Die Codierer erobern die Sicherheitsinfrastruktur als Code-Reihe: Sicherheitsfunktionen deaktiviert

Die Bedrohungen für die Cybersicherheit sind heutzutage allgegenwärtig und unaufhörlich. Je mehr Facetten unseres Lebens digitalisiert werden, desto größer ist das Risiko für Cyberkriminelle: Es gibt zu viel Code zu schützen und private Daten sind zu wertvoll. Und nun ja, es ist fast unmöglich geworden, auf dem Laufenden zu bleiben und alle Aspekte der Angriffsfläche zu verteidigen, sobald die Programme einmal eingesetzt sind.

Es gibt Ansätze, die einige dieser Symptome lindern können, und einer davon wird deutlich, wenn kluge Unternehmen das Konzept „Infrastructure as Code“ (IaC) übernehmen. Natürlich gibt es, wie bei jeder Entwicklung, einige Sicherheitshindernisse zu überwinden. Und da die Entwickler an dem Code arbeiten, der die für das Hosting der Anwendungen unverzichtbare Infrastruktur generiert, ist das Sicherheitsbewusstsein in jeder Phase des Prozesses von entscheidender Bedeutung.

Wie kann also ein Entwickler, der neu in einer Cloud-Serverumgebung ist, seine Fähigkeiten verbessern, die Feinheiten erlernen und mit einem größeren Sicherheitsbewusstsein an die Entwicklung herangehen? Wir haben die nächste Serie „Coders Conquer Security” erstellt, um die häufigsten Schwachstellen von IaC anzugehen. Die nächsten Blogs werden sich auf die Maßnahmen konzentrieren, die Sie als Entwickler ergreifen können, um mit der Implementierung einer sicheren Infrastruktur als Code in Ihrem eigenen Unternehmen zu beginnen.

Vamos a empezar.

Es gibt eine Fabel aus dem amerikanischen Wilden Westen über einen Mann, der paranoid war und dachte, dass Banditen sein Haus überfallen und ausrauben würden. Um dem entgegenzuwirken, investierte er in alle möglichen Sicherheitsmaßnahmen, wie zum Beispiel den Einbau einer sehr stabilen Eingangstür, das Verbarrikadieren aller Fenster und die Anschaffung vieler Waffen, die er griffbereit aufbewahrte. Dennoch wurde er eines Nachts im Schlaf ausgeraubt, weil er vergessen hatte, die Seitentür zu schließen. Die Banditen fanden einfach die deaktivierte Sicherheitsvorrichtung und nutzten die Situation schnell aus.

Die Sicherheitsfunktionen in Ihrer Infrastruktur zu deaktivieren, ist damit vergleichbar. Selbst wenn Ihr Netzwerk über eine solide Sicherheitsinfrastruktur verfügt, nützt dies wenig, wenn bestimmte Elemente deaktiviert wurden.

Lassen Sie mich eine Herausforderung stellen, bevor wir eintauchen:

Besuchen Sie den obigen Link und Sie gelangen zu unserer gamifizierten Schulungsplattform, auf der Sie versuchen können, eine Schwachstelle einer derzeit deaktivierten Sicherheitsfunktion zu beseitigen. (Achtung: Die Seite wird in Kubernetes geöffnet, aber über das Dropdown-Menü können Sie zwischen Docker, CloudFormation, Terraform und Ansible wählen).

¿Cómo te fue? Si aún tienes trabajo por hacer, sigue leyendo:

Sicherheitsfunktionen können aus verschiedenen Gründen deaktiviert werden. Einige Anwendungen und Frameworks sind möglicherweise standardmäßig deaktiviert und müssen zuerst aktiviert werden, damit sie funktionieren. Es ist auch möglich, dass Administratoren bestimmte Sicherheitsfunktionen deaktiviert haben, um bestimmte Aufgaben einfacher ausführen zu können, ohne ständig mit Herausforderungen oder Blockaden konfrontiert zu sein (z. B. die Veröffentlichung eines AWS S3-Buckets). Nach Abschluss ihrer Arbeit vergessen sie möglicherweise, die deaktivierten Funktionen wieder zu aktivieren. Möglicherweise ziehen sie es auch vor, sie deaktiviert zu lassen, um ihre Arbeit in Zukunft zu erleichtern.

Warum sind deaktivierte Sicherheitsfunktionen so gefährlich?

Das Deaktivieren einer oder mehrerer Sicherheitsfunktionen ist aus mehreren Gründen nicht empfehlenswert. Zum einen wurde die Sicherheitsfunktion in die Infrastrukturressourcen integriert, um diese vor bekannten Exploits, Bedrohungen oder Schwachstellen zu schützen. Wenn sie deaktiviert ist, kann sie Ihre Ressourcen nicht schützen.

Angreifer versuchen immer zuerst, Schwachstellen zu finden, die sich leicht ausnutzen lassen, und verwenden dazu unter Umständen sogar ein Skript, um die häufigsten Schwachstellen zu analysieren. Das ist vergleichbar mit einem Dieb, der alle Autos in einer Straße überprüft, um zu sehen, ob eine Tür offen ist, was viel einfacher ist, als eine Scheibe einzuschlagen. Hacker werden überrascht sein, wenn sie feststellen, dass eine gängige Sicherheitsmaßnahme inaktiv ist. Aber wenn das passiert, werden sie nicht lange brauchen, um sie auszunutzen.

Zweitens führt eine gute Sicherheit, die anschließend deaktiviert wird, zu einem falschen Gefühl der Sicherheit. Administratoren könnten glauben, dass sie vor den gängigsten Bedrohungen geschützt sind, wenn sie nicht wissen, dass jemand diese Schutzmaßnahmen deaktiviert hat.

Als Beispiel dafür, wie ein Angreifer eine deaktivierte Sicherheitsfunktion ausnutzen könnte, betrachten Sie die Sicherheitsfunktion von AWS S3 zum Blockieren des öffentlichen Zugriffs. Mit der Sperrung des öffentlichen Zugriffs auf Amazon S3 können Kontoadministratoren und Postfachbesitzer auf einfache Weise zentralisierte Kontrollen einrichten, um den öffentlichen Zugriff auf ihre Amazon S3-Ressourcen zu beschränken. Einige Administratoren, die Probleme beim Zugriff auf den S3-Bucket haben, entscheiden sich jedoch dafür, ihn öffentlich zugänglich zu machen, um die Aufgabe so schnell wie möglich zu erledigen. Wenn Sie vergessen, diese Sicherheitsfunktion zu aktivieren, hat der Angreifer uneingeschränkten Zugriff auf die in diesem S3-Bucket gespeicherten Informationen, was nicht nur zur Offenlegung der Informationen führt, sondern auch zusätzliche Kosten aufgrund der Datenübertragungsgebühren verursacht.

Vergleichen wir einige Codes aus der realen Welt; sehen Sie sich diese CloudFormation-Fragmente an:

Verwundbar:

Unternehmens-Bucket:
Typ: AWS: :S3: :Bucket
Eigenschaften:
Konfiguration des öffentlichen Zugriffsblocks:
blockPublicACLS: false
BlockPublicPolicy: false
ignorePublicacls: false
restrictPublicBuckets: false
Konfiguration der Versionskontrolle:
Status: Aktiviert
Verschlüsselung von Buckets:
Konfiguration der serverseitigen Verschlüsselung:
- Standardmäßige serverseitige Verschlüsselung:
SSE-Algorithmus: „AES256”

Sicher:

Unternehmensspeicher:
Typ: AWS: :S3: :Bucket
Eigenschaften:
Konfiguration des öffentlichen Zugriffsblocks:
BlockPublicACLS: wahr
BlockPublicPolicy: wahr
ignorePublicacls: wahr
RestrictPublicBuckets: wahr
Versionskontrollkonfiguration:
Status: Aktiviert
Bucket-Verschlüsselung:
Serverseitige Verschlüsselungskonfiguration:
- Standardmäßige serverseitige Verschlüsselung:
SSE-Algorithmus: „AES256”

Deaktivierte Sicherheitsfunktionen verhindern

Es ist sowohl eine Frage der Politik als auch der Praxis, zu verhindern, dass deaktivierte Sicherheitsfunktionen Ihrem Unternehmen schaden. Es muss eine strenge Richtlinie geben, die festlegt, dass Sicherheitsfunktionen nur unter ganz bestimmten Umständen deaktiviert werden dürfen. Vorfälle, bei denen Funktionen vorübergehend deaktiviert werden müssen, um ein Problem zu beheben oder Anwendungen zu aktualisieren, müssen protokolliert werden. Nach Abschluss der erforderlichen Arbeiten müssen die Funktionen überprüft werden, um sicherzustellen, dass sie vollständig wieder aktiviert wurden.

Wenn eine Sicherheitsfunktion dauerhaft deaktiviert werden muss, um den Betrieb zu beschleunigen, müssen andere Schutzmaßnahmen für die betroffenen Daten bereitgestellt werden, um sicherzustellen, dass Hacker ohne den voreingestellten Schutz nicht auf diese Daten zugreifen können. Wenn eine erforderliche Schutzfunktion deaktiviert wurde, ist es nur eine Frage der Zeit, bis ein Angreifer die offene Tür findet und die Situation ausnutzt.

Erfahren Sie mehr, fordern Sie sich selbst heraus:

Werfen Sie einen Blick auf den Secure Code Warrior Blog-Seiten, um mehr über diese Sicherheitslücke zu erfahren und zu erfahren, wie Sie Ihr Unternehmen und Ihre Kunden vor den Folgen anderer Sicherheitslücken und -schwachstellen schützen können.

Sind Sie bereit, diese Schwachstelle zu finden und zu beheben, nachdem Sie den Beitrag gelesen haben? Dann legen Sie los!Testen Sie eine gamifizierte Sicherheitsherausforderung für iMac auf der Secure Code Warrior Plattform Secure Code Warrior Ihre Cybersicherheitskenntnisse auf dem neuesten Stand zu halten.

Dies ist eine wöchentliche Serie, die unsere acht wichtigsten Schwachstellen in der Infrastruktur als Code behandelt. Schauen Sie nächste Woche wieder vorbei, um mehr zu erfahren!