Güvenlik uzmanları, birçok işletmenin bulut uygulamalarını bir yıl veya daha uzun süredir değiştirilmemiş eski parolalarla koruduğunu ortaya koydu. Ayrıca, hala aktif olan ancak kullanılmayan eski hesapların da ciddi bir güvenlik riski oluşturduğunu belirtiyorlar.
Bulut Güvenliği Durumu 2024 raporunda Datadog, işletmelerin parolalarını yenilemeleri gerektiği konusunda sıklıkla vurgu yapılmasına rağmen, Google Cloud hizmet hesaplarının %62’sinin, AWS IAM hesaplarının %60’ının ve Microsoft Entra ID uygulamalarının %46’sının bir yıldan eski erişim anahtarlarına sahip olduğunu tespit etti. Ayrıca ortalama olarak, işletmelerin neredeyse yarısı (%46) benzer kimlik bilgilerine sahip, kullanılmayan hesaplara sahip.
Datadog Güvenlik Savunuculuğu Başkanı Andrew Krug, “Bulut Güvenliği Durumu 2024’ün bulguları, uzun ömürlü kimlik bilgilerinin güvenli bir şekilde yönetilebileceğini beklemenin gerçekçi olmadığını gösteriyor” dedi ve devam etti: “Uzun ömürlü kimlik bilgilerinin büyük bir risk olmasının yanı sıra, rapor bulut güvenliği olaylarının çoğunun tehlikeye atılmış kimlik bilgilerinden kaynaklandığını buldu. Şirketlerin kendilerini korumak için kimlikleri modern kimlik doğrulama mekanizmalarıyla güvence altına almaları, kısa ömürlü kimlik bilgilerinden yararlanmaları ve saldırganların yaygın olarak kullandığı API’lerdeki değişiklikleri aktif olarak izlemeleri gerekiyor.”
Krug, asla sona ermeyen uzun ömürlü bulut kimlik bilgilerinin genellikle kaynak kodu, kapsayıcı görüntüleri, derleme günlükleri ve uygulama eserleriyle sızdırıldığını söylüyor. Bu yöntemler, saldırganların şirket varlıklarına daha kolay bir şekilde erişebilmesini sağlıyor. Krug’un söylediğine göre bu sorun, biyometrik kimlik doğrulamaya, sıfır güven mimarisine doğru yönelerek ve günlük kaydı ve izleme araçlarını ve mekanizmalarını güncelleyerek göreceli olarak kolay bir şekilde çözülebilir.