Qed nitkellmu dwar is-sigurtà fil-cloud

Espożizzjoni żejda

Ejja npoġġuha b'dan il-mod, x'inkwieta dwar li tesponi? X'inhuma l-aktar assi siewja tiegħek? In-Numru tas-Sigurtà Soċjali tiegħek? L-informazzjoni tal-kont bankarju tiegħek? Dokumenti privati, jew ritratti? Il-frażi taż-żerriegħa tal-kripto tiegħek? Jekk tmexxi kumpanija, jew tkun responsabbli għaż-żamma tas-sigurtà tad-dejta, tista’ tinkwieta dwar li l-istess tipi ta’ informazzjoni jkunu kompromessi, iżda fuq abroader skala. Int ġejt fdat mill-klijenti tiegħek bil-protezzjoni tad-dejta tagħhom.

Bħala konsumaturi, nieħdu s-sigurtà tad-dejta tagħna bħala fatt. Aktar u aktar spiss f'dawn il-jiem dik id-data tinħażen fil-cloud. Numru ta' bejjiegħa joffru servizzi li jippermettu lill-klijenti jagħmlu backup tad-dejta mill-kompjuters lokali tagħhom fil-cloud. Aħseb fiha bħala hard drive virtwali fis-sema. Dan huwa reklamat bħala mod sikur u konvenjenti biex tipproteġi d-dejta tiegħek. Konvenjenti, iva. Tista 'tirkupra fajl li inti ħadthom aċċidentalment imħassra. Tista' tirrestawra hard drive kollu li d-data tagħha kienet korrotta.

Imma huwa sigur? Inti ipprovdut b'serratura u ċavetta. Iċ-ċavetta hija, tipikament, username u password. Huwa encrypted u magħruf lilek biss. Huwa għalhekk li l-esperti tas-sigurtà jirrakkomandaw li żżomm il-password tiegħek sigura. Jekk xi ħadd jikseb aċċess għall-password tiegħek, għandu ċ-ċavetta virtwali għad-dar virtwali tiegħek.

Inti taf dan kollu. Il-password tiegħek għas-servizz cloud backup hija twila 16-il karattru, fiha ittri kbar u żgħar, numri u ftit karattri speċjali. Tibdelha kull sitt xhur għax taf li jagħmilha aktar diffiċli għall-hacker. Hija differenti mill-passwords l-oħra tiegħek – ma tużax l-istess password għal siti multipli. X'jista' jmur ħażin?

Xi kumpaniji joffru dak li ttimbraw bħala "Personal Cloud." Punent Digital hija waħda minn dawk il-kumpaniji li jipprovdu mod faċli biex tagħmel backup tad-dejta tiegħek fl-ispazju personali tiegħek fi sħaba. Huwa ħażna f'netwerk disponibbli fuq l-internet. Huwa jwaħħal mar-router Wi-Fi tiegħek sabiex tkun tista' taċċessah minn kullimkien ġewwa n-netwerk tiegħek. B'mod konvenjenti, peress li hija wkoll konnessa mal-internet, tista' taċċessa d-dejta personali tiegħek minn kullimkien fuq l-internet. Bil-konvenjenza jiġi riskju.

Pożizzjoni ta' Kompromess

Aktar kmieni din is-sena, il-hackers daħlu fil-Punent Digitalis-sistemi ta' u kienu kapaċi jniżżlu madwar 10 Tb ta' data. Dawk li jibagħtu l-iswed imbagħad żammew id-data għall-fidwa u ppruvaw jinnegozjaw ftehim fit-tramuntana ta 'US $10,000,000 għar-ritorn sikur tad-data. Id-data hija bħaż-żejt. Jew forsi deheb huwa analoġija aħjar. Wieħed mill-hackers tkellem bil-kundizzjoni tal-anonimità. Ha! TechCrunch intervistawh waqt li kien fil-proċess ta’ dan il-ftehim tan-negozju. Li hu interessanti huwa li d-dejta li ġiet kompromessa kienet tinkludi l-Punent Digitaliċ-ċertifikat tal-iffirmar tal-kodiċi. Dan huwa l-ekwivalenti teknoloġiku ta 'skan tar-retina. Iċ-ċertifikat huwa maħsub biex jidentifika b'mod pożittiv is-sid jew min iġib. B'din l-iskannjar tar-retina virtwali, l-ebda password mhi meħtieġa għall-aċċess għal data "sikura". Fi kliem ieħor, b’dan iċ-ċertifikat dan in-negozjant tal-kappell iswed jista’ jimxi dritt fil-bieb ta’ barra tal- digital palazz.

Punent Digital irrifjutaw li jikkummentaw bi tweġiba għall-pretensjonijiet tal-hacker li kienu għadhom fin-netwerk ta 'WD. Il-hacker bla isem esprima d-diżappunt li r-rappreżentanti fil-Punent Digital ma kienx jirritorna s-sejħiet tiegħu. Uffiċjalment, fi a istqarrija għall-istampa, Tal-Punent Digital ħabbar li, "Ibbażat fuq l-investigazzjoni sal-lum, il-Kumpanija temmen li l-parti mhux awtorizzata kisbet ċerta dejta mis-sistemi tagħha u qed taħdem biex tifhem in-natura u l-ambitu ta 'dik id-dejta." Allura, tal-Punent Digital hija omm, imma l-hacker qed iħabbat. Rigward kif għamlu dan, il-hacker jiddeskrivi kif sfruttaw vulnerabbiltajiet magħrufa u setgħu jiksbu aċċess għad-dejta fil-cloud bħala amministratur globali.

Amministratur globali, min-natura tar-rwol, għandu aċċess għal kollox. M'għandux bżonn il-password tiegħek. Huwa għandu ċ-ċavetta prinċipali.

Punent Digital mhux Waħdu

A Stħarriġ is-sena l-oħra sabet li 83% tal-kumpaniji mistħarrġa kellhom iktar minn wieħed ksur tad-data, li 45% minnhom kienu bbażati fuq cloud. Il- medja l-ispiża ta 'ksur tad-data fl-Istati Uniti kienet ta' US $ 9.44 miljun. L-ispejjeż tqassmu f'erba' kategoriji ta' spejjeż — negozju mitluf, skoperta u eskalazzjoni, notifika u rispons wara ksur. (M'inix ċert f'liema kategorija tinsab il-fidwa tad-dejta. Mhuwiex ċar jekk xi wieħed minn dawk li wieġbu kienx ħallas it-talbiet tal-fidwa.) Il-ħin medju li tieħu organizzazzjoni biex tidentifika u tirrispondi għal ksur tad-dejta huwa ta' madwar 9 xhur. Mhix sorpriża, allura, li diversi xhur wara l-Punent Digital l-ewwel irrikonoxxew ksur tad-dejta, għadhom qed jinvestigaw.

Huwa diffiċli li tgħid eżatt kemm kumpaniji kellhom ksur tad-dejta. Naf kumpanija kbira privata li ġiet attakkata minn ransomware. Is-sidien irrifjutaw li jinnegozjaw u ma ħallsux. Dan kien ifisser, minflok, mitlufa emails u data files. Huma għażlu li jerġgħu jibnu kollox minn backups mhux infettati u jerġgħu jinstallaw softwer. Kien hemm waqfien sinifikanti u produttività mitlufa. Dan l-avveniment qatt ma kien fil-midja. Dik il-kumpanija kienet xortik tajba għaliex 66% ta’ kumpaniji ta’ daqs żgħir u medju li jiġu attakkati minn ransomware jispiċċaw fin-negozju fi żmien 6 xhur.

• 30,000 websajt huma Hacked kuljum
• 4 miljun fajl huma misruqa kuljum
• 22 biljun rekord kienu inkiser fil 2021

Jekk qatt għamilt negozju ma', jew użajt is-servizzi ta' Capital One, Marriott, Equifax, Target jew Uber, huwa possibbli li l-password tiegħek ġiet kompromessa. Kull waħda minn dawn il-kumpaniji ewlenin sofriet ksur sinifikanti tad-dejta.

• Capital One: Hacker kiseb aċċess għal 100 miljun klijent u applikant billi sfrutta vulnerabbiltà fl-infrastruttura tal-cloud tal-kumpanija.
• Marriott: Ksur tad-dejta espost informazzjoni fuq 500 miljun klijent (dan il-ksur baqa' ma nstabx għal 4 snin).
• Equifax: Ġiet esposta informazzjoni personali fil-cloud fuq 147 miljun klijent.
• Mira: Ċiberkriminali aċċessaw 40 miljun numru ta 'karta ta' kreditu.
• Uber: Il-hackers ikkompromettew laptop ta' żviluppatur u kisbu aċċess għal 57 miljun utent u 600,000 sewwieq.
• LastPass^[1]: Il-hackers serqu dejta tal-kaxxa-forti ta' 33 miljun klijenti fi ksur tal-ħażna tal-cloud għal din il-kumpanija tal-maniġer tal-password. L-attakkant kiseb aċċess għall-ħażna sħaba ta 'Lastpass permezz ta' "ċavetta ta 'aċċess għall-ħażna tas-sħab u ċwievet ta' deċifrar tal-kontenitur tal-ħażna doppja" misruqa mill-ambjent tal-iżviluppatur tiegħu.

Tista' tiċċekkja biex tara jekk ġejtx espost fi ksur tad-dejta f'dan il-websajt: ġejt pwned? Daħħal l-indirizz tal-email tiegħek u jurik kemm-il ksur tad-data nstab fih l-indirizz tal-email. Pereżempju, dtajt wieħed mill-indirizzi tal-email personali tiegħi u sibt li kien parti minn 25 ksur tad-data differenti, inkluż Evite , Dropbox, Adobe, LinkedIn u Twitter.

Tfixkel lil Suitors Mhux Mixtieqa

Jista' jkun li qatt ma jkun hemm rikonoxximent pubbliku mill-Punent Digital ta’ eżattament x’ġara. L-inċident juri żewġ affarijiet: id-dejta fil-cloud hija sigura daqs kemm id-detenturi tagħha u dawk li jżommu ċ-ċwievet jeħtieġ li joqogħdu attenti b'mod speċjali. Biex tipparafrażi l-Prinċipju Peter Parker, bl-aċċess għall-għeruq tiġi responsabbiltà kbira.

Biex inkun aktar preċiż, utent root u amministratur globali mhumiex eżattament l-istess. It-tnejn għandhom ħafna poter iżda għandhom ikunu kontijiet separati. L-utent root jippossjedi u għandu aċċess għall-kont tal-cloud korporattiv fl-iktar livell baxx. Bħala tali, dan il-kont jista 'jħassar id-dejta kollha, il-VMs, l-informazzjoni tal-klijenti - dak kollu li negozju jkun żgurat fil-cloud. Fl-AWS, hemm biss kompiti 10, inkluż it-twaqqif u l-għeluq tal-kont AWS tiegħek, li verament jeħtieġu aċċess għall-għeruq.

Għandhom jinħolqu kontijiet tal-amministratur biex iwettqu kompiti amministrattivi (duh). Normalment ikun hemm kontijiet multipli ta 'Amministratur li huma ġeneralment ibbażati fuq il-persuna, b'differenza mill-kont ta' għerq wieħed. Minħabba li l-kontijiet tal-Amministratur huma marbuta ma' individwu, tista' faċilment tissorvelja min għamel liema bidliet fl-ambjent.

L-Inqas Privileġġ għal Sigurtà Massima

L-istħarriġ dwar il-ksur tad-dejta studja l-impatt ta’ 28 fattur fuq is-severità ta’ ksur tad-dejta. L-użu tas-sigurtà tal-AI, approċċ DevSecOps, taħriġ tal-impjegati, ġestjoni tal-identità u tal-aċċess, MFA, analiżi tas-sigurtà kollha kellhom impatt pożittiv fit-tnaqqis tal-ammont medju ta’ dollari mitluf f’inċident. Billi, fallimenti ta' konformità, kumplessità tas-sistema tas-sigurtà, nuqqas ta' ħiliet tas-sigurtà, u migrazzjoni tal-cloud kienu fatturi li kkontribwew għal żieda netta ogħla fl-ispiża medja ta' ksur tad-dejta.

Hekk kif temigra lejn il-cloud, trid tkun aktar viġilanti minn qatt qabel biex tipproteġi d-dejta tiegħek. Hawn huma xi modi addizzjonali biex tnaqqas ir-riskju tiegħek u tmexxi ambjent aktar sigur minn a sigurtà lat:

1. Awtentikazzjoni b'ħafna fatturi: jinforza l-MFA għall-kontijiet root u kollha tal-Amministratur. Saħansitra aħjar, uża apparat MFA tal-ħardwer fiżiku. Hacker potenzjali jkun jeħtieġ mhux biss l-isem tal-kont u l-password, iżda wkoll l-MFA fiżika li tiġġenera kodiċi sinkronizzat.

2. Qawwa f'numri żgħar: Limitu min għandu aċċess għall-għerq. Xi esperti tas-sigurtà jissuġġerixxu mhux aktar minn 3 utenti. Immaniġġja l-aċċess tal-utent root b'mod assidu. Jekk tesegwixxi ġestjoni tal-identità u off-boarding imkien ieħor, agħmel dan hawn. Jekk wieħed fiċ-ċirku ta 'fiduċja jħalli l-organizzazzjoni, ibdel il-password ta' l-għeruq. Jirkupra l-apparat MFA.

3. Privileġġi tal-Kont Default: Meta tipprovdi kontijiet jew rwoli ta' utenti ġodda, kun żgur li jingħataw privileġġi minimi b'mod awtomatiku. Ibda b'politika ta' aċċess minimu u mbagħad agħti permessi addizzjonali kif meħtieġ. Il-prinċipju li tipprovdi l-inqas sigurtà biex twettaq kompitu huwa mudell li jgħaddi l-istandards ta 'konformità tas-sigurtà SOC2. Il-kunċett huwa li kull utent jew applikazzjoni għandu jkollu s-sigurtà minima meħtieġa biex iwettaq il-funzjoni meħtieġa. Aktar ma jkun għoli l-privileġġ li jiġi kompromess, iktar ikun kbir ir-riskju. Bil-maqlub, iktar ma jkun baxx il-privileġġ espost, inqas ikun ir-riskju.

4. Privileġġi tal-Awditjar: Awditja u tirrevedi regolarment il-privileġġi assenjati lill-utenti, ir-rwoli u l-kontijiet fl-ambjent tal-cloud tiegħek. Dan jiżgura li l-individwi jkollhom biss il-permess meħtieġ biex iwettqu l-kompiti magħżula tagħhom.

5. Ġestjoni tal-Identità u Privileġġi Just-in-time: Identifika u tirrevoka kwalunkwe privileġġ eċċessiv jew mhux użat biex jitnaqqas ir-riskju ta' aċċess mhux awtorizzat. Ipprovdi biss drittijiet ta' aċċess lill-utenti meta jkunu jeħtieġuhom għal kompitu speċifiku jew perjodu limitat. Dan jimminimizza l-wiċċ tal-attakk u jnaqqas it-tieqa tal-opportunità għal theddid potenzjali għas-sigurtà.

6. Kredenzjali inkorporati: Ipprojbixxi l-kodifikazzjoni iebes ta' awtentikazzjoni mhux kriptata (isem tal-utent, password, ċwievet ta' aċċess) fi skripts, impjiegi, jew kodiċi ieħor. Minflok tħares lejn a maniġer tas-sigrieti li tista' tuża biex tirkupra b'mod programmatiku l-kredenzjali.

7. Konfigurazzjoni tal-Infrastruttura bħala Kodiċi (IaC).: Aderixxi mal-aħjar prattiki tas-sigurtà meta tikkonfigura l-infrastruttura tal-cloud tiegħek billi tuża għodod IaC bħal AWS CloudFormation jew Terraform. Evita li tagħti aċċess pubbliku b'mod awtomatiku u rrestrinġi l-aċċess għar-riżorsi għal netwerks, utenti jew indirizzi IP ta' fiduċja biss. Uża permessi fini u mekkaniżmi ta 'kontroll tal-aċċess biex tinforza l-prinċipju tal-inqas privileġġ.

8. Logging ta' Azzjonijiet: Ippermetti illoggjar u monitoraġġ komprensiv ta' azzjonijiet u avvenimenti fl-ambjent tal-cloud tiegħek. Aqbad u janalizza zkuk għal kwalunkwe attività mhux tas-soltu jew potenzjalment malizzjuża. Implimenta soluzzjonijiet robusti ta 'ġestjoni ta' log u informazzjoni ta 'sigurtà u ġestjoni ta' avvenimenti (SIEM) biex tiskopri u tirrispondi għal inċidenti ta 'sigurtà fil-pront.

9. Valutazzjonijiet regolari tal-vulnerabbiltà: Wettaq valutazzjonijiet regolari tal-vulnerabbiltà u ttestjar tal-penetrazzjoni biex tidentifika dgħufijiet tas-sigurtà fl-ambjent tal-cloud tiegħek. Garża u tirranġa kwalunkwe vulnerabbiltajiet identifikati fil-pront. Żomm kont tal-aġġornamenti tas-sigurtà u l-irqajja rilaxxati mill-fornitur tal-cloud tiegħek u kun żgur li jiġu applikati fil-pront biex tipproteġi kontra theddid magħruf.

10. Edukazzjoni u Taħriġ: Tippromwovi kultura ta' għarfien dwar is-sigurtà u tipprovdi taħriġ regolari lill-impjegati dwar l-importanza tal-prinċipju tal-inqas privileġġ. Tedukahom dwar ir-riskji potenzjali assoċjati ma' privileġġi eċċessivi u l-aħjar prattiki li għandhom isegwu meta jaċċessaw u jimmaniġġjaw ir-riżorsi fl-ambjent tal-cloud.

11. Garża u Aġġornamenti: Naqqas il-vulnerabbiltajiet billi taġġorna regolarment is-softwer kollu tas-server. Żomm l-infrastruttura tal-cloud tiegħek u l-applikazzjonijiet assoċjati aġġornati biex tipproteġi kontra vulnerabbiltajiet magħrufa. Il-fornituri tal-cloud ħafna drabi jirrilaxxaw irqajja u aġġornamenti tas-sigurtà, għalhekk li jibqgħu aġġornati bir-rakkomandazzjonijiet tagħhom huwa kruċjali.

Trust

Jirriżulta mill-fiduċja – tipprovdi biss lil dawk fl-organizzazzjoni tiegħek il-fiduċja biex iwettqu l-kompiti li jridu jagħmlu biex iwettqu xogħolhom. Esperti tas-sigurtà jirrakkomandaw Fiduċja żero. Il-mudell tas-sigurtà Zero Trust huwa bbażat fuq tliet prinċipji ewlenin:

• Ivverifika b'mod espliċitu – uża l-punti tad-dejta kollha disponibbli biex tivvalida l-identità u l-aċċess tal-utent.
• Uża aċċess bl-inqas privileġġ – eżatt fil-ħin u sigurtà biżżejjed.
• Assumi ksur - kriptaġġ kollox, uża analitika proattiva u agħmel rispons ta 'emerġenza fis-seħħ.

Bħala konsumatur tas-servizzi tal-cloud u tal-cloud, niġu wkoll għall-fiduċja. Trid tistaqsi lilek innifsek, "nagħmel nafda lill-bejjiegħ tiegħi biex jaħżen id-dejta prezzjuża tiegħi fil-cloud?" Il-fiduċja, f'dan il-każ, tfisser li tistrieħ fuq dik il-kumpanija, jew waħda bħalha, biex tmexxi s-sigurtà kif deskritta hawn fuq. Inkella, jekk twieġeb fin-negattiv, inti lest li twettaq l-istess tipi ta 'attività ta' ġestjoni tas-sigurtà fl-ambjent tad-dar tiegħek. Inti tafda lilek innifsek?

Bħala kumpanija li tipprovdi servizzi fil-cloud, il-klijenti poġġew il-fiduċja tagħhom fik biex jissalvagwardjaw id-dejta tagħhom fl-infrastruttura tal-cloud tiegħek. Huwa proċess kontinwu. Ibqa' infurmat dwar theddid emerġenti, jadatta l-miżuri tas-sigurtà tiegħek kif xieraq, u kkollabora ma' professjonisti b'esperjenza jew konsulenti tas-sigurtà biex tiżgura l-akbar protezzjoni għan-negozju tiegħek fil-pajsaġġ tal-cloud li dejjem jevolvi.

1. https://www.bleepingcomputer.com/news/security/lastpass-hackers-stole-customer-vault-data-in-cloud-storage-breach/ ↑