Bulut özellikli bir dünyanın ötesine geçtik; bugün büyük ve küçük kuruluşlar, çoklu bulut dünyasında faaliyet gösteriyor; hesap verileri burada, CRM kayıtları burada ve ürün geliştirme hatları yine başka bir yerde bulunan sağlayıcılar arasında farklı ve farklı ortamları sürdürüyor.
Çoklu bulut kullanıcısı olduğunuzda güvenliğin doğru şekilde kullanılması gereken en önemli unsurlardan biri olduğu bir sır değildir ve büyük bulut hizmetlerinin sunduğu korumalar ve protokoller nedeniyle her şeyin yolunda olduğunu düşünmeniz affedilir.
Tekrar düşün. Kendi mimarileri içerisinde harika bir iş çıkarsalar da, bugün bulutlar arasında, şirket içi ortamlar ve aradaki her şey arasında geçiş yapıyoruz ve bilgileriniz aktarım sırasında çok daha az korunuyor olabilir.
Uçtan uca güvenlik, bugün ihtiyacınız olan yarının veri koruma bilimidir.
Kimlik ve erişim yönetimi sağlayıcısı CyberArk’ın Bulut Güvenliği Yöneticisi Prashant Tyagi, birçok müşterinin kendisine yalnızca tek bir bulut hizmeti kullandıkları için kapsam dahilinde olduklarını söylediğini söylüyor.
Ancak birçoğunun, özellikle de büyük şirketlerin, o kadar çok farklı bölümü, departmanı, bağlı kuruluşu ve satın almaları var ki, farkına bile varmadan aslında bir çoklu bulut kullanıcısı olduklarını söylediğinde şok oluyorlar.
“Bazen bu seçimle olmuyor, büyüme nedeniyle varsayılan olarak oluyor” diyor.
Kuruluşların çoklu bulut kullanıcısı haline gelmesine neden olan ana etkenler (bilseler de bilmeseler de) çeşitlidir ve sizi şaşırtabilir. En yaygın olanı mevzuata uygunluktur. “Birçok şirket bunu yapmak zorunda çünkü hükümetler tüm verilerini belirli bir bölgedeki tek bir bulut sağlayıcısına koymamalarını zorunlu kılıyor.”
Diğer örneklerde, rakip bir hizmeti kullanan bir şirketi satın alırsanız, yıkıcı bir geçiş programına girişmek çok pahalı ve zaman alıcı olabilir.
Ve bazen farklı bir hizmet kullanan bir tedarikçinin veya ortağın ortamıyla yakın bir şekilde bütünleşmeniz ve (Tyagi’nin ifadesiyle) ‘diğer hizmetleri veya şirketleri desteklemek için çoklu bulut sağlayıcısı’ olmanız gerekir.
Tüm bunlar, kontrol ettiğiniz her şeyi tek bir ortama veya sağlayıcıya taşımanın, bırakın buna değmeyi, mümkün bile olmayabileceği anlamına gelir.
Çoklu bulut tehditleri
Kötü bir aktör, sosyal mühendislik yoluyla düşük seviyeli bir çalışanın kimlik bilgilerini ele geçirebilir ve içeriye bir kapı açabilir, ancak yetenekli bir kişi daha sonra yanlara doğru hareket ederek yüksek ayrıcalıklara sahip kimlik bilgilerini bulup ele geçirebilir ve en yüksek erişim düzeyinde hasara neden olabilir.
Aslında, 2022’de büyük bir araç paylaşımı sağlayıcısının başına gelen de tam olarak buydu. Olayla ilgili CyberArk teknik incelemesinde belirtildiği gibi, bir siber suçlu, şirketin şirket çapında erişim kimlik bilgilerini içeren veri deposuna sızmak için çalıntı oturum açma bilgilerini kullandı.
Bu, şirketin bulut hizmetine yönetici erişimi olan başka bir hesabı kolayca seçmelerine ve 77.000’den fazla sürücünün kişisel bilgilerini çalmalarına ve sızdırmalarına olanak tanıdı.
Tyagi, yukarıdakine benzer senaryolara karşı en iyi savunmanın, bulut ekosisteminiz boyunca kimlik yaşam döngünüzü yönetmek olduğunu söylüyor; test ve geliştirmeden üretime ve bakımını yaptığınız sağlayıcılar ve mimariler ne olursa olsun lansmana kadar güçlendirilmiş. “Azure size harika Azure güvenliği sağlayacak, AWS size harika AWS güvenliği sağlayacak, ancak uçtan uca kimlik güvenliğine ihtiyacınız var” diyor.
Kimlik güvenliği, saldırı yolları oluşturan yöntemleri tespit etme bilimidir. Yalnızca kullanıcıları değil, erişim kimlik bilgilerini koruyan sistem ve uygulamaları da korur.
Yöneticilerin, ofisteki veya uzaktan çalışanların, üçüncü tarafların, cihazların ve Nesnelerin İnterneti gibi yeni ortaya çıkan çerçeveler nedeniyle sayıları giderek artan makine kimliklerinin ayrıcalıklı erişimini takip eder ve bunları erişim döngüsü boyunca izler. hassas veya kritik iş bilgilerine bağlanırlar.
Kimlik güvenliğini güvenilir bir ortağa devretmek de çok önemli olabilir çünkü büyük bulut sağlayıcılarının güvenlik çerçeveleri Tyagi’nin ‘kavramsal’ düzeyde benzer olmasına rağmen, mimarileri derinlere indikçe daha fazla farklılık gösterir ve bu da çoklu bulut sağlayıcısı olmayı zorlaştırır. bulut şirketi.
Her şeyden önce kimlik güvenliği, onu nasıl kullanırsanız kullanın, buluta tüm biçimleriyle erişiminizi güvence altına almakla ilgilidir.
Kimseye güvenme
Kimlik güvenliğinin temel taşı, bulut da dahil olmak üzere etki alanınız dışındaki herhangi bir hizmete bağlanmak için üç temel ilkeyi kullanan hem bir felsefe hem de teknik bir çerçeve olan sıfır güvendir.
Birincisi risk farkındalığıdır. İkincisi, bir kişi, cihaz veya yazılım aracısı tarafından yapılan her bağlantı isteğinin yalnızca bağlantının belirli amacı için gerekli olan bilgilere erişebilmesini ve daha fazlasına erişememesini sağlayan en az ayrıcalıklı erişimdir.
Üçüncüsü ve sıklıkla gözden kaçırılan şey ise zaman unsurudur. Bir kullanıcı oturum açmışsa ancak önceden belirlenmiş bir süre boyunca hiçbir etkinlik yoksa sistem, erişimin periyodik veya sürekli olarak doğrulanmasını gerçekleştirir. En iyi kimlik bilgisi güvenliği ve iki faktörlü kimlik doğrulama, bir sürecin sürekli erişiminin dikkatsizce başka birinin gelip yararlanmasına açık bırakılması durumunda işe yaramaz.
Bunların hepsi tek bir şeyi ifade ediyor. Sıfır kalıcı ayrıcalıkları ve yalnızca gerekenlere (ve daha fazlasına değil) ayrıcalıklarla tam zamanında erişimi etkinleştirmek, günümüz iş dünyasında benimsenecek en iyi güvenlik duruşudur. Bunu yaparsanız sıfır güvene ulaşırsınız.
Uçtan uca kimlik güvenliğinin çoklu bulut yolculuğunuzu daha sorunsuz ve daha güvenli hale getirmeye nasıl yardımcı olabileceği hakkında daha fazla bilgi edinmek için ‘2024 Başucu Kitabı: Kimlik Güvenliği ve Bulut Uyumluluğu’ adlı ücretsiz teknik incelemeyi indirin