Wzmacnianie bezpieczeństwa kont w chmurze

Poprzednie trzy lekcje tego kursu omówiły, kto za co odpowiada, dlaczego tożsamość jest prawdziwym obwodem obronnym oraz co dzieje się z twoimi danymi po ich zapisaniu. Ta lekcja zamienia to w krótki, okresowy przegląd — rodzaj konserwacji, którą mała organizacja realistycznie może utrzymać, a nie jednorazową konfigurację, która po cichu się dezaktualizuje.

Sprawdź aktywne sesje i urządzenia

Każdy większy dostawca kont prowadzi listę aktualnie zalogowanych urządzeń i sesji oraz dziennik ostatniej aktywności. Okresowe jej sprawdzanie odpowiada na proste pytanie: czy w tym koncie jest ktoś oprócz osób, które powinny w nim być? Nieznane urządzenie, logowanie z nieoczekiwanej lokalizacji albo sesja, która nigdy nie została zamknięta na urządzeniu, którego już nie posiadasz — to wszystko warte natychmiastowej reakcji: zakończenia sesji i zmiany hasła. Wynika to bezpośrednio z lekcji o tożsamości wcześniej w tym kursie: skradzione hasło pozostaje przydatne dla atakującego tylko tak długo, jak długo wynikająca z niego sesja pozostaje niezauważona.

Sprawdź dostęp aplikacji firm trzecich

Lekcja o tożsamości omówiła też OAuth: każde połączenie „kontynuuj z” albo integracja z kalendarzem to trwałe przyznanie dostępu, które utrzymuje się, dopóki nie zostanie cofnięte. Większość dostawców wypisuje każdą połączoną aplikację w ustawieniach bezpieczeństwa lub prywatności konta, pokazując, co jej przyznano — odczyt poczty, zarządzanie kalendarzem, dostęp do plików — często dla usługi, którą wypróbowałeś raz, lata temu, i o której zapomniałeś. Powtarzane, okazjonalne przycinanie tej listy, usuwanie wszystkiego nieużywanego lub nierozpoznanego, zmniejsza liczbę dróg wejścia do konta, w ogóle nie dotykając hasła.

Potwierdź, że kopie zapasowe faktycznie istnieją, i gdzie

Awaria konta w chmurze — blokada, przypadkowe usunięcie, przerwa w działaniu usługi — to samo w sobie ryzyko, które lekcja o współdzielonej odpowiedzialności umieściła po stronie klienta. Opublikowany na GitHubie przewodnik po bezpieczeństwie w chmurze, z którym ta lekcja się konfrontuje, wymienia „kopie zapasowe, przetestowane odzyskiwanie” wśród podstawowych praktyk odporności, które zaleca, obok rutynowej wymiany danych uwierzytelniających i przeglądów dostępu; pokrywa się to z równoważnymi wskazówkami publikowanymi przez większych dostawców dla własnych klientów. Dla osoby indywidualnej lub małej organizacji przekłada się to na dwa konkretne nawyki: wiedzieć, gdzie faktycznie znajduje się twoja kopia zapasowa (druga usługa chmurowa, zaszyfrowany dysk zewnętrzny, albo jedno i drugie), i faktycznie testować od czasu do czasu odtwarzanie z niej, ponieważ kopia zapasowa, której nikt nie otworzył, jest tylko nadzieją, a nie planem.

Włącz rejestrowanie i alerty tam, gdzie istnieją

Większość kont chmurowych dla konsumentów i małych firm oferuje jakąś formę powiadomienia o bezpieczeństwie — e-mail albo powiadomienie push o nowym logowaniu, zmianie hasła albo dodaniu nowego urządzenia. Zwykle są one opcjonalne albo ukryte w ustawieniach, a nie domyślnie włączone. Włączenie ich nic nie kosztuje i bezpośrednio skraca lukę między przejęciem konta a zauważeniem tego, co często jest pojedynczym największym czynnikiem decydującym o tym, ile szkód wyrządzi włamanie.

Zamień to w nawyk, a nie jednorazowe zadanie

Żadne z tych czterech sprawdzeń z osobna nie zajmuje więcej niż kilka minut i żadne nie wymaga zaplecza w bezpieczeństwie. To, co czyni je skutecznymi, to powtarzanie: kwartalny przegląd sesji, połączonych aplikacji, stanu kopii zapasowych i ustawień alertów wychwytuje powolne narastanie zapomnianego dostępu, którego jednorazowa konfiguracja nigdy nie wychwyci. Zamyka to pętlę otwartą przez ten kurs modelem współdzielonej odpowiedzialności: dostawca zabezpiecza infrastrukturę raz i utrzymuje ją stale; strona klienta tej samej umowy to nawyk, a nie zadanie do skończenia.