De beveiliging van netwerken in de cloud wordt steeds vaker onder vuur genomen. Ruim een op de zes bedrijven (16 procent) had het afgelopen jaar te maken met een lek in de cloud. De belangrijkste aanvalsvectoren die hierbij werden waargenomen, zijn zwakke configuraties, misbruik van inloggegevens en accounts alsmede schaduw-it.
Dit zijn de voornaamste conclusies uit een onderzoek dat Sans Institute (securitytraining en -certificering) deed onder bedrijven en instellingen in Noord-Amerika, Europa en Azië. Het onderzoek richt zich op de vraag hoe cloudbeveiliging de bedrijfsinfrastructuur heeft veranderd. Dit als reactie op Covid-19 en de trend naar thuiswerken. Verder werd bekeken of organisaties de cloud zien als een integraal onderdeel van hun bedrijfsnetwerk. Een andere vraag was hoe netwerkverkeer en metadata worden gebruikt voor opsporing en respons.
Tweederde van de ondernemingen die aan het onderzoek deelnamen, beschouwt saas-, paas- en iaas-platforms voor cloudlevering als onderdeel van hun netwerkperimeter. De belangrijkste netwerk-beveiligingscontroles die in openbare cloudomgevingen worden gebruikt, zijn firewalls voor webtoepassingen (waf’s), netwerktoegangscontroles en detectie en preventie van het binnendringen van netwerken. Sans constateert dat sinds 2019 het aantal kwetsbaarheden binnen de cloud sterk is toegenomen. Gevoelige data kwamen op straat te liggen. Openbare cloudomgevingen bleken niet veilig.
Microsoft Azure
Het rapport noemt als voorbeeld de problemen die Microsoft in 2019 en 2020 met Azure had. In die periode deden zich verschillende storingen voor. In 2019 werd de Azure-database getroffen. Oorzaak waren wijzigingen in de dns-configuratie en enkele fouten in het automatiseringsscript. In december 2019 meldde Microsoft dat het per ongeluk een grote database met customer supportdata binnen Azure had blootgelegd. Hierbij werd de schuld bij ‘verkeerd geconfigureerde securityregels’ gelegd.
In 2020 zorgden tal van Office 365-storingen ervoor dat organisaties hierdoor downtime ondervonden en geen toegang tot hun cloudapplicaties en -data hadden. In april van dit jaar maakte cloud- en hostingprovider DigitalOcean een inbreuk bekend op de factureringsdata van klanten zonder inzicht te geven over hoe dit kon gebeuren.
Joh. cloud=andermans computer maar met JOUW data. denk goed door hoe de belangen en ‘rekeningen’ dan komen te liggen mochten er zaken mis gaan. veel succes met bijv MS voor de rechter te krijgen!
swa, als je cloud als andermans computer ziet, dan heb je een ietwat versimpeld beeld van de werkelijkheid die niet erg praktisch is.
@henri, ik zou niet zo judgemental zijn als ik jou was. Lees het oorspronkelijke stukje nog maar eens goed. misschien is het u die ’the point’ niet zo begrijpt? verder, steeds MEER scherpe randjes / addertjes uit het gras: https://www.security.nl/posting/712996/“Veel+slachtoffers+van+ransomware+beschikken+over+betrouwbare+back-ups”
@henri: oh no… niet weer een voorbeeld: https://www.security.nl/posting/713008/Ransomware-aanval+op+hostingprovider+Cloudstar+raakt+honderden+bedrijven
JOUW data op een andermans computer en je hebt geen poot om op te staan als het mis gaat!
Hoewel er naast de publieke cloud van met name de grote Amerikaanse spelers ook nog wat andere oplossingen zijn die gebruik maken van ‘IP Computing’ gaat de strekking van het verhaal om eerste, de uitbesteding van een bepaalde workload in de bedrijfsvoering naar één van de bekende hyperscalers. En het gaat daarbij inderdaad al lang niet meer alleen om mijn data op de computer van een ander want er is ook nog zoiets als metadata. Vraag hoe gegevens over netwerkverkeer en metadata worden gebruikt is daarom interessant want de commerciële waarde hiervan is groot.
swa, ik doelde op als je de cloud alleen maar ziet als andermans computer, je zo’n simpel beeld hebt van cloud dat een discussie daarover geen zin heeft. En waarom mag ik niet zo judgemental zijn?
En wat is jouw punt? Dat als je data opslaat die niet op jouw computers staan, dat dit een slecht idee is? De wereld denkt daar anders over. Nagenoeg ieder bedrijf gebruikt Microsoft 365. De paar bedrijven die dat niet gebruiken, gebruiken Google Workspace.
Waar zeg eens? Waar host jij je mailbox? En je privé mailbox? Als je data elders opslaan zo’n slecht idee vind. Welk OS gebruik jij eigenlijk? En wat voor smartphone heb je?
Dus ik ben heel benieuwd: Wat is je punt precies?
Omdat je geen account hebt op computable krijg ik overigens geen notificaties op je reacties. Dus mogelijk duurt een antwoord wat langer dan je van mij gewend bent.
@henri
“Waarom mag ik niet zo judgemental zijn?”
– omdat je niet door hebt dat je misschien een verkeerde judgement maakt? En dat is ook zo zoals ik helemaal aan het einde bij je laatste vraag zal beargumenteren.
“Dat als je data opslaat die niet op jouw computers staan, dat dit een slecht idee is?”
– ja en afhankelijk van het type data is dat een enorm bedrijfsrisico zelfs.
“Waar host jij je mailbox?”
– lokaal aan een universiteit in NL en die leeg ik ook netjes dagelijks.
“En je privé mailbox?”
– nvt, heb ik niet.
“Welk OS gebruik jij eigenlijk?”
– Linux, RHEL varianten professioneel (CentOS en Rocky) en Ubuntu op laptop.
“En wat voor smartphone heb je?”
– Geen, zoals wel eens gezegd wordt, de ‘smart’ zit aan de phone niet in de phone.
“Wat is je punt precies?”
– De punt is dus duidelijk dat JIJ het punt van dit artikel niet begrijpt [dat als jou DATA op een andermans systeem is, en er gebeurt iets, dat je dan afhankelijk bent in de opties die de ‘andermans’ aanbiedt en niets meer]. Als MS hun office 365 plat legt of gelegd wordt, [om welke reden dan ook], dan heb jij OOK downtime en dus effectief een DOS [Denial Of Service]. Als de zaak in Azure niet op orden is en JOUW data gelekt wordt heb JIJ ook een probleem [dit is dus ook het punt van de originele post. lees de laatste paragraaf over Azure nogmaals en de link eerder gepost]. Als jij je backups extern in de cloud hebt en je moet een restore doen, dan betaal JIJ de prijs van de transfer en de tijd die daarbij gepaard gaat [zie eerder geposte link].
De enige ‘stok’ die je hebt, om DAN die cloud partijen meer in JOUW dan hun EIGEN belangen te handelen, is eigenlijk maar afwachten en anders naar een rechter gaan, en daarbij wens ik JOUW met partijen als google en MS succes als MKBer!
Ik sta er overigens niet van te kijken dat je ’the point’ niet hebt begrepen omdat je al tijden als cloud advocate deze aspecten niet duidelijk durft/kunt benoemen. Misschien is het wel zo dat je er andere belangen bij hebt en dat dit soort nieuws niet goed voor JOUW bottom line is? Als dat zo is, fijn voor je klanten om te weten dan dat je heel goed nadenkt/gedacht hebt over hun DATA en belangen die JIJ de cloud in praat/geshift hebt [zoals MS en google ook jouw hebben weten te overtuigen van hun laatste nieuwste ‘shiny’ :P] en dan hoop ik maar voor je dat ze geen computable posts bekijken…
swa, ik zal het kort houden: Onze meningen zijn uitersten van elkaar. Dat kan op geen enkele manier overbrugd worden waardoor een discussie met jou geen zin heeft en dus niets oplevert. Ik laat het aan de lezer over aan welke mening deze meer waarde hangt. Jij denkt dat ik het niet snap of wil snappen, ik denk dat jij het niet snapt of wil snappen. Prima zo.
@henri
je kunt het als een ‘menig’ afschuiven all day long, maar het staat er toch heel duidelijk in het originele stukje.
“In 2020 zorgden tal van Office 365-storingen ervoor dat organisaties hierdoor downtime ondervonden en geen toegang tot hun cloudapplicaties en -data hadden. In april van dit jaar maakte cloud- en hostingprovider DigitalOcean een inbreuk bekend op de factureringsdata van klanten zonder inzicht te geven over hoe dit kon gebeuren.”
Verder zijn er inmiddels genoeg andere voorbeelden waar je inhoudelijk ook steeds maar niet op reageert… Dat is wel heel erg tekenend….
@SWA
het gevaar data te verliezen is minstens zo groot als je alles in huis hebt.
Een brandje of 1 e-mail geopend met een trojaner en je bent de pineut.
De afgelopen jaren heb ik meermaals data gered omdat die in “een cloud” stonden.
Met communicatie via HSTS en DOH heb je hier al e.e.a. dichtgetimmerd.
Een goede cloudleverancier is mijns inziens niet slechter als on premise met fatsoenlijk beheer.
Veiligheid in internet is een heikel thema, er zijn te veel geheimdiensten/criminelen onderweg, daar helpt ook
Linux niet meer, alleen vlijtig updates/patches laden en hopen dat het ooit beter wordt.
Momenteel leven we in een tijdperk met “insecurity by design” en dat is gewild door de politiek.