Un serviciu cloud sigur are nevoie și de conturi bine protejate
Porniți de la atacurile asupra conturilor Snowflake pentru a verifica accesul firmei: MFA obligatorie, conturi automate, limite de rețea și responsabili.
De 
Paul. Afaceri cu software
O firmă poate cumpăra un serviciu cloud administrat atent și poate lăsa, totuși, propriul cont ușor de accesat. La achiziție contează dacă firma a impus regulile de acces, inclusiv pentru excepțiile necesare operațiilor automate. Mențiunea „MFA disponibilă” nu dovedește că oamenii care au acces la date trebuie să folosească autentificarea cu mai mulți factori.
Atacurile din 2024 asupra conturilor clienților Snowflake arată concret această diferență. Ele nu demonstrează că orice incident cloud începe de la contul clientului sau că aceeași măsură de securitate este mereu investiția potrivită. Oferă însă unui administrator de firmă un motiv să verifice accesul în serviciile pe care le plătește deja.
Ce a stabilit investigația
În raportul din 10 iunie 2024, Mandiant a atribuit incidentele investigate în această campanie unor date de autentificare furate de la clienți. Compania a declarat că nu găsise dovezi potrivit cărora accesul neautorizat ar fi provenit din compromiterea infrastructurii interne Snowflake. Este constatarea unei investigații cu un domeniu precis, nu dovada că serviciul nu ar putea avea vreodată vulnerabilități.
Mandiant a identificat drept factori favorizanți lipsa MFA, datele de autentificare furate care încă erau valabile și lipsa restricțiilor pentru rețelele permise. Unele expuneri ale datelor de autentificare datau din 2020. Aceste informații provin din investigația ulterioară; nu trebuie prezentate ca fapte deja stabilite la primele relatări de la sfârșitul lunii mai.
Centrul canadian pentru securitate cibernetică a recomandat MFA și întărirea protecției conturilor la 12 iunie 2024. Alerta oferă recomandări de reducere a riscului, nu concluzii ale unei investigații independente pentru fiecare cont afectat.
Pentru o firmă, contează că accesul furat poate rămâne utilizabil mult timp. O parolă poate continua să funcționeze după eliminarea programului care a sustras-o. Curățarea calculatorului nu revocă o parolă deja copiată în altă parte. Răspunsul trebuie să cuprindă și conturile accesate de pe acel dispozitiv.
Porniți de la date și identificați conturile
Începeți inventarul cu serviciile care păstrează date despre clienți, documente financiare sau informații confidențiale ale afacerii. Includeți exporturile și copiile de siguranță. Un cont folosit pentru rapoarte poate permite accesul la aceleași informații ca un cont de administrator, chiar dacă are altă denumire.
Pentru fiecare serviciu, notați responsabilul din firmă, persoana care poate modifica accesul, conturile oamenilor și identitățile folosite de programe. Stabiliți dacă organizația controlează abonamentul și adresa de recuperare. Un serviciu cumpărat pe contul personal al unui angajat poate deveni greu de recuperat și fără intervenția unui atacator.
Separați apoi disponibilitatea unei funcții de aplicarea ei obligatorie. Cereți dovezi că autentificarea obișnuită solicită al doilea factor prevăzut și că excepțiile sunt cunoscute. Cineva trebuie să examineze și recuperarea conturilor, precum și căile alternative de acces. O regulă impusă pe pagina principală ajută puțin dacă altă cale acceptă doar parola.
Aceasta este o metodă propusă de verificare. Nu presupune că toate produsele oferă aceleași setări. Funcțiile și nivelurile abonamentelor diferă. Dacă regulile nu pot fi impuse, consemnați lipsa și decideți dacă datele respective ar trebui să rămână în acel serviciu.
Accesul automat are nevoie de reguli proprii
Un import nocturn nu poate răspunde unei solicitări de autentificare adresate unui om. Dacă tratați toate conturile tehnice ca pe conturi de angajat, riscați fie să opriți operațiile automate, fie să creați excepții permanente pe care nimeni nu le mai verifică.
Aflați ce metode de autentificare pentru programe acceptă serviciul. Preferați o identitate separată pentru fiecare integrare, cu acces numai la înregistrările și operațiile necesare. Unde serviciul permite și situația justifică, folosiți date de autentificare cu durată scurtă sau identități atribuite aplicațiilor în infrastructură. În celelalte cazuri, stabiliți cum păstrați, înlocuiți și revocați cheile. Importantă este o regulă explicită, cu un responsabil.
Restricțiile de rețea pot adăuga o barieră când cererile vin din locuri previzibile. Trebuie însă prevăzut accesul legitim de la distanță și cel al integrărilor ale căror adrese se schimbă. O rețea aprobată nu garantează că fiecare cerere este inofensivă. Restricția reduce punctele de intrare, fără să înlocuiască verificarea identității.
Când întrebați ce identitate automată poate exporta baza de date a clienților, ar trebui să primiți un răspuns precis. „Contul integrării” nu ajunge dacă mai multe sisteme îl împart și nimeni nu-l poate revoca în siguranță.
Pregătiți recuperarea accesului
MFA aduce și o problemă de recuperare care cere o soluție deliberată. Pierderea telefonului, absența unui angajat sau indisponibilitatea serviciului de identitate pot opri lucrul legitim. Stabiliți cine aprobă recuperarea, cum îi verificați identitatea și cum înregistrați accesul de urgență. Datele folosite în asemenea situații trebuie păstrate după o procedură verificată separat.
Ca exercițiu de acceptare, puteți verifica autentificarea unui utilizator obișnuit, o cale de recuperare și permisiunile unei integrări într-un mediu sigur, agreat în prealabil. Confirmați că dezactivarea contului oprește efectiv accesul pe căile folosite, inclusiv prin sesiunile existente, unde este cazul. Agreați aceste verificări cu persoanele responsabile de serviciu înainte de a le executa.
Vechimea parolei nu trebuie să devină singurul criteriu. O parolă nouă folosită pe un calculator infectat poate fi deja furată. Un secret mai vechi, necompromis, nu este automat problema cea mai urgentă. Căutați întâi expunerile cunoscute, drepturile excesive și conturile fără un titular legitim.
Obiecția firească privește timpul oamenilor
O firmă mică poate obiecta, justificat, că verificarea tuturor conturilor ia timp din vânzări și din lucrul cu clienții. Unele servicii rezervă administrarea centralizată abonamentelor mai scumpe. Un program aplicat fără priorități poate costa mai mult decât justifică riscul imediat.
Începeți cu accesul care permite plăți, exporturi de date sensibile sau modificarea permisiunilor altor persoane. Eliminați conturile abandonate înainte să cumpărați un alt instrument de securitate. Programați restul muncii după informațiile expuse și faceți excepțiile vizibile persoanei care le acceptă.
MFA nu oprește orice atac. Furtul sesiunilor, aprobările obținute prin înșelăciune și dispozitivele compromise cer măsuri suplimentare. Concluzia este mai restrânsă: acolo unde o parolă reutilizabilă permite accesul la date valoroase, închiderea acestei căi este o sarcină concretă, cu rezultat observabil.
Includeți responsabilitatea pentru acces în mentenanța software. Cereți un inventar actualizat, excepții documentate și o procedură de recuperare aplicabilă. Reputația furnizorului nu poate înlocui cunoașterea persoanelor care pot intra astăzi în contul firmei.