Доступ к SaaS-приложениям создает проблемы безопасности

Защитите свой бизнес с CyberHoot сегодня!!!

Подписаться

Программное обеспечение как услуга (SaaS) За последнее десятилетие приложения преобразили бизнес, принеся огромную пользу. Пандемия вынудила многие компании перевести сотрудников с офисных или настольных приложений на облачные SaaS-приложения. Эти SaaS-приложения включают в себя всё: от офисного ПО до мощных инструментов коммуникации. Среди самых популярных бизнес-приложений: Salesforce, Рабочая область Google, Вялый, HubSpot, Майкрософт О365 и Zoom.

Большинство людей не задумываются, подключая нужное приложение к своему Google Workspace, среде O365 или аналогичным сервисам. Простые действия, которые выполняют пользователи, например, создание электронного письма или обновление контакта в CRM, может привести к ряду других автоматических действий и уведомлений на каждой из этих подключенных платформ.

Как это произошло?

OAuth и технологии единого входа упростили идентификация и предлагает контролируемое делегирование прав доступа. Представлено в виде прицелыПриложение запрашивает у пользователя разрешение на получение определённых разрешений. Приложение может запросить одну или несколько областей действия. Одобряя области действия, пользователь предоставляет этим приложениям разрешения на выполнение кода для реализации скрытой логики в своей среде. Эти приложения могут быть как безвредными, так и представлять такую же угрозу, как исполняемый файл.

Как видно на изображении ниже, OAuth Механизм упрощает взаимодействие приложений, и многие не задумываются о возможных последствиях. Когда эти приложения и другие надстройки для SaaS-платформ запрашивают разрешения, они обычно предоставляются без раздумий, что открывает хакерам больше возможностей для доступа к данным компании. Это подвергает компании риску. атаки на цепочку поставок, захваты APIи непреднамеренно устанавливали вредоносные сторонние приложения на устройства компании.

Что касается локальных машин и исполняемых файлов, организации уже имеют встроенные средства контроля, позволяющие службам безопасности блокировать вредоносные программы и файлы. То же самое должно произойти и с SaaS-приложениями.

Что следует сделать вашей компании или MSP?

Обучение по вопросам безопасности – Первым шагом в обеспечении кибербезопасности всегда является повышение осведомлённости сотрудников. Как только сотрудники узнают о рисках и опасностях, связанных с механизмами OAuth, они будут менее охотно их использовать.

Включите Многофакторная аутентификация – Лучшее, что вы можете сделать для улучшения безопасности вашей организации в облаке, – это включить и обеспечить соблюдение многофакторная аутентификация (MFA) для всех возможных учётных записей. Эта практика особенно актуальна для вашей основной электронной почты и платформ для совместной работы, поскольку она снижает ущерб, который злоумышленник может нанести, используя украденные учётные данные.

Политика – Организациям следует разработать политику, обязывающую сотрудников отправлять запросы на сторонние приложения. Это можно реализовать в рамках Политики допустимого использования (AUP) вашей организации. 

Используйте SaaS-безопасность мониторинг – Мониторинг безопасности SaaS-решений — важнейший уровень безопасности вашего SaaS-стека. Он позволяет управлять доступом сотрудников к необходимым SaaS-приложениям по отделам, консолидировать лицензии и обеспечивает беспрецедентную прозрачность вашего SaaS-стека. Блаженно является прекрасным примером платформы, которая может выполнять все три и даже больше; это ключевой элемент безопасности SaaS при формировании вашего ИТ-стека.

Управление доступом и паролями SaaS – Некоторые SaaS-приложения несовместимы с решениями единого входа (SSO), как упоминалось ранее. В таких ситуациях CyberHoot рекомендует использовать менеджер паролей. Надежные менеджеры паролей, такие как LastPass, 1Password, DashLane или Bitwarden позволяют пользователям генерировать надёжные, уникальные пароли длиной более 14 символов, хранить учётные данные для веб-сайтов и зашифрованные защищённые заметки. Эти инструменты также ценны тем, что позволяют пользователям безопасно обмениваться учётными данными или заметками с доверенными сотрудниками или клиентами.

Здесь уместны практические советы и здравый смысл. Убедитесь, что ваши пользователи не должны слепо принимать все разрешения на доступ, запрашиваемые SaaS-приложением, так же, как запрещать приложению на телефоне доступ к вашему списку контактов или доступ к данным о вашем местоположении по умолчанию. Если доступ не требуется для функционирования приложения, по умолчанию всегда следует запрещать доступ.

Минимальные основные рекомендации CyberHoot по кибербезопасности

Следующие рекомендации помогут вам и вашему бизнесу защититься от различных угроз, с которыми вы можете сталкиваться ежедневно. Все перечисленные ниже предложения можно получить, воспользовавшись услугами по разработке программы vCISO компании CyberHoot.

1. Управляйте сотрудниками с помощью политик и процедур. Вам как минимум потребуется политика паролей, политика допустимого использования, политика обработки информации и письменная программа информационной безопасности (WISP).
2. Обучите сотрудников тому, как выявлять и избегать фишинговые атаки. Внедрите систему управления обучением, такую как CyberHoot, чтобы обучить сотрудников навыкам, необходимым для повышения уверенности, продуктивности и защищенности.
3. Протестируйте сотрудников на фишинговых атаках для практики. Тестирование на фишинг от CyberHoot позволяет компаниям проверять сотрудников с помощью правдоподобных фишинговых атак и отправлять тех, кто не справится с фишинговыми атаками, на дополнительное обучение.
4. Внедрить критически важные технологии кибербезопасности, включая двухфакторная аутентификация на всех критически важных аккаунтах. Включите фильтрацию спама в электронной почте, проверьте резервные копии и разверните защиту DNS. антивируси защиту от вредоносных программ на всех ваших конечных точках.
5. В современную эпоху работы на дому обязательно контролируйте персональные устройства, подключающиеся к вашей сети, проверяя их безопасность (установка исправлений, антивирус, защита DNS) или полностью запрещая их использование.
6. Если вы не проводили оценку рисков независимой организацией в течение последних двух лет, вам стоит сделать это сейчас. Создание системы управления рисками в вашей организации критически важно для устранения самых серьёзных рисков с учётом ограниченного времени и средств.
7. Приобретите киберстраховку, чтобы защитить себя в случае катастрофического сбоя. Киберстрахование ничем не отличается от страхования автомобиля, пожара, наводнения или жизни. Оно доступно именно тогда, когда оно вам больше всего нужно.

Каждая из этих рекомендаций, за исключением киберстрахования, встроена в продукт CyberHoot и услуги виртуального директора по информационной безопасности. С CyberHoot вы можете управлять, обучать, оценивать и тестировать своих сотрудников. Перейти к странице CyberHoot.com и запишитесь на наши услуги уже сегодня. Как минимум, продолжайте обучение, подписавшись на наши ежемесячные рассылки. Информационные бюллетени по кибербезопасности чтобы быть в курсе текущих обновлений в сфере кибербезопасности.

Глубокое погружение: Анатомия атаки API (7 мин)

источники:

Новости Хакер

Риски и проблемы программного обеспечения как услуги (SaaS)

Дополнительные ресурсы: 

Видеоблог «Программное обеспечение как услуга» (SaaS)

Программное обеспечение как услуга (SaaS) Термин Cybrary