Peaaegu täpselt kakskümmend aastat tagasikäivitasAmazon Web Services (AWS) Simple Storage Service (S3). Mõni kuu hiljemavatiettevõtte Elastic Compute Cloud (EC2) teenus avalikuks beetatestimiseks, enne kui see 2008. aastal ametlikult turule toodi. Need sündmused käivitasid kaasaegse tellitava pilvesalvestuse ja -arvutuse ajastu, mis muutis igas suuruses organisatsioonide suhtumist oma IT-infrastruktuuri.
Kui vaadata tänapäeva, on raske leida organisatsioone, kes poleks vähemalt osa oma töökoormusest pilve „üles tõstnud ja üle viinud” või ei kavatse seda peagi teha. Mõned tegutsevadki nüüd täielikult pilves, samas kui paljud teised on ühendanud pilve töökoormuse, sageli mitme pilve konfiguratsioonis, kohapealsete ressurssidega, mida lähiajal kasutusest ei võeta.
Kõigist asjadest, mis neil organisatsioonidel ühist on, väärib üks lähemat tähelepanu: virtuaalmasinate (VM) laialivalgumine ehk kontrollimatu kasv, mille puhul virtuaalmasinad jäetakse sageli omapäi.
Laienev probleem
Avaliku pilve teenusepakkujad (CSP) on uute VM-ide kasutuselevõtu teinud disainilt sujuvaks; lõppude lõpuks on see osaliselt see, mis teebki nende pakkumise nii atraktiivseks. Nagu paljud administraatorid kinnitada võivad, saab uue VM-i instantsi käivitada hetkega, kuid selle kasutuselt kõrvaldamine ei saa harva sama kiireloomulist tähelepanu.
Paljudes ettevõtetes, eriti neis, kus on mitme pilve konfiguratsioonid, mis hõlmavad AWS-i, Azure’i, GCP-d ja/või teisi CSP-sid, toob see laienemine kaasa kasvava töökoormuste varu, mis jääb turvalisuse operatsioonide väljapoole. CSP-d pakuvad küll baaskaitset, kuid jätkuv töö jääb kliendi kanda. Masinad ei saa sageli isegi operatsioonisüsteemi värskendusi; veelgi hullem, neid üldiselt ei jälgita ja neile kehtivad juurdepääsupoliitikad, mis pole muutunud alates instantsi loomise päevast. See suurendab riski, et virtuaalmasin hakkab „omapead tegutsema”, jäädes samal ajal märkamatuks – kuni on liiga hilja.
Pilve nähtavus on iseenesest püsiv probleem, kuna vaid umbes23% organisatsioonidestväidab, et neil on terviklik ülevaade oma pilvejalajäljest. Varade kontrollimatu kasv, sealhulgas virtuaalmasinate pargid, on suur osa probleemist. Peamised rünnakuteed – valesti konfigureeritud salvestuskonteinerid ja avatud API-d – domineerivad rikkumiste avalikustamistes, osaliselt seetõttu, et need tekitavad avalikkusele nähtavaid signaale. Samal ajal toimub virtuaalmasinate kuritarvitamine märkamatumalt ja keskkonna sees; hallatud identiteet, mis teeb päringuid pilvesalvestusse, ei käivita samu häireid kui välisest IP-aadressist sisselogimise katse.
Cloud Security Alliance’i (CSA) hiljutisesaruandesnimetati valesti konfigureerimist ja ebapiisavat muudatuste kontrolli peamisteks ohtudeks pilveressurssidele, millele järgnesid identiteedi- ja juurdepääsuhalduse (IAM) nõrkused. See on kooskõlas pilve töökoormuste identiteedipõhise olemusega, kus nii virtuaalmasin ise kui ka see, millele tal on juurdepääs, väärivad tähelepanelikku jälgimist. Microsofti2024. aasta multipilve turvalisuse aruande kohaselt ületavad virtuaalmasinatele ja muudele mitte-inimressurssidele määratud töökoormuse identiteedid inimidentiteete arvuliselt märkimisväärselt ning see vahe suureneb veelgi, kuna organisatsioonid võtavad kasutusele üha rohkem arvutusressursse.
Tegelikkus on üsna igapäevane – näiteks masinõppeinsener varustab virtuaalmasina andmetöötlusülesannete jaoks. Virtuaalmasinale antakse identiteet, kuid kuna selle õiguste piiritlemine vastavalt minimaalse õiguse põhimõttele oleks liiga aeganõudev, saab see laialdased lugemis- ja kirjutusõigused andmesalvestusele ja muudele ressurssidele. Projektid lõpevad, kuid liiga laialdaste õigustega virtuaalmasinad jäetakse „omaette”.
Jäetakse mädanema
Hüljatud virtuaalmasin võib aga teha enamat kui „tolmu koguda“. Kuna iga virtuaalmasin on seotud mingi identiteediga, mis määrab, millistele ressurssidele töökoormus keskkonnas juurdepääsu omab, võivad pahatahtlikud isikud unustatud instantsi ära kasutada, et saada esialgne jalgealune. Kuna sama virtuaalse erapilve (VPC) või virtuaalvõrgu (VNet) virtuaalmasinad suudavad sageli suhelda üksteisega „ida-lääne“ suunas ilma suuremate piiranguteta, võib virtuaalmasin uurida naabruses olevaid instantsi, jõuda sisemistesse andmebaasidesse või salvestuspunktidesse ning ära kasutada kõiki talle antud õigusi. Liiga sageli osutub võrgu mikrosegmenteerimine liiga keeruliseks ülesandeks.
Hübriididentiteete hõlmavates hübriidkeskkondades võivad asjad muutuda veelgi keerulisemaks. Näiteks kui kohapealne Active Directory on sünkroniseeritud Entra ID-ga, võib Azure’is asuvohustatud virtuaalmasin, mis on ühendatud Entra ID-rentnikuga, pääseda juurde failijagamistele, andmebaasidele, rakendustele või muudele ressurssidele, mis kuuluvad organisatsiooni kohapealse tuuminfrastruktuuri koosseisu.
Näiteid tegelikest rünnakutest, milles on kaasatud virtuaalmasinad, ei ole raske leida.Ühes kampaanias liikusid ründajad AWS EC2-instantside vahel sisemise Remote Desktop Protocol (RDP) kaudu, paigutasid sadu gigabaiti väljavoolatud andmeid mitmesse virtuaalmasinasse ja vallandasid pilvevõrgus lunavara. Seire tuvastas küll selle tegevuse, kuid automaatne reageerimine ei olnud selle peatamiseks korralikult seadistatud ja lunavara levitamine jätkus.
Teised ründajad kasutavad ära just seda, kui lihtne on virtuaalmasinaid käivitada. Microsoft ondokumenteerinudkampaania, kus ohustatud Azure’i kontosid kuritarvitati lühiajaliste virtuaalmasinate loomiseks, mida kasutati ühekordsete rünnakuinfrastruktuuridena. Kuna liiklus pärines õiguspärastest Azure’iga seotud IP-aadressidest, loeti hoiatused valepositiivseteks.
Võitlus kasutuselevõtu ja kadumisega
On tõenäoline, et teie IT- ja turvateenistused on väikesed ning tegelevad turvalisusega lisaks muudele IT-ülesannetele, mis mõjutab oluliselt seda, millised tööriistad sellisel tasandil toimivad. Turvatooted, mis tuginevad sügavale platvormispetsiifilisele asjatundlikkusele, keerukatele kasutuselevõtuprotseduuridele ja mitmetele tööriistadele IT-infrastruktuuri erinevate osade haldamiseks, ei pruugi sobida. Need võivad isegi jätta tähelepanuta laienemise probleemi kõige olulisema osa.
Olukorda muudab veelgi segasemaks küsimus, mis juhtub, kui intsident hõlmab identiteedi kuritarvitamist? Ründaja pahatahtlikul virtuaalmasinal ei pruugi teha midagi, mis näeks kahtlane välja ainult virtuaalmasina seest, kui ta kasutab selle identiteeti pilve- või kohapealsetele ressurssidele juurdepääsuks. Anomaalia avastamine nõuab virtuaalmasinal toimuva seostamist sellega, mida virtuaalmasina identiteet teeb laiemas keskkonnas. Selline seos sõltub integratsioonist identiteedilahendustega nagu Entra ID ja Active Directory.
Lisaks on küsimus kiiruses. Kui ohustatud pilve töökoormus pääseb föderatiivse identiteediahela kaudu kohapealsetele ressurssidele, võib aeg esialgse ohustamise ja tõsise kahju vahel olla lühike. Virtuaalmasina (automaatne) isoleerimine enne külgsuunalise liikumise algust peab toimuma igal ajal. See on üks stsenaariumitest, kus AI-põhine korrelatsioon ja jooksva aja tuvastamine teenivad oma raha – keegi ei suuda ööpäevaringselt jälgida iga töökoormust ja reageerida piisavalt kiiresti.
Edukad sissetungid lähevad ettevõtetele kalliks maksma.Hiljutise uuringu kohaselt teatas iga kolmas väike- ja keskmise suurusega ettevõte, et neile määrati küberrünnaku järel märkimisväärsed trahvid. See on ka meeldetuletus, et nõuete rikkumine võib kaasa tuua otseseid rahalisi tagajärgi. Regulatiivsed raamistikud, nagu NIST 800-53 ja PCI DSS 4.0, muutuvad pilve töökoormuste turvalisuse osas üha täpsemaks ning ettevõtetelt oodatakse üha enam, et nad tagaksid pilve töökoormustele määratud identiteetide asjakohase ulatuse ja pideva jälgimise. Juurdepääsukontrollide demonstreerimine tundlikke andmeid hostivatel serveritel ei ole piisav, kui risk asub identiteeditasandil.
Samal ajal selgusIBM-iaruandest„Cost of a Data Breach 2025”, et 30 protsenti rikkumistest mõjutas andmeid, mis olid hajutatud mitmesse keskkonda, mis näitab probleeme, millega organisatsioonid silmitsi seisavad, kui tegemist on oma varade kaitsmisega erinevates keskkondades. Märkimisväärne osa tekkinud kuludest tuleneb ajavahemikust sissetungimise ja avastamise vahel, mida nimetatakse ka viibimisajaks. Organisatsioonid, kes ei näe, mis nende keskkondades toimub, avastavad rikkumised tavaliselt „väliste” signaalide kaudu, näiteks kliendi kaebuse kaudu, milleks ajaks on ründajal olnud juurdepääs juba nädalaid või kuud.
Lõppmõtted
Virtuaalmasinad on ühed vanimad ja sagedamini kasutatavad kaasaegsed pilveressursid. Virtuaalmasinate arv kasvab märkamatult ja avaldub sageli alles siis, kui midagi on juba valesti läinud. Kaitsmata töökoormused kannavad identiteete ning suhtlevad omavahel ja kohapealsete ressurssidega liiklusmustrites, mida mitte kõik turvakontrollid ei suuda jälgida ega tabada.
Esitekspeabigaorganisatsioon tegema inventuurioma VM-parkidest kõigil pilveplatvormidel, vaatama läbi iga VM-i identiteediga seotud õigused ja auditeerima nende seadeid tarbetu „ida-lääne” ja „põhi-lõuna” avatuse suhtes. Nagu ütleb vanasõna: head aiad teevad head naabrid.
Organisatsioonide jaoks, kes käitavad töökoormusi nii pilve- kui ka kohalikes keskkondades, on küsimus selles, kas nende turvatööriistad suudavad virtuaalmasinaid jälgida sama rangelt kui töötajate lauaarvutite ja infrastruktuuri muude osade lõppseadmeid. Ainult siis saavad nad näha tervikpilti ja kaitsta oma andmeid erinevates keskkondades.
