Bulut Güvenliği, Güvenlik Operasyonları
Paylaşılan Sorumluluk Modelini, Ortak Güvenlik Açıklarını ve Gelişmiş Bulut Web Uygulaması Güvenliği Stratejilerini Anlamak
Remy Marot •
4 Ocak 2024
Bulutun benimsenmesinde son üç yılda büyük bir artış görüldü. Pandemi sırasında bulutun benimsenmesi daha çok bir zorunluluk olsa da, bulut güvenliğiyle ilgili endişeler göz önüne alındığında işletmeler artık kararlarını yeniden gözden geçiriyor. Günümüz çağında bulut olmadan yapılamaz ancak işletmelerin bulut güvenliğiyle ilgili en iyi uygulamaları daha iyi anlaması gerekiyor.
Ayrıca bakınız: Forrester Wave™ IaaS Platformu Yerel Güvenlik Raporu
Bulut paylaşılan sorumluluk modeli
Paylaşılan sorumluluk modeli bulut sağlayıcıları arasında farklılık gösterse de hepsi aşağıdaki iki hususta aynı ilkeleri paylaşıyor:
- Web Uygulaması Güvenlik Kodu:
- Kimlik ve erişim yönetimi:
Güvenli kod yazmak müşterinin sorumluluğundadır. Bulut hizmet sağlayıcıları, bir güvenlik açığı mevcut olduğunda koda yama uygulamaz. Bazı durumlarda bir bulut sağlayıcı, web uygulaması güvenlik duvarları gibi sorunların azaltılmasına yardımcı olacak hizmetler sunabilir.
Müşteri, web uygulaması bağlamında kimlikleri tanımlamaktan sorumludur ve izin modelinin nasıl oluşturulduğunu ve kullanıcılara nasıl uygulandığını belirlemelidir.
Yaygın web uygulaması güvenlik açıkları
Bulut altyapılarına dağıtılan web uygulamaları, şirket içinde dağıtılan uygulamalarla aynı güvenlik açıklarına maruz kalabilir. Bulut sağlayıcıları genellikle isteğe bağlı olan ve gelişmiş bir yapılandırma gerektiren ek güvenlik hizmetleri sunsa bile, belirli bir uygulamadaki güvenlik kusurları otomatik olarak yamalanmaz.
Ancak bir saldırganın diğer bulut kaynaklarına ulaşabilmesi nedeniyle bu güvenlik açıklarının etkisi bulut altyapıları üzerinde daha şiddetli olabilir. Bu, daha hassas bilgilere erişmeyi veya izinlerine bağlı olarak keyfi değişiklikler yapmayı içerebilir.
Verilerin açığa çıkması ve bulut kaynağının yanlış yapılandırılması
Bulut sağlayıcıları tasarım gereği çoğu zaman varsayılan olarak internette gösterilen hizmetleri sunar. Açık yapısı nedeniyle kullanıcıların hassas verilere erişimi kısıtlamak için ek güvenlik kontrolleri yapılandırması gerekir.
Verilerin açığa çıkması, CI/CD tabanlı dosyaların geliştirilmesi ve bulut kaynağının yanlış yapılandırılması gibi farklı kaynaklardan kaynaklanabilir.
DNS kayıt devralmaları
DNS kaydının ele geçirilmesi, bir saldırganın amaçlanan hedef etki alanının bir alt etki alanını ele geçirmesidir. Hizmete ve uygulamaya bağlı olarak, DNS devralma saldırıları, bir saldırganın basit bir içerik enjeksiyonu gerçekleştirmesinden, hassas verileri yakalamaya ve hatta gerçekçi bir kimlik avı uygulaması kurmaya kadar değişebilir.
Güvenli olmayan API’ler
Dahili veya üçüncü taraf API’ler, özellikle bir mikro hizmet mimarisi üzerine oluşturulduklarında, bulut tabanlı web uygulamalarına yönelik uygulama mantığını işlemek için yaygın olarak kullanılır. Ancak bu API’ler güvenli tasarım ilkelerini karşılamayabilir ve bu da uygulamayı doğrudan etkileyen güvenlik açıklarına neden olabilir.
Bağımlılık karışıklığı yoluyla yazılım tedarik zinciri saldırıları
Aralık 2020’de SolarWinds tedarik zinciri saldırısı, yazılım geliştirme ortamınızı ve yazılım dağıtım mekanizmanızı güvence altına almanın önemini gösterdi. SolarWinds saldırısı, kaynağında ele geçirilen yazılımın, özellikle geniş bir müşteri tabanı söz konusu olduğunda nasıl yıkıcı sonuçlara yol açabileceğini ortaya çıkardı.
SaaS tabanlı uygulama izin yönetimi
SaaS tabanlı uygulamaları, özellikle altyapı ve uygulama yamalama söz konusu olduğunda, bulut müşterilerinin yönetmesi daha kolaydır. Ancak birçok SaaS yöneticisi, özellikle veri erişimi ve kimlik yönetimi için gerekli izinlerin doğru şekilde yapılandırılması ve uygulanmasını sağlama ihtiyacını sıklıkla gözden kaçırır.
Kaynak tükenmesi ve mali kayıp
Bulut altyapısı, birden fazla veri merkezine ve hatta birden fazla sağlayıcıya dağıtıldığında ve ölçeklendiğinde son derece dayanıklı bir hizmet sunmak için kullanılır ve müşterilerin hizmetlerine yönelik Hizmet Reddi (DoS) saldırıları riskini azaltmalarına yardımcı olur. “Kullandığın kadar öde” abonelik modeli nedeniyle birçok bulut müşterisi, diğerlerinin yanı sıra CPU kullanımı, bellek, depolama veya bant genişliği kullanımı dahil olmak üzere kullandıkları kaynaklara göre ödeme yapar. Bir saldırgan bu kaynaklardan yararlanırsa faturayı bulut müşterileri ödeyecek.
Azaltma Temel Çıkarımları
Web uygulamalarının bulutta güvenliğinin sağlanması, hem bulut hizmeti sağlayıcısının hem de müşterilerin kendi önlemlerinin bir kombinasyonunu gerektirir. Bulut web uygulaması güvenliğini geliştirmeye yönelik sağlanan en iyi uygulamaların genişletilmiş bir görünümünü burada bulabilirsiniz:
Tanımlanan Sorumluluklar: Web uygulamalarının geliştirilmesi, dağıtımı ve bakımında yer alan tüm taraflar arasındaki sorumlulukları açıkça belirleyin ve atayın. Bu, belirli güvenlik konularını kimin ele aldığı konusunda hesap verebilirlik ve netlik sağlar, kafa karışıklığını ve olası gözetimleri azaltır.
Sürekli Güvenlik Açığı Değerlendirmesi: Hem web uygulamalarındaki hem de ilgili bulut kaynaklarındaki güvenlik açıklarını belirlemek ve gidermek için düzenli ve otomatik değerlendirmeler uygulayın. Devam eden bu değerlendirme, ortaya çıkan tehditlere ve zayıflıklara karşı proaktif kalmanıza yardımcı olur.
Kapsamlı Envanter Yönetimi: Tüm web uygulaması bileşenlerinin ve bunların ilgili bulut kaynaklarının kapsamlı bir envanterini tutun. Bağımlılıkları düzenli olarak denetleyin, bunların güvenilir kaynaklardan olduğundan ve doğru sürümlere sahip olduğundan emin olun. Bu uygulama, eski veya güvenliği ihlal edilmiş bileşenlerin kullanılması riskini azaltır.
En Az Ayrıcalık İlkesi: Bulut kaynaklarına ve SaaS uygulamalarına yönelik izinleri yapılandırırken en az ayrıcalık ilkesine bağlı kalın. Erişim haklarını yalnızca her kullanıcı veya hizmet için gerekli olanlarla sınırlayarak güvenlik ihlalinin veya verilerin açığa çıkmasının olası etkisini azaltın.
Güvenli Geliştirme ve Dağıtım Zincirleri: Yazılım geliştirme ve dağıtım süreçlerinin güvenliğe öncelik verdiğinden emin olun. Yetkisiz kuruluşlar tarafından kullanılabilecek geliştirme veya dağıtım aşamaları sırasında hassas bilgilerin ifşa edilmesinden kaçının.
Mikro Hizmet Mimarisi Güvenliği: Mikro hizmet tabanlı mimariler için sıkı güvenlik değerlendirmelerini değerlendirin ve uygulayın. Bu, mimarinin her bir bileşeninin güvenli olmasını sağlayarak, diğer bulut varlıklarına yetkisiz erişime veya bunların kötüye kullanılmasına yol açabilecek olası güvenlik ihlallerini önler.
Günlüğe Kaydetme ve İzleme: Web uygulamalarında yer alan tüm bileşenler için kapsamlı günlük kaydını etkinleştirin ve uyarıları düzenli olarak inceleyin. Bu proaktif yaklaşım, potansiyel suiistimallerin veya güvenlik ihlallerinin tespit edilmesine olanak tanıyarak zamanında yanıt verilmesini ve hafifletici önlemlerin alınmasını sağlar.
Bu en iyi uygulamaların toplu olarak uygulanması, bulutta barındırılan web uygulamalarının güvenlik duruşunu güçlendirir. Güvenliği, potansiyel risklere karşı proaktif bir duruş sergilerken yeni tehditlere ve teknoloji değişikliklerine uyum sağlayan sürekli ve gelişen bir süreç olarak görmek çok önemlidir.