Yaygın Bulut Yanlış Yapılandırmaları

Yapılandırma hataları, bulut veri ihlallerinin başlıca nedenidir. Yazılım hatalarının istismar edilmesini gerektiren geleneksel yerel altyapı zafiyetlerinin aksine, bulut yapılandırma hataları çoğunlukla kuruluşun kendi eylemleriyle oluşur ve internetteki herkes tarafından kolayca istismar edilebilir.

Herkese açık okuma erişimine sahip S3 depoları, depolanan tüm verileri internete açar. Saldırganlar GrayhatWarfare gibi araçları kullanarak açık depoları tarar. Önleme: hesap düzeyinde S3 Block Public Access'i etkinleştirin, S3 Object Ownership'i etkinleştirin ve depo ilkelerini düzenli olarak denetleyin.

22 (SSH), 3389 (RDP) veya yönetim bağlantı noktalarında 0.0.0.0/0 kullanan güvenlik grupları, saldırı yüzeyini büyük ölçüde genişletir. Gelen trafiğe ilişkin kuralları belirli CIDR aralıklarıyla sınırlandırın. Açık SSH yerine AWS Systems Manager Session Manager kullanın.

RDS anlık görüntülerinin yanlışlıkla herkese açık olarak paylaşılması, veritabanının tüm içeriğini açığa çıkarır. Otomatik anlık görüntüleri varsayılan olarak özeldir; ancak elle yapılan paylaşımlar hassas verileri açığa çıkarabilir. Anlık görüntüsü görünürlüğünü describe-db-snapshots --include-public ile denetleyin.

Geliştiriciler AWS erişim anahtarlarını, veritabanı parolalarını ve API belirteçlerini Git depolarına işler. Saldırganlar TruffleHog ve GitLeaks gibi araçlarla GitHub/GitLab'ı tarar. Önleme: gizli bilgi yöneticileri, git-secrets ön işleme kancaları ve kuruluş genelinde gizli bilgi taraması kullanın.

CloudTrail tüm bölgelerde etkin değilse API çağrıları kaydedilmez. Saldırganlar, fark edilmeden faaliyet göstermek için günlük kaydı boşluklarından yararlanır. CloudTrail'i kuruluş genelinde etkinleştirin ve günlükleri, kurcalamaya karşı koruma için S3 Object Lock kullanılan ayrı bir güvenlik hesabındaki S3 deposuna gönderin.

IMDSv1, bir EC2 örneğindeki herhangi bir işlemin kimlik doğrulaması olmadan meta veri hizmetini sorgulamasına izin verir ve bu durum, örnek kimlik bilgilerini çalmak için SSRF saldırılarını mümkün kılar. Oturum odaklı kimlik doğrulamasını zorunlu kılmak için tüm örneklerde IMDSv2'yi (belirteç gerektiren) zorunlu tutun.

Güvenlik grupları genellikle tüm giden trafiğe izin verir. Bu durum, güvenliği ihlal edilmiş örneklerden veri sızdırılmasına ve komuta ve kontrol iletişimine olanak tanır. Giden bağlantıları bilinen hedeflerle sınırlandırmak için güvenlik grupları, ağ erişim denetim listeleri veya güvenlik duvarı cihazı üzerinden çıkış filtrelemesi kullanın.

Kimlik doğrulaması olmadan genel IP'lerde açık bırakılan Kubernetes panoları, Elasticsearch kümeleri, MongoDB örnekleri ve Jupyter not defterleri düzenli olarak ele geçirilir. Her yönetim arayüzü kimlik doğrulaması gerektirmeli ve ağ üzerinden sınırlandırılmalıdır.

S3 veri olayları ve CloudTrail yönetim olayları tek başına nesne düzeyindeki işlemleri (GetObject, PutObject) tespit edemez. Veri sızdırma girişimlerini tespit etmek için hassas depolarda S3 Server Access Logging'i ve CloudTrail S3 veri olaylarını etkinleştirin.

Otomatik düzeltme içeren AWS Config kuralları (SSM Automation belgeleri veya Lambda aracılığıyla) ihlalleri otomatik olarak düzeltebilir: depoları özel hale getirebilir, güvenlik grubu kurallarını kapatabilir veya kimlik bilgilerini karantinaya alabilir. Böylece açığa maruz kalma süresi günlerden dakikalara indirilir.

IMDSv1'in EC2 örneklerinde etkin bırakılmasının başlıca riski nedir?

Bulut yapılandırma hataları — herkese açık depolar, aşırı izin veren güvenlik grupları, sabit kodlanmış kimlik bilgileri ve eksik günlük kayıtları — bulut ihlallerinin en yaygın nedenidir. Otomatik tarama, zorunlu koruma sınırları ve sürekli izleme temel savunma önlemleridir.