Errors de configuració al cloud que més es repeteixen

La majoria de bretxes al cloud no exploten una fallada d'AWS, Azure o Google Cloud. Exploten alguna cosa que el client va configurar malament. És el que diu el model de responsabilitat compartida: el proveïdor respon de la seguretat del núvol (centres de dades, hipervisor, xarxa física) i tu de la seguretat al núvol (identitats, dades, configuració de cada servei). Gartner va arribar a predir que fins al 2025 el 99 % de les fallades de seguretat al cloud serien responsabilitat del client.

Aquesta és la llista curta que miraria primer en un compte cloud desconegut, ordenada pel mal que fa cada fallada.

1. Emmagatzematge exposat a internet

Buckets de S3, contenidors d'Azure Blob o buckets de GCS amb accés públic. És el clàssic de les filtracions de dades. AWS activa Block Public Access per defecte als buckets nous des de l'abril de 2023, però els antics continuen com estaven i qualsevol persona amb permisos el pot desactivar.

Què mirar: Block Public Access a nivell de compte, no només de bucket, i una alerta si algú el canvia.

2. Claus d'accés de llarga durada

Access keys d'IAM creades fa anys, assignades a un usuari que ja no és a l'empresa, amb permisos d'administrador i enganxades en algun script. És la credencial ideal per a un atacant: no caduca i no té MFA.

Què mirar: claus de més de 90 dies, claus sense ús recent, i si es poden substituir per rols amb credencials temporals. Quan una d'aquestes claus acaba en un repositori, el problema és el que explico a com es filtren els secrets a Git.

3. Rols amb permisos de més

Polítiques amb "Action": "*" o "Resource": "*" perquè «així funcionava». La bretxa de Capital One del 2019 va combinar un SSRF en una aplicació web amb el servei de metadades de la instància (IMDSv1) i un rol amb accés a massa buckets. Sense aquest rol sobredimensionat, l'SSRF s'hauria quedat en poca cosa.

Què mirar: exigir IMDSv2 a les instàncies, i fer servir les eines del mateix proveïdor (IAM Access Analyzer a AWS, per exemple) per veure quins permisos no s'utilitzen mai.

4. Ports d'administració oberts a 0.0.0.0/0

SSH (22) i RDP (3389) oberts a tot internet en un security group o un NSG. Els escàners els troben en minuts. L'alternativa és un bastió, accés a través del mateix proveïdor (Session Manager, Azure Bastion, IAP) o almenys restringir per IP d'origen.

5. Logs apagats o sense retenció

CloudTrail desactivat en alguna regió, Azure Activity Log sense exportar, logs d'accés d'emmagatzematge sense habilitar. No impedeix l'atac, però quan arriba l'incident no hi ha manera de saber què ha passat. Sense logs, la investigació es queda en suposicions.

6. Identitat feble a la consola

El compte arrel d'AWS sense MFA, o amb access keys pròpies. Usuaris de consola sense MFA. És la versió cloud del mateix problema de sempre, i s'arregla amb MFA resistent al phishing i mínim privilegi.

Revisar-ho una vegada no serveix: CSPM

Tot l'anterior es pot revisar a mà, però la configuració canvia cada dia. Les eines de CSPM (Cloud Security Posture Management) comproven la configuració de manera contínua contra marcs com els CIS Benchmarks i avisen quan alguna cosa es desvia. Els proveïdors tenen la seva (AWS Security Hub, Microsoft Defender for Cloud) i plataformes com Trend Micro Vision One també ho cobreixen. Per començar sense cost, Prowler és de codi obert i molt complet.

Preguntes freqüents

Què és el model de responsabilitat compartida?

El repartiment de qui protegeix què al núvol. El proveïdor protegeix la infraestructura; el client, tot el que configura al damunt. Com més gestionat és el servei (SaaS davant d'IaaS), més part assumeix el proveïdor, però les identitats i les dades sempre són teves.

Què és CSPM?

Una categoria d'eines que avaluen de manera contínua la configuració dels teus comptes cloud contra bones pràctiques i normatives, i detecten desviacions com un bucket que s'ha tornat públic.

Per on començo si només tinc una tarda?

MFA al compte arrel i a tots els administradors, Block Public Access a nivell de compte i CloudTrail (o l'equivalent) actiu a totes les regions.