Tại sao bảo mật đám mây của bạn không cắt nó và phải làm gì với nó

Khảo sát bảo mật đám mây năm 2019 của Viện Sans rất tỉnh táo (bạn sẽ cần đăng ký thành viên miễn phí để đọc nó). Được viết bởi Dave Shackleford vào tháng 4 năm 2019, báo cáo nêu một số sự thật và số liệu đáng thất vọng. Ví dụ: người ta sẽ nghĩ rằng, sau tất cả các báo cáo vi phạm gần đây, chúng tôi sẽ bảo vệ tài nguyên đám mây của mình tốt hơn. Nhưng không chỉ chúng ta vẫn còn khá tệ về vấn đề đó, vấn đề lớn không phải là công nghệ. Vẫn là người. Một dấu hiệu rõ ràng về điều này xuất hiện trong danh sách các loại tấn công hàng đầu của báo cáo, bắt đầu bằng việc chiếm đoạt tài khoản hoặc thông tin xác thực và lý do số hai về cấu hình sai các dịch vụ và tài nguyên trên đám mây.

"Đánh cắp uy tín là một phương pháp truy cập thử và đúng vì bạn đang tấn công người", Mike Sprunger, Giám đốc cấp cao của Thực hành tư vấn bảo mật tại Thực hành tư vấn bảo mật của Insight Enterprises, cho biết. "Mọi người sẽ luôn là mắt xích yếu nhất bởi vì đây là nơi bạn gặp nhiều vấn đề về kỹ thuật xã hội truyền thống, như gọi đến bàn trợ giúp, lừa đảo và lừa đảo."

Tất nhiên, có nhiều cách mà thông tin đăng nhập có thể bị đánh cắp, với lừa đảo đơn giản là mới nhất và trong một số trường hợp, khó nhất để xử lý. Nhưng thông tin đăng nhập cũng có thể được thu thập từ dữ liệu từ các vi phạm khác chỉ vì mọi người sử dụng lại thông tin đăng nhập tương tự nơi họ có thể để họ không nhớ nhiều hơn mức cần thiết. Ngoài ra, việc thực hành ghi thông tin đăng nhập theo thời gian trên các ghi chú dán và dán chúng bên cạnh bàn phím vẫn còn rất nhiều.

Cấu hình sai của dịch vụ đám mây là một lĩnh vực khác trong đó mọi người là điểm yếu. Sự khác biệt ở đây là mọi người sẽ ra ngoài và đứng lên một dịch vụ đám mây mà không biết họ đang làm gì, và sau đó họ sẽ sử dụng nó để lưu trữ dữ liệu mà không bảo vệ nó.

"Đầu tiên, trong việc áp dụng đám mây, đã có rất nhiều việc dễ dàng đứng lên một đám mây đến mức có những kỳ vọng không thực tế", Sprunger giải thích. "Mọi người mắc sai lầm và không thực sự rõ ràng những gì bạn phải làm để xác định bảo mật xung quanh các container."

Mơ hồ trong an ninh không tốt

Một phần của vấn đề là các nhà cung cấp đám mây không thực sự làm tốt công việc giải thích các tùy chọn bảo mật của họ hoạt động như thế nào (như tôi đã phát hiện ra khi xem xét các giải pháp Cơ sở hạ tầng hoặc Dịch vụ IaaS gần đây), vì vậy bạn phải đoán hoặc gọi các nhà cung cấp để được giúp đỡ. Ví dụ: với nhiều dịch vụ đám mây, bạn có tùy chọn bật tường lửa. Nhưng việc tìm hiểu cách cấu hình nó khi nó chạy có thể không được giải thích rõ ràng. Ở tất cả.

Vấn đề này tệ đến mức Shackleford, tác giả của báo cáo Sans, bắt đầu báo cáo với một danh sách các thùng dịch vụ lưu trữ đơn giản Amazon (S3) không được bảo vệ dẫn đến vi phạm. "Nếu các con số được tin tưởng, 7 phần trăm các thùng S3 được mở rộng ra thế giới", ông viết, "và 35 phần trăm khác không sử dụng mã hóa (được tích hợp trong dịch vụ)." Amazon S3 là một nền tảng lưu trữ tuyệt vời khi thử nghiệm của chúng tôi phát sinh. Các vấn đề như thế này đơn giản xuất phát từ người dùng hoặc cấu hình sai dịch vụ hoặc hoàn toàn không biết rằng một số tính năng nhất định tồn tại.

Lạm dụng sử dụng đặc quyền là tiếp theo trong danh sách và đó là một vấn đề khác xuất phát từ mọi người. Sprunger nói rằng điều này không chỉ là những nhân viên bất mãn, mặc dù nó bao gồm cả những người đó. "Rất nhiều thứ bị bỏ lỡ là các bên thứ ba có quyền truy cập đặc quyền", ông giải thích. "Việc truy cập tài khoản dịch vụ trở nên dễ dàng hơn nhiều. Thông thường, đó là một tài khoản với một mật khẩu duy nhất và không có trách nhiệm."

Tài khoản dịch vụ thường được cung cấp cho bên thứ ba, thường là nhà cung cấp hoặc nhà thầu cần truy cập để cung cấp hỗ trợ hoặc dịch vụ. Đó là một tài khoản dịch vụ thuộc về nhà thầu Hệ thống sưởi, thông gió, điều hòa không khí (HVAC) là điểm yếu dẫn đến vi phạm Target năm 2014. "Những tài khoản đó thường có đặc quyền giống như thần", Sprunger nói thêm rằng chúng là một mục tiêu chính cho những kẻ tấn công.

Khắc phục lỗ hổng bảo mật

Vì vậy, bạn làm gì về những lỗ hổng này? Câu trả lời ngắn gọn là đào tạo nhưng nó phức tạp hơn thế. Ví dụ: người dùng cần được đào tạo để xem xét các email lừa đảo và việc đào tạo đó cần phải được hoàn thành đủ để nhận ra các dấu hiệu lừa đảo tinh vi. Ngoài ra, cần bao gồm các bước nhân viên nên thực hiện nếu họ thậm chí nghi ngờ họ đang nhìn thấy một cuộc tấn công như vậy. Điều này bao gồm làm thế nào để xem nơi một liên kết trong một email thực sự sẽ đi, nhưng nó cũng cần bao gồm các thủ tục để báo cáo một email như vậy. Việc đào tạo cần bao gồm niềm tin rằng họ sẽ không gặp rắc rối vì không hành động theo các hướng dẫn được gửi qua email có vẻ đáng ngờ.

Tương tự như vậy, cần phải có một số cấp quản trị doanh nghiệp để các nhân viên ngẫu nhiên không ra ngoài và thiết lập tài khoản dịch vụ đám mây của riêng họ. Điều này bao gồm xem các chứng từ báo cáo chi phí cho các dịch vụ đám mây trên thẻ tín dụng cá nhân. Nhưng nó cũng có nghĩa là bạn cần cung cấp đào tạo về cách đối phó với sự sẵn có của các dịch vụ đám mây.

Xử lý lạm dụng người dùng đặc quyền

Xử lý lạm dụng người dùng đặc quyền cũng có thể là một thách thức vì một số nhà cung cấp sẽ khăng khăng truy cập với một loạt các quyền. Bạn có thể giải quyết một số điều này bằng cách phân đoạn mạng của mình để quyền truy cập chỉ dành cho dịch vụ đang được quản lý. Ví dụ: phân đoạn nó để bộ điều khiển HVAC nằm trên phân khúc của chính nó và các nhà cung cấp được giao nhiệm vụ duy trì hệ thống đó chỉ có quyền truy cập vào phần đó của mạng. Một biện pháp khác có thể giúp thực hiện điều này là triển khai một hệ thống quản lý danh tính (IDM) mạnh mẽ, nó sẽ không chỉ theo dõi các tài khoản tốt hơn mà còn cả những người có chúng và quyền truy cập của họ. Các hệ thống này cũng sẽ cho phép bạn tạm ngừng truy cập nhanh hơn và cung cấp bản kiểm tra hoạt động tài khoản. Và trong khi bạn có thể chi nhiều tiền cho một cái, bạn có thể đã có một cái đang chạy nếu bạn là cửa hàng Windows Server có bật cây Microsoft Active Directory (AD).

• Bộ bảo mật tốt nhất cho năm 2019 Bộ bảo mật tốt nhất cho năm 2019
• Nhà cung cấp lưu trữ và chia sẻ tệp trên đám mây doanh nghiệp tốt nhất cho năm 2019 Nhà cung cấp dịch vụ chia sẻ tệp và lưu trữ đám mây doanh nghiệp tốt nhất cho năm 2019
• Dịch vụ sao lưu đám mây tốt nhất cho doanh nghiệp năm 2019 Dịch vụ sao lưu đám mây tốt nhất cho doanh nghiệp năm 2019

Bạn cũng có thể cần đảm bảo rằng các nhà cung cấp có quyền truy cập ít đặc quyền nhất để tài khoản của họ chỉ cấp cho họ quyền đối với phần mềm hoặc thiết bị mà họ đang quản lý và không có gì khác sử dụng một hệ thống IDM tuyệt vời khác. Bạn có thể yêu cầu họ yêu cầu quyền truy cập tạm thời cho bất cứ điều gì khác.

Đây chỉ là một vài mục hàng đầu trong danh sách các tai ương bảo mật khá dài và đáng để đọc toàn bộ báo cáo khảo sát bảo mật của Sans. Danh sách của nó sẽ cung cấp cho bạn một lộ trình các cách để tiếp cận các lỗ hổng bảo mật của bạn và nó sẽ giúp bạn nhận ra nhiều bước bạn có thể thực hiện. Nhưng điểm mấu chốt là, nếu bạn không làm gì về các vấn đề được báo cáo bởi Sans, thì bảo mật đám mây của bạn sẽ bị hôi thối và có thể bạn sẽ bị cuốn vào vòng xoáy của sự thất bại khi đám mây của bạn tràn vào hoàn toàn vi phạm.