Stiamo migrando il nostro e-commerce sul cloud: quali sono le vulnerabilità di sicurezza cloud più comuni nella pratica?

L'errore tecnico più critico è lasciare il servizio di metadati del server virtuale su una versione obsoleta. Se avete un plugin vulnerabile a Server-Side Request Forgery (SSRF), un attaccante può interrogare direttamente questo indirizzo locale e rubare le credenziali temporanee assegnate al server. Rendete obbligatoria la seconda versione del servizio metadati e restringete i permessi basati sui ruoli.

Durante la migrazione di un sito retail di dimensioni simili, abbiamo dimenticato aperta la porta del database dell'ambiente di test per 2 giorni. In 48 ore abbiamo subito tentativi di brute force automatici da esattamente 14 mila indirizzi IP diversi. Se avete un budget di 1.200 euro, destinatene almeno 150 a strumenti di central logging e alert in tempo reale.

Non fatevi ingannare dal marketing del "tutto sicuro" dei provider cloud. In base al modello di responsabilità condivisa, l'infrastruttura è loro, ma patch del sistema operativo, porte aperte e regole di accesso sono al 100% sotto la vostra responsabilità. Se c'è una fuga di dati, la fattura e le sanzioni legali arrivano dritte alla vostra azienda.

Prima del giorno del go-live completate assolutamente questi tre controlli: 1) Attivate il blocco dell'accesso pubblico su tutti gli spazi di storage. 2) Spostate i server in una subnet privata facendoli comunicare con l'esterno solo tramite load balancer. 3) Imponete l'autenticazione a più fattori (hardware o tramite app) per tutti i dipendenti senza eccezioni all'accesso del pannello di controllo.

la maggior parte della gente salta per aria coi file di config buttati nei repo github dai dev... insomma se la api key è nel codice addio, in due ore ti montano su i crypto miner sul server.

È successo a un nostro grossista a Barcellona; hanno caricato il backup giornaliero del vecchio database in una cartella di storage aperta. Nessuno se n'è accorto per due mesi, finché un motore di ricerca ha indicizzato il file di backup ed è venuto fuori tutto: codici fiscali dei clienti e cronologia degli ordini. Si sono beccati una diffida pesante e una bella sanzione dal garante della privacy.

Durante la migrazione dell'infrastruttura di pagamento, i dati delle carte passano direttamente sui vostri server o utilizzate la tokenizzazione sicura fornita dal payment gateway? Se i dati delle carte transitano dal server, i vostri standard di sicurezza e audit sul cloud devono essere infinitamente più severi.

Sì, per quanto riguarda esempi di sicurezza cloud la situazione è esattamente così. Inizia con un piccolo test, non impegnarti subito su tutto.

Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi. Correggetemi se sbaglio.

Mi sono rilassato leggendo questa risposta, quindi non succede solo a me. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Questa è la mia opinione, non la scrivo come verità assoluta.

Grazie per averlo scritto, è proprio così. Cercare di farlo da soli è la strada più costosa.

Buon lavoro.

Bisogna fare una distinzione qui. Chiunque abbia fretta su esempi di sicurezza cloud si blocca nello stesso punto.

Spero che le sia utile.

Sono della stessa opinione. Un backup non testato non è un backup.

Il fatto che tutti facciano una cosa non significa che sia quella giusta. Buon lavoro.

Hai fatto bene ad aprire questo thread. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Questa è la mia opinione, non la scrivo come verità assoluta.

Sono una piccola impresa, vi parlo dal mio punto di vista. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Io seguirei questa strada.

Ha ragione.

la strada che sembra economica di solito finisce per costare cara... boh le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

è tutto sccusate se mi sono dilungato.

Salvato. insomma le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Buon lavoro.

Per un periodo ci siamo bloccati anche noi nello stesso punto. Prendere misure senza fare un inventario lascia aperta una porta che non vedi.

Questa è la mia opinione, non la scrivo come verità assoluta.