Les attaquants peuvent compromettre la plupart des données cloud en seulement 3 étapes

Les entreprises et leurs fournisseurs de cloud laissent souvent des vulnérabilités ouvertes dans leurs systèmes et services, offrant ainsi aux attaquants un moyen simple d'accéder aux données critiques.

Selon une analyse d'Orca Security des données collectées auprès des principaux services cloud et publiée le 13 septembre, les attaquants n'ont besoin en moyenne que de trois étapes pour accéder aux données sensibles, les soi-disant « joyaux de la couronne », en commençant le plus souvent par : 78% des cas — avec l’exploitation d’une vulnérabilité connue.

Alors qu'une grande partie du débat sur la sécurité s'est concentrée sur les mauvaises configurations des ressources cloud par les entreprises, les fournisseurs de cloud ont souvent mis du temps à corriger les vulnérabilités, explique Avi Shua, PDG et co-fondateur d'Orca Security.

"La clé est de corriger les causes profondes, qui constituent le vecteur initial, et d'augmenter le nombre de mesures que l'attaquant doit prendre", dit-il. "Des contrôles de sécurité appropriés peuvent garantir que même s'il existe un vecteur d'attaque initial, vous ne pourrez toujours pas atteindre les joyaux de la couronne."

Le rapporter les données analysées de l'équipe de recherche en sécurité d'Orca en utilisant les données de « milliards d'actifs cloud sur AWS, Azure et Google Cloud », que les clients de l'entreprise analysent régulièrement. Les données comprenaient des données sur la charge de travail et la configuration du cloud, des données sur l'environnement et des informations sur les actifs collectées au cours du premier semestre 2022.

Les vulnérabilités non corrigées sont à l'origine de la plupart des risques liés au cloud

L'analyse a identifié quelques problèmes principaux liés aux architectures cloud natives. En moyenne, 11 % des actifs cloud des fournisseurs de cloud et de leurs clients ont été considérés comme « négligés », c'est-à-dire n'ayant pas été corrigés au cours des 180 derniers jours. Les conteneurs et les machines virtuelles, qui constituent les composants les plus courants de cette infrastructure, représentaient plus de 89 % des actifs cloud négligés.

« Il y a place à l'amélioration des deux côtés du modèle de responsabilité partagée », déclare Shua. « Les critiques se sont toujours concentrées sur le côté client [pour les correctifs], mais au cours des dernières années, de nombreux problèmes sont survenus du côté du fournisseur de cloud qui n'ont pas été résolus à temps. »

En fait, la correction des vulnérabilités est peut-être le problème le plus critique, car le conteneur, l'image et la machine virtuelle moyens présentaient au moins 50 vulnérabilités connues. Environ les trois quarts (78 %) des attaques commencent par l'exploitation d'une vulnérabilité connue, a déclaré Orca dans le rapport. De plus, un dixième de toutes les entreprises disposent d’un actif cloud utilisant un logiciel présentant une vulnérabilité vieille d’au moins 10 ans.

Pourtant, la dette sécuritaire causée par les vulnérabilités n’est pas répartie uniformément entre tous les actifs, selon le rapport. Plus des deux tiers (68 %) des vulnérabilités Log4j ont été trouvées dans des machines virtuelles. Cependant, seuls 5 % des actifs de charge de travail présentent encore au moins une des vulnérabilités Log4j, et seulement 10.5 % d'entre elles pourraient être ciblées depuis Internet.

Problèmes côté client

Un autre problème majeur est qu'un tiers des entreprises disposent d'un compte root auprès d'un fournisseur de cloud qui n'est pas protégé par l'authentification multifacteur (MFA). Cinquante-huit pour cent des entreprises ont désactivé MFA pour au moins un compte utilisateur privilégié, selon les données d'Orca. Ne pas fournir la sécurité supplémentaire de la MFA laisse les systèmes et services ouverts aux attaques par force brute et à la pulvérisation de mots de passe.

En plus des 33 % d'entreprises ne disposant pas de protections MFA pour les comptes root, 12 % des entreprises ont une charge de travail accessible sur Internet avec au moins un mot de passe faible ou divulgué, a déclaré Orca dans son rapport.

Les entreprises devraient chercher à appliquer la MFA dans toute leur organisation (en particulier pour les comptes privilégiés), évaluer et corriger les vulnérabilités plus rapidement et trouver des moyens de ralentir les attaquants, explique Shua.

« La clé est de s’attaquer aux causes profondes, qui constituent le vecteur initial, et d’augmenter le nombre de mesures que l’attaquant doit prendre », dit-il. "Des contrôles de sécurité appropriés peuvent garantir que même si l'attaquant réussit avec le vecteur d'attaque initial, il ne sera toujours pas en mesure d'atteindre les joyaux de la couronne."

Dans l'ensemble, les fournisseurs de cloud et leurs clients professionnels ont des problèmes de sécurité qui doivent être identifiés et corrigés, et tous deux doivent trouver des moyens de résoudre ces problèmes plus efficacement, ajoute-t-il ; la visibilité et les contrôles de sécurité cohérents sur tous les aspects de l’infrastructure cloud sont essentiels.

« Ce n’est pas que leurs murs ne soient pas assez hauts », dit Shua. "C'est qu'ils ne couvrent pas tout le château."