0 
0 Uma série de nomes conhecidos ultimamente tem sido responsável por baldes de armazenamento em nuvem mal configurados transbordando de dados abertos – mais uma vez lançando luz sobre um problema de segurança cibernética para o qual aparentemente não há plugue.
Na semana passada, o pesquisador de segurança Anurag Sen revelou que um servidor da Amazon expôs dados sobre os hábitos de visualização dos membros do Amazon Prime . Durante o mesmo período, o conglomerado de notícias e mídia Thomson Reuters reconheceu que três servidores mal configurados haviam exposto 3 TB de dados por meio de bancos de dados ElasticSearch voltados para o público, de acordo com a Cybernews, que revelou os problemas .
E em meados de outubro, a Microsoft reconheceu que deixou aberto um endpoint de nuvem mal configurado que poderia expor dados de clientes, como nomes, endereços de e-mail, conteúdo de e-mail e números de telefone.
“O problema foi causado por uma configuração incorreta não intencional em um endpoint que não está em uso no ecossistema da Microsoft e não foi resultado de uma vulnerabilidade de segurança”, disse a Microsoft em seu comunicado sobre o servidor mal configurado . “Estamos trabalhando para melhorar nossos processos para evitar ainda mais esse tipo de configuração incorreta e realizando diligências adicionais para investigar e garantir a segurança de todos os endpoints da Microsoft”.
E, de fato, os vazamentos são causados por uma variedade de configurações incorretas, e não por bugs – desde permissões de leitura e gravação inseguras a listas de acesso impróprias e políticas mal configuradas – todos os quais podem permitir que os agentes de ameaças acessem, copiem e possivelmente alterem informações confidenciais dados de armazenamentos de dados acessíveis.
“A principal preocupação com esse tipo de vazamento é o alto impacto, e é por isso que os agentes de ameaças vão atrás de armazenamento [servidores] e buckets mal configurados”, diz Ensar Şeker, CISO da SOCRadar, a empresa de segurança cibernética que descobriu o problema da Microsoft. “Uma vez que eles descobrem [os dados acessíveis], o bucket pode conter grandes quantidades de dados confidenciais para um inquilino [ou] vários inquilinos.”
O impacto na segurança do armazenamento mal configurado não é um problema novo. O problema é classificado regularmente entre os 10 principais problemas de segurança incluídos na popular lista de segurança Top 10 do Open Web Applications Security Project (OWASP). Em 2021, Security Misconfiguration ficou em 5º lugar , acima do 6º lugar em 2017. O “Relatório de Investigações de Violação de Dados”, publicado pela Verizon Business, também observa o impacto desproporcional do armazenamento em nuvem mal configurado: erros humanos foram responsáveis por 13% de todas as violações em 2021 , com relatório observando que a configuração incorreta “influenciou fortemente” o resultado
Servidores não autorizados: um problema de segurança na nuvem invisível
No geral, 81% das organizações sofreram um incidente de segurança relacionado a seus serviços em nuvem nos últimos 12 meses, com quase metade (45%) sofrendo pelo menos quatro incidentes, de acordo com a Venafi. O aumento da complexidade da infraestrutura híbrida e baseada em nuvem, juntamente com a falta de visibilidade dessa infraestrutura, causou o aumento de incidentes, diz Sitaram Iyer, diretor sênior de soluções nativas de nuvem da Venafi.
“Sim, o armazenamento em nuvem mal configurado é uma das principais razões para vazamentos de dados – acredito que isso seja uma tendência”, diz ele. “O aumento dessa tendência é mais frequentemente devido a configurações incorretas relacionadas aos controles de acesso: embora apenas usuários autorizados precisem ter acesso ao armazenamento em nuvem, um simples erro na configuração geralmente permite que [qualquer] usuário autenticado obtenha acesso.”
No entanto, muitas vezes a configuração incorreta não é o pecado original – em vez disso, um trabalhador ou desenvolvedor implantará um servidor “sombra”, um contêiner ou bucket de armazenamento desconhecido pelo departamento de tecnologia da informação e, portanto, não gerenciado pela empresa. Dados “sombra” – armazenados em ambientes de teste de bancos de dados clonados, backups não gerenciados e pipelines de análise de dados – são a principal ameaça, diz Amit Shaked, CEO e cofundador da Laminar, uma plataforma de segurança de dados em nuvem.
“Por ser desconhecido, corre um risco extra de exposição, o que o torna um alvo popular para os adversários”, diz ele
Melhor automação de DevOps pode ajudar
As empresas devem monitorar regularmente seus ativos de nuvem para detectar quando um armazenamento de dados ou bucket de armazenamento pode ter sido exposto à Internet pública. Além disso, ao implantar o armazenamento em nuvem, o uso de arquivos de configuração de infraestrutura como código (IaC) não apenas automatiza as implantações, mas ajuda a eliminar erros, segundo dados da Snyk, fabricante de serviços de segurança para a cadeia de suprimentos de software.
A adoção do IaC reduz as configurações incorretas da nuvem em 70%, de acordo com a empresa.
“Quando o IaC não está sendo usado, ou quando as configurações incorretas de tempo de execução não podem ser vinculadas aos modelos de IaC que foram usados para criar e gerenciar um ambiente, é comum que a mesma vulnerabilidade apareça repetidamente após a correção”, Manoj Nair, diretor de produtos da Snyk, em comunicado enviado à Dark Reading.
Parte do problema continua sendo a divisão de responsabilidades entre os provedores de nuvem e os clientes empresariais. Embora a responsabilidade pela configuração de ativos de nuvem seja do cliente, o serviço de nuvem deve facilitar ao máximo a configuração adequada de um ativo de nuvem, diz Iyer, da Venafi.
“O princípio de privilégio mínimo deve ser adotado para todos os aspectos dos dados”, diz ele. “O acesso aos dados deve ser fornecido conforme necessário, com controles adequados e políticas de autorização que os vinculam a um usuário ou conta de serviço específico, e o registro adequado de acesso e notificações deve ser implementado”.
FONTE: DARK READING