클라우드 보안 전문가는 가장 일반적인 잘못된 구성을 설명하고 비즈니스를 위협 할 가능성이있는 클라우드의 다른 영역을 강조합니다.
IT 보안 팀은 클라우드 구성 오류의 위험을 잘 알고 있습니다. 잘못 구성된 클라우드 인프라, 애플리케이션 및 스토리지는 공격자가 기업 환경에 잠입하여 정보를 훔치거나 측면으로 이동할 기회를 이용함에 따라 주요 위협으로 판명되었습니다.
잘못된 구성은 COVID-19 전염병과 조직을 완전히 가상화 된 인력으로 전환하려는 글로벌 러시로 인해 더 흔해졌습니다. 클라우드로의 급속한 점프는 부주의 한 실수로 이어졌고 결과적으로이를 활용하기위한 기회 주의적 공격으로 이어졌습니다.
“클라우드 제공 업체 자체가 아니라 주로 클라우드 사용자 인 클라우드 보안 문제의 조합이 잘못 구성되고, 자격 증명을 부적절하게 포함하고, 암호를 남기고, 클라우드가 너무 빨리 이동하기 때문에 클라우드를 강화하지 않는 경우… ”라고 Cloud Security Alliance의 공동 창립자 겸 CEO 인 Jim Reavis는 설명합니다.
급하게 클라우드로 전환하는 조직은 종종 전략적 관점이 부족하고 위험에 처하게 할 수있는 위협 및 우선 순위가 높은 보안 기능과 같은 요소를 고려하지 않습니다. 그들은 스토리지 버킷과 데이터베이스를 잠그는 것을 잊고, 자격 증명을 Github에서 볼 수 있도록 남겨두고, 가상 머신과 컨테이너에서 좋은 보안 위생을 패치하거나 유지하지 못한다고 그는 덧붙였습니다.
Reavis는 "이를 통해 공격자들에게 클라우드 환경을 매우 빠르게 스캔하고 안전하지 않은 몇 가지 사항을 찾은 다음 더 심층적 인 해킹을 수행 할 수있는 능력을 제공합니다."라고 계속 설명합니다. 구성 관리는 이러한 위협을 방지하는 데 도움이 될 수 있습니다.
IT 및 보안 팀은 클라우드로의 빠른 전환으로 인해 예상치 못한 몇 가지 격차를 발견하고 있습니다. 이제 그들은 전술적 솔루션과보다 전략적인 아키텍처 전환을 고려해야합니다. 많은 사람들이 COVID-19로 인한 운영상의 변화를 받아 들였습니다. 여기있어. 결과적으로 클라우드 보안을 강화하는 방법을 고려해야합니다.
Reavis는“많은 부분이 공동 책임 모델로 돌아가서 이것이 우리가 클라우드를 보호하기위한 결합 된 책임이라는 것을 이해합니다.
IaaS (Infrastructure-as-a-Service)와 같은 제품을 다룰 때 클라우드 소비자는 자신에게 빈 슬레이트가 제공된다는 것을 이해해야합니다. 암호화, ID 관리 및 클라우드 환경의 다른 부분에 대해 걱정하는 것은 그들에게 있습니다.
[Jim Reavis의 다음 강연 인 "클라우드 서비스 보안을위한 실용적인 솔루션"을 확인하십시오. 사이버 보안 단기 집중 과정 다음 주 Interop Digital에서]
잘못된 구성은 공격자가 클라우드 환경에 들어가 목표를 달성하는 데 도움이 될 수 있다고 Fugue Security의 공동 설립자이자 CTO 인 Josh Stella는 설명합니다. 그들이 관심을 갖는 것은 일반적으로 ID 및 액세스 관리 (IAM)와 같은 서비스에서 잘못된 구성을 악용하는 것입니다. 이러한 자격 증명은 네트워크를 탐색하고 찾고있는 데이터를 조용히 유출하는 데 도움이 될 수 있습니다.
"이것들의 폭발 반경은 파괴적입니다."라고 그는 말합니다. "방어에 아주 작은 균열이있을 수 있으며 클라우드 구성 오류와 관련된 경우 XNUMX 분 안에 모든 데이터가 사라질 수 있습니다."
Stella는 보안 팀이 자산 구성 오류를 다시 확인할 수있는 몇 가지 예를 지적합니다. 첫 번째 단계는 보안 상태를 이해하는 것입니다. 현재 위치를 파악하고 오류가있는 위치를 파악합니다. 기업은 클라우드를 구성 할 때 필연적으로 실패합니다.
“너무 어렵 기 때문에 실수를했다고 확신합니다.”라고 그는 말합니다.
일반적인 실수는 AWS S3 버킷에 대한 "퍼블릭 액세스 차단"기능을 너무 많이 신뢰하는 것입니다. 많은 사람들이이 기능을 켜면 공격자로부터 보호받는다고 생각합니다. 그러나 취하기 좋은 단계이지만 "매우 불완전"하다고 Stella는 말합니다. 조직은 개인 정보를 인터넷에 노출 할 수있는 "공개 액세스 차단"에 대한 예외를 가질 수 있습니다.
마찬가지로 Stella는 지나치게 관용적 인 IAM 역할 문제를 자주 본다고 말합니다. Amazon의 EC2 (Elastic Compute Cloud)에는 IAM에서 가능한 많은 권한이 있습니다. 이러한 모든 선택에 직면했을 때 사람들은 종종 큰 덩어리를 선택한다고 그는 설명합니다. 문제는 이러한 권한이 모두 매우 상세하고 누군가가 반드시 가져서는 안되는 수준의 액세스 권한을 부여 할 수 있다는 것입니다.
또한 Stella는 조직이 클라우드 인프라의 다른 부분을 나열하고 설명하는 클라우드 인프라의 기능을 제한하도록 촉구합니다. 보안 관리자는 종종 목록 권한이 안전하다고 생각합니다. 이 기능은 EC2 집합 또는 컨테이너의 내용을 나열하거나 데이터 스토리지 서비스 옵션, 버킷 및 기타 객체를 나열합니다.
"해커의 첫 번째이자 종종 가장 어려운 일은 발견이기 때문입니다."라고 Stella는 설명합니다. “당신이 그들에게 당신의 금고에 대한지도를 준다면 그것은 나쁜 생각입니다. 그들은 아마도 당신의 금고에 침입 할 수 있습니다.” 보안 팀은 실행중인 다른 클라우드 인프라에 대해 알기 위해 클라우드 인프라의 능력을 제한해야한다고 그는 말합니다.
다가오는 Interop Digital 강연에서“실시간 클라우드 구성 오류를 시뮬레이션하여 클라우드 보안 향상,”Stella는 자신의 인프라에 대한 공격을 시뮬레이션하고 그렇게함으로써 이러한 사소하고 단순한 실수가 어떻게 큰 결과를 가져올 수 있는지 보여줍니다.
"[벤처]를 시도하고 나쁜 일을하는 사람의 관점에서 자신의 인프라를 보는 것이 정말 중요합니다."라고 그는 말합니다. 기업은 앞 창문에 바를 달고 문을 잠글 수 있지만 공격자들은 잠입 할 수있는 작은 열린 지하 창문을 발견 할 것입니다.
“당신이해야 할 일 – 모든 사람이해야 할 일 – 그 중 일부가 거기 있기 때문에 찾을 때까지 잠을 잘 수 없습니다.”라고 Stella는 덧붙입니다. "당신은 그렇게 생각해야합니다."
Kelly Sheridan은 Dark Reading의 직원 편집자이며 사이버 보안 뉴스 및 분석에 중점을 둡니다. 그녀는 이전에 InformationWeek에서 Microsoft를 다루었 고 Insurance & Technology에서 재정을 다루었던 비즈니스 기술 저널리스트입니다. 전체 자료보기
추천 자료 :
더 많은 통찰력
