Pelanggaran data BioStar 2: Bagaimana kegagalan IGA tidak dapat mencegahnya terjadi

Sama seperti matahari terbit dan terbenam, begitu pula yang lain pelanggaran data terjadi. Karena semakin banyak organisasi memasukkan biometrik sebagai metode otentikasi, menyimpan informasi yang tidak dapat diubah jenis ini menjadi lebih penting. Sementara pengguna dapat mengubah kata sandi untuk melindungi data mereka, mereka tidak dapat mengubah sidik jari mereka jika pelaku jahat membahayakan informasi. Di bagian "Saran dari Pakar", vpnMentor merekomendasikan penerapan aturan akses yang tepat pada basis data. Saran ini menyoroti perimeter pergeseran. Mengamankan data yang disimpan dalam basis data cloud memerlukan program-program Identity Governance and Administration (IGA) yang kuat.

Bagaimana Pelanggaran BioStar 2 Terkait dengan Aturan Akses?

Anda mungkin berpikir bahwa cukup memantau keamanan dan konfigurasi server sudah cukup. Pada kenyataannya, kesalahan konfigurasi hanya menciptakan sebagian dari masalah. Para peneliti mengkompromikan database BioStar 2 dengan pencurian kredensial. Setelah mendapatkan akses ke server tanpa jaminan, mereka memperoleh akses administratif dengan menggunakan kredensial administratif yang disimpan sebagai teks biasa dalam database.

Meskipun titik masuk awal ada sebagai server yang menghadap publik, vektor ancaman utama adalah kemampuan untuk mengkompromikan akun yang memiliki hak istimewa.

3 Aturan Akses yang Akan Mengurangi Risiko Keamanan BioStar 2

Setelah para peneliti mendapatkan akses ke server yang tidak terkonfigurasi, mereka memiliki akses lengkap ke akun administratif, termasuk izin pengguna dan pengaturan keamanan. Dengan kredensial ini, mereka membuat diri mereka tampak seperti pengguna yang berwenang.

Kontrol Akses Berbutir Halus

Masalahnya, begitu para peneliti mendapatkan akses ke server, mereka bisa membaca dan mengubah data apa pun yang ada di dalamnya. Saat Anda berupaya mengelola penyimpanan cloud Anda, Anda harus berpikir secara strategis tentang cara di mana pengguna dapat berinteraksi dengan data.

Laporan tidak pernah merinci akun pengguna apa yang dijadikan sebagai lokasi awal. Mereka hanya menyebutkan bahwa kata sandi yang lemah memungkinkan mereka untuk mengakses dan mengubah informasi.

Melindungi dari ancaman semacam ini membutuhkan penegakan "hak istimewa yang paling tidak perlu" dalam infrastruktur TI Anda. Melindungi dari akses resmi ke aplikasi atau database tidak lagi mengamankan data. Saat Anda memodernisasi infrastruktur Anda, Anda perlu memasukkan kontrol akses yang sadar konteks yang membatasi kemampuan pengguna untuk mengubah data. Dengan asumsi bahwa vektor awal adalah standar, bukan hak istimewa, akun, menegakkan akses baca / tulis "paling tidak perlu" akses bisa mencegah perubahan data.

Kontrol Akses Pemadam Kebakaran

Setelah mendapatkan akses ke server, para peneliti menjelaskan bahwa mereka dapat melihat informasi akun administratif, termasuk nama pengguna dan kata sandi. Sementara kurangnya hashing yang aman menyediakan data bagi para peneliti untuk mendapatkan akses istimewa, kurangnya kontrol akses istimewa memperburuk kelemahan kontrol awal.

Kontrol akses istimewa "Check-in / check-out" melindungi dari kerusakan data. Membuat kontrol akses istimewa yang ada di timebound yang membutuhkan persetujuan memungkinkan Anda untuk memantau akses istimewa di dalam ekosistem. Administrator perlu menyetujui akses sebelum siapa pun dapat mengubah informasi.

Pemantauan berkelanjutan

Tata kelola akses internal perlu memasukkan pemantauan berkelanjutan untuk permintaan akses yang tidak wajar. Dengan cara yang sama Anda memantau kerentanan eksternal, Anda perlu memantau kerentanan internal.

Menggunakan alat otomatis merampingkan proses ini. Analitik berbasis rekan dan penggunaan memungkinkan Anda untuk menegakkan kebijakan akses yang sadar risiko. Dengan menggabungkan pemantauan, terutama atas akun pengguna yang istimewa, memungkinkan Anda untuk mengontrol akses dengan lebih baik dalam ekosistem Anda.

Bagaimana Analisis Perilaku Pengguna dan Entitas (UEBA) Mencegah Pelanggaran Keamanan BioStar 2

Sama pentingnya, BioStar 2 tidak memiliki pemantauan perilaku pengguna yang tepat yang akan secara proaktif mendeteksi aktivitas para peneliti. Para peneliti menggunakan kredensial resmi, tetapi BioStar 2 tidak dapat mendeteksi perubahan dalam perilaku pengguna yang akan mengingatkan mereka akan pelanggaran data.

UEBA mengumpulkan data seperti lokasi, perangkat, dan kebiasaan untuk memberikan gambaran menyeluruh tentang akses setiap pengguna ke sumber daya. Memasukkan UEBA ke dalam program IGA Anda memberikan kedalaman dan luasnya informasi yang dapat mengidentifikasi potensi pencurian kredensial. Dengan UEBA, Anda dapat mendeteksi tindakan berisiko seperti menggunakan perangkat yang tidak dikenal, masuk dari lokasi yang tidak terduga, atau mengakses informasi pada waktu yang tidak biasa.

Menggunakan UEBA memungkinkan Anda mengurangi risiko internal baru dalam waktu dekat untuk melindungi dari pencurian kredensial atau penyalahgunaan hak istimewa.

Ketika Anda memigrasikan operasi bisnis-kritis ke cloud, program IGA Anda harus bertindak sebagai fondasi bagi inisiatif transformasi digital Anda. Sebagai bagian dari Model Tanggung Jawab Bersama, Anda perlu mengontrol akses tidak hanya di dalam ekosistem Anda dengan memastikan bahwa hanya orang yang tepat yang memiliki akses yang tepat ke sumber daya yang tepat untuk waktu dan alasan yang tepat. Lebih dari sebelumnya, organisasi perlu membuat program privasi dan keamanan strategis yang berfokus pada identitas yang melindungi data pada vektor ancaman yang paling rentan.

Posting tamu ini ditulis oleh Diana Volere:

Diana Volere adalah ahli strategi, arsitek, dan komunikator tentang identitas digital, tata kelola, dan keamanan, dengan hasrat untuk transformasi digital organisasi. Dia telah merancang solusi untuk dan mendorong penjualan di perusahaan-perusahaan Fortune 500 di seluruh dunia dan memiliki penekanan pada kesehatan dan vertikal keuangan.

Dalam perannya sebagai Kepala Evangelist Saviynt (www.saviynt.com), ia memberikan visi Saviynt kepada masyarakat, mitra, dan pelanggan, menangani cara mengatasi tantangan bisnis saat ini dan masa depan seputar identitas. Dua puluh tahun terakhirnya dihabiskan di organisasi produk dan layanan di ruang IAM. Di luar pekerjaan, ia menikmati perjalanan, keahlian memasak, sci-fi, dan sebagian besar kegiatan lain yang terkait dengan menjadi geek.