Výzvy v oblasti cloudového zabezpečení pro předního maloobchodního konglomerát

S nárůstem online objednávek v důsledku pandemie se škálovatelnost sítí a IT zdrojů stala kritickou pro maloobchodní podnik zákazníka XXXXXXX. S proměnlivými vzorci poptávky zákazníků přineslo využití cloudové platformy pro infrastrukturu obrovské výhody. Zajišťování zdrojů podle potřeby bylo klíčovým faktorem při adoptaci cloudu a výběru Amazon AWS jako preferované platformy.

Přesto nedávné odhalení úspěšného nízkoúrovňového hacku cloudových serverů přineslo na povrch nové výzvy a bezpečnostní hrozby pro Klienta. Organizace zjevně selhala v zabezpečení cloudových služeb a v zajistění, že rizika spojená s cloudovými technologiemi jsou správně řízena. Odhalení útoku během auditu vyvolalo potřebu odborných znalostí pro hodnocení a vynucování lepšího cloudového zabezpečení.

Experti na cloudové zabezpečení z NobleProg identifikovali tři klíčové oblasti, kterým je třeba se věnovat:

• Zásadově řízená identifikace a ověřování.
• Bezpečnostní kontroly cloudové sítě s přístupem „Zero trust" (nulá důvěra).
• Využití next-generation brány Web Application Firewall (WAF) k zabezpečení všech webových aplikací.

Spoluprací s IT týmy a byznys jednotkami jsme definovali jasné skupiny a role pro přístup a správu cloudových zdrojů, přičemž jsme poskytli minimální nezbytná oprávnění potřebná pro výkon činností. Byl proveden kompletní přehled bezpečnostních zásad, aby bylo zajištěno řádné udržování IAM hygiene, jako jsou pravidla pro hesla a další. Dvoufázové ověřování (2FA) bylo zavedeno pro veškerý administrativní přístup.

Použitím virtuálních privátních cloudů (VPC) v AWS byly navrženy mikrosegmenty k izolaci kritických obchodních aplikací od ostatních pracovní zátěží. Podsítě byly naplánovány tak, aby přidaly další vrstvu izolace. Implementace next-generation firewallu v cloudu byla provedena za účelem ochrany všech serverů webových aplikací před hrozbami.

Během spolupráce jsme jako součást dodržování dobré cloudové hygieny objevili nesprávně nakonfigurovaná úložiště (storage buckets), která náhodou exponovala určitá data. Také bylo nutné přemístit webové brány firewall (WAF) blíže k mikroslužbám, které spouštěly aplikace. Toto byly drobné potíže a důležité lekce pro budoucnost. Bylo navrženo několik dalších kontrol pro zajištění lepšího cloudového zabezpečení, jako jsou řešení threat intelligence (informací o hrozbách) a dodatečná bezpečnostní opatření dat, ale s ohledem na obchodní priority a připravenost IT byly zařazeny do budoucího roadmapy.

Prove spolupráce úspěšně vyhodnotila rizika cloudového zabezpečení pro maloobchodního zákazníka a díky svým zkušenostem dodala implementaci cloudového zabezpečení. Klíčové výstupy byly:

• Snížení rizika z kompromitace administrativních účtů.
• Omezení rizika z hrozeb aplikací.
• Bezpečný návrh cloudu, omezující škody v případě kompromitace.
• Jasná roadmapa kontrol a priorit implementace.
• Zajištění, aby mohl byznys i nadále využívat schopnosti cloudu při minimalizaci rizik.