Alexandra Ciornei
„Trecerea companiilor de la o singură infrastructură cloud la medii multi-cloud a crescut complexitatea gestionării securității cibernetice. Companiile trebuie să asigure același nivel de protecție pentru infrastructuri diferite, fiecare cu propriile mecanisme și soluții de securitate. Principala provocare este modul în care responsabilitatea securității este împărțită între furnizorul de servicii cloud și organizațiile care dezvoltă și administrează aplicațiile și soluțiile software”, a explicat Alexandru Gâtu, Regional Security Community Manager - Europe în cadrul Endava, într-un interviu pentru start-up.ro.
De ce aleg companiile mai mulți furnizori cloud
Unul dintre principalele motive pentru adoptarea unei strategii multi-cloud este evitarea dependenței de un singur furnizor. Companiile urmăresc să-și crească disponibilitatea serviciilor și să poată recupera datele dacă infrastructura principală este afectată de un atac ransomware sau de o întrerupere.
„Pentru Endava, motivul principal pentru care alegem să folosim mai mulți furnizori de cloud este redundanța serviciilor și pentru recuperarea datelor în caz de atacuri de securitate precum ransomware, evitarea dependenței de un singur furnizor sau creșterea disponibilității. Nu de puține ori, în industrie au fost cazuri de servicii care au avut întreruperi sau asemenea atacuri. Însă la pachet vine și un risc suplimentar de securitate mai ales când vorbim de posibilitatea sincronizării acestor date între furnizori diferiți de servicii cloud.”
Printre cele mai frecvente vulnerabilități întâlnite se află aplicațiile care folosesc componente și biblioteci neactualizate, deși versiunile respective au vulnerabilități critice deja cunoscute. Lor li se adaugă configurațiile greșite și credențialele implicite care nu au fost schimbate.
Inteligența artificială poate accelera identificarea și remedierea acestor probleme, dar nu înlocuiește verificarea făcută de specialiștii în securitate cibernetică.
„Cele mai frecvente vulnerabilități descoperite țin de expunerea unor aplicații ce folosesc componente, biblioteci sau aplicații care nu au actualizările la zi și care au raportate vulnerabilități critice pe versiunile respective. Merită menționate și configurațiile ce sunt în mod frecvent făcute greșit sau care lasă breșe de securitate, precum credențiale implicite neschimbate. Deși odată cu folosirea AI, identificarea și corectarea acestora este mai rapidă, acest lucru nu elimină necesitatea validării de către specialiști”, a adăugat Alexandru.
O eroare minoră poate expune infrastructura în câteva minute
O configurație greșită poate părea o problemă minoră, însă consecințele pot apărea aproape imediat. Serviciile expuse pe internet sunt scanate automat de atacatorii care pot identifica versiunile vulnerabile și pot testa credențiale prin atacuri de tip dicționar.
„Configurațiile greșite pot avea consecințe nefaste foarte rapid, deoarece orice serviciu expus în Internet este scanat automat în câteva minute de către atacatori. Acest lucru le permite să învețe despre versiuni potențial vulnerabile și să încerce credențiale prin atacuri de tip dicționar. Parole slabe precum «password» sau «dani123» pot fi aflate doar în câteva minute și pot să le ofere atacatorilor acces la întreaga infrastructură”, a punctat reprezentantul Endava.
Durata în care compromiterea unui cont se transformă într-un incident la nivelul întregii organizații depinde de drepturile asociate acelui cont. Dacă atacatorul pătrunde printr-un profil cu privilegii limitate, acesta poate încerca să se deplaseze lateral în infrastructură și să obțină drepturi de administrator.
„Compromiterea unui singur cont sau serviciu cloud se poate transforma într-un incident care afectează întreaga organizație în intervale de timp foarte diferite, în funcție de tipul contului și de privilegiile pe care acesta le are. În unele cazuri, vorbim de câteva ore, iar în altele de câteva zile până când va fi afectată întreaga organizație. De exemplu, dacă un atacator obține acces la un cont de utilizator cu drepturi limitate, va încerca o mutare laterală în infrastructură pentru a compromite conturi de administrator prin atacuri de escaladare a privilegiilor.”
Situația devine critică atunci când este compromis direct un cont cu privilegii extinse. Dacă atacatorii obțin acces la un cont de administrator care gestionează identitățile angajaților, aceștia pot bloca aproape imediat accesul oamenilor la sistemele interne și pot opri operațiunile.
„Un exemplu simplu și realist este compromiterea unui cont de administrator care gestionează conturile utilizatorilor, cum ar fi Azure Entra ID. Într-un astfel de scenariu, atacatorii pot restricționa realmente imediat accesul tuturor angajaților la sistemele companiei, ceea ce duce la pierderi semnificative de productivitate și chiar la blocarea operațiunilor.”
Cum se propagă un atac către furnizori și parteneri
Relațiile de încredere dintre sistemele unei companii și cele ale furnizorilor sau partenerilor pot ajuta un atac să se propage în întregul ecosistem de business.
Un incident ransomware poate porni de la un cont compromis sau de la executarea unui program malware și poate bloca rapid activitatea organizației.
„Sunt mai multe tipuri de atacuri ce pot paraliza activitatea unei companii, iar în anumite situații efectele acestora se pot extinde și către furnizori sau parteneri. Un exemplu relevant sunt atacurile de tip ransomware, care se pot desfășura foarte rapid după accesarea unui cont compromis sau după descărcarea și executarea unui program malware. Aceste atacuri se extind cu ușurință deoarece există o relație de încredere între sistemele ce participă în ecosistemul de business”, a mai explicat Alexandru.
Industriile cele mai expuse efectelor în cascadă sunt care au investit insuficient în prevenție, dar care administrează servicii critice pentru economie și societate. Energia și utilitățile, sistemul financiar-bancar, logistica, administrația publică și sănătatea se află printre domeniile în care o breșă poate avea consecințe dincolo de organizația atacată.
„Cele mai vulnerabile sunt industriile care au investit mai puțin în prevenirea atacurilor cibernetice și care reprezintă ținte atractive pentru atacatori din cauza impactului pe care îl poate genera o breșă de securitate. Printre acestea se numără sectoarele de energie și utilități, financiar-bancar, logistică, administrație publică și, poate cel mai critic, sănătatea. Atacurile care vizează aceste domenii pot produce efecte în cascadă la nivelul lanțurilor de aprovizionare, cu consecințe directe și vizibile asupra activității economice și a vieții de zi cu zi a fiecărei persoane.”
Identitatea devine noul perimetru de securitate
Pentru a păstra vizibilitatea asupra infrastructurii distribuite, organizațiile au nevoie de un sistem centralizat pentru managementul identităților și accesului, a mai spus Alexandru. Acesta trebuie completat prin corelarea alertelor de securitate, mecanisme automate de răspuns, clasificarea datelor și politici comune pentru toate mediile cloud.
„Într-o infrastructură distribuită între mai mulți furnizori, primul pas ar fi implementarea unui sistem centralizat de management al identităților (IAM). Acesta trebuie completat de monitorizarea și corelarea centralizată a potențialelor alerte de securitate, precum și de mecanisme automate de răspuns la posibilele incidente. De asemenea, sunt esențiale clasificarea și protecția datelor, alături de definirea unor politici de securitate comune pentru toate mediile și părțile implicate.”
Securitatea multi-cloud funcționează pe baza unui model de responsabilitate comună. Furnizorul protejează anumite componente ale infrastructurii, în timp ce compania rămâne responsabilă pentru modul în care configurează și utilizează serviciile.
Conducerea organizației este cea care își asumă riscul și decide ce măsuri suplimentare sunt necesare.
„Responsabilitatea securității mediului multi-cloud este de obicei împărțită între furnizorii de servicii de cloud și echipa internă, pe baza modelului de responsabilitate comună, așa cum este menționat și în clauzele contractuale. Managementul companiei este cel care își asumă riscul și stabilește măsurile de securitate compensatorii care sunt necesare pentru reducerea riscului.”
Într-un ecosistem în care aplicațiile și datele sunt distribuite între mai multe infrastructuri, protejarea rețelei nu mai este suficientă, a punctat Alexandru.
Atacatorii urmăresc conturile utilizatorilor și tokenurile de autentificare, inclusiv prin tehnici de inginerie socială, pentru a ajunge la resurse din mai multe medii cloud.
„În mediul multi-cloud, securizarea accesului a devenit principala nevoie pentru a ne asigura că protejăm infrastructura pentru că simpla securizare a acesteia din urmă nu mai este suficientă. Folosind inclusiv tehnici de inginerie socială, atacatorii vizează tot mai mult conturile utilizatorilor sau token-urile de autentificare în încercarea de a prelua controlul asupra mai multor resurse din medii cloud diverse. Ceea ce a determinat ca identitatea să devină noul perimetru de securitate.”
AI reduce barierele pentru atacatorii cibernetici
Inteligența artificială le permite atacatorilor să genereze mai repede cod și să automatizeze operațiuni care necesitau anterior competențe tehnice avansate.
Astfel, atacuri mai sofisticate pot fi lansate și de persoane cu experiență redusă, ceea ce contribuie la creșterea numărului și frecvenței incidentelor.
„Inteligența artificială schimbă echilibrul dintre atacatori și companii prin reducerea semnificativă a barierelor tehnice necesare pentru dezvoltarea și desfășurarea atacurilor cibernetice. AI permite generarea mai rapidă de cod și automatizarea unor activități complexe, ceea ce face posibilă lansarea unor atacuri sofisticate de către persoane care nu au un nivel ridicat de cunoștințe.”
Companiile trebuie să folosească aceleași tehnologii pentru detectarea amenințărilor, dar și să investească în oameni capabili să valideze și să utilizeze rezultatele oferite de sistemele AI.
„În consecință, atât numărul, cât și frecvența atacurilor sunt în creștere. Pentru a ține pasul cu această evoluție, companiile trebuie să investească în soluții bazate pe AI și în specialiști cu competențe avansate în securitate cibernetică, capabili să utilizeze aceleași tehnologii pentru detectarea și contracararea amenințărilor”, a mai transmis reprezentantul Endava.
Ce se întâmplă când prevenția nu mai este suficientă
În condițiile în care nu toate atacurile pot fi oprite, organizațiile trebuie să pregătească atât planul de răspuns la incidente, cât și pe cel de recuperare în caz de dezastru. Acestea trebuie să stabilească timpul în care serviciile vor fi repuse în funcțiune și cantitatea maximă de date pe care compania își permite să o piardă.
O măsură importantă este păstrarea unor copii de siguranță separate de mediile de producție, astfel încât acestea să nu poată fi afectate odată cu sistemele principale.
„Este realist să presupunem că unele atacuri vor reuși să treacă de măsurile de prevenție, pe fondul creșterii complexității sistemelor, al deficitului de specialiști în securitate cibernetică și al utilizării tot mai dese a inteligenței artificiale. De aceea, este vital ca organizațiile să aibă un plan de răspuns la incidente (IRP) și un plan de recuperare în caz de dezastru (DR), care să includă obiective clare privind timpul necesar pentru restabilirea serviciilor (RTO) și volumul maxim de date care poate fi pierdut în urma unui incident (RPO). Aceste obiective trebuie definite și implementate cât mai devreme, chiar dacă presupun investiții semnificative. Un exemplu îl reprezintă existența unor copii de siguranță segregate de mediile de producție, de preferat offline și sincronizate periodic”, a explicat Alexandru.
Planurile de continuitate trebuie testate la modificările importante ale infrastructurii și, în mod ideal, la fiecare trei până la șase luni. Exercițiile de recuperare a datelor pot fi organizate cel puțin anual, pentru a verifica dacă obiectivele stabilite pot fi atinse în realitate.
Simulările scot frecvent la iveală backupuri care nu pot fi restaurate complet, dependențe necunoscute între sisteme, termene nerealiste și responsabilități care nu au fost definite clar.
„Continuitatea de business este un lucru esențial pentru orice companie digitală, iar planul pentru acesta (BCP) trebuie să conțină exerciții și teste periodice ori de câte ori se fac modificări substanțiale sau preferabil periodic o dată la 3-6 luni. Exercițiile pentru recuperarea datelor se pot executa cel puțin o dată pe an. Greșelile frecvent descoperite în timpul acestor simulări sunt legate de date ce nu pot fi restaurate complet, dependențe necunoscute, timpi de restaurare (RTO/RPO) imposibil de atins în practică sau roluri și responsabilități neclare. Noi, la Endava, desfășurăm periodic exerciții de acest tip cu scopul de a ne asigura că avem implementate măsurile necesare care ne permit continuarea activității.”
Primii pași către o strategie unitară
O companie care utilizează mai mulți furnizori, dar nu are încă o strategie comună de securitate, ar trebui să înceapă prin centralizarea accesului, monitorizarea resurselor și definirea unui model unic de guvernanță. Politicile și controalele trebuie apoi aplicate consecvent în toate infrastructurile.
„Primele trei măsuri care ar trebui adoptate sunt centralizarea și gestionarea eficientă a accesului la infrastructură, implementarea unui sistem de observabilitate și monitorizare a resurselor și accesului și, nu în ultimul rând, definirea unei strategii unitare de securitate. Aceasta trebuie să aibă la bază un model de guvernanță comun pentru toți furnizorii de servicii cloud, care să asigure aplicarea consecventă a politicilor și controalelor de securitate.”
În următorii trei până la cinci ani, riscurile vor crește odată cu gradul de complexitate al aplicațiilor și ecosistemelor digitale. Atacatorii se vor concentra mai mult pe angajați, identități digitale și lanțuri de aprovizionare, iar modelele AI mai performante le vor permite să automatizeze atacurile și să creeze campanii de phishing mai convingătoare.
În paralel, vor crește amenințările care vizează direct sistemele bazate pe inteligență artificială, de la atacuri de tip „prompt injection” și „data poisoning” până la compromiterea agenților AI.
„Riscurile asociate mediilor multi-cloud vor crește direct proporțional cu creșterea complexității aplicațiilor și a ecosistemelor digitale ce se construiesc în jurul acestui concept. Vor crește și mai mult atacurile direcționate împotriva angajaților cu scopul de a intra în posesia conturilor și cele legate de lanțurile de aprovizionare. Pregătirea trebuie să înceapă cât mai rapid prin creșterea nivelului de cunoștințe de securitate, gestionarea mai eficientă a identităților digitale, implementarea principiului Zero-Trust pentru limitarea efectelor în lanț.”
Pentru companiile din România și Europa Centrală, pregătirea presupune atât măsuri tehnice și instruirea angajaților, cât și aplicarea standardelor și reglementărilor din domeniu.
„Referitor la inteligența artificială, atacatorii vor avea acces la modele mai capabile să automatizeze atacurile de securitate, să creeze mult mai eficient campanii de phishing sau să vizeze direct modelele de AI prin atacuri de tip «prompt injection» sau «data poisoning» ori cele îndreptate împotriva agenților AI. Implementarea regulilor de bune practici și punerea în aplicare a reglementărilor din domeniu precum DORA, NIS2, PCI DSS etc. este esențială pentru companiile din România și Europa Centrală”, a mai spus Alexandru.
