Kaspersky: Testele tradiţionale de securitate pot rata vulnerabilităţi critice în infrastructurile cloud

Testele tradiţionale de securitate a infrastructurilor cloud pot rata vulnerabilităţi de izolare care le pot permite atacatorilor să treacă de la compromiterea unui singur cont sau a unui singur container al unui client la accesarea tuturor sistemelor interne ale furnizorului şi la afectarea datelor altor clienţi, potrivit unui comunicat transmis redacţiei de compania Kaspersky. Pentru a identifica aceste riscuri, compania a dezvoltat o nouă metodologie de testare a penetrării atacurilor cibernetice, care verifică limitele de securitate dintre mediile clienţilor, sistemele de administrare şi infrastructura fizică a furnizorilor de infrastructură cloud. Noua metodologie Kaspersky mută accentul de la verificările de suprafaţă către testarea riguroasă a „graniţelor de încredere” interne, menite să prevină compromiterea conturilor care aparţin unor clienţi diferiţi, iar informaţii detaliate sunt disponibile într-un nou raport, precizează specialiştii companiei.

Testele tradiţionale de penetrare se limitează frecvent la consolele web externe şi la interfeţele API publice, însă cercetarea Kaspersky demonstrează că obţinerea posibilităţii de executare a unui cod de la distanţă, în interiorul unui container izolat al unui client, reprezintă rareori obiectivul final al unui atacator, arată reprezentanţii Kaspersky. În lipsa unor controale stricte de izolare, un atacator poate exploata o breşă iniţială pentru a pătrunde în zone rezervate personalului, prin furtul identităţilor angajaţilor furnizorului, sub forma tokenurilor IAM (Identity and Access Management), prin accesarea fluxurilor centralizate de backup sau până la datele private ale altor clienţi.

Pentru a evalua sistematic aceste căi ascunse, Kaspersky clasifică platformele cloud în trei niveluri operaţionale: External (extern), care cuprinde portalul public şi interfeţele API, Overlay (suprapus), ce include mediile interne de execuţie a serviciilor, instrumentele de administrare şi fluxurile operaţionale ale furnizorului, şi Underlay (de infrastructură), format din echipamentele fizice, hypervisor-ele şi reţelele de stocare, explică specialiştii companiei. Prin analiza modului în care conexiunile de reţea, identităţile şi comenzile circulă între aceste niveluri, cadrul metodologic le permite echipelor de securitate să testeze vectori de atac critici, precum deturnarea tokenurilor de serviciu, deplasarea laterală în reţelele furnizorului şi evadarea din maşinile virtuale către hardware-ul fizic al gazdelor.

Pe baza concluziilor cercetării, Kaspersky le recomandă furnizorilor de servicii cloud şi arhitecţilor de sisteme IT din companii să adopte trei direcţii principale de protecţie. Astfel, compania indică verificarea izolării în mediile multi-tenant, prin efectuarea unor teste de penetrare specifice, concepute pentru o încercare explicită de deplasare între workload-urile diferiţilor clienţi şi nivelurile de administrare ale furnizorului, precum şi aplicarea unor limite stricte pentru IAM, prin restrângerea domeniului de utilizare, a duratei de valabilitate şi a permisiunilor tokenurilor de serviciu folosite de procesele care rulează în fundal şi de sarcinile automate de administrare, pentru prevenirea furtului de identitate. Totodată, specialiştii Kaspersky recomandă izolarea serviciilor de infrastructură partajate, prin asigurarea unei separări logice şi criptografice stricte între clienţii individuali în cadrul serviciilor centralizate de înregistrare a evenimentelor (logging), telemetrie şi backup.