Demək olar ki, hər bir təşkilat öz biznesində müxtəlif dərəcələrdə bulud hesablamalarını mənimsəmişdir. Buludun qəbulu ilə təşkilatın bulud təhlükəsizliyi strategiyasının bulud təhlükəsizliyinə qarşı əsas təhlükələrdən qorunmağa qadir olmasını təmin etmək zərurəti yaranır.
Problem və təhdidlərin sıralaması aşağıdakı kimidir:
1. Yanlış konfiqurasiya
2. İcazəsiz Giriş
3. Təhlükəsiz olmayan İnterfeyslər/API-lər
4. Hesabların oğurlanması
5. Visibility (Görünürlük) çatışmazlığı
6. Məlumatların Paylaşılması
7. Zərərli İnsayderlər
8. Kiberhücumlar
9. Dos hücumlar
Yanlış konfiqurasiya
Bulud təhlükəsizliyi parametrlərinin yanlış konfiqurasiyası bulud məlumatlarının pozulmasının əsas səbəbidir. Bir çox təşkilatın bulud təhlükəsizliyi mövqeyini idarəetmə strategiyaları bulud əsaslı infrastrukturunu qorumaq üçün qeyri-adekvatdır.
Buna bir neçə amil kömək edir. Bulud infrastrukturu asanlıqla istifadə edilə bilən və asan məlumat mübadiləsini təmin etmək üçün nəzərdə tutulmuşdur ki, bu da təşkilatların məlumatların yalnız səlahiyyətli tərəflər üçün əlçatan olmasını təmin etməyi çətinləşdirir. Həmçinin, bulud əsaslı infrastrukturdan istifadə edən təşkilatlar da öz infrastrukturları üzərində tam görünürlük və nəzarətə malik deyillər, yəni onlar bulud yerləşdirmələrini konfiqurasiya etmək və təhlükəsizliyini təmin etmək üçün cloud service provayderi (CSP) tərəfindən təmin edilən təhlükəsizlik nəzarətlərinə etibar etməlidirlər. Bir çox təşkilat bulud infrastrukturunu qorumaqla tanış olmadığından və tez-tez çoxlu buludlu yerləşdirmələrə malik olduğundan – hər birində təchizatçı tərəfindən təmin edilən müxtəlif təhlükəsizlik nəzarətləri var – səhv konfiqurasiya və ya təhlükəsizlik nəzarəti təşkilatın bulud əsaslı resurslarını təcavüzkarların təsirinə buraxmaq asandır.
İcazəsiz Giriş
Təşkilatın yerli infrastrukturundan fərqli olaraq, onların bulud əsaslı yerləşdirmələri şəbəkə perimetrindən kənardadır və birbaşa ictimai İnternetdən əldə edilə bilər. Bu, infrastrukturun işçilər və müştərilərin əlçatanlığı üçün bir aktiv olsa da, təcavüzkarın təşkilatın bulud əsaslı resurslarına icazəsiz giriş əldə etməsini də asanlaşdırır. Yanlış konfiqurasiya edilmiş təhlükəsizlik və ya pozulmuş etimadnamələr təcavüzkarın təşkilatın xəbəri olmadan birbaşa giriş əldə etməyə imkan verə bilər.
Təhlükəsiz olmayan İnterfeyslər/API-lər
CSP-lər tez-tez müştəriləri üçün bir sıra tətbiq proqramlaşdırma interfeysləri (API) və interfeyslər təqdim edirlər. Ümumiyyətlə, bu interfeyslər CSP-nin müştəriləri üçün onları asanlıqla istifadə etmək üçün yaxşı sənədləşdirilmişdir.
Bununla belə, müştəri bulud əsaslı infrastrukturu üçün interfeysləri lazımi qaydada təmin etmədikdə, bu, potensial problemlər yaradır. Müştəri üçün nəzərdə tutulmuş sənədlər həmçinin kibercinayətkar tərəfindən təşkilatın bulud mühitindən həssas məlumatların əldə edilməsi və çıxarılması üçün potensial üsulları müəyyən etmək və istismar etmək üçün istifadə edilə bilər.
Hesabların oğurlanması
Bir çox insanlar parolun təkrar istifadəsi və zəif parolların istifadəsi daxil olmaqla, son dərəcə zəif parol təhlükəsizliyinə malikdir. Bu problem fişinq hücumlarının və məlumatların pozulmasının təsirini gücləndirir, çünki o, bir oğurlanmış parolun çoxsaylı müxtəlif hesablarda istifadə edilməsinə imkan verir.
Təşkilatların əsas biznes funksiyaları üçün bulud əsaslı infrastruktura və tətbiqlərə daha çox etibar etdiyi üçün hesabın oğurlanması bulud təhlükəsizliyinin daha ciddi problemlərindən biridir. İşçinin etimadnaməsinə malik olan təcavüzkar həssas məlumatlara və ya funksionallıqlara daxil ola bilər və təhlükəyə məruz qalmış müştəri etimadnamələri onlayn hesab üzərindən tam nəzarətə imkanı verir. Bundan əlavə, buludda təşkilatlar tez-tez yerli infrastruktur kimi bu təhlükələri müəyyən etmək və onlara cavab vermək qabiliyyətinə malik deyillər.
Visibility (Görünmə) çatışmazlığı
Təşkilatın bulud əsaslı resursları korporativ şəbəkədən kənarda yerləşir və şirkətin sahib olmadığı infrastruktur üzərində işləyir. Nəticədə, şəbəkənin görünməsinə nail olmaq üçün bir çox ənənəvi alətlər bulud mühitləri üçün effektiv deyil və bəzi təşkilatlarda bulud mərkəzli təhlükəsizlik alətləri yoxdur. Bu, təşkilatın bulud əsaslı resurslarına nəzarət etmək və onları hücumdan qorumaq imkanlarını məhdudlaşdıra bilər.
Məlumatların Paylaşılması
Bulud məlumat mübadiləsini asanlaşdırmaq üçün nəzərdə tutulub. Bir çox bulud e-poçt vasitəsilə açıq şəkildə əməkdaş dəvət etmək və ya URL-i olan hər kəsə paylaşılan resursa daxil olmaq imkanı verən linki paylaşmaq imkanı verir.
Bu asan məlumat mübadiləsi aktiv olsa da, bulud təhlükəsizliyinin əsas problemi ola bilər. Linkə əsaslanan paylaşmanın istifadəsi – populyar seçimdir, çünki bu, hər bir nəzərdə tutulan əməkdaşını açıq şəkildə dəvət etməkdən daha asandır – paylaşılan mənbəyə girişə nəzarəti çətinləşdirir. Paylaşılan keçid başqasına yönləndirilə, kiberhücumun bir hissəsi kimi oğurlana və ya kibercinayətkar tərəfindən təxmin edilə, paylaşılan mənbəyə icazəsiz girişi təmin edə bilər.
Zərərli İnsayderlər
Daxili təhdidlər hər hansı bir təşkilat üçün əsas təhlükəsizlik problemidir. Zərərli insayderə artıq təşkilatın şəbəkəsinə və onun tərkibindəki bəzi həssas resurslara daxil olmağa icazə verilib. Bu giriş səviyyəsini əldə etmək cəhdləri, əksər təcavüzkarları hədəfinə çatdıran və hazırlıqsız bir təşkilatın zərərli insayderi aşkarlamasını çətinləşdirən şeydir.
Buludda zərərli insayderin aşkarlanması daha da çətindir. Bulud yerləşdirmələri ilə şirkətlər öz əsas infrastrukturlarına nəzarət edə bilmirlər və bu, bir çox ənənəvi təhlükəsizlik həllərini daha az effektiv edir. Bu, bulud əsaslı infrastrukturun birbaşa ictimai İnternetdən əldə edilə bilməsi və tez-tez təhlükəsizliyin yanlış konfiqurasiyasından əziyyət çəkməsi ilə yanaşı, zərərli insayderlərin aşkarlanmasını daha da çətinləşdirir.
Kiberhücumlar
Kibercinayətkarlıq biznesdir və kibercinayətkarlar hədəflərini hücumlarının gözlənilən gəlirliliyinə əsaslanaraq seçirlər. Bulud əsaslı infrastruktura ictimai İnternetdən birbaşa daxil olmaq mümkündür, tez-tez düzgün mühafizə olunmur və çoxlu həssas və qiymətli məlumatları ehtiva edir. Bundan əlavə, bulud bir çox müxtəlif şirkətlər tərəfindən istifadə olunur, yəni uğurlu bir hücum, yüksək müvəffəqiyyət ehtimalı ilə dəfələrlə təkrarlana bilər. Nəticədə, təşkilatların bulud yerləşdirmələri kiberhücumların ümumi hədəfidir.
Dos hücumlar
Bulud bir çox təşkilatın iş görmək bacarığı üçün vacibdir. Təşkilatlar buluddan biznes üçün kritik məlumatların saxlanması və mühüm daxili və müştəriyə aid proqramları idarə etmək üçün istifadə edirlər.
Bu o deməkdir ki, bulud infrastrukturuna qarşı uğurlu bir xidmətdən imtina (DoS) hücumu bir sıra müxtəlif şirkətlərə böyük təsir göstərə bilər. Nəticədə, təcavüzkarın hücumu dayandırmaq üçün fidyə tələb etdiyi DoS hücumları təşkilatın bulud əsaslı resursları üçün əhəmiyyətli təhlükə yaradır.