Testele tradiționale de securitate a infrastructurilor cloud pot rata vulnerabilități de izolare care le pot permite atacatorilor să treacă de la compromiterea unui singur cont sau a unui singur container al unui client la accesarea tuturor sistemelor interne ale furnizorului și afectarea datelor altor clienți. Pentru a identifica aceste riscuri, compania a dezvoltat o nouă metodologie de testare a penetrării atacurilor cibernetice, care verifică limitele de securitate dintre mediile clienților, sistemele de administrare și infrastructura fizică a furnizorilor de infrastructură cloud.
Noua metodologie Kaspersky de testare a penetrării în mediile cloud mută accentul de la verificările de suprafață către testarea riguroasă a „granițelor de încredere” interne, menite să prevină compromiterea conturilor aparținând unor clienți diferiți. Informații detaliate sunt disponibile într-un nou raport.
Testele tradiționale de penetrare se limitează frecvent la consolele web externe și la interfețele API publice. Cu toate acestea, cercetarea Kaspersky demonstrează că obținerea posibilității de executare a unui cod de la distanță, în interiorul unui container izolat al unui client, reprezintă rareori obiectivul final al unui atacator. În lipsa unor controale stricte de izolare, un atacator poate exploata o breșă inițială pentru a pătrunde în zone rezervate personalului, furând identități ale angajaților furnizorului, sub forma tokenurilor IAM (Identity and Access Management), accesând fluxurile centralizate de backup sau ajungând la datele private ale altor clienți.
Pentru a evalua sistematic aceste căi ascunse, Kaspersky clasifică platformele cloud în trei niveluri operaționale:
- External (extern): portalul public și interfețele API;
- Overlay (suprapus): mediile interne de execuție a serviciilor, instrumentele de administrare și fluxurile operaționale ale furnizorului;
- Underlay (de infrastructură): echipamentele fizice, hypervisor-ele și rețelele de stocare.
Urmărind modul în care conexiunile de rețea, identitățile și comenzile circulă între aceste niveluri, cadrul metodologic permite echipelor de securitate să testeze vectori de atac critici, inclusiv deturnarea tokenurilor de serviciu, deplasarea laterală în rețelele furnizorului și evadarea din mașinile virtuale către hardware-ul fizic al gazdelor.
Pe baza concluziilor cercetării, Kaspersky recomandă furnizorilor de servicii cloud și arhitecților de sisteme IT din companii să adopte următoarele măsuri:
- Verificarea izolării în mediile multi-tenant: Efectuarea unor teste de penetrare specifice, concepute pentru a încerca în mod explicit deplasarea între workload-urile diferiților clienți și nivelurile de administrare ale furnizorului.
- Aplicarea unor limite stricte pentru IAM: Limitarea domeniului de utilizare, a duratei de valabilitate și a permisiunilor tokenurilor de serviciu folosite de procesele care rulează în fundal și de sarcinile automate de administrare, pentru a preveni furtul de identitate.
- Izolarea serviciilor de infrastructură partajate: Asigurarea unei separări logice și criptografice stricte între clienții individuali în cadrul serviciilor centralizate de înregistrare a evenimentelor (logging), telemetrie și backup.
