau gambar? Frasa benih crypto anda? Jika anda mengurus syarikat, atau bertanggungjawab untuk menyimpan data, anda mungkin bimbang tentang jenis maklumat yang sama dikompromi, tetapi pada abroader skala. Anda telah diamanahkan oleh pelanggan anda dengan perlindungan data mereka.

Sebagai pengguna, kami mengambil mudah keselamatan data kami. Semakin kerap hari ini data itu disimpan dalam awan. Sebilangan vendor menawarkan perkhidmatan yang membolehkan pelanggan membuat sandaran data daripada komputer tempatan mereka ke awan. Fikirkan ia sebagai cakera keras maya di langit. Ini diiklankan sebagai cara yang selamat dan mudah untuk melindungi data anda. Mudah, ya. Anda boleh memulihkan fail yang anda telah padam secara tidak sengaja. Anda boleh memulihkan keseluruhan cakera keras yang datanya telah rosak.

Tetapi adakah ia selamat? Anda dibekalkan dengan kunci dan kunci. Kuncinya, biasanya, nama pengguna dan kata laluan. Ia disulitkan dan hanya diketahui oleh anda. Itulah sebabnya pakar keselamatan mengesyorkan agar kata laluan anda selamat. Jika seseorang mendapat akses kepada kata laluan anda, mereka mempunyai kunci maya ke rumah maya anda.

Anda tahu semua ini. Kata laluan anda kepada perkhidmatan awan sandaran adalah sepanjang 16 aksara, mengandungi huruf besar dan huruf kecil, nombor dan beberapa aksara khas. Anda menukarnya setiap enam bulan kerana anda tahu ia menyukarkan penggodam. Ia berbeza daripada kata laluan anda yang lain – anda tidak menggunakan kata laluan yang sama untuk berbilang tapak. Apa yang boleh berlaku?

Sesetengah syarikat menawarkan apa yang mereka jenamakan sebagai "Awan Peribadi". Barat Digital ialah salah satu syarikat yang menyediakan cara mudah untuk membuat sandaran data anda ke ruang peribadi anda dalam awan. Ia adalah storan rangkaian yang tersedia melalui internet. Ia dipalamkan ke penghala Wi-Fi anda supaya anda boleh mengaksesnya dari mana-mana sahaja di dalam rangkaian anda. Dengan mudah, kerana ia juga disambungkan ke internet, anda boleh mengakses data peribadi anda dari mana-mana sahaja di internet. Dengan kemudahan datang risiko.

Kedudukan Yang Berkompromi

Awal tahun ini, penggodam menceroboh Barat Digitalsistem dan dapat memuat turun kira-kira 10 Tb data. Pengirim surat hitam kemudian memegang data untuk wang tebusan dan cuba merundingkan perjanjian utara AS $10,000,000 untuk pemulangan data yang selamat. Data adalah seperti minyak. Atau mungkin emas adalah analogi yang lebih baik. Salah seorang penggodam bercakap dengan syarat tidak mahu namanya disiarkan. Ha! TechCrunch menemu bualnya semasa dia dalam proses perjanjian perniagaan ini. Apa yang menarik ialah data yang dikompromi termasuk Barat Digitalsijil menandatangani kod. Ini adalah teknologi yang setara dengan imbasan retina. Sijil ini bertujuan untuk mengenal pasti pemilik atau pembawa secara positif. Dengan imbasan retina maya ini, tiada kata laluan diperlukan untuk akses kepada data "terjamin". Dengan kata lain, dengan sijil ini ahli perniagaan topi hitam ini boleh berjalan betul-betul di pintu hadapan digital istana.

Barat Digital enggan mengulas sebagai respons kepada dakwaan penggodam bahawa mereka masih berada dalam rangkaian WD. Penggodam yang tidak dinamakan itu melahirkan kekecewaan wakil di Western Digital tidak akan membalas panggilannya. Secara rasmi, dalam a Sidang akhbar, Barat Digital mengumumkan bahawa, "Berdasarkan siasatan setakat ini, Syarikat percaya pihak yang tidak dibenarkan memperoleh data tertentu daripada sistemnya dan sedang berusaha untuk memahami sifat dan skop data tersebut." Jadi, Barat Digital adalah ibu, tetapi penggodam itu membebel. Mengenai cara mereka melakukannya, penggodam menerangkan cara mereka mengeksploitasi kelemahan yang diketahui dan dapat memperoleh akses kepada data dalam awan sebagai pentadbir global.

Pentadbir global, mengikut sifat peranan, mempunyai akses kepada segala-galanya. Dia tidak memerlukan kata laluan anda. Dia mempunyai kunci utama.

Barat Digital Bukan Keseorangan

A kaji selidik tahun lepas mendapati bahawa 83% daripada syarikat yang dikaji telah mempunyai lebih daripada satu pelanggaran data, 45% daripadanya adalah berasaskan awan. The purata kos pelanggaran data di Amerika Syarikat ialah AS $9.44 juta. Kos dipecahkan kepada empat kategori kos — kehilangan perniagaan, pengesanan dan peningkatan, pemberitahuan dan tindak balas pelanggaran selepas. (Saya tidak pasti dalam kategori apa tebusan data itu. Tidak jelas sama ada mana-mana responden telah membayar tuntutan wang tebusan.) Purata masa yang diambil oleh organisasi untuk mengenal pasti dan bertindak balas terhadap pelanggaran data ialah kira-kira 9 bulan. Oleh itu, tidak mengejutkan bahawa beberapa bulan selepas Barat Digital mula-mula mengakui pelanggaran data, mereka masih menyiasat.

Sukar untuk menyatakan dengan tepat berapa banyak syarikat yang mengalami pelanggaran data. Saya tahu satu syarikat milik persendirian besar yang telah diserang oleh perisian tebusan. Pemilik enggan berunding dan tidak membayar. Ini bermakna, sebaliknya, kehilangan e-mel dan fail data. Mereka memilih untuk membina semula segala-galanya daripada sandaran yang tidak dijangkiti dan memasang semula perisian. Terdapat masa berhenti yang ketara dan kehilangan produktiviti. Peristiwa ini tidak pernah disiarkan di media. Syarikat itu bertuah kerana 66% syarikat bersaiz kecil hingga sederhana yang diserang oleh perisian tebusan akhirnya akan gulung tikar dalam masa 6 bulan.

• 30,000 laman web adalah digodam harian
• 4 juta fail adalah dicuri setiap hari
• 22 bilion rekod adalah melanggar dalam 2021

Jika anda pernah menjalankan perniagaan dengan, atau menggunakan perkhidmatan Capital One, Marriott, Equifax, Target atau Uber, ada kemungkinan kata laluan anda telah terjejas. Setiap syarikat utama ini mengalami pelanggaran data yang ketara.

• Capital One: Seorang penggodam memperoleh akses kepada 100 juta pelanggan dan pemohon dengan mengeksploitasi kelemahan dalam infrastruktur awan syarikat.
• Marriott: Pelanggaran data mendedahkan maklumat mengenai 500 juta pelanggan (pelanggaran ini tidak dapat dikesan selama 4 tahun).
• Equifax: Maklumat peribadi dalam awan pada 147 juta pelanggan telah terdedah.
• Sasaran: Penjenayah siber mengakses 40 juta nombor kad kredit.
• Uber: Penggodam menjejaskan komputer riba pembangun dan mendapat akses kepada 57 juta pengguna dan 600,000 pemandu.
• LastPass^[1]: Penggodam mencuri 33 juta data peti besi pelanggan dalam pelanggaran storan awan untuk syarikat pengurus kata laluan ini. Penyerang mendapat akses kepada storan awan Lastpass menggunakan "kunci akses storan awan dan kunci penyahsulitan bekas storan dwi" yang dicuri daripada persekitaran pembangunnya.

Anda boleh menyemak untuk melihat sama ada anda telah terdedah dalam pelanggaran data di tapak web ini: adakah saya telah diberhentikan? Taipkan alamat e-mel anda dan ia akan menunjukkan kepada anda berapa banyak pelanggaran data alamat e-mel telah ditemui. Contohnya, saya menaip salah satu alamat e-mel peribadi saya dan mendapati ia telah menjadi sebahagian daripada 25 pelanggaran data yang berbeza, termasuk Evite , Dropbox, Adobe, LinkedIn dan Twitter.

Menghalang Peminat Yang Tidak Diingini

Mungkin tidak pernah ada pengakuan awam oleh Barat Digital tentang apa yang berlaku. Insiden itu menggambarkan dua perkara: data dalam awan hanya selamat seperti penjaganya dan penjaga kunci perlu berhati-hati. Untuk menghuraikan Prinsip Peter Parker, dengan akses root datang tanggungjawab yang besar.

Untuk menjadi lebih tepat, pengguna root dan pentadbir global tidak betul-betul sama. Kedua-duanya mempunyai banyak kuasa tetapi harus menjadi akaun yang berasingan. Pengguna akar memiliki dan mempunyai akses kepada akaun awan korporat pada tahap paling rendah. Oleh itu, akaun ini boleh memadamkan semua data, VM, maklumat pelanggan — semua yang telah dilindungi oleh perniagaan dalam awan. Dalam AWS, ada sahaja tugas-tugas 10, termasuk menyediakan dan menutup akaun AWS anda, yang benar-benar memerlukan akses root.

Akaun pentadbir hendaklah dibuat untuk melaksanakan tugas pentadbiran (duh). Biasanya terdapat berbilang akaun Pentadbir yang biasanya berasaskan orang, tidak seperti akaun akar tunggal. Oleh kerana akaun Pentadbir terikat kepada individu, anda boleh memantau dengan mudah siapa yang membuat perubahan dalam persekitaran.

Keistimewaan Paling Rendah untuk Keselamatan Maksimum

Tinjauan pelanggaran data mengkaji kesan 28 faktor terhadap keterukan pelanggaran data. Penggunaan keselamatan AI, pendekatan DevSecOps, latihan pekerja, pengurusan identiti dan akses, MFA, analisis keselamatan semuanya mempunyai kesan positif dalam mengurangkan jumlah purata dolar yang hilang dalam insiden. Manakala, kegagalan pematuhan, kerumitan sistem keselamatan, kekurangan kemahiran keselamatan dan pemindahan awan merupakan faktor yang menyumbang kepada peningkatan bersih yang lebih tinggi dalam kos purata pelanggaran data.

Semasa anda berhijrah ke awan, anda perlu lebih berhati-hati berbanding sebelum ini dalam melindungi data anda. Berikut ialah beberapa cara tambahan untuk mengurangkan risiko anda dan menjalankan persekitaran yang lebih selamat daripada a keselamatan sudut pandangan:

1. Pengesahan Muli-faktor: menguatkuasakan MFA untuk akar dan semua akaun Pentadbir. Lebih baik lagi, gunakan peranti MFA perkakasan fizikal. Seorang penggodam yang berpotensi memerlukan bukan sahaja nama akaun dan kata laluan, tetapi juga MFA fizikal yang menjana kod yang disegerakkan.

2. Kuasa dalam jumlah kecil: Hadkan siapa yang mempunyai akses kepada akar. Sesetengah pakar keselamatan mencadangkan tidak lebih daripada 3 pengguna. Uruskan akses pengguna root dengan tekun. Jika anda tidak melaksanakan pengurusan identiti dan tidak berada di tempat lain, lakukannya di sini. Jika seseorang dalam kalangan kepercayaan meninggalkan organisasi, tukar kata laluan akar. Pulihkan peranti MFA.

3. Keistimewaan Akaun Lalai: Apabila memperuntukkan akaun atau peranan pengguna baharu, pastikan mereka diberikan keistimewaan minimum secara lalai. Mulakan dengan dasar akses minimum dan kemudian berikan kebenaran tambahan seperti yang diperlukan. Prinsip menyediakan keselamatan paling sedikit untuk menyelesaikan tugas ialah model yang akan melepasi piawaian pematuhan keselamatan SOC2. Konsepnya ialah mana-mana pengguna atau aplikasi harus mempunyai keselamatan minimum yang diperlukan untuk melaksanakan fungsi yang diperlukan. Lebih tinggi keistimewaan yang dikompromi, lebih besar risikonya. Sebaliknya, semakin rendah keistimewaan yang terdedah, semakin rendah risikonya.

4. Keistimewaan Pengauditan: Sentiasa mengaudit dan menyemak keistimewaan yang diberikan kepada pengguna, peranan dan akaun dalam persekitaran awan anda. Ini memastikan bahawa individu hanya mempunyai kebenaran yang diperlukan untuk melaksanakan tugas yang ditetapkan.

5. Pengurusan Identiti dan Keistimewaan Just-in-time: Kenal pasti dan batalkan sebarang keistimewaan yang berlebihan atau tidak digunakan untuk meminimumkan risiko akses tanpa kebenaran. Hanya berikan hak akses kepada pengguna apabila mereka memerlukannya untuk tugas tertentu atau tempoh terhad. Ini meminimumkan permukaan serangan dan mengurangkan peluang untuk potensi ancaman keselamatan.

6. Bukti kelayakan terbenam: Melarang pengekodan keras pengesahan tidak disulitkan (nama pengguna, kata laluan, kunci akses) dalam skrip, kerja atau kod lain. Sebaliknya lihat ke dalam a pengurus rahsia yang boleh anda gunakan untuk mendapatkan semula kelayakan secara pemrograman.

7. Konfigurasi Infrastruktur-sebagai-Kod (IaC).: Patuhi amalan terbaik keselamatan apabila mengkonfigurasi infrastruktur awan anda menggunakan alat IaC seperti AWS CloudFormation atau Terraform. Elakkan memberikan akses awam secara lalai dan hadkan akses kepada sumber kepada rangkaian, pengguna atau alamat IP yang dipercayai sahaja. Gunakan kebenaran terperinci dan mekanisme kawalan akses untuk menguatkuasakan prinsip keistimewaan yang paling sedikit.

8. Pembalakan Tindakan: Dayakan pengelogan dan pemantauan menyeluruh tindakan dan peristiwa dalam persekitaran awan anda. Tangkap dan analisis log untuk sebarang aktiviti luar biasa atau berpotensi berniat jahat. Laksanakan pengurusan log yang teguh dan penyelesaian maklumat keselamatan dan pengurusan acara (SIEM) untuk mengesan dan bertindak balas terhadap insiden keselamatan dengan segera.

9. Penilaian Kerentanan Berkala: Lakukan penilaian kerentanan dan ujian penembusan yang kerap untuk mengenal pasti kelemahan keselamatan dalam persekitaran awan anda. Tampal dan pulihkan sebarang kelemahan yang dikenal pasti dengan segera. Jejaki kemas kini keselamatan dan tampalan yang dikeluarkan oleh pembekal awan anda dan pastikan ia digunakan dengan segera untuk melindungi daripada ancaman yang diketahui.

10. Pendidikan dan Latihan: Menggalakkan budaya kesedaran keselamatan dan menyediakan latihan tetap kepada pekerja mengenai kepentingan prinsip keistimewaan yang paling sedikit. Didik mereka tentang potensi risiko yang berkaitan dengan keistimewaan yang berlebihan dan amalan terbaik untuk diikuti apabila mengakses dan mengurus sumber dalam persekitaran awan.

11. Tampalan dan Kemas Kini: Kurangkan kelemahan dengan mengemas kini semua perisian pelayan secara kerap. Pastikan infrastruktur awan anda dan aplikasi berkaitan dikemas kini untuk melindungi daripada kelemahan yang diketahui. Pembekal awan sering mengeluarkan tampung keselamatan dan kemas kini, jadi kekal terkini dengan pengesyoran mereka adalah penting.

Amanah

Ia bergantung kepada kepercayaan - hanya memberikan kepercayaan kepada mereka dalam organisasi anda untuk menyelesaikan tugas yang perlu mereka lakukan untuk menyelesaikan tugas mereka. Pakar keselamatan mengesyorkan Kepercayaan Sifar. Model keselamatan Zero Trust adalah berdasarkan tiga prinsip utama:

• Sahkan secara eksplisit – gunakan semua titik data yang tersedia untuk mengesahkan identiti dan akses pengguna.
• Gunakan akses yang paling tidak mempunyai keistimewaan – tepat pada masanya dan keselamatan yang mencukupi.
• Anggap pelanggaran - menyulitkan segala-galanya, gunakan analitik proaktif dan sediakan respons kecemasan.

Sebagai pengguna perkhidmatan awan dan awan, ia juga bergantung kepada kepercayaan. Anda perlu bertanya kepada diri sendiri, "adakah saya mempercayai vendor saya untuk menyimpan data berharga saya di awan?" Amanah, dalam kes ini, bermakna anda bergantung pada syarikat itu, atau syarikat sepertinya, untuk mengurus keselamatan seperti yang telah kami huraikan di atas. Sebagai alternatif, jika anda menjawab negatif, adakah anda bersedia untuk melakukan jenis aktiviti pengurusan keselamatan yang sama dalam persekitaran rumah anda. Adakah anda mempercayai diri anda sendiri?

Sebagai sebuah syarikat yang menyediakan perkhidmatan dalam awan, pelanggan telah meletakkan kepercayaan mereka kepada anda untuk melindungi data mereka dalam infrastruktur awan anda. Ia satu proses yang berterusan. Kekal dimaklumkan tentang ancaman yang muncul, sesuaikan langkah keselamatan anda dengan sewajarnya, dan bekerjasama dengan profesional berpengalaman atau perunding keselamatan untuk memastikan perlindungan terbaik untuk perniagaan anda dalam landskap awan yang sentiasa berkembang.

1. https://www.bleepingcomputer.com/news/security/lastpass-hackers-stole-customer-vault-data-in-cloud-storage-breach/ ↑