Amazon Tes Tiros dan Zelkova, Alat Baru Utilitas Layanan Cloud

Amazon Web Service (AWS) adalah penyedia cloud terbesar di dunia. Layanan ini di khususkan untuk memberi infrastruktur untuk pengguna yang ingin menggunakan Amazon untuk melakukan komputasi seperti server atau clustered server. Di mana server-server tersebut disebut instance. Akibatnya, keamanannya secara langsung memengaruhi situs web dan layanan online yang tak terhitung jumlahnya. Dan kekhawatiran itu tidak hanya teoretis; penyimpangan berbahaya terjadi sepanjang waktu. Pelanggan menyimpan semua jenis dataset dan informasi mentah di repositori AWS, yang kemudian menjadi bagian dari infrastruktur mereka sendiri. Jika pelanggan membuat kesalahan dalam cara mereka mengatur sesuatu, atau mereka tidak memahami implikasi penuh dari fitur AWS, itu dapat mengekspos mereka ke risiko akses tidak sah dan eksfiltrasi data.

Akun AWS misconfigurations telah mengungkapkan semuanya dari pendaftaran pemilih, untuk data pelanggan FedEx , informasi asuransi, dan bahkan sistem akuntan besar dan perusahaan konsultan Accenture via Upguard..

Namun, dua alat baru dapat membantu meringankan masalah. Dikenal sebagai Zelkova dan Tiros, penawaran dari AWS Automated Reasoning Group menganalisis konfigurasi keamanan AWS yang penting, mengevaluasi skema kontrol akses dan memetakan jalur yang mungkin menuju internet terbuka dari bucket S3. Mereka juga menawarkan umpan balik otomatis pada konsekuensi praktis dari berbagai pengaturan, membantu administrator menghindari kesalahan berbahaya.

"Apa yang kami harapkan tercapai adalah untuk mendapatkan semacam keamanan yang dapat dibuktikan dari sistem kami," kata Greg Frascadore, arsitek keamanan di hedge fund Bridgewater Associates, yang telah menguji Zelkova dan Tiros pada konferensi AWS di New York City. Selasa. "Dengan keamanan yang dapat dibuktikan, saya tidak bermaksud bahwa apa yang kami dapatkan adalah keamanan yang sempurna. Sebaliknya apa yang kami coba dapatkan adalah analisis formal, dan cara metodis yang telah kami lakukan untuk memverifikasi bahwa kontrol keamanan yang kami terapkan adalah bekerja dengan cara yang kita pikir mereka sedang bekerja. Tujuan keamanan kami di sini adalah untuk menghentikan eksfiltrasi data dari AWS. "

Alat-alat itu menyediakan satu-dua pukulan. Tiros memetakan koneksi antara mekanisme jaringan, dan sangat berguna untuk memeriksa akses tak terduga dari internet terbuka. Zelkova, sementara itu, dapat membuat tolok ukur untuk perbandingan antara berbagai bucket S3 atau komponen AWS lainnya, membantu pengembang memahami seberapa permisif pengaturan mereka dibandingkan dengan infrastruktur yang ada, atau bucket model S3. Zelkova juga menggunakan logic otomatis untuk memainkan konfigurasi untuk kemungkinan ekstremnya. Bersama-sama, kedua alat tersebut membantu menemukan kesalahan sebelum ditayangkan.

"Hal yang sangat penting tentang alat ini adalah Anda dapat memverifikasi hal-hal selama tahap desain," kata Frascadore. "Salah satu hal yang sangat kami sukai adalah dapat melakukan verifikasi keamanan sebelum kami melakukan perubahan pada infrastruktur AWS yang sebenarnya, jadi sebelum kami menempatkan kerentanan ke dalam akun."

Teknologi Frascadore dan Bridgewater dan tim keamanan memimpin Tim Kropp mencatat bahwa Tiros dan Zelkova masih menjadi alat internal bare-bones , dengan antarmuka pengguna yang rumit dan tidak ramah. Bridgewater bekerja dengan AWS dalam menguji mereka dan menginvestasikan sumber dayanya sendiri sebagai ganti akses ke alat, tetapi Frascadore dan Kropp sekarang membantu membangkitkan minat agar AWS melakukan dorongan untuk menyempurnakannya menjadi produk tingkat konsumen. Seorang juru bicara AWS mengatakan perusahaan tidak dapat berkomentar mengenai apakah akan menyebarkan Tiros dan Zelkova secara lebih luas, tetapi mencatat bahwa Zelkova sudah digunakan di dasbor S3 untuk pemeriksaan otomatis untuk hal-hal seperti bucket yang dapat diakses publik.

Fakta bahwa AWS sedang berbicara tentang alat secara lebih terbuka adalah indikator bahwa organisasi sedang mempertimbangkan dengan serius cara terbaik untuk menerapkannya. Dan gagasan mendistribusikan mereka lebih luas terkait dengan wakil presiden bidang teknik keamanan dan kepala petugas informasi Stephen Schmidt, visi yang lebih besar untuk secara mendasar mengubah cara manusia dan data berinteraksi di AWS. Schmidt mengatakan kepada WIRED sebelumnya telah menetapkan tujuan keamanan untuk setiap wakil presiden di organisasi itu untuk "secara radikal membatasi dan memonitor akses manusia terhadap data."

Penggunaan "secara radikal" bukanlah pernyataan yang meremehkan. "Jumlah yang saya gunakan adalah 80 persen pengurangan akses manusia ke data," kata Schmidt. "Dan reaksi yang saya dapat dari orang-orang adalah 'kamu gila, ini tidak mungkin.' Dan itulah mengapa saya memilih angka itu, karena mustahil untuk mencapai tanpa otomatisasi. Tujuannya adalah untuk membimbing orang-orang membangun alat untuk hal-hal yang seharusnya mereka lakukan dengan tangan. "

Tiros dan Zelkova adalah jenis utilitas yang cocok dengan dorongan ini, tetapi Schmidt ingin AWS untuk terus membangun mekanisme yang melindungi pelanggan dalam semua cara yang berbeda. "Akses manusia ke data adalah sesuatu yang perlu kita lakukan untuk melakukan bisnis, semua orang melakukannya," kata Schmidt. Tetapi itu tidak berarti semua akses selalu tepat. "Seringkali organisasi memberikan administrator mereka akses yang berlebihan ke data karena ini adalah hal termudah untuk dilakukan, ini adalah hal yang paling nyaman untuk dilakukan. Dan saya merasa sangat, sangat kuat bahwa kita perlu sebagai industri yang kejam tentang membatasi akses itu ketika tidak benar-benar Jika Anda menjauhkan manusia dari data, Anda menghapus seluruh kelas serangan," jelasnya.

Proses ini sesuai dengan inisiatif AWS jangka panjang untuk mengunci diri dari akses ke infrastruktur dan data pelanggan. Itu mempersulit hal-hal untuk AWS dalam hal mampu memberikan dukungan pelanggan dan manajemen keandalan, tetapi Schmidt bersikeras bahwa itu satu-satunya cara untuk mengurangi risiko. Dan dia ingin mendorong lebih jauh untuk membatasi akses. Jadi bagaimana pengurangan 80 persen yang terjadi di dalam organisasi?

"Ada beberapa tim yang benar-benar akan memukulnya," kata Schmidt. "Ada beberapa tim yang membuat kemajuan besar tetapi tidak akan memukul segalanya tahun ini. Berbicara secara realistis, itu adalah permintaan yang berani. Kabar baiknya adalah bahwa semua orang di papan sekarang, semua orang diinvestasikan. Bahkan para penentang menyadari setelah beberapa saat bahwa 'ini sebenarnya baik untuknya.

SCMagazine | Info Security | UpGuard | Amazon Zelkova

Share this post