Kunnen aanvallers command-and-control verstoppen in vertrouwde clouddiensten?

Ja, en dat doen ze, omdat verkeer naar een bekende clouddienst zelden wordt geblokkeerd of in twijfel getrokken. Malware kan instructies ophalen uit een bestand in een publiek cloudopslagaccount, een gedeeld document, een site voor codehosting, de botinterface van een berichtenapp of een contentdeliverynetwerk, en gestolen gegevens langs dezelfde weg terugsturen. Voor een firewall die bestemmingen op reputatie beoordeelt, lijkt dat op een gewone medewerker die een populaire dienst gebruikt. Wat het toch verraadt, is gedrag. Een programma dat met vaste tussenpozen, dag en nacht, een cloudbestand opvraagt vanaf een apparaat waarvan de gebruiker niet aan het werk is, heeft een ritme dat mensen niet hebben; uploads kunnen voor dat apparaat ongewoon groot zijn; en de clientfingerprint in de TLSTLS: Transport Layer Security. De versleuteling die het meeste internetverkeer beschermt, zoals HTTPS.-handshake past misschien niet bij een browser of bij de officiële app van de dienst. Praktische stappen: sta alleen de clouddiensten toe die het bedrijf gebruikt, per tenant waar uw tools dat toelaten, en onderzoek apparaten die met privéaccounts van populaire diensten praten. NetSenX detecteert beaconing en ongewoon uitgaand volume op elk abonnement, wat de bestemming ook is, en TLS-fingerprints vanaf het Starter-abonnement waar de agent pakketten vastlegt.

← Alle 25 vragen over Cloud- en SaaS-beveiligingAlle onderwerpen