Cosa sono le perdite dal cloud?

Sembra che ogni giorno ci sia un nuovo incidente di esposizione dei dati dei clienti. Numeri di carta di credito e di conto bancario; cartelle cliniche; informazioni di identificazione personale (PII) come indirizzo, numero di telefono o SSN: quasi ogni aspetto dell'interazione sociale ha una controparte informativa e l'accesso sociale che queste informazioni forniscono a terzi dà a molte persone la sensazione che la loro privacy sia stata gravemente violata quando viene esposta.

Ci sono diverse strade attraverso le quali si verifica questa esposizione, ma i nomi usati per descriverle sono spesso scambiati arbitrariamente, confondendo le acque di un problema grande, ma sfumato. Violazioni, hack, fughe di notizie, attacchi: questi sono solo alcuni dei termini utilizzati per descrivere gli incidenti di esposizione dei dati. Ma cosa significano?

Attacco - Un attacco è un tentativo intenzionale di causare danni o perdite attraverso mezzi tecnici o sociali. Gli attacchi non portano necessariamente a violazioni dei dati. Ad esempio, gli attacchi Denial of Service interrompono le normali operazioni ma non espongono le informazioni.
Violazione: un attacco riuscito è stato in grado di proteggere le informazioni sensibili.
Hack - Un attacco che sfrutta le vulnerabilità tecniche per proteggere l'accesso che altrimenti non sarebbe autorizzato. Può portare a una violazione, ma può anche essere utilizzato per ransomware (come WannaCry), creazione di botnet o uso improprio delle risorse informatiche.
Perdita: una perdita non richiede un attore esterno, ma è causata da un'azione o dall'inazione della parte proprietaria dei dati.

C'è una sorta di spettro qui. Ad esempio, un server di database accessibile da Internet con una password amministrativa predefinita è quasi una porta aperta, ma richiede un tentativo informato per essere utilizzato. Ma di questi quattro termini, la fuga di notizie si distingue come quella che non è avviata da una terza parte. Ma c'è un tipo specifico di fuga di dati che rappresenta molte delle esposizioni di dati più grandi e pericolose fino ad oggi. Chiamiamo queste "perdite di cloud" perché si verificano quando l'archiviazione cloud non è adeguatamente partizionata da Internet in generale.

Che cos'è una perdita di cloud?

Una perdita di cloud si verifica quando i dati aziendali sensibili archiviati in un'istanza di cloud privato vengono accidentalmente esposti a Internet. Il cloud fa parte di Internet. La differenza è che "il cloud" offre sacche di spazio privatizzato che possono essere utilizzate per eseguire operazioni IT su scala aziendale. I set di dati aziendali, spesso gestiti da società di analisi delle informazioni di terze parti, sono spesso archiviati non crittografati nel cloud, con l'aspettativa che i loro dati risiedano all'interno di una di queste tasche private.

Ma le opzioni di archiviazione cloud come S3 di Amazon consentono agli utenti di aprire il proprio spazio di archiviazione a Internet in generale. Va sottolineato che i bucket S3 sono privati per impostazione predefinita. Ciò significa che ogni perdita di cloud che coinvolge un'istanza di storage Amazon S3 ha subito la modifica delle autorizzazioni da parte di un amministratore che gestisce i dati. Quando queste autorizzazioni pubbliche anonime sono consentite, il confine tra "il cloud" e Internet si dissolve. Questi dati diventano quindi accessibili a chiunque, come il tuo sito web preferito.

Ma che si tratti di un bucket Amazon S3, di una condivisione file Azure, di un repository GitHub configurato in modo errato o di un server vulnerabile configurato nel cloud, l'incapacità di garantire la privacy dell'istanza cloud mette a rischio i dati. Una volta commesso l'errore, diventa molto difficile per le organizzazioni dimostrare che non è stato effettuato l'accesso ai dati a un certo punto. La maggior parte delle persone non saprebbe da dove iniziare a cercare, e le persone con sufficienti conoscenze tecniche potrebbero sfogliare casualmente per curiosità, ma in realtà due gruppi principali di persone stanno cercando perdite nel cloud: i ricercatori di sicurezza e le persone che cercano di sfruttare le informazioni trovate per fare leva, guadagno personale o potere.

Esempi di perdite nel cloud

Nice Systems, partner di Verizon, espone 6 milioni di record di clienti a Internet

Queste informazioni, trapelate da un bucket Amazon S3 esposto, includevano dettagli del cliente come nome, indirizzo e numero di telefono, nonché alcuni PIN dell'account, utilizzati per verificare l'identità con Verizon. A parte gli ovvi problemi di privacy, i dati esposti potrebbero essere stati utilizzati in modo dannoso per impersonare i clienti e persino per aggirare l'autenticazione a due fattori.

L'analisi delle radici dei dati del fornitore RNC espone 198 milioni di record di elettori

Una delle più grandi perdite di tutti i tempi è stata scoperta quando è stato trovato un sistema cloud esposto, contenente dati elettorali raccolti e modellati da Data Root Analytics, una società incaricata dalla RNC per la strategia politica basata sui dati. Oltre 198 milioni di individui unici sono stati rappresentati nel set di dati, con dettagli personali, informazioni sugli elettori e attributi modellati tra cui probabile razza e religione.

L'appaltatore governativo Booz Allen Hamilton lascia esposti i dati geospaziali e le credenziali

Un'altra istanza di cloud storage esposta ha rivelato i dati dell'appaltatore governativo Booz Allen Hamilton. Oltre all'esposizione dei dati, il bucket conteneva anche chiavi di crittografia per un ingegnere BAH e "credenziali che garantivano l'accesso amministrativo ad almeno un sistema operativo del data center. In questo caso, non solo le informazioni sono state compromesse, ma potrebbero esserlo anche altri sistemi, consentendo agli attori malintenzionati di passare da un server cloud esposto pubblicamente a un server autorizzato sulla rete.

Un problema operativo

Le perdite dal cloud sono un rischio unico per le aziende. La semplicità dell'errore che li causa è in netto contrasto con l'entità delle conseguenze che ne possono derivare. Sfruttare il cloud, o assumere fornitori che lo fanno, offre molto in termini di valore funzionale. Ma senza tenere conto dei potenziali problemi nativi della tecnologia cloud, tale funzionalità sarà minata dall'incapacità di fidarsi di essa, che a sua volta porterà all'incapacità di fidarsi delle aziende che la utilizzano. Le perdite nel cloud sono un problema operativo e devono essere affrontate all'interno dei processi IT che regolano la gestione dei dati nel cloud per essere mitigate in modo efficace.

Fare copie

Per capire come si verificano le perdite di cloud e perché sono così comuni, dobbiamo fare un passo indietro e dare prima un'occhiata al modo in cui le informazioni trapelate vengono generate, manipolate e utilizzate per la prima volta. È quasi scontato che questi enormi insiemi di dati sensibili esistano e che le aziende stiano facendo qualcosa con essi, ma quando si esamina la pratica della gestione delle informazioni, diventa chiaro che organizzare un processo resiliente diventa piuttosto difficile su larga scala; Le lacune operative e gli errori di processo portano a risorse vulnerabili, che a loro volta portano a perdite nel cloud.

Uno dei grandi vantaggi dei dati digitali è che possono essere riprodotti in modo economico e senza degrado. Le organizzazioni in genere dispongono di diverse copie dei dati di produzione oltre a quella utilizzata nei processi aziendali. Backup, warehousing, disaster recovery, ambienti di sviluppo e test, analisi interne, analisi in outsourcing, un laptop su cui qualcuno ha copiato i dati in modo da poter lavorare da casa: l'elenco potrebbe continuare. Il punto è che i dati sono allo stesso tempo molti e uno, come il modo in cui la parola dati stessa viene confusa tra plurale e singolare. Possono esistere molte copie di un set di dati, ma è possibile una sola violazione, in cui il set di dati è esposto. Più copie di un set di dati esistono, maggiore è il rischio che si verifichi la violazione.

L'economia dell'informazione

Pensa ai dati come se passassero attraverso una catena di custodia. Ogni copia dei dati risiede su un server o un array di dischi, passa attraverso i dispositivi di rete e attraverso i firewall e occasionalmente finisce su una workstation o un laptop. Spesso finisce nel cloud, in un'istanza di archiviazione ospitata su Internet e, come qualsiasi altro anello della catena, è potenzialmente a rischio di esposizione se non configurato correttamente.

Queste pratiche si verificano in quasi tutti i settori, aumentando con la scala. Non si tratta solo di analisi delle campagne politiche, o di telecomunicazioni, o di appaltatori della difesa, ma di tutti. La digitalizzazione è un cambiamento fondamentale nel concetto astratto di business stesso e le sue ripercussioni si ripercuotono su aziende di ogni tipo. Così, è nata un'intera industria dedicata esclusivamente all'elaborazione dei dati per supportare le esigenze informative di altre aziende. La maggior parte delle aziende non si occupa direttamente dei dati. Si occupano di auto, di finanze, di assistenza sanitaria o di gadget. Quindi, come molti requisiti aziendali terziari, esternalizzano l'elaborazione dei dati a una terza parte che apparentemente ha molte più capacità di gestirla.

Ma la facilità di replica dei dati e la grande quantità di valore che le aziende possono estrarre dai dati hanno accelerato la digitalizzazione, aumentato il reporting comportamentale e altri tipi di metriche e spinto l'infrastruttura a velocità più elevate e capacità maggiori quando possibile. Non è stata prestata molta attenzione al rischio aziendale rappresentato da questi archivi di dati critici e centralizzati, facilmente copiabili e distribuibili.

Il valore del cloud

In un certo senso, c'è un parallelo tra i fornitori di analisi e il cloud computing: uno esternalizza il lavoro (e il rischio) delle informazioni, mentre l'altro lo fa per la tecnologia. I vantaggi del cloud sono ben noti: l'infrastruttura complessiva è superiore a quella di un piccolo data center; è possibile creare grandi quantità di server in modo rapido e programmatico, consentendo una migliore automazione dei processi; La potenza di cloud computing è elastica e può essere adattata alle esigenze e modificata senza troppi problemi. Tuttavia, con l'accelerazione dei processi e l'aumento dell'ambito di gestione, si aprono lacune operative in cui piccole ma critiche configurazioni errate del cloud lasciano i dati di produzione esposti al pubblico.

Le perdite di cloud sono possibili in qualsiasi ambiente cloud - Amazon Web Services, Microsoft Azure, IBM Bluemix - e in qualsiasi infrastruttura ospitata su Internet in cui le informazioni aziendali sensibili possono essere rese pubbliche attraverso incidenti, sviste o errori. Questo punto è fondamentale: quasi tutti i dispositivi cloud, compresi quelli elencati sopra, sono privati per impostazione predefinita. Ciò significa che a un certo punto le autorizzazioni predefinite sono state modificate per consentire l'accesso pubblico. Le perdite nel cloud non derivano da una vulnerabilità del software specifica della piattaforma, ma da processi che non dispongono dei controlli necessari per garantire un risultato sicuro.

Il processo determina la sicurezza

Il modo in cui le informazioni vengono gestite varia da luogo a luogo e spesso da persona a persona. Ci sono linee guida generali, ad esempio se si opera in un settore regolamentato e si devono seguire standard come PCI DSS, HIPAA o FERPA. Ma il lavoro quotidiano che determina in ultima analisi se si verificherà una perdita di cloud varia notevolmente tra le organizzazioni e all'interno delle organizzazioni.

Si consideri questo scenario: un amministratore di sistema gestisce lo storage per una società di analisi utilizzando il servizio cloud S3 di Amazon. L'amministratore di sistema deve spostare alcuni file, in modo che i dati di produzione vengano copiati temporaneamente in un'istanza S3 inutilizzata mentre le altre istanze vengono modificate. Una volta che l'amministratore di sistema ha finalmente sistemato tutti i bucket, i dati di produzione sono a posto e tutto è pronto per l'uso. Solo che l'amministratore di sistema ha dimenticato di eliminare le copie dei dati dal bucket S3 temporaneo e che il bucket S3 è configurato con accesso pubblico completo.

Questo potrebbe sembrare un errore umano. Qualcuno si è semplicemente dimenticato di fare qualcosa. Succede a tutti noi, giusto? Non esattamente. Il vero problema qui non è che una persona abbia commesso un errore - questa è un'eventualità garantita - il problema è che non c'era nulla di strutturalmente in atto per prevenire l'errore, o almeno per individuarlo immediatamente in modo che potesse essere corretto.

Le perdite nel cloud non sono il risultato di hacker e non sono colpa dei singoli dipendenti IT. Sono il risultato di processi aziendali fragili, incapaci di gestire la complessità e la scala delle operazioni cloud e di affidarsi alla fortuna per fare la differenza. La sicurezza attraverso l'oscurità è morta. Ad esempio, l'idea che un'istanza cloud sia sicura perché nessun altro conosce l'URL è falsa e il prodotto di un modo di pensare sbagliato. Quando le informazioni sono preziose come lo sono oggi e le operazioni aziendali globali sono abbastanza fragili da aprire i dati a browser Internet anonimi, le tecniche saranno e sono state sviluppate per sfruttare la situazione. Questo è il motivo per cui la resilienza deve essere integrata nel lavoro procedurale che crea, gestisce e mantiene la tecnologia dell'informazione.

Cosa viene fatto trapelare?

Informazioni per i clienti

Il tipo più comune di informazioni esposte in una perdita di cloud sono i dati dei clienti. Questi dati differiscono da azienda ad azienda, ma di solito ci sono alcuni fattori comuni coinvolti:

Informazioni sull'identità: nome, indirizzo, numero di telefono, indirizzo e-mail, nome utente, password
Informazioni sull'attività: cronologia degli ordini e dei pagamenti, abitudini di navigazione, dettagli di utilizzo
Informazioni sulla carta di credito: numeri di carta, codici CVV, date di scadenza, codici postali di fatturazione

Inoltre, di solito viene esposta anche qualsiasi informazione specifica dell'azienda. Può trattarsi di dati finanziari per banche e gruppi di investimento, cartelle cliniche per ospedali e assicurazioni e per enti governativi, le informazioni sui clienti possono includere un numero qualsiasi di documenti e moduli sensibili.

Informazioni sull'azienda

Ma le informazioni sui clienti non sono la fine della storia. Esistono molti altri tipi di dati che rappresentano un rischio significativo se esposti in una perdita di cloud. Anche le informazioni aziendali possono essere divulgate. Questo può includere:

Comunicazioni interne: promemoria, e-mail e documenti che descrivono in dettaglio le operazioni dell'azienda
Metriche: statistiche sulle prestazioni, proiezioni e altri dati raccolti sull'azienda
Strategia: dettagli sulla messaggistica, roadmap, rolodex e altre informazioni aziendali critiche

L'esposizione di questo tipo di informazioni può ostacolare i progetti aziendali, fornire ai concorrenti informazioni sulle operazioni aziendali e rivelare la cultura e le personalità interne. Più grande è l'azienda, maggiore è l'interesse per questo tipo di dati.

Segreti commerciali

Ma il tipo di dati aziendali più pericoloso da esporre in una fuga di dati nel cloud sono i segreti commerciali. Si tratta di informazioni cruciali per l'azienda stessa e la sua segretezza è ciò che dà all'azienda la capacità di competere ed è spesso l'obiettivo dello spionaggio industriale. I segreti commerciali possono includere:

Piani, formule, progettazioni - Informazioni su prodotti e servizi esistenti o futuri
Codice e software - Tecnologia proprietaria che l'azienda vende o che viene creata per l'uso interno
Metodi commerciali - Strategie di mercato e contatti

Ovviamente questi dati sono vantaggiosi solo quando vengono tenuti segreti ai concorrenti. Un'esposizione di questo tipo può essere disastrosa per un'azienda, annullando anni di ricerca e lavoro, svalutando i prodotti e i servizi che l'azienda fornisce.

Analitica

Infine, l'analisi si basa su grandi set di dati composti da più fonti di informazioni allo scopo di rivelare tendenze, modelli e traiettorie del quadro generale. Per quanto l'analisi possa essere potente per informare le decisioni aziendali, i dati necessari per eseguire tali analisi sono anche un vettore di rischio quando vengono esposti. Alcuni dati di questo tipo includono:

Dati psicografici - Preferenze, attributi della personalità, dati demografici, messaggistica
Dati comportamentali - Informazioni dettagliate su come qualcuno utilizza un sito web, ad esempio
Dati modellati: attributi previsti in base ad altre informazioni raccolte

Queste informazioni sono estremamente potenti nella loro capacità di comprendere gli individui come un insieme di punti dati, e quindi prevedere con un alto grado di precisione altri punti dati in relazione. Per quanto astratto possa sembrare, considera che questo è il tipo di informazioni raccolte sugli elettori che aiuta le campagne politiche a persuadere in modo più efficace su larga scala.

Tutto

Il business è digitalizzato. Tutto ciò che è qualcosa è un qualche tipo di informazione e tali informazioni possono essere divulgate nel cloud senza adeguati controlli di processo. Gli esempi sopra elencati elencano alcuni tipi di informazioni sensibili e pericolose, ma in realtà c'è di tutto in gioco. Ogni aspetto dell'attività aziendale (e della vita personale, se è per questo) ha il suo set di informazioni. Quando diciamo che le perdite nel cloud sono un problema aziendale, intendiamo dire che l'informazione e la tecnologia sono così fondamentali per l'azienda moderna che i loro rischi sono diventati esistenziali.

Come sono state sfruttate le perdite di cloud

Il diavolo che conosci

Quando si esaminano i tipi di informazioni di cui sopra, probabilmente si presentano subito alcune minacce evidenti. Questi vettori sono in circolazione da un po' di tempo e, indipendentemente dal fatto che le informazioni siano trapelate attraverso il cloud o ottenute tramite un hack o un'e-mail di phishing, molte delle conseguenze sono note. Daremo una breve occhiata a come questo tipo di informazioni viene comunemente sfruttato, per poi passare a usi più sofisticati e a cosa riserva il futuro.

Frode con carta di credito

Il primo e più ovvio esempio di reato che sfrutta i dati trapelati è la frode con carta di credito. Ordinando online, le persone passano i dettagli della loro carta di credito attraverso Internet e attraverso i sistemi di qualsiasi azienda che stanno frequentando. Molta attenzione è stata prestata al processo di transazione e alla protezione delle informazioni mentre attraversano Internet, ma molto meno è stato dato a ciò che accade dopo che i dati sono stati memorizzati. Come abbiamo visto nell'ultimo articolo sulle perdite di cloud, i dati vengono copiati ripetutamente per vari scopi e i dati delle carte di credito non fanno eccezione. Gli skimmer possono ricevere un centinaio di carte di credito al giorno, ma un database coinvolto in una perdita di cloud potrebbe contenerne milioni e non richiede alcuno sforzo per l'installazione e la configurazione di uno skimmer di malware.

Vendite al mercato nero

Spesso coloro che ottengono i dati e coloro che li utilizzano sono parti separate. Si è sviluppata un'economia intorno al mercato nero del commercio di informazioni, in cui i dati che sono stati violati vengono offerti in vendita al miglior offerente sulla darknet, utilizzando criptovalute difficili da rintracciare come Bitcoin. In questo caso, gli information retriever sono specializzati nell'ottenere i dati da un'istanza cloud non protetta, da un database vulnerabile, attraverso l'ingegneria sociale, mentre gli acquirenti di informazioni sono specializzati nell'utilizzo di tali informazioni: schemi di carte di credito, SSN e frodi di identità, spam e operazioni di phishing.

Estorsione/Umiliazione

A volte le informazioni esposte vengono tenute sopra la testa dell'azienda, sia per un riscatto, sia semplicemente per umiliare l'azienda al pubblico. Gli attacchi ransomware come WannaCry bloccano risorse e dati, ma le perdite nel cloud cedono tali dati a chiunque stia cercando. Gli attivisti che cercano di minare un'azienda con cui non sono d'accordo potrebbero trovare vantaggioso condividere la loro struttura salariale, le comunicazioni interne o i piani aziendali. Qualunque siano le specifiche, il fatto è che le perdite di cloud offrono ai potenziali avversari un'incredibile quantità di leva.

Vantaggio competitivo

A parte gli attori criminali, i concorrenti potrebbero facilmente trarre vantaggio dalle informazioni esposte in una fuga di notizie. Tutto, dagli elenchi dei clienti ai segreti commerciali, offre ad altre aziende l'accesso a risorse e strategie. L'analisi della concorrenza è qualcosa su cui ogni azienda lavora nell'ambito delle proprie operazioni di marketing e le informazioni esposte nelle fughe di notizie nel cloud rendono tali informazioni molto più nitide.

Come potrebbero essere sfruttate le perdite di cloud

Ingegneria sociale

Abbiamo menzionato gli attacchi di phishing in precedenza. L'attacco di phishing più efficace è noto come spearphishing, perché l'e-mail falsa è focalizzata sul destinatario, utilizzando informazioni note per impersonare meglio una figura autorevole o un dirigente. L'efficacia degli attacchi di phishing dipende da quanto sono convincenti per la persona che li legge. Molti, disseminati di errori di battitura e che utilizzano una formattazione strana o HTML, sono abbastanza facili da individuare, ma i migliori di essi sembrano reali a prima vista. Le informazioni esposte nelle perdite di cloud, in particolare i dati psicografici e altre analisi comportamentali, sono esattamente il tipo di informazioni per affinare gli attacchi di ingegneria sociale, dando all'aggressore la possibilità di utilizzare informazioni su un obiettivo che altrimenti non dovrebbe conoscere.

Targeting

Le informazioni di identificazione personale (PII) possono essere utilizzate per qualcosa di più delle frodi con carta di credito. Ottenere le informazioni personali di qualcuno e pubblicarle contro la sua volontà è una pratica nota come "doxxing", e viene fatto per vari motivi, ma lascia sempre la persona che viene doxxata vulnerabile alle predazioni di una quantità sconosciuta di persone anonime. In caso di estremismo politico, vendetta, molestie o stalking, l'esposizione delle PII può portare a danni effettivi contro le persone. Ciò che rende le perdite di cloud particolarmente pericolose è che non richiedono alcuna competenza tecnica speciale per essere sfruttate: basta andare a prendere i dati. Questo amplia significativamente il bacino di potenziali scopritori.

Sorveglianza e influenza

Quando si tratta di dati psicografici, i potenziali usi sono illimitati. Lo scopo stesso dell'ottenimento di dati psicografici è quello di prevedere meglio come reagiranno le persone e di modellare le loro reazioni. Le campagne politiche lo usano per guadagnare voti. Le aziende lo usano per conquistare clienti. Visti i normali casi d'uso di questo tipo di analisi, è facile capire come una terza parte motivata, un altro stato o un'azienda privata, possa ottenere questi dati attraverso una fuga di dati nel cloud e utilizzare le informazioni per i propri scopi. Quando un appaltatore della RNC ha fatto trapelare i dati degli elettori di quasi tutti gli elettori americani registrati, non si è trattato solo di una violazione della privacy, ma di un nuovo vettore di possibile manipolazione.

Rottura

Infine, le perdite nel cloud mettono i bastoni tra le ruote alle operazioni aziendali esponendo informazioni non verificate direttamente al pubblico. Come abbiamo visto, le informazioni esposte in una fuga di dati nel cloud possono avere conseguenze drastiche per le aziende e persino per i governi. Gli attacchi dirompenti non sono una novità; Un attacco denial-of-service cerca come obiettivo quello di impedire semplicemente l'utilizzo di una risorsa. L'interruzione informativa è una nuova classe di questo tipo. Quando le informazioni aziendali vengono esposte nel cloud, si presenta un'opportunità per l'azienda di deragliare. I motivi dietro questi attacchi possono essere qualsiasi cosa, dall'attivismo al profitto, ma come in uno scenario di estorsione, l'esposizione di questi dati al mondo offre a terze parti sconosciute una drastica influenza sugli interessi commerciali.

Chiedersi perché le perdite di cloud sono importanti è molto simile a chiedersi perché i dati sono importanti. La risposta è la stessa: l'informazione dà potere alle persone e alle organizzazioni. L'esposizione involontaria di tali dati al pubblico offre ad altri l'opportunità di esercitare tale potere contro il proprietario dei dati. Abbiamo delineato alcune delle manifestazioni note e possibili di questo; Ma comunque i dati vengano sfruttati, finché la nostra economia, le nostre comunicazioni e la nostra società saranno digitalizzate, i dati saranno preziosi. Quando si tratta di dati dei clienti, il motivo principale per cui le perdite nel cloud sono importanti è che i dati rappresentano individui reali che spesso devono sopportare le ripercussioni della perdita. Le aziende che raccolgono dati e li utilizzano per migliorare la propria attività hanno la responsabilità nei loro confronti di gestirli con cura.

Come si possono prevenire le perdite di nuvole

Quando abbiamo esaminato le differenze tra violazioni, attacchi, hack e fughe di notizie, non si è trattato solo di un esercizio accademico. Il modo in cui pensiamo a questo fenomeno influenza il modo in cui reagiamo ad esso. In parole povere: le perdite di cloud sono un problema operativo, non un problema di sicurezza. Le perdite di cloud non sono causate da attori esterni, ma da lacune operative nel lavoro quotidiano del gestore dei dati. I processi con cui le aziende creano e mantengono il cloud storage devono tenere conto del rischio di esposizione pubblica.

Convalida

L'archiviazione cloud offre velocità, scalabilità e automazione per le operazioni IT. Le aziende spostano i set di dati di produzione all'interno e all'esterno dell'archiviazione cloud in base alle esigenze, spesso riutilizzando lo stesso bucket per più attività. Senza un'adeguata cura, è facile che un set di dati sensibile venga spostato in un bucket non protetto. Questo è il motivo per cui le configurazioni di archiviazione cloud devono essere convalidate al momento dell'implementazione e per tutto il tempo in cui ospitano i dati di produzione. La convalida continua mantiene visibile il rischio e può anche notificare in modo proattivo agli amministratori se l'accesso pubblico diventa consentito.

Un esempio del motivo per cui la convalida dei processi è la chiave per prevenire le perdite di cloud è il fatto che lo storage S3 di Amazon è privato per impostazione predefinita. Ciò significa che a un certo punto deve verificarsi una modifica al set di autorizzazioni affinché il bucket sia esposto al mondo. Questa modifica, ovvero l'aggiunta dell'accesso ai gruppi Tutti gli utenti o Utenti autenticati, potrebbe avvenire solo inavvertitamente se non è presente alcun controllo per convalidare l'accuratezza delle autorizzazioni. Allo stesso modo, se i dati sensibili vengono spostati in un bucket già pubblico, non esiste alcun controllo dei processi sulla gestione dei dati per verificare le autorizzazioni come parte dello spostamento.

Non è l'errore umano che porta alle perdite di cloud. È un errore di processo. Le persone commettono errori in tutto. L'IT aziendale è estremamente complicato, esacerbando la nostra naturale tendenza a sbagliare di tanto in tanto. Questo è esattamente il motivo per cui devono essere messi in atto controlli a livello di processo - convalida strutturale e automatizzata - per verificare il lavoro svolto. Le operazioni che devono essere fatte ripetutamente, e che se fatte in modo errato rischiano di mettere a rischio l'azienda, devono essere controllate per limitare il più possibile tale rischio.

Automazione

Su scala aziendale, la convalida può essere ottenuta solo se può essere inserita in un flusso di lavoro ad alta velocità. Quando la convalida della configurazione diventa un collo di bottiglia per un processo, è molto meno probabile che venga applicata in modo diligente. Se si basa su qualcuno che controlla manualmente ogni configurazione, non solo non può essere eseguita abbastanza rapidamente, ma soffre della stessa capacità di errore umano della configurazione originale. I computer sono molto più bravi di noi a mantenere l'uniformità tra una serie. I controlli automatizzati dei processi dovrebbero fungere da documentazione eseguibile, in cui standard importanti come garantire che tutto lo storage cloud sia privato possono essere dettagliati e quindi confrontati con lo stato effettivo di qualsiasi istanza di cloud storage per essere sicuri che siano conformi.

Ad esempio, se stiamo eseguendo il provisioning di bucket S3 nell'azienda, invece di creare manualmente un bucket nella console AWS e scorrere una lista di controllo, dovremmo automatizzare la creazione programmatica di bucket utilizzando l'API di Amazon e inserire una fase di convalida nel processo dopo la creazione del bucket per verificare la presenza di impostazioni critiche come l'esposizione a Internet. In questo modo, quando è necessario creare un'istanza di cloud storage, un amministratore può semplicemente avviare uno script ed essere sicuro che il bucket appena creato sia all'altezza.

L'automazione consente inoltre di eseguire la convalida della configurazione in modo continuo, per tutta la durata dell'asset. Ciò garantisce la visibilità delle risorse in ogni momento. Il cambiamento all'interno di un data center aziendale è costante; Un buon processo convalida che le modifiche non violino gli standard di base e avvisa immediatamente le persone quando lo fanno.

Rischio di terze parti

A oscurare ulteriormente il problema è la distanza alla quale spesso si verificano le perdite nel cloud: un fornitore di terze parti che esegue l'elaborazione delle informazioni espone accidentalmente le informazioni nel cloud. Poiché il set di dati è associato all'azienda principale nella mente dei loro clienti, saranno ritenuti responsabili della perdita come se fossero stati i loro stessi server. Ciò rende la valutazione e l'ottimizzazione del rischio informatico di terze parti importante tanto quanto la resilienza interna.

La collaborazione con un'altra azienda per la gestione di informazioni sensibili dovrebbe sempre comportare una valutazione delle pratiche di tale azienda, in modo da poter comprendere il rischio che rappresentano nel gestire tali dati. Spendere milioni per la sicurezza informatica interna solo per esternalizzare gli stessi dati a qualcuno che li lascia esposti nel cloud non ha senso. I fornitori devono essere selezionati e valutati con la stessa cura con cui un'azienda protegge i propri beni e le proprie informazioni interne.

UpGuard affronta le perdite nel cloud automatizzando la convalida dell'archiviazione nel cloud. L'accesso pubblico è il più pericoloso, ma come qualsiasi superficie digitale, lo stato di configurazione totale del cloud storage ne determina la resilienza. UpGuard non solo esegue la scansione delle istanze di storage per l'esposizione pubblica, ma controlla anche le piattaforme cloud e i server stessi per individuare configurazioni errate che possono portare all'esposizione dei dati. UpGuard convalida anche altre fonti di perdite rivolte a Internet, come i repository GitHub configurati in modo errato e i server rsync vulnerabili.

Con le policy visive di UpGuard, gli amministratori possono sapere a colpo d'occhio quali delle loro istanze di cloud storage sono pubbliche e quali private. I nuovi bucket possono essere convalidati automaticamente durante il processo di provisioning con l'API di UpGuard e l'integrazione con strumenti come Puppet, Chef e Ansible.

Con UpGuard Procedures, i processi di provisioning e manutenzione del cloud possono essere automatizzati e convalidati end-to-end, riducendo il rischio operativo. La documentazione eseguibile funziona meglio se organizzata per processo, in modo che i passaggi procedurali possano essere concatenati logicamente e convalidati a loro volta. In questo modo si ottengono asset affidabili e si riduce drasticamente il rischio di configurazioni errate, come l'esposizione accidentale della popolazione.

Ad esempio, una procedura che automatizza la creazione di un nuovo server Web Linux su AWS potrebbe:

Verifica che i bucket S3 siano privati e configurati correttamente.
Convalida le impostazioni AWS per ogni server cloud, come il tipo di istanza e la posizione.
Convalidare le impostazioni del server in base ai criteri aziendali.
Testare il server in base ai benchmark di sicurezza CIS.
Convalida configurazioni specifiche del server Web, ad esempio http.conf e SSL.

I server cloud e lo storage distribuiti in questo modo presentano un rischio significativamente inferiore di esposizione dei dati rispetto a quelli privi di questi controlli.

UpGuard fornisce anche una valutazione esterna del fornitore, analizzando e visualizzando il rischio relativo rappresentato da terze parti incaricate di gestire i tuoi dati. Confronta fornitori e partner con aziende simili per vedere come si misurano nel loro campo. La nostra valutazione esterna aggrega tutte le pratiche di sicurezza rilevanti visibili da Internet in un unico punteggio di rischio.

Ciò include i dettagli del sito Web per tutti gli URL di un fornitore; sicurezza della posta elettronica e del dominio, come i protocolli contro il phishing; porte aperte, come SMB di Microsoft, che è stato sfruttato da attacchi ransomware come WannaCry e Petya, e dettagli aziendali tra cui la soddisfazione dei dipendenti e le valutazioni di approvazione del CEO.

Conclusione

Le perdite dal cloud sono il risultato di un errore operativo, non di un errore umano. A un processo mancano i controlli necessari per produrre in modo affidabile buoni risultati nel tempo. Il modo per prevenire le perdite nel cloud consiste nel colmare queste lacune operative istituendo la convalida automatizzata di tutte le risorse critiche. Il motivo per cui si verificano perdite nel cloud è perché nessuno sa che i dati sensibili sono esposti a Internet. I controlli di processo, come quelli descritti sopra, garantiscono che tale conoscenza venga portata alla luce immediatamente, in modo che possa essere risolta prima che diventi un problema più grande.

Noi di UpGuard siamo in grado di proteggere la tua azienda dalle violazioni dei dati e di aiutarti a monitorare continuamente la posizione di sicurezza di tutti i tuoi fornitori.

La tua azienda è a rischio di violazione della sicurezza?

CLICCA QUI per ottenere subito la tua valutazione di sicurezza gratuita!