Bulut sanal makineler hız, ölçek ve esneklik sunuyor ancak kendi başlarına bırakıldıklarında risk oluşturuyor. Amazon Web Services’in 2000’lerin ortasında S3 ve ardından EC2 hizmetlerini devreye alması, modern bulut depolama ve bilgi işlem dönemini başlatmıştı. Bugün ise iş yüklerini buluta taşımayan veya taşımayı planlamayan çok az kurum bulunuyor. Bazıları tamamen bulutta, bazıları ise çoklu bulut kurulumlarında bulut iş yüklerini şirket içi kaynaklarla eşleştirerek çalışıyor.
Tüm bu yapılar içinde öne çıkan ortak sorun ise aynı: Sanal makine (VM) yayılması. Yani, zamanla kendi başına bırakılan sanal makinelerin kontrolsüz şekilde çoğalması. Siber güvenlik alanında dünya lideri olan ESET sanal makinelerdeki güvenlik açıklarını mercek altına aldı.
Bulut servis sağlayıcıları yeni sanal makinelerin oluşturulmasını kolaylaştırıyor ancak bu devreden çıkarılması çoğu zaman aynı hızla yapılmıyor. Çoklu bulut ortamlarında bu durum, güvenlik operasyonlarının dışında kalan iş yüklerinin artmasına neden oluyor. Genel bulut hizmeti sağlayıcıları
(CSP) temel koruma sağlasa da işletim sistemi güncellemeleri, izleme ve erişim politikalarının güncellenmesi müşteriye ait sorumluluklar arasında yer alıyor. Bu nedenle sanal makinelerin fark edilmeden “kontrolden çıkma” riski artıyor.
Bulut görünürlüğü ise birçok kuruluş için kalıcı bir sorun. Kuruluşların yalnızca yüzde 23’ü tüm iş yüklerine kapsamlı şekilde hâkim olduklarını belirtiyor. VM filolarının kontrolsüz büyümesi bu sorunu daha da derinleştiriyor. Yanlış yapılandırılmış depolama alanları ve açık API’ler ihlallerde öne çıkarken, sanal makine kötüye kullanımı genellikle fark edilmesi zor bir şekilde gerçekleşiyor. Bir makine öğrenimi mühendisi için hazırlanan ve geniş okuma, yazma erişimi verilen bir VM, proje sona erdikten sonra çoğu kez olduğu gibi kendi haline bırakılabiliyor. Bu ise saldırganlar için önemli bir fırsat alanı oluşturuyor.
Terk edilmiş sanal makineler ciddi risk taşıyor
Terk edilen bir VM, yalnızca kullanılmayan bir kaynak değil; aynı zamanda kötü niyetli kişiler tarafından istismar edilebilecek bir varlık. VM’ler aynı sanal özel bulut (VPC) veya sanal ağ (VNet) içinde kısıtlama olmadan iletişim kurabildiğinden, bir VM komşu örnekleri inceleyebilir, veri tabanlarına erişebilir ve izinleri kötüye kullanabilir. Ağ mikro-bölümlendirme çoğu zaman zor olduğu için bu risk büyüyor. Hibrit kimlikli hibrit ortamlarda karmaşıklık daha da artıyor.
Geçmiş saldırı örnekleri de bu riski doğruluyor. Bir saldırı kampanyasında tehdit aktörleri, dâhili RDP ile AWS EC2 örnekleri arasında hareket etmiş, sızdırdıkları veriyi sanal makinelere taşımış ve fidye yazılımı yaymıştı. İzleme sistemleri bunu tespit etmiş olsa da otomatik yanıt mekanizması olmadığından saldırı devam etmişti. Başka örneklerde ise ele geçirilen hesaplar üzerinden kısa ömürlü VM’ler saldırı altyapısı olarak kullanıldı.
