Urang ngobrol ngeunaan kaamanan dina awan

Over Exposure

Hayu urang nempatkeun eta cara kieu, naon salempang ngeunaan exposing? Naon aset anjeun anu paling berharga? Nomer Jaminan Sosial anjeun? Inpo rekening bank anjeun? Dokumén pribadi, atanapi poto? Frase cikal crypto anjeun? Upami anjeun ngatur perusahaan, atanapi tanggung jawab pikeun ngajaga data, anjeun tiasa hariwang ngeunaan jinis inpormasi anu sami anu badé dikompromi, tapi dina abroader skala. Anjeun parantos dipercayakeun ku palanggan anjeun pikeun ngajagaan datana.

Salaku konsumén, urang nyandak kaamanan data urang for teu dibales. Beuki sering dinten ieu data disimpen dina awan. Sajumlah padagang nawiskeun jasa anu ngamungkinkeun para nasabah nyadangkeun data tina komputer lokalna ka méga. Pikirkeun éta salaku hard drive virtual di langit. Ieu diémbarkeun salaku cara anu aman sareng merenah pikeun ngajagi data anjeun. Merenah, enya. Anjeun tiasa mulangkeun file anu teu kahaja anjeun ngahapus. Anjeun tiasa mulangkeun sakabéh hard drive anu datana ruksak.

Tapi éta aman? Anjeun disadiakeun ku konci na konci. konci téh, ilaharna, hiji ngaran pamaké sarta sandi. Éta énkripsi sareng ngan ukur anjeun terang. Éta sababna para ahli kaamanan nyarankeun ngajaga sandi anjeun aman. Upami aya anu kéngingkeun aksés kana kecap akses anjeun, aranjeunna gaduh konci virtual pikeun bumi virtual anjeun.

Anjeun terang sadayana ieu. Sandi anjeun ka ladenan awan cadangan panjangna 16 karakter, ngandung hurup ageung sareng hurup leutik, angka sareng sababaraha karakter khusus. Anjeun ngaganti eta unggal genep bulan sabab nyaho yén ngajadikeun eta harder pikeun hacker. Éta béda ti kecap akses anjeun anu sanés - anjeun henteu nganggo kecap konci anu sami pikeun sababaraha situs. Naon anu salah?

Sababaraha perusahaan nawiskeun naon anu aranjeunna branded salaku "Awan Pribadi." Kulon Digital mangrupikeun salah sahiji perusahaan anu nyayogikeun cara anu gampang pikeun nyadangkeun data anjeun ka rohangan pribadi anjeun dina awan. Panyimpenan jaringan sayogi dina internét. Éta nyolok kana router Wi-Fi anjeun supados anjeun tiasa ngaksés éta ti mana waé dina jaringan anjeun. Merenah, sabab ogé nyambung ka internét, anjeun tiasa ngaksés data pribadi anjeun ti mana waé dina internét. Kalawan genah datang resiko.

Hiji Posisi Compromising

Baheula taun ieu, hacker peupeus kana Kulon Digital's sistem sarta éta bisa ngundeur kira 10 Tb data. The mailers hideung lajeng nahan data pikeun tebusan sarta nyoba negotiate deal kalér AS $ 10,000,000 pikeun balik aman data. Data sapertos minyak. Atawa meureun emas mangrupakeun analogi hadé. Salah sahiji peretas nyarios dina kaayaan anonimitas. Ha! TechCrunch ngawawancara anjeunna nalika anjeunna dina prosés deal bisnis ieu. Anu pikaresepeun nyaéta data anu dikompromi kalebet Kulon Digitalsertipikat penandatanganan kode. Ieu sarimbag téhnologis tina scan rétina. Sertipikat dimaksudkeun pikeun ngaidentipikasi sacara positif anu gaduh atanapi panyandang. Kalayan scan rétina virtual ieu, henteu aya kecap konci anu diperyogikeun pikeun aksés kana data anu "aman". Kalayan kecap séjén,, kalawan sertipikat ieu pangusaha topi hideung ieu bisa leumpang katuhu dina panto hareup digital karaton.

ngulon Digital nampik mairan dina respon kana klaim hacker yén maranéhanana éta kénéh dina jaringan WD urang. The hacker unnamed dikedalkeun kuciwa nu wawakil di Kulon Digital moal balik nelepon na. Sacara resmi, dina a siaran pérs, Kulon Digital ngumumkeun yén, "Dumasar kana panyilidikan dugi ka ayeuna, Perusahaan yakin yén pihak anu henteu sah nampi data tinangtu tina sistemna sareng nuju ngusahakeun ngartos sifat sareng ruang lingkup data éta." Ku kituna, Kulon Digital nyaeta mum, tapi hacker ieu blabbing. Sedengkeun pikeun kumaha aranjeunna ngalakukeunana, hacker ngajelaskeun kumaha aranjeunna dieksploitasi kerentanan dipikawanoh tur éta bisa meunang aksés ka data dina awan salaku administrator global.

Administrator global, dumasar kana peranna, ngagaduhan aksés ka sadayana. Anjeunna henteu peryogi sandi anjeun. Anjeunna boga konci master.

ngulon Digital nyaeta Teu Nyorangan

A naliti taun ka tukang kapanggih yén 83% tina pausahaan surveyed kungsi leuwih ti hiji breach data, 45% diantarana dumasar-awan. The rata-rata Biaya pelanggaran data di Amérika Serikat nyaéta $ 9.44 juta. Waragad direcah jadi opat kategori biaya - bisnis leungit, deteksi na escalation, bewara jeung respon breach pos. (Kuring henteu yakin kana kategori naon tebusan data. Henteu écés upami aya réspondén anu mayar pamenta tebusan.) Rata-rata waktos anu diperyogikeun organisasi pikeun ngaidentipikasi sareng ngabales pelanggaran data sakitar 9 bulan. Éta henteu heran, teras, yén sababaraha bulan saatos Kulon Digital kahiji ngaku hiji breach data, aranjeunna masih nalungtik.

Hésé nyarios persis sabaraha perusahaan anu parantos ngalanggar data. Kuring terang hiji perusahaan swasta ageung anu diserang ku ransomware. Pamilik nampik negotiate sarta henteu mayar. Éta hartosna, sanés, email sareng file data leungit. Aranjeunna milih ngawangun deui sadayana tina cadangan anu teu katépaan sareng pasang deui parangkat lunak. Aya down-time signifikan jeung leungit produktivitas. Kajadian ieu henteu kantos aya dina média. parusahaan éta untung sabab 66% pausahaan leutik nepi ka sedeng anu diserang ku ransomware tungtungna kaluar tina bisnis dina 6 bulan.

• 30,000 situs web anu hacked unggal poe
• 4 juta file anu dipaling unggal dinten
• 22 miliar rékaman éta mungkir di 2021

Upami anjeun kantos usaha sareng, atanapi nganggo jasa Capital One, Marriott, Equifax, Target atanapi Uber, kamungkinan kecap konci anjeun badé dikompromi. Unggal pausahaan utama ieu ngalaman breach data signifikan.

• Capital One: Peretas nampi aksés ka 100 juta palanggan sareng pelamar ku cara ngamangpaatkeun kerentanan dina infrastruktur awan perusahaan.
• Marriott: Pelanggaran data ngungkabkeun inpormasi ngeunaan 500 juta palanggan (palanggaran ieu henteu kadeteksi salami 4 taun).
• Equifax: Inpormasi pribadi dina awan dina 147 juta palanggan kakeunaan.
• Target: Cybercriminals ngakses 40 juta nomer kartu kiridit.
• Uber: Peretas kompromi laptop pamekar sareng nampi aksés ka 57 juta pangguna sareng 600,000 supir.
• LastPass^[1]: Peretas maok 33 juta data kolong palanggan dina palanggaran panyimpenan awan pikeun perusahaan manajer sandi ieu. Panyerang nampi aksés kana panyimpenan awan Lastpass nganggo "konci aksés panyimpen awan sareng konci dekripsi wadah panyimpen duaan" anu dipaling tina lingkungan pangembangna.

Anjeun tiasa pariksa naha anjeun parantos kakeunaan pelanggaran data dina situs wéb ieu: Naha kuring parantos di pwn? Ketik alamat surélék anjeun sarta bakal némbongkeun Anjeun sabaraha data breaches alamat surélék geus kapanggih di. Contona, kuring ngetik dina salah sahiji alamat surélék pribadi kuring sarta manggihan yén éta geus mangrupa bagian tina 25 breaches data béda, kaasup Evite , Dropbox, Adobe, LinkedIn jeung Twitter.

Ngahalangan Suitors Teu Dihoyongkeun

Meureun pernah aya pangakuan umum ku Kulon Digital tina kahayang kajadian. Kajadian éta ngagambarkeun dua hal: data dina méga ngan ukur aman sapertos anu ngajaga sareng anu ngajaga konci kedah ati-ati. Pikeun paraphrase Prinsip Peter Parker, kalawan aksés root asalna tanggung jawab hébat.

Janten langkung tepat, pangguna root sareng administrator global henteu sami. Duanana gaduh seueur kakuatan tapi kedah janten akun anu misah. Pangguna akar gaduh sareng gaduh aksés kana akun awan perusahaan dina tingkat panghandapna. Sapertos kitu, akun ieu tiasa ngahapus sadaya data, VM, inpormasi palanggan - sadayana anu diamankeun ku bisnis dina méga. Dina AWS, ngan aya tugas 10, kaasup nyetel tur nutup akun AWS anjeun, nu sabenerna merlukeun aksés root.

Akun pangurus kedah didamel pikeun ngalaksanakeun tugas administratif (duh). Biasana aya sababaraha akun Administrator anu biasana dumasar kana jalma, teu sapertos akun akar tunggal. Kusabab akun Administrator dihijikeun ka hiji individu, anjeun tiasa kalayan gampang ngawas saha anu ngarobih naon anu aya dina lingkungan.

Hak Istimewa Pangsaeutikna pikeun Kaamanan Maksimum

Survey breach data nalungtik dampak 28 faktor dina severity of a breach data. Pamakéan kaamanan AI, pendekatan DevSecOps, pelatihan karyawan, idéntitas sareng manajemén aksés, MFA, analytics kaamanan sadayana ngagaduhan dampak anu positif dina ngirangan jumlah dolar rata-rata anu leungit dina hiji kajadian. Padahal, kagagalan patuh, pajeulitna sistem kaamanan, kakurangan kaahlian kaamanan, sareng migrasi awan mangrupikeun faktor anu nyumbang kana paningkatan net anu langkung luhur dina biaya rata-rata pelanggaran data.

Nalika anjeun migrasi ka méga, anjeun kedah langkung waspada ti kantos dina ngajagi data anjeun. Ieu sababaraha cara tambahan pikeun ngirangan résiko anjeun sareng ngajalankeun lingkungan anu langkung aman tina a kaamanan sudut pandang:

1. Muli-faktor auténtikasi: ngalaksanakeun MFA pikeun akar sareng sadaya akun Administrator. Malah leuwih hadé, make alat MFA hardware fisik. Calon hacker henteu ngan ukur peryogi nami akun sareng kecap akses, tapi ogé MFA fisik anu ngahasilkeun kode anu disingkronkeun.

2. Daya dina jumlah leutik: Watesan anu gaduh aksés kana akar. Sababaraha ahli kaamanan nyarankeun teu leuwih ti 3 pamaké. Atur aksés pamaké root rajin. Upami anjeun ngaéksekusi manajemén idéntitas sareng naék ka tempat sanés, lakukeun di dieu. Lamun salah sahiji dina bunderan kapercayaan ninggalkeun organisasi, ngarobah sandi root. Cageur alat MFA.

3. Hak Istimewa Akun Default: Nalika nyayogikeun akun atanapi peran pangguna énggal, pastikeun yén aranjeunna dibéré hak istimewa minimal sacara standar. Mimitian ku kawijakan aksés minimal teras masihan idin tambahan upami diperyogikeun. Prinsip nyayogikeun kaamanan pangsaeutikna pikeun ngalaksanakeun tugas nyaéta modél anu bakal lulus standar patuh kaamanan SOC2. Konsepna nyaéta yén sagala pangguna atanapi aplikasi kedah gaduh kaamanan minimum anu diperyogikeun pikeun ngalaksanakeun fungsi anu diperyogikeun. Nu leuwih luhur hak husus nu geus compromised, nu gede resiko. Sabalikna, handap hak husus kakeunaan, nu handap resiko.

4. Hak Auditing: Inok rutin sareng marios hak istimewa anu ditugaskeun ka pangguna, peran, sareng akun dina lingkungan awan anjeun. Ieu mastikeun yén individu ngan ukur gaduh idin anu diperyogikeun pikeun ngalaksanakeun tugas anu ditunjuk.

5. Manajemén Idéntitas sareng Hak Istimewa Just-in-time: Identipikasi sareng cabut hak-hak anu kaleuleuwihan atanapi henteu dianggo pikeun ngaleutikan résiko aksés anu henteu sah. Ngan nyadiakeun hak aksés ka pamaké lamun maranéhna merlukeun aranjeunna keur tugas husus atawa periode kawates. Ieu ngaminimalkeun permukaan serangan sareng ngirangan jandela kasempetan pikeun ancaman kaamanan poténsial.

6. Kapercayaan diselapkeun: Larang hard-coding tina auténtikasi anu henteu énkripsi (ngaran pangguna, kecap akses, konci aksés) dina naskah, padamelan, atanapi kodeu sanés. Gantina ningali kana a manajer rusiah nu bisa Anjeun pake pikeun programmatically meunangkeun credentials.

7. Infrastruktur-sakumaha-Kode (IaC) Konfigurasi: Taat kana prakték kaamanan pangsaéna nalika ngonpigurasikeun infrastruktur awan anjeun nganggo alat IaC sapertos AWS CloudFormation atanapi Terraform. Hindarkeun masihan aksés umum sacara standar sareng ngawatesan aksés ka sumber daya pikeun ngan ukur jaringan dipercaya, pangguna, atanapi alamat IP. Ngamangpaatkeun idin fine-grained jeung mékanisme kontrol aksés pikeun ngalaksanakeun prinsip hak husus sahenteuna.

8. Logging tina Aksi: Aktipkeun logging komprehensif sareng ngawaskeun tindakan sareng kajadian dina lingkungan awan anjeun. Candak sareng analisa log pikeun kagiatan anu teu biasa atanapi berpotensi ngabahayakeun. Ngalaksanakeun manajemén log anu kuat sareng inpormasi kaamanan sareng solusi manajemén acara (SIEM) pikeun ngadeteksi sareng ngaréspon insiden kaamanan gancang.

9. Penilaian Kerentanan Biasa: Laksanakeun penilaian kerentanan rutin sareng uji penetrasi pikeun ngaidentipikasi kalemahan kaamanan di lingkungan awan anjeun. Patch sareng ngalereskeun sagala kerentanan anu diidentifikasi langsung. Lacak apdet kaamanan sareng patch anu dikaluarkeun ku panyadia awan anjeun sareng pastikeun yén éta dilarapkeun langsung pikeun ngajagaan tina ancaman anu dipikanyaho.

10. Atikan sarta Latihan: Ngamajukeun budaya kasadaran kaamanan sarta nyadiakeun latihan rutin ka karyawan ngeunaan pentingna prinsip sahenteuna hak husus. Ngadidik aranjeunna ngeunaan potensi resiko pakait sareng hak husus kaleuleuwihan sarta prakték pangalusna pikeun nuturkeun nalika ngakses jeung ngatur sumberdaya dina lingkungan awan.

11. Patches sarta Apdet: Ngurangan kerentanan ku rutin ngamutahirkeun sadaya software server. Jaga infrastruktur awan anjeun sareng aplikasi anu aya hubunganana tetep diropéa pikeun ngajagaan tina kerentanan anu dipikanyaho. Panyadia awan sering ngaleupaskeun patch kaamanan sareng apdet, janten tetep ayeuna sareng saranna penting pisan.

kapercayaan

Ieu turun ka kapercayaan - ngan ukur masihan amanah pikeun organisasi anjeun pikeun ngalaksanakeun tugas anu kedah dilakukeun pikeun ngalaksanakeun tugasna. ahli kaamanan nyarankeun Percanten Nol. Modél kaamanan Zero Trust dumasar kana tilu prinsip konci:

• Verifikasi sacara eksplisit - anggo sadaya titik data anu sayogi pikeun ngavalidasi idéntitas sareng aksés pangguna.
• Anggo aksés anu paling saeutik-hak istimewa - pas dina waktosna sareng kaamanan anu cekap.
• Anggap breach - encrypt sagalana, employ analytics proaktif sarta boga réspon darurat di tempat.

Salaku konsumen jasa awan sareng awan, éta ogé turun ka amanah. Anjeun kedah naros ka diri anjeun, "Naha kuring percanten ka vendor kuring pikeun nyimpen data anu berharga dina méga?" Kapercayaan, dina hal ieu, hartosna anjeun ngandelkeun perusahaan éta, atanapi anu sapertos kitu, pikeun ngatur kaamanan sapertos anu dijelaskeun di luhur. Alternatipna, upami anjeun ngajawab négatip, naha anjeun siap ngalakukeun jinis kagiatan manajemén kaamanan anu sami di lingkungan bumi anjeun. Naha anjeun percanten ka diri anjeun?

Salaku perusahaan anu nyayogikeun jasa dina awan, para nasabah parantos percanten ka anjeun pikeun ngajagaan datana dina infrastruktur awan anjeun. Éta prosés anu terus-terusan. Tetep terang ngeunaan ancaman anu muncul, adaptasi ukuran kaamanan anjeun sasuai, sareng kolaborasi sareng profésional anu berpengalaman atanapi konsultan kaamanan pikeun mastikeun panyalindungan maksimal pikeun bisnis anjeun dina bentang awan anu terus berkembang.

1. https://www.bleepingcomputer.com/news/security/lastpass-hackers-stole-customer-vault-data-in-cloud-storage-breach/ ↑