Atakujący mogą naruszyć większość danych w chmurze w zaledwie 3 krokach

Firmy i ich dostawcy usług w chmurze często pozostawiają luki w swoich systemach i usługach, dając atakującym łatwą ścieżkę uzyskania dostępu do krytycznych danych.

Według analizy Orca Security obejmującej dane zebrane z głównych usług w chmurze i opublikowanej 13 września, atakujący potrzebują średnio tylko trzech kroków, aby uzyskać dostęp do wrażliwych danych, tzw. „klejnotów koronnych”, zaczynając najczęściej od 78% przypadków — z wykorzystaniem znanej luki.

Chociaż większość dyskusji na temat bezpieczeństwa skupiała się na błędnej konfiguracji zasobów chmury przez firmy, dostawcy usług w chmurze często opieszale eliminują luki w zabezpieczeniach, mówi Avi Shua, dyrektor generalny i współzałożyciel Orca Security.

„Kluczem jest naprawienie pierwotnych przyczyn, czyli wektora początkowego, oraz zwiększenie liczby kroków, jakie musi wykonać atakujący” – mówi. „Właściwe kontrole bezpieczeństwa mogą sprawić, że nawet jeśli pojawi się początkowy wektor ataku, nadal nie będziesz w stanie dotrzeć do klejnotów koronnych”.

Połączenia raportować analizowane dane od zespołu badawczego Orca ds. bezpieczeństwa, wykorzystującego dane z „miliardów zasobów chmurowych na platformach AWS, Azure i Google Cloud”, które regularnie skanują klienci firmy. Dane obejmowały dane dotyczące obciążenia i konfiguracji chmury, dane dotyczące środowiska oraz informacje o zasobach zebrane w pierwszej połowie 2022 r.

Niezałatane luki w zabezpieczeniach powodują największe ryzyko w chmurze

Analiza zidentyfikowała kilka głównych problemów związanych z architekturami natywnymi dla chmury. Średnio 11% zasobów chmurowych dostawców usług w chmurze i ich klientów uznano za „zaniedbane”, co definiuje się jako brak poprawek w ciągu ostatnich 180 dni. Kontenery i maszyny wirtualne, które stanowią najczęstsze elementy takiej infrastruktury, stanowiły ponad 89% zaniedbanych zasobów chmurowych.

„Po obu stronach modelu wspólnej odpowiedzialności jest wiele do zrobienia” – mówi Shua. „Krytycy zawsze skupiali się na stronie klienta [w zakresie łatania], ale w ciągu ostatnich kilku lat po stronie dostawcy usług w chmurze pojawiło się sporo problemów, które nie zostały naprawione na czas”.

W rzeczywistości naprawienie luk może być najbardziej krytycznym problemem, ponieważ przeciętny kontener, obraz i maszyna wirtualna mają co najmniej 50 znanych luk. W raporcie Orca stwierdziła, że ​​około trzy czwarte – 78% – ataków rozpoczyna się od wykorzystania znanej luki w zabezpieczeniach. Co więcej, jedna dziesiąta wszystkich firm posiada zasoby w chmurze, korzystając z oprogramowania z luką w zabezpieczeniach starszego niż 10 lat.

Jednak z raportu wynika, że ​​dług z tytułu zabezpieczeń spowodowany lukami w zabezpieczeniach nie jest równomiernie rozłożony na wszystkie aktywa. Ponad dwie trzecie – 68% – luk w zabezpieczeniach Log4j wykryto w maszynach wirtualnych. Jednak tylko 5% zasobów obciążonych pracą nadal ma co najmniej jedną lukę w zabezpieczeniach Log4j, a tylko 10.5% z nich może być celem z Internetu.

Problemy po stronie klienta

Innym poważnym problemem jest to, że jedna trzecia firm ma konto root u dostawcy usług w chmurze, które nie jest chronione przez uwierzytelnianie wieloskładnikowe (MFA). Według danych Orca pięćdziesiąt osiem procent firm wyłączyło usługę MFA dla co najmniej jednego konta użytkownika uprzywilejowanego. Brak zapewnienia dodatkowego bezpieczeństwa usługi MFA naraża systemy i usługi na ataki typu brute-force i rozpylanie haseł.

Oprócz 33% firm, które nie posiadają zabezpieczeń MFA dla kont root, 12% firm ma dostęp do Internetu z co najmniej jednym słabym hasłem lub hasłem, które wyciekło, jak stwierdziła Orca w swoim raporcie.

Firmy powinny starać się egzekwować MFA w całej swojej organizacji (szczególnie w przypadku kont uprzywilejowanych), szybciej oceniać i naprawiać luki w zabezpieczeniach oraz znajdować sposoby na spowolnienie atakujących, mówi Shua.

„Kluczem jest naprawienie przyczyn źródłowych, czyli wektora początkowego, oraz zwiększenie liczby kroków, które musi wykonać atakujący” – mówi. „Właściwe kontrole bezpieczeństwa mogą sprawić, że nawet jeśli atakujący pomyślnie wykorzysta początkowy wektor ataku, nadal nie będzie w stanie dotrzeć do klejnotów koronnych”.

Ogólnie rzecz biorąc, zarówno dostawcy usług w chmurze, jak i ich klienci biznesowi mają problemy z bezpieczeństwem, które należy zidentyfikować i załatać, i obaj muszą znaleźć sposoby na skuteczniejsze zamknięcie tych problemów – dodaje; Kluczowa jest widoczność i spójne kontrole bezpieczeństwa we wszystkich aspektach infrastruktury chmury.

„To nie tak, że ich ściany nie są wystarczająco wysokie” – mówi Shua. – Chodzi o to, że nie pokrywają całego zamku.