Hızlı cevap: Bulut nesne depolama yanlış yapılandırması, Amazon S3 gibi depolama kovalarının (bucket) yanlışlıkla herkese açık bırakılması sonucu, içindeki dosyaların internetten erişilebilir hale gelmesidir. Bu, en sık ve en büyük veri ihlallerinin başında gelir çünkü bir tek yanlış ayar, milyonlarca dosyayı herkese açar. En sık hatalar şunlardır: kovanın liste ve okuma iznini herkese vermek, çok geniş erişim politikaları yazmak, hassas dosyaları şifresiz saklamak ve erişim günlüklerini kapatmak. Kök çözüm, kovaları varsayılan olarak kapalı tutmak, erişimi yalnızca gereken kimliklere en az yetkiyle vermek, hassas veriyi şifrelemek ve erişim günlüklerini açık tutarak sızıntıyı izlemektir.

Şirketler dosyalarını, yedeklerini ve kullanıcı verilerini giderek daha çok bulut nesne depolamada tutuyor. Bu depolamanın gücü, esnekliği kadar riskini de büyütür: bir kova yanlışlıkla herkese açık bırakılırsa, içindeki her şey internetten indirilebilir. Bu yazı, bulut depolama yanlış yapılandırmasını ve doğru savunmayı anlatır.

Neden bu kadar sık bir ihlal

Bulut nesne depolama, tek bir ayarla herkese açık ya da kapalı hale gelir. Bir geliştirici test için bir kovayı açar ve kapatmayı unutur; ya da bir erişim politikası gereğinden geniş yazılır. Sonuç, içindeki tüm dosyaların internetten erişilebilir olmasıdır. Saldırganlar, açık kovaları otomatik araçlarla sürekli tarar; bu yüzden bir yanlış ayar, saatler içinde bulunup indirilir. Bu, açıkta kalan veritabanı ve bulut yanlış yapılandırmasıyla aynı sınıf risktir.

En sık yanlış yapılandırmalar

Hata Ne yapıyor Sonuç
Herkese açık liste ve okuma Kova herkese açık Tüm dosyaların indirilmesi
Aşırı geniş politika Erişim gereğinden fazla Yetkisiz okuma ve yazma
Şifresiz saklama Hassas veri düz durur Erişimde doğrudan ifşa
Kapalı erişim günlüğü Kim erişti bilinmez Sızıntı fark edilmez
Herkese yazma izni Dosya eklenebilir Zararlı içerik yerleştirme

Herkese açık okuma en yaygın hatadır; herkese açık yazma ise daha da tehlikelidir çünkü saldırgan kovaya zararlı dosya ekleyebilir. İkisi de erişimin varsayılan olarak kapalı olmasıyla önlenir.

Erişim politikaları, asıl karmaşıklık

Bulut depolamada güvenlik, çoğu zaman erişim politikalarının karmaşıklığında kaybolur. Bir kovaya kimin, hangi işlem için erişebileceği birden çok katmanda tanımlanır ve bu katmanlar çeliştiğinde beklenmedik açıklıklar oluşur. En güvenli yaklaşım, geniş izin verip sonra kısıtlamak değil, hiçbir şeye izin vermeyip yalnızca gerekeni açmaktır. Sızan bir erişim anahtarı da tüm bu kontrolleri atlatabileceği için, sızan API anahtarları ve sırlar ayrıca yönetilmelidir.

Şifreleme ve izleme

Bir kova yanlışlıkla açılsa bile, içindeki veri şifreliyse ve erişim günlükleri açıksa, hem etki azalır hem sızıntı fark edilir. Hassas veri hem saklanırken hem taşınırken şifrelenmeli, erişim günlükleri açık tutulup olağan dışı erişimler izlenmelidir. Bu, veri sızıntısı önleme (DLP) yaklaşımının bulut katmanındaki karşılığıdır.

Doğru savunma

1. Varsayılan kapalı

Kovalar varsayılan olarak kapalı olmalı, herkese açık erişim bilinçli ve gerekmedikçe hiç açılmamalıdır. Hesap düzeyinde herkese açık erişim tümden engellenebilir.

2. En az yetki

Erişim yalnızca gereken kimliklere, yalnızca gereken işlem için verilmelidir. Geniş politikalar yerine dar ve açık tanımlı izinler kullanılmalıdır.

3. Şifreleme

Hassas veri hem saklanırken hem taşınırken şifrelenmelidir. Bir açıklık durumunda şifreleme etkiyi sınırlar.

4. Günlük ve izleme

Erişim günlükleri açık tutulmalı, olağan dışı erişim desenleri izlenmeli ve açık kova taraması düzenli yapılmalıdır.

KAOS ile bulut depolama denetimi

DSET'in yerel yapay zekâ güvenlik motoru KAOS, bulut nesne depolama yapılandırmanızı kanıt temelli denetler. Herkese açık kovaları ve aşırı geniş erişim politikalarını tespit eder, hassas verinin şifreli olup olmadığını kontrol eder ve bir kovanın gerçekten yetkisiz erişime açık olup olmadığını doğrular. Yalnızca gerçekten veri ifşa eden yapılandırmayı, yanlış pozitif gürültüsü olmadan raporlar. KAOS çevrim dışı çalıştığı için denetim sırasında verileriniz dış servislere gönderilmez, bu da bulut güvenliği ve paylaşımlı sorumluluk çerçevesinde KVKK uyumu için önemlidir.

Sık sorulan sorular

Kovamı herkese açtım ama kimse adresini bilmiyor, güvende miyim? Hayır. Saldırganlar açık kovaları otomatik araçlarla sürekli tarar ve tahmin edilebilir adları dener. Adresin gizli olması koruma sağlamaz. Güvenlik, kovanın kapalı olmasında ve erişimin en az yetkiyle verilmesindedir.

Herkese açık okuma ile herkese açık yazma arasındaki fark nedir? Herkese açık okuma, içindeki dosyaların indirilmesine yol açar. Herkese açık yazma daha tehlikelidir çünkü saldırgan kovaya zararlı dosya ekleyebilir, bu da içerik zehirlemeye ve daha geniş saldırılara gider. İkisi de varsayılan kapalı ile önlenir.

Şifreleme, yanlış yapılandırmayı çözer mi? Şifreleme tek başına çözmez ama etkiyi azaltır. Bir kova yanlışlıkla açılsa bile veri şifreliyse doğrudan okunamaz. Yine de asıl savunma, kovayı kapalı tutmak ve erişimi en az yetkiyle vermektir.

Kaynaklar

Bulut nesne depolama yapılandırmanızı herkese açık erişim, geniş politika ve şifreleme açısından çalışan bir kanıtla denetlemek için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan bulut güvenlik denetimi ve sızma testi sağlıyoruz.