Cyberatakujący coraz częściej wybierają Cloud IAM jako słabe ogniwo

Cyberprzestępcy zawsze szukają martwych punktów w zarządzaniu dostępem, niezależnie od tego, czy są to błędne konfiguracje, złe praktyki uwierzytelniające, niezałatane błędy bezpieczeństwa czy inne ukryte drzwi do korporacyjnego zamku. Teraz, gdy organizacje kontynuują modernizacyjny dryf do chmury, źli aktorzy wykorzystują pojawiającą się okazję: luki w dostępie i błędne konfiguracje w sposobie, w jaki organizacje korzystają z usług dostawców chmury zarządzanie tożsamością i dostępem (IAM) warstwy.

W prelekcji w środę 10 sierpnia w Black Hat USA zatytułowanej „Ja jestem tym, który puka”, Igal Gofman, szef badań w Ermetic, przedstawi wgląd w tę wyłaniającą się granicę ryzyka. „Obrońcy muszą zrozumieć, że nowy obwód nie jest warstwą sieci, jak to było wcześniej. Teraz to naprawdę IAM — to warstwa zarządzania, która rządzi wszystkim”, mówi Dark Reading.

Złożoność, tożsamości maszyn = niepewność

Zauważa, że ​​najczęstszą pułapką, w jaką wkraczają zespoły ds. bezpieczeństwa podczas wdrażania chmury IAM, jest nierozpoznawanie samej złożoności środowiska. Obejmuje to zrozumienie rosnącej liczby uprawnień i dostępu utworzonego przez aplikacje typu oprogramowanie jako usługa (SaaS).

„Wrogowie nadal kładą ręce na tokenach lub poświadczeniach, za pomocą phishingu lub innego podejścia” — wyjaśnia Gofman. „Kiedyś nie dawały one atakującemu wiele poza tym, co znajdowało się na lokalnym komputerze. Ale teraz te tokeny bezpieczeństwa mają znacznie większy dostęp, ponieważ wszyscy w ciągu ostatnich kilku lat przenieśli się do chmury i mają większy dostęp do zasobów w chmurze”.

Kwestia złożoności jest szczególnie pikantna, jeśli chodzi o maszynowe jednostki — które w przeciwieństwie do ludzi zawsze działają. W kontekście chmury służą one do uzyskiwania dostępu do interfejsów API chmury za pomocą kluczy API; włączyć aplikacje bezserwerowe; automatyzować role bezpieczeństwa (tj. brokerzy usług dostępu do chmury lub CASB); integrować aplikacje i profile SaaS ze sobą za pomocą kont usług; i więcej.

Biorąc pod uwagę, że przeciętna firma korzysta obecnie z setek aplikacji i baz danych opartych na chmurze, ta masa tożsamości maszyn stanowi bardzo złożoną sieć przeplatających się uprawnień i dostępu, które stanowią podstawę infrastruktur organizacji, co jest trudne do uzyskania wglądu, a tym samym trudne do zarządzania, mówi Gofman. Dlatego przeciwnicy coraz bardziej starają się wykorzystać te tożsamości.

„Obserwujemy wzrost wykorzystania tożsamości innych niż ludzkie, które mają wewnętrzny dostęp do różnych zasobów i różnych usług”, zauważa. „Są to usługi, które łączą się z innymi usługami. Mają uprawnienia i zwykle szerszy dostęp niż ludzie. Dostawcy chmury naciskają na swoich użytkowników, aby z nich korzystali, ponieważ na podstawowym poziomie uważają je za bezpieczniejsze. Istnieją jednak pewne techniki eksploatacji, które można wykorzystać do narażenia środowisk przy użyciu tych nieludzkich tożsamości”.

Dodaje, że jednostki maszynowe z uprawnieniami do zarządzania są szczególnie atrakcyjne dla przeciwników.

„Jest to jeden z głównych wektorów, na które atakują cyberprzestępcy, zwłaszcza na platformie Azure”, wyjaśnia. „Jeśli nie masz dokładnego zrozumienia, jak zarządzać nimi w ramach IAM, oferujesz lukę w zabezpieczeniach”.

Jak zwiększyć bezpieczeństwo IAM w chmurze?

Z defensywnego punktu widzenia Gofman planuje przedyskutować wiele opcji, jakie organizacje mają, aby poradzić sobie z problemem wdrożenia skutecznego IAM w chmurze. Po pierwsze, organizacje powinny wykorzystać możliwości rejestrowania dostawców chmury, aby zbudować kompleksowy obraz tego, kto — i co — istnieje w środowisku.

„Narzędzia te nie są w rzeczywistości używane na dużą skalę, ale są dobrym rozwiązaniem, aby lepiej zrozumieć, co dzieje się w twoim środowisku”, wyjaśnia. „Możesz użyć logowania, aby zmniejszyć powierzchnię ataku, ponieważ możesz dokładnie zobaczyć, z jakich użytkowników korzystają i jakie mają uprawnienia. Administratorzy mogą również porównywać określone zasady z tym, co jest faktycznie używane w danej infrastrukturze”.

Planuje również podzielić i porównać różne usługi IAM od trzech największych dostawców chmury publicznej — Amazon Web Services, Google Cloud Platform i Microsoft Azure — oraz ich podejścia do bezpieczeństwa, z których wszystkie są nieco inne. Multi-cloud IAM to dodatkowy problem dla korporacji korzystających z różnych chmur od różnych dostawców, a Gofman zauważa, że ​​zrozumienie subtelnych różnic między oferowanymi przez nie narzędziami może znacznie przyczynić się do wzmocnienia ochrony.

Organizacje mogą również korzystać z różnych zewnętrznych narzędzi open source, aby uzyskać lepszą widoczność w całej infrastrukturze, zauważa, dodając, że on i jego współprezenter Noam Dahan, kierownik ds. badań w Ermetic, planują demonstrację jednej opcji.

„Cloud IAM jest bardzo ważny” — mówi Gofman. „Będziemy mówić o zagrożeniach, narzędziach, których można użyć, oraz o znaczeniu lepszego zrozumienia, jakie uprawnienia są używane, a jakie nie są używane, oraz jak i gdzie administratorzy mogą identyfikować martwe punkty”.