0 
0 As empresas e seus provedores de nuvem geralmente deixam vulnerabilidades abertas em seus sistemas e serviços, oferecendo aos invasores um caminho fácil para obter acesso a dados críticos.
De acordo com uma análise da Orca Security de dados coletados dos principais serviços de nuvem e divulgados em 13 de setembro, os invasores precisam apenas, em média, de três etapas para obter acesso a dados confidenciais, as chamadas “joias da coroa”, começando com mais frequência – em 78% dos casos — com a exploração de uma vulnerabilidade conhecida.
Embora grande parte da discussão sobre segurança tenha se concentrado nas configurações incorretas dos recursos de nuvem pelas empresas, os provedores de nuvem geralmente demoram a conectar vulnerabilidades, diz Avi Shua, CEO e cofundador da Orca Security.
“A chave é corrigir as causas-raiz, que é o vetor inicial, e aumentar o número de etapas que o invasor precisa dar”, diz ele. “Controles de segurança adequados podem garantir que, mesmo que haja um vetor de ataque inicial, você ainda não consiga alcançar as joias da coroa”.
O relatório analisou dados da equipe de pesquisa de segurança da Orca usando dados de “bilhões de ativos de nuvem na AWS, Azure e Google Cloud”, que os clientes da empresa verificam regularmente. Os dados incluíam dados de configuração e carga de trabalho na nuvem, dados de ambiente e informações sobre ativos coletados no primeiro semestre de 2022.
Vulnerabilidades não corrigidas causam a maioria dos riscos na nuvem
A análise identificou alguns problemas principais com arquiteturas nativas de nuvem. Em média, 11% dos ativos de nuvem dos provedores de nuvem e de seus clientes foram considerados “negligenciados”, definidos como não tendo sido corrigidos nos últimos 180 dias. Contêineres e máquinas virtuais, que compõem os componentes mais comuns dessa infraestrutura, foram responsáveis por mais de 89% dos ativos de nuvem negligenciados.
“Há espaço para melhorias em ambos os lados do modelo de responsabilidade compartilhada”, diz Shua. “Os críticos sempre se concentraram no lado do cliente da casa [para correção], mas nos últimos anos, houve alguns problemas no lado do provedor de nuvem que não foram corrigidos em tempo hábil.”
Na verdade, corrigir vulnerabilidades pode ser o problema mais crítico, porque o contêiner, a imagem e a máquina virtual médios tinham pelo menos 50 vulnerabilidades conhecidas. Cerca de três quartos – 78% – dos ataques começam com a exploração de uma vulnerabilidade conhecida, afirmou a Orca no relatório. Além disso, um décimo de todas as empresas possui um ativo de nuvem usando software com vulnerabilidade de pelo menos 10 anos.
No entanto, a dívida de segurança causada por vulnerabilidades não é distribuída uniformemente em todos os ativos, segundo o relatório. Mais de dois terços — 68% — das vulnerabilidades do Log4j foram encontrados em máquinas virtuais. No entanto, apenas 5% dos ativos de carga de trabalho ainda têm pelo menos uma das vulnerabilidades do Log4j, e apenas 10,5% delas podem ser direcionadas da Internet.
Problemas do lado do cliente
Outro grande problema é que um terço das empresas tem uma conta root com um provedor de nuvem que não é protegido por autenticação multifator (MFA). Cinquenta e oito por cento das empresas desabilitaram a MFA para pelo menos uma conta de usuário privilegiado, de acordo com os dados da Orca. Deixar de fornecer a segurança adicional da MFA deixa os sistemas e serviços abertos a ataques de força bruta e pulverização de senhas.
Além dos 33% das empresas sem proteções MFA para contas root, 12% das empresas têm uma carga de trabalho acessível pela Internet com pelo menos uma senha fraca ou vazada, afirmou a Orca em seu relatório.
As empresas devem procurar aplicar a MFA em toda a organização (especialmente para contas privilegiadas), avaliar e corrigir vulnerabilidades mais rapidamente e encontrar maneiras de desacelerar os invasores, diz Shua.
“A chave é corrigir as causas-raiz, que é o vetor inicial, e aumentar o número de passos que o invasor precisa dar”, diz ele. “Os controles de segurança adequados podem garantir que, mesmo que o invasor tenha sucesso com o vetor de ataque inicial, ele ainda não consiga alcançar as joias da coroa”.
No geral, tanto os provedores de nuvem quanto seus clientes de negócios têm problemas de segurança que precisam ser identificados e corrigidos, e ambos precisam encontrar maneiras de resolver esses problemas com mais eficiência, acrescenta; visibilidade e controles de segurança consistentes em todos os aspectos da infraestrutura em nuvem são fundamentais.
“Não é que seus muros não sejam altos o suficiente”, diz Shua. “É que eles não estão cobrindo todo o castelo.”
FONTE: DARK READING