Überprüfen Sie Ihre Amazon S3-Berechtigungen. Jemand wird es tun.

Fast alle großen Unternehmen nutzen die Cloud, um Server, Dienste oder Daten zu hosten. Cloud-gehosteter Speicher, wie Amazons S3, bietet betriebliche Vorteile gegenüber herkömmlichem Computing, da Ressourcen automatisch auf robuste und geografisch unterschiedliche Server verteilt werden können. Die Cloud ist jedoch Teil des Internets, und ohne die richtige Pflege verschwindet die Trennlinie zwischen den beiden vollständig in Cloud-Lecks - ein großes Problem, wenn es um sensible Informationen geht.

Hintergrund

Obwohl die Simple Storage Service (S3)-Speichereimer von Amazon standardmäßig privat sind, sind sie berüchtigt dafür, dass sie der Öffentlichkeit nicht zugänglich gemacht werden, selbst von einigen der größten Unternehmen der Welt. Dies kann zu einer massiven Datenschutzverletzung führen, wenn der Bucket eine Unternehmensdatenbank, eine Kundenliste oder eine andere große Sammlung sensibler Informationen enthält. Und das hat es. Die Forscher von UpGuard fanden eine Reihe massiver Gefährdungen unter den öffentlich zugänglichen Amazon S3-Buckets. Obwohl die Fehlkonfiguration der Cloud selbst, eine einfache Berechtigung, recht klein ist, können ihre Auswirkungen katastrophal sein.

Automatisches Validieren von S3-Konfigurationen

Warum passiert das immer wieder? Weil Organisationen S3-Buckets erstellen, die Standardberechtigungen ändern und später Daten in sie ablegen, ohne zuvor ihre Konfigurationen zu validieren. Dies geschieht aus mehreren Gründen: Die S3-Instanz sollte temporär sein, der Administrator hat vergessen, den öffentlichen Zugriff zu schließen, der Bucket wurde programmgesteuert geöffnet und das Skript hat nicht die richtigen Berechtigungen festgelegt - viele Prozesse führen zu einer potenziellen Überwachung. Der Schlüssel ist, dass S3-Buckets, genau wie Server und Netzwerkgeräte, validiert werden müssen, um sicherzustellen, dass sie gehärtet sind. Dieser entscheidende Schritt schafft das nötige Vertrauen, um sensible Unternehmensdaten in der Cloud zu speichern.

UpGuard unterstützt Amazon S3-Knoten vollständig und überprüft automatisch öffentliche Berechtigungen, um sicherzustellen, dass sie geschlossen sind. Diese einfache, aber wichtige Überprüfung könnte den Unterschied zwischen der Durchführung gelegentlicher Routinewartungen und dem Umgang mit einer schwerwiegenden Datenschutzverletzung auf der Titelseite der Nachrichten ausmachen. UpGuard validiert die öffentlichen Berechtigungen für jeden S3-Bucket, der als Knoten hinzugefügt wird, nicht nur einmal bei der Bereitstellung, sondern kontinuierlich und automatisch und benachrichtigt Sie nur, wenn etwas offen bleibt. Wir hören viel über 0-Day-Exploit-Prävention, fortschrittliche Intrusion Defense und andere hochmoderne Cybersicherheitstechnologien, aber allein die Sicherstellung, dass S3-Instanzen für die Öffentlichkeit sicher sind, würde wahrscheinlich mehr Sicherheitsverletzungen verhindern als alle zusammen.

AWS-Verfahren

Mit UpGuard-Verfahren kann eine gründliche Validierung von AWS-Servern einfach definiert und automatisiert werden, wodurch gehärtete Konfigurationen wie geschlossene S3-Berechtigungen sichergestellt werden und, was noch wichtiger ist, Fehlkonfigurationen sofort aufgedeckt werden, damit Teams sie korrigieren können, bevor ein Sicherheitsforscher - oder jemand anderes - darüber stolpert.

Unser UpGuard-Verfahren kann S3-Buckets und EC2-Konfigurationen für AWS validieren, daher stellen wir einige Schritte zusammen, um beides zu tun und die gesamte Oberfläche unserer AWS-Präsenz zu validieren.

1. Testen Sie den öffentlichen Zugriff von S3

In unserem ersten Schritt werden alle Amazon S3-Buckets validiert, die mit unserer Organisation verknüpft sind. Wir möchten in erster Linie sicherstellen, dass der öffentliche Zugriff deaktiviert ist, daher richten wir Überprüfungen für die Gruppen AllUsers und AuthenticatedUsers ein, die diesen Zugriff gewähren. Wenn eine S3-Instanz eine der beiden Gruppen zulässt, besteht sie den Test nicht und wir erhalten eine Benachrichtigung.

2. Testen von EC2-Gruppen

Als Nächstes möchten wir die Sicherheitsgruppen unserer EC2-Server überprüfen und sicherstellen, dass sie unseren Unternehmensrichtlinien entsprechen. Wir sollten dem Prinzip der geringsten Rechte folgen, d.h. die administrativen Rechte sollten minimal verteilt sein, mit kontinuierlicher Überprüfung, dass anderen Konten kein Administratorzugriff gewährt wurde. Ebenso sollte der öffentliche Zugang auf die notwendigen Ports beschränkt werden, z. B. 443 und 80 für das Web.

3. Testen von Asset-Konfigurationen

Als letzter Schritt des Verfahrens untersucht UpGuard die Assets selbst und sucht nach offenen Ports, unsicheren Standardkonfigurationen, unnötigen Diensten und Programmen, Patches und Softwareversionen, bekannten Schwachstellen und anderen kritischen Informationen. UpGuard erfasst auch AWS-Metadaten, sodass Sie auch AWS-spezifische Einstellungen, einschließlich AWS-Berechtigungen, überprüfen können. Indem wir die Server an Branchen-Benchmarks wie den kritischen Sicherheitskontrollen des Center for Internet Security messen, können wir alles absichern, was später als Standbein verwendet werden könnte.

Schlussfolgerung

Der Cloud-Speicher von Amazon bietet einen großen Mehrwert für digitale Unternehmen, birgt aber auch eine Reihe besonderer Risiken, die zu ernsthaften Geschäftsproblemen führen können, wenn sie nicht eingedämmt werden. Das Problem der ungesicherten S3-Buckets gewinnt jeden Tag an Bedeutung, da in den Nachrichten über die Arten sensibler Unternehmensinformationen berichtet wird, die darin unbeaufsichtigt bleiben. Die Cyber-Resilienz-Plattform von UpGuard validiert S3-Konfigurationen speziell für öffentliche Berechtigungen, kann dies aber vor allem als Teil eines größeren Verfahrens tun, das die gesamte AWS-Infrastruktur validiert.

Cyber Resilience bedeutet, Sicherheit in den Arbeitsalltag des IT-Betriebs zu integrieren. Automatisierte Prozesse, wie unser Beispiel der AWS-Wartung mit UpGuard, mindern das Cyberrisiko durch kontinuierliche Validierung. Die wenigen extrem ausgeklügelten Cyberangriffe mögen gelegentlich erfolgreich sein, aber die überwiegende Mehrheit aller Angriffe kann durch einen widerstandsfähigen Betrieb abgewehrt werden. In Unternehmen sind in der Regel Kundendaten gefährdet, und es sind die Kunden, die den Preis zahlen, wenn diese Daten kompromittiert werden. Um das Vertrauen der Kunden zu erhalten, müssen Unternehmen als Verwalter ihrer Daten Verantwortung übernehmen und alles in ihrer Macht Stehende tun, um sie zu schützen.