Ciberataques cada vez mais visam o Cloud IAM como um elo fraco

Os cibercriminosos sempre procuram pontos cegos no gerenciamento de acesso, sejam eles configurações incorretas, práticas inadequadas de credenciamento, bugs de segurança não corrigidos ou outras portas ocultas para o castelo corporativo. Agora, à medida que as organizações continuam a sua tendência de modernização para a nuvem, os malfeitores aproveitam uma oportunidade emergente: falhas de acesso e configurações incorretas na forma como as organizações utilizam os serviços dos fornecedores de nuvem. gerenciamento de identidade e acesso (IAM) camadas.

Em palestra na quarta-feira, 10 de agosto, na Black Hat USA intitulada “Eu sou o único que bate”, Igal Gofman, chefe de pesquisa da Ermetic, oferecerá uma visão dessa fronteira de risco emergente. “Os defensores precisam entender que o novo perímetro não é a camada de rede como era antes. Agora é realmente o IAM – é a camada de gerenciamento que governa tudo”, diz ele à Dark Reading.

Complexidade, Identidades de Máquina = Insegurança

A armadilha mais comum que as equipes de segurança enfrentam ao implementar o IAM na nuvem é não reconhecer a complexidade do ambiente, observa ele. Isso inclui compreender a quantidade crescente de permissões e acesso que os aplicativos de software como serviço (SaaS) criaram.

“Os adversários continuam a colocar as mãos em tokens ou credenciais, seja por meio de phishing ou alguma outra abordagem”, explica Gofman. “Antes, isso não dava muito ao invasor além do que estava em uma máquina local. Mas agora, esses tokens de segurança têm muito mais acesso, porque todos nos últimos anos migraram para a nuvem e têm mais acesso aos recursos da nuvem.”

A questão da complexidade é particularmente picante quando se trata de entidades de máquina – que, ao contrário dos humanos, estão sempre funcionando. No contexto da nuvem, eles são usados ​​para acessar APIs da nuvem usando chaves de API; habilitar aplicativos sem servidor; automatizar funções de segurança (ou seja, corretores de serviços de acesso à nuvem ou CASBs); integrar aplicativos e perfis SaaS entre si usando contas de serviço; e mais.

Dado que a empresa média utiliza agora centenas de aplicações e bases de dados baseadas na nuvem, esta massa de identidades de máquinas apresenta uma rede altamente complexa de permissões e acessos entrelaçados que sustentam as infraestruturas das organizações, que é difícil de obter visibilidade e, portanto, difícil de gerir. Gofman diz. É por isso que os adversários procuram explorar cada vez mais essas identidades.

“Estamos a assistir a um aumento na utilização de identidades não humanas, que têm acesso a diferentes recursos e diferentes serviços internamente”, observa. “São serviços que conversam com outros serviços. Eles têm permissões e geralmente acesso mais amplo do que os humanos. Os provedores de nuvem estão incentivando seus usuários a usá-los, porque no nível básico eles os consideram mais seguros. Mas existem algumas técnicas de exploração que podem ser usadas para comprometer ambientes usando essas identidades não humanas.”

Entidades de máquinas com permissões de gerenciamento são particularmente atraentes para serem usadas por adversários, acrescenta.

“Este é um dos principais vetores que vemos como alvo dos cibercriminosos, especialmente no Azure”, explica ele. “Se você não tiver um conhecimento profundo de como gerenciá-los dentro do IAM, estará abrindo uma brecha de segurança.”

Como aumentar a segurança do IAM na nuvem

Do ponto de vista defensivo, Gofman planeja discutir as muitas opções que as organizações têm para lidar com o problema da implementação de IAM eficaz na nuvem. Por um lado, as organizações devem utilizar os recursos de registro dos provedores de nuvem para construir uma visão abrangente de quem — e o que — existe no ambiente.

“Na verdade, essas ferramentas não são muito utilizadas, mas são boas opções para entender melhor o que está acontecendo no seu ambiente”, explica ele. “Você também pode usar o registro para reduzir a superfície de ataque, porque pode ver exatamente o que os usuários estão usando e quais permissões eles têm. Os administradores também podem comparar as políticas declaradas com o que realmente está sendo usado em uma determinada infraestrutura.”

Ele também planeja analisar e comparar os diferentes serviços IAM dos três principais provedores de nuvem pública – Amazon Web Services, Google Cloud Platform e Microsoft Azure – e suas abordagens de segurança, todas ligeiramente diferentes. O IAM multinuvem é um problema adicional para empresas que usam nuvens diferentes de provedores diferentes, e Gofman observa que compreender as diferenças sutis entre as ferramentas que elas oferecem pode ajudar muito a reforçar as defesas.

As organizações também podem usar uma variedade de ferramentas de código aberto de terceiros para obter melhor visibilidade em toda a infraestrutura, observa ele, acrescentando que ele e seu co-apresentador Noam Dahan, líder de pesquisa da Ermetic, planejam demonstrar uma opção.

“O Cloud IAM é muito importante”, diz Gofman. “Vamos falar sobre os perigos, as ferramentas que podem ser usadas e a importância de entender melhor quais permissões são usadas e quais não são usadas, e como e onde os administradores podem identificar pontos cegos.”