การรั่วไหลของข้อมูลบนคลาวด์: ทำไม Buckets ที่กำหนดค่าผิดพลาดยังคงปล่อย PII ออกมาอย่างต่อเนื่อง

ระบบคลาวด์ให้คำมั่นสัญญาถึงความคล่องตัวและขนาดที่ปรับเปลี่ยนได้ แต่สำหรับหลายองค์กรแล้ว มันยังส่งผลให้เกิดการละเมิดข้อมูลอย่างต่อเนื่อง รูปแบบที่เกิดขึ้นซ้ำๆ และน่าตกใจคือการกำหนดค่าที่เก็บข้อมูลบนคลาวด์ผิดพลาด โดยหลักคือ AWS S3 ซึ่งนำไปสู่การเปิดเผยข้อมูลระบุตัวบุคคล (PII) ของลูกค้าโดยไม่ได้ตั้งใจ นี่ไม่ใช่ภัยคุกคามใหม่ แต่ความแพร่หลายของมันบ่งชี้ถึงช่องว่างพื้นฐานในการรักษาความปลอดภัยในอุตสาหกรรมต่างๆ

เกิดอะไรขึ้น

เหตุการณ์ที่เกี่ยวข้องกับ AWS S3 buckets ที่เปิดเผยต่อสาธารณะไม่ใช่เหตุการณ์ที่เกิดขึ้นโดดเดี่ยว แต่เป็นรูปแบบช่องโหว่เชิงระบบ การตั้งค่า S3 bucket ที่ไม่ถูกต้องเพียงครั้งเดียวสามารถทำให้ไฟล์ที่ละเอียดอ่อนเข้าถึงได้โดยสาธารณะ ซึ่งเป็นการเปิดประตูสู่การเปิดเผยข้อมูล สิ่งนี้มักเกิดขึ้นเมื่อองค์กรไม่สามารถเปิดใช้งานคุณสมบัติความปลอดภัยที่สำคัญ เช่น Block Public Access หรือละเลยที่จะใช้การควบคุมการเข้าถึงที่เหมาะสม ผลที่ตามมาคือข้อมูลที่ตั้งใจไว้สำหรับการใช้งานภายในหรือบุคคลที่ได้รับการรับรองความถูกต้องเฉพาะเจาะจงจะพร้อมใช้งานสำหรับทุกคนที่มีการเชื่อมต่ออินเทอร์เน็ต ข้อมูลที่ละเอียดอ่อนในสภาพแวดล้อมเหล่านี้มีขนาดใหญ่มาก ครอบคลุมข้อมูลลูกค้า รายละเอียดการชำระเงิน โทเค็น และข้อมูลพนักงาน ซึ่งสามารถอยู่ในตำแหน่งต่างๆ ตั้งแต่ฐานข้อมูลไปจนถึงบันทึกการเข้าใช้ คิว และไปป์ไลน์การวิเคราะห์ การกระจายข้อมูลในวงกว้างนี้ ควบคู่ไปกับการกำหนดค่าที่ไม่ถูกต้อง สร้างสภาพแวดล้อมที่เอื้อต่อการรั่วไหลของ PII

ทำไมรูปแบบนี้จึงเกิดขึ้นซ้ำๆ

ลักษณะที่คงอยู่ของการกำหนดค่าคลาวด์ bucket ที่ผิดพลาดเกิดจากหลายปัจจัย ปริมาณและความเร็วของการเคลื่อนย้ายข้อมูลที่มหาศาลภายในสถาปัตยกรรมแอปพลิเคชันสมัยใหม่หมายความว่าข้อมูลที่ละเอียดอ่อนไม่ค่อยจะอยู่ในที่เดียว ตัวอย่างเช่น ที่อยู่อีเมลของลูกค้าอาจเดินทางจากแบบฟอร์มลงทะเบียนผ่าน API เข้าสู่ฐานข้อมูล จากนั้นปรากฏในบันทึกการเข้าใช้แอปพลิเคชัน ถูกคัดลอกไปยังคลังข้อมูล ไหลเข้าสู่เครื่องมือสนับสนุน และแม้กระทั่งถูกรวมเข้ากับการทำงานของ AI จุดเปลี่ยนแต่ละจุดนำเสนอศักยภาพในการกำหนดค่าที่ผิดพลาด นอกจากนี้ ความซับซ้อนของนโยบายการควบคุมการเข้าถึงบนคลาวด์ ซึ่งมักจะจัดการโดยนักพัฒนาภายใต้กำหนดเวลาที่จำกัด อาจนำไปสู่การละเลยได้ หลักการปฏิเสธโดยค่าเริ่มต้นมักถูกแทนที่เพื่อความรวดเร็ว โดยไม่เข้าใจอย่างถ่องแท้ถึงผลกระทบด้านความปลอดภัยที่ตามมา สิ่งนี้สร้างสภาพแวดล้อมที่ท้าทาย ซึ่งการทำความเข้าใจว่าข้อมูลที่ละเอียดอ่อนอยู่ที่ใด ใครสามารถเข้าถึงได้ และได้รับการปกป้องอย่างไร กลายเป็นงานที่ซับซ้อนและมักจะต้องใช้คนทำ

แผนการโจมตีของแฮกเกอร์ทีละขั้นตอน

ผู้โจมตีที่กำหนดเป้าหมายคลาวด์ bucket ที่กำหนดค่าผิดพลาดมักจะปฏิบัติตามวิธีการที่ตรงไปตรงมาและใช้ความพยายามน้อย ขั้นตอนแรกของพวกเขาเกี่ยวข้องกับการลาดตระเวน โดยมักจะใช้เครื่องมืออัตโนมัติเพื่อสแกนปลายทางที่เก็บข้อมูลบนคลาวด์สาธารณะจำนวนมาก พวกเขามองหา bucket ที่เข้าถึงได้แบบเปิด ซึ่งสามารถระบุได้จากข้อตกลงการตั้งชื่อ หรือเพียงแค่พยายามแสดงรายการเนื้อหา เมื่อระบุ bucket ที่เปิดเผยได้แล้ว ผู้โจมตีจะแจกแจงเนื้อหาเพื่อทำความเข้าใจประเภทและความละเอียดอ่อนของข้อมูลที่เก็บอยู่ภายใน ซึ่งมักจะเปิดเผย PII เช่น ชื่อ ที่อยู่อีเมล บันทึกทางการเงิน หรือข้อมูลลูกค้าที่เป็นความลับอื่นๆ ขั้นตอนสุดท้ายคือการดึงข้อมูลออก ซึ่งผู้โจมตีจะดาวน์โหลดข้อมูลที่เปิดเผย โดยมักจะเป็นจำนวนมาก กระบวนการนี้ต้องใช้ความเชี่ยวชาญทางเทคนิคเพียงเล็กน้อย โดยอาศัยความเพียรพยายามและจำนวนของสินทรัพย์ที่กำหนดค่าผิดพลาดที่มีอยู่ในอินเทอร์เน็ตอย่างมหาศาล ความง่ายในการค้นหาและการดึงข้อมูลออกทำให้สิ่งนี้เป็นเป้าหมายที่น่าสนใจสำหรับผู้คุกคามต่างๆ

สิ่งที่ฝ่ายป้องกันพลาดไป

ฝ่ายป้องกันมักจะพลาดประเด็นสำคัญที่นำไปสู่การเปิดเผยเหล่านี้ ความล้มเหลวหลักคือความเข้าใจที่ไม่สมบูรณ์เกี่ยวกับที่อยู่และการไหลของข้อมูล บริษัทส่วนใหญ่ไม่มีแผนที่ที่สมบูรณ์แบบว่าข้อมูลที่ละเอียดอ่อนทั้งหมดอยู่ที่ใดเมื่อออกจากที่เก็บข้อมูลหลัก การขาดการมองเห็นนี้หมายความว่าข้อมูลที่คัดลอกไปยังบันทึกการเข้าใช้ ข้อมูลสำรอง หรือระบบวิเคราะห์อาจได้รับนโยบายการเข้าถึงที่แตกต่างกันและปลอดภัยน้อยกว่าแหล่งที่มาดั้งเดิม การละเลยที่พบบ่อยอีกประการหนึ่งคือความล้มเหลวในการนำแนวทางปฏิบัติที่ดีที่สุดด้านความปลอดภัยไปใช้และตรวจสอบอย่างสม่ำเสมอในทรัพยากรคลาวด์ทั้งหมด ตัวอย่างเช่น AWS มีคุณสมบัติเช่น Block Public Access แต่สิ่งเหล่านี้มักจะต้องเปิดใช้งานและบำรุงรักษาอย่างแข็งขัน ทีมรักษาความปลอดภัยอาจมุ่งเน้นไปที่ฐานข้อมูลการผลิตหลัก โดยมองข้ามที่เก็บข้อมูลที่ละเอียดอ่อนน้อยกว่าแต่มีความสำคัญเท่าเทียมกัน นอกจากนี้ การพัฒนาและการปรับใช้ในสภาพแวดล้อมคลาวด์ที่รวดเร็วอาจนำไปสู่การพิจารณาความปลอดภัยในภายหลัง โดยการกำหนดค่าถูกขับเคลื่อนด้วยฟังก์ชันการทำงานมากกว่าการป้องกันที่แข็งแกร่ง ความไม่สอดคล้องกันระหว่างแนวทางการพัฒนาและการบังคับใช้นโยบายความปลอดภัยเป็นจุดช่องโหว่ที่สำคัญ

ปริมาณข้อมูลที่มหาศาลและความซับซ้อนของสถาปัตยกรรมคลาวด์สมัยใหม่หมายความว่ามาตรการรักษาความปลอดภัยแบบดั้งเดิมและเชิงรับไม่เพียงพอที่จะป้องกันการเปิดเผยข้อมูลอย่างต่อเนื่องผ่านที่เก็บข้อมูลที่กำหนดค่าผิดพลาด

รายการตรวจสอบการป้องกันเชิงปฏิบัติ

เพื่อลดความเสี่ยงของการกำหนดค่าคลาวด์ bucket ที่ผิดพลาดและการรั่วไหลของ PII CISO และวิศวกรความปลอดภัยควรใช้กลยุทธ์การป้องกันที่แข็งแกร่งและหลายชั้น

• เปิดใช้งาน Block Public Access โดยค่าเริ่มต้น: ตรวจสอบให้แน่ใจว่าคลาวด์ storage bucket ใหม่ทั้งหมดถูกสร้างขึ้นโดยบล็อกการเข้าถึงสาธารณะในระดับบัญชี และตรวจสอบ bucket ที่มีอยู่บ่อยครั้ง
• ใช้การเข้าถึงตามสิทธิ์น้อยที่สุด: ให้สิทธิ์ที่จำเป็นน้อยที่สุดแก่ผู้ใช้และบริการที่โต้ตอบกับ bucket ข้อมูลที่ละเอียดอ่อน หลีกเลี่ยงสิทธิ์ s3:* แบบครอบคลุม
• ตรวจสอบนโยบาย Bucket และ ACLs เป็นประจำ: ดำเนินการตรวจสอบนโยบาย bucket และ Access Control Lists (ACLs) ทั้งแบบอัตโนมัติและแบบด้วยตนเอง เพื่อระบุและแก้ไขการตั้งค่าที่อนุญาตมากเกินไป
• การจัดประเภทและการค้นพบข้อมูล: พัฒนาระบบการจัดประเภทข้อมูลที่ครอบคลุม และใช้เครื่องมืออัตโนมัติเพื่อค้นหาว่าข้อมูลที่ละเอียดอ่อนอยู่ที่ใดในบริการคลาวด์ทั้งหมด รวมถึงบันทึกการเข้าใช้ ข้อมูลสำรอง และแพลตฟอร์มการวิเคราะห์
• ตรวจสอบการเปลี่ยนแปลงการเข้าถึงสาธารณะ: ใช้การตรวจสอบและการแจ้งเตือนแบบเรียลไทม์สำหรับการเปลี่ยนแปลงใดๆ ในการตั้งค่าการเข้าถึงสาธารณะของ bucket หรือการแก้ไขนโยบายที่อาจเปิดเผยข้อมูล
• ใช้ Cloud Security Posture Management (CSPM): ปรับใช้เครื่องมือ CSPM เพื่อประเมินการกำหนดค่าคลาวด์อย่างต่อเนื่องเทียบกับเกณฑ์มาตรฐานความปลอดภัย และระบุการกำหนดค่าที่ผิดพลาด
• การฝึกอบรมความปลอดภัยสำหรับนักพัฒนา: ผสานรวมแนวทางปฏิบัติที่ดีที่สุดด้านความปลอดภัย โดยเฉพาะอย่างยิ่งเกี่ยวกับการกำหนดค่าที่เก็บข้อมูลบนคลาวด์ เข้ากับขั้นตอนการทำงานของนักพัฒนา และให้การฝึกอบรมอย่างต่อเนื่อง

การทดสอบเชิงรุกสมัยใหม่จะจับสิ่งนี้ได้อย่างไร

การป้องกันแบบดั้งเดิมและเครื่องมือวิเคราะห์โค้ดแบบคงที่มักจะล้มเหลวในการระบุปัญหาการกำหนดค่าคลาวด์แบบไดนามิกเหล่านี้ การทดสอบเชิงรุกสมัยใหม่ โดยเฉพาะการทดสอบเชิงรุกแบบอัตโนมัติด้วย Proof-of-Concepts (PoCs) ที่สามารถรันได้ จะสามารถระบุการกำหนดค่าที่ผิดพลาดเหล่านี้ได้ล่วงหน้า แพลตฟอร์มของเรา secops จะทำให้กระบวนการจำลองการลาดตระเวนและการพยายามดึงข้อมูลของผู้โจมตีเป็นไปโดยอัตโนมัติ ด้วยการสแกนและพยายามเข้าถึงคลาวด์ storage bucket โดยอัตโนมัติ secops สามารถสร้าง PoCs ที่สามารถรันได้ ซึ่งแสดงให้เห็นถึงเส้นทางที่ผู้โจมตีจะใช้ในการดึงข้อมูลที่ละเอียดอ่อนได้อย่างแม่นยำ สิ่งนี้ให้หลักฐานที่เป็นรูปธรรมของช่องโหว่ รวมถึง bucket ที่กำหนดค่าผิดพลาดโดยเฉพาะ ประเภทของข้อมูลที่เปิดเผย และวิธีการเข้าถึง แนวทางเชิงรุกนี้ช่วยให้ทีมรักษาความปลอดภัยสามารถแก้ไขช่องโหว่ได้ก่อนที่จะถูกโจมตี โดยเปลี่ยนจากรูปแบบการตอบสนองต่อเหตุการณ์เชิงรับไปสู่ท่าทางการรักษาความปลอดภัยเชิงป้องกัน การจำลองสถานการณ์จริงอย่างต่อเนื่องนี้มีความสำคัญอย่างยิ่งต่อการจับข้อผิดพลาดในการกำหนดค่าที่ละเอียดอ่อนซึ่งหลีกเลี่ยงการตรวจสอบแบบคงที่หรือการตรวจสอบโดยมนุษย์

สิ่งที่ต้องจับตาดูต่อไป

ภูมิทัศน์ของการเปิดเผยข้อมูลบนคลาวด์ยังคงพัฒนาต่อไป ในขณะที่องค์กรต่างๆ ใช้สถาปัตยกรรมคลาวด์ที่ซับซ้อนมากขึ้นและรวมบริการต่างๆ เช่น เวิร์กโฟลว์ AI ความท้าทายในการปกป้องข้อมูลจะทวีความรุนแรงขึ้นเท่านั้น Data Security Posture Management (DSPM) กำลังกลายเป็นระเบียบวินัยที่สำคัญในการจัดการกับลักษณะแบบไดนามิกของข้อมูลที่ละเอียดอ่อน DSPM มีเป้าหมายเพื่อให้มองเห็นได้ว่าข้อมูลที่ละเอียดอ่อนอยู่ที่ใด เป็นข้อมูลประเภทใด ใครหรืออะไรที่สามารถเข้าถึงได้ ได้รับการปกป้องอย่างไร และอาจถูกเปิดเผยที่ใด สิ่งนี้ไปไกลกว่าการรักษาความปลอดภัยบนคลาวด์แบบดั้งเดิม โดยเน้นที่ข้อมูลเองในขณะที่เคลื่อนที่ผ่านระบบต่างๆ โดยเฉพาะ CISO และวิศวกรความปลอดภัยควรกำกับติดตามความก้าวหน้าในโซลูชัน DSPM อย่างใกล้ชิด และรวมเข้ากับกลยุทธ์ด้านความปลอดภัยของตน เพื่อให้ได้ภาพที่ชัดเจนยิ่งขึ้นเกี่ยวกับการเดินทางของข้อมูลและความเสี่ยงในการเปิดเผยข้อมูล จุดเน้นต้องเปลี่ยนจากการรักษาความปลอดภัยโครงสร้างพื้นฐานไปสู่การรักษาความปลอดภัยข้อมูลที่ไหลผ่าน โดยเฉพาะอย่างยิ่งเมื่อ AI prompts และ vector stores กลายเป็นแหล่งเก็บ PII ใหม่ การต่อสู้กับการรั่วไหลของข้อมูลที่กำลังดำเนินอยู่จะต้องมีการปรับตัวอย่างต่อเนื่องและแนวคิดด้านความปลอดภัยเชิงรุกที่เน้นข้อมูลเป็นศูนย์กลาง