Hogyan lehet megelőzni a felhőalapú számítástechnika 11 legfontosabb veszélyét

Hogyan fejlődik a felhő a vállalati biztonság javítása érdekében A Microsoft ügyvezető alelnöke, Jason Zander leült Dan Pattersonnal, hogy megvitassák a felhő migrációját, és hogy ez hogyan javítja a biztonságot a vállalkozásban.

A felhő használata üzleti adatainak, alkalmazásainak és egyéb eszközeinek a kezeléséhez, a hozzáféréshez és a méretezhetőséghez számos előnyt kínál. De a felhő bizonyos biztonsági kockázatokat is jelent. Hagyományosan ezek a kockázatok olyan területekre összpontosultak, mint a szolgáltatásmegtagadás, az adatvesztés, a rosszindulatú programok és a rendszer sebezhetőségei. A Cloud Security Alliance kedden kiadott jelentése szerint a felhőbiztonsággal kapcsolatos legújabb fenyegetések a felhőstratégia és a végrehajtás körül hozott döntésekre tolódtak el.

Must-read Cloud

  • Cloud computing 2020-ban: Jóslatok a biztonságról, AI, Kubernetes, stb
  • Az évtized legfontosabb felhő előrehaladása
  • Legjobb asztali szolgáltatás (DaaS) szolgáltatók: Amazon, Citrix, Microsoft, VMware és még sok más
  • Cloud computing házirend (TechRepublic Premium)

A felhőipar biztonsági kérdéseivel foglalkozó 241 iparági szakértő felmérése alapján a CSA jelentése a legfontosabb veszélyek a számítási felhőben: Az Egregious 11 11 figyelemre méltó veszélyre, kockázatra és sebezhetőségre összpontosított a felhőkörnyezetben. A leírt fenyegetésekre vonatkozóan a jelentés kiemeli az üzleti hatásokat, konkrét példákat és javaslatokat kulcsfontosságú felvétel formájában.

Ez a cikk letölthető formában is található: Hogyan kerüljük el a felhőalapú számítástechnika 11 legfontosabb veszélyét (ingyenes PDF).

1. Adatok megsértése

Az adat megsértése bármilyen kiberbiztonsági esemény vagy támadás lehet, amely során az érzékeny vagy bizalmas információkat illetéktelen személyek nézik meg, ellopják vagy felhasználják.

Üzleti hatás

  • Az adatok megsértése károsíthatja a vállalat hírnevét, és fokozhatja az ügyfelek és partnerek bizalmatlanságát.
  • A jogsértés a szellemi tulajdon elvesztéséhez vezethet a versenytársak számára, és ez befolyásolhatja egy új termék kiadását.
  • A szabályozási következmények közül sok pénzügyi veszteséget okoz.
  • A vállalat márkájára gyakorolt ​​hatás befolyásolhatja annak piaci értékét.
  • Jogi és szerződéses kötelezettségek merülhetnek fel.
  • Pénzügyi költségek merülhetnek fel az eseményekre való reagálás és a kriminalisztika eredményeként.

Kulcsfontosságú elvihető termékek és ajánlások

  • Az adatok üzleti értékének és elvesztésének hatásainak meghatározása elengedhetetlen az adatok birtokában vagy feldolgozása alatt álló szervezetek számára.
  • Az adatok védelme olyan kérdésré alakul, hogy ki férhet hozzá az adatokhoz.
  • Az interneten elérhető adatok a téves konfiguráció vagy kihasználás legsebezhetőbb eszközei.
  • A titkosítási technikák védik az adatokat, de akadályozhatják a rendszer teljesítményét és kevésbé felhasználóbarátvá tehetik az alkalmazásokat.
  • A robusztus és jól bevizsgált eseménykezelési terv, amely figyelembe veszi a felhő szolgáltatóját és az adatvédelmi törvényeket, segítheti az adat megsértésének áldozatait.

2. Helytelen konfiguráció és nem megfelelő változásvezérlés

A téves konfiguráció akkor fordul elő, ha a számítástechnikai eszközöket helytelenül állítják be, így érzékenyek lehetnek a rosszindulatú tevékenységekre. Néhány példa a téves konfigurációra: Nem biztonságos adattároló elemek vagy tárolók, túlzott engedélyek, változatlan alapértelmezett hitelesítő adatok és konfigurációs beállítások, letiltva a szokásos biztonsági vezérlők, a nem feltöltött rendszerek, a naplózás vagy a megfigyelés kikapcsolva, a korlátlan hozzáférés a portokhoz és szolgáltatásokhoz.

Üzleti hatás

Az üzleti hatás függ a téves konfiguráció jellegétől, valamint annak gyors észlelésétől és megoldásától. A leggyakoribb kérdés a felhő adattárakban tárolt adatok expozíciója.

Kulcsfontosságú elvihető termékek és ajánlások

  • Mivel a felhőalapú erőforrások komplexek és dinamikusak lehetnek, ezért konfigurálásukkal nehéznek bizonyulhatnak.
  • A változáskezelés hagyományos kezelési módjai és megközelítései nem hatékonyak a felhőben.
  • A vállalatoknak át kell venniük az automatizálást és olyan technológiákat kell használniuk, amelyek folyamatosan keresik a hibásan konfigurált erőforrásokat és valós időben orvosolják a problémákat.

3. A felhő biztonsági architektúrájának és stratégiájának hiánya

Ahogy a vállalatok informatikai infrastruktúrájuk egy részét a nyilvános felhőbe migrálják, az egyik legnagyobb kihívás a megfelelő biztonság megvalósítása a számítógépes támadásokkal szemben. Feltételezve, hogy a meglévő, belső IT-verem és a biztonsági vezérlőelemeket egyszerűen csak „felhúzhatja és áthelyezheti” a felhőbe, hibás lehet.

Üzleti hatás

A felhőben történő biztonságos mozgatáshoz, telepítéshez és működéshez megfelelő biztonsági architektúra és stratégia szükséges. A gyenge biztonság miatt bekövetkezett sikeres cyberrobbanások pénzügyi veszteségeket, reputációs károkat, jogi következményeket és bírságokat eredményezhetnek.

Kulcsfontosságú elvihető termékek és ajánlások

  • Ellenőrizze, hogy a biztonsági architektúra megfelel-e az üzleti céloknak.
  • Biztonsági architektúra-keret kidolgozása és végrehajtása.
  • Gondoskodjon arról, hogy a fenyegetési modell naprakész legyen.
  • Tegye folyamatos láthatóságot a tényleges biztonsági testtartásba.

4. Nem elegendő az identitás, a hitelesítő adatok, a hozzáférés és a kulcskezelés

Biztonsági események és megsértések a hitelesítő adatok nem megfelelő védelme, a kriptográfiai kulcsok és jelszavak rendszeres automata forgatásának, a skálázható identitás- és hitelesítő adatkezelő rendszerek hiánya, a multifaktoros hitelesítés és az erős jelszavak használatának elmulasztása miatt következhetnek be. .

Üzleti hatás

A nem megfelelő azonosító, hitelesítő adatok vagy kulcskezelés lehetővé teszi az adatokhoz való jogosulatlan hozzáférést. Ennek eredményeként az illegális felhasználókként álarcos rosszindulatú szereplők olvashatnak, módosíthatnak és törölhetnek adatokat. A hackerek irányítási síkot és kezelési funkciókat is kiadhatnak, szippanthatnak az áthaladó adatokban, és kiadhatnak olyan rosszindulatú programokat, amelyek valószínűleg legitim forrásból származnak.

Kulcsfontosságú elvihető termékek és ajánlások

  • Biztonságos fiókok, amelyek tartalmazzák a két tényezővel történő hitelesítést és korlátozzák a gyökérfiókok használatát.
  • Gyakorold a felhőfelhasználók és identitások legszigorúbb azonosítási és hozzáférési vezérléseit.
  • Elkülönített és szegmentált fiókok, virtuális magánfelhők (VPC-k) és identitáscsoportok az üzleti igények és a legkevesebb kiváltság elve alapján.
  • A kulcsok forgatása, a nem használt hitelesítő adatok és jogosultságok eltávolítása, központi és programozási kulcskezelés.

5. Fiók-eltérítés

A fiók eltérítésével a támadók hozzáférést kapnak a magasan kiváltságos vagy érzékeny fiókokhoz és visszaélnek velük. Felhő-környezetben a legnagyobb kockázatot jelentő számlák a felhőszolgáltatások vagy az előfizetések.

Üzleti hatás

  • Mivel a fiók eltérítése a fiók teljes kompromittálását és ellenőrzését jelenti, az üzleti logika, a funkció, az adatok és a fiókra támaszkodó alkalmazások mind veszélybe kerülhetnek.
  • A fiókok eltérítéséből származó csapadék súlyos lehet. Néhány közelmúltbeli jogsértési eset jelentős működési és üzleti zavarokhoz vezet, ideértve az eszközök, adatok és képességek teljes megszüntetését.
  • A fiók eltérítése adatszivárogtatásokat válthat ki, amelyek reputációs károkat, a márkaérték romlását, a jogi felelősségvállalást, valamint az érzékeny személyes és üzleti információk nyilvánosságra hozatalát eredményezhetik.

Kulcsfontosságú elvihető termékek és ajánlások

  • A számla eltérítése olyan veszély, amelyet komolyan kell venni.
  • A mélyreható védelem és az IAM ellenőrzése kulcsfontosságú a számla eltérítésének enyhítésében.

6. Bennfentes fenyegetések

A bennfenteseknek nem kell áttörniük a tűzfalakon, a virtuális magánhálózatokon (VPN-ken) és más biztonsági védekezéseken, hanem megbízható szinten kell működniük, ahol közvetlenül hozzáférhetnek a hálózatokhoz, a számítógépes rendszerekhez és az érzékeny adatokhoz.

Üzleti hatás

  • A bennfentes fenyegetések a védett információk és a szellemi tulajdon elvesztését eredményezhetik.
  • Az insder támadásokhoz kapcsolódó rendszer állásidők befolyásolhatják a vállalat termelékenységét.
  • Az adatvesztés csökkentheti a vállalati szolgáltatások iránti bizalmat.
  • A bennfentes biztonsági események kezelése megköveteli az elszigetelést, a helyreigazítást, az eseményekre való reagálást, a vizsgálatot, az incidens utáni elemzést, eszkalációt, megfigyelést és megfigyelést, amelyek mindegyik hozzájárulhat a vállalat munkaterheléséhez és biztonsági költségvetéséhez.

Kulcsfontosságú elvihető termékek és ajánlások

  • Tegyen intézkedéseket a bennfentes gondatlanság minimalizálása érdekében, hogy enyhítse a bennfentes fenyegetések következményeit.
  • Képzés a biztonsági csapatok számára a számítógépes rendszerek, hálózatok, mobil eszközök és biztonsági mentési eszközök megfelelő telepítéséhez, konfigurálásához és ellenőrzéséhez.
  • Képzés a rendszeres alkalmazottai számára, hogy tájékoztassák őket a biztonsági kockázatok kezeléséről, például az adathalászatról és a vállalati adatok védelméről, amelyet a vállalaton kívül szállítanak laptopokon és mobil eszközökön.
  • Szükséges erős jelszavak és gyakori jelszófrissítések.
  • Tájékoztatja az alkalmazottakat a rosszindulatú tevékenységekkel kapcsolatos következményekről.
  • Rendszeresen ellenőrizze a kiszolgálókat a felhőben és a helyszíneken, majd javítsa ki a szervezetben beállított biztonságos kiindulási alapon végrehajtott változtatásokat.
  • Ügyeljen arra, hogy a kiváltságos hozzáférésű biztonsági rendszerek és központi kiszolgálók minimális létszámra korlátozódjanak, és hogy ezekbe a személyekbe csak azok tartoznak, akik képzettek a misszió szempontjából kritikus számítógépes szerverek kezelésére.
  • Figyelemmel kíséri az összes számítógépes kiszolgáló hozzáférését bármilyen jogosultsági szinten.

7. Nem biztonságos interfészek és API-k

Az API-k (alkalmazásprogramozási felületek) és a felhasználói felületek (felhasználói felületek) általában egy rendszer leginkább kitett részei, gyakran az egyetlen olyan eszköz, amelynek nyilvános IP-címe elérhető a megbízható határokon kívül. A hitelesítéstől és a hozzáférés ellenőrzésétől a titkosításig és a tevékenységek megfigyeléséig ezeket a felületeket úgy kell megtervezni, hogy megvédjék a biztonságot megkerülő véletlen és rosszindulatú kísérleteket is.

Üzleti hatás

Bár a legtöbb felhőszolgáltató megpróbálja integrálni a biztonságot modelljébe, a felhő ügyfeleinek is meg kell értenie a biztonsági következményeket. A felületek és az API-k gyenge halmaza a szervezeteket különféle biztonsági problémáknak vetheti fel, amelyek a titkossággal, integritással, rendelkezésre állással és elszámoltathatósággal kapcsolatosak.

Kulcsfontosságú elvihető termékek és ajánlások

  • Gyakorold a jó API-higiéniát. Ez magában foglalja az olyan elemek gondos felügyeletét, mint a leltár, a tesztelés, az ellenőrzés és a rendellenes tevékenységek védelme.
  • Gondoskodjon az API-kulcsok megfelelő védelméről és kerülje az újrafelhasználást.
  • Fontolja meg a szabványos és a nyílt API-keretek használatát (pl. Open Cloud Computing Interface (OCCI) és Cloud Infrastructure Management Interface (CIMI)).

8. Gyenge irányító sík

A vezérlősík lehetővé teszi a biztonságot és az integritást az adatsík kiegészítéseként, amely biztosítja az adatok stabilitását. A gyenge irányítási sík azt jelenti, hogy a felelős személynek nincs teljes ellenőrzése az adat-infrastruktúra logikája, biztonsága és ellenőrzése szempontjából.

Üzleti hatás

  • A gyenge irányítási sík adatvesztést okozhat lopás vagy megsérülés következtében. Az adatvesztésért törvényes büntetés is merülhet fel.
  • Gyenge vezérlési sík esetén a felhasználók szintén nem képesek megvédeni felhőalapú üzleti adataikat és alkalmazásukat.

Kulcsfontosságú elvihető termékek és ajánlások

  • A felhő-szolgáltatón keresztül biztosított megfelelő biztonsági ellenőrzésekre szükség van, hogy a felhő-ügyfelek teljesítsék jogi és törvényi kötelezettségeiket.
  • A felhő ügyfeleinek kellő gondosságot kell végrehajtaniuk és meg kell határozniuk, hogy az általuk használni kívánt felhőszolgáltatás rendelkezik-e megfelelő irányítási síkkal.

9. Metastruktúra és applistructure hibák

A metastruktúra és az applistructure modellben több szinten léteznek potenciális hibák. Például a felhő-szolgáltató nem megfelelő API-megvalósítása lehetőséget nyújt a támadók számára a felhő-ügyfelek megzavarására a szolgáltatás titkosságának, integritásának vagy elérhetőségének megszakításával.

Üzleti hatás

A felhőszolgáltatás kritikus elemei a metastruktúra és az alkalmazás. Ezeknek a szolgáltatásoknak a felhő-szolgáltató szintjén történő meghibásodása súlyos hatást gyakorolhat minden szolgáltatás-fogyasztóra. Ugyanakkor az ügyfél téves konfigurációi megzavarhatják a felhasználót pénzügyi és működési szempontból is.

Kulcsfontosságú elvihető termékek és ajánlások

  • A felhőszolgáltatóknak láthatóságot kell kínálniuk és enyhítő intézkedéseket kell tenniük, hogy ellensúlyozzák a felhő velejáró átláthatóságának hiányát az ügyfelek számára.
  • A felhő ügyfeleinek a megfelelő szolgáltatásokat és vezérlőket kell bevezetniük a felhő natív terveiben.
  • Minden felhőszolgáltatónak el kell végeznie a penetráció tesztelését, és eredményeket kell szolgáltatnia az ügyfelek számára.

10. A felhőhasználat korlátozott láthatósága

A felhőhasználat korlátozott láthatósága akkor fordul elő, amikor a szervezet nem képes elképzelni és elemezni, hogy a felhőalapú szolgáltatás biztonságos vagy rosszindulatú-ea szervezeten belüli használata.

Üzleti hatás

  • A kormányzás hiánya. Ha az alkalmazottak nem ismeri a megfelelő hozzáférési és irányítási ellenőrzéseket, akkor az érzékeny vállalati adatokat nyilvános hozzáférési helyekre lehet helyezni, szemben a magánjellegű hozzáférési helyekkel.
  • A tudatosság hiánya. Ha az adatokat és szolgáltatásokat a vállalat tudta nélkül használják, akkor nem képesek ellenőrizni szellemi tulajdonukat. Ez azt jelenti, hogy az adatoknak a munkavállalónak van, nem pedig a cégnek.
  • A biztonság hiánya. Ha egy alkalmazott helytelenül állít be egy felhőalapú szolgáltatást, akkor nemcsak a rajta található adatok, hanem a jövőbeli adatok számára is felhasználhatóvá válhat. A rosszindulatú programok, a botnetek, a kriptovállalati bányász malware és még sok más veszélyeztetheti a felhőkonténereket, szervezeti adatok, szolgáltatások és kockázatos pénzügyek.

Kulcsfontosságú elvihető termékek és ajánlások

  • Ezeknek a kockázatoknak a csökkentése a fentről lefelé történő teljes felhő láthatósági erőfeszítés fejlesztésével kezdődik. Ez a folyamat általában egy átfogó megoldás létrehozásával kezdődik, amely kapcsolódik az emberekhez, a folyamathoz és a technológiához.
  • Kötelező vállalati képzés az elfogadott felhőhasználati politikákról és végrehajtásról.
  • Az összes nem jóváhagyott felhőszolgáltatást felül kell vizsgálni és jóvá kell hagynia a felhőbiztonsági építésznek vagy harmadik fél kockázatkezelésének.
  • Fektessen be olyan megoldásokba, mint a felhőalapú hozzáférés biztonsági brókerei (CASB) vagy a szoftver által definiált átjáró (SDG) a kimenő tevékenységek elemzéséhez, a felhőhasználat és a veszélyeztetett felhasználók felfedezéséhez, valamint a hitelesített alkalmazottak viselkedésének követéséhez a rendellenességek azonosításához.
  • Fektessen be egy webalkalmazás-tűzfalat (WAF), hogy elemezze a felhőalapú szolgáltatásokhoz érkező összes bejövő kapcsolatot a gyanús tendenciák, a rosszindulatú programok, a megosztott szolgáltatásmegtagadási (DDoS) és a Botnet-kockázatok szempontjából.
  • Válasszon olyan megoldásokat, amelyeket kifejezetten az összes kulcsfontosságú vállalati felhőalkalmazás (vállalati erőforrás-tervezés, humántőke-menedzsment, kereskedelmi tapasztalatok és ellátási lánc menedzsment) figyelésére és ellenőrzésére terveztek, és amelyek biztosítják a gyanús viselkedés enyhítését.
  • Végezzen el nulla bizalmi modellt az egész szervezetében.

11. A felhőalapú szolgáltatásokkal való visszaélés és rosszindulatú felhasználás

A rosszindulatú szereplők felhasználhatják a felhőalapú számítástechnikai erőforrásokat a felhasználók, szervezetek vagy más felhőszolgáltatók megcélzására, és rosszindulatú programokat is tárolhatnak a felhőalapú szolgáltatásokon. A felhőalapú erőforrásokkal való visszaélés néhány példája: DDoS támadások, e-mail spam és adathalász kampányok indítása, a digitális valuta "bányászata", nagyszabású automatizált kattintási csalások, ellopott hitelesítő adatbázisok brute-force támadása, valamint a rosszindulatú vagy kalóz tartalmak tárolása .

Üzleti hatás

  • Ha a támadó veszélyeztette az ügyfél felhőinfrastruktúrájának kezelési síkját, akkor a támadó tiltott célokra használhatja a felhőszolgáltatást, miközben az ügyfél a számlát állítja. A számla jelentős lehet, ha a támadó jelentős erőforrásokat, például bányászati ​​kriptovalutát fogyaszt.
  • A támadók a felhőt is felhasználhatják a rosszindulatú programok tárolására és terjesztésére. A vállalkozásoknak ellenőrzésekkel kell rendelkezniük az új támadási vektorok kezelésére. Ez azt jelenti, hogy olyan biztonsági technológiát kell beszerezni, amely figyelemmel kíséri a felhő-infrastruktúrát vagy az API-hívásokat a felhőszolgáltatásból és a felhőalapú szolgáltatásból.

Kulcsfontosságú elvihető termékek és ajánlások

  • A vállalkozásoknak figyelemmel kell kísérniük alkalmazottaikat a felhőben, mivel a hagyományos mechanizmusok nem képesek enyhíteni a felhőalapú szolgáltatások használatának kockázatait.
  • Használjon felhőalapú adatvesztés-megelőző (DLP) technológiákat az illetéktelen adatok kiszűrésének megfigyelésére és leállítására.

"A felhők bonyolultsága tökéletes hely lehet a támadók elrejtéséhez, mivel a rejtegetést indítópadként kínálják a további károsodásokhoz" - mondta a sajtóközleményben John Yeoh, a CSA kutatásának globális alelnöke. "A fenyegetések, kockázatok és sebezhetőségek ismerete nehezebbé teszi a szervezetek adatvesztéssel szembeni védelmét. Ezért a Legfontosabb fenyegetések jelentés ezen iterációjában felvázolt biztonsági problémák cselekvési felhívást jelentenek a felhőalapú biztonsággal kapcsolatos tudatosság, konfiguráció és fejlesztés érdekében. identitáskezelés. "

Felhő és minden, mint szolgáltatási hírlevél

Ez a forrás az AWS, a Microsoft Azure, a Google Cloud Platform, az XaaS, a felhőbiztonság és még sok más legfrissebb verziójáról. Hétfőn

Regisztrálj még ma

Lásd még

  • Hibrid felhő: Csalólap (TechRepublic)
  • Hibrid felhő: Útmutató az informatikai szakemberekhez (TechRepublic letöltés)
  • Szerver nélküli számítástechnika: Útmutató az IT vezetők számára (TechRepublic Premium)
  • Legjobb felhő-szolgáltatók 2019: AWS, Microsoft, Azure, Google Cloud; Az IBM mozgatja a hibrid rendszert; A SaaS-t (ZDNet) az értékesítő erő uralja
  • A legjobb felhőalapú szolgáltatások kisvállalkozások számára (CNET)
  • Microsoft Office vs Google Docs Suite vs LibreOffice (Download.com)
  • Cloud computing: Több olvasható lefedettség (TechRepublic a Flipboardon)
Kép: Getty Images / iStockphoto

© Copyright 2020 | mobilegn.com