LIMB
Фреймворк кибербезопасности Национального института стандартов и технологий США (NIST) является одним из самых важных руководств в мире по обеспечению безопасности сетей. Его можно применять к любому количеству приложений, включая SaaS.
Одной из проблем, с которой сталкиваются те, кому поручено обеспечивать безопасность SaaS-приложений, является различие в настройках каждого приложения. Это затрудняет разработку политики конфигурации, которая будет применима к приложению управления персоналом, управлению контентом маркетинга и управлению версиями программного обеспечения в R&D, при соблюдении стандартов NIST.
Тем не менее существует несколько настроек, которые можно применить к практически каждому приложению в стеке SaaS. В этой статье мы рассмотрим универсальные конфигурации, объясним их важность и руководство по установке так, чтобы улучшить безопасность ваших SaaS-приложений.
Начнем с администраторов #
Управление доступом на основе ролей (RBAC) - ключ к соблюдению стандартов NIST и должно применяться к каждому SaaS-приложению. Существует два типа разрешений в SaaS-приложении. Функциональный доступ касается таких вещей, как создание учетных записей и навигация по приложению. Разрешения на доступ к данным, с другой стороны, регулируют, какие пользователи могут извлекать и изменять данные. Учетная запись администратора (или супер-администратора в некоторых приложениях) является наиболее чувствительной в приложении, поскольку она имеет полный доступ к обоим типам разрешений.
Для злоумышленников взлом учетной записи администратора подобен выигрышу в лотерею. У них есть доступ ко всему. Организации должны делать все возможное для поддержания контроля над этими учетными записями. Этот контроль управляется конфигурациями и bewми практиками.
Внедрение ограниченной избыточности #
Важно иметь как минимум двух администраторов для каждого приложения. Эта избыточность затрудняет администратору действовать в одиночку вопреки интересам организации, так как администраторы могут следить друг за другом на предмет признаков взлома.
Однако каждый администратор увеличивает поверхность атаки приложения. Организации должны находить баланс между достаточным количеством администраторов для адекватного обслуживания приложения и ограничением экспозиции. Автоматизированный обзор количества администраторов должен срабатывать на предупреждения, когда количество администраторов выходит за предпочтительные рамки.
Исключение внешних администраторов #
Внешние администраторы вносят новый уровень неопределенности в безопасность SaaS. Поскольку они находятся за пределами организации, команда по безопасности не может контролировать политику паролей или средства аутентификации, которые они используют.
Например, если злоумышленник попытается войти в ваше приложение и щелкнет "Забыли пароль", нет способа узнать, может ли злоумышленник взломать почтовый аккаунт внешнего администратора. Отсутствие контроля над внешними пользователями может привести к глубокому вторжению в ваше SaaS-приложение, поэтому NIST рекомендует отказаться от использования внешних администраторов. В зависимости от приложения либо блокируйте возможность предоставления внешним администраторам прав администратора, либо выявляйте внешних пользователей с правами администратора и отнимайте у них эти права.
Для компаний, которые нанимают внешнюю ИТ-компанию или обращаются к поставщикам услуг по безопасности (MSSP), эти лица не должны рассматриваться как внешние. Тем не менее, они должны продолжать отслеживать предоставление прав администратора другим внешним пользователям.
Требование к MFA для админов #
Чтобы соответствовать стандартам NIST, все учетные записи
администраторов должны обязательно использовать многофакторную аутентификацию (MFA), такую как одноразовый пароль (OTP). MFA требует от пользователей представить не менее двух форм идентификации перед тем, как она аутентифицирует пользователя. Злоумышленнику пришлось бы компрометировать две системы аутентификации, увеличив уровень сложности взлома и уменьшив риск для учетной записи. Обязательно установите MFA для админов (мы также рекомендуем MFA для всех пользователей, но для админов это обязательно).
Загрузите этот чек-лист и узнайте, как согласовать вашу безопасность SaaS с NIST
Предотвращение утечек данных #
Утечки данных SaaS представляют собой значительные риски для организаций и их пользователей, потенциально подвергая опасности чувствительную информацию, хранящуюся в облачных приложениях. SaaS-приложения рекламируются как средства совместной работы. Однако конфигурации, позволяющие пользователям работать вместе, также могут компрометировать файлы и данные. NIST, с своей стороны, рекомендует отслеживать разрешения каждого ресурса.
Видимый календарь может подвергнуть сотрудников атакам фишинга, в то время как общие репозитории могут привести к тому, что внутренний исходный код компании станет общедоступным. Почта, файлы и доски содержат чувствительные данные, которые не должны быть доступны публике. Несмотря на то что эти конфигурации часто имеют разные названия в каждом приложении, практически в любом приложении, хранящем контент, есть такой тип управления.
Прекратить публичное распределение #
Разница между "Распределить всем" и "Распределить пользователю" глубока. Когда элементы распространяются всем, любой, у кого есть ссылка, может получить доступ к материалам. "Распределить пользователю", напротив, добавляет дополнительный механизм аутентификации, поскольку пользователю необходимо войти перед доступом к материалу.
Чтобы уменьшить количество раскрываемого контента, администраторы приложений должны запретить распространение по общедоступным URL ("Все, у кого есть ссылка"). Кроме того, некоторые приложения позволяют пользователям отменять доступ к URL, которые уже были созданы. При наличии такой возможности организации должны удостовериться, что этот параметр включен.
Установите срок действия приглашений #
Многие приложения позволяют авторизованным пользователям приглашать внешних пользователей в приложение. Тем не менее, большинство приложений не реализуют срок действия приглашений. В таких обстоятельствах приглашения, отправленные много лет назад, могут предоставить доступ злоумышленнику, который только что взломал почтовый аккаунт внешнего пользователя. Включение автоматического срока действия приглашений устраняет такой риск.
Стоит отметить, что в некоторых приложениях изменения конфигураций имеют обратную силу, в то время как другие вступят в силу только в будущем.
Согласование безопасности SaaS с NIST - скачайте полное руководство
Укрепление паролей для укрепления безопасности приложений #
Пароли - это первая линия защиты от несанкционированного доступа. NIST выступает за сильную и хорошо управляемую политику паролей, что является неотъемлемым элементом защиты чувствительных данных пользователя, конфиденциальной информации о бизнесе и собственных активов, хранящихся в облачной инфраструктуре.
Уникальность, сложность и регулярное обновление паролей - это критические аспекты крепкой безопасности. Пароли служат основным элементом в многоуровневом подходе к безопасности, дополняя другие меры безопасности, такие как многофакторная аутентификация (MFA) и шифрование. Компрометированные пароли могут быть шлюзом для злоумышленников для эксплуатации уязвимостей в среде SaaS. Эффективное управление паролями повышает общую устойчивость систем SaaS, способствуя более безопасной и доверенной цифровой экосистеме для бизнеса и его пользователей.
Предотвращение атак методом "поливания паролей" #
В атаке методом "поливания" злоумышленники вводят имя пользователя и общие термины пароля, надеясь удачно получить доступ к приложению. Требование MFA - рекомендуемый способ предотвращения атак методом "поливания". Для тех, кто не настаивает на использовании MFA сотрудниками в качестве части процесса аутентификации, многие приложения позволяют организациям запрещать использование определенных слов в качестве паролей. В этот список слов включаются термины типа password1, letmein, 12345 и имена местных спортивных команд. Кроме того, в него включаются термины, такие как имя пользователя, продукты компании, партнеры и другие бизнес-термины.
Добавление пользовательского списка запрещенных слов в конфигурации может значительно уменьшить риск успешной атаки методом "поливания паролей".
Сложность пароля #
Большинство SaaS-приложений позволяют организации настраивать сложность пароля. Это может варьироваться от разрешения использования любого пароля до требования буквенно-цифровых символов, заглавных и строчных букв, символов или длины пароля. Обновите требования к паролям в приложении в соответствии с политикой вашей организации.
Если у вашей организации нет политики паролей, рассмотрите следование рекомендациям NIST:
Не требуйте обязательной смены паролей, так как пользователи, как правило, выбирают легко запоминающиеся пароли.
Используйте длинные пароли вместо сложных. Комбинации чисел, специальных символов и строчных/заглавных букв обычно имеют формат типа: Password1!. Их легко подобрать методом грубой силы. Длинный пароль, такой как MyFavoriteDessertIsPecanPie, легко запомнить, но с 27 символами трудно подобрать методом грубой силы.
Ограничьте количество попыток ввода пароля не более 10.
Проверяйте пароли по опубликованным паролям и другим легко угадываемым словам с помощью списка запрещенных слов.
Конфигурации действительно важны #
Приблизительно 25% всех инцидентов, связанных с безопасностью в облаке, начинаются с неправильной настройки. Помимо упомянутых здесь конфигураций, касающихся доступа, паролей и утечек данных, которые являются довольно универсальными, конфигурации используются для управления ключами, мобильной безопасности, оперативной устойчивости, защиты от фишинга, защиты от спама и многого другого. Неправильные настройки в любой из этих областей могут привести к нарушениям.
Может показаться маловероятным, что злоумышленники тратят свое время на поиск неправильной настройки, которую они могут использовать. Тем не менее именно это сделала российская государственная группа Midnight Blizzard, когда взломала Microsoft в прошлом году. Если неправильные настройки могут произойти в Microsoft, стоит пересмотреть, чтобы удостовериться, что все ваши приложения защищены.
ПОДПИСЫВАЙТЕСЬ НА ТГК - РЕЗУЛЬТАТЫ РАБОТЫ ПО ХОХЛАМ https://t.me/killxss_channel (ВРЕМЕННО ПУСТО, СКОРО ЛЮТЕЙШИЙ АНОНС)
Одной из проблем, с которой сталкиваются те, кому поручено обеспечивать безопасность SaaS-приложений, является различие в настройках каждого приложения. Это затрудняет разработку политики конфигурации, которая будет применима к приложению управления персоналом, управлению контентом маркетинга и управлению версиями программного обеспечения в R&D, при соблюдении стандартов NIST.
Тем не менее существует несколько настроек, которые можно применить к практически каждому приложению в стеке SaaS. В этой статье мы рассмотрим универсальные конфигурации, объясним их важность и руководство по установке так, чтобы улучшить безопасность ваших SaaS-приложений.
Начнем с администраторов #
Управление доступом на основе ролей (RBAC) - ключ к соблюдению стандартов NIST и должно применяться к каждому SaaS-приложению. Существует два типа разрешений в SaaS-приложении. Функциональный доступ касается таких вещей, как создание учетных записей и навигация по приложению. Разрешения на доступ к данным, с другой стороны, регулируют, какие пользователи могут извлекать и изменять данные. Учетная запись администратора (или супер-администратора в некоторых приложениях) является наиболее чувствительной в приложении, поскольку она имеет полный доступ к обоим типам разрешений.
Для злоумышленников взлом учетной записи администратора подобен выигрышу в лотерею. У них есть доступ ко всему. Организации должны делать все возможное для поддержания контроля над этими учетными записями. Этот контроль управляется конфигурациями и bewми практиками.
Внедрение ограниченной избыточности #
Важно иметь как минимум двух администраторов для каждого приложения. Эта избыточность затрудняет администратору действовать в одиночку вопреки интересам организации, так как администраторы могут следить друг за другом на предмет признаков взлома.
Однако каждый администратор увеличивает поверхность атаки приложения. Организации должны находить баланс между достаточным количеством администраторов для адекватного обслуживания приложения и ограничением экспозиции. Автоматизированный обзор количества администраторов должен срабатывать на предупреждения, когда количество администраторов выходит за предпочтительные рамки.
Исключение внешних администраторов #
Внешние администраторы вносят новый уровень неопределенности в безопасность SaaS. Поскольку они находятся за пределами организации, команда по безопасности не может контролировать политику паролей или средства аутентификации, которые они используют.
Например, если злоумышленник попытается войти в ваше приложение и щелкнет "Забыли пароль", нет способа узнать, может ли злоумышленник взломать почтовый аккаунт внешнего администратора. Отсутствие контроля над внешними пользователями может привести к глубокому вторжению в ваше SaaS-приложение, поэтому NIST рекомендует отказаться от использования внешних администраторов. В зависимости от приложения либо блокируйте возможность предоставления внешним администраторам прав администратора, либо выявляйте внешних пользователей с правами администратора и отнимайте у них эти права.
Для компаний, которые нанимают внешнюю ИТ-компанию или обращаются к поставщикам услуг по безопасности (MSSP), эти лица не должны рассматриваться как внешние. Тем не менее, они должны продолжать отслеживать предоставление прав администратора другим внешним пользователям.
Требование к MFA для админов #
Чтобы соответствовать стандартам NIST, все учетные записи
администраторов должны обязательно использовать многофакторную аутентификацию (MFA), такую как одноразовый пароль (OTP). MFA требует от пользователей представить не менее двух форм идентификации перед тем, как она аутентифицирует пользователя. Злоумышленнику пришлось бы компрометировать две системы аутентификации, увеличив уровень сложности взлома и уменьшив риск для учетной записи. Обязательно установите MFA для админов (мы также рекомендуем MFA для всех пользователей, но для админов это обязательно).
Загрузите этот чек-лист и узнайте, как согласовать вашу безопасность SaaS с NIST
Предотвращение утечек данных #
Утечки данных SaaS представляют собой значительные риски для организаций и их пользователей, потенциально подвергая опасности чувствительную информацию, хранящуюся в облачных приложениях. SaaS-приложения рекламируются как средства совместной работы. Однако конфигурации, позволяющие пользователям работать вместе, также могут компрометировать файлы и данные. NIST, с своей стороны, рекомендует отслеживать разрешения каждого ресурса.
Видимый календарь может подвергнуть сотрудников атакам фишинга, в то время как общие репозитории могут привести к тому, что внутренний исходный код компании станет общедоступным. Почта, файлы и доски содержат чувствительные данные, которые не должны быть доступны публике. Несмотря на то что эти конфигурации часто имеют разные названия в каждом приложении, практически в любом приложении, хранящем контент, есть такой тип управления.
Прекратить публичное распределение #
Разница между "Распределить всем" и "Распределить пользователю" глубока. Когда элементы распространяются всем, любой, у кого есть ссылка, может получить доступ к материалам. "Распределить пользователю", напротив, добавляет дополнительный механизм аутентификации, поскольку пользователю необходимо войти перед доступом к материалу.
Чтобы уменьшить количество раскрываемого контента, администраторы приложений должны запретить распространение по общедоступным URL ("Все, у кого есть ссылка"). Кроме того, некоторые приложения позволяют пользователям отменять доступ к URL, которые уже были созданы. При наличии такой возможности организации должны удостовериться, что этот параметр включен.
Установите срок действия приглашений #
Многие приложения позволяют авторизованным пользователям приглашать внешних пользователей в приложение. Тем не менее, большинство приложений не реализуют срок действия приглашений. В таких обстоятельствах приглашения, отправленные много лет назад, могут предоставить доступ злоумышленнику, который только что взломал почтовый аккаунт внешнего пользователя. Включение автоматического срока действия приглашений устраняет такой риск.
Стоит отметить, что в некоторых приложениях изменения конфигураций имеют обратную силу, в то время как другие вступят в силу только в будущем.
Согласование безопасности SaaS с NIST - скачайте полное руководство
Укрепление паролей для укрепления безопасности приложений #
Пароли - это первая линия защиты от несанкционированного доступа. NIST выступает за сильную и хорошо управляемую политику паролей, что является неотъемлемым элементом защиты чувствительных данных пользователя, конфиденциальной информации о бизнесе и собственных активов, хранящихся в облачной инфраструктуре.
Уникальность, сложность и регулярное обновление паролей - это критические аспекты крепкой безопасности. Пароли служат основным элементом в многоуровневом подходе к безопасности, дополняя другие меры безопасности, такие как многофакторная аутентификация (MFA) и шифрование. Компрометированные пароли могут быть шлюзом для злоумышленников для эксплуатации уязвимостей в среде SaaS. Эффективное управление паролями повышает общую устойчивость систем SaaS, способствуя более безопасной и доверенной цифровой экосистеме для бизнеса и его пользователей.
Предотвращение атак методом "поливания паролей" #
В атаке методом "поливания" злоумышленники вводят имя пользователя и общие термины пароля, надеясь удачно получить доступ к приложению. Требование MFA - рекомендуемый способ предотвращения атак методом "поливания". Для тех, кто не настаивает на использовании MFA сотрудниками в качестве части процесса аутентификации, многие приложения позволяют организациям запрещать использование определенных слов в качестве паролей. В этот список слов включаются термины типа password1, letmein, 12345 и имена местных спортивных команд. Кроме того, в него включаются термины, такие как имя пользователя, продукты компании, партнеры и другие бизнес-термины.
Добавление пользовательского списка запрещенных слов в конфигурации может значительно уменьшить риск успешной атаки методом "поливания паролей".
Сложность пароля #
Большинство SaaS-приложений позволяют организации настраивать сложность пароля. Это может варьироваться от разрешения использования любого пароля до требования буквенно-цифровых символов, заглавных и строчных букв, символов или длины пароля. Обновите требования к паролям в приложении в соответствии с политикой вашей организации.
Если у вашей организации нет политики паролей, рассмотрите следование рекомендациям NIST:
Не требуйте обязательной смены паролей, так как пользователи, как правило, выбирают легко запоминающиеся пароли.
Используйте длинные пароли вместо сложных. Комбинации чисел, специальных символов и строчных/заглавных букв обычно имеют формат типа: Password1!. Их легко подобрать методом грубой силы. Длинный пароль, такой как MyFavoriteDessertIsPecanPie, легко запомнить, но с 27 символами трудно подобрать методом грубой силы.
Ограничьте количество попыток ввода пароля не более 10.
Проверяйте пароли по опубликованным паролям и другим легко угадываемым словам с помощью списка запрещенных слов.
Конфигурации действительно важны #
Приблизительно 25% всех инцидентов, связанных с безопасностью в облаке, начинаются с неправильной настройки. Помимо упомянутых здесь конфигураций, касающихся доступа, паролей и утечек данных, которые являются довольно универсальными, конфигурации используются для управления ключами, мобильной безопасности, оперативной устойчивости, защиты от фишинга, защиты от спама и многого другого. Неправильные настройки в любой из этих областей могут привести к нарушениям.
Может показаться маловероятным, что злоумышленники тратят свое время на поиск неправильной настройки, которую они могут использовать. Тем не менее именно это сделала российская государственная группа Midnight Blizzard, когда взломала Microsoft в прошлом году. Если неправильные настройки могут произойти в Microsoft, стоит пересмотреть, чтобы удостовериться, что все ваши приложения защищены.
ПОДПИСЫВАЙТЕСЬ НА ТГК - РЕЗУЛЬТАТЫ РАБОТЫ ПО ХОХЛАМ https://t.me/killxss_channel (ВРЕМЕННО ПУСТО, СКОРО ЛЮТЕЙШИЙ АНОНС)
👍38
❤️9
🔥7
😢7