Kuruluşlar verilerini ve iş yüklerini giderek daha fazla buluta taşıdıkça, bulut kimliklerinin güvenliğini sağlamak çok önemli hale geldi. Kimlikler, bulut kaynaklarına erişmenin anahtarıdır ve ele geçirilmeleri durumunda saldırganların hassas verilere ve sistemlere erişmesine olanak tanır.
Bugün gördüğümüz saldırıların çoğu, saldırganların birinin hesabını tehlikeye attığı ve ayrıcalıklarını yanal hareket etmek ve hassas verilere ve kaynaklara erişmek için kullandığı istemci tarafı saldırılardır. Bunu önlemek için bulutunuzun kimlik altyapısının görünürlüğüne ihtiyacınız var. Sistemlere erişen tüm kişi ve nesnelerin kimliklerini, izinlerini ve ilişkilerini bilmediğiniz sürece, riskinizi etkili bir şekilde değerlendirmek ve önleyici tedbirler almak için gerekli bağlama sahip olamazsınız.
Bir dizi yüksek profilli saldırı bu sorunu göstermektedir. Güvenliği ihlal edilmiş bir bulut kimliği, saldırganların şunlara erişmesine olanak sağladı: SolarWinds'in Orion yazılımıDevlet kurumları ve Fortune 500 şirketleri de dahil olmak üzere binlerce müşteriye kötü amaçlı kod dağıttılar. Bir başka örnek ise Microsoft Exchange saldırısıSaldırganların e-posta hesaplarına erişim sağlamak için Exchange'deki bir güvenlik açığından yararlandığı. Oradan hassas verileri çaldılar ve diğer hesapların güvenliğini ihlal etmek amacıyla kimlik avı e-postaları gönderdiler.
Bulutun güvenliğini sağlamak için, uygulamalı risk olarak bilinen ve güvenlik uygulayıcılarının, kimlikler arasındaki ilişki ve tehditlerin kendi özel ortamlarındaki aşağı yönlü etkileri hakkındaki bağlamsal verilere dayalı önleyici eylemler hakkında kararlar almasına olanak tanıyan bir yaklaşımın uygulanmasını öneriyorum. Uygulamalı riski benimsemeye yönelik bazı pratik ipuçlarını burada bulabilirsiniz.
Bulut Korumasını Bir Uyumluluk Çalışması Değil, Bir Güvenlik Projesi Olarak Değerlendirin
Yeni başlayanlar için zihniyetinizi değiştirin. İstemci-sunucu bilişiminin basit günleri geride kaldı. Bulut ortamı, verilerden, kullanıcılardan, sistemlerden ve bunların hepsi arasındaki etkileşimlerden oluşan karmaşık bir sistemdir.
Her şeyin birlikte nasıl çalıştığını anlamıyorsanız, bir dizi kutuyu işaretlemek daha fazla güvenlik sağlamayacaktır. Çoğu ekip, yıllar önce uygulamaya konulan önceliklendirme ve iyileştirme stratejisine körü körüne güvenerek, önleyici güvenliğe yönelik rehbersiz bir yaklaşım benimsiyor. Ancak güvenlik, kuruluşun daha geniş risk maruziyetine dayalı olarak her güvenlik ekibine göre uyarlanmış özel bir yaklaşım gerektirir. Bir güvenlik tedarikçisinden gelen her "kritik" uyarının, söz konusu ortam için en büyük risk olduğu söylenemez.
İyileştirmeyi doğru bir şekilde önceliklendirmek ve riski azaltmak için saldırı yüzeyinin tamamını dikkate almanız gerekir. Riskler, varlıklar ve kullanıcılar arasındaki ilişkileri anlamak, hangi sorunların en büyük riski oluşturduğunu belirlemenize yardımcı olur. Ek bağlamı hesaba kattığınızda, "kritik" bulgu en büyük sorun olmayabilir.
Bulut Kimlik Altyapınıza Görünürlük Kazanın
Daha sonra görünürlük çok önemlidir. Uygulanan riski güvenilir bir şekilde belirlemek için bulut kimlik altyapınızdaki tüm kimlikleri ve erişim kontrol noktalarını kapsamlı bir şekilde denetlemelisiniz. Ortamınızda hangi kaynaklara sahip olduğunuzu, bunların bulutta mı yoksa şirket içinde mi olduğunu, bunların nasıl sağlandığını ve yapılandırıldığını ve diğer değişkenleri bilmeniz gerekir.
Bulutun güvenliğini sağlarken yalnızca buluta özgü kaynakların nasıl yapılandırıldığına bakmakla kalmaz, kimlik yönünü de denetlemeniz gerekir: örneğin sanal makineler (VM'ler), sunucusuz işlevler, Kubernetes kümeleri ve konteynerler. Bir yöneticinin AWS'ye bağlı bir hesabı, yerel sistemlerinde oturum açmak için farklı bir role sahip bir Active Directory hesabı, GitHub'da bir hesabı, bir Salesforce hesabı vb. olabilir. Ayrıca, yöneticinin kullandığı makinelerin hijyeni gibi şeyleri de göz önünde bulundurmanız gerekir. geliştiriciler, DevOps ve BT ekipleri kullanıyor. Bir DevOps mühendisine yönelik başarılı bir kimlik avı saldırısı, bulut ortamlarınızın güvenlik durumu üzerinde büyük bir etkiye sahip olabilir.
Buradan itibaren kimlikler ve eriştikleri sistemler arasındaki ilişkilerin haritasını çıkarmalısınız. Bu, saldırı yüzeyinizi anlamanın önemli bir parçasıdır. Bulutta yerel uygulama koruma platformları (CNAPP'ler) bu konuda yardımcı olmak için tasarlandı. Güçlü bir CNAPP platformuna sahip olmak, güvenlik ekibine belirli bir kimlik etrafındaki anormal davranışları tespit etme ve yapılandırmaların ne zaman değişmeye başladığını tespit etme yeteneği verir.
Farklı Ekiplerinizi Hizalayın
Kimliklerin ve ilişkilerin haritasını çıkardıktan sonra, en savunmasız olduğunuz yeri belirlemek ve uygulanan riski ölçmeye başlamak için bunları güvenlik açıklarına ve yanlış yapılandırmalara bağlamanız gerekir. Bu olmadan etkili bir iyileştirme stratejisi oluşturamazsınız.
Ancak veriler ve strateji sizi yalnızca bir yere kadar götürecektir. Ekipler genellikle silolar halinde çalışır ve her biri, diğer ekiplerle iletişim kurmadan veya riski en aza indirmeye yönelik bütünsel bir vizyon üzerinde uyum sağlamadan, kullandıkları spesifik yazılıma dayalı önceliklendirme eylemlerini takip eder. Her saldırı yüzeyi aynı olmadığından, organizasyonu, farklı beceri gruplarının ortamlarına özgü değişkenlere dayalı olarak azaltıcı eylemlerde bulunabileceği şekilde yapılandırmanız gerekir.
Ekipler daha yakından birleştiğinde organizasyonel risk azalır. Diyelim ki bir siteler arası komut dosyası çalıştırma güvenlik açığı Web uygulamalarınızdan birinde. Bu uygulamayı çalıştıran altyapıyla ilişkili herhangi bir güvenlik veya yapılandırma sorununa öncelik vermek mantıklı olmaz mıydı? Bunun tersi de doğrudur. Üretimde çalışan veya internette duran bir güvenlik açığını, istismar edilme şansı olmayan bir geliştirme ortamında çalışan bir güvenlik açığıyla ele almak daha mantıklı değil mi?
Nedenin büyük bir kısmı güvenlik ekipleri bu silolarda çalışıyor Bunun nedeni, satıcı ortamının onları bu şekilde çalışmaya zorlamış olmasıdır. Yakın zamana kadar burada önerdiğim şeyleri yapmanın bir yolu yoktu - en azından geniş güvenlik bütçelerine sahip ve şirket içi araçlar ve ekipler geliştiren kuruluşların %1'i dışında kimse için.
Özetlemek gerekirse, kimlikleri (bulut ve diğer) korumak, uyumluluktan bütünsel güvenliğe doğru bir zihniyet değişimini benimsemeyi, CNAPP ile bulut altyapınızda görünürlük kazanmayı ve iyileştirmeyi önceliklendirme konusunda farklı ekipleri hizalamayı içeren uygulamalı risk yaklaşımını gerektirir.
- SEO Destekli İçerik ve Halkla İlişkiler Dağıtımı. Bugün Gücünüzü Artırın.
- PlatoData.Network Dikey Üretken Yapay Zeka. Kendine güç ver. Buradan Erişin.
- PlatoAiStream. Web3 Zekası. Bilgi Genişletildi. Buradan Erişin.
- PlatoESG. karbon, temiz teknoloji, Enerji, Çevre, Güneş, Atık Yönetimi. Buradan Erişin.
- PlatoSağlık. Biyoteknoloji ve Klinik Araştırmalar Zekası. Buradan Erişin.
- Kaynak: https://www.darkreading.com/edge/securing-cloud-identities-to-protect-assets-and-minimize-risk
- :vardır
- :dır-dir
- :olumsuzluk
- :Neresi
- $UP
- 500
- a
- kabiliyet
- Hakkımızda
- erişim
- erişme
- Hesap
- Hesaplar
- tam olarak
- Action
- eylemler
- aktif
- Ek
- adres
- Gizem
- Benimsemek
- öğüt vermek
- ajansları
- önce
- Uyarmak
- dizme
- hiza
- Türkiye
- veriyor
- Ayrıca
- an
- ve
- Başka
- herhangi
- kimse
- Uygulama
- uygulamaları
- uygulamalı
- yaklaşım
- ARE
- etrafında
- AS
- boy
- belirlemek
- Varlıklar
- ilişkili
- At
- saldırı
- saldırılar
- girişim
- denetim
- AWS
- merkezli
- BE
- Çünkü
- müşterimiz
- olmuştur
- davranış
- ısmarlama
- arasında
- Biggest
- kutular
- getirmek
- Daha geniş
- Bütçeler
- yapılı
- fakat
- CAN
- şans
- yakından
- bulut
- bulut altyapısı
- kod
- Yakın İletişim
- Şirketler
- uyma
- karmaşık
- kapsamlı
- uzlaşma
- Uzlaşılmış
- bilgisayar
- yapılandırma
- yapılandırılmış
- Düşünmek
- Konteynerler
- bağlam
- bağlamsal
- kontrol
- çiftleşmiş
- yaratmak
- kritik
- Müşteriler
- veri
- Günler
- kararlar
- konuşlandırılmış
- tasarlanmış
- belirlemek
- Belirlemek
- dev
- geliştiriciler
- farklı
- do
- yok
- don
- Damlalar
- her
- Etkili
- etkili bir şekilde
- E-posta
- e-postalar
- etkinleştirmek
- mühendis
- Tüm
- çevre
- ortamları
- vb
- Her
- her şey
- örnek
- takas
- istismar
- sömürülen
- Maruz kalma
- inanç
- uzak
- bulma
- şu
- İçin
- Kısmet
- itibaren
- fonksiyonlar
- Kazanç
- kazanma
- verdi
- GitHub
- verir
- gitmiş
- Hükümet
- devlet kurumları
- büyük
- daha fazla güvenlik
- En büyük
- Var
- sahip olan
- yardım et
- okuyun
- yüksek profilli
- bütünsel
- Ne kadar
- HTTPS
- i
- belirlemek
- kimlikler
- Kimlik
- if
- örneklemek
- darbe
- Etkiler
- uygulanması
- önemli
- in
- Dahil olmak üzere
- giderek
- Altyapı
- örnek
- etkileşimleri
- Internet
- içine
- konu
- sorunlar
- IT
- jpg
- anahtar
- anahtarlar
- Nezaket.
- Bilmek
- bilinen
- manzara
- büyük
- en az
- izin
- sevmek
- yerel
- log
- Bakın
- Makineler
- yapmak
- harita
- masif
- Mayıs..
- önlemler
- Mindset
- minimize
- Daha
- çoğu
- hareket
- şart
- zorunlu olarak
- gerekli
- gerek
- yok hayır
- numara
- nesneler
- of
- on
- ONE
- bir tek
- işletmek
- or
- kuruluşlar
- örgütsel
- organizasyonlar
- Diğer
- aksi takdirde
- dışarı
- Olağanüstü
- Bölüm
- belirli
- İnsanlar
- izinleri
- Kimlik avı
- Kimlik avı saldırısı
- yer
- platform
- Platformlar
- Platon
- Plato Veri Zekası
- PlatoVeri
- noktaları
- poz
- Pratik
- önlemek
- önceliklendirme
- Öncelik
- önceliklendirme
- ayrıcalıklar
- Sorun
- üretim
- proje
- öneren
- korumak
- koruyucu
- koruma
- koymak
- koymak
- RE
- neden
- geçenlerde
- azaltmak
- ilişki
- İlişkiler
- gerektirir
- Kaynaklar
- Risk
- Rol
- koşu
- s
- satış ekibi
- aynı
- söylemek
- sabitleme
- güvenlik
- görmek
- duyu
- hassas
- gönderdi
- Dizi
- Serverless
- Setleri
- çalışma
- meli
- silolar
- Basit
- Oturan
- beceri
- So
- şu ana kadar
- Yazılım
- biraz
- Birisi
- özel
- başlama
- çaldı
- Stratejileri
- güçlü
- yapı
- başarılı
- yüzey
- sistem
- Sistemler
- ısmarlama
- Bizi daha iyi tanımak için
- takım
- takım
- o
- The
- ve bazı Asya
- Onları
- Orada.
- Bunlar
- onlar
- işler
- Re-Tweet
- Binlerce
- tehditler
- BAĞ
- bağlı
- ipuçları
- için
- bugün
- birlikte
- araçlar
- gerçek
- anlamak
- anlayış
- kadar
- kullanım
- kullanıcılar
- kullanma
- Geniş
- satıcı
- Karşı
- Sanal
- görünürlük
- vizyonumuz
- güvenlik açıkları
- güvenlik açığı
- Savunmasız
- Yol..
- we
- ağ
- Web Uygulamaları
- Ne
- ne zaman
- olup olmadığını
- hangi
- irade
- ile
- olmadan
- won
- İş
- çalışır
- gitmeyeceklerini
- yıl
- henüz
- Sen
- zefirnet