Atacatorii cibernetici vizează din ce în ce mai mult Cloud IAM ca o verigă slabă

Criminalii cibernetici caută întotdeauna punctele oarbe în gestionarea accesului, fie că este vorba despre configurații greșite, practici de acreditare slabe, erori de securitate neremediate sau alte uși ascunse către castelul corporativ. Acum, pe măsură ce organizațiile își continuă evoluția către cloud, actorii răi profită de o oportunitate emergentă: defecte de acces și configurații greșite în modul în care organizațiile folosesc furnizorii de cloud. managementul identității și accesului (IAM) straturi.

Într-o discuție de miercuri, 10 august, la Black Hat USA, intitulată „Eu sunt cel care bate”, Igal Gofman, șeful de cercetare pentru Ermetic, va oferi o viziune asupra acestei frontiere de risc emergente. „Apărătorii trebuie să înțeleagă că noul perimetru nu este stratul de rețea așa cum era înainte. Acum este cu adevărat IAM – este nivelul de management care guvernează totul”, spune el pentru Dark Reading.

Complexitate, identități de mașină = nesiguranță

Cea mai comună capcană în care pășesc echipele de securitate atunci când implementează cloud IAM este să nu recunoască complexitatea absolută a mediului, notează el. Aceasta include înțelegerea volumului de permisiuni și accesul pe care aplicațiile software-as-a-service (SaaS) le-au creat.

„Adversarii continuă să pună mâna pe jetoane sau acreditări, fie prin phishing, fie prin altă abordare”, explică Gofman. „La un moment dat, aceia nu i-au dat mult atacatorului în afară de ceea ce era pe o mașină locală. Dar acum, acele jetoane de securitate au mult mai mult acces, pentru că toată lumea în ultimii câțiva ani s-a mutat în cloud și au mai mult acces la resursele cloud.”

Problema complexității este deosebit de pientă când vine vorba de entități de mașină — care, spre deosebire de oameni, funcționează mereu. În contextul cloud, acestea sunt folosite pentru a accesa API-urile cloud folosind chei API; activați aplicații fără server; automatizarea rolurilor de securitate (adică, brokerii de servicii de acces la cloud sau CASB); să integreze aplicațiile și profilurile SaaS între ele folosind conturi de servicii; și altele.

Având în vedere că o companie obișnuită folosește acum sute de aplicații și baze de date bazate pe cloud, această masă de identități de mașini prezintă o rețea extrem de complexă de permisiuni și acces întrețesute care stau la baza infrastructurilor organizațiilor, în care este greu de obținut vizibilitate și, prin urmare, dificil de gestionat, spune Gofman. De aceea, adversarii caută să exploateze din ce în ce mai mult aceste identități.

„Observam o creștere a utilizării identităților non-umane, care au acces la diferite resurse și servicii diferite pe plan intern”, notează el. „Acestea sunt servicii care vorbesc cu alte servicii. Au permisiuni și, de obicei, un acces mai larg decât oamenii. Furnizorii de cloud își împing utilizatorii să le folosească, deoarece la nivel de bază îi consideră a fi mai siguri. Dar, există câteva tehnici de exploatare care pot fi folosite pentru a compromite mediile folosind acele identități non-umane.”

Entitățile de mașini cu permisiuni de gestionare sunt deosebit de atractive de utilizat de adversari, adaugă el.

„Acesta este unul dintre principalii vectori pe care vedem că infractorii cibernetici îi vizează, în special în Azure”, explică el. „Dacă nu aveți o înțelegere intima despre cum să le gestionați în cadrul IAM, oferiți o gaură de securitate.”

Cum să creșteți securitatea IAM în cloud

Din punct de vedere defensiv, Gofman intenționează să discute despre numeroasele opțiuni pe care organizațiile le au pentru a rezolva problema implementării IAM eficace în cloud. Pe de o parte, organizațiile ar trebui să utilizeze capacitățile de înregistrare în jurnal ale furnizorilor de cloud pentru a construi o viziune cuprinzătoare asupra cine – și ce – există în mediu.

„Aceste instrumente nu sunt de fapt utilizate pe scară largă, dar sunt opțiuni bune pentru a înțelege mai bine ce se întâmplă în mediul dumneavoastră”, explică el. „Puteți folosi înregistrarea și pentru a reduce suprafața de atac, deoarece puteți vedea exact ce folosesc utilizatorii și ce permisiuni au. Administratorii pot compara, de asemenea, politicile declarate cu ceea ce este utilizat de fapt într-o anumită infrastructură.”

El intenționează, de asemenea, să descompună și să compare diferitele servicii IAM de la primii trei furnizori publici de cloud - Amazon Web Services, Google Cloud Platform și Microsoft Azure - și abordările lor de securitate, toate acestea fiind ușor diferite. Multi-cloud IAM este o problemă suplimentară pentru corporațiile care folosesc diferiți nori de la diferiți furnizori, iar Gofman observă că înțelegerea diferențelor subtile dintre instrumentele pe care le oferă poate contribui în mare măsură la susținerea apărării.

Organizațiile pot folosi, de asemenea, o varietate de instrumente open source terțe pentru a obține o mai bună vizibilitate în infrastructură, notează el, adăugând că el și co-prezentatorul său Noam Dahan, lider de cercetare la Ermetic, intenționează să demonstreze o opțiune.

„Cloud IAM este extrem de important”, spune Gofman. „Vom vorbi despre pericole, instrumentele care pot fi utilizate și importanța de a înțelege mai bine ce permisiuni sunt folosite și ce permisiuni nu sunt utilizate și cum și unde administratorii pot identifica punctele moarte.”