Błędy konfiguracji chmury: główne ryzyka i lista kontrolna

Większość incydentów bezpieczeństwa w chmurze nie polega na przełamaniu infrastruktury samego dostawcy chmury. Dotyczą one konfiguracji po stronie klienta: pozostawionego jako publiczny zasobnika (bucket), klucza dostępu zapisanego w repozytorium, konta administratora bez uwierzytelniania wieloskładnikowego lub bazy danych dostępnej z całego internetu. Dostawcy chmury stosują model współdzielonej odpowiedzialności, w którym oni zabezpieczają platformę bazową, a Państwo zabezpieczają to, co na niej konfigurują. Ten przewodnik przedstawia najczęstsze ryzyka błędnej konfiguracji chmury i praktyczne kontrole dla każdego z nich.

Co to jest

Błędna konfiguracja chmury to każde ustawienie na Państwa kontach chmurowych, które eksponuje dane lub systemy bardziej, niż zamierzano, albo uniemożliwia wykrycie problemów i przywrócenie działania. Zwykle narasta, gdy zespoły się rozrastają, projekty są tworzone w pośpiechu, a tymczasowe zmiany stają się trwałe. Główne kategorie są takie same w AWS, Microsoft Azure i Google Cloud. Tożsamość i dostęp: zbyt szerokie role, długotrwałe klucze dostępu, współdzielone konta i brak MFA. Przechowywanie danych: zasobniki, obiekty blob lub migawki (snapshots) dostępne do odczytu dla każdego lub udostępnione zbyt szeroko. Sieć: grupy zabezpieczeń lub reguły zapory otwarte na wszystkie adresy, wystawione porty zarządzania i płaskie sieci bez segmentacji. Sekrety: dane uwierzytelniające w kodzie, plikach środowiskowych lub obrazach kontenerów. Rejestrowanie zdarzeń: logi audytowe wyłączone, nieprzechowywane lub nigdy nieprzeglądane. Szyfrowanie: dane wrażliwe przechowywane bez szyfrowania lub ze słabo zarządzanymi kluczami. Odporność: kopie zapasowe brakujące, nieprzetestowane lub przechowywane na tym samym koncie, które mają chronić. Nadzór: nieznane konta, nieoznaczone zasoby i projekty bez właściciela.

Dla kogo

Ta lista kontrolna jest przydatna dla:

Startupów i MŚP, których środowisko chmurowe rozrosło się szybko bez formalnego projektu
Zespołów przygotowujących się do przeglądu bezpieczeństwa przez klienta lub do due diligence
Organizacji planujących uruchamianie obciążeń AI lub przetwarzania danych w chmurze
Menedżerów, którzy przejęli konta chmurowe po byłych pracownikach lub dostawcach

Co pomaga wyjaśnić

Przejście przez listę kontrolną pomaga wyjaśnić:

Kto ma dostęp administracyjny oraz czy jest on chroniony i nadal potrzebny
Które dane są publicznie dostępne, celowo lub nie
Czy zauważyliby Państwo podejrzaną aktywność i mogli ją zbadać
Czy mogliby Państwo przywrócić krytyczne systemy, gdyby konto zostało przejęte

Co jest zawarte

Egzekwować MFA dla wszystkich użytkowników, zwłaszcza administratorów oraz konta root lub właściciela
Tam, gdzie to możliwe, zastąpić długotrwałe klucze dostępu rolami lub krótkotrwałymi danymi uwierzytelniającymi
Przeglądać role pod kątem zasady najmniejszych uprawnień i usuwać nieużywanych użytkowników i uprawnienia
Domyślnie blokować publiczny dostęp do zasobów przechowywania danych i przeglądać wszelkie wyjątki
Ograniczyć dostęp do portów zarządzania i baz danych do znanych sieci lub dostępu prywatnego
Przenieść sekrety do zarządzanej usługi sekretów i skanować repozytoria pod kątem wycieku kluczy
Włączyć logi audytowe na każdym używanym koncie i w każdym regionie oraz bezpiecznie je przechowywać
Ustawić alerty dla zdarzeń wysokiego ryzyka, takich jak nowi administratorzy, wyłączenie rejestrowania lub publiczne zasoby
Szyfrować dane wrażliwe w spoczynku i kontrolować, kto może zarządzać kluczami
Tworzyć kopie zapasowe krytycznych danych na oddzielnym koncie lub w oddzielnej lokalizacji i testować ich odtwarzanie
Prowadzić spis kont, projektów i właścicieli zasobów
Stosować infrastrukturę jako kod (IaC) i przeglądać zmiany przed ich wdrożeniem

Co nie jest uwzględnione

Twierdzenia, że przejrzanego środowiska nie da się przejąć
Formalnego audytu chmury, certyfikacji ani zatwierdzenia zgodności
Testów penetracyjnych, chyba że mają odrębnie określony zakres
Stałego monitorowania ani usług zarządzanych, chyba że zostaną uzgodnione osobno

Kiedy to wybrać

Z tej listy kontrolnej warto skorzystać, gdy od dłuższego czasu nie przeglądano kont chmurowych, przed przeglądem bezpieczeństwa przeprowadzanym przez klienta lub inwestora, po zmianach personelu lub dostawców oraz przed wprowadzeniem obciążeń AI lub dużych obciążeń danych. Jeśli nie potrafią Państwo szybko odpowiedzieć, kto ma dostęp administracyjny do każdego konta, od tego należy zacząć.

Nasze podejście

W pierwszej kolejności należy zająć się tożsamością, ponieważ od niej zależy większość pozostałych zabezpieczeń. Następnie trzeba usunąć publiczną ekspozycję, zabezpieczyć sekrety i upewnić się, że rejestrowanie zdarzeń i kopie zapasowe umożliwiłyby wykrycie problemów i przywrócenie działania. Poprawki warto traktować jako prace inżynierskie z osobami odpowiedzialnymi i kontrolą zmian, a nie jako jednorazowe porządki. Nasza usługa Cloud Platform & Production Engineering obejmuje decyzje architektoniczne, potoki wydań, obserwowalność, kopie zapasowe oraz procedury odtwarzania (runbooks) dla uzgodnionych środowisk, przy czym zmiany produkcyjne są wprowadzane wyłącznie na podstawie zatwierdzonego planu i wyraźnej pisemnej autoryzacji. Jeśli najpierw potrzebują Państwo udokumentowanego obrazu obecnej sytuacji, Security Baseline Review może dostarczyć obserwacje ocenione według istotności, a przegląd AI & Cloud Readiness zapewnia kartę oceny gotowości i zapis decyzji skoncentrowane na podstawach dla obciążeń AI. Testy penetracyjne aplikacji hostowanych w chmurze mogą mieć odrębnie określony zakres. Do listy kontrolnej warto regularnie wracać; konfiguracja zmienia się wraz z zespołami i projektami.

Cloud Platform & Production Engineering

Zobacz stronę usługi Cloud Platform & Production Engineering