Киберзаплахите срещу облачната инфраструктура навлизат в нов етап. Последните анализи показват, че експлоатацията на уязвимости в потребителски управляван софтуер вече изпреварва злоупотребата с идентификационни данни като основен метод за първоначален достъп до облачни ресурси.

Според последния доклад Google Cloud Cloud Threat Horizons, почти 44% от всички атаки за първоначален достъп в облачната среда са свързани със софтуерни уязвимости, включително експлойти от типа remote code execution (RCE).

Тази тенденция показва, че нападателите постепенно променят стратегията си, като се насочват към приложенията и софтуера, които клиентите внедряват върху облачната инфраструктура, вместо към самата инфраструктура.

От идентичности към уязвим софтуер

През последните години много организации инвестираха сериозни усилия в защита на идентичностите, управление на достъпа и елиминиране на неправилни конфигурации.

Тези мерки доведоха до намаляване на част от класическите вектори за атака като:

• кражба на идентификационни данни

• неправилно конфигурирани облачни ресурси

• прекомерни права за достъп

В резултат нападателите започват да търсят нови точки за проникване.

Все по-често те се фокусират върху софтуерни компоненти, разработени или управлявани от самите клиенти, включително:

• уеб приложения

• микросървисни архитектури

• контейнери

• сървърни компоненти

• библиотеки с отворен код

Един от примерите за подобни атаки е експлоатацията на уязвимости като React2Shell, насочена към компонентите на React Server Components.

Идентичността остава критична слабост извън облака

Въпреки тази промяна, идентичността продължава да бъде доминиращ фактор при много киберинциденти.

Разследвания на екипите на Google Mandiant показват, че 83% от атаките за първоначален достъп в платформено независими инциденти са свързани с идентичности.

Основните методи включват:

• фишинг атаки – около една трета от случаите

• компрометирани доверителни връзки с трети страни

• откраднати идентификационни данни

• злонамерени вътрешни лица

• атаки по веригата за доставки на софтуер

Подобни резултати се наблюдават и в анализа на Palo Alto Networks, според който около 65% от първоначалния достъп до системи е свързан с идентичностни слабости.

Идентичността като новия „периметър“ на сигурността

С нарастващото използване на SaaS платформи, облачни услуги и хибридни инфраструктури традиционният мрежов периметър губи значението си.

В съвременните архитектури идентичността се превръща в основната линия на защита, защото тя свързва:

• потребители

• системи

• услуги

• данни

Това означава, че компрометираната идентичност може да даде достъп до цялата екосистема, независимо от физическата инфраструктура.

ИИ ускорява експлоатацията на уязвимости

Друг важен фактор зад промяната в заплахите е нарастващата употреба на ИИ от страна на нападателите.

ИИ инструментите позволяват значително по-бързо:

• анализиране на уязвимости

• разработване на експлойти

• автоматизирано проникване

• сканиране на инфраструктури

В резултат времето между публикуването на нова уязвимост и реалната ѝ експлоатация рязко намалява.

Докато в миналото организациите разполагаха с дни или седмици за реакция, днес този прозорец често се измерва в часове.

Уязвимите зони в облачната инфраструктура

В облачните среди повечето експлоатации се насочват към инфраструктура като услуга (IaaS), тъй като там клиентите носят по-голяма отговорност за сигурността.

Най-често атакуваните ресурси включват:

• виртуални машини

• контейнери

• публично достъпни услуги

• edge устройства

• serverless функции

Тези компоненти често са директно изложени на интернет, което ги превръща в удобни цели за автоматизирани атаки.

Моделът на споделена отговорност в облака

Сигурността в облачните услуги се базира на модела на споделена отговорност.

Той разделя задълженията между:

• доставчика на облачната инфраструктура

• клиента, който използва услугата

Докато доставчикът защитава основната инфраструктура, клиентът носи отговорност за:

• приложенията

• операционните системи

• конфигурацията

• управлението на достъпа

• софтуерните компоненти

Именно тази граница често се превръща в зона на експлоатация за нападателите.

Времето за реакция вече се измерва в часове

Ускореното развитие на експлойти и автоматизирани инструменти изисква радикално по-бърза реакция от страна на организациите.

Експертите препоръчват:

• виртуално пачване до 24 часа след публично разкриване на уязвимост

• пълно отстраняване на проблема до 72 часа

Традиционните процеси за управление на пачове често не са създадени за подобна скорост, което налага по-голяма автоматизация на защитните механизми.

Автоматизацията като нов стандарт за защита

За да отговорят на ускоряващите се атаки, организациите трябва да внедрят по-автоматизирани механизми за сигурност.

Сред ключовите подходи са:

Автоматизирано управление на сигурността
Политиките за сигурност трябва да се прилагат програмно и да блокират рискови конфигурации още при създаването им.

Идентичностно-ориентирани защитни механизми
Контролът върху достъпа трябва да бъде централен елемент от защитната архитектура.

Непрекъснат мониторинг на облачната среда
Реалновременният анализ на поведението позволява по-бързо откриване на подозрителни действия.

Новата скорост на кибервойната

Киберзаплахите срещу облачните среди продължават да еволюират с бързи темпове.

Нападателите използват ИИ, автоматизация и нови техники за експлоатация, което значително намалява времето между откриването на уязвимост и реалната атака.

В тази нова реалност организациите трябва да реагират със същата степен на автоматизация и скорост.

Защото в свят, в който експлоатацията на уязвимости се измерва в часове, защитата вече не може да разчита на бавни и ръчни процеси.