Милиони компании по целия свят използват облачната услуга Amazon Web Services (AWS) за съхранение и управление на своите данни.
Доклад на компанията Barracuda разкрива, че 70% от лидерите на ИТ екипи се притесняват колко сигурен е техният облак и се съмняват, че данните им са изложени на риск.
Ето кои са топ 10 инструментите за сигурност на AWS, които ви помагат да управлявате и защитите вашата облачна инфраструктура:
Ubiquiti, водещ производител на безжично мрежово оборудване и IoT устройства, е обвинен в прикриване на сериозно нарушение на сигурността.
През януари 2021 г. компанията информира, че е установила неоторизиран достъп до системите си в облака, но потребителите й не са засегнати от това. Все пак клиентите бяха помолени да променят паролите си и да активират двуфакторно удостоверяване (2FA).
Няколко месеца по-късно експертът по сигурността Брайън Кребс съобщава в блога си, че инцидентът е далеч по-сериозен, дори „катастрофален“.
Твърди се, че нападателите са получили пълен администраторски достъп до AWS (Amazon Web Services) сървърите на компанията, включително до идентификационните данни за достъп на потребителите. Това потенциално компрометира всяка мрежа с Ubiquiti оборудване, настроено да бъде контролирано чрез облачната услуга на компанията.
Ubiquiti все така твърди, че дори да става дума за по-сериозен инцидент, клиентска информация не е засегната, и отново приканва към смяна на паролите за достъп и към активиране на 2FA.
Проведено е уеб-базирано проучване сред 600 киберспециалисти от седем държави и 19 индустрии. Кампанията се е състояла през август 2020 г. Изпълнител е CyberEdge – специализирана в областта на маркетинга на високотехнологични компании. Резултатите могат да бъдат обобщени така:
Отдалечената работа е все по-популярна в компаниите и все по-предпочитана от служителите. Рисковете, които крие тази тенденция вече са познати, а възможностите за минимизирането им – известни. Все повече технологии използват облачни структури. А знанието и последователността се изплащат.
Проучването е в контекста на извънредната ситуация, наложена от COVID-19. В тази обстановка множество компании бяха принудени да разрешат достъп до корпоративната си мрежа на лични устройства на служители. В много компании това е станало без наличие на разработени политики за отдалечена работа. Често не е била осигурена нужната защита и контрол над информацията.
Средният брой на служителите в една компания, които работят от дома, се е увеличил от 24% преди появата на COVID-19 до 50% към август 2020 г.
Основната цел на изследването е да покаже как пандемията е повлияла: бюджетите за ИТ сигурност, персонала, киберрисковете и приоритетите при внедряване на нови решения за киберсигурност. Ето какви са основните наблюдения:
Трите най-големи предизвикателства пред специалистите са: увеличен обем заплахи и инциденти със сигурността, недостатъчен капацитет за осигуряване на отдалечен достъп (VPN) и увеличени рискове поради неконтролирани устройства.
53% от екипите не са разполагали с достатъчно персонал още преди началото на пандемията. Към момента ситуацията не се е подобрила.
54% от анкетираните са увеличили оперативните си бюджети за киберсигурност в средата на годината със средно 5%. 64% от организациите планират нарастване от около 7% на разходите за сигурност през 2021 г.
75% от анкетираните са изразили предпочитание към решенията за киберсигурност, разположени в облачни платформи. Това се дължи на факта, че отдалечената работа и наличието на по-малко ИТ персонал, възпрепятства поддържането на локални решения за сигурност. Трите най-търсени облачни услуги през пандемията са Secure Web Gateway (SWG), Next-generation Firewall (NGFW) и Secure Email Gateway (SEG).
2/3 от компаниите са били принудени временно да намалят разходите: 36% чрез замразяване наемането на нов персонал, 32% – с намаляване на отработените часове и 25% – като прекъснат работа. Само 17% от анкетираните организации са били принудени да съкращават ИТ персонал.
78% от специалистите, притежаващи професионални сертификати за киберсигурност, смятат, че това ги е направило по-добре подготвени за справяне с предизвикателства, предизвикани от пандемията. Очаква се компаниите да увеличат бюджетите си за обучение по киберсигурност средно с 6% през 2021 г.
В резултат на това 43% от компаниите са увеличили инвестициите си в технологии за управление на риска, свързан с трети страни (Third-party Risk Management – TPRM). 77% от тях търсят решения, които да им помогнат за автоматизирането на процеси по менажирането му.
59% от компаниите предоставят антивирусен (AV) софтуер за личните устройства на служителите. 52% инвестират в решения за управление на мобилни устройства (MDM). 48% внедряват решения за контрол на достъпа до мрежата (NAC).
81% от всички анкетирани са щастливи да работят от вкъщи. 48% биха продължили да работят дистанционно на непълно работно време. 33% биха работили от дома на пълен работен ден и след като пандемията бъде преодоляна.
Полският търговец на дрехи BrandBQ е станал жертва на кибератака, довела до източването на над 1 млрд. записа от базите данни на организацията.
В 6.7 млн. от източените записи е имало Personally Identifiable Information (PII или данни, с които може да се идентифицира физическо лице). Тя включва име, e-mail, адрес, рожденна дата, телефонен номер, пол и история за търсенията и покупки на клиентите на магазините на компанията.
BrandBQ има онлайн и физически магазини в Източна Европа – България, Полша, Румъния, Унгария, Словакия, Украйна и Чехия. Сред свързаните с компанията марки са WearMedicine.com и Answear.com (който е засегнат от пробива).
Като причина за теча се посочват неправилно конфигуриран cloud сървър. За нередностите първи са научили и взели действия екип от киберспециалисти от vpnMentor, които веднага са предприели стъпки към уведомяване на търговеца.
Освен личните данни на частните клиенти, в базата данни на сървъра е имало и около 50 хил. записа на локални фирми, имащи договорни отношения с BrandBQ. Тези записи са съдържали информация като ЕИК, начин на плащане, цени на поръчки и получатели и адреси на техни онлайн клиенти.
Всички тези открити незащитени записи са цяла златна мина за хакери и киберизмамници. Те могат да я използват не само да изнудват полският бранд, но и да последват фишинг атаки към техните клиенти или да извършват различни престъпления с крадените самоличности. Сред другите опции са злоупотреба с данни за доставчици, изнудване и потенциална загуба на репутация.
Самата конфигурация на клауд сървъра от своя страна, може да даде нужната информация как са били настройвани ИТ ресурсите в BrandBQ и къде могат да търсят бъдещи грешки и пролуки за достъп.
Конкурентите на модния бранд също биха могли да се възползват за да откупят информацията и опитат да откраднат повече клиенти с атрактивни цени или условия. Не на последно място, тъй като компанията е базирана в Европа, попада под регулаторните мерки и закони спрямо GDPR. Това е предпоставка за възможно огромна глоба и съдебни искове срещу BrandBQ.
Какви са препоръките на специалистите от vpnMentor – за да се предпазим от подобни течове и загуба на ценна информация от база данни, можем да направим следните базови стъпки –
Последен ъпдейт на 28 юни 2018 в 13:27 ч.
Уязвимост в неправителствената организация Let’s Encrypt и идеалната ѝ цел да осигури безплатни TLS сертификати на сайтове със споделен хостинг може да изиграе обратна роля – и вместо да помогне, да се превърне в проблем за сигурността на милиони интернет потребители. Причината: уязвимост, която при определени условия може да позволи издаването на сертификати за домейни върху споделен хостинг, от лица които нямат контрол върху тези домейни.
Накратко – Let’s Encrypt започва като инициатива на ISRG (Internet Research Group). За да реализират инициативата, ISRG създават ACME (Automatic Certificate Management Environment) – протокол, който определя автоматизацията на процедурите между издателите на сертификати и уеб сървърите на потребителите им. Той използва три от т.нар. „10 благословени метода“ за потвърждаване на самоличността на притежател на домейн.
Методите са създадени заедно с група доброволно включили се производители и издатели на сертификати и са описани в документа „Baseline Requirements“ (секция 3.2.2.4).
За един от използваните – sni-tls-01– е открит начин да се експлоатира, в случай, че се използва от домейн, свързан със споделен хостинг.
Преди дни беше открита огромна уязвимост, която засяга всички, които използват Let’s Encrypt на споделен хостинг. Тя е осъществима чрез методите за потвърждение на самоличност на ACME и начинът, по който споделения хостинг работи. Cloud услуги като CloudFront и Heroku бяха също разкрити като уязвими, но чрез бърза реакция вече не позволяват експлоатирането на точно тази уязвимост.
Дупката в сигурността позволява на атакуващ да издава сертификати за външни домейни чрез споделен хостинг и в последствие да ги използва за предоставяне на вредно съдържание.
За момента е спряно издаването на сертификати чрез tls-sni-01 и следващата му версия – tls-sni-02, както се споменава в официалното изявление на Let’s Encrypt. Всички cloud-based доставчици на хостинг също трябва да предприемат стъпки за „запушването“ на този пробив във сигурността, след като водещите такива откликнаха.
Допускането на толкова сериозен пробив във сигурността може да накара някои хора да си кажат „за толкова пари – толкова“. Нужно е, обаче, да погледнем към сигурността на платените услуги – наистина ли е по-добра. Отдолу можете да видите изброени няколко инцидента, които ще ви дадат достатъчно ясна представа:
Tехнически подробности за уязвимостта можете да прочетете в подробното обяснение на самия ѝ откривател.
Последен ъпдейт на 28 юни 2018 в 13:50 ч.
IT отделите ще трябва да добавят „военизирани виртуални машини“ към списъка със заплахи за киберсигурността в облака. Това обяви Microsoft в доклада Security Intelligence Report Volume 22.
Докладът оценява заплахите за информационната сигурност на компаниите в първата четвъртина на 2017 г. Microsoft констатира, че престъпниците следват пътя на бизнеса и го атакуват там, където той оперира. Все по-често това са облачни услуги, предоставени от трети страни.
Военизиран облак
„Киберпрестъпниците успяват успешно да компрометират облачната инфраструктура като установят контрол върху една или повече виртуални машини“, твърди докладът.
Microsoft нарича тази заплаха „военизиран облак“ и я дефинира по следния начин:
„Киберпрестъпниците използват компрометираните виртуални машини за да осъществяват престъпна дейност, която включва удари срещу други виртуални машини под формата на brute-force атаки, спам кампании с цел имейл фишинг и сканиране на уязвими портове с цел организиране и провеждани на нови атаки.“
That moment when your Kali VM gets so weaponized from #OSCP that AVs are trying everything to prevent it from loading.
— Grant Boudreau (@gzboudreau) November 5, 2015
По време на първата четвъртина на 2017 г. услугата Azure на Microsoft е регистрирала редица изходящи опити за подобна дейност. Най-често срещаните форми са били опити за установяване на връзка със злонамерени IP адреси (51%) и RDP (Remote Desktop Protocol) brute-force атаки. Сред другите активности на злонамерените хакери били спам атаки (19%), сканиране на портове (3.7%) и опити за преодоляване на SSH (Security Shell) защити.
Прочете повече: Brute-force атака удари потребители на Office 365
Когато една виртуална машина е компрометирана, тя опитва да установи контакт с командния център на киберпрестъпниците. Огромна част от опитите за установяване на комуникация с такива центрове, били към китайски IP адреси (89%), следвани от САЩ (4.2%).
Входящите атаки срещу Azure идвали главно от Китай (35.1%), САЩ (32.5%) и Южна Корея (3.1%).
Заплаха за бизнеса и потребителите
Експертите по информационна сигурност на Microsoft предупреждават, че хакерите вече не се задоволяват само с ransomware атаки срещу крайни потребители, а все повече насочват вниманието си срещу лични и бизнес акаунти в облака.
„Наблюдаваме ръст от 300% в атаките срещу потребителски акаунти в облака за първата четвъртина на 2017 г. спрямо същия период на 2016 г.“, съобщава Microsoft в блога Microsoft Secure Blog.
В същото време броят на опитите за влизане в облачни акаунти от злонамерени IP адреси се е увеличил с 44%. Според американския IT гигант това доказва нуждата от прилагането на сигурни пароли както от потребителите, така и от бизнеса.
Microsoft призовава IT отделите да въведат политики за условен достъп, базирани върху анализ на риска за сигурността. Такива политики следва да ограничават достъпа до непознати устройства и IP адреси, намалявайки риска от слаби или компрометирани пароли.
В заключителната си част докладът констатира, че ransomware атаките продължават да бъдат сериозен проблем, въпреки че анализът на заплахите е бил компилиран преди масираните ransomware атаки на криптовирусите WannaCry и Petya. Тогава бяха засегнати повече от 200 хиляди устройства в над 150 държави по света.
Как да се защитим в облака?
Прочетете повече: Колко безопасни са публичните облаци за съхранение на бизнес информация?
Последен ъпдейт на 28 юни 2018 в 13:50 ч.
Киберпрестъпниците стават все по-изобретателни в стремежа си да се доберат до чувствителна информация. Наскоро разбрахме, че 48 компании, ползващи облачната услуга на Microsoft Office 365 са станали жертва на нова стратегия за получаване на нерегламентиран достъп до бизнес данни.
Тази атака с „груба сила“ (brute force attack) е различна от останалите с това, че жертвите са малко на брой в сравнение със засегнатите компании. Засечени са 100 хил. провалени опита за логване от 67 различни IP адреса в 12 отделни мрежи за период от 7 месеца.
Именно дългият период време и ограниченият брой потърпевши позволяват на хакерите да останат „под радара“ на Microsoft. Друг интересен факт е, че пробивът е бил облак-към-облак. Хакерите са използвали инфраструктурата на публична хостинг компания, за да атакуват облачна SaaS услуга.
Microsoft Office 365 Users Targeted in Brute Force Attacks https://t.co/nVDWtrTC6R
— DarkReading (@DarkReading) July 20, 2017
Нова стратегия
Първата стъпка на хакерите била да си набавят бизнес логини и пароли от различни компани, които ползват различни облачни услуги (не само Office 365). Престъпниците пробвали всевъзможни варианти на имейл адреси. Например човек на име Тодор Петров в компанията „X“ е бил подложен на стотици опити за логин в имейл адреси с всякакви разновидности на изписване, като [email protected], [email protected] и т.н. Един от акаунтите бил подложен на атака от 14 различни IP-та със 17 различни вариации на имейл адрес в рамките на само 4 секунди. Изглежда, че престъпниците са използвали една и съща парола за различните начини на изписване, което им позволило да сменят името, но не и паролата. Друго предположение е, че акаунтите на са имали двуфакторна верификация.
Прочетете повече: Колко безопасни са публичните облаци за съхранение на бизнес информация?
Игла в купа сено
Хакерите разтягат умишлено продължителността на операцията. Те се фокусират върху един човек, и дори тогава, атаката трае броени секунди. Целят се във високопоставени служители на различни компании, за да не изглежда така че атаката е само срещу една. Това, в комбинация с различните IP адреси, от които произлизат опитите за пробив, прави атаката практически незабележима.
Планирането и изпълнението изглеждат изключително сложни. Как тогава е открит пробивът?
Първите съмнения се появяват когато Cloud Access Security Broker засича редица неуспешни опити за влизане – аномалия, която може да се дължи на опит за получаване на нерегламентиран достъп. Само по себе си това не води до нищо, но с времето се проявява повтарящ се модел. Атаката произтича от едни и същи IP адреси и всички те опитват да получат достъп до една шепа бизнес акаунти в няколко компании, работещи с Office 365.
Това променя статута на аномалиите и те се превръщат в заплаха.
Последвалото разследване и съпътстващият го анализ откриват хилядите неуспешни опити за влизане и окачествяват заплахата като атака с груба сила.
Как се предотвратява такава атака?
Подобна атака е почти невъзможна при двуфакторната верификация. В случая ощетените компании са имали само еднофакторна защита. В стратегически план всеки бизнес, който разчита на облачни услуги, трябва да помисли и за облачна защита.
Прочетете повече: Шестте най-известни киберпробива в облака
Последен ъпдейт на 28 юни 2018 в 13:50 ч.
Съвсем наскоро Световната федерация по кеч стана жертва на пробив в сигурността, вследствие на който изтекоха лични данни на 3 милиона клиенти. Хакерите успешно са пробили системата, хоствана от облачна услуга на Amazon. Според Forbes данните съдържат адресите, етническата принадлежност, залозите и печалбите, както и други лични данни на жертвите. Случилото се е смущаващо, но и чудесен пример за последиците от подобни престъпления.
Ето кои са шестте най-големи пробива в сигурността на облака досега.
1. Microsoft
През 2010 г., вследствие на неправилно конфигуриране на услугата Business Productivity Online Suite, инцидентно се дава достъп на неупълномощени потребители на облачната услуга до контактите на други потребители. Компанията потвърждава за нерегламентирания достъп, но уверява, че проблемът е бил разрешен в рамките на два часа. Тъй като са засегнати сравнително малък брой хора, инцидентът се счита за незначителен. Случилото се е не само първият сериозен пробив в сигурността на облачните услуги, но и предвестник на онези, които ще последват.
2. Dropbox
Никой не е подозирал за истинските размери на чудовищния пробив в Dropbox, когато се е случил през 2012 г. Едва 4 години по-късно, през 2016 г., става ясно, че хакерите успяват да се сдобият с данни за достъп на 68 милиона профила . Пробивът е толкова мащабен, че файловете с данни на потребители са с обща големина цели 5 Gb! Откраднатите имейли и пароли за достъп се търгуват от хакерите в dark web срещу биткойни, когато цената им е била около 1,100 щатски долара. Вследствие на пробива Dropbox предприема масово нулиране на потребителски пароли, за да предпази клиентите си от злоупотреба с лични данни.
@darkpawH and @PyroTek3 on hacking the cloud to a huge and packed room at @defcon pic.twitter.com/zXK292dl8v
— MrShannon (@MrShannonFritz) July 27, 2017
3. Национален електорален институт на Мексико
През април 2016 г. Националният електорален институт на Мексико става жертва на атака, която разкрива регистрациите на 93 милиона избиратели. Личните данни се оказват публични вследствие на лошо конфигурирана база данни. Този пробив разкрива редица други нарушения, като например това, че институцията е съхранявала чувствителни данни на необезопасен облачен сървър на Amazon извън пределите на Мексико. На това му се казва „как да не съхраняваме лични данни, ако сме държавна институция“.
4. LinkedIn
Понякога късметът наистина може да ни изиграе лоша шега. Точно това се случва с LinkedIn, когато през 2012 г. киберпрестъпници успяват да откраднат 6 милиона потребителски пароли и да ги публикуват в руски форум. Само 4 години по-късно, през май 2016 г., втора атака води до компрометиране на данни за достъп на над 167 милиона LinkedIn профила, които хакерите пускат за продажба на черния пазар. Инцидентът става причина LinkedIn да предприемат спешни мерки по сигурността и освен смяна на компрометираните пароли, въвеждат двустепенно удостоверяване (two-factor authentication) – опция, която позволява допълнително въвеждане на ПИН код, получен чрез SMS при всяко логване в сайта.
5. Apple iCloud
Няма да сгрешим, ако наречем пробива в Apple iCloud най-скандалния по рода си, защото този път не става дума за някакви си милиони обикновени потребители, а за известни личности. Личните снимки на Дженифър Лорънс и други публични личности, съхранявани в облака, стават достъпни за хакерите. Първоначално се смята, че причината е масово хакване на телефони, но впоследствие се оказва, че е била компрометирана услугата iCloud, използвана от звездите за съхранение на личните им архиви. В отговор на атаката Apple подканва потребителите да сменят паролите си с по-сигурни, както и да активират известия в случай, че се установи съмнителна активност в профилите им.
6. Yahoo
Съвременните уеб гиганти базират услугите си почти изцяло върху облачна инфраструктура. Това включва и Интернет мастодонтът Yahoo, който сам се оказва жертва на киберпробив. На компанията са й нужни близо 3 години, за да се справи с пораженията от атаката, случила се през 2013 г., и едва в края на 2016-а, разкрива детайли за мащаба й. Компрометирани са близо 1 милиард потребителски профила, което включва електронните адреси, имената, рождените дати и тайните отговори на въпросите за възстановяване на парола. Това се счита за най-мащабният киберпробив в историята, което си е сериозен рекорд, особено предвид че месеци преди това, от същата компания изтичат данните на други 500 милиона профила.
В бизнес средите няма съмнение, че облачните услуги имат както предимства, така и недостатъци. Но изводите от тези мащабни атаки са, че облакът може да разкрие целия си потенциал само, ако сигурността му се развива паралелно с все по-голямата му популярност.
Прочетете повече: Колко безопасни са публичните облаци за съхранение на бизнес информация?
Последен ъпдейт на 28 юни 2018 в 13:50 ч.
Нуждата от съхранение на нарастващите обеми поверителна търговска информация или нейното архивиране поставя много изисквания към информационния носител. Част от компаниите избират да се справят сами, осигурявайки собствен облак от данни, до който служителите имат достъп, когато им е необходим.
Други компании се ориентират към използването на публично достъпни облачни услуги, използвайки вече изградена и добре поддържана структура и възползвайки се от значителните им предимства – приемливо съотношение качество/цена, достъпност и наличност на информацията 24/7 от всяка точка на света, лесна навигация, различни права при редактиране и споделяне на файловете.
За компаниите най-трудно за преодоляване е предизвикателството как да доверят най-ценната си информация за съхранение в облак, чието физическо местоположение е на хиляди километри от офиса им. Усещането, че информацията им се съхранява извън компанията все още е основен възпиращ фактор. Това обаче не пречи на главоломния растеж на броя компании, които предлагат облачни услуги като Google Drive, Dropbox, OneDrive, Box.net, pCloud и десетки други.
Real people don’t need encryption? I’ll just go decrypt all the data I’m storing in the cloud then. Clearly, hackers are no threat.
— C. John Archer (@CJohnArcher) August 1, 2017
Облакът в бизнеса: да или не?
Когато избираме облачна услуга, най-важна е сигурността, която тя може да осигури за търговската ни информация. Истината обаче е, че повечето пробиви и информационни течове са вследствие не на компрометирана сигурност на сървърите, а на лош контрол на достъпа от страна на самите потребители.
Безсмислено е да имате сигурен облак, ако потребителите използват слаби пароли за достъп, оставят профилите си отворени, инсталират приложения за достъп до много устройства, като таблети, лаптопи и смартфони, които лесно могат да изгубят или да попаднат в чужди ръце.
Това налага задължителното прилагане на допълнителни мерки за сигурност при боравенето с облачни услуги. Входът в услугата следва да е защитен не само със сигурна парола, но и с двуфакторно упълномощаване, изискващо допълнително въвеждане на временен код при всяко влизане.
Криптиране на информацията
Ако съхранявате наистина важни данни, то не ги оставяйте в некриптиран вид. Може да криптирате файловете, които качвате в публичен облак с приложения като Boxcryptor и nCrypted, или да използвате облачна услуга, която предлага задължително криптиране на файловете, преди да бъдат съхранени, каквито са SpiderOak, Carbonite. В случай че хакери се сдобият с достъп до данните ви, ще им е доста трудно да ги декриптират, което намалява евентуалните поражения върху данните.
Разбира се, това не означава, че услуги на доказани гиганти като Oracle, IBM и Google са ненадеждни. Oracle например предлага опцията да си закупите пространство на физически сървър някъде в Америка и то да бъде вашият облачен носител, заедно с всички възможни защити, които можете да си представите. Проблемът с този вид облачни услуги е по-скоро финансов, отколкото въпрос на сигурност.
„And in this corner we have , firewalls, policies, encryption, antivirus software etc …. and in this corner we have Dave#gdpr #AI #cloud pic.twitter.com/MUvBrcAvqW
— GDPR Coalition (@GDPR_Coalition) August 14, 2017
Вътрешна vs. облачна сигурност
Независимо дали използвате собствен сървър за съхранение на данните си в офиса или облачна услуга, трябва да прилагате стриктна фирмена дигитална политика по отношение на достъпа на отделните служители до фирмените данни.
Повечето течове са резултат от нерегламентиран достъп на вътрешен човек, който поради незнание или воден от користни подбуди може да компрометира компанията ви. За да избегнете това, инсталирайте на персоналните компютри на всички служители приложения, които прихващат опити за достъп на служители без нужните права или опити поверителна информация да бъде изпратена извън компанията чрез неупълномощен канал.
Сигурен ли е облакът?
Споделянето на файлове през облака и съхраняването им там е сигурно, стига да се спазват серия от правила за информационна сигурност, с които служителите следва да са наясно, преди да им бъде даден достъп до фирмената информация. Небрежното отношения към сигурността, неприлагането на нови мерки, липсата на активно следене за пробиви, както и пропускането на редовно създаване на резервни версии (back-up) са по-честите причини за нерегламентиран достъп, отколкото предполагаемите слабости на самите облачни услуги.