Yksinkertaisia virheitä pilvipalveluiden häiriöiden taustalla

Pilviteknologiasta on tulossa yhä tärkeämpää, ei vähiten tekoälypalveluiden ylläpitämisessä. Mutta tietoturvapoikkeamien määrä kasvaa ja digitaaliseen suvereniteettiin liittyvät tarpeet käyvät yhä selvemmiksi. Kaksi tietoturvatutkijaa on arvioinut pilvitietoturvan häiriötilanteita ja toimenpiteitä.

Pilvipalvelut mahdollistavat organisaatioille tallennuspalveluiden, ohjelmistojen ja laskentakapasiteetin käytön ilman, että niiden tarvitsee itse rakentaa ja ylläpitää palvelintiloja. Pilvipalvelut ovat siksi luoneet edellytykset monien yritysten laajentumiselle, erityisesti koneoppimisen ja tekoälyn kaltaisilla aloilla, jotka asettavat suuria vaatimuksia laskentateholle. Nykyään pilvipalveluita käyttävät myös julkiset organisaatiot, kuten valtion virastot.

Yhdysvaltalaiset hyperskaalattavat pilviratkaisut – niin sanotut hyperskaalaajat – jotka tarjoavat mahdollisuuden skaalata laskentakapasiteettia ja tallennustilaa nopeasti, ovat ottaneet markkinat täysin hallintaansa.

– Amazon, Google ja Microsoft ovat merkittäviä amerikkalaisia toimijoita, jotka ovat pitkään rakentaneet datakapasiteettia ja suuria alustoja monilla eri palveluilla, sanoo Viktor Bergström, tutkimusinsinööri Tietosuojaosasto Kyberpuolustus- ja hallintateknologia.

Riskialtista luottaa Yhdysvaltain pilvipalveluihin

Yhä useammat organisaatiot luottavat pilvipalveluihin, pääasiassa taloudellisista syistä.

– Tämä tarkoittaa, että olemme nyt mielenkiintoisessa tilanteessa, jossa meiltä puuttuu suvereniteettia edes pilvipalveluiden alueella, sanoo. Viktor Bergström.

Tämä luo riskejä, jos esimerkiksi Yhdysvallat päättää sulkea käytetyn IT-infrastruktuurin, mutta myös siksi, että Yhdysvaltain hallituksella on lain nojalla pääsy yhdysvaltalaisten pilvipalveluntarjoajien tietoihin, vaikka niitä hallinnoitaisiinkin Euroopassa.

– Voit yrittää ratkaista sen teknisesti, mutta jonkun toisen omistamalla laitteistolla liiketoiminnan pyörittämiseen liittyy terve epäröinti, Viktor Bergström sanoo.

Pilvipalveluiden käytön lisääntyessä myös tietoturvapoikkeamien määrä kasvaa. Ruotsin puolustusvoimien puolesta Viktor Bergström ja tutkimusinsinöörikollega John Ziegenbein arvioivat pilviturvallisuuteen liittyviä häiriötilanteita ja turvatoimia, joita he kuvaavat raportissa Pilvipalveluihin liittyvien tietoturvapoikkeamien ja -toimenpiteiden tarkastelu.

He ovat kohdistaneet huomionsa markkinoita hallitseviin hyperskaalaajiin ja tutkineet, millaisia haavoittuvuudet, jotka olivat 157 viimeisten kymmenen vuoden aikana raportoidun tietoturvahäiriön taustalla.

– Olemme tarkastelleet julkista dataa, ja tietoturvapoikkeamien kohdalla on pidettävä mielessä, että aina on olemassa poikkeuksia, jotka eivät ole julkisia. Mutta olemme pyrkineet saamaan kohtuullisen yleiskuvan, Viktor Bergström sanoo.

Yksinkertaiset virheelliset konfiguraatiot tapahtumien taustalla

Identiteetin ja pääsynhallinnan puutteet muodostivat suurimman osan pilvipalvelutapahtumista, 58 prosenttia. Muita yleisiä häiriöiden syitä olivat puutteet tietosuojassa ja infrastruktuurin hallinnassa.

”Huomasimme, että monet näistä haavoittuvuuksista ovat yksinkertaisia virheellisiä konfiguraatioita. Hypoteesimme on, että kun järjestelmistä tulee hyvin monimutkaisia, kuten pilvijärjestelmistä yleensä tulee, pieniä, yksinkertaisia virheitä on helppo olla huomaamatta. Saatat luoda uusia alikomponentteja ja poistaa toisia”, sanoo. Viktor Bergström.

Järjestelmissä, joissa identiteetin- ja pääsynhallinnassa sekä infrastruktuurin hallinnassa oli puutteita, arkaluontoisiin tietoihin oli usein helppo päästä käsiksi kenelle tahansa, joka onnistui pääsemään sisään.

– Kaiken kaikkiaan havaitsimme, että internetissä oli julkisesti saatavilla paljon arkaluonteista dataa. Salattujen tallennettujen tietojen käsittely on aikaavievämpää, eikä ole aina selvää, milloin tiedot tulisi poistaa. salattu. Mutta uskomme, että useissa tapauksissa vuotaneiden tietojen olisi pitänyt olla salattuja myös lepotilassa.

Viktor Bergström ja John Ziegenbein tarkasteli myös tunnustettujen instituutioiden ja viranomaisten suosittelemia pilvitietoturvatoimenpiteitä. Yksi johtopäätös on, että ehdotetut tietoturvatoimenpiteet sisältävät tietoturvakehykset ovat laajoja ja monimutkaisia, minkä vuoksi niitä voi olla vaikea noudattaa käytännössä.

– Mutta paljon yhteistä oli, joten tuntuu siltä, että jopa hyperskaalaajien keskuudessa vallitsee tietty yksimielisyys, Viktor Bergström sanoo.

Turvallisten järjestelmien rakentaminen vie aikaa

Pilvipalveluiden tietoturva on parantunut vähitellen tutkimusinsinöörien kymmenen vuoden tarkastelujakson aikana. Raportissa he ehdottavat toimenpiteitä, joilla voidaan estää tietoturvahäiriöitä, esimerkiksi infrastruktuuri koodina (IaC), mikä tarkoittaa, että IT-resursseja hallitaan koodin avulla manuaalisen konfiguroinnin sijaan.

– On myös yleisempiä työkaluja, yleiskatsausjärjestelmiä, jotka tarkastelevat koko järjestelmää ja antavat varoituksia virheellisistä konfiguraatioista. On olemassa suuri määrä relevantteja ja tehokkaita tietoturvaratkaisuja, mutta niihin liittyy riski, että jäät sidotuksi toimittajaan, koska ne vaativat paljon toimittajakohtaista asiantuntemusta.

Pilviteknologian kehitys tapahtuu nopeaa vauhtia, ja jos eurooppalaiset ja ruotsalaiset haluavat luoda omia alustojaan, tarvitaan paljon tietoa ja valmistautumista, sanoo Viktor Bergström.

– Pilvipalvelut voisivat olla erittäin kiinnostavia puolustusnäkökulmasta. Mutta korkean turvallisuuden omaavien järjestelmien rakentaminen vie erittäin kauan.