Sårbarheter i koden som fører til skyen

Opp imot 96 prosent av alle tredjeparts containerprogrammer som er rettet mot skyinfrastruktur har velkjente sårbarheter. Dette viser den siste trusselrapporten fra Palo Alto Networks sin Unit 42-forskningsgruppe. I rapporten går selskapet gjennom de programvarebaserte forsyningskjedene som fører data til skyen i etter kant av angrep som SolarWinds og Kaseva. Begge er gode eksempler på angrep som har vist bedrifter at de har mindre sikkerhet i sin skyinfrastruktur enn antatt, skriver Unit 42 i en pressemelding.

Unit 42-forskerne har i rapporten sett på disse store angrepene og forklarer hvordan de som oftest skjer, samt hva man kan gjøre for å unngå kommende angrep ved å fikse sårbarhetene i egne systemer.

I tillegg ba en Palo Alto Networks-kunde på SaaS-tilbydersiden Unit 42 om å kjøre en såkalt «Red team øvelse» i sitt eget utviklermiljø. De brukte kun tre dager på å identifisere kritisk programvarefeil som ville gjort bedriften sårbar ovenfor angrep av typen som SolarWinds og Kaseya.

Forskerne fant også at 21 prosent av sikkerhetsskanningene de gjorde mot kundens utviklermiljø resulterte i feilkonfigurasjoner eller sårbarheter, som fremhevet hvordan prosesshull og kritiske sikkerhetsfeil gjør en bedrift utsatt og mottagelig for angrep som ville stoppet virksomheten.

Unit 42 oppdaget også at 63 prosent av tredjeparts kodemaler som ble brukt til å bygge skyinfrastruktur inneholdt usikre oppsett og innstillinger, og 96 prosent av tredjeparts containerprogrammer i skyinfrastrukturen hadde velkjente sårbarheter. Med et slikt risikonivå kan en angriper lett få tilgang til sensitive data i skyen og til og med ta kontroll over organisasjonens programvareutviklingsmiljø.

Dette mener Unit 42 klart viser at dårlig kode som ikke blir oppdaget raskt kan eskalere til et sikkerhetsbrudd, spesielt ettersom infrastruktursvikt kan påvirke tusenvis av arbeidsoppgaver i skyen. Det er derfor kritisk at man vet hvor koden som brukes kommer fra, ettersom tredjepartskode kan komme fra hvem som helst, inkludert en Advanced Persistent Threat (APT).