Rückblickend auf das Jahr 2022 zeigt sich, dass auch Cloud-Umgebungen zunehmend ins Blickfeld von Cyberangreifern rückten. Die grundlegenden Techniken und Methoden der Angreifer haben sich zwar nicht signifikant verändert, jedoch konnte eine Zunahme von Angriffen mittels sogenannter Long-Chain-Attacken beobachtet werden. Diese Angriffe kombinieren traditionelle Techniken wie Social-Engineering mit Cloud-Fehlkonfigurationen und überprivilegierten Identitäten und führen so zu folgenreichen Verletzungen für Unternehmen.
Überprivilegierte Zugriffsberechtigungen
Das abgelaufene Jahr begann mit der Veröffentlichung eines Angriffs der LAPSUS$-Gruppe, die gestohlene Zugangsdaten nutzten und die Mehrfaktor-Authentifizierung aushebelten, um in mehrere bekannte Organisationen einzudringen. Sobald die Angreifer ein Einfallstor in ein Unternehmen gefunden hatten, setzten sie ihren Feldzug durch laterale Bewegung innerhalb der IT-Infrastruktur fort über Admin-Anmeldedaten, bis sie schließlich hoch privilegierte Anmeldedaten für Cloud- und Onpremise-Ressourcen erlangten. Mit diesen Anmeldedaten konnten sie verschiedene Cloud-Workloads kompromittieren und Zugang zu sensiblen Daten erhalten. Daraus wird deutlich, dass es Unternehmen nach wie vor versäumen, potenzielle Angriffsradien für menschliche und nicht-menschliche Identitäten zu erkennen, was zu einer längeren Ursachenanalyse und größeren Auswirkungen in Form von Datenverlusten führen kann.
Schaden durch Insider
Neben ausgefeilten Attacken blieben auch Insider-Bedrohungen ein großes Problem für Unternehmen. Hier werden Zugriffspfade auf sensible Daten ausgenutzt, die versehentlich für öffentliche Cloud-Umgebungen verfügbar gemacht werden. Eine wichtige Vorgehensweise zur Reduktion des Risikos von Insider-Bedrohungen besteht darin, indirekte Zugriffspfade auf sensible Daten zu erkennen und dort einen Riegel vorzuschieben. Ein Beispiel dafür ist ein Nutzer, der Zugriff auf eine EC2-Instanz hat, die wiederum Zugriff auf einen S3-Bucket ermöglicht und somit eine transitive Beziehung zu den Daten aufweist.
Veraltete und unbenutzte Objekte
Ressourcenmissbrauch, insbesondere durch veraltete oder unbenutzte Objekte, hat im letzten Jahr zu mehreren großen Sicherheitsverletzungen geführt. Die Cloud wird von Unternehmen aufgrund der Produktivitätsvorteile genutzt, da sich große Datenmengen leicht bewegen lassen. Allerdings erhalten Angreifer durch versehentlich freigegebene Datenbank- oder Festplatten-Snapshots den ungewollten Zugriff auf diese Ressourcen und damit Zugang zu sensiblen Daten. Unbenutzte IAM-Objekte wie Zugriffsrollen, Service-Prinzipien und API-Zugriffsschlüssel sind nach wie vor das Mittel der Wahl für Angreifer, in ein Unternehmen einzudringen.
Applikations-Sicherheit als Risiko
Darüber hinaus bleibt mangelhafte Sicherheitsvorkehrungen für Anwendungen im Design ein großes Problem für die Cloud. Schlecht kodierte Web-Anwendungen bieten Angreifern weiterhin einen Eintrittspunkt in fremde Cloud-Umgebungen. Einmal ausgenutzt, können Angreifer die OWASP-Top-10-Angriffsvektoren wie SSRF / CSRF nutzen, um Zugang zu Cloud-Metadatendiensten zu erlangen und sich dann durch schlecht konfigurierte IAM-Rollen zu bewegen. Unternehmen versäumen es immer wieder, Cloud-Metadaten-Services wie den Instance-Metadata-Service (IMDS) in AWS abzusichern und erhöhen damit das Risiko für Angriffe.
Datenlecks in S3-Buckets
Ein weiteres großes Problem blieben auch im abgelaufenen Jahr Lecks in Buckets oder Blobs. Hier werden ganze Petabytes an Daten durch falsch konfigurierten Cloud-Speicher offengelegt. Hochsensible, unverschlüsselte Daten, die in der öffentlichen Cloud gespeichert werden, bedeuten ein großes Risiko von Datenverlust. Unternehmen sind oft nicht in der Lage, eine legitime öffentliche Datenfreigabe von einer versehentlichen zu unterscheiden. Die Folge sind zahllose Datenschutzverletzungen und auch 2022 war dieses Problem noch nicht behoben. Noisy Tools und fehlende Prozesse zur Reaktion auf Sicherheitsvorfälle in der Cloud trugen dazu bei, dass solche Vorfälle für Unternehmen schwerwiegender ausfielen, als es nötig wäre.
Verlust von Source-Code
Dieser Trend startete bereits 2020 mit Solarwinds und ein Abflauen war auch im letzten Jahr nicht zu beobachten. Malware-Akteure haben es dabei auf das geistige Eigentum von Organisationen abgesehen und nehmen dazu Quellcode-Repositories ins Fadenkreuz. Dadurch versetzen sie sich in die Lage, weitere Angriffe auf die Lieferkette in Gang zu setzen. Die Gefahr des Verlusts von embedded API-Keys wird sich weiter steigern durch öffentliche Code-Repositories wie Github. Wie Unternehmen darauf reagieren können, stellt Zscaler in einem ihrer jüngsten Blogs dar.
Fazit: CNAPP als Lösungsansatz
Allerdings entwickeln sich nicht nur die hier beschriebenen Trends weiter. Es wächst auch unter Entwicklern das Bewusstsein, wie sich Fehlkonfigurationen und Schwachstellen durch den Einsatz von CNAPP-Tools mitigieren lassen, so dass die Hoffnung aufkeimt, diese Art der Angriffe zumindest in Schach zu halten. Solche Lösungen setzen auf Multivektor-Telemetrie zum Aufspüren von Fehlkonfigurationen, Datenschutzlücken und Identitäten und sorgen 2023 für Abhilfe und erhöhte Resilienz gegen Angriffe auf Cloud-Umgebungen.
Arnab Roy, Cloud Security Architect bei #Zscaler
