Kuruluşların neredeyse yarısının bulut hizmetlerinde “uzun ömürlü” kimlik bilgilerine sahip kullanıcıları var ve bu da onların veri ihlali durumunda mağdur olma olasılığını artırıyor.
Uzun ömürlü kimlik bilgileri, bulutta uzun bir süre (bazen geçerli, bazen de değil) kalan kimlik doğrulama belirteçleri veya anahtarlarıdır ve sonuçta saldırganların kimlik bilgilerini tehlikeye atmak için uzun bir açık pencereye sahip olduğu büyük veri ihlallerine neden olur.
Datadog’un 2024 “Bulut Güvenliğinin Durumu”nda Raporda araştırmacılar, uzun ömürlü kimlik bilgilerinin, aşağıdakiler de dahil olmak üzere tüm büyük bulut hizmetlerinde yaygın bir sorun olduğunu buldu: Google BulutAmazon Web Hizmetleri (AWS) ve Microsoft Entra. Sadece bu da değil, bunların çoğu kullanılmamakta ve çoğu zaman kaynak kodlarında sızdırılmaktadır; burada görüntülere erişimi açabilir, günlükler ve uygulama yapıları oluşturabilir, hiçbir zaman süresi dolmaz ve büyük güvenlik riskleri haline gelebilirler. Araştırmacılar, Google Cloud hizmet hesaplarının %62’sinin, AWS IAM kullanıcılarının %60’ının ve Microsoft Entra ID uygulamalarının %46’sının bir yıldan daha eski bir erişim anahtarına sahip olduğunu buldu.
Sonuç olarak kuruluşlar bu tür kimlik bilgilerini özellikle geniş ölçekte yönetmekte zorluk çekiyor, bu nedenle Datadog’daki araştırmacılar bu sorunu azaltmak için uzun ömürlü kimlik bilgilerinden tamamen kaçınılmasını öneriyor.
“Araştırmadan elde edilen bulgular Bulut Güvenliğinin Durumu 2024 uzun ömürlü kimlik bilgilerinin güvenli bir şekilde yönetilmesini beklemenin gerçekçi olmadığını öne sürüyoruz.” dedi Andrew KrugDatadog’da güvenlik savunuculuğu başkanı. “Şirketlerin kendilerini korumak için modern kimlik doğrulama mekanizmalarıyla kimliklerini güvence altına almaları, kısa ömürlü kimlik bilgilerinden yararlanmaları ve saldırganların yaygın olarak kullandığı API’lerde yapılan değişiklikleri aktif olarak izlemeleri gerekiyor.”