Napadalci lahko ogrozijo večino podatkov v oblaku v samo 3 korakih

Podjetja in njihovi ponudniki oblakov pogosto pustijo odprte ranljivosti v svojih sistemih in storitvah, s čimer napadalcem omogočijo enostavno pot do dostopa do kritičnih podatkov.

Glede na analizo podatkov Orca Security, zbranih iz večjih storitev v oblaku in objavljenih 13. septembra, potrebujejo napadalci v povprečju samo tri korake, da pridobijo dostop do občutljivih podatkov, tako imenovanih "kronskih draguljev", ki se najpogosteje začnejo - v 78% primerov — z izkoriščanjem znane ranljivosti.

Medtem ko se je večina razprav o varnosti osredotočala na napačne konfiguracije virov v oblaku s strani podjetij, so ponudniki v oblaku pogosto počasni pri odpravljanju ranljivosti, pravi Avi Shua, izvršni direktor in soustanovitelj podjetja Orca Security.

»Ključno je odpraviti temeljne vzroke, ki so začetni vektor, in povečati število korakov, ki jih mora storiti napadalec,« pravi. "Ustrezen varnostni nadzor lahko zagotovi, da tudi če obstaja začetni vektor napada, še vedno ne morete doseči kronskih draguljev."

O sporočite analizirane podatke iz skupine za varnostne raziskave Orca z uporabo podatkov iz »milijarde sredstev v oblaku na AWS, Azure in Google Cloud«, ki jih stranke podjetja redno pregledujejo. Podatki so vključevali podatke o delovni obremenitvi in ​​konfiguraciji oblaka, podatke o okolju in informacije o sredstvih, zbranih v prvi polovici leta 2022.

Nepopravljene ranljivosti povzročajo največ tveganja v oblaku

Analiza je odkrila nekaj glavnih težav z arhitekturami, ki izvirajo iz oblaka. V povprečju je bilo 11 % sredstev v oblaku ponudnikov oblakov in njihovih strank ocenjenih kot »zanemarjenih«, opredeljenih tako, da niso bili popravljeni v zadnjih 180 dneh. Vsebniki in virtualni stroji, ki sestavljajo najpogostejše komponente takšne infrastrukture, so predstavljali več kot 89 % zapostavljenih sredstev v oblaku.

"Obstaja prostor za izboljšave na obeh straneh modela deljene odgovornosti," pravi Shua. "Kritiki so se vedno osredotočali na strankino stran hiše [za popravke], toda v zadnjih nekaj letih je bilo kar nekaj težav pri ponudnikih v oblaku, ki niso bile odpravljene pravočasno."

Pravzaprav je lahko odpravljanje ranljivosti najbolj kritična težava, saj je imel povprečen vsebnik, slika in virtualni stroj vsaj 50 znanih ranljivosti. Orca je v poročilu navedla, da se približno tri četrtine – 78 % – napadov začne z izkoriščanjem znane ranljivosti. Poleg tega ima desetina vseh podjetij sredstva v oblaku, ki uporabljajo programsko opremo z ranljivostjo, staro vsaj 10 let.

Vendar pa varnostni dolg, ki ga povzročajo ranljivosti, ni enakomerno porazdeljen po vseh sredstvih, ugotavlja poročilo. Več kot dve tretjini – 68 % – ranljivosti Log4j sta bili odkriti v virtualnih strojih. Vendar pa ima le 5 % sredstev delovne obremenitve še vedno vsaj eno od ranljivosti Log4j in le 10.5 % teh je lahko ciljno usmerjenih iz interneta.

Težave na strani stranke

Druga velika težava je, da ima tretjina podjetij korenski račun pri ponudniku v oblaku, ki ni zaščiten z večfaktorsko avtentikacijo (MFA). Oseminpetdeset odstotkov podjetij je onemogočilo MFA za vsaj en privilegiran uporabniški račun, kažejo podatki Orca. Če MFA ne zagotovi dodatne varnosti, so sistemi in storitve odprti za napade s surovo silo in razprševanje gesel.

Poleg 33 % podjetij, ki nimajo zaščite MFA za korenske račune, ima 12 % podjetij internetno dostopno delovno obremenitev z vsaj enim šibkim ali razkritim geslom, je Orca navedla v svojem poročilu.

Podjetja bi morala uveljaviti MFA v svoji organizaciji (zlasti za privilegirane račune), hitreje oceniti in odpraviti ranljivosti ter najti načine za upočasnitev napadalcev, pravi Shua.

»Ključno je odpraviti temeljne vzroke, ki so začetni vektor, in povečati število korakov, ki jih mora storiti napadalec,« pravi. "Ustrezen varnostni nadzor lahko zagotovi, da tudi če je napadalec uspešen z začetnim vektorjem napada, še vedno ne more doseči kronskih draguljev."

Na splošno imajo tako ponudniki oblakov kot njihove poslovne stranke varnostne težave, ki jih je treba identificirati in popraviti, in oboji morajo najti načine za učinkovitejše odpravljanje teh težav, dodaja; vidnost in dosleden varnostni nadzor v vseh vidikih infrastrukture v oblaku je ključnega pomena.

"Ne gre za to, da njihovi zidovi niso dovolj visoki," pravi Shua. "Gre za to, da ne pokrivajo celotnega gradu."