Chybná konfigurace cloudu: hlavní rizika a praktický seznam

Většina bezpečnostních incidentů v cloudu nezahrnuje prolomení vlastní infrastruktury poskytovatele cloudu. Týkají se konfigurace na straně zákazníka: úložiště (bucket) ponechaného jako veřejné, přístupového klíče uloženého do repozitáře, administrátorského účtu bez vícefaktorového ověření nebo databáze dostupné z celého internetu. Poskytovatelé cloudu uplatňují model sdílené odpovědnosti, v němž zabezpečují podkladovou platformu a vy zabezpečujete to, co na ní nakonfigurujete. Tento průvodce uvádí nejčastější rizika chybné konfigurace cloudu a praktické kontroly ke každému z nich.

Co to je?

Chybná konfigurace cloudu je jakékoli nastavení ve vašich cloudových účtech, které vystavuje data nebo systémy více, než bylo zamýšleno, nebo vám znemožňuje problémy odhalit a zotavit se z nich. Má tendenci se hromadit, jak týmy rostou, projekty vznikají rychle a dočasné změny se stávají trvalými. Hlavní kategorie jsou napříč AWS, Microsoft Azure a Google Cloud stejné. Identity a přístupy: příliš široké role, dlouhodobé přístupové klíče, sdílené účty a chybějící MFA. Úložiště: buckety, bloby nebo snapshoty čitelné kýmkoli nebo sdílené příliš široce. Síť: bezpečnostní skupiny nebo pravidla firewallu otevřená všem adresám, vystavené správcovské porty a ploché sítě bez segmentace. Tajné údaje: přístupové údaje v kódu, souborech prostředí nebo obrazech kontejnerů. Logování: auditní logy vypnuté, neuchovávané nebo nikdy nevyhodnocované. Šifrování: citlivá data uložená bez šifrování nebo se špatně spravovanými klíči. Odolnost: zálohy chybějící, neotestované nebo uložené ve stejném účtu, který chrání. Řízení: neznámé účty, neoznačené zdroje a projekty bez vlastníka.

Pro koho to je?

Tento kontrolní seznam je užitečný pro:

Startupy a malé a střední podniky, jejichž cloudové prostředí rychle rostlo bez formálního návrhu
Týmy, které se připravují na bezpečnostní revizi ze strany zákazníka nebo na due diligence
Organizace, které plánují provozovat AI nebo datové úlohy v cloudu
Manažery, kteří zdědili cloudové účty po bývalých zaměstnancích nebo dodavatelích

Co to pomůže objasnit

Projití kontrolního seznamu pomáhá ujasnit:

Kdo má administrátorský přístup a zda je chráněný a stále potřebný
Která data jsou veřejně dostupná, ať už záměrně, nebo ne
Zda byste si podezřelé aktivity všimli a dokázali ji prošetřit
Zda byste dokázali obnovit kritické systémy, pokud by byl účet kompromitován

Co je zahrnuto

Vynucujte MFA pro všechny lidské uživatele, zejména administrátory a účet root nebo vlastníka
Kde je to možné, nahraďte dlouhodobé přístupové klíče rolemi nebo krátkodobými přístupovými údaji
Zrevidujte role z hlediska nejmenších oprávnění a odstraňte nepoužívané uživatele a oprávnění
Ve výchozím stavu blokujte veřejný přístup k úložištím a prověřte všechny výjimky
Omezte správcovské porty a databáze na známé sítě nebo privátní přístup
Přesuňte tajné údaje do spravované služby pro tajné údaje a prohledávejte repozitáře na uniklé klíče
Zapněte auditní logování v každém používaném účtu a regionu a logy bezpečně uchovávejte
Nastavte upozornění na vysoce rizikové události, jako jsou noví administrátoři, vypnuté logování nebo veřejná úložiště
Šifrujte uložená citlivá data a řiďte, kdo může spravovat klíče
Zálohujte kritická data do samostatného účtu nebo umístění a testujte obnovu
Udržujte soupis účtů, projektů a vlastníků zdrojů
Používejte infrastrukturu jako kód a změny před jejich uplatněním revidujte

Co není součástí

Tvrzení, že prověřené prostředí nemůže být kompromitováno
Formální audit cloudu, certifikace nebo schválení souladu
Penetrační testování, pokud není vymezeno samostatně
Nepřetržité monitorování nebo řízený provoz, pokud nejsou dohodnuty samostatně

Kdy si ji vybrat

Tento kontrolní seznam použijte, když jste své cloudové účty delší dobu nekontrolovali, před bezpečnostní revizí ze strany zákazníka nebo investora, po změnách v personálu nebo u dodavatelů a před zavedením AI nebo velkých datových úloh. Pokud nedokážete rychle odpovědět, kdo má administrátorský přístup ke každému účtu, začněte tím.

Náš přístup

Na prvním místě upřednostněte identity, protože na nich závisí většina ostatních opatření. Poté odstraňte veřejné vystavení, zabezpečte tajné údaje a zajistěte, aby logování a zálohy podporovaly detekci a obnovu. Opravy berte jako inženýrskou práci s vlastníky a řízením změn, nikoli jako jednorázový úklid. Naše služba Cloud Platform & Production Engineering pokrývá architektonická rozhodnutí, release pipeline, observabilitu, zálohování a provozní příručky pro obnovu dohodnutých prostředí, přičemž produkční změny se provádějí pouze podle schváleného plánu a na základě výslovného písemného oprávnění. Pokud nejprve potřebujete zdokumentovaný přehled o aktuálním stavu, může Security Baseline Review poskytnout zjištění odstupňovaná podle závažnosti a revize AI & Cloud Readiness poskytuje hodnoticí přehled připravenosti a záznam o rozhodnutí zaměřený na základy pro AI úlohy. Penetrační testování aplikací hostovaných v cloudu lze vymezit samostatně. Ke kontrolnímu seznamu se pravidelně vracejte; konfigurace se s měnícími se týmy a projekty postupně odchyluje.

Cloud Platform & Production Engineering

Zobrazit stránku služby Cloud Platform & Production Engineering