Ενώ οι υποδομές cloud συνεχίζουν να υιοθετούνται από όλο και περισσότερους οργανισμούς, οι επιχειρήσεις δεν είναι οι μόνες που έχουν αναγνωρίσει τις δυνατότητες του cloud. Η Check Point Software έχει καταγράψει τα τελευταία χρόνια, μια άνευ προηγουμένου αύξηση της εμβέλειας και της πολυπλοκότητας των επιθέσεων στην αλυσίδα εφοδιασμού λογισμικού.
Από την επίθεση στην SolarWinds έως την εκτεθειμένη ευπάθεια του Apache Log4j, οι φορείς απειλών έχουν στρέψει το βλέμμα τους σε αυτόν τον χώρο, στοχεύοντας σε κρίσιμα τρωτά σημεία τόσο στους παρόχους cloud όσο και στις αλυσίδες εφοδιασμού.
Απογοητευτική η κατάταξη των ελληνικών επιχειρήσεων στο cloud computing
Το cloud computing από μόνο του έχει παρουσιάσει πολλαπλές ευπάθειες τον τελευταίο καιρό – και καθώς οι οργανισμοί συνεχίζουν να υιοθετούν το cloud, με το 35% να εκτελεί περισσότερο από το 50% των φόρτων εργασίας του σε πλατφόρμες όπως το Azure, το AWS και το GCP, δυσκολεύονται να διαχειριστούν την πολυπλοκότητα της διασφάλισης των υποδομών τους στο cloud σε πολλαπλές πλατφόρμες, ενώ παράλληλα υποφέρουν από έλλειψη κυβερνοδεξιοτήτων και γνώσεων, σύμφωνα με το Check Point 2022 Cloud Security Report. Η παγκόσμια έκθεση, που βασίζεται σε έρευνα 775 επαγγελματιών της κυβερνοασφάλειας, αποκάλυψε επίσης ότι τα περιστατικά ασφάλειας στο cloud αυξήθηκαν κατά 10% σε σχέση με το προηγούμενο έτος, με το 27% των οργανισμών να επικαλείται πλέον λανθασμένες ρυθμίσεις, πολύ πριν από ζητήματα όπως τα εκτεθειμένα δεδομένα ή η παραβίαση λογαριασμών.
Ποιες είναι οι νέες προκλήσεις για την κυβερνοασφάλεια το 2023
Η υπόθεση Lapsus$
Η εξέλιξη αυτή, όπως φαίνεται, οδήγησε τους εγκληματίες του κυβερνοχώρου να μεταφέρουν τις επιθέσεις τους στην αλυσίδα εφοδιασμού στην αρένα του cloud. Απόδειξη γι’ αυτό, η δημοσίευση δήλωσης της διαβόητης συμμορίας ransomware Lapsus$ τον περασμένο Μάρτιο, στην οποία ισχυριζόταν ότι απέκτησε πρόσβαση στην Okta, μια πλατφόρμα διαχείρισης ταυτότητας, αποκτώντας πρώτα πρόσβαση σε έναν λογαριασμό διαχειριστή. Η Okta είναι ένα λογισμικό που βασίζεται στο cloud και χρησιμοποιείται από χιλιάδες εταιρείες για τη διαχείριση και την ασφάλεια των διαδικασιών πιστοποίησης ταυτότητας χρηστών. Χρησιμοποιείται επίσης από προγραμματιστές για τη δημιουργία ελέγχων ταυτότητας. Αυτό σημαίνει ότι εκατοντάδες χιλιάδες χρήστες παγκοσμίως θα μπορούσαν να έχουν εκτεθεί από την επίθεση της Lapsus$.
Το πόσοι χρήστες ακριβώς είναι εκτεθειμένοι ωστόσο, είναι ανοιχτό προς συζήτηση. Οι ίδιοι οι χάκερ ισχυρίστηκαν ότι απέκτησαν πρόσβαση στο 95% των πελατών της Okta, ενώ η Okta δήλωσε ότι τα στοιχεία από μόλις το 2,5% των χρηστών εκτέθηκαν σε κίνδυνο. Όπως και να έχει, το περιστατικό θα πρέπει να χρησιμεύσει ως προειδοποιητικό σημάδι για τους πιθανούς κινδύνους που εγκυμονούν οι επιθέσεις στην αλυσίδα εφοδιασμού.
Θύμα κυβερνοεπίθεσης μία στις τέσσερις επιχειρήσεις
Τι θέτει σε κίνδυνο μια αλυσίδα εφοδιασμού;
Ο κλάδος έχει δει έναν αυξανόμενο αριθμό κυβερνοεπιθέσεων που αξιοποιούν αδύναμες μεθοδολογίες της αλυσίδας εφοδιασμού. Επί του παρόντος, ο σημαντικότερος κίνδυνος της αλυσίδας εφοδιασμού στον οποίο εκτίθενται οι οργανισμοί προέρχεται από το λογισμικό ανοικτού κώδικα. Η κοινότητα ανοικτού κώδικα παρέχει πολλές ενότητες και πακέτα που υιοθετούνται τακτικά από επιχειρήσεις σε όλο τον κόσμο, συμπεριλαμβανομένων εκείνων της αλυσίδας εφοδιασμού σας.
Το πρόβλημα με τον ανοικτό κώδικα, ωστόσο, είναι ότι είναι εγγενώς ανασφαλής. Αυτό οφείλεται εν μέρει στο γεγονός ότι γράφεται από άτομα που μπορεί να μην έχουν την τεχνογνωσία ή τον προϋπολογισμό για να τους καταστήσουν απολύτως ασφαλής. Ένα άλλο ζήτημα με τον ανοικτό κώδικα αφορά στην ιδιοκτησία. Εξάλλου, από τη στιγμή που ένα πακέτο διατίθεται στην κοινότητα, είναι αδύνατο να προσδιοριστεί ποιος είναι ο ιδιοκτήτης του και ποιος είναι υπεύθυνος για τη συντήρησή του.
Πόσο πιθανό είναι να δούμε το επόμενο… WannaCry το 2023
Αυτό δημιουργεί ένα κενό στην αρχιτεκτονική ασφαλείας σας, επειδή τα πακέτα ανοικτού κώδικα που εισάγετε μπορεί να έχουν εξαρτήσεις που απλώς δεν γνωρίζετε. Αυτό ακριβώς συνέβη με το NotPetya: ως εξέλιξη μιας αρκετά τυπικής σειράς κακόβουλου λογισμικού, το NotPetya κατάφερε να διεισδύσει σε συστήματα σε ολόκληρο τον κόσμο βασιζόμενο σε ένα κομμάτι ευρέως χρησιμοποιούμενου λογιστικού λογισμικού ανοικτού κώδικα. Αυτό σημαίνει ότι εξαπλώθηκε σαν πυρκαγιά, προκαλώντας χάος στην Ουκρανία καθώς και σε πολλές άλλες χώρες, όπως το Ηνωμένο Βασίλειο, η Γαλλία, η Γερμανία, η Ρωσία και οι ΗΠΑ.
Η πανταχού παρούσα παρουσία του λογισμικού και του ανοικτού κώδικα σημαίνει ότι μπορεί να είναι δύσκολο για τους οργανισμούς να γνωρίζουν αν, είτε οι ίδιοι είτε οι προμηθευτές τους είναι ευάλωτοι σε αυτού του είδους τις επιθέσεις. Αυτό καθιστά τις αλυσίδες εφοδιασμού ελκυστικό στόχο για τους εγκληματίες του κυβερνοχώρου, οι οποίοι θα επενδύσουν χρόνο και πόρους σε τέτοιες επιθέσεις με την προϋπόθεση ότι παραβιάζοντας ένα σύστημα, μπορούν γρήγορα να αποκτήσουν πρόσβαση σε πολλά άλλα.
Πώς μπορείτε να αποτρέψετε πιθανές επιθέσεις;
Μέχρι στιγμής, το 2022, έχουμε δει μια σημαντική αλλαγή στο τοπίο των απειλών για το cloud, καθώς όλο και περισσότεροι φορείς απειλών στοχεύουν σε κρίσιμα τρωτά σημεία τόσο παρόχων του όσο και αλυσίδων εφοδιασμού. Τι σημαίνει αυτό για την επιχείρησή σας και πώς μπορείτε να αποφύγετε αυτή την αυξανόμενη απειλή;
Δυστυχώς, όταν πρόκειται για τον πάροχο του cloud σας, ανεξάρτητα από το ποιον επιλέγετε, η πλατφόρμα του θα έχει τρωτά σημεία. Ακόμα και μετά από ενδελεχή έρευνα και την επιλογή της τεχνογνωσίας των καλύτερων ειδικών του κλάδου, δεν μπορείτε να ελέγξετε την ασφάλεια της πλατφόρμας του παρόχου που επιλέξατε.
Εάν, λοιπόν, δεν είμαστε σε θέση να αποτρέψουμε μια παραβίαση στους ίδιους τους παρόχους cloud, τι μπορούν να κάνουν οι οργανισμοί για να προστατευτούν; Πως βοηθάμε στην παροχή σημαντικών βημάτων που πρέπει να ληφθούν:
- Πολυεπίπεδη ασφάλεια: Η απάντηση έγκειται στη δημιουργία πολλαπλών επικαλυπτόμενων επιπέδων ασφάλειας που συμβάλλουν στη μείωση της έκθεσής σας σε κινδύνους. Οι οργανισμοί τείνουν να δημιουργούν μετριασμούς ασφαλείας ως ένα ενιαίο σημείο προστασίας-ελέγχου και οι επιτιθέμενοι θα προσπαθήσουν να το αποφύγουν. Η εφαρμογή ασφάλειας που υποθέτει ότι το πρώτο επίπεδο μπορεί να αποτύχει και επιβάλλει πολλαπλά επίπεδα θα έχει περισσότερες πιθανότητες να επιβιώσει από μια εξελιγμένη επίθεση στον κυβερνοχώρο. Αυτό σημαίνει ότι, ακόμη και αν γίνει εκμετάλλευση μιας ευπάθειας στον πάροχο του cloud σας, διαθέτετε ένα αρκετά ισχυρό οικοσύστημα ασφαλείας για να αποκρούσετε τις επιθέσεις και να μετριάσετε τις πιθανές επιπτώσεις.
- Υιοθέτηση μιας zero–trust νοοτροπίας ασφάλειας: Ένα σημείο εκκίνησης για να βοηθηθούν οι οργανισμοί να προστατευθούν είναι η υιοθέτηση μιας νοοτροπίας ασφάλειας μηδενικής εμπιστοσύνης. Με αυτόν τον τρόπο, ακόμη και αν υπάρξει παραβίαση, τα δεδομένα της επιχείρησής σας προστατεύονται, περιορίζοντας κάθε απειλή που προέρχεται από μια επίθεση που βασίζεται στο cloud και διασφαλίζοντας ότι δεν μπορεί να εξαπλωθεί μέσα στα δικά σας συστήματα
- Αυτοματοποίηση του DevSecOps: Ένας άλλος τρόπος με τον οποίο οι επιχειρήσεις μπορούν να διασφαλίσουν ότι οι εικονικές πόρτες του δικτύου τους παραμένουν σταθερά κλειδωμένες είναι η αυτοματοποίηση του DevSecOps, διασφαλίζοντας ότι οι λειτουργίες ασφαλείας μπορούν να αναπτυχθούν σε πραγματικό χρόνο και σε πλήρη ευθυγράμμιση με άλλους επιχειρηματικούς στόχους.
Με την τεράστια ταχύτητα των παραλλαγών κακόβουλου λογισμικού και ransomware, την ευρεία ανάπτυξη των συνδεδεμένων με την επιχείρηση και των προσωπικών συσκευών και το υβριδικό μοντέλο εργασίας, είναι σχεδόν αδύνατο για τα παραδοσιακά μοντέλα που δημιουργούνται από τον άνθρωπο να παρέχουν ολιστική και ενημερωμένη ασφάλεια που θα ανιχνεύει απειλές όπως η εκμετάλλευση της ευπάθειας Apache Log4j και οι επιθέσεις στην αλυσίδα εφοδιασμού. Οι οργανισμοί θα πρέπει να εξετάσουν μια προσέγγιση κυβερνοασφάλειας που εστιάζει στην πρόληψη απειλών και παρέχει ορατότητα 360 μοιρών σε ολόκληρο το δίκτυό τους, ανεξάρτητα από το πόσο μακριά και ευρέως έχει διανεμηθεί.
Latest News
Από την πυρηνική ενέργεια στην κβαντική μηχανική - Πώς οι Big Tech θα σβήσουν τη δίψα της AI για ενέργεια
Οι Big Tech έχουν εξασφαλίσει συμφωνίες πυρηνικής ενέργειας αξίας δισ. δολαρίων - Στο βάθος πάντα υπάρχει και η προοπτική των κβαντικών υπολογιστών
Κι ύστερα ήρθαν οι μέλισσες - Πώς ένα σπάνιο είδος ματαιώνει data center της Meta
Η Meta βρίσκεται υπό πίεση να αποδείξει στους επενδυτές ότι το στοίχημά της στην τεχνητή νοημοσύνη θα αποφέρει καρπούς
TikTok: Κατηγορούμενο για αυτοκτονίες εφήβων – Αγωγή από επτά οικογένειες
Ο αλγόριθμος του TikTok φέρεται να προτείνει σε εφήβους βίντεο που προωθούν αυτοκαταστροφικές συμπεριφορές.
«Είμαστε στο έλεος της Google» - Πώς μας λέει αυτό που θέλουμε να ακούσουμε
Όσοι απευθύνονται στη Google για να τους λύσει τις απορίες μπορεί να δουν δραματικά διαφορετικές όψεις του κόσμου
Χιντζίδης (Performance Technologies): Η Εναλλακτική μας προετοίμασε για την Κύρια Αγορά του ΧΑ
Ο Διονύσης Χιντζίδης, πρόεδρος και διευθύνων σύμβουλος της Performance Technologies, μίλησε για την πορεία της εταιρείας μέχρι την Κύρια Αγορά
Γιατί ο Ζάκερμπεργκ δεν θα πάψει να ξοδεύει ασύστολα για τεχνητή νοημοσύνη
Ο Μαρκ Ζάκερμπεργκ θεωρεί ότι η χρήση τεχνητής νοημοσύνης ωθεί τα κέρδη της Meta Platforms
Πώς οι Big Tech κερδίζουν σήμερα για να επενδύσουν στο μέλλον
Οι τεχνολογικοί γίγαντες διαφημίζουν πραγματικές νίκες σήμερα για να δικαιολογήσουν τεράστιες επενδύσεις αύριο και οι επενδυτές στηρίζουν, ως ένα σημείο
Η Huawei ακόμα παλεύει να ανακάμψει από τις κυρώσεις, λέει ο ιδρυτής
Ο Ρεν Ζενγκφέι λέει ότι παρά την θεαματική ανάκαμψη η Huawei δεν έχει ξεπεράσει τα προβλήματά της
Οι αποτυχημένες προσπάθειες «ανάστασης» της Intel και οι χειρισμοί Γκέλσινγκερ
O CEO της Intel, Πατ Γκέλσινγκερ, έθεσε υψηλές προσδοκίες για τις ικανότητες κατασκευής της εταιρείας αλλά και την ικανότητά της στον τομέα της AI, ωστόσο απέτυχε να ανταποκριθεί
Apple: Διαθέσιμοι από 8 Νοεμβρίου οι νέοι υπολογιστές Mac στην Ελλάδα
Η Apple ανακοίνωσε τρεις νέους υπολογιστές Mac, σχεδιασμένους να υποστηρίζουν την πλατφόρμα Apple Intelligence, με το νέο επεξεργαστή M4