Bezpečnost cloudu a přístupových údajů

Proč je bezpečnost složitější ve více cloudových prostředích?

Více cloudových prostředí zvyšuje riziko hlavně tím, že se v každém z nich jinak nastavují práva, šifrování a provozní odpovědnosti.

Proč nestačí kontrolovat cloudové nastavení ručně až před nasazením?

Cloudová bezpečnost musí být co nejvíce automatizovaná a zapojená do práce vývojářů, protože ruční kontrola při tlaku na rychlé nasazení selhává.

Jak se může chyba v devopsovém vývoji rychle rozšířit?

V devopsovém vývoji se bezpečnostní chyba může šířit přes repozitáře, komponenty a automatizované CI/CD procesy, kde jeden uniklý token může otevřít přístup k dalším citlivým údajům.

Chrání firmu password manager a vícefaktorové ověření vždy dostatečně?

Password manager ani vícefaktorové ověření samy o sobě nechrání firmu, pokud malware běží přímo na zařízení uživatele.

Proč jsou odcizené cookies a tokeny tak nebezpečné?

Krádež autentizačních cookies a tokenů umožňuje obejít vícefaktorové ověření bez znalosti hesla.

Proč může být použití odcizeného tokenu těžké odhalit?

Krádež přihlašovacích tokenů ztěžuje detekci, protože útočník může v záznamech vypadat jako běžný uživatel.

Přechod do více cloudů zvyšuje bezpečnostní riziko hlavně tím, že se v každém prostředí jinak nastavují práva, šifrování a odpovědnost za provoz.

V prezentaci byla většina cloudových incidentů spojena s lidským faktorem a administrací, protože architektura, technologie i rozdělení odpovědnosti se v cloudu liší od on-premise prostředí.

„Je to jiná architektura, jiné technologie, úplně jiný životní cyklus. Ovládání a hlavně nastavování bezpečnosti se liší podle toho, v jakém cloudu aplikaci provozujeme. Je tam i jiné rozdělení odpovědnosti a většina incidentů byla vinou lidského faktoru, hlavně administrace.“

CIO Agenda 2024 Hrozby a rizika v moderních aplikacích, v cloudovém a kontejnerovém prostředí Ivan Svoboda, ANECT; Miloslav Lujka, Check Point

V devopsovém vývoji se bezpečnostní chyba může šířit rychleji, protože aplikace vznikají z repozitářů, komponent a automatizovaných CI/CD procesů.

U příkladu Mercedes-Benz získal etický hacker přes autentizační token uniklý na GitHubu přístup k enterprise serveru, zdrojovým kódům, klíčům a dalším citlivým údajům.

„Byznys tlačí na vývojáře, aby aplikaci rychle dostali ven. Pak se ale mohou objevit natvrdo zakódované credentials a někdo je najde na GitHubu a snadno se dovnitř dostane.“

CIO Agenda 2024 Hrozby a rizika v moderních aplikacích, v cloudovém a kontejnerovém prostředí Ivan Svoboda, ANECT; Miloslav Lujka, Check Point

Cloudová bezpečnost musí být co nejvíce automatizovaná a zapojená do práce vývojářů, protože ruční kontrola v konzolích při tlaku na rychlé nasazení selhává.

Cloud přesouvá část odpovědnosti za správné nastavení bezpečnosti na vývojáře, kteří zároveň pracují pod tlakem rychlého uvedení aplikací na trh.

„Problém je, že cloud všechno urychluje a zlepšuje, ale dostává bezpečnost až na úroveň vývojářů, kteří mají být zodpovědní za to, že je vše správně nastavené. Ne každý to ale dokáže kontrolovat; cloudový svět je strašně velký a široký.“

CIO Agenda 2024 Hrozby a rizika v moderních aplikacích, v cloudovém a kontejnerovém prostředí Ivan Svoboda, ANECT; Miloslav Lujka, Check Point

I dostupné bezpečnostní funkce v cloudu zůstávají rizikem, pokud nejsou zapnuté nebo jsou špatně nastavené.

Mezi častými chybnými konfiguracemi byly uvedeny nezapnuté dostupné bezpečnostní funkce a špatně nasazené šifrování.

„Nejčastější špatné konfigurace jsou otázka, kde to běží a jak dobře tam vidíte. Často nejsou nasazené ani funkce, které jsou k dispozici zdarma; druhým problémem je špatně nasazené šifrování.“

CIO Agenda 2024 Hrozby a rizika v moderních aplikacích, v cloudovém a kontejnerovém prostředí Ivan Svoboda, ANECT; Miloslav Lujka, Check Point

Password manager ani vícefaktorové ověření samy o sobě nechrání firmu, pokud malware běží přímo na zařízení uživatele.

Infostealery umějí podle ukázky získávat data z password managerů, clipboardu, autentizačních cookies, screenshotů nebo keyloggeru a mohou si vynutit autentizaci uživatele.

„Tenhle software může s počítačem interagovat velmi intenzivně. Pokud máte password manager – a je jedno jaký – dnešní stealery jsou napsané tak, že umějí vykrádat i password managery. Nebo spustí interaktivní keylogger, vynutí autentizaci a vykrádají clipboard. I když máte bezpečný password manager chráněný vícefaktorovým zabezpečením, útočník je schopen z něj získat přístupové údaje.“

CIO Agenda 2025 „Máme přístupy do vaší firmy a nic za ně nechceme… zatím“ Daniel Hejda, Cyber Rangers

Krádež autentizačních cookies a tokenů umožňuje obejít vícefaktorové ověření bez znalosti hesla.

Útočník může nahrát získaný token do svého prohlížeče a vystupovat jako konkrétní uživatel u služeb, které tento typ relace podporují.

„V tu chvíli útočník získává tokeny, které mají po určitou dobu platnost. Může tento textový řetězec nahrát do svého internetového prohlížeče a stát se konkrétním člověkem. Problém je, že nejen Microsoftí služby, ale i řada dalších aplikací s multifaktorovým zabezpečením umožňuje tento způsob zneužití cookies.“

CIO Agenda 2025 „Máme přístupy do vaší firmy a nic za ně nechceme… zatím“ Daniel Hejda, Cyber Rangers

Krádež přihlašovacích tokenů ztěžuje detekci, protože útočník může v záznamech vypadat jako běžný uživatel.

U odcizeného tokenu zůstávají informace z původního přihlášení, například lokalita, IP adresa a zařízení, takže použití tokenu může v logu vypadat stejně jako legitimní aktivita uživatele.

„Problém je, že krádež tokenu je velice těžké zachytit. Token v sobě obsahuje informace z prvního přihlášení – lokaci, IP adresu i použité zařízení – a útočník ho jen použije. Vypadá to, že útočník je uživatel, a v logu to vypadá úplně stejně.“

CIO Agenda 2025 „SOC a jak vytěžit jeho potenciál na maximum“ Lucie Jahnová; Pavel Hrabec