Se l'utilizzo di un server cloud è positivo, allora l'utilizzo di più server cloud non sarebbe ancora meglio?
Questo sembra essere il pensiero di molte grandi organizzazioni, che si stanno rivolgendo sempre più all'infrastruttura multicloud come best practice: in un recente Sondaggio della Harvard Business Review, L'85% degli intervistati ha dichiarato che "le loro organizzazioni utilizzano almeno due cloud e un quarto di essi ne utilizza cinque o più". Flexera Rapporto sullo stato del cloud 2022 rileva che "il multicloud è l'infrastruttura cloud più diffusa, con 89% di imprese che vi fanno affidamento".
L'utilizzo di una combinazione di più infrastrutture cloud, tra cui AWS, Azure e Google Cloud Platform, offre vantaggi reali alle organizzazioni che possono ottimizzare le prestazioni, garantire la resilienza ed evitare di affidarsi troppo a un unico fornitore.
Ma se da un lato l'infrastruttura multicloud può aiutare le aziende a raggiungere obiettivi chiave, dall'altro introduce nuove sfide per gli amministratori.
Nella migliore delle ipotesi, queste sfide potrebbero tradursi in inefficienze e sprechi di energie. Nel peggiore dei casi, la gestione degli utenti, dei diritti, degli accessi, dell'autenticazione e della revoca dell'accesso in più ambienti cloud potrebbe esporre le aziende a rischi inutili e introdurre gravi vulnerabilità di sicurezza.
In troppi casi, le funzioni di sicurezza dei fornitori di cloud sono insufficienti a risolvere questi problemi. Dopo aver studiato diversi fallimenti della governance del cloud e aver fornito consulenza alle organizzazioni orientate alla sicurezza sui modi migliori per affrontarli, abbiamo messo insieme le seguenti best practice di governance dell'identità per aiutare le aziende a proteggere il cloud e passare a zero trust.
La crescita degli ambienti multicloud e le relative sfide nella gestione dei diritti cloud in espansione stanno portando a rischi crescenti.
Gli amministratori devono rendersi conto che queste sfide possono sorgere fin dall'inizio. È probabile che i team IT scoprano che i complessi ambienti di gestione delle identità e degli accessi (IAM) dei loro fornitori di cloud non si allineano con la cronologia di utilizzo e i privilegi di accesso dei loro clienti on-premise. Ed è qui che inizierà il problema: VentureBeat ha recentemente riportato la previsione di Gartner secondo cui "il 99% dei fallimenti della sicurezza del cloud" deriverà da errate configurazioni dei controlli.
"Più una configurazione multicloud è complessa, più diventa un campo minato per l'implementazione di zero-trust".
Questo problema è un problema che gli amministratori dovranno affrontare subito imparando a conoscere le varie funzionalità IAM predeterminate dei fornitori di cloud, per poi capire come configurarle e gestirle.
In linea di massima, vediamo tre principali sfide di governance delle identità che si espandono man mano che le organizzazioni passano ad ambienti multicloud. Queste sfide possono derivare dalle politiche di governance originali dell'organizzazione, da quelle del cloud provider o da una combinazione di entrambe:
- Esposizione accidentale dei dati: Spesso derivano da una configurazione errata dei diritti e delle risorse, in cui una risorsa viene lasciata come pubblica quando invece dovrebbe essere privata. Gartner ha anche previsto che quest'anno la metà delle aziende "esporrà inconsapevolmente ed erroneamente alcune applicazioni, segmenti di rete, storage e API direttamente al pubblico, rispetto a un quarto del 2018".
- Diritti eccessivi: Se un profilo utente è sovraprovisionato in un ambiente e lo stesso profilo viene migrato in un altro ambiente, si ha a che fare con un raggio d'azione ancora più ampio. Il problema cresce in modo esponenziale man mano che le organizzazioni adottano un numero sempre maggiore di ambienti cloud. Anche se è un'idea vecchia, le organizzazioni devono passare al minimo privilegio necessario: ogni utente deve avere il minimo indispensabile per svolgere il proprio ruolo. I privilegi minimi non sono solo una buona sicurezza informatica, ma anche un componente chiave per passare a una postura di fiducia zero.
- Password deboli e riciclate: Analogamente al passaggio degli utenti in over-provisioning da un ambiente all'altro, gli utenti riciclano spesso le stesse password da un tenant cloud all'altro. Una password debole è un male, usarla per accedere a più ambienti cloud è ancora peggio. Le aziende dovrebbero cercare di utilizzare l'autenticazione senza password quando possibile; nel frattempo, dovrebbero almeno imporre la rotazione delle password e aggiungere processi di autenticazione a più fattori (MFA).
Uno dei modi in cui il settore sta rispondendo a queste nuove sfide è il Cloud Infrastructure Entitlement Management (CIEM), un nuovo processo per la gestione dei problemi di autorizzazione del cloud identity-as-a-service. Il CIEM tiene conto delle modalità specifiche con cui i locatari del cloud aumentano la frequenza e l'impatto dei problemi di abilitazione al cloud.
Il CIEM si aggiunge a programmi di governance correlati come il Customer Identity and Access Management (CIAM), l'External Identity and Access Management (XIAM) e l'Enterprise Identity and Access Management (EIAM), che cercano tutti di tenere conto dei crescenti tipi di utenti e dei diversi diritti di cui ciascuno ha bisogno.
Ma a differenza di CIAM, XIAM e EIAM, CIEM cerca di fare di più che gestire i diritti e garantire abrogazioni efficaci. Le soluzioni CIEM forniscono anche un'anteprima dei diritti attuali, assicurano un'efficace revisione degli accessi, verificano che i diritti di tutti i tipi di utenti siano in linea con l'uso previsto e impediscono a qualsiasi diritto di esporre dati, informazioni o sistemi aziendali.
I team di sicurezza e IT si rivolgono al CIEM perché i rischi di qualsiasi ambiente cloud pubblico sono maggiori rispetto agli ambienti on-premise, dato che gli ambienti cloud sono accessibili ventiquattro ore al giorno. Questi rischi aumentano esponenzialmente quando le organizzazioni integrano più ambienti cloud.
Un'altra esigenza che il CIEM soddisfa è il controllo dei costi degli ambienti cloud pubblici. Considerate cosa potrebbe accadere se un dipendente che ha gestito le risorse del cloud pubblico lascia l'azienda. Senza i giusti controlli e ridondanze, una risorsa destinata a funzionare solo per un tempo determinato potrebbe continuare a consumare risorse senza un proprietario che la gestisca.
Le aziende potrebbero incorrere in maggiori costi se si dimenticano di una risorsa cloud. Potrebbero anche esporsi a maggiori vulnerabilità: gli ex amministratori potrebbero creare host sotto il dominio della loro ex azienda, fare phishing ai clienti ed esfiltrare le loro informazioni. È grave quando un truffatore si spaccia per il vostro marchio e ruba una password; è molto peggio quando l'abuso del marchio proviene dall'interno dell'azienda.
Infine, gli attori delle minacce potrebbero violare il cloud provider stesso e utilizzare tale accesso per attaccare i suoi clienti. Nel dicembre 2021, Il ministero della Salute brasiliano ha rivelato che gli aggressori hanno rubato le credenziali degli utenti dall'ambiente dell'infrastruttura di un fornitore di cloud. L'accesso ha permesso agli aggressori di distruggere le risorse che il ministero aveva ospitato presso il provider, mandando in tilt il sistema. ConecteSUS e, in ultima analisi, impedire ai brasiliani di ricevere le vaccinazioni durante la pandemia.
La buona notizia è che esistono best practice di governance che le organizzazioni possono implementare per proteggere gli ambienti multicloud.
La violazione del ministero della Salute brasiliano ha dimostrato che le organizzazioni dovrebbero mantenere un ambiente IGA distinto per gestire i diritti dei fornitori di cloud, separato dai loro ambienti CIEM e EIAM.
Un ambiente IGA separato può gestire meglio il volume e la complessità dei dati necessari per controllare i diritti degli utenti. Inoltre, dato il rischio di violazione, mantenere un sistema di governance separato rende più difficile per gli hacker muoversi lateralmente e accedere alle informazioni critiche.
Sia che si tratti di creare un ambiente completamente separato, sia che si tratti di combinare un ambiente di governance con altri dati, i team di sicurezza devono considerare tutti gli utenti che possono accedervi come account privilegiati, in quanto tali utenti possono accedere a strumenti e risorse dell'infrastruttura ad alto rischio.
Allo stesso modo, i team che si occupano di sicurezza devono assicurarsi che il sistema utilizzato per gestire l'istanza CIEM riceva un livello adeguato di protezione a più livelli. Come minimo, questo dovrebbe includere l'autenticazione a più fattori (MFA). In genere, i fornitori di cloud facilitano l'inclusione dell'MFA, che può contribuire a proteggere sia un ambiente specifico che l'intero provider di cloud.
Sebbene l'MFA sia un primo passo importante per la sicurezza del CIEM, è solo il primo passo: le organizzazioni dovrebbero considerare anche l'inclusione di funzionalità che le avvicinino alla fiducia zero, tra cui la possibilità di modificare dinamicamente i requisiti di autenticazione.
Le organizzazioni possono ottenere questa capacità utilizzando l'autenticazione contestuale per valutare dinamicamente il rischio: i sistemi di sicurezza intelligenti possono valutare la posizione dell'utente, il dispositivo, la rete e altri segnali per esaminare il rischio in tempo reale e limitare l'accesso se necessario. Misure aggiuntive, tra cui la rotazione delle password, l'attivazione temporanea dei diritti, la gestione delle sessioni e l'auditing, possono aggiungere ulteriore sicurezza agli ambienti di governance.
I team di sicurezza possono utilizzare questi segnali per alimentare e addestrare gli strumenti di monitoraggio degli eventi di sicurezza: con la visibilità delle azioni degli utenti, i sistemi IAM intelligenti possono imparare a capire quali eventi sono attesi e quali indicano un rischio.
Se il sistema rileva un problema, il team di risposta agli incidenti di un'organizzazione deve essere in grado di utilizzare qualsiasi strumento gestisca l'accesso per bloccare gli account sfruttati.
Poiché l'uso di ambienti multicloud è così diffuso, le organizzazioni devono assicurarsi che la sicurezza sviluppata per un determinato ambiente possa essere estesa anche agli altri.
Qualunque sia la soluzione utilizzata da un'organizzazione per gestire un singolo ambiente cloud, deve essere in grado di esportare criteri di accesso simili a diversi provider. I diritti assegnati a un amministratore di database in Azure dovrebbero rispecchiare i diritti assegnati alla stessa persona quando amministra un ambiente AWS. In questo modo le organizzazioni possono scalare le impostazioni di sicurezza man mano che integrano più ambienti cloud.
Molti strumenti di mercato CIEM forniscono questa mappatura per i profili standard, ma non sempre sono in grado di estendere i profili personalizzati in ambienti multicloud. Questi profili personalizzati potrebbero non tenere traccia dei profili personalizzati, degli amministratori o di altri utenti ad alto rischio, quindi le organizzazioni devono assicurarsi di capire come funzionano le funzioni di mappatura per i diversi tipi di utenti da un ambiente cloud all'altro.
