Καθώς οι οργανισμοί μεταφέρουν όλο και περισσότερο τα δεδομένα και τον φόρτο εργασίας τους στο cloud, η διασφάλιση των ταυτοτήτων του cloud έχει καταστεί πρωταρχικής σημασίας. Οι ταυτότητες είναι τα κλειδιά για την πρόσβαση σε πόρους cloud και, εάν παραβιαστούν, επιτρέπουν στους εισβολείς να αποκτήσουν πρόσβαση σε ευαίσθητα δεδομένα και συστήματα.
Οι περισσότερες επιθέσεις που βλέπουμε σήμερα είναι επιθέσεις από την πλευρά του πελάτη, στις οποίες οι εισβολείς θέτουν σε κίνδυνο τον λογαριασμό κάποιου και χρησιμοποιούν τα προνόμιά τους για να μετακινούνται πλευρικά και να έχουν πρόσβαση σε ευαίσθητα δεδομένα και πόρους. Για να αποφευχθεί αυτό, χρειάζεστε ορατότητα στην υποδομή ταυτότητας του cloud σας. Αν δεν γνωρίζετε την ταυτότητα όλων των ατόμων και των αντικειμένων που έχουν πρόσβαση στα συστήματα, τις άδειές τους και τις σχέσεις τους, δεν θα έχετε το απαραίτητο πλαίσιο για την αποτελεσματική αξιολόγηση του κινδύνου σας και τη λήψη προληπτικών μέτρων.
Μια σειρά από επιθέσεις υψηλού προφίλ δείχνουν αυτό το πρόβλημα. Μια παραβιασμένη ταυτότητα cloud έδωσε στους εισβολείς πρόσβαση Λογισμικό Orion της SolarWinds, όπου ανέπτυξαν κακόβουλο κώδικα σε χιλιάδες πελάτες τους, συμπεριλαμβανομένων κρατικών υπηρεσιών και εταιρειών του Fortune 500. Ένα άλλο παράδειγμα είναι το Επίθεση του Microsoft Exchange, στο οποίο οι εισβολείς εκμεταλλεύτηκαν μια ευπάθεια στο Exchange για να αποκτήσουν πρόσβαση σε λογαριασμούς email. Από εκεί, έκλεψαν ευαίσθητα δεδομένα και έστειλαν μηνύματα ηλεκτρονικού ψαρέματος σε μια προσπάθεια να παραβιάσουν άλλους λογαριασμούς.
Για την ασφάλεια του νέφους, συμβουλεύω την εφαρμογή μιας προσέγγισης γνωστής ως εφαρμοσμένου κινδύνου, η οποία επιτρέπει στους επαγγελματίες της ασφάλειας να λαμβάνουν αποφάσεις σχετικά με προληπτικές ενέργειες με βάση τα συμφραζόμενα δεδομένα σχετικά με τη σχέση μεταξύ των ταυτοτήτων και τις επιπτώσεις των απειλών στο συγκεκριμένο περιβάλλον τους. Ακολουθούν ορισμένες πρακτικές συμβουλές για την υιοθέτηση του εφαρμοσμένου κινδύνου.
Αντιμετωπίστε το Cloud Protection ως έργο ασφάλειας, όχι ως άσκηση συμμόρφωσης
Για αρχή, αλλάξτε τη νοοτροπία σας. Πάνε οι απλές μέρες του υπολογισμού πελάτη-διακομιστή. Το περιβάλλον cloud είναι ένα περίπλοκο σύστημα δεδομένων, χρηστών, συστημάτων και αλληλεπιδράσεων μεταξύ όλων αυτών.
Η επιλογή μιας σειράς πλαισίων δεν θα φέρει μεγαλύτερη ασφάλεια εάν δεν καταλαβαίνετε πώς λειτουργούν όλα μαζί. Οι περισσότερες ομάδες ακολουθούν μια μη καθοδηγούμενη προσέγγιση για την προληπτική ασφάλεια, θέτοντας τυφλή πίστη στη στρατηγική ιεράρχησης και αποκατάστασης που εφαρμόστηκε πριν από χρόνια. Ωστόσο, η ασφάλεια απαιτεί μια προσαρμοσμένη προσέγγιση προσαρμοσμένη σε κάθε ομάδα ασφαλείας με βάση την ευρύτερη έκθεση στον κίνδυνο του οργανισμού. Δεν είναι απαραιτήτως ο μεγαλύτερος κίνδυνος για το συγκεκριμένο περιβάλλον κάθε «κρίσιμης σημασίας» ειδοποίηση από έναν προμηθευτή ασφαλείας.
Για να ιεραρχήσετε με ακρίβεια την αποκατάσταση και να μειώσετε τον κίνδυνο, πρέπει να λάβετε υπόψη ολόκληρη την επιφάνεια επίθεσης. Η κατανόηση των σχέσεων μεταξύ ανοιγμάτων, περιουσιακών στοιχείων και χρηστών σάς βοηθά να προσδιορίσετε ποια ζητήματα ενέχουν τον μεγαλύτερο κίνδυνο. Όταν λαμβάνετε υπόψη το πρόσθετο πλαίσιο, το «κρίσιμο» εύρημα μπορεί να μην είναι το μεγαλύτερο ζήτημα.
Αποκτήστε ορατότητα στην υποδομή ταυτότητας του cloud
Στη συνέχεια, η ορατότητα είναι το κλειδί. Για να προσδιορίσετε με αξιοπιστία τον εφαρμοζόμενο κίνδυνο, θα πρέπει να κάνετε έναν ολοκληρωμένο έλεγχο όλων των ταυτοτήτων και των σημείων ελέγχου πρόσβασης στην υποδομή ταυτότητας cloud. Πρέπει να γνωρίζετε ποιους πόρους διαθέτετε στο περιβάλλον σας, είτε βρίσκονται στο cloud είτε εντός εγκατάστασης, πώς παρέχονται και διαμορφώνονται και άλλες μεταβλητές.
Κατά την ασφάλιση του cloud, δεν μπορείτε μόνο να δείτε πώς διαμορφώνονται οι πόροι που σχετίζονται με το cloud — πρέπει να ελέγξετε την πτυχή της ταυτότητας: εικονικές μηχανές (VM), λειτουργίες χωρίς διακομιστή, συμπλέγματα Kubernetes και κοντέινερ, για παράδειγμα. Ένας διαχειριστής μπορεί να έχει έναν λογαριασμό συνδεδεμένο με το AWS, έναν λογαριασμό Active Directory με διαφορετικό ρόλο για να συνδεθεί στα τοπικά του συστήματα, έναν λογαριασμό στο GitHub, έναν λογαριασμό Salesforce κ.λπ. Πρέπει επίσης να λάβετε υπόψη πράγματα όπως η υγιεινή των μηχανημάτων που χρησιμοποιούν προγραμματιστές, DevOps και ομάδες IT. Μια επιτυχημένη επίθεση phishing σε έναν μηχανικό DevOps μπορεί να έχει τεράστιο αντίκτυπο στη στάση ασφαλείας των περιβαλλόντων σας στο cloud.
Από εκεί, θα πρέπει να χαρτογραφήσετε τις σχέσεις μεταξύ των ταυτοτήτων και των συστημάτων στα οποία έχουν πρόσβαση. Αυτό είναι ένα σημαντικό μέρος της κατανόησης της επιφάνειας επίθεσης σας. Πλατφόρμες προστασίας εφαρμογών εγγενών στο cloud (CNAPP) έχουν σχεδιαστεί για να βοηθήσουν σε αυτό. Η ύπαρξη μιας ισχυρής πλατφόρμας CNAPP δίνει στην ομάδα ασφαλείας τη δυνατότητα να ανιχνεύει μη φυσιολογική συμπεριφορά γύρω από μια συγκεκριμένη ταυτότητα και να εντοπίζει πότε οι διαμορφώσεις αρχίζουν να παρασύρονται.
Ευθυγραμμίστε τις διαφορετικές ομάδες σας
Αφού έχετε χαρτογραφήσει τις ταυτότητες και τις σχέσεις, πρέπει να τις συνδέσετε με τρωτά σημεία και εσφαλμένες διαμορφώσεις για να προσδιορίσετε πού είστε πιο ευάλωτοι και να αρχίσετε να ποσοτικοποιείτε τον εφαρμοζόμενο κίνδυνο. Δεν μπορείτε να δημιουργήσετε μια αποτελεσματική στρατηγική αποκατάστασης χωρίς αυτό.
Αλλά τα δεδομένα και η στρατηγική θα σας πάνε μόνο μέχρι εκεί. Οι ομάδες τείνουν να λειτουργούν σε σιλό και η καθεμία ακολουθεί ενέργειες ιεράρχησης με βάση το συγκεκριμένο λογισμικό που χρησιμοποιεί, χωρίς επικοινωνία με άλλες ομάδες ή ευθυγράμμιση σε ένα ολιστικό όραμα για την ελαχιστοποίηση του κινδύνου. Επειδή δεν είναι κάθε επιφάνεια επίθεσης η ίδια, πρέπει να δομήσετε τον οργανισμό έτσι ώστε διαφορετικά σύνολα δεξιοτήτων να μπορούν να αναλάβουν μέτρα μετριασμού με βάση τις μεταβλητές που αφορούν το περιβάλλον τους.
Όταν οι ομάδες συνδέονται πιο στενά, ο οργανωτικός κίνδυνος μειώνεται. Ας πούμε ότι έχετε ένα ευπάθεια δέσμης ενεργειών μεταξύ τοποθεσιών σε μία από τις εφαρμογές Ιστού σας. Δεν θα ήταν λογικό να δοθεί προτεραιότητα σε οποιοδήποτε ζήτημα ασφάλειας ή διαμόρφωσης που σχετίζεται με την υποδομή που εκτελεί αυτήν την εφαρμογή; Το αντίστροφο ισχύει επίσης. Δεν είναι πιο λογικό να αντιμετωπιστεί η ευπάθεια που εκτελείται στην παραγωγή ή βρίσκεται στο Διαδίκτυο έναντι μιας ευπάθειας που εκτελείται σε περιβάλλον προγραμματισμού χωρίς πιθανότητα εκμετάλλευσης;
Ένα μεγάλο μέρος του λόγου ομάδες ασφαλείας εργάζονται σε αυτά τα σιλό είναι επειδή το τοπίο των πωλητών τους ανάγκασε να λειτουργήσουν με αυτόν τον τρόπο. Μέχρι πρόσφατα, δεν υπήρχε τρόπος να γίνουν τα πράγματα που προτείνω εδώ — τουλάχιστον όχι για κανέναν, αλλά το 1% των οργανισμών που έχουν τεράστιους προϋπολογισμούς ασφαλείας και ενσωματωμένα εργαλεία και ομάδες.
Συνοψίζοντας, η προστασία των ταυτοτήτων — cloud και άλλα — απαιτεί την υιοθέτηση μιας αλλαγής νοοτροπίας από τη συμμόρφωση σε μια ολιστική προσέγγιση ασφάλειας και εφαρμοζόμενου κινδύνου που περιλαμβάνει την απόκτηση προβολής στην υποδομή cloud με το CNAPP και την ευθυγράμμιση διαφορετικών ομάδων για την ιεράρχηση της αποκατάστασης.
- SEO Powered Content & PR Distribution. Ενισχύστε σήμερα.
- PlatoData.Network Vertical Generative Ai. Ενδυναμώστε τον εαυτό σας. Πρόσβαση εδώ.
- PlatoAiStream. Web3 Intelligence. Ενισχύθηκε η γνώση. Πρόσβαση εδώ.
- PlatoESG. Ανθρακας, Cleantech, Ενέργεια, Περιβάλλον, Ηλιακός, Διαχείριση των αποβλήτων. Πρόσβαση εδώ.
- PlatoHealth. Ευφυΐα βιοτεχνολογίας και κλινικών δοκιμών. Πρόσβαση εδώ.
- πηγή: https://www.darkreading.com/edge/securing-cloud-identities-to-protect-assets-and-minimize-risk
- :έχει
- :είναι
- :δεν
- :που
- $UP
- 500
- a
- ικανότητα
- ΠΛΗΡΟΦΟΡΙΕΣ
- πρόσβαση
- πρόσβαση
- Λογαριασμός
- Λογαριασμοί
- με ακρίβεια
- Ενέργειες
- ενεργειών
- ενεργός
- Πρόσθετος
- διεύθυνση
- διαχειριστής
- υιοθετώντας
- συμβουλεύουν
- υπηρεσίες
- πριν
- Ειδοποίηση
- ευθυγράμμιση
- ευθυγραμμία
- Όλα
- επιτρέπει
- Επίσης
- an
- και
- Άλλος
- κάθε
- κάποιος
- Εφαρμογή
- εφαρμογές
- εφαρμοσμένος
- πλησιάζω
- ΕΙΝΑΙ
- γύρω
- AS
- άποψη
- εκτιμώ
- Ενεργητικό
- συσχετισμένη
- At
- επίθεση
- Επιθέσεις
- απόπειρα
- έλεγχος
- AWS
- βασίζονται
- BE
- επειδή
- γίνονται
- ήταν
- συμπεριφορά
- προπαραγγελία
- μεταξύ
- Μεγαλύτερη
- κουτιά
- φέρω
- ευρύτερη
- Προϋπολογισμών
- χτισμένο
- αλλά
- CAN
- ευκαιρία
- στενά
- Backup
- cloud infrastructure
- κωδικός
- Επικοινωνία
- Εταιρείες
- Συμμόρφωση
- περίπλοκος
- περιεκτικός
- συμβιβασμός
- Συμβιβασμένος
- χρήση υπολογιστή
- διαμόρφωση
- έχει ρυθμιστεί
- Εξετάστε
- Εμπορευματοκιβώτια
- συμφραζόμενα
- συμφραζόμενα
- έλεγχος
- σε συνδυασμό
- δημιουργία
- κρίσιμης
- Πελάτες
- ημερομηνία
- Ημ.
- αποφάσεις
- αναπτυχθεί
- σχεδιασμένα
- ανίχνευση
- Προσδιορίστε
- Dev
- προγραμματιστές
- διαφορετικές
- do
- κάνει
- Don
- Σταγόνες
- κάθε
- Αποτελεσματικός
- αποτελεσματικά
- ΗΛΕΚΤΡΟΝΙΚΗ ΔΙΕΥΘΥΝΣΗ
- ενεργοποιήσετε
- μηχανικός
- Ολόκληρος
- Περιβάλλον
- περιβάλλοντα
- κ.λπ.
- Κάθε
- πάντα
- παράδειγμα
- ανταλλαγή
- εκμετάλλευση
- Κακοποιημένα
- Έκθεση
- πίστη
- μακριά
- εύρεση
- εξής
- Για
- Τύχη
- από
- λειτουργίες
- Κέρδος
- κερδίζει
- έδωσε
- GitHub
- δίνει
- φύγει
- Κυβέρνηση
- κυβερνητικούς οργανισμούς
- μεγαλύτερη
- μεγαλύτερη ασφάλεια
- μεγαλύτερη
- Έχω
- που έχει
- βοήθεια
- εδώ
- υψηλό προφίλ
- ολιστική
- Πως
- HTTPS
- i
- προσδιορίσει
- ταυτότητες
- Ταυτότητα
- if
- εικονογραφώ
- Επίπτωση
- Επιπτώσεις
- εκτελεστικών
- σημαντικό
- in
- Συμπεριλαμβανομένου
- όλο και περισσότερο
- Υποδομή
- παράδειγμα
- αλληλεπιδράσεις
- Internet
- σε
- ζήτημα
- θέματα
- IT
- jpg
- Κλειδί
- πλήκτρα
- Είδος
- Ξέρω
- γνωστός
- τοπίο
- large
- ελάχιστα
- ας
- Μου αρέσει
- τοπικός
- κούτσουρο
- ματιά
- μηχανήματα
- κάνω
- χάρτη
- μαζική
- Ενδέχεται..
- μέτρα
- Μύθος
- ελαχιστοποιώντας
- περισσότερο
- πλέον
- μετακινήσετε
- πρέπει
- αναγκαίως
- απαραίτητος
- Ανάγκη
- Όχι.
- αριθμός
- αντικειμένων
- of
- on
- ONE
- αποκλειστικά
- λειτουργούν
- or
- επιχειρήσεις
- οργανωτικός
- οργανώσεις
- ΑΛΛΑ
- αλλιώς
- έξω
- κυρίαρχος
- μέρος
- Ειδικότερα
- People
- δικαιώματα
- Phishing
- επίθεση phishing
- Μέρος
- πλατφόρμες
- Πλατφόρμες
- Πλάτων
- Πληροφορία δεδομένων Plato
- Πλάτωνα δεδομένα
- σημεία
- ενέχουν
- Πρακτικός
- πρόληψη
- ιεράρχηση
- Δώστε προτεραιότητα
- ιεράρχηση
- προνόμια
- Πρόβλημα
- παραγωγή
- σχέδιο
- προτείνει
- προστασία
- προστασία
- προστασία
- βάζω
- Βάζοντας
- RE
- λόγος
- πρόσφατα
- μείωση
- σχέση
- Σχέσεις
- Απαιτεί
- Υποστηρικτικό υλικό
- Κίνδυνος
- Ρόλος
- τρέξιμο
- s
- salesforce
- ίδιο
- λένε
- ασφάλεια
- ασφάλεια
- δείτε
- αίσθηση
- ευαίσθητος
- αποστέλλονται
- Σειρές
- Χωρίς διακομιστή
- Σέτς
- αλλαγή
- θα πρέπει να
- σιλό
- Απλούς
- Συνεδρίαση
- επιδεξιότητα
- So
- μέχρι τώρα
- λογισμικό
- μερικοί
- Κάποιος
- συγκεκριμένες
- Εκκίνηση
- επιτραχήλιο
- Στρατηγική
- ισχυρός
- δομή
- επιτυχής
- Επιφάνεια
- σύστημα
- συστήματα
- επειξειργασμένος από ραπτήν
- Πάρτε
- ομάδες
- ότι
- Η
- τους
- Τους
- Εκεί.
- Αυτοί
- αυτοί
- πράγματα
- αυτό
- χιλιάδες
- απειλές
- ΓΡΑΒΑΤΑ
- Δεμένος
- συμβουλές
- προς την
- σήμερα
- μαζι
- εργαλεία
- αληθής
- καταλαβαίνω
- κατανόηση
- μέχρι
- χρήση
- Χρήστες
- χρησιμοποιώντας
- Σταθερή
- πάροχος υπηρεσιών
- Εναντίον
- Πραγματικός
- ορατότητα
- όραμα
- Θέματα ευπάθειας
- ευπάθεια
- Ευάλωτες
- Τρόπος..
- we
- ιστός
- εφαρμογές ιστού
- Τι
- πότε
- αν
- Ποιό
- θα
- με
- χωρίς
- Κέρδισε
- Εργασία
- λειτουργεί
- θα ήθελα
- χρόνια
- ακόμη
- Εσείς
- Σας
- zephyrnet