Widać poważne zagrożenia bezpieczeństwa SaaS – wynika z raportu Kaseya. ​​Otóż luki w uwierzytelnianiu wieloskładnikowym, rozrost OAuth (Open Authorization) i zewnętrzne udostępnianie plików zwiększają powierzchnię ataku na małe i średnie firmy.

Dostawca podaje, iż analiza objęła ponad 27,6 mld zdarzeń związanych z bezpieczeństwem SaaS w ponad 50 tys. środowiskach MŚP. W tym jest 5,4 tys. partnerów MSP i 6,2 mln kont użytkowników końcowych.

Dane sugerują, iż udogodnienia, takie jak niezarządzane konta gości, generują ogromne problemy z bezpieczeństwem dla MŚP. Niezarządzane konta gości obecnie stanowią aż 69 proc. wszystkich monitorowanych kont (4,3 mln wobec 1,9 mln licencjonowanych użytkowników). Oznacza to stały dostęp osób trzecich i udostępnianie danych zewnętrznie.

Dostawca twierdzi, iż napastnicy porzucili ataki perymetryczne na rzecz takich celów jak tożsamości, integracje OAuth i przepływy pracy. Powstała luka, której zdaniem Kaseya większość małych i średnich firm nie dostrzega.

Jakie firmy będą odporne

„Dzisiejsi cyberprzestępcy, korzystający z AI, postrzegają jedno, połączone środowisko ataków, podczas gdy większość organizacji broni swojej infrastruktury w częściach” – wyjaśnia Jim Lippie, dyrektor ds. produktów w Kaseya. „Najbardziej odporne będą te organizacje, które jako podstawowe wymogi uznają ciągły monitoring, zarządzanie tożsamościami i automatyczne reagowanie” – twierdzi.

Pośpiech we wdrażaniu AI spowodował rozkwit integracji OAuth firm trzecich. Wykorzystują one trwałe tokeny zamiast danych uwierzytelniających, zapewniając atakującym stały dostęp do danych nawet po zresetowaniu hasła. Open Authorization umożliwia uzyskanie autoryzacji w innym serwisie, np. logowanie się przez konto Google’a.

W rezultacie, logowania za pomocą konta głównego usługi, niebędącego logowaniem człowieka, stanowią obecnie 20 proc. krytycznych alertów bezpieczeństwa. Jednocześnie atakujący wykorzystują automatyzację opartą na AI do szybkiego wykrywania i wykorzystywania uśpionych kont gości. Dzieje się to szybciej, niż mogą zareagować ręczne mechanizmy obronne. Starsze mechanizmy kontroli, takie jak blokady geolokalizacji, zawodzą, ponieważ atakujący kierują ruch przez zaufane hosty w chmurze i sieci VPN.

Poza Ameryką Północną 44 proc. nieautoryzowanych logowań pochodziło z zaufanej infrastruktury i zewnętrznych hubów. Umożliwiło to intruzom wtopienie się w normalny ruch biznesowy.

56 proc. kont SaaS bez uwierzytelniania wieloskładnikowego

Po włamaniu się do systemu, atakujący wykorzystują luki w ochronie tożsamości. Otóż 56 proc. kont SaaS nie miało aktywnego uwierzytelniania wieloskładnikowego (MFA), a tylko 27 proc. MŚP wdrożyło MFA w całej organizacji. To narażenie, w połączeniu z rosnącą popularnością udostępniania plików, pozwala atakującym na dyskretne wykradanie danych z sieci.

Narażenie na atak w Microsoft 365

Raport wskazuje też na ryzyko związane z M365. Otóż 45 proc. wszystkich udostępnianych plików została wysłana poza organizację. Wyciek danych pozostaje wyjątkowo wysoki w środowiskach produkcyjnych.

Jak lepiej chronić SaaS

Aby przeciwdziałać opisanym zagrożeniom, firmy muszą przejść od zabezpieczeń perymetrycznych do aktywnego zarządzania, w którym priorytetem jest tożsamość. Konieczny jest ciągły audyt tożsamości maszyn i uprawnień do udostępniania zewnętrznego. Należy też egzekwować uwierzytelnianie wieloskładnikowe w całej firmie – twierdzi Kaseya.

Eksperci radzą, by odejść od statycznego śledzenia zdarzeń i priorytetowo traktować zautomatyzowane monitorowanie zachowań, które może sygnalizować anomalie na zaufanych kontach.