کمپنیاں اور ان کے کلاؤڈ فراہم کنندگان اکثر اپنے سسٹم اور سروسز میں کمزوریوں کو کھلا چھوڑ دیتے ہیں، حملہ آوروں کو اہم ڈیٹا تک رسائی حاصل کرنے کے لیے آسان راستہ دیتے ہیں۔
اہم کلاؤڈ سروسز سے جمع کیے گئے اور 13 ستمبر کو جاری کیے گئے ڈیٹا کے Orca سیکیورٹی کے تجزیہ کے مطابق، حملہ آوروں کو حساس ڈیٹا تک رسائی حاصل کرنے کے لیے اوسطاً صرف تین مراحل کی ضرورت ہوتی ہے، نام نہاد "کراؤن جیولز"، جو اکثر شروع ہوتے ہیں۔ 78% کیسز - ایک معروف خطرے کے استحصال کے ساتھ۔
اورکا سیکیورٹی کے سی ای او اور شریک بانی ایوی شوا کا کہنا ہے کہ اگرچہ سیکیورٹی کی زیادہ تر بحث کمپنیوں کے ذریعہ کلاؤڈ وسائل کی غلط ترتیب پر مرکوز رہی ہے، لیکن کلاؤڈ فراہم کرنے والے اکثر کمزوریوں کو پلگ کرنے میں سست رہے ہیں۔
وہ کہتے ہیں، "کلید بنیادی وجوہات کو ٹھیک کرنا ہے، جو کہ ابتدائی ویکٹر ہے، اور ان اقدامات کی تعداد میں اضافہ کرنا ہے جو حملہ آور کو اٹھانے کی ضرورت ہے۔" "مناسب حفاظتی کنٹرول اس بات کو یقینی بنا سکتے ہیں کہ یہاں تک کہ اگر ابتدائی حملہ ویکٹر ہے، تب بھی آپ تاج کے جواہرات تک نہیں پہنچ پاتے۔"
۔ تجزیہ کردہ ڈیٹا کی رپورٹ Orca کی سیکیورٹی ریسرچ ٹیم کی جانب سے "AWS، Azure، اور Google Cloud پر اربوں کلاؤڈ اثاثوں" سے ڈیٹا کا استعمال کرتے ہوئے، جسے کمپنی کے صارفین باقاعدگی سے اسکین کرتے ہیں۔ ڈیٹا میں کلاؤڈ ورک لوڈ اور کنفیگریشن ڈیٹا، ماحولیات کا ڈیٹا، اور 2022 کے پہلے نصف میں جمع کیے گئے اثاثوں سے متعلق معلومات شامل تھیں۔
غیر موزوں خطرات زیادہ تر بادل کے خطرے کا سبب بنتے ہیں۔
تجزیہ نے کلاؤڈ مقامی فن تعمیر کے ساتھ چند اہم مسائل کی نشاندہی کی۔ اوسطاً، کلاؤڈ فراہم کرنے والوں کے 11% اور ان کے صارفین کے کلاؤڈ اثاثوں کو "نظرانداز" سمجھا جاتا ہے، جس کی تعریف گزشتہ 180 دنوں میں پیچ نہیں کی گئی تھی۔ کنٹینرز اور ورچوئل مشینیں، جو اس طرح کے بنیادی ڈھانچے کے سب سے عام اجزاء بناتے ہیں، نظر انداز کیے گئے کلاؤڈ اثاثوں میں سے 89 فیصد سے زیادہ ہیں۔
شوا کا کہنا ہے کہ "مشترکہ ذمہ داری کے ماڈل کے دونوں اطراف میں بہتری کی گنجائش ہے۔ "ناقدین نے ہمیشہ گھر کے گاہک کی طرف توجہ مرکوز کی ہے [پیچنگ کے لیے]، لیکن پچھلے کچھ سالوں میں، کلاؤڈ فراہم کرنے والے کے اختتام پر کچھ ایسے مسائل پیدا ہوئے ہیں جنہیں بروقت حل نہیں کیا گیا ہے۔"
درحقیقت، کمزوریوں کو ٹھیک کرنا سب سے اہم مسئلہ ہو سکتا ہے، کیونکہ اوسط کنٹینر، تصویر، اور ورچوئل مشین میں کم از کم 50 معلوم کمزوریاں تھیں۔ اورکا نے رپورٹ میں کہا کہ تقریباً تین چوتھائی — 78% — حملے ایک معروف خطرے کے استحصال سے شروع ہوتے ہیں۔ مزید برآں، تمام کمپنیوں کا دسواں حصہ کم از کم 10 سال پرانا کمزوری کے ساتھ سافٹ ویئر کا استعمال کرتے ہوئے کلاؤڈ اثاثہ رکھتا ہے۔
اس کے باوجود کمزوریوں کی وجہ سے سیکیورٹی کا قرض تمام اثاثوں میں یکساں طور پر تقسیم نہیں کیا جاتا، رپورٹ میں پایا گیا۔ دو تہائی سے زیادہ — 68% — Log4j کی کمزوریاں ورچوئل مشینوں میں پائی گئیں۔ تاہم، کام کے بوجھ کے صرف 5% اثاثوں میں اب بھی کم از کم Log4j کمزوریوں میں سے ایک ہے، اور ان میں سے صرف 10.5% کو انٹرنیٹ سے نشانہ بنایا جا سکتا ہے۔
کسٹمر سائیڈ ایشوز
ایک اور بڑا مسئلہ یہ ہے کہ ایک تہائی کمپنیوں کے پاس کلاؤڈ فراہم کنندہ کے ساتھ روٹ اکاؤنٹ ہے جو ملٹی فیکٹر تصدیق (MFA) سے محفوظ نہیں ہے۔ اورکا کے ڈیٹا کے مطابق، اٹھاون فیصد کمپنیوں نے کم از کم ایک مراعات یافتہ صارف اکاؤنٹ کے لیے MFA کو غیر فعال کر دیا ہے۔ ایم ایف اے کی اضافی سیکیورٹی فراہم کرنے میں ناکامی سے نظام اور خدمات وحشیانہ حملوں اور پاس ورڈ چھڑکنے کے لیے کھلی رہ جاتی ہیں۔
اورکا نے اپنی رپورٹ میں کہا کہ 33% فرموں کے علاوہ جو روٹ اکاؤنٹس کے لیے MFA تحفظات سے محروم ہیں، 12% کمپنیوں کے پاس کم از کم ایک کمزور یا لیک شدہ پاس ورڈ کے ساتھ انٹرنیٹ پر قابل رسائی کام کا بوجھ ہے۔
شوا کا کہنا ہے کہ کمپنیوں کو اپنی تنظیم (خاص طور پر مراعات یافتہ اکاؤنٹس کے لیے) پر MFA کو نافذ کرنے، کمزوریوں کا تیزی سے جائزہ لینے اور ان کو ٹھیک کرنے، اور حملہ آوروں کو سست کرنے کے طریقے تلاش کرنے کی کوشش کرنی چاہیے۔
"کلید بنیادی وجوہات کو ٹھیک کرنا ہے، جو کہ ابتدائی ویکٹر ہے، اور ان اقدامات کی تعداد میں اضافہ کرنا ہے جو حملہ آور کو اٹھانے کی ضرورت ہے،" وہ کہتے ہیں۔ "مناسب حفاظتی کنٹرول اس بات کو یقینی بنا سکتے ہیں کہ حملہ آور کو ابتدائی حملے کے ویکٹر میں کامیابی حاصل ہونے کے باوجود بھی وہ تاج کے جواہرات تک پہنچنے کے قابل نہیں ہیں۔"
مجموعی طور پر، کلاؤڈ فراہم کرنے والے اور ان کے کاروباری کلائنٹس دونوں کے پاس حفاظتی مسائل ہیں جن کی شناخت اور پیچ کرنے کی ضرورت ہے، اور دونوں کو ان مسائل کو زیادہ مؤثر طریقے سے بند کرنے کے طریقے تلاش کرنے کی ضرورت ہے، وہ مزید کہتے ہیں۔ کلاؤڈ انفراسٹرکچر کے تمام پہلوؤں پر مرئیت اور مستقل حفاظتی کنٹرول کلیدی حیثیت رکھتے ہیں۔
"ایسا نہیں ہے کہ ان کی دیواریں اتنی اونچی نہیں ہیں،" شوا کہتی ہیں۔ "یہ یہ ہے کہ وہ پورے محل کا احاطہ نہیں کر رہے ہیں۔"
