Bulut iş yükü güvenliği: Güvenlik açıklarına dikkat edin

Bulut iş yükü arttıkça görünürlük ve kontrol genellikle geride kalır – ta ki bir olay hesaplaşmaya zorlayana kadar

Karmaşıklığın birçok şeyin düşmanı olduğu söylenir. Ancak kuruluşlar ve bunların BT sistemleri ve süreçleri söz konusu olduğunda, karmaşıklık tartışmasız siber güvenliğin en büyük düşmanıdır. Birçok BT ve güvenlik uzmanı için bu durum, IBM’in bir zamanlar “ Frankencloud ” olarak adlandırdığı, özel ve genel bulut ortamlarının bir araya getirildiği ve genellikle çeşitli şirket içi ve muhtemelen eski kaynaklarla daha da karmaşık hâle gelen yapıyı yönetmek için çabalarken her gün yaşanmaktadır. 

Bulut iş yükü riskleri

Bazı bulut varlıklarının, özellikle sanal makinelerin, kolayca devreye alınabilmesi, bunların sayıları artmaya başladığında güvenliğini sağlamak ve izlemek zorunda kalmanın gerçekliğiyle keskin bir tezat oluşturur. Makine ve yazılımların yaygınlaşması, genellikle heterojen ve tutarsız kurallarla dolu ortamlar yaratır ve bu da sonuçta bunların savunulmasını zorlaştırır.

Genellikle sektördeki yetenek kıtlığı nedeniyle zaten yetersiz sayıda olan BT ve güvenlik ekipleri, dağınık veri noktalarından tutarlı bir hikâye oluşturmaya çalışırken kendilerini kontrol panelleri ve konsollar arasında gidip gelirken bulur. Bir yönetici araç veya arayüz değiştirdiğinde, bir uyarıyı kaçırma veya başka bir hata yapma riski artar ve bu da saldırganların işine gelir. 

Sonuçta, kötü niyetli kişiler kuruluşları ayrı siloların bir araya gelmesiyle oluşan yapılar olarak görmezler. Onlar burada, tek bir hesap veya makinenin – sızan kimlik bilgileri veya başka bir hata yoluyla ele geçirildiğinde – yatay hareketler için veya ortamlar arasında daha fazla sızma için bir giriş noktası olarak kullanılabileceği, büyük ve giderek daha fazla birbirine bağlı bir hedef görürler. 

Risk genellikle altyapının “ek yerlerinde” ortaya çıkar: Bir varlığın sorumluluğunun bittiği ve diğerinin başladığı veya sınırların yanlış anlaşıldığı yerlerde – ta ki ilk ciddi olay bir hesaplaşmayı zorunlu kılana kadar. Hızla büyüyen şirketlerde, bu sınır çok sık acı bir şekilde keşfedilir. Birçok bulut veri ihlali, şeytani sıfır gün istismarlarından ziyade, güvenlik hijyenindeki sıradan ihmallere ve karmaşık dağıtımların yönetimindeki gözden kaçırmalara dayanır.

Karmaşıklık düşman ise basitlik de panzehir olmalı, değil mi? Aslında öyle değil. Çok az sayıda kuruluş, bulutu çeşitli şekillerde çekici kılan esnekliği ve maliyet verimliliğinden vazgeçmeyi göze alabilir. Ayrıca bunu yapmamalıdırlar. Daha gerçekçi bir hedef, karmaşıklığı anlaşılır ve yönetilebilir hâle getirmektir ve bu da görünürlükle başlar. Endişe verici bir şekilde, Cloud Security Alliance tarafından yapılan bir ankette, kuruluşların yalnızca %23’ünün bulut ortamlarına tam görünürlük sağladığı ortaya çıkmıştır. 

Bulut iş yükü güvenliğinde görünürlük ve kontrol

Bazen apaçık olan şeyleri söylemek gerekir: Göremediğiniz şeyi güvence altına alamazsınız. Ancak “ham” görünürlük tek başına yeterli değildir. Tam bir resim oluşturmaya yardımcı olan bağlam ve korelasyon olmadan elde edeceğiniz şey, biraz daha iyi aydınlatılmış bir kaostan öteye geçmez. Ortamlar genelinde birleşik bir politika uygulamanın ve ardından kuralları, birden çok buluttaki sanal makineler ve kimlik katmanları dâhil olmak üzere çeşitli sistemlerde uygulamanın bir yoluna ihtiyacınız vardır. Muhtemelen bu tür bir birleşme, ortamı daha küçük hâle getirmez ancak saldırı yüzeyini azaltırken ortamı yönetilebilir hâle getirir.

Her kimlik doğrulama denemesi, işlem başlatma, ağ bağlantısı ve dosya değişikliği bir yerde iz bıraktığında, telemetri verilerinin hacmi çok büyük olabilir. Bu nedenle, dikkatli bir şekilde uygulandığında otomasyon da aynı derecede önemlidir. Otomasyon, saldırganların sığınmayı sevdiği boşlukları kapatmaya yardımcı olur ve ağlar büyüdükçe doğal olarak ortaya çıkan “entropiye” karşı koyar. Ayrıca rutin görevler ve farklı kaynaklardan gelen telemetri verilerinin korelasyonu, yorulmayan ve dikkati dağılmayan bir sistem tarafından yönetilir. Böylelikle, insan operatörler, insan yargısı gerektiren olay müdahalesi kısımlarına odaklanabilir. 

Elbette asıl sorun bulutun kendisi değildir. Ölçeklenebilir ve değişime açık olarak tasarlanmış sistemlerde, özellikle de iş hacmi büyüdükçe bir dereceye kadar karmaşıklık kaçınılmazdır. Bulut iş yüklerinin güvenliğini sağlamak, dijital altyapınız büyüdükçe görünürlük ve kontrolünüzün de buna paralel olarak artmasını sağlamaya bağlıdır. Böylelikle, olaylardan gerçekten acı dersler çıkarmak zorunda kalmazsınız.