V rámci bezpečnosti cloudu sa stretávame so zdieľanou zodpovednosťou. Používateľ sa stará o bezpečnosť v cloude a poskytovateľ sa stará o bezpečnosť cloudu samotného. Keď sa hovorí o bezpečnostných incidentoch v cloude, prvá otázka, ktorá napadne manažérov, znie: zlyhal poskytovateľ?
V minimálnom množstve prípadov je odpoveď áno. AWS, Azure a Google ako poskytovatelia investujú do zabezpečenia svojej infraštruktúry viac, než by si väčšina firiem mohla dovoliť sama. Problém nevzniká tam. Vzniká o poschodie vyššie v tom, ako firma nastaví to, čo je jej zodpovednosťou.
Nadmerné oprávnenia
Najčastejšia chyba je jednoduchá: niekto dostane oprávnenia, ktoré prevyšujú to, čo skutočne potrebuje na svoju prácu. Vývojárovi sa pridelí rola s vysokými oprávneniami na úrovni celého účtu, „len aby sa veci pohli rýchlejšie". Znie to ako neškodná skratka, kým sa jeho účet nekompromituje cez bežný phishingový e-mail. Útočník potom nemá k dispozícii len jeden server, ale má kontrolu nad celým prostredím vrátane záloh. Pri obmedzenej role, ktorá dovoľuje pracovať len s vlastnými zdrojmi, by rovnaký útok skončil oveľa menšou škodou. Rozdiel medzi „poškodená jedna aplikácia" a „poškodené celé prostredie" je jedno zle nastavené oprávnenie.
Verejne vystavené porty a zdroje
Druhá bežná chyba je ešte jednoduchšia na vysvetlenie: server, ktorý nemusí byť viditeľný z internetu, viditeľný je. Správcovský prístup cez RDP alebo SSH nechaný otvorený priamo do sveta je jeden z najčastejších vstupných bodov pri útokoch hrubou silou. Riešenie pritom existuje bez toho, aby ste sa museli vzdať vzdialenej správy - bezpečný prístup cez privátny tunel alebo dočasné otvorenie portu len na obmedzený čas s potrebou schválenia. To, čo nie je vystavené na internete, sa nedá skenovať ani napadnúť zvonku.
Chýbajúce MFA a slabá správa identít
Viacfaktorové overenie by dnes malo byť samozrejmosťou bez výnimky pre bežného používateľa aj pre administrátora. Napriek tomu sa v praxi stále nájdu účty, najmä tie staršie alebo servisné, ktoré túto podmienku obchádzajú. K tomu sa pridáva ďalší zlozvyk: prideľovanie prístupových práv jednotlivým používateľom namiesto skupinám. Pri desiatkach či stovkách takýchto priradení stráca firma prehľad o tom, kto má k čomu prístup a bez tohto prehľadu je pri kontrole alebo incidente takmer nemožné rýchlo zistiť, čo sa stalo a kto mal na to prístup.
Netestované zálohy a zabudnuté zdroje
Firmy sa boja straty dát, no zálohovanie berú ako formalitu, ktorú raz nastavia a viac sa k nej nevrátia. Záloha, ktorú ste nikdy neskúsili obnoviť, nie je záruka, je to len predpoklad. Slovensko to zažilo naostro pri útoku na kataster nehnuteľností v januári 2025 útočníci zašifrovali dáta a zálohy boli dostupné z tej istej zasiahnutej siete, takže sa museli najprv preverovať, či neboli poškodené tiež, namiesto toho, aby ich bolo možné okamžite použiť. Podobne to platí pre zdroje, ktoré niekto vytvoril a zabudol na ne: disky odpojené od zmazaných serverov, staré verejné IP adresy, testovacie prostredia bežiace mesiace po skončení projektu. Nie sú len zbytočným nákladom. Sú to neriadené vstupné body, o ktorých bezpečnostný tím ani nevie, že existujú.
Čo to znamená pre vás
Väčšina bezpečnostných incidentov v cloude je predvídateľná a dá sa jej predísť bez nákupu nového nástroja. Stačí dôsledne uplatňovať to, čo cloud už ponúka. Dobrým začiatkom je pravidelne sledovať vlastné bezpečnostné skóre prostredia a riešiť odporúčania podľa toho, ktoré majú najväčší dopad pri najmenšej námahe. Veľmi dobrým krokom je zapnúť si už existujúce služby, ktoré bezpečnostné incidenty sledujú samé. Často stačí jeden klik a bezpečnosť sa opäť posunie o kus dopredu.
Otázka na vás: Kedy ste naposledy skontrolovali, kto má vo vašej organizácii rolu Owner (rola, ktorá má prístup ku všetkému) a či ju skutočne potrebuje?
SP Software Solutions | Just Cloud IT