Μαθήματα από την παραβίαση της κυβερνοασφάλειας του GitHub: Προστασία των πιο ευαίσθητων δεδομένων

Σε κανέναν δεν αρέσει να ακούει τη λέξη B: παραβίαση. Οι προγραμματιστές σίγουρα δεν θέλουν να ακούν αυτή τη λέξη σε σχέση με μια πλατφόρμα που χρησιμοποιούν μέρα με τη μέρα.

Όταν το GitHub αποκάλυψε λεπτομέρειες σχετικά με μια παραβίαση ασφαλείας που επέτρεψε σε έναν άγνωστο εισβολέα να κατεβάσει δεδομένα από δεκάδες ιδιωτικούς χώρους αποθήκευσης κώδικα νωρίτερα φέτος, ήταν ένα σενάριο εφιάλτη. Οι επιτιθέμενοι χρησιμοποιούσαν πληροφορίες που συλλέχθηκαν από το GitHub για να στοχεύσουν δύο τρίτες πλατφόρμες cloud-as-a-service (PaaS) — Heroku και Travis CI.

Οι επιτιθέμενοι είχαν κλέψει μάρκες OAuth που είχαν εκδοθεί στους Heroku και Travis CI και χρησιμοποιούσαν αυτά τα κλεμμένα διακριτικά για πρόσβαση και λήψη του περιεχομένου ιδιωτικών αποθετηρίων, Το GitHub βρέθηκε.

Πού βρίσκονται οι πιο ευαίσθητες πληροφορίες στον οργανισμό σας; Για οργανισμούς που χρησιμοποιούν Heroku, το Salesforce φιλοξενεί τις πληροφορίες που θα μπορούσαν να ακρωτηριάσουν τον οργανισμό, εάν εκτεθούν. Οι ομάδες ασφαλείας πρέπει να σκεφτούν την προστασία των δεδομένων τους Salesforce. Γιατί θα πρέπει να θέτουν σε κίνδυνο την κυβερνοασφάλεια του οργανισμού βασιζόμενοι σε ενσωματώσεις τρίτων;

Αυτά τα τρία απλά βήματα μπορούν να βοηθήσουν στη βελτίωση της στάσης της ασφάλειας στον κυβερνοχώρο στο Salesforce.

1. Χρησιμοποιήστε Salesforce-Native Applications

Οι εφαρμογές που έχουν δημιουργηθεί στο Salesforce διασφαλίζουν ότι τα δεδομένα σας παραμένουν σε ένα μέρος με την ίδια στάση ασφάλειας στον κυβερνοχώρο με την πλατφόρμα Salesforce. Με τις εφαρμογές που ενοποιούνται σε μια ενιαία πλατφόρμα, η επιφάνεια επίθεσης μειώνεται σημαντικά.

2. Καθιερώστε ένα μοντέλο μηδενικής εμπιστοσύνης

Ποτέ μην εμπιστεύεσαι, πάντα επαληθεύεις. Όλοι οι χρήστες θα πρέπει να έχουν το ελάχιστο επίπεδο αδειών και πρόσβασης που απαιτούνται για να είναι σε θέση να ολοκληρώσουν τις απαραίτητες εργασίες τους απαιτώντας ταυτόχρονα από τους χρήστες να αποδείξουν την ανάγκη και την ταυτότητά τους πριν από την πρόσβαση. Ελέγξτε τα πάντα.

3. Χρησιμοποιήστε τη Διαχείριση Μυστικών

Μην αποθηκεύετε ποτέ τα διαπιστευτήρια σε καθαρό κείμενοκαι πάντα να υποθέτουμε ότι τα ιδιωτικά repos είναι δημόσια. Η ύπαρξη μιας λύσης διαχείρισης μυστικών διασφαλίζει ότι τα μυστικά σας εναλλάσσονται μαζί με το κατάλληλο επίπεδο συμμόρφωσης με την ασφάλεια γύρω από τα διαπιστευτήριά σας.

Με αυτήν τη βελτιωμένη στάση κυβερνοασφάλειας, οι προγραμματιστές, οι ομάδες infosec και ο Διευθύνων Σύμβουλος θα είναι άνετα γνωρίζοντας ότι τα πιο ευαίσθητα δεδομένα του οργανισμού είναι ασφαλή.