Według Gartnera globalne wydatki na usługi chmury publicznej wzrosną o 18,4 proc. w 2021 r. i wyniosą prawie 305 mld dol. W 2022 r. mają pójść w górę o kolejne 19 proc.

Taka skala zmian wpływa na większą liczbę pomyłek, co naraża wrażliwe dane firmowe na ataki cyberprzestępców.

Według danych Verizona różnego rodzaju błędy ludzkie odpowiadały za 17 proc. naruszeń danych w 2020 r.

Błędna konfiguracja zmorą przedsiębiorstw

Jak się okazuje, w przypadku firmowej chmury szczególnym problemem jest błędna konfiguracja. Według IBM 85 proc. z 8,5 mld naruszonych rekordów zgłoszonych w 2019 r. było spowodowanych błędnie skonfigurowanymi serwerami w chmurze i innymi systemami. Każdego roku z tego powodu do sieci wyciekają miliardy rekordów.

Eliminowanie tego zagrożenia będzie wymagało lepszego monitorowania i kontroli procesów w środowisku chmurowym, np. przy użyciu zautomatyzowanych narzędzi – uważa Eset.

Na czym polega problem?

Gartner prognozował, że do 2020 r. 95 proc. incydentów związanych z bezpieczeństwem w chmurze będzie następować z winy użytkownika tych rozwiązań.

Wpływa na to m.in. słaba znajomość zasad i polityk bezpieczeństwa, brak stałego monitorowania, zbyt wiele interfejsów API i systemów do zarządzania chmurą.

Ten ostatni aspekt jest szczególnie dotkliwy, gdyż zauważalnym trendem jest zwiększanie firmowych inwestycji w chmury różnych dostawców.

Błędna konfiguracja rozwiązań chmurowych może przybierać różne formy:

  1. Brak odpowiednich ograniczeń dostępu, obejmujący powszechny problem publicznego dostępu do niezabezpieczonej bazy danych, który może umożliwić atakującym odczytywanie, zapisywanie i usuwanie danych w chmurze.
  2. Nadmiernie liberalne polityki zabezpieczeń, jak udostępnianie otwartych usług zdalnego dostęp do serwera poprzez internet.
  3. Brak należytej kontroli uprawnień i ograniczania dostępu dla firmowych kont użytkowników do niezbędnego minimum.
  4. Błędna konfiguracja tras i wirtualizacji funkcji sieciowych.

Jak naprawić błędną konfigurację chmury?

Najważniejsze jest wdrożenie procesów, które tak szybko jak to możliwe automatycznie wykrywają i rozwiązują problemy – radzą eksperci.

Atakujący potrafi wykryć błędną konfigurację w ciągu 10 minut, ale tylko 10 proc. organizacji usuwa problemy w tym czasie. Natomiast w 45 proc. naprawa zajmuje od godziny do tygodnia od wystąpienia incydentu.

„To co powinni zrobić zarządzający organizacjami, to w pierwszej kolejności zrozumieć, a następnie wdrożyć zasady modelu współodpowiedzialności za bezpieczeństwo firmy w chmurze. Oznacza to, że powinni być świadomi tego, którymi zadaniami zajmuje się dostawca usług chmurowych, czyli sprzętem, oprogramowaniem, siecią i inną infrastrukturą, a co należy do kompetencji pracowników organizacji w zakresie konfiguracji i kontroli swoich zasobów” – tłumaczy Kamil Sadkowski, starszy specjalista ds. cyberbezpieczeństwa, Eset. 

Cztery dobre praktyki poprawy bezpieczeństwa chmury:

  1. Ograniczenie uprawnień – ustalenie zasady jak najmniejszych uprawnień dla użytkowników i kont w chmurze pozwoli na minimalizowanie ryzyka ataku z wykorzystaniem tych zasobów.
  2. Szyfrowanie danych – silne szyfrowanie danych o znaczeniu krytycznym dla firmy.
  3. Ustalenie priorytetów zarządzania IaC (Infrastruktura jako kod), które umożliwia firmom efektywniej kontrolować zmiany i konfiguracje w środowisku chmurowym, a także automatyzuje procesy kontroli na jak najwcześniejszym etapie cyklu rozwoju.
  4. Stały audyt konfiguracji w chmurze pod kątem zgodności z polityką, np. przy zastosowaniu narzędzi Cloud Security Posture Management (CSPM), które automatyzują i upraszczają ten proces.