El estudio se centra en los problemas de configuración incorrecta en las nubes de Google, Amazon y Microsoft

El informe de Qualys analiza cómo los problemas de configuración incorrecta en los proveedores de servicios en la nube pueden ayudar a los atacantes a obtener acceso.

Imagen: Artemisa Diana/Adobe Stock

Las configuraciones incorrectas de la nube (configuraciones de control defectuosas aplicadas a elementos de hardware y software en la nube) son vectores de amenazas que amplifican el riesgo de filtraciones de datos. Un nuevo informe de Travis Smith, vicepresidente de investigación de amenazas del proveedor de seguridad en la nube Qualys, revela los factores de riesgo para los tres principales proveedores de servicios en la nube.

Sobre el informe

Los investigadores de Qualys analizaron problemas de configuración incorrecta en Amazon Web Services, Microsoft Azure y Google Cloud Platform y descubrieron que en Azure, el 99 por ciento de los discos no estaban encriptados o no usaban claves administradas por el cliente para dar a los usuarios control sobre el cifrado, escribió Smith. proteger datos en aplicaciones de software como servicio.

El estudio examina las fallas en el cifrado, la gestión de identidades y accesos, y el monitoreo de activos externos, y examina el riesgo de acceso no autorizado debido a:

• La complejidad del entorno de la nube
• Falta de experiencia para mantenerse al día con la tecnología en evolución.
• Configuraciones y permisos inseguros debido a un error humano
• Despliegue rápido de implementaciones de seguridad comprometida
• Falta de control y visibilidad de los datos confidenciales o sin cifrar que residen en la nube debido a la naturaleza dinámica del entorno de la nube

Smith escribió que los contactos de la empresa encontraron que el 85 por ciento de las claves no rotaban, lo que significa que la rotación automática de claves no estaba habilitada. Amazon proporciona rotación automática de claves (generando nuevo material criptográfico) con un período clave de 365 días.

Qualys también informó que el 97,5 % de las máquinas virtuales críticas en entornos de GCP carecían de discos de máquinas virtuales cifrados con claves de cifrado proporcionadas por el cliente.

Salta a:

Gestión de identidad y acceso

Qualys descubrió que los tres proveedores principales tenían implementaciones deficientes de IAM:

• Autenticación multifactor: el 44 % de los usuarios de IAM con contraseñas de consola no tienen habilitado AWS. El 96% de las cuentas escaneadas por Qualys no tenían habilitado el analizador de acceso IAM.
• En Azure, los análisis para habilitar la autenticación y configurar certificados de cliente en Azure App Service fallan el 97 % de las veces.

Exponer activos externos de cubos S3 filtrados

Qualys señala que un error común que cometen los usuarios de las tres plataformas es exponer los datos públicamente:

• Qualys informa que el 31 % de los depósitos de S3 son de acceso público.
• Las configuraciones incorrectas que permiten el acceso a la red pública existen en el 75 % de las bases de datos de Azure.

mirar: ¿Qué es la seguridad en la nube?

El trabajo del Centro para la Seguridad en Internet proporciona información para la remediación

Las recomendaciones de la firma incluyen una revisión de la investigación del Centro para la Seguridad de Internet, incluido el trabajo en el que participó Qualys: Asignación de controles individuales a las políticas y técnicas de MITRE ATT&CK.

Debe leer el informe de seguridad

Qualys contribuyó al desarrollo de los puntos de referencia de CIS para AWS, Azure y GCP. Estos puntos de referencia ayudarán a proporcionar a los defensores información y contexto valiosos para priorizar mejor los cientos de controles de refuerzo disponibles en entornos de nube.

Qualys también analizó cómo las empresas implementan controles para fortalecer su postura de seguridad en la nube en las tres plataformas principales, y señaló que la escalada de privilegios (96,03 %), el acceso inicial (84,97 %) y el descubrimiento (84,97 %) tenían las tasas de aprobación más altas.

Los esfuerzos para contener los ataques temprano pueden ayudar a mejorar las consecuencias más dañinas más abajo en la cadena de muerte:

• La tasa de aprobación de influencia es solo 13.67%
• La tasa de fuga es solo del 3,70%.
• La tasa de utilización de las aplicaciones orientadas al público fue solo del 28,54 %.
• La tasa de utilización de los servicios remotos es solo del 17,92% y la tasa de fallas es alta.
• El secuestro de recursos solo superó el 22,83%.

Debido a que el malware de criptominería representa una amenaza para los entornos en la nube, las organizaciones deberían considerar mitigar dichos controles para reducir el riesgo organizacional en la nube, escribió Smith.

“La lección de estos puntos de datos es que casi todas las organizaciones necesitan hacer un mejor trabajo de monitoreo de las configuraciones de la nube”, dijo Smith, y agregó que AWS tuvo una tasa de fallas del 34 % para los escaneos de control de CIS, 57 % para Microsoft Azure y 57 % para BPC 60% (Figura A).

Figura A

Tasas de falla promedio de referencia de CIS para AWS, Azure y GCP. Imagen: Calidad.

«Incluso si cree que la configuración de su nube está bien, los datos nos dicen que no confirmar el estado con regularidad es una opción arriesgada. Escanee la configuración con frecuencia y asegúrese de que la configuración sea correcta. Solo se necesita un paso en falso para abrir accidentalmente la nube de su organización para atacantes”, escribió Smith.