Oletko varautunut pilvipalveluiden haavoittuvuuksiin? Yritykset kehittävät edelleen uusia sovelluksia ja siirtävät vanhoja pilvipohjaisiin palveluihin. Organisaatiot, jotka käyttävät pilviteknologioita ja/tai valitsevat pilvipalveluntarjoajia (CSP) ja -palveluita tai -sovelluksia ymmärtämättä täysin riskejä, asettavat itsensä useiden kaupallisten, taloudellisten, teknologisten, oikeudellisten ja vaatimustenmukaisuusongelmien riskiin. Pilvipalvelu on nopeasti kasvava ala, ja pilvipalvelutyöpaikoilla on suuri kysyntä. Valitettavasti HelpNetSecurityn tutkimuksen mukaan 93 prosentilla organisaatioista on suuria huolenaiheita julkisen pilvipalvelun turvallisuudesta. Katsotaanpa siis tarkemmin pilvipalveluiden haavoittuvuuksia ja siihen, miten voit valmistautua.
Sisällysluettelo
Pilvipalveluiden haavoittuvuuksien ymmärtäminen
Pilvipalvelulla on useita etuja. Se voi olla halvempi (julkisen pilven suuremman kyvyn vuoksi, mikä saattaa parantaa tuottavuutta verrattuna yksityisten pilvien kykyjen vähenemiseen). Toinen on, että markkinoilletulo on myös nopeampi (julkisessa pilvessä käytettävissä on enemmän ominaisuuksia, mikä lisäisi tuottavuutta verrattuna vähemmän toimintoja yksityiseen pilveen).
Vaikka useimmat yritykset käyttävät tällä hetkellä pilvipalveluita, tietoturva on yksi tärkeimmistä aiheista, joita niiden tulisi harkita.
Korkealla tasolla pilviympäristöt kohtaavat samat vaarat kuin perinteiset palvelinkeskukset. uhkatilanne on samanlainen. Pilvipalvelu käyttää ohjelmistoja, ja vastustajat yrittävät hyödyntää haavoittuvuuksia. Pilvipalveluissa, toisin kuin tietokeskuksissa, joissa on kyse IT-järjestelmistä, CSP ja pilviasiakas jakavat vastuun varmistaakseen, että näistä ohjelmistovirheistä johtuvat tietoturva-aukot korjataan. Tämän seurauksena kuluttajien on luotettava siihen, että CSP täyttää velvollisuutensa.
Takaisin Berliiniin! Data Natives 2022, henkilökohtaisesti ja verkossa – lippuja nyt saatavilla!
Jos pilvipalvelun haavoittuvuudet täyttävät seuraavat kriteerit, se on pilvikohtainen:
Mitä ovat pilvipalvelun haavoittuvuudet, huolenaiheet ja uhat?
Jopa pilvessä yritykset tekevät merkittävän virheen, kun he ajattelevat, että pilvi suojaa heidän työtaakkaansa ja tietojaan hyökkäyksiltä, varkauksilta ja muu väärinkäytös. Jopa pilvessä vikoja ja mahdollisia hyödyntämismahdollisuuksia ei voida välttää.
Väärin määritetty pilvitallennus
Kyberrikolliset hyödyntävät pilvitallennustilaa eri tarkoituksiin, mukaan lukien petollisten tulojen tuottamiseen. Mahdollisista valtavista seurauksista huolimatta yritykset tekevät edelleen pilvitallennusvirheen, joka on maksanut monille yrityksille miljoonia. Se on yksi yleisimmistä pilvitekniikan haavoittuvuuksista.
Jos organisaatiot eivät pysty määrittämään pilvitallennustilaa oikein, niiden tieto on vaarassa joutua julkisuuteen. Pilvien virheelliset määritykset voivat nopeasti kehittyä merkittäväksi pilvipalvelun tietoturvarikkomukseksi organisaatiolle ja sen asiakkaille. Yritykset kohtaavat erilaisia pilvivirheitä. Seuraavassa on esimerkkejä virheellisistä määrityksistä:
Kuinka estää väärin määritetyt pilvitallennustilat?
Pilvitallennusten suojausmääritysten tarkistaminen pilvipalvelimen asennuksen jälkeen on aina hyvä idea. Vaikka tämä saattaa tuntua itsestään selvältä, muut asiat, kuten tietojen siirtäminen pilveen ottamatta huomioon sen turvallisuutta, voivat helposti kääntää huomiosi pois siitä.
Voit myös käyttää erikoistyökaluja pilvitallennustilan suojausasetusten tarkistamiseen. Nämä pilvitietoturvaohjelmistot voivat auttaa sinua tarkistamaan suojauskokoonpanojen tilan säännöllisesti ja tunnistamaan mahdolliset puutteet ennen kuin niistä tulee vakavia ongelmia.
Kenellä on valta luoda ja hallita pilviresursseja? Ihmiset, jotka haluavat siirtyä pilveen tietämättä, kuinka suojata tietonsa, ovat yksi yleisimmistä pilvipalvelun ongelmien syistä.
Avaa S3-säilö
Soc Investigationin artikkelin mukaan S3-säilöjen virheelliset määritykset aiheuttavat 16 % kaikista pilvitietoturvaloukkauksista. S3 on AWS:n pilvitallennuspalvelu, perustallennusjärjestelmä.
Sen avulla voit tallentaa, käyttää, palauttaa ja varmuuskopioida niin paljon tietoja kuin haluat milloin ja missä haluat. Tilastojen mukaan noin 1/6 tunnistetuista 12 328 ämpäristä oli avoimesti kaikkien niitä etsivien saatavilla.
Kaikkia avoimessa S3-säihkössä säilytettäviä tietoja voidaan etsiä nopeasti erilaisilla skripteillä ja työkaluilla, jos niitä ei ole suojattu kunnolla. Avoimet S3-sämpöt voivat aiheuttaa merkittäviä tietomurtoja ja erittäin arkaluonteisten tietojen paljastumista.
Tietoturvaloukkaukset
Tietoturvaloukkaukset ovat kalliita, ja miljoonia dollareita voidaan menettää joka kerta. Verizonin 2019 Data Breach Investigations -raportin mukaan 43 prosenttia uhreista oli pieniä yrityksiä. Tietomurrot vaikuttavat suhteettoman paljon pieniin yrityksiin useista syistä, joista yksi on se, että niillä ei ole samaa turvallisuustasoa kuin monikansallisilla yrityksillä. He ovat houkuttelevia kohteita, ja kun heidän tietonsa varastetaan, he kärsivät eniten vahinkoa. Se on yksi vaarallisimmista pilvitekniikan haavoittuvuuksista.
Tietoturvaloukkauksen seurauksia voivat olla:
On parasta ottaa huomioon kyberturvallisuuteen liittyvät ylimääräiset kustannukset, kuten rikostekninen tutkimus ja kriisinhallinta.
Kuinka pysyt suojassa tietomurroilta?
Tietoturvaloukkauksia voi tapahtua monella eri tavalla. Joku organisaatiossasi on saattanut ladata haittaohjelmia, tai hyökkääjä on voinut käyttää pilvitietoturvapuutteita päästäkseen verkon tietoturvaan etänä.
Hyökkääjät voivat myös fyysisesti käyttää tietokonettasi ja ottaa tietoja.
Yksittäistä kaikille sopivaa ratkaisua tietomurtojen estämiseen ei ole, mutta joitain yleisiä käytäntöjä ovat:
Luvaton käyttö
Toisin kuin organisaation paikan päällä oleva infrastruktuuri, pilvipohjaiset asennukset ovat käytettävissä julkisesta Internetistä ja verkon ulkopuolelta. Vaikka tämä infrastruktuuri on hyödyllinen työntekijöille ja kuluttajille saavutettavuuden kannalta, se helpottaa myös hyökkääjien pääsyä luvattomasti organisaation pilvipohjaisiin resursseihin. Sopimattomat suojausasetukset tai varastetut tunnistetiedot voivat mahdollistaa hakkerin suoran pääsyn, jota yritys ei välttämättä huomaa.
Suojaamattomat sovellusliittymät
Sovellusliittymät mahdollistavat toisiinsa liittymättömien ohjelmistotuotteiden kommunikoinnin ja yhteentoimivuuden tuntematta toistensa sisäisiä toimintoja. Sovellusliittymiä tarvitaan usein, ja ne antavat usein pääsyn kriittisiin liiketoimintatietoihin. Monet API:t julkistetaan yrityksille, jotta ne voivat nopeuttaa teknologiansa käyttöönottoa sallimalla ulkopuolisten kehittäjien ja liikekumppaneiden käyttää organisaation palveluita ja tietoja.
API:t otetaan joskus käyttöön ilman riittävää todennusta ja valtuutusta. Koska ne ovat täysin suojaamattomia, kuka tahansa, jolla on Internet-yhteys, voi käyttää tietoja ja mahdollisesti käyttää niitä väärin. Tämän seurauksena turvattomista sovellusliittymistä on tulossa hakkereiden ja muiden huonojen toimijoiden pääkohde.
On tärkeää suunnitella ja käyttää sovellusliittymiä seuraavien ominaisuuksien mukaisesti käytettäessä pilvipalveluntarjoajan sovellusliittymiä tai luotaessa pilveen käyttöön otettuja yrityssovellusliittymiä:
Sovellusliittymiä luovien ja käyttävien yritysten on oltava tietoturvatietoisia, varsinkin kun ne käsittelevät arkaluontoista koodia. Pilvikäyttöön ja muihin ulkopuolisiin API:ihin vaaditaan tunkeutumistestaus. Vältä vaatimustenvastaisten ulkoisten sovellusliittymien käyttöä.
Kuinka pysyt suojattuna API-hyökkäyksiltä?
Voit suojata pilvijärjestelmääsi API-hyökkäyksiltä muutamalla tavalla:
Nämä kaikki ovat turvatoimia sovellusliittymiesi turvallisuuden varmistamiseksi, mutta kehittäjät ovat myös vastuussa vahvempien todennussovellusliittymien luomisesta.
Tilin kaappaus
Tilin kaappaaminen, joka tunnetaan myös nimellä istuntopyöräily, tapahtuu, kun käyttäjien tilitiedot varastetaan heidän tietokoneelta tai laitteelta.
Tili voidaan kaapata useilla tavoilla. Nämä ovat joitain yleisimmistä menetelmistä:
Kuinka pysyt suojassa tilin kaappauksia vastaan?
Luo vahvoja salasanoja ja vaihda ne säännöllisesti. Tämä auttaa estämään sinua joutumasta raa'an voiman hyökkäyksen uhriksi. Harkitse monitekijätodennuksen (MFA) käyttöä tilisi suojaustasoa lisäämiseksi, jos mahdollista. Tämä tekee hyökkääjille lisävaikeuksia lisäämällä ylimääräisen esteen heidän pääsylleen.
Tietojenkalastelu on yksi yleisimmistä syistä onnistuneeseen tilikaappaukseen. Kun napsautat online- ja sähköpostilinkkejä ja vastaanotat salasanojen vaihtopyyntöjä, ole varovainen. Jos palkkaat myös ihmisiä, jotka käyttävät pilvipalveluita, varmista, että he ovat tietoisia pilvipalveluiden tietoturvaongelmista, jotta he voivat tunnistaa tilin haltuunottoyritykset.
Kysy uhkien havaitsemisasiantuntijaa estääksesi tilien kaappaukset. He voivat tutkia verkkosi mahdollisten aukkojen varalta ja toteuttaa suojatoimenpiteitä, jotta tietosi pysyvät turvassa näiltä tekniikoilta.
Haitalliset sisäpiiriläiset
Vaikka estäisit itsesi muunlaisilta pilviturvauhkilta, haitalliset sisäpiiriläiset, kuten nykyiset ja aiemmat työntekijät, voivat silti vahingoittaa organisaatiotasi. Se on yksi yleisimmistä pilvitekniikan haavoittuvuuksista.
Kuinka pysyt suojassa haitallisilta sisäpiiriläisiltä?
Koska sisäpiiriuhat ovat yleisempiä kuin ulkoiset hyökkäykset, yritykset ovat valitettavasti alttiimpia niille. Yksi syy on se, että vaara (tyypillisesti) ei hyödynnä pilven haavoittuvuuksia päästäkseen käsiksi arkaluontoisiin tietoihin.
Hyvä uutinen on, että sisäpiirivaarat voidaan torjua toimimalla ennakoivasti. Tämä edellyttää pääsyn rajoittamista kriittisiin tietoihin ja ihmisille vain sen tiedon antamista, jonka he tarvitsevat tietääkseen, eikä mitään muuta. Sinun tulee myös tehdä säännöllisesti turvatarkastuksia ja estää pääsy tarvittaessa.
Sinä olet vastuussa siitä, kuinka usein auditoinnit suoritetaan, vaikka se on suositeltavaa tehdä vähintään kahdesti vuodessa. Jotkut yritykset tekevät neljännesvuosittaiset arvioinnit, kun taas toiset vain kuukausittain.
Näkyvyyden puute
Organisaatioiden pilvipohjaiset varat sijaitsevat yritysverkon ulkopuolella ja käyttävät infrastruktuuria, jota yritys ei omista. Tämän seurauksena monet perinteiset verkkojen katselutaktiikat ovat hyödyttömiä pilviympäristöissä, ja joillakin yrityksillä ei ole pilveen keskittyviä tietoturvatyökaluja. Tämä saattaa rajoittaa organisaation kykyä valvoa pilvipohjaisia resurssejaan ja puolustaa niitä hyökkäyksiltä.
Tietojen ulkoinen jakaminen
Pilvi on tarkoitettu tekemään tietojen jakamisesta mahdollisimman helppoa. Monet pilvet antavat sinun kutsua nimenomaisesti yhteiskäyttäjän sähköpostitse tai jakaa linkin, joka johtaa jaettuun resurssiin ja sallii kenen tahansa URL-osoitteen käyttävän pääsyn.
Tällä yksinkertaisella tietojen jakamisella on kuitenkin haittapuolensa. Koska linkkipohjainen jakaminen on yksinkertaisempaa kuin jokaisen aiotun yhteiskäyttäjän kutsuminen erikseen, jaetun resurssin käyttöoikeuden hallinta ei voi olla helppoa. Jaettu linkki voidaan välittää jollekulle toiselle, varastaa kyberhyökkäyksen aikana tai kyberrikollinen arvata, jolloin he voivat päästä luvatta jaettuun resurssiin. Lisäksi linkkipohjainen jakaminen tekee mahdottomaksi poistaa pääsyn vain yhdeltä henkilöltä, jolla on yhdistetty URL-osoite.
Kyberhyökkäykset
Tietorikollisuus on bisnestä, ja kyberrikolliset kohtelevat uhrejaan heidän odotetun sijoitetun pääoman tuoton perusteella. Julkisesti saatavilla olevat pilvipohjaiset tilat ovat usein riittämättömästi suojattuja, ja ne sisältävät paljon arkaluontoista ja arvokasta dataa. Lisäksi, koska monet eri yritykset käyttävät pilvipalvelua, onnistuneilla hyökkäyksillä on hyvä mahdollisuus toistua useita kertoja huomattavalla tarkkuudella. Tämän seurauksena yritysten pilvilaajennukset ovat usein kyberhyökkäysten kohteita. Se on yksi yleisimmistä pilvitekniikan haavoittuvuuksista.
Sinun on puhdistettava tietosi kyberhyökkäysten välttämiseksi. Voit myös tarkistaa, mitä tekoäly voi tehdä kyberturvallisuudessa.
Palvelunestohyökkäykset
Monet organisaatiot huomaavat, että pilvi on kriittinen niiden liiketoiminnan kannalta. He käyttävät pilvipalvelua säilyttääkseen tärkeitä yritystietoja ja ajaakseen tärkeitä sisäisiä ja asiakkaille suunnattuja sovelluksia.
Tämä tarkoittaa, että onnistunut pilviinfrastruktuurin DoS-hyökkäys vaikuttaisi suuresti moniin organisaatioihin. Tämän seurauksena DoS-hyökkäykset, joissa hyökkääjä haluaa rahaa hyökkäyksen lopettamiseksi, ovat suuri huolenaihe organisaation pilvipohjaisille resursseille.
Tallennetut tiedot menetetään
Pilvitekniikan luonteen vuoksi tiedot voivat tuhoutua useista syistä. Asiakastiedot voivat kadota, jos pilvipalveluntarjoaja poistaa ne vahingossa tai fyysisen katastrofin, kuten tulipalon tai maanjäristyksen, seurauksena. Tietojen menettämisen välttäminen ei ole yksinomaan palveluntarjoajan vastuulla. Jos asiakas salaa tiedot ennen sen lataamista pilveen ja menettää salausavaimen, tiedot menetetään. Lisäksi virheellinen tieto CSP:n tallennusmallista voi johtaa tietojen menetykseen.
Tietosuoja
Monet yritykset ovat huolissaan tietojen yksityisyydestä ja luottamuksellisuudesta. Tietosuojalait, kuten Euroopan unionin yleinen tietosuoja-asetus (GDPR), sairausvakuutuksen siirrettävyys- ja saavutettavuuslaki (HIPAA), maksukorttialan tietoturvastandardi (PCI DSS) ja monet muut vaativat yrityksiä pitämään asiakkaiden tiedot turvassa. Lisäksi organisaatioilla on paljon kilpailuetunsa kannalta kriittistä sisäistä tietoa.
Monet organisaatiot epäröivät tallentaa näitä tietoja pilveen, varsinkin kun lähes kolme neljästä yrityksestä vetoaa tietoturvaan. Monet yritykset ovat omaksuneet pilvipalvelun, mutta monet eivät tiedä, kuinka pitää tietonsa turvassa. Tämän seurauksena arkaluontoiset tiedot ovat alttiita altistumiselle – kuten lukuisista pilvitietomurroista ilmenee.
Lakien ja säädösten noudattaminen
Suojattujen tietojen (luottokorttitietojen, terveydenhuollon potilasasiakirjojen jne.) käytön rajoittaminen on vakioominaisuus tietosuojasäännöksissä, kuten PCI DSS ja HIPAA. Tämä saattaa tarkoittaa fyysisesti tai loogisesti eristetyn osan rakentamista organisaation verkosta, johon pääsevät vain työntekijät, joilla on siihen lupa. Se on yksi kalleimmista pilvipalveluiden haavoittuvuuksista.
Näillä ja muilla säännöillä suojatun tiedon siirtäminen pilveen saattaa olla vaikeampaa. On vaikeampaa saavuttaa ja osoittaa säännösten noudattamista siirrettäessä tietoja tämän kaltaisten säädösten välillä. Pilviratkaisun ansiosta organisaatioilla on vain rajallinen käsitys ja hallinta infrastruktuurinsa osissa. Tämän seurauksena 42 % yrityksistä pitää lakien ja säädösten noudattamista tärkeänä pilviturvallisuusongelmana, joka vaatii erikoistuneita pilviyhteensopivuusratkaisuja.
Katkokset
Pilviinfrastruktuurit ovat valtavia, mutta joskus ne epäonnistuvat – yleensä näyttävällä tavalla. Tällaiset tapahtumat johtuvat laitteiston toimintahäiriöistä ja määritysvirheistä, jotka ovat samat ongelmat, jotka vaivaavat perinteisiä paikallisia palvelinkeskuksia.
Pilvitietoturva voi vaarantua myös hajautettujen palvelunestojen ja muiden haitallisten menetelmien vuoksi, jotka pyrkivät häiritsemään pilviresurssien ja -palvelujen saatavuutta. Oletetaan, että hyökkääjä voi estää julkisten pilviresurssien tai -palvelujen saatavuuden. Siinä tapauksessa se vahingoittaa kaikkia yrityksiä ja pilven käyttäjiä, jotka luottavat näihin resursseihin ja palveluihin. Pilvipalveluntarjoajat ovat hyvin perehtyneet hyökkäysten käsittelyyn, ja tukihenkilöstö voi auttaa kaikissa hyökkäyksen kohteena olevissa ainutlaatuisissa yritystyökuormissa.
Yritykset ja muut julkisen pilven käyttäjät eivät voi estää pilvipalvelukatkoksia tai hyökkäyksiä, joten valmistaudu niihin osana palautussuunnitelmaasi. Harkitse tällaisten ongelmien seurauksia pilvityökuormille ja tietolähteille ja suunnittele etukäteen. Se on yksi selittämättömimmistä pilvitekniikan haavoittuvuuksista.
Shadow IT
Kuka tahansa voi luoda julkisen pilvitilin ja käyttää sitä palveluiden tarjoamiseen sekä työkuormien ja tietojen siirtämiseen. Kuitenkin ne, jotka eivät ole perehtyneet tietoturvastandardeihin, määrittävät suojausasetukset usein väärin, mikä jättää hyödynnettävissä olevia pilvihaavoittuvuuksia. Tällaiset "varjo-IT" -asennukset eivät välttämättä koskaan edes tunnista hyökkäyksiä tai raportoi niistä monissa tilanteissa. Tämä estää yritystä ryhtymästä mihinkään toimenpiteisiin ongelman estämiseksi kauan sen jälkeen.
Yrityksistä on tulossa varjo-IT:n sietokykyisempiä, mutta niiden on tehtävä se turvallisesti. Yrityskäyttäjien, osastojen ja muiden organisaatioyksiköiden tulee noudattaa organisaation laatimia ohjeita haavoittuvuuksien välttämiseksi ja koko yrityksen turvallisuuden varmistamiseksi.
Voidaan puhua useammista uhista ja haavoittuvuuksista, mutta päätimme keskittyä juuri näihin. Voit sisällyttää haluamasi huolenaiheet kommenttiosioon.
