# Che cos'è il servizio di metadati del cloud e perché interessa agli attaccanti?

È uno speciale indirizzo interno presente su ogni macchina virtuale cloud, da cui la macchina può leggere informazioni su se stessa, comprese credenziali temporanee per i permessi che le sono assegnati. Il software che gira sul server usa quelle credenziali per raggiungere archiviazione, database e altri servizi cloud senza una password nella configurazione, il che è una buona pratica. Il rischio è che qualsiasi cosa in grado di far inviare al server una richiesta web verso quell'indirizzo possa leggere anche le credenziali. Una via comune è la server-side request forgery (SSRF): una falla in un'applicazione web che permette a un attaccante di far scaricare al server un URL a sua scelta. Con le credenziali in mano, l'attaccante agisce nel Suo account cloud con i permessi del server. Difese: richieda la versione più recente, basata su sessione, del servizio di metadati dove il fornitore la offre, perché blocca le richieste falsificate semplici; dia a ogni ruolo di server solo i permessi necessari; corregga le falle SSRF e convalidi gli URL che le applicazioni scaricano; e imposti avvisi quando credenziali del ruolo di un server vengono usate dall'esterno del Suo ambiente, cosa che i log di attività del fornitore possono mostrare.

FAQ: [Sicurezza del cloud e del SaaS](https://netsenx.com/it/faq/cloud) · https://netsenx.com/it/faq/what-is-the-cloud-metadata-service-and-why-do-attackers-want-it

## Da leggere dopo

- https://netsenx.com/it/what-is-ndr
- https://netsenx.com/it/detect-lateral-movement-c2-beaconing
- https://netsenx.com/it/eu-data-residency

## Domande correlate

- [Come individuiamo il mining di criptovalute in un account cloud compromesso?](https://netsenx.com/it/faq/how-to-spot-cryptomining-in-a-compromised-cloud-account)
- [Come troviamo le app SaaS che nessuno ha approvato?](https://netsenx.com/it/faq/how-to-find-saas-apps-nobody-approved)
- [Che cosa sono CSPM, CASB e SSPM, e ci servono?](https://netsenx.com/it/faq/what-are-cspm-casb-and-sspm)
- [Che cosa chiedere a un fornitore SaaS sulla sicurezza prima di firmare?](https://netsenx.com/it/faq/what-should-we-ask-a-saas-vendor-about-security)
- [Chi è responsabile se il nostro fornitore SaaS subisce una violazione?](https://netsenx.com/it/faq/who-is-responsible-when-a-saas-provider-is-breached)