La brèche
Au cours des derniers mois, de nombreuses violations de données ont été constatées dans des organisations du secteur de la vente au détail, du courtage en bourse, de la restauration, de l'espace FinTech, etc. en Inde. Ces violations ont entraîné des fuites de noms, d'adresses électroniques, de dates de naissance, de cartes PAN, de cartes de crédit, de coordonnées bancaires et d'autres informations personnellement identifiables (PII) de plusieurs millions de clients.
C'est très inquiétant car ces données resteront longtemps sur le dark web et seront en vente pour quiconque voudra en faire un usage abusif. Vous ne verrez peut-être pas l'impact immédiatement - mais il s'agit d'informations que les mauvais acteurs peuvent utiliser pour se faire passer pour vous et ouvrir des services frauduleux, des prêts, des cartes de crédit, etc. en votre nom.
Dans le cas de la société de courtage, la raison de la violation citée est une compromission. Clé d'accès AWS (Nous n'avons pas été en mesure de le vérifier).
Que sont les clés d'accès dans AWS, et quelles sont les menaces pour la sécurité ?
Supposons que votre clé d'accès ait été violée - cela peut se produire de plusieurs façons ; Un exemple typique est celui des développeurs qui enregistrent du code dans un dépôt GIT (dépôt de code public) et des acteurs malveillants qui exploitent cette information.
Une fois que votre clé d'accès est entre les mains d'un mauvais acteur, celui-ci peut rapidement causer des ravages dans votre infrastructure en nuage. Encore une fois (et notez bien ce point), l'étendue des dégâts dépend des autorisations de la clé d'accès.
Supposons que la société de courtage ait stocké tous ces fichiers dans un Bucket S3 dans AWS. Les buckets S3 (stockage en nuage public) dans AWS ont fait l'objet de nombreuses violations. Supposons également que la clé d'accès avait un accès administratif à ce compte AWS - Cela se produit dans de nombreux environnements clients que nous avons audités.
Le pirate peut utiliser ces privilèges administratifs pour déterminer où sont stockés les joyaux de votre couronne (données PII), les exfiltrer et utiliser également les autorisations administratives pour prendre le contrôle complet du compte.
PII = Informations d'identification personnelle
MAIS, si le principe du moindre privilège était appliqué lors de l'association des permissions à l'utilisateur IAM (auquel la clé d'accès est associée), et si l'utilisateur IAM n'avait que les permissions de visualiser certains seaux S3 (qui contiennent des données non-PII), cela aurait réduit votre facteur de menace de manière significative. Il existe une multitude de façons d'appliquer le principe du moindre privilège, dont beaucoup sont spécifiques au cas d'utilisation.
Le point à noter est - dans près de 90% des comptes cloud que nous avons audités, il y avait beaucoup trop d'utilisateurs IAM qui avaient des privilèges d'administrateur qui n'étaient pas du tout nécessaires. Identifiez et réduisez ces autorisations, sinon vous vous rendez vulnérable.
Réflexions finales
Étant donné que de plus en plus d'organisations tirent parti du cloud public, il devient essentiel d'éduquer et d'informer sur les meilleures pratiques à appliquer lors de la configuration du cloud et, surtout, lors de la création de clés d'accès et de l'association de permissions aux utilisateurs IAM du cloud.
Suivez et appliquez TOUJOURS le principe du moindre privilège. Vous ne pourrez peut-être pas empêcher une violation, même si vous disposez de tous les derniers produits de sécurité, mais vous pouvez certainement faire preuve d'intelligence, minimiser les dommages et réduire votre fenêtre de détection des menaces.
N'oubliez pas que le cloud est sécurisé de par sa conception. Néanmoins, les clients du nuage doivent suivre les meilleures pratiques et adopter une bonne hygiène de sécurité. car VOUS êtes responsable de la sécurité de VOTRE infrastructure en nuage.
A propos de C3M
- Visibilité totale
- Prévention des erreurs de configuration
- Assurance de la conformité
- Réponse aux incidents
- Application du principe du moindre privilège
- Gouvernance des identités et des droits
- Quantifier la posture de risque
