Mar 10, 2023 Dario Orlandi Approfondimenti, Hacking, In evidenza, RSS 0

La società di sicurezza specializzata nel cloud Mitiga ha diffuso un’analisi che sottolinea come molte delle principali piattaforme cloud, e in particolare Google Cloud Platform, non riescono a registrare adeguatamente i dati degli eventi che potrebbero facilitare il rilevamento di compromissioni e l’analisi forense durante la risposta post-compromissione.

L’analisi, pubblicata all’inizio di marzo, spiega come la Google Cloud Platform consenta ai clienti di attivare i log di accesso allo storage, ma di fronte a un utente malintenzionato che compromette con successo l’identità di un utente legittimo, i registri non riescono a fornire dettagli sufficienti, creando lacune di visibilità forense.

I problemi di sicurezza includono la mancata generazione di informazioni dedicate per le azioni critiche relative all’esfiltrazione, l’assenza di informazioni dettagliate sulle modifiche ai dati e una generale mancanza di visibilità che potrebbe invece fornire un quadro di ciò che è accaduto.

Una varietà di eventi, ad esempio, è inclusa in un unico tipo di accesso, come la lettura di un file o il download di dati, lasciando gli analisti nel dubbio su cosa sia realmente successo, secondo Veronica Marinov, autrice dell’analisi.

Veronica Marinov, Cloud Incident Response & Security Researcher di Mitiga

“Alle registrazioni di Google Cloud mancano eventi di log granulari; nel caso di interazione con oggetti bucket, non è possibile distinguere tra lo scaricamento dell’oggetto, la visualizzazione del contenuto e la consultazione dei metadati”, ha spiegato Marinov.

Più dettagli per i log

Una buona visibilità tramite registrazioni dettagliate degli eventi nei servizi cloud è fondamentale per comprendere cosa sia davvero successo durante un attacco. Gli investigatori forensi dipendono dai log per determinare le azioni dei malintenzionati e i dati che potrebbero essere stati compromessi.

Mitiga ha notato il problema di visibilità nei servizi cloud di Google e ha avvertito che potrebbe influire sulla capacità di individuare eventuali minacce. Google Cloud ha risposto affermando che la mancanza di visibilità non è una vulnerabilità e che i dati dei clienti sono al sicuro, ma ha dichiarato di voler approfondire la questione dei problemi relativi alle analisi forensi.

L’analisi riguarda specificamente il cloud di Google, ma secondo Marinov anche altri fornitori di cloud hanno problemi simili.

“Abbiamo visto in altri fornitori di servizi cloud casi in cui non possiamo davvero capire cosa è successo solo vedendo i registri. Siamo in contatto con i fornitori su tali lacune specifiche. Solo dopo aver completato il nostro processo di divulgazione responsabile, però, potremo condividere i dettagli con i media”, ha concluso Marinov.