Доступ к SaaS-приложениям создает проблемы безопасности

Защитите свой бизнес с CyberHoot сегодня!!!

Подписаться

Приложения «программное обеспечение как услуга» (SaaS) за последнее десятилетие кардинально изменили бизнес, принеся огромную пользу. Пандемия вынудила многие компании перевести сотрудников с офисных или настольных приложений на облачные SaaS-решения. К таким SaaS-приложениям относятся самые разные программы — от офисного программного обеспечения до мощных коммуникационных инструментов. Среди наиболее популярных бизнес-приложений можно выделить Salesforce , Google Workspace , Slack , HubSpot , Microsoft O365 и Zoom.

Большинство людей не задумываются, подключая необходимое им приложение к Google Workspace, O365 или аналогичным сервисам. Простые действия пользователей, такие как создание электронного письма или обновление контакта в CRM , могут приводить к ряду других автоматических действий и уведомлений на каждой из этих подключенных платформ.

Как это произошло?

Технологии OAuth и единого входа (Single Sign-On) упростили аутентификацию и предлагают контролируемое делегирование прав доступа. Представленные в виде областей действия (scopes) , эти разрешения приложение запрашивает у пользователя разрешение на определенные действия. Приложение может запросить одну или несколько областей действия. После одобрения областей действия пользователь предоставляет этим приложениям разрешения на выполнение кода для реализации логики, работающей в фоновом режиме в их среде. Эти приложения могут быть как безвредными, так и представлять угрозу, подобную исполняемому файлу.

Как показано на изображении ниже, механизм OAuth упрощает взаимодействие приложений, и многие не задумываются о возможных последствиях. Когда эти приложения и другие дополнения для SaaS-платформ запрашивают разрешения, они обычно предоставляются без раздумий, что создает больше возможностей для хакеров получить доступ к данным компании. Это подвергает компании риску атак на цепочку поставок , захвата API и непреднамеренной установки вредоносных сторонних приложений на корпоративные устройства.

Что касается локальных машин и исполняемых файлов, организации уже имеют встроенные средства контроля, позволяющие службам безопасности блокировать вредоносные программы и файлы. То же самое должно произойти и с SaaS-приложениями.

Что следует сделать вашей компании или MSP?

Обучение сотрудников основам информационной безопасности – первый шаг в обеспечении кибербезопасности всегда сводится к повышению осведомленности сотрудников. Как только сотрудники лучше поймут риски и опасности, которые представляют собой механизмы OAuth, они будут менее склонны их использовать.

Включите многофакторную аутентификацию — лучшее, что вы можете сделать для повышения безопасности облачных сервисов вашей организации, — это включить и обеспечить соблюдение многофакторной аутентификации (МФА) для всех возможных учетных записей. Эта практика особенно важна для ваших основных почтовых и платформ для совместной работы, поскольку она снижает ущерб, который может нанести злоумышленник, используя украденные учетные данные.

Политика – Организациям следует разработать политику, обязывающую сотрудников подавать запросы на использование сторонних приложений. Это можно включить в Политику допустимого использования (AUP) вашей организации.

Используйте мониторинг безопасности SaaS — мониторинг безопасности SaaS является важнейшим уровнем защиты для вашей ИТ-инфраструктуры. Он позволяет управлять доступом сотрудников к необходимым приложениям SaaS по отделам, консолидировать лицензии и обеспечивает беспрецедентную прозрачность вашей ИТ-инфраструктуры. Blissfully — отличный пример платформы, которая может делать все три вещи и даже больше; это ключевой элемент безопасности SaaS при формировании вашей ИТ-инфраструктуры.

Управление доступом к SaaS-приложениям и паролями – Как уже упоминалось, некоторые SaaS-приложения несовместимы с решениями SSO. В таких ситуациях CyberHoot рекомендует использовать менеджер паролей. Надежные менеджеры паролей, такие как LastPass , 1Password, DashLane или Bitwarden, позволяют пользователям генерировать надежные, уникальные пароли длиной более 14 символов, хранить учетные данные для веб-сайтов и зашифрованные защищенные заметки. Эти инструменты также полезны, поскольку позволяют пользователям безопасно обмениваться учетными данными или заметками с доверенными сотрудниками или клиентами.

Здесь уместны практические советы и здравый смысл. Убедитесь, что ваши пользователи не должны слепо принимать все разрешения на доступ, запрашиваемые SaaS-приложением, так же, как запрещать приложению на телефоне доступ к вашему списку контактов или доступ к данным о вашем местоположении по умолчанию. Если доступ не требуется для функционирования приложения, по умолчанию всегда следует запрещать доступ.

Минимальные основные рекомендации CyberHoot по кибербезопасности

Следующие рекомендации помогут вам и вашему бизнесу обеспечить безопасность от различных угроз, с которыми вы можете сталкиваться ежедневно. Все перечисленные ниже предложения можно получить, воспользовавшись услугами разработки программы vCISO от CyberHoot.

1. Управляйте сотрудниками с помощью политик и процедур. Вам как минимум потребуется политика паролей, политика допустимого использования, политика обработки информации и письменная программа информационной безопасности (WISP).
2. Обучите сотрудников тому, как выявлять и избегать фишинговые атаки. Внедрите систему управления обучением, такую как CyberHoot, чтобы обучить сотрудников навыкам, необходимым для повышения уверенности, продуктивности и защищенности.
3. Протестируйте сотрудников на фишинговых атаках для практики. Тестирование на фишинг от CyberHoot позволяет компаниям проверять сотрудников с помощью правдоподобных фишинговых атак и отправлять тех, кто не справится с фишинговыми атаками, на дополнительное обучение.
4. Внедрить критически важные технологии кибербезопасности, включая двухфакторная аутентификация на всех критически важных аккаунтах. Включите фильтрацию спама в электронной почте, проверьте резервные копии и разверните защиту DNS. антивируси защиту от вредоносных программ на всех ваших конечных точках.
5. В современную эпоху работы на дому обязательно контролируйте персональные устройства, подключающиеся к вашей сети, проверяя их безопасность (установка исправлений, антивирус, защита DNS) или полностью запрещая их использование.
6. Если вы не проводили оценку рисков независимой организацией в течение последних двух лет, вам стоит сделать это сейчас. Создание системы управления рисками в вашей организации критически важно для устранения самых серьёзных рисков с учётом ограниченного времени и средств.
7. Приобретите киберстраховку, чтобы защитить себя в случае катастрофического сбоя. Киберстрахование ничем не отличается от страхования автомобиля, пожара, наводнения или жизни. Оно доступно именно тогда, когда оно вам больше всего нужно.

Все эти рекомендации, за исключением киберстрахования, включены в продукт CyberHoot и услуги виртуального директора по информационной безопасности. С CyberHoot вы можете управлять, обучать, оценивать и тестировать своих сотрудников. Посетите CyberHoot.com и зарегистрируйтесь для получения наших услуг уже сегодня. Как минимум, продолжайте обучение, подписавшись на наши ежемесячные информационные бюллетени по кибербезопасности , чтобы быть в курсе последних обновлений в этой области.

Глубокое погружение: Анатомия атаки API (7 мин)

источники:

Новости Хакер

Риски и проблемы программного обеспечения как услуги (SaaS)

Дополнительные ресурсы: 

Видеоблог «Программное обеспечение как услуга» (SaaS)

Программное обеспечение как услуга (SaaS) Термин Cybrary