Typowe błędy konfiguracji chmury i jak ich uniknąć

Firmy coraz częściej przenoszą swoje operacje IT do rozwiązań IaaS (infrastructure-as-a-service). Gartner szacuje, że do 2022 r. około 60% podmiotów biznesowych będzie korzystać z ofert zarządzanych w chmurze, podwajając odnotowane wykorzystanie w 2018 r.

Oferty chmurowe, takie jak Amazon Web Services (AWS), są ogólnie bezpieczne. Jednak ze względu na to, że IaaS korzysta ze współdzielonego modelu zabezpieczeń, istnieje duże prawdopodobieństwo wystąpienia problemów z bezpieczeństwem danych, w tym problemów z cyberbezpieczeństwem i obciążeniami. Błędne konfiguracje podczas migracji do środowisk natywnych dla chmury mogą nieumyślnie prowadzić do luk w zabezpieczeniach cybernetycznych.

Błędna konfiguracja to nie tylko teoretyczny problem związany z przetwarzaniem w chmurze. Badania McAfee dotyczące bezpieczeństwa korporacyjnego pokazują, że typowe przedsiębiorstwo doświadcza około 3500 incydentów miesięcznie. Z badania wynika, że 90% firm zgłosiło, że doświadczyło problemów z bezpieczeństwem IaaS.

W związku z tym prawidłowa konfiguracja migracji do chmury może znacznie zmniejszyć przyszłe problemy z zabezpieczeniami IaaS i przyspieszyć transformację cyfrową.

Błędna konfiguracja chmury - poważne zagrożenie bezpieczeństwa

Błędna konfiguracja chmury odnosi się do wszelkich usterek, luk lub błędów, które mogą narazić środowisko na ryzyko podczas wdrażania chmury. Te zagrożenia cybernetyczne mają postać naruszeń bezpieczeństwa, zewnętrznych hakerów, oprogramowania ransomware, złośliwego oprogramowania lub zagrożeń wewnętrznych, które wykorzystują luki w zabezpieczeniach w celu uzyskania dostępu do sieci.

NSA uważa błędną konfigurację chmury za główną lukę w zabezpieczeniach środowiska chmurowego. Chociaż zagrożenia te są często mniej wyrafinowane, rozpowszechnienie problemów jest na ogół ogromne.

Błędna konfiguracja to problem związany z przetwarzaniem w chmurze, ponieważ środowiska wielochmurowe mogą być dość skomplikowane, a wykrywanie i ręczne korygowanie błędów może być trudne. Według badania Gartnera problemy te powodują 80% wszystkich naruszeń bezpieczeństwa danych, a do 2025 roku nawet 99% awarii środowisk chmurowych będzie przypisywanych błędom ludzkim.

Jest to trudne, biorąc pod uwagę, że nie ma jednorazowego środka zaradczego na problemy z błędną konfiguracją chmury, takie jak wycieki chmury. Pomogłoby jednak wdrożenie procedur bezpieczeństwa na etapie budowy. Dlatego zespoły DevOps i ds. bezpieczeństwa muszą ze sobą współpracować.

Dowiedz się więcej o najczęstszych błędach konfiguracji powodujących naruszenia bezpieczeństwa danych >

Typowe błędy konfiguracji chmury i ich rozwiązania

Przyjrzyjmy się bliżej najczęstszym błędom konfiguracji chmury, z którymi prawdopodobnie będziesz musiał sobie poradzić podczas migracji do środowiska chmurowego.

1. Nieograniczone porty przychodzące

Wszystkie porty otwarte na Internet mogą być potencjalnie problematyczne. Usługi w chmurze najczęściej używają portów UDP lub TCP o dużej liczbie, aby zapobiec ryzyku narażenia, ale zdeterminowani hakerzy nadal mogą je wywęszyć. Zaciemnianie może być pomocne, ale samo w sobie jest niewystarczające.

Podczas migracji do środowiska wielochmurowego upewnij się, że znasz pełną gamę otwartych portów, a następnie ogranicz lub zablokuj te, które nie są absolutnie konieczne.

2. Nieograniczone porty wychodzące

Te porty stwarzają możliwości dla zdarzeń bezpieczeństwa, takich jak eksfiltracja danych, ruch boczny i skanowanie sieci wewnętrznej w przypadku naruszenia bezpieczeństwa systemu. Udzielanie dostępu wychodzącego do protokołu RDP lub SSH jest częstym błędem konfiguracji chmury. Serwery aplikacji rzadko muszą łączyć się z innymi serwerami sieciowymi za pomocą protokołu SSH, więc nie ma potrzeby używania otwartych portów wychodzących dla protokołu SSH.

Upewnij się, że ograniczasz dostęp do portów wychodzących i używasz zasady najmniejszych uprawnień, aby ograniczyć komunikację wychodzącą.

3. Zarządzanie "tajemnicami"

Ten problem z konfiguracją może być szkodliwy dla Twojej organizacji. Zabezpieczanie wpisów tajnych, takich jak klucze API, hasła, klucze szyfrowania i poświadczenia administratora, jest niezbędne. Jednak większość firm otwarcie korzysta z nich za pośrednictwem zhakowanych serwerów, źle skonfigurowanych zasobników w chmurze, kodu HTML i repozytoriów GitHub. Jest to tak ryzykowne, jak pozostawienie klucza do zasuwki przyklejonego do drzwi wejściowych.

Możesz to przezwyciężyć, utrzymując spis wszystkich tajemnic firmowych w chmurze i regularnie oceniając ich zabezpieczenie. W przeciwnym razie cyberprzestępcy mogą łatwo włamać się do Twoich systemów, uzyskać dostęp do danych i przepełnić zasoby w chmurze, aby spowodować nieodwracalne szkody.

Możesz również korzystać z rozwiązań i usług do zarządzania wpisami tajnymi, takich jak Hashicorp Vault, AWS Secrets Manager, Azure Key Vault i AWS Parameter Store.

4. Wyłączone monitorowanie i rejestrowanie

Co zaskakujące, większość organizacji nie konfiguruje, nie włącza ani nie przegląda danych telemetrycznych i dzienników oferowanych przez chmury publiczne, które mogą być zaawansowane. Przydałaby się osoba odpowiedzialna za regularne przeglądy i oznaczanie incydentów związanych z bezpieczeństwem.

Ta cenna wskazówka nie ogranicza się tylko do chmur publicznych IaaS. Te same informacje otrzymasz również od dostawców pamięci masowej jako usługi, z których również musisz regularnie się zapoznawać. Alert konserwacyjny lub biuletyn aktualizacyjny może narazić organizację na poważne konsekwencje związane z bezpieczeństwem, ale nie pomoże, jeśli nikt nie zwróci na niego uwagi.

5. Protokół ICMP pozostawiony otwarty

ICMP (Internet Control Message Protocol) zgłasza błędy urządzeń sieciowych, ale jest częstym celem dla cyberprzestępców. Dzieje się tak, ponieważ chociaż protokół może wyświetlać, czy serwer jest responsywny i online, cyberprzestępcy mogą go również użyć do wskazania ataku.

Co więcej, jest to również wektor ataku typu denial-of-service (DDoS) i wielu rodzajów złośliwego oprogramowania. Powódź pingów lub przemiatanie pingów może przeciążyć serwery wiadomościami ICMP. Chociaż jest to przestarzała strategia ataku, nadal jest skuteczna. Upewnij się więc, że konfiguracja chmury blokuje protokół ICMP.

6. Niezabezpieczone automatyczne kopie zapasowe

Zagrożenia wewnętrzne dla środowiska chmurowego są stale obecnym zagrożeniem dla cyberbezpieczeństwa. Według McAfee około 92% organizacji biznesowych ma dane uwierzytelniające pracowników sprzedawane w darknecie. Jedną z sekcji, w której zagrożenia wewnętrzne mogą być szczególnie szkodliwe, jest brak odpowiedniego zabezpieczenia automatycznego tworzenia kopii zapasowych danych w chmurze.

Być może dane podstawowe są chronione, ale źle skonfigurowane kopie zapasowe nieumyślnie pozostaną podatne na zagrożenia i narażone na zagrożenia wewnętrzne.

Podczas migracji do chmury upewnij się, że kopie zapasowe są szyfrowane, zarówno w spoczynku, jak i podczas przesyłania. Sprawdź również uprawnienia, aby ograniczyć dostęp do kopii zapasowych.

7. Dostęp do pamięci masowej

Większość użytkowników chmury uważa, że "uwierzytelnieni użytkownicy" obejmują tylko tych, którzy zostali już uwierzytelnieni w odpowiednich aplikacjach lub organizacjach w odniesieniu do zasobników pamięci masowej. Niestety tak nie jest.

"Uwierzytelnieni użytkownicy" odnoszą się do każdej osoby z uwierzytelnianiem AWS, zasadniczo każdego klienta AWS. Z powodu tego nieporozumienia, wraz z wynikającą z niego błędną konfiguracją ustawień sterowania, obiekty pamięci masowej mogą być całkowicie narażone na publiczny dostęp. Zachowaj szczególną ostrożność podczas ustawiania dostępu do obiektów pamięci masowej w taki sposób, aby udzielał go tylko osobom w organizacji.

8. Brak walidacji

Ten błąd konfiguracji chmury jest meta-problemem: większość organizacji nie tworzy i nie wdraża systemów do identyfikowania błędnych konfiguracji za każdym razem, gdy one występują. Niezależnie od tego, czy jest to audytor zewnętrzny, czy zasób wewnętrzny, potrzebujesz kogoś, kto zweryfikuje, czy uprawnienia i usługi są poprawnie skonfigurowane i wdrożone.

Utwórz harmonogram, który zapewni, że walidacja będzie przebiegać jak w zegarku, ponieważ błędy są nieuniknione w miarę rozwoju środowiska chmury. Potrzebny jest również rygorystyczny proces okresowego audytowania konfiguracji chmury. W przeciwnym razie możesz pozostawić lukę w zabezpieczeniach, którą cyberprzestępcy mogą wykorzystać.

9. Nieograniczony dostęp do portów innych niż HTTPS/HTTP

Serwery internetowe są przeznaczone do hostowania usług internetowych i witryn internetowych w Internecie, wraz z innymi usługami, takimi jak RDP lub SSH do baz danych lub zarządzania. Musisz jednak zablokować im dostęp do każdej części Internetu.

Nieprawidłowo skonfigurowane porty mogą otworzyć infrastrukturę chmury na złośliwe podmioty, które chcą użyć brutalnej siły lub wykorzystać uwierzytelnianie. Otwierając te porty w Internecie, upewnij się, że ograniczasz je do akceptowania ruchu z określonych adresów, takich jak biuro.

10. Nadmiernie permisywny dostęp do maszyn wirtualnych, kontenerów i hostów

Czy podłączyłbyś serwer wirtualny lub fizyczny w swoim centrum danych bezpośrednio do Internetu bez ochrony go za pomocą zapory sieciowej lub filtra? Prawdopodobnie nie, ale ludzie robią dokładnie to samo w swoich infrastrukturach chmurowych przez cały czas.

Oto niektóre z najczęstszych przykładów:

Włączanie starszych protokołów i portów, takich jak FTP, na hostach w chmurze
Starsze protokoły i porty, takie jak rexec, rsh i telnet, w fizycznych usługach, które zostały przekształcone w wirtualne i przeniesione do chmury
Uwidacznianie etcd (port 2379) dla klastrów Kubernetes w publicznym Internecie

Możesz uniknąć tego błędu w konfiguracji chmury, zabezpieczając ważne porty i wyłączając (lub przynajmniej blokując) starsze, niezabezpieczone protokoły w środowisku chmury w taki sam sposób, w jaki traktujesz lokalne centrum danych.

11. Włączanie zbyt wielu uprawnień dostępu do chmury

Główną zaletą przetwarzania w chmurze jest łatwość skalowalności. Ta prostota rozbudowy nie jest jednak pozbawiona wad. W miarę jak środowiska chmurowe stają się coraz większe i bardziej złożone, administratorzy szybko tracą nadzór nad kontrolami systemu.

Brak widoczności utrudnia administratorom przeglądanie uprawnień i ograniczanie dostępu. Mogą również łatwiej włączyć domyślne ustawienia uprawnień dla wszystkich użytkowników, aby uniknąć radzenia sobie z napływem próśb o dostęp.

Niepotrzebne uprawnienia znacznie zwiększają ryzyko zagrożeń wewnętrznych, które mogą skutkować wyciekami z chmury i naruszeniami danych.

Organizacje powinny dążyć do wdrożenia powstającej architektury Secure Access Service Edge (SASE), która umożliwia bardziej efektywne zabezpieczanie chmury, w tym korzystanie z rozwiązań Cloud Access Service Brokers (CASB) i Cloud Security Posture Management (CSPM) do zarządzania uprawnieniami użytkowników w środowiskach wielochmurowych.

12. Przejęcie subdomeny (AKA Dangling DNS)

Częstą przyczyną tego typu cyberataku jest sytuacja, w której organizacja usuwa subdomenę ze swojego wirtualnego hosta (np. AWS, Azure, Github itp.), ale zapomina usunąć powiązane z nią rekordy z systemu nazw domen (DNS).

Gdy atakujący odkryje nieużywaną subdomenę, może ją ponownie zarejestrować za pośrednictwem platformy hostingowej i przekierować użytkowników do ich własnych złośliwych stron internetowych.

Takie przejęcie może skutkować wstrzyknięciem złośliwego oprogramowania lub atakami phishingowymi na niczego niepodejrzewających użytkowników i może spowodować poważne szkody wizerunkowe dla pierwotnego właściciela subdomeny.

Aby uniknąć przejęcia subdomeny, organizacje powinny zawsze pamiętać o usunięciu rekordów DNS dla wszystkich domen i subdomen, które nie są już używane.

13. Błędy konfiguracji specyficzne dla Twojego dostawcy usług w chmurze

Chociaż błędne konfiguracje, takie jak otwarte porty i nadmiernie permisywny dostęp, mają zastosowanie do wszystkich dostawców usług w chmurze, istnieje wiele błędnych konfiguracji, które są bardziej specyficzne dla używanych usług. Na przykład domyślne ustawienia dostępu publicznego dla zasobników S3 to dobrze znana luka w zabezpieczeniach platformy AWS.

Organizacje powinny badać błędy konfiguracji chmury specyficzne dla ich dostawców usług w chmurze.

Poniżej znajdują się linki do niektórych typowych znanych błędów konfiguracji dla popularnych dostawców usług w chmurze.

Kliknij tutaj, aby dowiedzieć się więcej o typowych błędnych konfiguracjach Amazon AWS.

Kliknij tutaj, aby dowiedzieć się więcej o typowych błędach konfiguracji platformy Microsoft Azure.

Kliknij tutaj, aby dowiedzieć się więcej o typowych błędach konfiguracji Google Cloud.

Jak chronić swoje dane przed błędnymi konfiguracjami chmury

Poniższe zalecenia ekspertów pomogą Ci bezpiecznie skonfigurować środowisko chmurowe i zachować jego bezpieczeństwo:

Pamiętaj o zapomnianych usługach — zespoły programistyczne i operacyjne najczęściej tworzą nowe aplikacje i serwery w chmurze, konfigurują je, a następnie nie sprawdzają ponownie konfiguracji. Upewnij się, że wiesz, gdzie znajdują się Twoje usługi i zasoby w chmurze oraz ich stan.

Opracowywanie zasad i szablonów — liderzy IT muszą propagować działające ustawienia zabezpieczeń w podstawowych ustawieniach konfiguracji swoich środowisk, aby umożliwić przyszłym instancjom infrastruktury chmurowej lub aplikacji korzystanie z wcześniejszych doświadczeń.

Automatyzacja kontroli zabezpieczeń i konfiguracji — zwinne podejścia programistyczne wykorzystują rozległą automatyzację do tworzenia i wdrażania bezpiecznego kodu. Dlatego upewnij się, że sprawdziłeś uruchomioną infrastrukturę i aplikacje pod kątem zabezpieczeń i zgodności. Automatyzacja może być tutaj korzystna.

Korzystaj z narzędzi dostawcy — musisz zrozumieć, w jakim stopniu dzielisz się odpowiedzialnością za bezpieczeństwo z dostawcą chmury. Większa odpowiedzialność spoczywa na kliencie w przypadku chmur typu infrastruktura jako usługa, podczas gdy dostawca usług w chmurze zarządza przede wszystkim ofertami SaaS.

Przeprowadzanie ocen ryzyka — oceny ryzyka cyberbezpieczeństwa pomagają zidentyfikować potencjalne zagrożenia w pamięci masowej w chmurze i innych sekcjach infrastruktury podczas migracji danych i operacji do chmury.

Zagrożenia nadal istnieją, nawet przy świetnej konfiguracji

Zapoznanie się z różnymi błędami konfiguracji podczas migracji do chmury i unikanie ich może pomóc w zidentyfikowaniu i wyeliminowaniu większości luk w zabezpieczeniach. Jednak wyeliminowanie zagrożeń bezpieczeństwa w chmurze jest prawie niemożliwe. Jest to główny powód, dla którego monitorowanie ruchu sieciowego jest niezbędne.

Decydenci mogą korzystać z ciągłego monitorowania, które obejmuje pełny zakres sieci firmowej, od każdego urządzenia na brzegu sieci do rdzenia chmury, aby wykrywać niespójności lub nietypowe działania, które wskazują na problemy z zabezpieczeniami i błędną konfiguracją.

Administratorzy sieci mogą ocenić ważne wskaźniki cyberbezpieczeństwa i zapewnić skuteczne środki zaradcze w przypadku tych problemów, zanim spowodują one naruszenia danych w chmurze, ataki DDoS, wstrzyknięcia oprogramowania ransomware i złośliwego oprogramowania lub inne cyberataki o dalekosiężnych konsekwencjach.

Zautomatyzowane rozwiązanie, takie jak UpGuard, może pomóc w ograniczeniu powierzchni ataków i zarządzaniu narażeniem na chmurę innych firm dzięki monitorowaniu w czasie rzeczywistym i usprawnionym przepływom pracy korygowania.