Del 1 -Penetrationstestning i Azure och vikten av säkerhetsgranskning och vaksamhet i molnet

Del 1 -Penetrationstestning i Azure och vikten av säkerhetsgranskning och vaksamhet i molnet 

Med mångårig erfarenhet inom branschen med säkerhet som huvudfokus, vill vi på Orange Cyberdefense belysa behovet av en säker molnmiljö i denna blogg-serie.

Vi kommer att belysa säkerhet i molnmiljöer, dock kommer det inte att bli en heltäckande serie utan vi kommer att fokusera på områden som är intressanta ur ett penetrationstest-perspektiv (i fortsättningen förkortat ”pentest”).

I denna serie läggs fokus specifikt på Microsoft Azure, en molnmiljö som ökar alltmer i popularitet.

Migrering av IT-infrastruktur från lokal drift till molnet kan skapa många frågor och funderingar som berör säkerhetsaspekter. Några av dessa scenarier kommer beskrivas under kommande blogg-poster.
T.ex. kommer vi att beröra felkonfigurationer och dess konsekvenser, eskalering av privilegier, lagrade inloggningsuppgifter, lagringskonton etc. Låt oss dock först börja med att titta på några utmaningar med att administrera saker i molnet.

Utmaningar

Ökad komplexitet

Att administrera applikationer och tjänster i molnet följer i grund och botten samma principer som att administrera dem lokalt.

Administration och arkitektur skiljer sig en hel del mellan olika miljöer, och det finns ett mycket stort utbud av tjänster och konfigurationsmöjligheter.

Det är mycket enkelt att driftsätta nya lösningar i molnmiljöer, vilket gör att det som traditionellt sköttes av IT-avdelningen och dedikerade administratörer, idag kan vara utspritt på olika team som arbetar individuellt. Det lämnar utrymme för konfiguration som inte följer en gemensam standard och lätt blir komplex och svår att överblicka i större miljöer.

BYOD och lagrade inloggningsuppgifter

“Bring your own device” eller BYOD är ett koncept där användaren nyttjar utrustning som inte tillhandahålls av företaget. Det kan förekomma både i och utanför företagets nätverk.

Detta innebär stora utmaningar för företagen eftersom IT har mindre kontroll över dessa enheter. De faller inte under företagets IT-policy, och kan t.ex. helt sakna endpoint-skydd. När man tittar på molnlösningar och administrationen av dessa kan BYOD orsaka en ny typ av problem. De inloggningsuppgifter som används för att autentisera mot molnlösningar sparas i många fall temporärt på hårddisk. Även andra typer av data och filer kan laddas ner och oavsiktligt lämnas kvar på dessa enheter. Företeelsen med lagrade inloggningsuppgifter och riskerna med det kommer vi att belysa i en kommande artikel.

Implementation och upprätthållande av policies

Policy är en av byggstenarna i varje organisations IT-infrastruktur. Upprätthållandet av dessa är av stor vikt för hur processer hanteras.

I Azure finns möjlighet att skapa policies eller riktlinjer i Policy-tjänsten. Avsaknad av riktlinjer, eller om de är för frikostigt implementerade, lämnar utrymme för konfiguration som kan avvika från säkerhetspraxis så som principen om lägsta behörighet och “defense in depth”.

Detta kan i sin tur öppna säkerhetsluckor t.ex. genom att användare eller objekt får högre rättigheter än nödvändigt. Något en attackerare kan dra nytta av vid en attack.

Konsekvensen av intrång kan öka

Det kommer löpande nyheter i media om intrång och dataläckage från molnmiljöer med allvarliga konsekvenser. Det finns gott om exempel på intrång där attackeraren har kommit över admin-rättigheter till företags kontrollpanel för molnmiljöer. I de fall backuper ligger på samma plattform, har attackeraren kontroll även över dessa. I en attack mot CodeSpace 2014 så hände just detta. När företaget inte betalade en krävd lösensumma började attackeraren att radera data och med admin-rättigheter kunde även backuperna saboteras. Det slutade tyvärr med att företaget inte kunde fortsätta sin verksamhet och fick stänga ner.

Delad ansvarsmodell

För en lösning som driftsätts i molnet finns ett delat ansvar mellan kunden och leverantören för olika aspekter av drift och säkerhet.

Hur ansvaret fördelas beror på vilken tjänstemodell som används för den aktuella molntjänsten.
De vanligaste tjänstemodellerna som används kallas “Infrastructure as a Service” (IaaS), “Platform as a Service” (PaaS) och “Software as a Service” (SaaS), många är vid det här laget bekanta med de termerna.

Uppdelningen av ansvar för de olika tjänstemodellerna finns angivet i den så kallade “Shared responsibility model” som visar vilka ansvarsområden leverantören respektive kunden har.

I bilden nedan visas områden där det från ett pentest-perspektiv vanligtvis förekommer säkerhetsbrister.

Säkerhetshot som är unika för molnmiljöer

Molnmiljöer öppnar också upp för nya attackytor som inte funnits tidigare.

Exempel på detta kan vara:

• Dataläckage från lagringskonton
• Övertagande av admin-rättigheter till administrations-konsollen för molnet. Detta ger attackeraren total kontroll över hela molnmiljön, vilket var fallet I CodeSpace attacken ovan.
• Sammankoppling mellan mailkonton och användarrättigheter i molnmiljön som möjliggör Spear Phishing attacker och övertagande av konton med rättigheter i molnmiljön.
• SaaS tjänster och integrationer med tredjepartsmjukvara kan öppna upp attackytor som orsakats av brister hos SaaS leverantören.

Flera av punkterna ovan kommer att beröras i kommande artiklar.

Åtgärder

För de scenarier vi kommer att gå igenom, kommer vi också att beskriva möjliga åtgärder för att bemöta hoten.

Exempel på vanliga åtgärder är:

• Multi Factor Authentication (MFA)
• Starka lösenord
• Implementation av företagsanpassade policies
• Övervakning av behörighetstilldelning
• Loggning
• Säkerställande av kryptering av data
• Användande av VPN
• Backup
• Löpande riskbedömningar
• Löpande configuration review
• Återkommande pentest av molnmiljöer och lösningar som driftsätts i molnet

Del 1 -Penetrationstestning i Azure och vikten av säkerhetsgranskning och vaksamhet i molnet  -Slutsats

Det är mycket enkelt att driftsätta nya lösningar i molnmiljöer, men det finns också risk för felkonfiguration och säkerhetsbrister i design och arkitektur som öppnar upp möjliga attackytor.

Med utmaningarna ovan i åtanke, kommer vi att belysa några konkreta exempel på risker och åtgärder som är intressanta att känna till både ur ett allmänt och ett pentest-perspektiv.

I nästa artikel kommer vi att titta på vikten av starka lösenord och MFA.

Läs mer:
Del 2 – Penetrationstestning i Azure – Användarkonton och lösenordsattacker
Del 3 – Penetrationstestning i Azure och risker med lagrade autentiseringsuppgifter
Del 4 – Penetrationstestning i Azure – Hanterade Identiteter, eskalering av privilegier och dataläckage från lagringskonton