Bucket hijacking: aanvallers richten zich op verwijderde cloudopslaglocaties

Hiervoor waarschuwt onderzoeksteam Unit 42 van Palo Alto Networks. Veel organisaties gebruiken cloudopslag voor het opslaan van logs, back-ups, configuratiebestanden en andere bedrijfsdata. Wanneer een cloud bucket wordt verwijderd, maar applicaties of datastromen nog steeds gegevens naar die locatie sturen, kan een hacker de vrijgekomen bucketnaam claimen en de gegevens onttrekken.

Vaak ongemerkt

Volgens Unit 42 ontstaat het risico door de manier waarop cloudopslag is ingericht en beheerd. Vaak worden verwijderde opslaglocaties als ‘opgeruimd’ beschouwd, terwijl achterliggende koppelingen en geautomatiseerde processen nog actief zijn. Hierdoor blijven organisaties ongemerkt gevoelige informatie verzenden naar een locatie die zij niet langer controleren.

Om het risico op bucket hijacking te beperken, adviseert Unit 42 organisaties om:

• De verwijderrechten voor cloudopslag te beperken tot een zo klein mogelijke groep beheerders.
• Voor het verwijderen van cloud buckets alle afhankelijkheden, applicaties en datastromen in kaart te brengen.
• Te controleren of systemen nog verwijzen naar de betreffende opslaglocatie voordat deze wordt verwijderd.
• Monitoring en waarschuwingen in te richten voor het verwijderen en opnieuw aanmaken van kritieke cloud-opslaglocaties.
• Cloudomgevingen regelmatig te controleren op verouderde configuraties en achtergebleven verwijzingen naar niet langer gebruikte resources.

Het onderzoek benadrukt dat effectieve cloudbeveiliging verder gaat dan het beschermen van actieve workloads. Ook het zorgvuldig beheren, monitoren en uitfaseren van cloudresources is essentieel om te voorkomen dat gevoelige bedrijfsinformatie onbedoeld wordt blootgesteld.