Estamos falando de segurança na nuvem

Superexposição

Vamos colocar desta forma, o que você se preocupa em expor? Quais são seus ativos mais valiosos? Seu número de segurança social? Informações da sua conta bancária? Documentos privados ou fotografias? Sua frase-semente criptográfica? Se você gerencia uma empresa ou é responsável pela proteção de dados, pode se preocupar com o comprometimento dos mesmos tipos de informações, mas em geralroadsua escala. Seus clientes confiaram a você a proteção de seus dados.

Como consumidores, consideramos a segurança dos nossos dados um dado adquirido. Hoje em dia, cada vez mais os dados são armazenados na nuvem. Vários fornecedores oferecem serviços que permitem aos clientes fazer backup de dados de seus computadores locais para a nuvem. Pense nisso como um disco rígido virtual no céu. Isso é anunciado como uma forma segura e conveniente de proteger seus dados. Conveniente, sim. Você pode recuperar um arquivo que excluiu acidentalmente. Você pode restaurar um disco rígido inteiro cujos dados foram corrompidos.

Mas é seguro? Você recebe uma fechadura e uma chave. A chave é, normalmente, um nome de usuário e uma senha. Ele é criptografado e conhecido apenas por você. É por isso que os especialistas em segurança recomendam manter sua senha segura. Se alguém obtiver acesso à sua senha, ele terá a chave virtual da sua casa virtual.

Você sabe de tudo isso. Sua senha para o serviço de backup em nuvem tem 16 caracteres, contém letras maiúsculas e minúsculas, números e alguns caracteres especiais. Você muda a cada seis meses porque sabe que isso torna as coisas mais difíceis para o hacker. É diferente de suas outras senhas – você não usa a mesma senha para vários sites. O que poderia dar errado?

Algumas empresas oferecem o que chamam de “Nuvem Pessoal”. Ocidental Digital é uma daquelas empresas que oferece uma maneira fácil de fazer backup de seus dados em seu espaço pessoal na nuvem. É o armazenamento em rede disponível pela Internet. Ele se conecta ao seu roteador Wi-Fi para que você possa acessá-lo de qualquer lugar da sua rede. Convenientemente, por também estar conectado à internet, você pode acessar seus dados pessoais de qualquer lugar da internet. Com a conveniência vem o risco.

Uma posição comprometedora

No início deste ano, hackers invadiram países ocidentais Digitale foram capazes de baixar aproximadamente 10 Tb de dados. Os chantagistas então retiveram os dados para pedir resgate e tentaram negociar um acordo de mais de US$ 10,000,000 milhões para a devolução segura dos dados. Os dados são como o petróleo. Ou talvez o ouro seja uma analogia melhor. Um dos hackers falou sob condição de anonimato. Ha! TechCrunch entrevistei-o enquanto ele estava no processo deste negócio. O que é interessante é que os dados comprometidos incluíam dados ocidentais Digitalcertificado de assinatura de código. Este é o equivalente tecnológico de uma varredura de retina. O certificado destina-se a identificar positivamente o proprietário ou portador. Com esta varredura virtual de retina, nenhuma senha é necessária para acessar dados “seguros”. Ou seja, com este certificado esse empresário de chapéu preto pode entrar direto pela porta da frente do digital Palácio.

Ocidental Digital se recusou a comentar em resposta às alegações do hacker de que eles ainda estavam na rede da WD. O hacker não identificado expressou decepção com o fato de representantes da Western Digital não retornaria suas ligações. Oficialmente, em um comunicados à CMVM, Ocidental Digital anunciou que, “Com base na investigação até o momento, a Empresa acredita que a parte não autorizada obteve determinados dados de seus sistemas e está trabalhando para compreender a natureza e o escopo desses dados”. Então, ocidental Digital é mãe, mas o hacker está tagarelando. Quanto à forma como fizeram isso, o hacker descreve como explorou vulnerabilidades conhecidas e conseguiu obter acesso aos dados na nuvem como administrador global.

Um administrador global, por natureza da função, tem acesso a tudo. Ele não precisa da sua senha. Ele tem a chave mestra.

Ocidental Digital Não está sozinho

A vistoria no ano passado constatou que 83% das empresas pesquisadas tiveram mais de um violação de dados, 45% dos quais baseados na nuvem. O média O custo de uma violação de dados nos Estados Unidos foi de US$ 9.44 milhões. Os custos foram divididos em quatro categorias de custos: perda de negócios, detecção e escalonamento, notificação e resposta pós-violação. (Não tenho certeza em que categoria o resgate de dados está. Não está claro se algum dos entrevistados pagou os pedidos de resgate.) O tempo médio que uma organização leva para identificar e responder a uma violação de dados é de cerca de 9 meses. Não é surpresa, então, que vários meses depois do Ocidente Digital reconheceram pela primeira vez uma violação de dados, eles ainda estão investigando.

É difícil dizer exatamente quantas empresas sofreram violações de dados. Conheço uma grande empresa privada que foi atacada por ransomware. Os proprietários recusaram-se a negociar e não pagaram. Isso significava, em vez disso, perda de e-mails e arquivos de dados. Eles optaram por reconstruir tudo, desde backups não infectados e reinstalar o software. Houve tempo de inatividade significativo e perda de produtividade. Este evento nunca esteve na mídia. Essa empresa teve sorte porque 66% das pequenas e médias empresas que são atacadas por ransomware acabam fechando as portas em 6 meses.

• 30,000 sites estão hackeado diariamente
• 4 milhões de arquivos são roubado todo dia
• 22 bilhões de registros foram violado em 2021

Se você já fez negócios ou usou os serviços da Capital One, Marriott, Equifax, Target ou Uber, é possível que sua senha tenha sido comprometida. Cada uma dessas grandes empresas sofreu uma violação significativa de dados.

• Capital One: Um hacker obteve acesso a 100 milhões de clientes e candidatos explorando uma vulnerabilidade na infraestrutura em nuvem da empresa.
• Marriott: Uma violação de dados expôs informações de 500 milhões de clientes (essa violação passou despercebida por 4 anos).
• Equifax: Informações pessoais na nuvem de 147 milhões de clientes foram expostas.
• Alvo: Os cibercriminosos acessaram 40 milhões de números de cartão de crédito.
• Uber: hackers comprometeram o laptop de um desenvolvedor e obtiveram acesso a 57 milhões de usuários e 600,000 mil motoristas.
• LastPass^[1]: Hackers roubaram dados do cofre de 33 milhões de clientes em uma violação de armazenamento em nuvem para esta empresa de gerenciamento de senhas. O invasor obteve acesso ao armazenamento em nuvem do Lastpass usando uma “chave de acesso ao armazenamento em nuvem e chaves de descriptografia de contêiner de armazenamento duplo” roubadas de seu ambiente de desenvolvedor.

Você pode verificar se foi exposto a uma violação de dados neste site: Fui sacaneado? Digite seu endereço de e-mail e ele mostrará em quantas violações de dados o endereço de e-mail foi encontrado. Por exemplo, digitei um dos meus endereços de e-mail pessoais e descobri que ele fez parte de 25 violações de dados diferentes, incluindo Evite , Dropbox, Adobe, LinkedIn e Twitter.

Frustrando pretendentes indesejados

Talvez nunca haja um reconhecimento público por parte do Ocidente Digital exatamente o que aconteceu. O incidente ilustra duas coisas: os dados na nuvem são tão seguros quanto os seus detentores e os detentores das chaves precisam ser especialmente cuidadosos. Parafraseando o Princípio de Peter Parker, com o acesso root vem uma grande responsabilidade.

Para ser mais preciso, um usuário root e um administrador global não são exatamente iguais. Ambos têm muito poder, mas devem ser contas separadas. O usuário root possui e tem acesso à conta de nuvem corporativa no nível mais baixo. Como tal, esta conta pode eliminar todos os dados, VMs, informações de clientes – tudo o que uma empresa protegeu na nuvem. Na AWS, existem apenas tarefas 10, incluindo a configuração e o encerramento de sua conta AWS, que realmente exigem acesso root.

Contas de administrador devem ser criadas para executar tarefas administrativas (duh). Geralmente existem várias contas de administrador que geralmente são baseadas em pessoas, ao contrário da conta root única. Como as contas de administrador estão vinculadas a um indivíduo, você pode monitorar facilmente quem fez quais alterações no ambiente.

Menor privilégio para segurança máxima

A pesquisa sobre violação de dados estudou o impacto de 28 fatores na gravidade de uma violação de dados. O uso de segurança de IA, uma abordagem DevSecOps, treinamento de funcionários, gerenciamento de identidade e acesso, MFA e análises de segurança tiveram um impacto positivo na redução do valor médio perdido em um incidente. Considerando que as falhas de conformidade, a complexidade do sistema de segurança, a escassez de competências de segurança e a migração para a nuvem foram fatores que contribuíram para um maior aumento líquido no custo médio de uma violação de dados.

Ao migrar para a nuvem, você precisa estar mais vigilante do que nunca na proteção de seus dados. Aqui estão algumas maneiras adicionais de reduzir o risco e administrar um ambiente mais seguro a partir de um segurança ponto de vista:

1. Autenticação multifator: impor MFA para root e todas as contas de administrador. Melhor ainda, use um dispositivo MFA de hardware físico. Um potencial hacker precisaria não apenas do nome da conta e da senha, mas também do MFA físico que gera um código sincronizado.

2. Poder em pequenos números: Limite quem tem acesso ao root. Alguns especialistas em segurança sugerem no máximo 3 usuários. Gerencie o acesso do usuário root assiduamente. Se você executa o gerenciamento de identidade e não embarca em nenhum outro lugar, faça-o aqui. Se alguém do círculo de confiança sair da organização, altere a senha root. Recupere o dispositivo MFA.

3. Privilégios de conta padrão: Ao provisionar novas contas ou funções de usuário, certifique-se de que eles recebam privilégios mínimos por padrão. Comece com uma política de acesso mínimo e conceda permissões adicionais conforme necessário. O princípio de fornecer o mínimo de segurança para realizar uma tarefa é um modelo que passará pelos padrões de conformidade de segurança SOC2. O conceito é que qualquer usuário ou aplicação deve ter a segurança mínima necessária para executar a função exigida. Quanto maior o privilégio comprometido, maior o risco. Por outro lado, quanto menor o privilégio exposto, menor o risco.

4. Privilégios de auditoria: Audite e revise regularmente os privilégios atribuídos a usuários, funções e contas em seu ambiente de nuvem. Isso garante que os indivíduos tenham apenas a permissão necessária para executar as tarefas designadas.

5. Gerenciamento de identidade e privilégios just-in-time: Identifique e revogue quaisquer privilégios excessivos ou não utilizados para minimizar o risco de acesso não autorizado. Fornecer direitos de acesso aos usuários apenas quando eles precisarem deles para uma tarefa específica ou por um período limitado. Isso minimiza a superfície de ataque e reduz a janela de oportunidade para possíveis ameaças à segurança.

6. Credenciais incorporadas: proíbe a codificação de autenticação não criptografada (nome de usuário, senha, chaves de acesso) em scripts, trabalhos ou outro código. Em vez disso, olhe para um gerenciador de segredos que você pode usar para recuperar credenciais programaticamente.

7. Configuração de infraestrutura como código (IaC): siga as práticas recomendadas de segurança ao configurar sua infraestrutura em nuvem usando ferramentas IaC como AWS CloudFormation ou Terraform. Evite conceder acesso público por padrão e restrinja o acesso aos recursos apenas a redes, usuários ou endereços IP confiáveis. Utilize permissões refinadas e mecanismos de controle de acesso para impor o princípio do menor privilégio.

8. Registro de ações: habilite o registro e o monitoramento abrangentes de ações e eventos em seu ambiente de nuvem. Capture e analise logs em busca de atividades incomuns ou potencialmente maliciosas. Implemente soluções robustas de gerenciamento de logs e gerenciamento de eventos e informações de segurança (SIEM) para detectar e responder prontamente a incidentes de segurança.

9. Avaliações regulares de vulnerabilidade: realize avaliações regulares de vulnerabilidade e testes de penetração para identificar pontos fracos de segurança em seu ambiente de nuvem. Corrija e corrija quaisquer vulnerabilidades identificadas imediatamente. Acompanhe as atualizações e patches de segurança lançados pelo seu provedor de nuvem e garanta que eles sejam aplicados imediatamente para proteção contra ameaças conhecidas.

10. Educação e Formação: Promover uma cultura de conscientização sobre segurança e fornecer treinamento regular aos funcionários sobre a importância do princípio do menor privilégio. Eduque-os sobre os riscos potenciais associados a privilégios excessivos e as melhores práticas a seguir ao acessar e gerenciar recursos no ambiente de nuvem.

11. Correções e atualizações: reduza as vulnerabilidades atualizando regularmente todo o software do servidor. Mantenha sua infraestrutura em nuvem e aplicativos associados atualizados para se proteger contra vulnerabilidades conhecidas. Os provedores de nuvem costumam lançar patches e atualizações de segurança, portanto, manter-se atualizado com suas recomendações é crucial.

Confiança

Tudo se resume à confiança – fornecer apenas às pessoas da sua organização a confiança necessária para realizar as tarefas necessárias para realizar seu trabalho. Especialistas em segurança recomendam Confiança zero. O modelo de segurança Zero Trust é baseado em três princípios fundamentais:

• Verifique explicitamente – use todos os pontos de dados disponíveis para validar a identidade e o acesso de um usuário.
• Use acesso com privilégios mínimos – na hora certa e com segurança suficiente.
• Assuma a violação – criptografe tudo, utilize análises proativas e tenha uma resposta de emergência em vigor.

Como consumidor da nuvem e dos serviços em nuvem, também se trata de confiança. Você deve se perguntar: “confio em meu fornecedor para armazenar meus preciosos dados na nuvem?” Confiança, neste caso, significa que você confia nessa empresa, ou em outra semelhante, para gerenciar a segurança conforme descrevemos acima. Alternativamente, se responder negativamente, você está preparado para realizar os mesmos tipos de atividades de gerenciamento de segurança em seu ambiente doméstico? Você confia em si mesmo?

Como empresa que fornece serviços na nuvem, os clientes confiam em você para proteger seus dados em sua infraestrutura em nuvem. É um processo contínuo. Mantenha-se informado sobre ameaças emergentes, adapte suas medidas de segurança adequadamente e colabore com profissionais experientes ou consultores de segurança para garantir a máxima proteção para seus negócios no cenário de nuvem em constante evolução.

1. https://www.bleepingcomputer.com/news/security/lastpass-hackers-stole-customer-vault-data-in-cloud-storage-breach/ ↑