Gli attaccanti possono nascondere il comando e controllo dentro servizi cloud affidabili?

Sì, e lo fanno, perché il traffico verso un servizio cloud noto viene raramente bloccato o messo in discussione. Un malware può prelevare istruzioni da un file in un account di archiviazione cloud pubblico, da un documento condiviso, da un sito di hosting del codice, dall'interfaccia bot di un'app di messaggistica o da una rete di distribuzione dei contenuti, e rimandare i dati rubati per la stessa via. Per un firewall che giudica le destinazioni in base alla reputazione, sembra un normale dipendente che usa un servizio diffuso. Ciò che lo tradisce resta il comportamento. Un programma che controlla un file nel cloud a intervalli regolari, giorno e notte, da un dispositivo il cui utente non sta lavorando, ha un ritmo che le persone non hanno; i caricamenti possono essere insolitamente grandi per quel dispositivo; e l'impronta del client nell'handshake TLSTLS: Transport Layer Security. La cifratura che protegge gran parte del traffico internet, come HTTPS. può non corrispondere né a un browser né all'app ufficiale del servizio. Passi pratici: consenta solo i servizi cloud che l'azienda usa, per tenant dove gli strumenti lo permettono, e indaghi sui dispositivi che parlano con account personali di servizi diffusi. NetSenX rileva beaconing e volumi in uscita insoliti in ogni piano, qualunque sia la destinazione, e impronte TLS dal piano Starter dove l'agente cattura i pacchetti.

← Tutte le 25 domande su Sicurezza del cloud e del SaaSTutti i temi