Bulut Güvenliği: Eski Parola ve Kullanılmayan Hesapların Riskleri
Güvenlik uzmanları, birçok işletmenin bulut uygulamalarını uzun süre boyunca değiştirilmemiş eski parolalarla koruduğunu ortaya koydu. Aynı zamanda, hala aktif durumda olan ancak kullanılmayan eski hesapların ciddi güvenlik tehditleri oluşturduğuna dikkat çekiyorlar.
Datadog’un yayımladığı Bulut Güvenliği Durumu 2024 raporuna göre, işletmelerin parolalarını yenilemeleri gerektiği konusunda yapılan uyarılara rağmen, bulut hizmetlerine dair şu çarpıcı veriler elde edildi:
- Google Cloud hizmet hesaplarının %62’si bir yıldan eski erişim anahtarlarına sahip.
- AWS IAM hesaplarının %60’ı benzer durumdadır.
- Microsoft Entra ID uygulamalarının %46’sı da eski erişim anahtarları taşımaktadır.
Ayrıca, işletmelerin neredeyse yarısının (%46) kullanılmayan hesaplarla ilgili benzer kimlik bilgilerine sahip olduğu görülmektedir. Datadog Güvenlik Savunuculuğu Başkanı Andrew Krug, bu konudaki bulguları değerlendirerek, “Bulut Güvenliği Durumu 2024’ün bulguları, uzun ömürlü kimlik bilgilerinin güvenli bir şekilde yönetilebileceği beklentisinin gerçekçi olmadığını gösteriyor.” ifadelerini kullandı. Krug, ayrıca, “Uzun ömürlü kimlik bilgilerinin büyük bir risk oluşturmasının yanı sıra, rapor, bulut güvenliği olaylarının çoğunun tehlikeye atılmış kimlik bilgilerinden kaynaklandığını belirtiyor. Şirketlerin kendilerini korumak için kimlikleri modern kimlik doğrulama mekanizmalarıyla güvence altına almaları, kısa ömürlü kimlik bilgilerinden yararlanmaları ve saldırganların yaygın olarak kullandığı API’lerdeki değişiklikleri aktif olarak izlemeleri gerekiyor.”” şeklinde ekledi.
Krug, bu uzun ömürlü bulut kimlik bilgilerinin genellikle kaynak kodları, kapsayıcı görüntüleri, derleme günlükleri ve uygulama eserleri gibi çeşitli yollarla sızdırıldığına dikkat çekiyor. Bu durum, saldırganların şirket varlıklarına daha kolay erişim sağlamalarına olanak tanıyor. Krug’un önerilerine göre, bu sorunlar, biyometrik kimlik doğrulama sistemlerine geçiş yaparak, sıfır güven mimarisi uygulayarak ve günlük kaydı ile izleme araçlarını güncelleyerek önemli ölçüde çözülebilir.
