Phần lớn sự cố bảo mật đám mây không liên quan đến việc xâm phạm hạ tầng của chính nhà cung cấp đám mây. Chúng liên quan đến cấu hình của khách hàng: một bucket lưu trữ bị để ở chế độ công khai, một khóa truy cập bị commit vào kho mã nguồn, một tài khoản quản trị không bật xác thực đa yếu tố, hoặc một cơ sở dữ liệu có thể truy cập từ toàn bộ Internet. Các nhà cung cấp đám mây vận hành theo mô hình trách nhiệm chia sẻ, trong đó họ bảo mật nền tảng bên dưới còn bạn bảo mật những gì bạn cấu hình trên đó. Hướng dẫn này liệt kê các rủi ro cấu hình sai trên đám mây phổ biến nhất và các bước kiểm tra thực tế cho từng rủi ro.
Đây là gì
Cấu hình sai trên đám mây là bất kỳ thiết lập nào trong tài khoản đám mây của bạn làm lộ dữ liệu hoặc hệ thống nhiều hơn dự định, hoặc khiến bạn không thể phát hiện và khôi phục khi có sự cố. Tình trạng này có xu hướng tích tụ khi đội ngũ mở rộng, dự án được tạo nhanh và các thay đổi tạm thời trở thành vĩnh viễn. Các nhóm chính nhất quán trên AWS, Microsoft Azure và Google Cloud. Danh tính và truy cập: vai trò quá rộng, khóa truy cập tồn tại lâu dài, tài khoản dùng chung và thiếu MFA. Lưu trữ: bucket, blob hoặc snapshot mà bất kỳ ai cũng đọc được hoặc được chia sẻ quá rộng. Mạng: security group hoặc quy tắc tường lửa mở cho mọi địa chỉ, cổng quản trị bị lộ và mạng phẳng không phân đoạn. Bí mật: thông tin xác thực nằm trong mã nguồn, tệp môi trường hoặc container image. Ghi log: log kiểm toán bị tắt, không được lưu giữ hoặc không bao giờ được rà soát. Mã hóa: dữ liệu nhạy cảm được lưu mà không mã hóa hoặc với khóa được quản lý kém. Khả năng phục hồi: thiếu bản sao lưu, bản sao lưu chưa được kiểm thử hoặc được lưu trong chính tài khoản mà chúng bảo vệ. Quản trị: tài khoản không xác định, tài nguyên không gắn thẻ và dự án không có người phụ trách.
Dành cho ai
Danh sách kiểm tra này hữu ích cho:
- Startup và doanh nghiệp vừa và nhỏ có môi trường đám mây phát triển nhanh mà không có thiết kế chính thức
- Đội ngũ đang chuẩn bị cho đợt đánh giá bảo mật của khách hàng hoặc thẩm định (due diligence)
- Tổ chức đang lên kế hoạch chạy khối lượng công việc AI hoặc dữ liệu trên đám mây
- Nhà quản lý tiếp nhận tài khoản đám mây từ nhân viên hoặc nhà cung cấp cũ
Giúp làm rõ điều gì
Thực hiện theo danh sách kiểm tra giúp làm rõ:
- Ai có quyền quản trị, và quyền đó có được bảo vệ và còn cần thiết hay không
- Dữ liệu nào có thể truy cập công khai, dù cố ý hay không
- Bạn có nhận ra và có thể điều tra hoạt động đáng ngờ hay không
- Bạn có thể khôi phục các hệ thống quan trọng nếu một tài khoản bị xâm phạm hay không
Những gì được bao gồm
- Bắt buộc MFA cho mọi người dùng là con người, đặc biệt là quản trị viên và tài khoản root hoặc tài khoản chủ sở hữu
- Thay thế khóa truy cập tồn tại lâu dài bằng vai trò hoặc thông tin xác thực ngắn hạn khi có thể
- Rà soát các vai trò theo nguyên tắc đặc quyền tối thiểu và gỡ bỏ người dùng, quyền không còn sử dụng
- Mặc định chặn truy cập công khai vào lưu trữ và rà soát mọi ngoại lệ
- Giới hạn cổng quản trị và cơ sở dữ liệu chỉ cho các mạng đã biết hoặc truy cập riêng tư
- Chuyển bí mật vào dịch vụ quản lý bí mật và quét kho mã nguồn để tìm khóa bị rò rỉ
- Bật ghi log kiểm toán trong mọi tài khoản và khu vực đang sử dụng, và lưu giữ log một cách an toàn
- Đặt cảnh báo cho các sự kiện rủi ro cao như có quản trị viên mới, log bị tắt hoặc lưu trữ công khai
- Mã hóa dữ liệu nhạy cảm khi lưu trữ và kiểm soát ai có thể quản lý khóa
- Sao lưu dữ liệu quan trọng sang một tài khoản hoặc vị trí riêng và kiểm thử việc khôi phục
- Duy trì danh mục tài khoản, dự án và người phụ trách tài nguyên
- Sử dụng hạ tầng dưới dạng mã (infrastructure as code) và rà soát thay đổi trước khi áp dụng
Những gì không được bao gồm
- Khẳng định rằng một môi trường đã được rà soát không thể bị xâm phạm
- Kiểm toán đám mây chính thức, chứng nhận hoặc phê duyệt tuân thủ
- Kiểm thử xâm nhập (penetration test), trừ khi được xác định phạm vi riêng
- Giám sát liên tục hoặc dịch vụ vận hành được quản lý, trừ khi được thống nhất riêng
Khi nào nên chọn
Hãy sử dụng danh sách kiểm tra này khi bạn đã lâu không rà soát tài khoản đám mây, trước đợt đánh giá bảo mật của khách hàng hoặc nhà đầu tư, sau khi có thay đổi về nhân sự hoặc nhà cung cấp, và trước khi đưa vào khối lượng công việc AI hoặc dữ liệu lớn. Nếu bạn không thể nhanh chóng trả lời ai có quyền quản trị đối với từng tài khoản, hãy bắt đầu từ đó.
Phương pháp của chúng tôi
Hãy ưu tiên danh tính trước, vì hầu hết các biện pháp kiểm soát khác đều phụ thuộc vào nó. Sau đó loại bỏ tình trạng lộ công khai, bảo mật các bí mật và bảo đảm rằng ghi log và sao lưu có thể hỗ trợ việc phát hiện và khôi phục. Hãy coi việc khắc phục là công việc kỹ thuật có người phụ trách và quy trình kiểm soát thay đổi, không phải một đợt dọn dẹp làm một lần. Dịch vụ Cloud Platform & Production Engineering của chúng tôi bao gồm các quyết định kiến trúc, pipeline phát hành, khả năng quan sát (observability), sao lưu và sổ tay khôi phục cho các môi trường đã thống nhất, trong đó các thay đổi trên production chỉ được thực hiện theo kế hoạch đã phê duyệt và có ủy quyền bằng văn bản rõ ràng. Nếu trước tiên bạn cần một cái nhìn được ghi nhận bằng văn bản về hiện trạng, dịch vụ Security Baseline Review có thể cung cấp các quan sát được phân loại theo mức độ nghiêm trọng, và một đánh giá AI & Cloud Readiness cung cấp bảng điểm mức độ sẵn sàng cùng hồ sơ quyết định, tập trung vào nền tảng cho khối lượng công việc AI. Kiểm thử xâm nhập đối với các ứng dụng được lưu trữ trên đám mây có thể được xác định phạm vi riêng. Hãy xem lại danh sách kiểm tra thường xuyên; cấu hình sẽ dần sai lệch khi đội ngũ và dự án thay đổi.
Câu hỏi thường gặp
Bài viết liên quan
Bắt đầu
Quý doanh nghiệp muốn có cái nhìn rõ ràng hơn về cấu hình đám mây của mình?
Hãy chia sẻ các nhà cung cấp và tài khoản doanh nghiệp của bạn đang sử dụng, những gì đang chạy trên đó và mọi đợt rà soát hoặc di chuyển sắp tới. Chúng tôi sẽ đề xuất phạm vi bằng văn bản.
Yêu cầu phạm vi bằng văn bản