ACTUALIZARE Kaspersky: Metodologie nouă de testare a penetrării pentru securitatea cloud
Compania de securitate cibernetică Kaspersky a prezentat o nouă metodologie de testare a penetrării, concepută pentru a identifica vulnerabilități critice de izolare în infrastructurile cloud. Noua abordare verifică limitele de securitate dintre mediile clienților, sistemele de administrare și infrastructura fizică a furnizorilor, evidențiind riscul ca atacatorii să treacă de la compromiterea unui singur cont sau container la accesarea tuturor sistemelor interne ale furnizorului și la afectarea datelor altor clienți.
Conform cercetării Kaspersky, testele tradiționale de penetrare se limitează frecvent la consolele web externe și interfețele API publice, mutând accentul asupra verificărilor de suprafață. Specialistul subliniază că obținerea posibilității de executare a unui cod de la distanță în interiorul unui container izolat al unui client reprezintă rareori obiectivul final al unui atacator. În lipsa unor controale stricte de izolare, o breșă inițială poate fi exploatată pentru a pătrunde în zone rezervate personalului, prin furtul identităților angajaților furnizorului, sub forma tokenurilor IAM (Identity and Access Management), prin accesarea fluxurilor centralizate de backup sau până la datele private ale altor clienți.
Pentru a evalua sistematic aceste căi ascunse, Kaspersky clasifică platformele cloud în trei niveluri operaționale: External (extern), care cuprinde portalul public și interfețele API, Overlay (suprapus), ce include mediile interne de execuție a serviciilor, instrumentele de administrare și fluxurile operaționale ale furnizorului, și Underlay (de infrastructură), format din echipamentele fizice, hypervisor-ele și rețelele de stocare. Analizând modul în care conexiunile de rețea, identitățile și comenzile circulă între aceste niveluri, cadrul metodologic permite echipelor de securitate să testeze vectori de atac critici, precum deturnarea tokenurilor de serviciu, deplasarea laterală în rețelele furnizorului și evadarea din mașinile virtuale către hardware-ul fizic al gazdelor.
Pe baza concluziilor cercetării, Kaspersky recomandă furnizorilor de servicii cloud și arhitecților de sisteme IT adoptarea a trei direcții principale de protecție. Acestea includ verificarea izolării în mediile multi-tenant, prin efectuarea unor teste de penetrare specifice, concepute pentru o încercare explicită de deplasare între workload-urile diferiților clienți și nivelurile de administrare ale furnizorului, precum și aplicarea unor limite stricte pentru IAM, prin restrângerea domeniului de utilizare, a duratei de valabilitate și a permisiunilor tokenurilor de serviciu folosite de procesele care rulează în fundal și de sarcinile automate de administrare. De asemenea, se recomandă izolarea serviciilor de infrastructură partajate, prin asigurarea unei separări logice și criptografice stricte între clienții individuali în cadrul serviciilor centralizate de înregistrare a evenimentelor (logging), telemetrie și backup.
Testele tradiționale de securitate aplicate infrastructurilor cloud riscă să ignore vulnerabilități critice de izolare, care ar putea permite atacatorilor să treacă de la compromiterea unui singur cont sau container la accesarea tuturor sistemelor interne ale furnizorului și la afectarea datelor altor clienți. Pentru a identifica aceste riscuri, Kaspersky a dezvoltat o nouă metodologie de testare a penetrării atacurilor cibernetice, concepută pentru a verifica limitele de securitate dintre mediile clienților, sistemele de administrare și infrastructura fizică a furnizorilor de cloud.
Noua abordare a Kaspersky mută accentul de la verificările de suprafață, care se limitează frecvent la consolele web externe și interfețele API publice, către testarea riguroasă a „granițelor de încredere” interne. Cercetarea demonstrează că obținerea unui cod de la distanță în interiorul unui container izolat este rară ținta finală a unui atacator. Fără controale stricte de izolare, o breșă inițială poate fi exploatată pentru a pătrunde în zonele rezervate personalului, permițând furtul de tokenuri IAM (Identity and Access Management), accesarea fluxurilor centralizate de backup sau atingerea datelor private ale altor clienți.
Pentru a evalua sistematic aceste căi ascunse, metodologia Kaspersky clasifică platformele cloud în trei niveluri operaționale. Printre acestea se află nivelul Overlay (suprapus), care cuprinde mediile interne de execuție a serviciilor, instrumentele de administrare și fluxurile operaționale ale furnizorului. Urmărind modul în care conexiunile de rețea, identitățile și comenzile circulă între aceste niveluri, cadrul metodologic permite echipelor de securitate să testeze vectori de atac critici, inclusiv deturnarea tokenurilor de serviciu, deplasarea laterală în rețelele furnizorului și evadarea din mașinile virtuale către hardware-ul fizic.
Pe baza concluziilor cercetării, Kaspersky recomandă furnizorilor de servicii cloud și arhitecților de sisteme IT adoptarea unor măsuri specifice. Acestea includ verificarea izolării în mediile multi-tenant prin teste de penetrare concepute explicit pentru deplasarea între workload-urile diferiților clienți și nivelurile de administrare. De asemenea, se sugerează aplicarea unor limite stricte pentru IAM, limitând domeniul, durata de valabilitate și permisiunile tokenurilor de serviciu, precum și asigurarea izolării criptografice și logice a serviciilor de infrastructură partajate, cum ar fi logging-ul și backup-ul.