Os invasores podem comprometer a maioria dos dados da nuvem em apenas 3 etapas

As empresas e seus provedores de nuvem muitas vezes deixam vulnerabilidades abertas em seus sistemas e serviços, oferecendo aos invasores um caminho fácil para obter acesso a dados críticos.

De acordo com uma análise da Orca Security de dados coletados dos principais serviços de nuvem e divulgada em 13 de setembro, os invasores só precisam, em média, de três etapas para obter acesso a dados confidenciais, as chamadas “joias da coroa”, começando com mais frequência – em 78% dos casos — com exploração de uma vulnerabilidade conhecida.

Embora grande parte da discussão sobre segurança tenha se concentrado nas configurações incorretas dos recursos de nuvem pelas empresas, os provedores de nuvem muitas vezes demoram a corrigir vulnerabilidades, diz Avi Shua, CEO e cofundador da Orca Security.

“A chave é corrigir as causas raízes, que é o vetor inicial, e aumentar o número de etapas que o invasor precisa realizar”, diz ele. “Controles de segurança adequados podem garantir que, mesmo que haja um vetor de ataque inicial, você ainda não consiga alcançar as joias da coroa.”

A relatar dados analisados da equipe de pesquisa de segurança da Orca usando dados de “bilhões de ativos em nuvem na AWS, Azure e Google Cloud”, que os clientes da empresa verificam regularmente. Os dados incluíam dados de configuração e carga de trabalho em nuvem, dados ambientais e informações sobre ativos coletados no primeiro semestre de 2022.

Vulnerabilidades não corrigidas causam a maior parte dos riscos na nuvem

A análise identificou alguns problemas principais com arquiteturas nativas da nuvem. Em média, 11% dos ativos de nuvem dos provedores de nuvem e de seus clientes foram considerados “negligenciados”, definidos como não tendo sido corrigidos nos últimos 180 dias. Os contentores e as máquinas virtuais, que constituem os componentes mais comuns dessa infraestrutura, representaram mais de 89% dos ativos negligenciados na nuvem.

“Há espaço para melhorias em ambos os lados do modelo de responsabilidade compartilhada”, diz Shua. “Os críticos sempre se concentraram no lado do cliente interno [para correção], mas nos últimos anos, houve alguns problemas no lado do provedor de nuvem que não foram corrigidos em tempo hábil.”

Na verdade, corrigir vulnerabilidades pode ser o problema mais crítico, porque o contêiner, a imagem e a máquina virtual médios tinham pelo menos 50 vulnerabilidades conhecidas. Cerca de três quartos – 78% – dos ataques começam com a exploração de uma vulnerabilidade conhecida, afirmou a Orca no relatório. Além disso, um décimo de todas as empresas possui um ativo na nuvem que utiliza software com uma vulnerabilidade de pelo menos 10 anos.

No entanto, a dívida de segurança causada por vulnerabilidades não está distribuída uniformemente por todos os activos, concluiu o relatório. Mais de dois terços – 68% – das vulnerabilidades do Log4j foram encontradas em máquinas virtuais. No entanto, apenas 5% dos ativos de carga de trabalho ainda apresentam pelo menos uma das vulnerabilidades do Log4j, e apenas 10.5% delas poderiam ser alvo da Internet.

Problemas do lado do cliente

Outro grande problema é que um terço das empresas possui uma conta root em um provedor de nuvem que não é protegida pela autenticação multifator (MFA). Cinquenta e oito por cento das empresas desativaram a MFA para pelo menos uma conta de usuário privilegiada, de acordo com dados da Orca. Deixar de fornecer a segurança adicional da MFA deixa os sistemas e serviços abertos a ataques de força bruta e pulverização de senhas.

Além dos 33% de empresas que não possuem proteções MFA para contas root, 12% das empresas têm uma carga de trabalho acessível pela Internet com pelo menos uma senha fraca ou vazada, afirmou a Orca em seu relatório.

As empresas devem procurar aplicar a MFA em toda a sua organização (especialmente para contas privilegiadas), avaliar e corrigir vulnerabilidades mais rapidamente e encontrar formas de abrandar os atacantes, diz Shua.

“A chave é corrigir as causas raízes, que é o vetor inicial, e aumentar o número de etapas que o invasor precisa realizar”, diz ele. “Controles de segurança adequados podem garantir que, mesmo que o invasor tenha sucesso com o vetor de ataque inicial, ele ainda não será capaz de alcançar as joias da coroa.”

No geral, tanto os fornecedores de nuvem como os seus clientes empresariais têm problemas de segurança que precisam de ser identificados e corrigidos, e ambos precisam de encontrar formas de resolver esses problemas de forma mais eficiente, acrescenta; visibilidade e controles de segurança consistentes em todos os aspectos da infraestrutura em nuvem são fundamentais.

“Não é que os seus muros não sejam suficientemente altos”, diz Shua. “É que eles não estão cobrindo todo o castelo.”