Sikkerhedsproblemer og udfordringer ved cloud computing

Cybersikkerhedstrusler i det digitale landskab er steget under coronaudbruddet, og bekymringerne i cloudmiljøet er blevet en vigtig prioritet.

Nogle af de største sikkerhedstrusler ved cloud computing omfatter i øjeblikket:

• Virksomhedssystemer med fjernadgang mangler sikker opsætning og sikkerhedskontrol på grund af manglende beredskab til et obligatorisk skift til hjemmearbejde.
• Bevidstgørelse hos slutbrugeren om social engineering er fortsat nødvendig, da brugerlegitimationsoplysninger stadig bliver stjålet via svindelmails og andre bedrageriske midler.
• Personlig sikkerhed i hjemmet er i øjeblikket en mangel hos brugernes bevidsthed om sikker konfigurationspraksis. Tidligere ikke-netværksforbundne enheder som termostater er blevet forbundet til internettet og udgør nu potentielle indbrudspunkter for cyberkriminelle, som dermed kan trænge ind i private hjemmenetværk.

Sikkerhedsudfordringer ved cloud computing

Sikkerhed inden for cloud computing har været et problem gennem længere tid. Selv om personlige cloudtjenester som Apple iCloud har oplevet en stor andel af kontroverser, er den største bekymring i øjeblikket sikkerheden i forbindelse med virksomheders og myndigheders drift.

Hvor netværk og hardware på kontoret nu udgør et mere kontrolleret miljø, introducerer fjernadgang flere kontaktpunkter, der er åbne for mulige angreb. Hver forbindelse og komponent skal hærdes med en beskyttet rammestruktur for at sikre, at der ikke er nogen risiko for at blive angrebet af hackere. Virksomheder bør have en sikker fjernarbejdsplan sat i værk, hvor bærbare computere, telefoner og netværksforbindelsesenheder bliver konfigureret og testet for sådanne risici af interne IT-teams.

Desværre betød graden af den globale spredning af COVID19 en forhastet overgang til hjemmearbejde. Denne uplanlagte implementering af en fjernarbejdsinfrastruktur medførte ufuldstændige og mangelfulde politikker for værktøjer som f.eks. adgang til cloudbaserede servere. Øget brug af cloudbaserede samarbejdsplatforme og virtuelle mødesystemer har ført til et stærkt opsving i komplikationerne inden for IT.

Resultater fra en Fugue-undersøgelse viste, at næsten tre ud fire teams, der opererer på cloudsystemer, har oplevet over ti daglige hændelser simpelthen på grund af forkert systemopsætning. Alt fra brud på lagerplads til ikke-tilstrækkelige politikker om systemadgang har medført, at 84 % af IT-afdelingerne på arbejdspladsen er bekymrede for, at de er blevet hacket og endnu ikke har opdaget det. Ineffektive manuelle ressourcer, der bruges af de fleste teams, har introduceret menneskelige fejl i ligningen, og dette gør cloud computing endnu mindre pålidelig.

Kriminelle, der benytter trusler, udnytter den øgede brug af skyen og går efter alt fra sundhedsfaciliteter til onlinetjenester. Når der allerede findes huller i sikkerheden, er menneskelige fejl endnu et punkt, der bekymrer virksomhederne. IT-medarbejdere og slutpunktbrugere skal fortsat være opmærksomme på cybertrusler, og virksomheder skal forhindre, at medarbejderne stirrer sig blinde på advarslerne og mister deres sunde dømmekraft.

Sikkerhedsrisici ved cloud computing

Sikkerhedsfarer inden for cloud computing-tjenester kan opgøres på følgende måder:

• Systemsårbarheder er den tekniske side af truslerne, der skal håndteres proaktivt af IT-kompatible medarbejdere.
• Slutpunktsfejl eller forsømmelighed er den menneskelige side, der kun kan forhindres med løbende oplæring og uddannelse.
• Ondsindede cyberkriminelle er i sidste ende kun så magtfulde, som de menneskelige og tekniske svagheder i et cloudsystem tillader dem at være. Imidlertid giver erfaring med manipulation af både tekniske og menneskelige elementer angriberne en fordel.

Mens nuldagssårbarheder er en reel mulighed, kan mange cyberkriminelle også vælge at bruge lettere kendte infiltrationspunkter i en virksomheds cloudsystemer. Her er nogle specifikke problemer, der påvirker brugen af skyen:

Cloudkonfiguration

Fejlkonfigurerede cloudsystemer er almindelige for øjeblikket, da mange arbejdspladser konfigurerer fjernsystemer for første gang. En cloudbaseret rammestruktur kræver omfattende sikkerhedsforanstaltninger i backend for at reducere svaghedspunkter ved onlineangreb. Der skal afsættes tilstrækkelig tid til at foretage en detaljeret cloudopsætning, men desværre har et stort antal IT-afdelinger set sig nødsaget til at forhaste sig gennem processen.

Fugues undersøgelse fra april 2020 nævner manglen på politisk bevidsthed som en væsentlig årsag til, at disse trusler ikke håndteres effektivt. Teams mangler også tilstrækkelig overvågning og regler for alle software-API'er, der interagerer med cloudtjenester. Mange lag af rettigheder og kontrolelementer har ikke været nødvendige før nu, så det er ikke overraskende, at IT-afdelingerne ikke har været tilstrækkeligt forberedt.

Mangel på stresstest er et lige så vigtigt spørgsmål i forbindelse med overgangen til fjernarbejde. Belastningen fra et helt kontormiljø – eller hundredvis af kontormiljøer – der bruger cloudbaserede servere, kræver gentagne test af kapaciteten. Det er ikke muligt at garantere systemstabilitet uden test, og det kan i sidste ende føre til fejlfunktion af en ellers sikker infrastruktur.

Selv om alle disse problemer ikke er løst, ser virksomheder sig nødsaget til at iværksætte ukendte procedurer, inden de er gennemtestet. Samtidig belaster fejlfinding og retningskorrektioner virksomhedens IT-afdeling, så de måske ikke kan udføre deres arbejde godt nok. Hver af disse svagheder kan åbne døren for ondsindede kriminelle.

BYOD-politikker ved hjemmearbejde

Nogle virksomheder har implementeret BYOD-politikker (bring-your-own-device) for at skabe den bekvemmelighed og fleksibilitet, som hjemmearbejde kræver. Selvom virksomhederne dermed kan aflaste hardwareomkostninger og vedligeholdelse på medarbejderne, skaber dette mange potentielle brudpunkter på virksomhedens IT-systemer.

Efterhånden som personlige aktiviteter og arbejdsaktiviteter blandes sammen på de samme enheder, øges sandsynligheden for, at cloudsystemer udsættes for skadelig malware fra ubeskyttede enheder. På de fleste arbejdspladser er det meningen, at personlig brug skal holdes adskilt fra virksomhedens enheder. Det giver den ekstra fordel, at kontakten med en slutpunktsbrugers ubeskyttede konti og filer reduceres.

Virksomhedens eget netværk er sikret af firewalls, dens Wi-Fi-routere er beskyttet, og arbejdstelefonerne administreres af IT-afdelingen. De sikrer systematisk, at enhver mulig angrebsflade har de nyeste sikkerhedsprotokoller og softwareopdateringer.

Det nye arbejdsklima, som består af fjernforbindelser, har skabt mange blinde vinkler hos virksomhederne, da det for mange ikke har været muligt at levere fjernarbejdsklare enheder til medarbejderne, som derfor måtte bruge deres egne enheder. Eksisterende malwareinfektioner er en blandt mange af sådanne bekymringer med ubeskyttet brug af personlige enheder. Forældede operativsystemer og anden enhedssoftware kan nemt misbruges af cyberkriminelle. Andre familiemedlemmers enheder på en medarbejders hjemmenetværk kan også være adgangspunkter for malware.

Selv med hardware, der er kontrolleret af IT-afdelingen, gøres en stor del af den tidligere kontorrelaterede beskyttelse pludselig overflødig, da der ikke er nogen procedurer på plads til at kontrollere den enkelte brugers sikkerhed på hjemmenetværket.

Social engineering og andre cyberangreb

Kriminelle, der benytter trusler, har øget deres indsats mod at udnytte uovervågede huller i cloudarkitekturen til at opnå profit eller afbryde virksomhedernes drift, endda på et tidspunkt hvor hele verden er udfordret af en pandemi.

Phishing-kriminelle udgiver sig svigagtigt for at være betroede enkeltpersoner eller myndigheder med det formål at overtale ofrene til at udlevere værdigenstande eller adgang til private områder. Dette begreb bruges normalt om onlinetyveri af kontooplysninger eller penge. Social engineering-metoder som denne har været en attraktiv metode til at opnå adgang til cloudsystemer fra både medarbejdere og enkeltpersoner.

Phishing med malwarenyttelast virker ved, at de cyberkriminelle udgiver sig for betroede parter og lokker ofrene til at åbne inficerede filer eller links. Medarbejderne kan dermed narres til at inficere cloudbaserede lagringssteder i virksomheder, databaser og andre netværksstrukturer. Når disse typer malware er inficeret, kan malwaren sprede sig og forårsage alle mulige slags forstyrrelser eller mere almindeligt skabe et brud på datasikkerheden i hele virksomheden.

Brute force-angreb i form af cloudbaseret infiltration indebærer indtastning af stjålne legitimationsoplysninger fra andre konti i forskellige tjenester. Cyberkriminelle forsøger at drage fordel af enhver mulig genbrug af adgangskode og brugernavn på tværs af flere konti. Typisk vil de erhverve sig stjålne legitimationsoplysninger fra eksisterende kontobrud, hvor legitimationsoplysningerne sælges på det såkaldte mørke internet. Hurtige loginforsøg fra mange fjernplaceringer kan være en advarsel mod denne aktivitet.

DDoS-angreb (Distributed Denial-of-Service) overbelaster cloudservere eller rammestrukturen omkring dem for at afbryde eller sætte tjenester offline. Disse kan forekomme via "bagdøren" med botnet-baserede trusler og phishing-trusler, hvor cyberkriminelle opnår adgang til et system og bruger en færdigmonteret "fjerncomputerhær" til at udføre angrebet. Nem udførelse og omfanget af afbrydelser i virksomhedernes webbaserede drift gør DDoS-angreb meget tiltalende for hackere. Da mange har en vilkårlig opsætning af infrastrukturen, er mange virksomheder derfor endnu mere udsatte på deres på cloudsystemer.

Sådan sikrer du dine data i skyen

Hvis du ønsker at forbedre datasikkerheden i skyen, skal du være opmærksom på nogle særlige nøgleområder. Datakryptering er overordnet set et vigtigt fokusområde inden for cloudsikkerhed. Med kryptering kan du forvrænge dine data, så de bliver stort set ubrugelige for alle, der ikke har dine krypteringsnøgler til at låse dem op. Her er et par tips, der kan hjælpe dig.

Som hjemmebruger kan du træffe følgende foranstaltninger:

• Brug en VPN-tjeneste: Et virtuelt privat netværk kan hjælpe dine data med at forblive private og anonyme under overførslen mellem din cloud og dine enheder. Kryptering er en primær funktion i de fleste VPN-tjenester, så de kan på den måde være en hjælp til at undgå sikkerhedsbrud.
• Find ud af, om du lagrer data, der skal krypteres: Ikke alle data skal krypteres, men følsomme data skal altid have dette beskyttelseslag. Bedste praksis indebærer brug af kryptering for filer såsom skattedokumenter og andre private data, men kryptering kan også være unødvendigt for filer og andre data, man allerede deler offentligt. Bare husk, at du kan miste adgangen, hvis du mister dine krypteringsnøgler.
• Implementer krypteringen meget omhyggeligt: Da din udbyder muligvis ikke selv holder styr på krypteringsnøglerne, skal du sikre dig, at cloudkrypteringsnøglerne ikke gemmes på et sårbart sted som f.eks. et drev på computeren.
• Vælg en sikkerhedstjeneste, der holder øje med din identitet: Med produkter som Kaspersky Security Cloud modtager du opdateringer, hvis dine data bliver afsløret i et databrud i skyen. Hvis der sker en fejl i nogen af dine krypteringsmetoder, vil du blive informeret om en passende handlingsplan med trin til at beskytte dig selv.

Hvis du ønsker at sikre systemerne på din store eller mellemstore virksomhed, skal du undersøge følgende:

• Krypter dataene, før de gemmes i skyen: Ved at sikre dine lokale datalagringsenheder og operativsystemer får du mere kontrol over, hvordan din virksomhed håndterer krypteringsforanstaltningerne.
• Start til slut-kryptering: Sørg for, at din udbyder tilbyder kryptering, der sikrer dine data, når de overføres til og fra din cloudtjeneste. Følsomme data som finansielle eller ejendomsretlige virksomhedsoplysninger bør altid sikres mod indtrængen.
• Håndtering af dine krypteringsnøgler: Kryptering kræver forskellige nøgler for at få adgang til dataene. Det betyder, at disse skal kontrolleres og beskyttes omhyggeligt. Find ud af, om din cloududbyder administrerer nøgler for dig, eller om du skal holde styr på dem internt i virksomheden.
• Brug en cloudsikkerhedsløsning: At holde styr på din datakryptering er en stor opgave at skulle klare selv. Sikkerhedsprodukter som Kaspersky Hybrid Cloud Security kan dog hjælpe dig med at vurdere, hvordan din lokale og cloudbaserede sikkerhedsindsats kan forbedres, samtidig med at du beskytter dig mod nye trusler.

Tips til at forbedre sikkerheden i skyen

Sikkerhedsudfordringer i forbindelse med databehandling i skyen kan løses ved at implementere værktøjer og metoder til beskyttelse af slutbrugere. Uanset om det er til personlig brug eller til planlægning af IT-politikker for virksomheder, kommer her et par tips, der kan hjælpe dig med at holde dine cloudtjenester sikre:

1. Undgå download af dokumenter og vedhæftede filer: Forhåndsvis vedhæftede filer og dokumenter, når det er muligt. Opbevar dine dokumenter online i stedet for at gemme og tilgå dem fra et lokalt lager.
2. Underret supportafdelingen om forsøg på phishing: Uanset om der er tale om e-mails, telefonopkald, sms eller anden form for mistanke om phishing, skal du fortælle din tjenesteudbyder og/eller din IT-afdeling om det.
3. Aktiver multifaktorautentificering: Beskyttelse i flere lag såsom biometri eller USB-nøgler oven på traditionelle adgangskoder kan give større og bedre sikkerhedsbarrierer. Selvom de ikke er idiotsikre, kan et ekstra minut investeret i personlig sikkerhed være med til at stoppe cyberangreb på de lavere adgangsniveauer.
4. Sørg for at sikre smart home-enheder (og som minimum din internetadgang): Sørg for, at din routers administratoradgang er beskyttet med en stærk adgangskode og et stærkt brugernavn. Det kan også være en god start at optimere adgangskoderne på hjemmets trådløse netværk. Ved fjernarbejde kan du overveje at bruge et mobilt hotspot med en VPN-forbindelse i stedet for dit hjemmenetværk.
5. Sørg for, at du følger rådene fra din undervisning i cybersikkerhed på arbejdspladsen. Regler og politikker er kun effektive, hvis du tager dig tid til at følge og bruge dem. Foreslå, at dit IT-team implementerer virtuelle øvelser mod trusler som phishing, hvis de ikke allerede er sat i værk.
6. Konfigurer og kræv brug af VPN. Denne service giver dig og din organisation en privat tunnel, hvorigennem alle dine data kan rejse uhindret. Sørg for, at din VPN-udbyder tilbyder start til slut-kryptering og har en pålidelig historik.
7. Gennemgå og begræns brugeradgangen. Fjernelse af ubrugte brugerkonti og begrænsning af nogle brugertilladelser ned til det allermest væsentlige kan understøtte god cyberhygiejne under fjernarbejde.
8. Installer internetsikkerhedssoftware. Selvom du er super opmærksom på dine egne enheder, stopper dette ikke en infektion, der trænger ind via en anden bruger af arbejdspladsens cloudforbindelse. Passende antivirussoftware såsom Kaspersky Cloud Security hjælper dig med at sørge for den rette sikkerhed.
9. Hold al din software opdateret. Sikkerhedsrettelser udgør hovedparten af mange programrettelser til software. Installer dem så hurtigt som muligt for at forsegle potentielle databrudpunkter.
10. Øg sikkerhedsniveauerne på tværs af operativsystem, programmer og webtjenester. Standardsikkerhedsforanstaltninger på nogle programmer og enheder prioriterer ofte en balance mellem bekvemmelighed og sikkerhed. Vi anbefaler, at du tilpasser dem mere i retning af strengere rettighedskrav for at hjælpe med at skærme mod sikkerhedstrusler.
11. Test din sikkerhedsopsætning i skyen. Du skal bruge forskellige sikkerhedsmetoder til at undersøge dit netværk og alle dets komponenter for mulige sårbarheder. En vigtig metode er at teste dine adgangskoders styrkeniveau. Værktøjer som Kaspersky Password Manager tilbyder denne funktion. Det kan være tidskrævende at teste alting selv. Cybersikkerhedsværktøjer som Kaspersky Hybrid Cloud Security kan beskytte dine systemer, samtidig med at de konfronterer eventuelle indgående trusler.

Relaterede produkter:

• Cybersikkerhed til dine hjemmeenheder
• Avanceret slutpunktssikkerhed til små og mellemstore virksomheder
• Sikkerhed i hybridskyen
• Cybersikkerhed til store organisationer

Relaterede artikler:

• Hvad er cyberkriminalitet: risici og forebyggelse
• Sådan undgår du de fleste former for cyberkriminalitet
• Sikkerhedstrusler i forbindelse med Internet of Things
• Hvad er phishing?