Was sind Cloud-Leaks?

Es scheint, als gäbe es jeden Tag einen neuen Vorfall, bei dem Kundendaten offengelegt werden. Kreditkarten- und Bankkontonummern; Krankenakten; Persönlich identifizierbare Informationen (PII) wie Adresse, Telefonnummer oder SSN - fast jeder Aspekt der sozialen Interaktion hat ein informationelles Gegenstück, und der soziale Zugang, den diese Informationen Dritten bieten, gibt vielen Menschen das Gefühl, dass ihre Privatsphäre stark verletzt wurde, wenn sie offengelegt wird.

Es gibt mehrere Wege, auf denen diese Exposition erfolgt, aber die Namen, die zur Beschreibung verwendet werden, werden oft willkürlich vertauscht, wodurch ein großes, aber nuanciertes Problem verwischt wird. Sicherheitsverletzungen, Hacks, Lecks, Angriffe - das sind nur einige der Begriffe, die verwendet werden, um Vorfälle mit Datenoffenlegung zu beschreiben. Aber was bedeuten sie?

Angriff - Ein Angriff ist ein gezielter Versuch, mit technischen oder sozialen Mitteln Schäden oder Verluste zu verursachen. Angriffe führen nicht zwangsläufig zu Datenschutzverletzungen. Denial-of-Service-Angriffe stören beispielsweise den normalen Betrieb, geben aber keine Informationen preis.
Sicherheitsverletzung - Ein erfolgreicher Angriff konnte vertrauliche Informationen sichern.
Hack - Ein Angriff, bei dem technische Schwachstellen ausgenutzt werden, um den Zugriff zu sichern, der ansonsten nicht autorisiert ist. Kann zu einer Sicherheitsverletzung führen, kann aber auch für Ransomware (wie WannaCry), die Einrichtung von Botnets oder den Missbrauch von Computerressourcen verwendet werden.
Leck - Ein Leck erfordert keinen externen Akteur, sondern wird durch eine Handlung oder Untätigkeit der Partei verursacht, der die Daten gehören.

Hier gibt es so etwas wie ein Spektrum. Zum Beispiel ist ein über das Internet zugänglicher Datenbankserver mit einem Standard-Administratorkennwort fast eine offene Tür, erfordert aber einen informierten Versuch, um verwendet zu werden. Von diesen vier Begriffen sticht Leak jedoch als derjenige hervor, der nicht von einer dritten Partei initiiert wurde. Aber es gibt eine bestimmte Art von Lecks, die für viele der bisher größten und gefährlichsten Datenlecks verantwortlich sind. Wir nennen diese "Cloud-Leaks", weil sie auftreten, wenn der Cloud-Speicher nicht angemessen vom Internet getrennt ist.

Was ist ein Cloud Leak?

Ein Cloud-Leak liegt vor, wenn sensible Geschäftsdaten, die in einer Private Cloud-Instanz gespeichert sind, versehentlich dem Internet ausgesetzt werden. Die Cloud ist Teil des Internets. Der Unterschied besteht darin, dass "die Cloud" privatisierte Speicherflächen bietet, die für IT-Vorgänge im Unternehmensmaßstab genutzt werden können. Unternehmensdatensätze, die oft von externen Informationsanalyseunternehmen verarbeitet werden, werden oft unverschlüsselt in der Cloud gespeichert, in der Erwartung, dass sich ihre Daten in einer dieser privaten Taschen befinden.

Cloud-Speicheroptionen wie Amazons S3 ermöglichen es den Nutzern, ihren Speicher für das Internet zu öffnen. An dieser Stelle sollte betont werden, dass S3-Buckets standardmäßig privat sind. Das bedeutet, dass bei jedem Cloud-Leck, an dem eine Amazon S3-Speicher-Instance beteiligt ist, die Berechtigungen irgendwann von einem Administrator geändert wurden, der die Daten verarbeitet. Wenn diese anonymen öffentlichen Berechtigungen zugelassen werden, löst sich die Grenze zwischen "der Cloud" und dem Internet auf. Diese Daten werden dann für jedermann zugänglich, genau wie Ihre Lieblingswebsite.

Unabhängig davon, ob es sich um einen Amazon S3-Bucket, eine Azure-Dateifreigabe, ein falsch konfiguriertes GitHub-Repository oder einen in der Cloud eingerichteten anfälligen Server handelt, ist die Nichtgewährleistung der Privatsphäre der Cloud-Instanz ein Risiko für die Daten. Sobald der Fehler gemacht ist, wird es für Unternehmen sehr schwierig zu beweisen, dass zu einem bestimmten Zeitpunkt nicht auf die Daten zugegriffen wurde. Die meisten Menschen wüssten nicht, wo sie anfangen sollen zu suchen, und Menschen mit ausreichenden technischen Kenntnissen könnten aus Neugier beiläufig stöbern, aber in Wirklichkeit suchen zwei Hauptgruppen von Menschen nach Cloud-Lecks: Sicherheitsforscher und Menschen, die versuchen, die gefundenen Informationen für Druck, persönlichen Vorteil oder Macht auszunutzen.

Beispiele für Cloud Leaks

Verizon-Partner Nice Systems legt 6 Millionen Kundendatensätze im Internet offen

Zu diesen Informationen, die aus einem offengelegten Amazon S3-Bucket durchgesickert sind, gehören Kundendaten wie Name, Adresse und Telefonnummer sowie einige Konto-PINs, die zur Verifizierung der Identität bei Verizon verwendet werden. Abgesehen von den offensichtlichen Datenschutzbedenken könnten die offengelegten Daten böswillig verwendet worden sein, um sich als Kunden auszugeben und sogar die Zwei-Faktor-Authentifizierung zu umgehen.

RNC Vendor Data Root Analytics legt 198 Millionen Wählerdatensätze offen

Eines der größten Lecks aller Zeiten wurde entdeckt, als ein offengelegtes Cloud-System entdeckt wurde, das sowohl gesammelte als auch modellierte Wählerdaten von Data Root Analytics enthielt, einer Firma, die vom RNC mit datengesteuerter politischer Strategie beauftragt wurde. Über 198 Millionen einzigartige Personen waren in dem Datensatz vertreten, mit persönlichen Details, Wählerinformationen und modellierten Attributen wie wahrscheinlicher Rasse und Religion.

Der staatliche Auftragnehmer Booz Allen Hamilton lässt Geodaten und Anmeldeinformationen offen

Eine weitere exponierte Cloud-Speicherinstanz enthüllte Daten des staatlichen Auftragnehmers Booz Allen Hamilton. Zusätzlich zur Datenoffenlegung enthielt der Bucket auch Verschlüsselungsschlüssel für einen BAH-Techniker und "Anmeldeinformationen, die administrativen Zugriff auf mindestens das Betriebssystem eines Rechenzentrums gewähren. "In diesem Fall wurden nicht nur Informationen kompromittiert, sondern auch andere Systeme hätten kompromittiert werden können, so dass böswillige Akteure von einem öffentlich zugänglichen Cloud-Server auf einen autorisierten Server im Netzwerk springen konnten.

Ein operatives Problem

Cloud-Lecks sind ein einzigartiges Risiko für Unternehmen. Die Einfachheit des Fehlers, der sie verursacht, steht in krassem Gegensatz zum Ausmaß der Folgen, die sich daraus ergeben können. Die Vorteile der Cloud zu nutzen oder Anbieter zu beauftragen, die dies tun, bietet einen großen funktionalen Mehrwert. Aber ohne Berücksichtigung der potenziellen Probleme, die der Cloud-Technologie eigen sind, wird diese Funktionalität durch die Unfähigkeit untergraben, ihr zu vertrauen, was wiederum dazu führt, dass Unternehmen, die sie einsetzen, nicht mehr vertrauen können. Cloud-Lecks sind ein betriebliches Problem und müssen innerhalb der IT-Prozesse angegangen werden, die die Datenverarbeitung in der Cloud regeln, um effektiv gemindert zu werden.

Erstellen von Kopien

Um zu verstehen, wie Cloud-Leaks passieren und warum sie so häufig sind, müssen wir einen Schritt zurücktreten und zunächst einen Blick darauf werfen, wie durchgesickerte Informationen zum ersten Mal generiert, manipuliert und verwendet werden. Es wird fast als ausgemachte Sache angesehen, dass diese riesigen Mengen sensibler Daten existieren und dass Unternehmen etwas mit ihnen anfangen, aber wenn man sich die Praxis des Informationsumgangs ansieht, wird klar, dass die Organisation eines belastbaren Prozesses in großem Maßstab ziemlich schwierig wird. Betriebliche Lücken und Prozessfehler führen zu verwundbaren Assets, die wiederum zu Cloud Leaks führen.

Eines der großartigen Dinge an digitalen Daten ist, dass sie billig und ohne Beeinträchtigung reproduzierbar sind. Unternehmen verfügen in der Regel über mehrere Kopien von Produktionsdaten, abgesehen von denen, die in ihren Geschäftsprozessen verwendet werden. Backups, Warehousing, Disaster Recovery, Entwicklungs- und Testumgebungen, interne Analysen, ausgelagerte Analysen, ein Laptop, auf den jemand die Daten kopierte, um von zu Hause aus arbeiten zu können - die Liste geht weiter. Der Punkt ist, dass Daten gleichzeitig viele und eins sind, so wie das Wort Daten selbst zwischen Plural und Singular verwechselt wird. Es können viele Kopien eines Datensatzes vorhanden sein, aber es ist nur eine Sicherheitsverletzung möglich, bei der der Datensatz offengelegt wird. Je mehr Kopien eines Datensatzes vorhanden sind, desto höher ist das Risiko, dass es zu einer Sicherheitsverletzung kommt.

Die Informationswirtschaft

Stellen Sie sich vor, dass die Daten eine Kontrollkette durchlaufen. Jede Kopie der Daten befindet sich auf einem Server oder Festplatten-Array, durchläuft Netzwerkgeräte und Firewalls und landet gelegentlich auf einer Workstation oder einem Laptop. Oft landet es in der Cloud, in einer im Internet gehosteten Speicherinstanz, und wie jedes andere Glied in der Kette besteht ein potenzielles Risiko, dass es offengelegt wird, wenn es nicht richtig konfiguriert wird.

Diese Praktiken treten in fast jeder Branche auf und nehmen mit zunehmender Größe zu. Es geht nicht nur um politische Kampagnenanalysen, Telekommunikation oder Rüstungsunternehmen - es geht um alle. Die Digitalisierung ist eine grundlegende Veränderung des abstrakten Geschäftsverständnisses selbst, und ihre Auswirkungen betreffen Unternehmen aller Couleur. So ist eine ganze Branche entstanden, die sich ausschließlich der Datenverarbeitung widmet, um die Informationsbedürfnisse anderer Unternehmen zu unterstützen. Die meisten Unternehmen handeln nicht direkt mit Daten. Sie beschäftigen sich mit Autos, Finanzen, Gesundheitswesen oder Gadgets. Wie bei vielen tertiären Geschäftsanforderungen lagern sie die Datenverarbeitung an einen Dritten aus, der angeblich weitaus mehr Möglichkeiten hat, sie zu verwalten.

Aber die Leichtigkeit der Datenreplikation und die große Menge an Wert, die Unternehmen aus Daten ziehen können, haben die Digitalisierung beschleunigt, die Verhaltensberichterstattung und andere Arten von Metriken erhöht und die Infrastruktur nach Möglichkeit auf höhere Geschwindigkeiten und größere Kapazitäten gebracht. Dem Geschäftsrisiko, das von diesen kritischen, zentralisierten Datenspeichern ausgeht, die sich leicht kopieren und verteilen lassen, wurde nicht so viel Aufmerksamkeit geschenkt.

Der Wert der Cloud

In gewisser Weise gibt es eine Parallele zwischen Analytics-Anbietern und Cloud Computing - der eine lagert die Arbeit (und das Risiko) von Informationen aus, während der andere dies für die Technologie tut. Die Vorteile der Cloud sind bekannt: Die Gesamtinfrastruktur ist einem kleinen Rechenzentrum überlegen; Große Mengen an Servern können schnell und programmgesteuert erstellt werden, was eine bessere Prozessautomatisierung ermöglicht. Die Cloud-Computing-Leistung ist elastisch und kann eng an die Bedürfnisse angepasst und ohne großen Aufwand geändert werden. Aber wenn sich die Prozesse beschleunigen und der Umfang des Managements zunimmt, öffnen sich betriebliche Lücken, in denen kleine, aber kritische Cloud-Fehlkonfigurationen Produktionsdaten der Öffentlichkeit zugänglich machen.

Cloud-Lecks sind in jeder Cloud-Umgebung möglich - Amazon Web Services, Microsoft Azure, IBM Bluemix - und in jeder im Internet gehosteten Infrastruktur, in der sensible Unternehmensinformationen durch Unfall, Versehen oder Fehler veröffentlicht werden können. Dieser Punkt ist entscheidend: Fast alle Cloud-Geräte, einschließlich der oben aufgeführten, sind standardmäßig privat. Das bedeutet, dass irgendwann die Standardberechtigungen geändert wurden, um den öffentlichen Zugriff zu ermöglichen. Cloud-Leaks resultieren nicht aus einer plattformspezifischen Software-Schwachstelle, sondern aus Prozessen, denen die notwendigen Kontrollen fehlen, um ein sicheres Ergebnis zu gewährleisten.

Prozess bestimmt Sicherheit

Die Art und Weise, wie mit Informationen umgegangen wird, ist von Ort zu Ort und oft von Mensch zu Mensch unterschiedlich. Es gibt allgemeine Richtlinien - zum Beispiel, wenn Sie in einer regulierten Branche tätig sind und Standards wie PCI DSS, HIPAA oder FERPA befolgen müssen. Doch der Arbeitsalltag, der letztlich darüber entscheidet, ob es zu einem Cloud-Leak kommt, ist zwischen und innerhalb von Organisationen sehr unterschiedlich.

Stellen Sie sich folgendes Szenario vor: Ein Systemadministrator verwaltet den Speicher für ein Analyseunternehmen mithilfe des S3-Cloud-Dienstes von Amazon. Der Systemadministrator muss einige Dateien verschieben, sodass die Produktionsdaten vorübergehend auf eine ungenutzte S3-Instanz kopiert werden, während die anderen Instanzen geändert werden. Sobald der Systemadministrator endlich alle Buckets repariert hat, sind die Produktionsdaten an Ort und Stelle und alles ist startklar. Es sei denn, der Systemadministrator hat vergessen, die Kopien der Daten aus dem temporären S3-Bucket zu löschen, und dieser S3-Bucket ist zufällig mit vollem öffentlichen Zugriff konfiguriert.

Dies mag wie menschliches Versagen erscheinen. Jemand hat einfach vergessen, etwas zu tun. Passiert uns allen, oder? Nicht genau. Das wirkliche Problem hier ist nicht, dass eine Person einen Fehler gemacht hat - das ist eine garantierte Eventualität - das Problem ist, dass strukturell nichts vorhanden war, um den Fehler zu verhindern oder ihn zumindest sofort zu erkennen, damit er behoben werden konnte.

Cloud-Lecks sind nicht das Ergebnis von Hackern, und sie sind nicht die Schuld einzelner IT-Mitarbeiter. Sie sind das Ergebnis fragiler Geschäftsprozesse, die nicht in der Lage sind, die Komplexität und den Umfang des Cloud-Betriebs zu bewältigen, und sich auf Glück verlassen, um den Unterschied auszugleichen. Sicherheit durch Unklarheit ist tot. Zum Beispiel ist die Vorstellung, dass eine Cloud-Instanz sicher ist, weil niemand sonst die URL kennt, sowohl unwahr als auch das Produkt falschen Denkens. Wenn Informationen so wertvoll sind wie heute und globale Unternehmensabläufe fragil genug sind, um die Daten einfach für anonyme Internetbrowser zu öffnen, werden und wurden Techniken entwickelt, um die Situation auszunutzen. Aus diesem Grund muss Resilienz in die Verfahrensarbeit integriert werden, die die Informationstechnologie erstellt, verwaltet und wartet.

Was wird durchgesickert?

Kundeninformationen

Die häufigste Art von Informationen, die bei einem Cloud-Leck offengelegt werden, sind Kundendaten. Diese Daten sind von Unternehmen zu Unternehmen unterschiedlich, aber es gibt in der Regel einige gemeinsame Faktoren:

Identitätsinformationen - Name, Adresse, Telefonnummer, E-Mail-Adresse, Benutzername, Passwort
Aktivitätsinformationen - Bestell- und Zahlungsverlauf, Surfgewohnheiten, Nutzungsdetails
Kreditkarteninformationen - Kartennummern, CVV-Codes, Ablaufdaten, Postleitzahlen der Rechnung

Darüber hinaus werden in der Regel auch alle Informationen offengelegt, die für das Unternehmen spezifisch sind. Dabei kann es sich um Finanzdaten für Banken und Investmentgruppen handeln, um medizinische Unterlagen für Krankenhäuser und Versicherer, und bei staatlichen Stellen können Kundeninformationen eine beliebige Anzahl sensibler Dokumente und Formulare umfassen.

Unternehmensinformationen

Aber Kundeninformationen sind noch nicht das Ende der Fahnenstange. Es gibt mehrere andere Arten von Daten, die ein erhebliches Risiko darstellen, wenn sie in einem Cloud-Leak offengelegt werden. Auch Unternehmensinformationen können durchgesickert sein. Dies kann beinhalten:

Interne Kommunikation - Memos, E-Mails und Dokumente, in denen die Geschäftstätigkeit des Unternehmens detailliert beschrieben wird
Metriken - Leistungsstatistiken, Prognosen und andere gesammelte Daten über das Unternehmen
Strategie - Messaging-Details, Roadmaps, Rolodexes und andere wichtige Geschäftsinformationen

Die Offenlegung dieser Art von Informationen kann Unternehmensprojekte behindern, Wettbewerbern Einblicke in die Geschäftsabläufe geben und die interne Kultur und Persönlichkeit offenbaren. Je größer das Unternehmen, desto größer ist das Interesse an dieser Art von Daten.

Geschäftsgeheimnisse

Aber die gefährlichste Art von Unternehmensdaten, die in einem Cloud-Leak offengelegt werden, sind Geschäftsgeheimnisse. Dies sind Informationen, die für das Unternehmen selbst von entscheidender Bedeutung sind, und ihre Geheimhaltung verleiht dem Unternehmen die Wettbewerbsfähigkeit und ist oft das Ziel von Industriespionage. Zu den Geschäftsgeheimnissen können gehören:

Pläne, Formeln, Entwürfe - Informationen über bestehende oder kommende Produkte und Dienstleistungen
Code und Software - Proprietäre Technologie, die das Unternehmen verkauft oder für den internen Gebrauch entwickelt
Kommerzielle Methoden - Marktstrategien und Kontakte

Offensichtlich sind diese Daten nur dann von Vorteil, wenn sie vor der Konkurrenz geheim gehalten werden. Eine solche Exposition kann für ein Unternehmen katastrophal sein, da sie jahrelange Forschung und Arbeit zunichte macht und die Produkte und Dienstleistungen, die das Unternehmen anbietet, abwertet.

Analytik

Schließlich stützt sich die Analytik auf große Datensätze, die aus mehreren Informationsquellen bestehen, um Trends, Muster und Entwicklungen im Großen und Ganzen aufzudecken. So leistungsfähig Analysen für Geschäftsentscheidungen auch sein können, die Daten, die für die Durchführung solcher Analysen erforderlich sind, sind auch ein Risikovektor, wenn sie offengelegt werden. Zu den Daten dieses Typs gehören:

Psychografische Daten - Vorlieben, Persönlichkeitsmerkmale, Demografie, Nachrichten
Verhaltensdaten - Detaillierte Informationen darüber, wie jemand eine Website nutzt, z. B.
Modellierte Daten - Vorhergesagte Attribute basierend auf anderen gesammelten Informationen

Diese Informationen sind äußerst leistungsfähig in ihrer Fähigkeit, Individuen als eine Reihe von Datenpunkten zu verstehen und dann mit einem hohen Maß an Genauigkeit andere Datenpunkte in Beziehung zu setzen. So abstrakt dies auch klingen mag, bedenken Sie, dass dies die Art von Informationen ist, die über Wähler gesammelt werden und dazu beitragen, dass politische Kampagnen in großem Maßstab effektiver überzeugen.

Alles

Das Geschäft ist digitalisiert. Alles, was irgendetwas ist, ist irgendeine Art von Information, und diese Informationen können in der Cloud durchsickern, ohne dass angemessene Prozesskontrollen vorhanden sind. In den obigen Beispielen sind einige Arten von sensiblen und gefährlichen Informationen aufgeführt, aber in Wirklichkeit steht alles auf dem Spiel. Jeder Aspekt des Unternehmensgeschäfts (und des Privatlebens) hat seine eigenen Informationen. Wenn wir sagen, dass Cloud-Lecks ein geschäftliches Problem sind, meinen wir, dass Informationen und Technologie für das moderne Unternehmen so wichtig sind, dass ihre Risiken existenziell geworden sind.

Wie Cloud-Leaks ausgenutzt wurden

Der Teufel, den du kennst

Wenn man sich die oben genannten Arten von Informationen ansieht, zeigen sich wahrscheinlich sofort einige offensichtliche Bedrohungen. Diese Vektoren gibt es schon seit einiger Zeit, und unabhängig davon, ob Informationen über die Cloud durchgesickert sind oder durch einen Hack oder eine Phishing-E-Mail erlangt werden, sind viele der Folgen bekannt. Wir werfen einen kurzen Blick darauf, wie diese Art von Informationen häufig genutzt wird, und gehen dann zu anspruchsvolleren Anwendungen über und was die Zukunft bringt.

Kreditkarten-Betrug

Das erste und offensichtlichste Beispiel für ein Verbrechen, bei dem durchgesickerte Daten ausgenutzt werden, ist Kreditkartenbetrug. Durch die Online-Bestellung geben die Menschen ihre Kreditkartendaten über das Internet und über die Systeme des Unternehmens weiter, das sie bevormunden. Dem Transaktionsprozess und dem Schutz der Informationen auf dem Weg durch das Internet wurde viel Aufmerksamkeit geschenkt, aber weit weniger wurde darauf geachtet, was nach der Speicherung der Daten passiert. Wie wir im letzten Artikel über Cloud-Leaks gesehen haben, werden Daten zu verschiedenen Zwecken wiederholt kopiert, und Kreditkartendaten sind da keine Ausnahme. Skimmer erhalten vielleicht hundert Kreditkarten pro Tag, aber eine Datenbank, die mit einem Cloud-Leak zu tun hat, kann Millionen enthalten und erfordert nicht den Aufwand für die Installation und Konfiguration eines Malware-Skimmers.

Schwarzmarkt-Verkäufe

Oft sind diejenigen, die die Daten erhalten, und diejenigen, die sie verwenden, getrennte Parteien. Rund um den Schwarzmarkt-Informationshandel ist eine Wirtschaft entstanden, bei der Daten, die verletzt wurden, dem Meistbietenden im Darknet zum Verkauf angeboten werden, wobei schwer zu verfolgbare Kryptowährungen wie Bitcoin verwendet werden. In diesem Fall sind die Informationsabrufer darauf spezialisiert, die Daten aus einer ungesicherten Cloud-Instanz zu erhalten, aus einer anfälligen Datenbank durch Social Engineering, während die Informationskäufer sich auf die Verwendung dieser Informationen spezialisieren - Kreditkartensysteme, SSN- und Identitätsbetrug, Spam und Phishing-Operationen.

Erpressung/Demütigung

Manchmal werden die offengelegten Informationen über den Kopf des Unternehmens gehalten, entweder für Lösegeld oder einfach, um das Unternehmen vor der Öffentlichkeit zu demütigen. Ransomware-Angriffe wie WannaCry sperren Vermögenswerte und Daten, aber Cloud-Leaks geben diese Daten an jeden weiter, der danach sucht. Aktivisten, die ein Unternehmen untergraben wollen, mit dem sie nicht einverstanden sind, könnten es für vorteilhaft halten, ihre Gehaltsstruktur, ihre interne Kommunikation oder ihre Geschäftspläne zu teilen. Unabhängig von den Einzelheiten ist es eine Tatsache, dass Cloud-Leaks potenziellen Angreifern einen unglaublichen Hebel bieten.

Wettbewerbsvorsprung

Abgesehen von kriminellen Akteuren könnten auch Wettbewerber leicht von Informationen profitieren, die in einem Cloud-Leak offengelegt werden. Alles, von Kundenlisten bis hin zu Geschäftsgeheimnissen, gibt anderen Unternehmen Zugang zu Ressourcen und Strategien. Wettbewerbseinblicke sind etwas, an dem jedes Unternehmen im Rahmen seiner Marketingaktivitäten arbeitet, und Informationen, die in Cloud-Lecks offengelegt werden, machen diese Erkenntnisse viel schärfer.

Wie Cloud-Leaks ausgenutzt werden könnten

Soziales Engineering

Wir haben bereits über Phishing-Angriffe gesprochen. Der effektivste Phishing-Angriff ist als Spearphishing bekannt, da die gefälschte E-Mail auf ihren Empfänger fokussiert ist und bekannte Informationen verwendet, um sich besser als eine Autoritätsperson oder Führungskraft auszugeben. Die Wirksamkeit von Phishing-Angriffen hängt davon ab, wie überzeugend sie für den Leser sind. Viele, die mit Tippfehlern übersät sind und seltsame Formatierungen oder HTML verwenden, sind recht leicht zu erkennen, aber die besten von ihnen sehen auf den ersten Blick echt aus. Informationen, die in Cloud-Leaks offengelegt werden, insbesondere psychografische Daten und andere Verhaltensanalysen, sind genau die Art von Informationen, die Social-Engineering-Angriffe schärfen und dem Angreifer die Möglichkeit geben, Informationen über ein Ziel zu verwenden, die er sonst nicht kennen sollte.

Zielgruppenadressierung

Personenbezogene Daten (PII) können für mehr als nur Kreditkartenbetrug verwendet werden. Die persönlichen Daten einer Person zu erhalten und sie gegen ihren Willen zu veröffentlichen, ist eine Praxis, die als "Doxxing" bekannt ist und aus verschiedenen Gründen durchgeführt wird, aber die Person, die gedoxxt wird, immer den Raubzügen einer unbekannten Anzahl anonymer Personen aussetzt. In Fällen von politischem Extremismus, Rachefeldzug, Belästigung oder Stalking kann die Aufdeckung personenbezogener Daten zu tatsächlichem Schaden für Menschen führen. Was Cloud-Leaks besonders gefährlich macht, ist, dass sie keine besonderen technischen Fähigkeiten erfordern, um sie auszunutzen - gehen Sie einfach hin und holen Sie sich die Daten. Dadurch wird der Pool potenzieller Entdecker deutlich erweitert.

Überwachung und Beeinflussung

Wenn es um psychografische Daten geht, sind die Einsatzmöglichkeiten grenzenlos. Der eigentliche Zweck der Gewinnung psychografischer Daten besteht darin, besser vorherzusagen, wie Menschen reagieren werden, und ihre Reaktionen zu formen. Politische Kampagnen nutzen sie, um Stimmen zu gewinnen. Unternehmen nutzen es, um Kunden zu gewinnen. Allein angesichts der normalen Anwendungsfälle für diese Art von Analysen ist es leicht zu erkennen, wie ein motivierter Dritter, ein anderer Staat oder ein privates Unternehmen, diese Daten durch ein Cloud-Leck erhalten und die Informationen für seine Zwecke nutzen könnte. Als ein RNC-Auftragnehmer die Wählerdaten fast aller registrierten amerikanischen Wähler durchsickern ließ, war dies nicht nur eine Verletzung der Privatsphäre, sondern ein neuer Vektor möglicher Manipulationen.

Störung

Schließlich machen Cloud-Leaks den Geschäftsabläufen einen Strich durch die Rechnung, indem sie ungeprüfte Informationen direkt der Öffentlichkeit zugänglich machen. Wie wir gesehen haben, können die Informationen, die in einem Cloud-Leak offengelegt werden, drastische Folgen für Unternehmen und sogar Regierungen haben. Disruptive Angriffe sind nicht neu. Ein Denial-of-Service-Angriff zielt darauf ab, die Verwendung einer Ressource zu verhindern. Informational Disruption ist eine neue Klasse dieser Art. Wenn Unternehmensinformationen in der Cloud offengelegt werden, bietet dies die Möglichkeit, dass das Unternehmen aus der Bahn geworfen wird. Die Motive hinter diesen Angriffen können alles sein, von Aktivismus bis hin zu Profit, aber wie bei einem Erpressungsszenario gibt die Offenlegung dieser Daten unbekannten Dritten einen drastischen Einfluss auf Geschäftsinteressen.

Die Frage, warum Cloud-Leaks wichtig sind, ist ähnlich wie die Frage, warum Daten wichtig sind. Die Antwort ist die gleiche: Informationen geben Menschen und Organisationen Macht. Die versehentliche Offenlegung dieser Daten für die Öffentlichkeit gibt anderen die Möglichkeit, diese Macht gegen den Eigentümer der Daten auszuüben. Wir haben einige der bekannten und möglichen Manifestationen davon skizziert; Aber wie auch immer Daten genutzt werden, solange unsere Wirtschaft, unsere Kommunikation und unsere Gesellschaft digitalisiert sind, werden Daten wertvoll sein. Wenn es um Kundendaten geht, ist der Hauptgrund, warum Cloud-Leaks wichtig sind, dass die Daten echte Personen darstellen, die oft die Auswirkungen des Lecks tragen müssen. Unternehmen, die Daten sammeln und zur Verbesserung ihres Geschäfts nutzen, stehen ihnen gegenüber in der Verantwortung, sorgfältig damit umzugehen.

Wie Cloud Leaks verhindert werden können

Als wir die Unterschiede zwischen Sicherheitsverletzungen, Angriffen, Hacks und Leaks untersuchten, war dies nicht nur eine akademische Übung. Die Art und Weise, wie wir über dieses Phänomen nachdenken, beeinflusst die Art und Weise, wie wir darauf reagieren. Im Klartext: Cloud-Leaks sind ein operatives Problem, kein Sicherheitsproblem. Cloud Leaks werden nicht durch externe Akteure verursacht, sondern durch betriebliche Lücken im Arbeitsalltag des Datenhandlers. Die Prozesse, mit denen Unternehmen Cloud-Speicher erstellen und pflegen, müssen das Risiko einer öffentlichen Offenlegung berücksichtigen.

Validierung

Cloud-Speicher bietet Geschwindigkeit, Skalierbarkeit und Automatisierung für den IT-Betrieb. Unternehmen verschieben Produktionsdatensätze nach Bedarf in und aus dem Cloud-Speicher und verwenden denselben Bucket oft für mehrere Aufgaben wieder. Ohne die richtige Sorgfalt kann ein sensibler Datensatz leicht in einen ungesicherten Bucket verschoben werden. Aus diesem Grund sollten Cloud-Speicherkonfigurationen bei der Bereitstellung und während der gesamten Zeit, in der Produktionsdaten gehostet werden, validiert werden. Die kontinuierliche Validierung hält das Risiko sichtbar und kann Administratoren sogar proaktiv benachrichtigen, wenn der öffentliche Zugriff zugelassen wird.

Ein Beispiel dafür, warum die Prozessvalidierung der Schlüssel zur Vermeidung von Cloud-Leaks ist, ist die Tatsache, dass der S3-Speicher von Amazon standardmäßig privat ist. Das bedeutet, dass zu einem bestimmten Zeitpunkt eine Änderung am Berechtigungssatz vorgenommen werden muss, damit der Bucket für die Welt verfügbar gemacht werden kann. Diese Änderung - das Hinzufügen des Zugriffs auf die Gruppen "Alle Benutzer" oder "Authentifizierte Benutzer" - kann nur versehentlich erfolgen, wenn keine Kontrolle vorhanden ist, um zu überprüfen, ob die Berechtigungen korrekt sind. Wenn die vertraulichen Daten in einen Bucket verschoben werden, der bereits öffentlich ist, gibt es keine Prozesskontrolle für die Datenverarbeitung, um die Berechtigungen im Rahmen der Verschiebung zu überprüfen.

Es ist nicht menschliches Versagen, das zu Cloud-Leaks führt. Es handelt sich um einen Prozessfehler. Menschen machen in allem Fehler. Die Unternehmens-IT ist extrem kompliziert und verstärkt unsere natürliche Tendenz, gelegentlich Fehler zu machen. Genau aus diesem Grund müssen Kontrollen auf der Prozessebene - eine strukturelle, automatisierte Validierung - vorhanden sein, um die geleistete Arbeit zu überprüfen. Vorgänge, die wiederholt durchgeführt werden müssen und bei falscher Ausführung das Risiko bergen, das Unternehmen zu gefährden, müssen kontrolliert werden, um dieses Risiko so weit wie möglich zu begrenzen.

Automatisierung

Auf Unternehmensebene kann eine Validierung nur erreicht werden, wenn sie in einen Hochgeschwindigkeits-Workflow passt. Wenn die Konfigurationsüberprüfung zu einem Engpass für einen Prozess wird, ist es weitaus unwahrscheinlicher, dass sie pflichtbewusst durchgesetzt wird. Wenn es darauf angewiesen ist, dass jemand jede Konfiguration manuell überprüft, kann dies nicht nur nicht schnell genug erreicht werden, sondern es leidet auch unter der gleichen Fähigkeit zu menschlichen Fehlern wie das ursprüngliche Setup. Computer sind viel besser darin, die Einheitlichkeit innerhalb einer Reihe aufrechtzuerhalten als wir. Automatisierte Prozesskontrollen sollten als ausführbare Dokumentation fungieren, in der wichtige Standards wie die Sicherstellung, dass alle Cloud-Speicher privat sind, detailliert beschrieben und dann mit dem tatsächlichen Zustand aller Cloud-Speicherinstanzen verglichen werden können, um sicherzustellen, dass sie konform sind.

Wenn wir beispielsweise S3-Buckets im Unternehmen bereitstellen, sollten wir, anstatt manuell einen Bucket in der AWS-Konsole zu erstellen und eine Checkliste zu durchlaufen, die programmatische Erstellung von Buckets mithilfe der Amazon-API automatisieren und nach der Erstellung des Buckets einen Validierungsschritt in den Prozess einführen, um nach kritischen Einstellungen wie der Internetverfügbarkeit zu suchen. Auf diese Weise kann ein Administrator, wenn eine Cloud-Speicherinstanz erstellt werden muss, einfach ein Skript starten und sicherstellen, dass der neu erstellte Bucket auf dem neuesten Stand ist.

Die Automatisierung ermöglicht auch die kontinuierliche Durchführung der Konfigurationsvalidierung während der gesamten Lebensdauer der Anlage. Dies gewährleistet jederzeit die Transparenz der Assets. Der Wandel innerhalb eines Unternehmensrechenzentrums ist konstant. Ein guter Prozess überprüft, ob Änderungen nicht gegen grundlegende Standards verstoßen, und benachrichtigt die Benutzer sofort, wenn dies der Fall ist.

Risiko durch Dritte

Das Problem wird durch die Entfernung verschleiert, in der Cloud-Lecks häufig auftreten: Ein Drittanbieter, der die Informationsverarbeitung durchführt, legt versehentlich die Informationen in der Cloud offen. Da der Datensatz in den Köpfen ihrer Kunden mit dem primären Unternehmen in Verbindung gebracht wird, werden sie für das Leck genauso zur Rechenschaft gezogen, als ob es sich um ihre eigenen Server gehandelt hätte. Daher ist die Bewertung und Optimierung von Cyberrisiken von Drittanbietern genauso wichtig wie die interne Resilienz.

Die Zusammenarbeit mit einem anderen Unternehmen für den Umgang mit sensiblen Informationen sollte immer eine Bewertung der Praktiken dieses Unternehmens beinhalten, damit das Risiko, das sie durch den Umgang mit diesen Daten darstellen, verstanden werden kann. Es macht keinen Sinn, Millionen für interne Cybersicherheit auszugeben, nur um dieselben Daten an jemanden auszulagern, der sie in der Cloud offenlegt. Anbieter sollten mit der gleichen Sorgfalt ausgewählt und bewertet werden, mit der ein Unternehmen seine internen Vermögenswerte und Informationen schützt.

UpGuard bekämpft Cloud-Lecks, indem es die Validierung von Cloud-Speichern automatisiert. Der öffentliche Zugriff ist am gefährlichsten, aber wie bei jeder digitalen Oberfläche bestimmt der Gesamtkonfigurationszustand des Cloud-Speichers seine Ausfallsicherheit. UpGuard scannt nicht nur Speicherinstanzen auf öffentliche Gefährdung, sondern überprüft auch Cloud-Plattformen und Server selbst auf Fehlkonfigurationen, die zur Offenlegung von Daten führen können. UpGuard validiert auch andere mit dem Internet verbundene Quellen für Lecks, wie z. B. falsch konfigurierte GitHub-Repositories und anfällige rsync-Server.

Mit den visuellen Richtlinien von UpGuard können Administratoren auf einen Blick erkennen, welche ihrer Cloud-Speicherinstanzen öffentlich und welche privat sind. Neue Buckets können während des Bereitstellungsprozesses automatisch mit der API von UpGuard und der Integration mit Tools wie Puppet, Chef und Ansible validiert werden.

Mit UpGuard Procedures können Cloud-Bereitstellungs- und -Wartungsprozesse von Anfang bis Ende automatisiert und validiert werden, wodurch das Betriebsrisiko reduziert wird. Eine ausführbare Dokumentation funktioniert am besten, wenn sie nach Prozessen geordnet ist, so dass Verfahrensschritte logisch miteinander verkettet und wiederum validiert werden können. Dies führt zu vertrauenswürdigen Vermögenswerten und reduziert das Risiko von Fehlkonfigurationen, wie z. B. versehentlicher Offenlegung der Öffentlichkeit, drastisch.

Eine Prozedur, die die Erstellung eines neuen Linux-Webservers in AWS automatisiert, könnte z. B.:

Überprüfen Sie, ob S3-Buckets privat und ordnungsgemäß konfiguriert sind.
Validieren Sie die AWS-Einstellungen für jeden Cloud-Server, z. B. Instanztyp und Standort.
Überprüfen Sie die Servereinstellungen anhand der Unternehmensrichtlinie.
Testen Sie den Server anhand von CIS-Sicherheitsbenchmarks.
Überprüfen Sie bestimmte Webserverkonfigurationen, z. B. http.conf und SSL.

Cloud-Server und -Speicher, die auf diese Weise bereitgestellt werden, haben ein deutlich geringeres Risiko der Offenlegung von Daten als solche, denen diese Kontrollen fehlen.

UpGuard bietet auch eine externe Anbieterbewertung und analysiert und visualisiert das relative Risiko, das von Dritten ausgeht, die mit dem Umgang mit Ihren Daten beauftragt sind. Vergleichen Sie Anbieter und Partner mit ähnlichen Unternehmen, um zu sehen, wie sie in ihrem Bereich abschneiden. Unsere externe Bewertung fasst alle relevanten Sicherheitspraktiken zusammen, die im Internet sichtbar sind, in einer einzigen Risikobewertung.

Dazu gehören Website-Details für alle URLs eines Anbieters; E-Mail- und Domain-Sicherheit, z. B. Protokolle gegen Phishing; offene Ports, wie Microsofts SMB, das von Ransomware-Angriffen wie WannaCry und Petya ausgenutzt wurde, und Geschäftsdetails wie Mitarbeiterzufriedenheit und Zustimmungswerte von CEOs.

Schlussfolgerung

Cloud-Lecks sind das Ergebnis von Betriebsfehlern - nicht von menschlichem Versagen. Einem Prozess fehlen die notwendigen Kontrollen, um im Laufe der Zeit zuverlässig gute Ergebnisse zu erzielen. Der Weg, Cloud-Lecks zu verhindern, besteht darin, diese betrieblichen Lücken durch die Einführung einer automatisierten Validierung für alle kritischen Assets zu schließen. Der Grund, warum Cloud-Leaks passieren, ist, dass niemand weiß, dass sensible Daten dem Internet ausgesetzt sind. Prozesskontrollen, wie die oben skizzierten, garantieren, dass solches Wissen sofort an die Oberfläche kommt, so dass es behoben werden kann, bevor es zu einem größeren Problem wird.

Bei UpGuard können wir Ihr Unternehmen vor Datenschutzverletzungen schützen und Ihnen helfen, die Sicherheitslage aller Ihrer Anbieter kontinuierlich zu überwachen.

Ist Ihr Unternehmen dem Risiko einer Sicherheitsverletzung ausgesetzt?

KLICKEN SIE HIER, um jetzt Ihre kostenlose Sicherheitsbewertung zu erhalten!