Hvorfor skysikkerheten din ikke kutter den, og hva du skal gjøre med den

SANS-instituttets skysikkerhetsundersøkelse for 2019 er edruelig (du må registrere deg for et gratis medlemskap for å lese den). Rapporten ble skrevet av Dave Shackleford i april 2019, og sier noen skuffende fakta og tall. For eksempel skulle man tro at vi, etter alle de nylige rapporter om brudd, ville være flinkere til å beskytte skyressursene våre. Men ikke bare er vi fortsatt ganske dårlige til det, det store problemet er ikke engang teknologi. Det er fremdeles mennesker. En tydelig indikasjon på dette vises i rapportens liste over de viktigste typer angrep, som starter med konto- eller legitimasjonskaping, og nummer to årsaken til feilkonfigurasjon av skytjenester og ressurser.

"Credential kapring er en velprøvd tilgangsmetodikk fordi du angriper mennesker, " sa Mike Sprunger, senior manager for Security Consulting Practice i Insight Enterprises 'Security Consulting Practice. "Folk vil alltid være den svakeste koblingen, fordi det er her du kommer inn på mange av de tradisjonelle sosialtekniske spørsmålene, for eksempel samtaler til helpdesk, phishing og spydfiske."

Selvfølgelig er det mange måter som legitimasjon kan bli stjålet, idet phishing ganske enkelt er det nyeste, og i noen tilfeller, det vanskeligste å takle. Men legitimasjon kan også høstes fra data fra andre brudd, ganske enkelt fordi folk gjenbruker de samme legitimasjonsoplysningene der de kan, slik at de ikke har husket mer enn nødvendig. I tillegg er det fortsatt en ærefull praksis med å skrive påloggingsinformasjon om klistremerker og lime dem ved siden av et tastatur.

Misformasjon av skytjenester er et annet område der mennesker er svakhetspunktet. Forskjellen her er at folk vil gå ut og stille opp en skytjeneste uten å ha noen anelse om hva de gjør, og så vil de bruke dem til å lagre data uten å beskytte dem.

Spronger forklarte: "Først i skyadopsjon har det vært så mye om hvor lett det er å stå opp en sky at det er urealistiske forventninger. "Folk gjør feil, og det er ikke helt klart hva du må gjøre for å definere sikkerhet rundt containere."

Vagueness i sikkerhet er ikke bra

En del av problemet er at nettskyleverandører ikke virkelig gjør en tilstrekkelig jobb med å forklare hvordan sikkerhetsalternativene deres fungerer (slik jeg fant ut når jeg nylig gjennomgikk Infrastructure-as-a-Service eller IaaS-løsninger), så du må gjette eller ringe leverandøren for hjelp. For eksempel, med mange skytjenester, har du muligheten til å slå på en brannmur. Men å finne ut hvordan du konfigurerer den når den kjører, er kanskje ikke tydelig forklart. I det hele tatt.

Dette problemet er så ille at Shackleford, forfatteren av SANS-rapporten, begynner rapporten med en liste over ubeskyttede Amazon Simple Storage Service (S3) bøtter som resulterte i brudd. "Hvis tallene skal antas, er 7 prosent av S3-spannene åpne for hele verden, " skrev han, "og ytterligere 35 prosent bruker ikke kryptering (som er innebygd i tjenesten)." Amazon S3 er en flott lagringsplattform da testene våre gikk ut. Problemer som disse stammer rett og slett fra brukere som enten feilkonfigurerer tjenesten eller er helt uvitende om at visse funksjoner eksisterer.

Misbruk av privilegert bruk er neste på listen, og det er et annet problem som stammer fra mennesker. Sprunger sa at dette er mer enn bare misfornøyde ansatte, selv om det inkluderer de. "Mye av det som er savnet er tredjeparter som har privilegert tilgang, " forklarte han. "Det er langt enklere å gå inn på tjenestekontotilgang. Det er vanligvis en enkelt konto med et enkelt passord, og det er ingen ansvarlighet."

Tjenestekontoer leveres vanligvis for tredjepart, ofte leverandører eller entreprenører som trenger tilgang enten for å tilby support eller service. Sprunger sa at det var et slikt servicekonto som tilhørte en oppvarmings-, ventilasjons-, klimaanlegg (HVAC) -entreprenør som var det svake punktet som førte til Målet-bruddet. et hovedmål for angripere.

Overvinne sikkerhetsproblemer

Så, hva gjør du med disse sårbarhetene? Det korte svaret er trening, men det er mer sammensatt enn det. For eksempel trenger brukere å bli opplært til å se etter phishing-e-poster, og at opplæringen må være fullstendig nok til å gjenkjenne enda subtile tegn på phishing. I tillegg må den inkludere trinnene ansatte bør ta hvis de selv mistenker at de ser et slikt angrep. Dette inkluderer hvordan du kan se hvor en kobling i en e-post virkelig går, men den må også inkludere prosedyrer for rapportering av en slik e-post. Opplæringen må inkludere en tro på at de ikke vil komme i trøbbel for å unnlate å handle på instruksjoner som vises mistenkt via e-post.

På samme måte må det være et visst nivå av virksomhetsstyring på plass slik at tilfeldige ansatte ikke skal ut og sette opp sine egne skytjenestekontoer. Dette inkluderer å se på kuponger for kostnadsrapporter for gebyrer for skytjenester på personlige kredittkort. Men det betyr også at du må gi opplæring i hvordan du takler tilgjengeligheten av skytjenester.

Håndtere privilegerte brukermisbruk

Å håndtere privilegerte brukermisbruk kan også være utfordrende fordi noen leverandører vil insistere på tilgang med et bredt spekter av rettigheter. Du kan takle noe av dette ved å segmentere nettverket slik at tilgangen bare er til tjenesten som administreres. For eksempel, segmenter den slik at HVAC-kontrolleren er på sitt eget segment, og leverandører som har til oppgave å opprettholde det systemet, bare får tilgang til den delen av nettverket. Et annet tiltak som kan bidra til å oppnå dette er å distribuere et robust identitetsstyringssystem (IDM), som ikke bare vil holde bedre oversikt over kontoer, men også hvem som har dem og deres tilgangsprivilegier. Disse systemene vil også la deg stoppe tilgangen raskere og gi en revisjonsspor av kontoaktivitet. Og mens du kan bruke store penger på en, har du kanskje allerede en som kjører hvis du er en Windows Server-butikk med et Microsoft Active Directory (AD) -tre aktivert.

• The Best Security Suites for 2019 The Best Security Suites for 2019
• De beste forretningsleverandørene for skylagring og fildeling for 2019 De beste leverandørene av skylagrings- og fildelingsleverandører for 2019
• De beste Cloud Backup Services for Business i 2019 De beste Cloud Backup Services for Business i 2019

Du må kanskje også sørge for at leverandører har minst mulig tilgang slik at kontoene deres bare gir dem rettigheter til programvaren eller apparatet de administrerer, og ikke noe annet - en annen god bruk av et IDM-system. Du kan kreve at de ber om midlertidig tilgang til noe annet.

Dette er bare de beste elementene på en ganske lang liste over sikkerhetsproblemer, og det er verdt å lese SANS sikkerhetsundersøkelsesrapport i sin helhet. Listen vil gi deg et veikart over måter å tilnærme deg sikkerhetsproblemene dine, og den vil hjelpe deg med å realisere flere skritt du kan ta. Men bunnlinjen er at hvis du ikke gjør noe med problemene rapportert av SANS, vil skysikkerheten din stinke, og du vil sannsynligvis bli fanget i en virvel av svikt når skyen sirkler avløpet til en full blåst brudd.