Çoklu bulut ortamlarının yükselişi, her bulut sağlayıcısında güvenlik ilkelerinin nasıl uygulanacağını anlama ihtiyacını da beraberinde getiriyor. Üç büyük şirketin – Amazon Web Services (AWS), Microsoft Azure ve Google Cloud Platform’un (GCP) – her birinin farklı terminoloji ve yapılandırmalar kullanması, sorunsuz ve güvenli bir sanal ağ oluşturmayı çok daha karmaşık hale getiriyor.
Bir çift araştırmacı, Black Hat USA 2022’de tek parça, kimlik ve erişim yönetiminin (IAM) nasıl güvence altına alınacağına ilişkin pratik tavsiyelerini paylaştı.
“Bu özel oturumdan anlamanızı istediğimiz bir şey varsa, o da IAM’nin omurga hizmeti olduğudur. Temel hizmettir. Bulut kaynaklarınıza her erişimi kontrol eden ağ geçididir ve korunmalıdır. ,” söz konusu Ermetic’in güvenlik şefi Igal Gofman “Kapıyı Vuran BENİM” ile Noam Dahan, Ermetic’in araştırma lideri.
Çoklu Bulut için Çoklu Stratejiler
Gofman’ın listelediği gibi, kuruluşların birden çok bulut kullanmak için birkaç nedeni var: daha iyi kararlılık için fazlalık eklemek, maliyetleri düşürmek, birden çok satıcının önemli özelliklerinden yararlanmak ve farklı projelerden çakışan platform gereksinimlerine sahip olmak. Ancak kaynakları çeşitli bulutlar arasında bölüştürdüğünüzde, platformların işleyişi arasındaki farkların farkında olmanız ve uyum sağlamanız gerektiğini de sözlerine ekledi.
Gofman, “Tek bir bulut platformunda uzman olmak yeterince zor,” dedi. “Ancak genellikle özellikleri ve rutinleri bir platformdan diğerine kopyalarız. Ve bunlar başlangıçta beklediğimizden farklı çalışabilir.”
Dahan daha sonra Azure, AWS ve GCP’den günlük kaydı özelliklerinin giriş ve çıkışlarını ayrıntılı olarak inceledi. Tespit ve olay yanıtı için günlüğe kaydetmeyi kullanmanın yanı sıra, izin sürecini iyileştirmek için iyi olduğunu söyledi.
“Birinden izin alıp alamayacağınızı bilmek için, genellikle yaptığınız şey, günlükleri incelemeye çalışmak ve gerçekte ne kullandıklarını görmek, bir tür ‘kullan ya da kaybet’ felsefesidir” diye açıkladı.
Dahn, izin vermenin iki ana yaklaşımı olduğunu söyledi: mermerden heykel yapmak veya heykel yapmak kilden. Mermer, bir dizi izinle başlamak ve ardından gerekli minimum izinlere ulaşana kadar parçalamak anlamına gelir; bu çok izin verici olabilir çünkü çok fazla şey kaldırmak istemezsiniz. Clay, yeterince sahip olana kadar izinler oluşturmak anlamına gelir. Dahan, güvenlik personelinin bu modeli sevdiğini, ancak geliştiricilerin gelecekte hangi izinlere ihtiyaç duyacaklarını bilmedikleri için bundan nefret ettiğini söyledi. Daha küçük bir izin yığınıyla başlayıp daha sonra gereken yerlerde geliştirmeyi içeren hibrit bir yaklaşım önerdi.
Kapıda Kim Var?
Konuşmanın başlığı bir diziden geliyor. Kötü kırma, bilim öğretmeniyken metamfetamin kralı Walter White, bir arkadaşının kendisini birinin kapısına gelip onu öldürme tehlikesiyle karşı karşıya olduğu konusunda uyarmasına tepki gösterdiğinde. Öfkelenen Beyaz, “Kapıyı çalan benim” diyerek tehlikeli olanın kendisi olduğunu iddia ediyor. Belki de IAM, Beyaz’ın vekili – basit ve mütevazi görünüyor, ancak gücünü hafife almak tehlikeli. Ya da belki bu sadece bir deyim dönüşüdür.