Binlerce kurumdaki bulut yapılandırmalarını inceleyen son bir analiz, AWS, Azure ve Google Cloud için tek tip bir güvenlik kontrol listesinin işe yaramadığını ortaya koydu. 3.000 kuruluşta görülen yanlış yapılandırmaların dağılımı, sağlayıcılar arasında risk profilinin neredeyse ortak nokta taşımadığını gösteriyor.
İnceleme, zayıf kimlik ve erişim yönetimi ile eksik loglamanın neredeyse evrensel olduğunu ortaya çıkardı. Ancak ağ maruziyeti, fazla izinli güvenlik duvarları, zayıf şifreleme ve yanlış yapılandırılmış servisler gibi diğer kategorilerde tablo sağlayıcıya göre ciddi biçimde değişiyor. En büyük fark, açıkta bırakılan servislerde görülüyor: AWS’de bu oran yüzde 76’ya çıkarken Google Cloud’da yüzde 8’de kalıyor. Fazla izinli güvenlik duvarlarında AWS yüzde 83, Azure yüzde 45, Google Cloud ise yüzde 34 seviyesinde. Zayıf şifreleme AWS’de yüzde 49, Azure’da yüzde 35, Google Cloud’da yüzde 8 olarak ölçüldü. Yanlış yapılandırılmış servislerde ise bu kez Azure öne çıkıyor; oran yüzde 80’e kadar yükseliyor, Google Cloud’da ise yüzde 37’de kalıyor.
Sağlayıcıya göre risk dağılımı keskin biçimde ayrışıyor
Analizde misconfiguration bulguları altı başlıkta toplandı: zayıf IAM, eksik loglama, yanlış yapılandırılmış servisler, fazla izinli güvenlik duvarları, açıkta servisler ve zayıf şifreleme. Her başlıkta, üç büyük bulut sağlayıcısında en az bir sorunu bulunan hesapların oranı karşılaştırıldı. Sonuçta zayıf IAM kontrolleri ile eksik loglama, sağlayıcı fark etmeksizin yaklaşık yüzde 80 ile yüzde 98 bandında seyretti.
Geriye kalan dört kategori ise bulut platformları arasındaki farkı belirginleştirdi. Açıkta servisler tarafında AWS ile Google Cloud arasındaki uçurum dikkat çekti. AWS’de hesapların yüzde 76’sında en az bir açıkta servis bulunurken bu oran Azure’da yüzde 64, Google Cloud’da yüzde 8 oldu. Fazla izinli güvenlik duvarlarında da AWS en yüksek oranda yer aldı; Azure ve Google Cloud daha düşük seviyelerde kaldı. Aynı desen zayıf şifrelemede de tekrarlandı. Tek istisna yanlış yapılandırılmış servisler oldu; burada Azure yüzde 80 ile ilk sıraya yerleşti.
Bu tablo için bir açıklama olarak AWS’nin hizmet çeşitliliği öne çıkıyor. Daha fazla servis, daha fazla yapılandırma seçeneği ve daha fazla yanlış ayar ihtimali anlamına geliyor. Google Cloud ise daha az sayıda servis sunuyor ve incelemede en düşük yaygınlık oranları da büyük ölçüde bu platformda görüldü. Analizde, Google Cloud’un Shared Fate yaklaşımının varsayılan güvenlik ayarlarını daha sıkı tuttuğu, özellikle ağ maruziyeti ve şifreleme tarafında daha güvenli başlangıç değerleri sunduğu belirtildi.
Aynı araştırma, farklı sağlayıcılarda öne çıkan gerçek yanlış yapılandırma örneklerini de sıraladı. AWS tarafında en sık görülen sorunlar arasında S3’ün HTTPS zorlamaması, hassas portlara aşırı izin veren giriş kuralları, aşırı geniş ağ ACL’leri, ayrıcalık yükseltmeye izin veren IAM politikaları ve EC2 için VPC endpoint’in etkin olmaması yer aldı. Bunların ilk sırasında, S3 bucket’larının HTTPS’i zorunlu kılmaması bulunuyor ve bu sorun AWS hesaplarının yüzde 87’sini etkiliyor. IAM politikalarının ayrıcalık yükseltmeye izin vermesi ise yüzde 83’e ulaşıyor.
AWS IAM yapısının karmaşıklığı, yanlış görünen bir yönetilen politikanın beklenenden daha geniş izinler verebilmesine yol açabiliyor. İncelemede anılan yakın tarihli bir olayda da saldırganın, açığa çıkmış kimlik bilgileri üzerinden 10 dakikadan kısa sürede yönetici yetkilerine ulaştığı ve 19 AWS principal’ını ele geçirdiği aktarıldı. Bu örnek, tek bir fazla yetkili kimliğin başka katmanlarda sertleştirilmiş kontrolleri aşmaya yetebildiğini gösteren vaka olarak verildi.
Azure’da öne çıkan sorunlar daha çok depolama ve kimlik tarafında toplandı. En sık karşılaşılan bulgular, Storage Account key rotation’ın etkin olmaması, Storage Account access key’lerinin açık bırakılması, Storage Account için public network access’in açık olması, Entra kullanıcılarında MFA bulunmaması ve Trusted Launch’ın etkinleştirilmemesi oldu. İlk üç madde doğrudan Azure Storage Accounts çevresinde kümeleniyor; bu hesaplar çoğu zaman kişisel veriler dahil hassas bilgi barındırıyor.
Azure tarafındaki bir diğer dikkat çekici bulgu, hesapların yarısından fazlasında Entra ID kullanıcılarının çok faktörlü kimlik doğrulama olmadan çalışması. Entra ID yalnızca bulut kaynaklarına erişimi değil, Microsoft 365’i, üçüncü taraf SaaS uygulamalarını ve şirket içi sistemleri de kapsıyor. İncelemede, Microsoft’un kendi ağını etkileyen 2024 Midnight Blizzard ihlalinin de MFA’sız eski bir test hesabına yönelik parola püskürtme saldırısıyla başladığı hatırlatıldı.
Google Cloud cephesinde ise sorunların neredeyse tamamı kimlik ve erişim yönetimine bağlanıyor. OS Login MFA’nın etkin olmaması yüzde 77, OS Login’in hiç kullanılmaması yüzde 76, kullanılmayan service account’lar yüzde 75, aşırı geniş yetkili service account’lar yüzde 53 oranında görüldü. Hassas portlara fazla izin veren giriş kuralları da yüzde 34 seviyesinde yer aldı. OS Login kontrolleri, klasik SSH erişimine göre daha güvenli bir seçenek sunduğu için bu başlığın eksik olması, üçte ikiden fazla hesapta görülen bir boşluk anlamına geliyor.
Analizde ayrıca platformlar arası farkın yalnızca teknik tercihlerden değil, yönetim modelinden de kaynaklanabileceği vurgulandı. Google Cloud’un Shared Fate yaklaşımı, bazı güvenlik ayarlarını kutudan çıktığı haliyle daha sıkı tutuyor. AWS ise daha geniş servis portföyüyle birlikte daha fazla yapılandırma ihtiyacı yaratıyor. Azure’da ise depolama ve Entra kimlik yönetimi başlıkları öne çıkıyor.
Kuruluş büyüklüğü incelendiğinde ise genel eğilim, şirketler büyüdükçe bazı yanlış yapılandırma oranlarının düşmesi yönünde. Büyük kurumlar, fazla izinli güvenlik duvarları, açıkta servisler ve zayıf şifreleme açısından daha düşük oranlar sergiliyor. Fakat IAM bunun dışında kalıyor. Zayıf IAM kontrolleri, 250’den az çalışanı olan KOBİ’lerin yüzde 87’sinde, 251 ila 10 bin çalışan arasındaki orta ölçekli kuruluşların yüzde 95’inde ve 10 bin ila 100 bin+ çalışanı olan büyük işletmelerin yüzde 98’inde görüldü.
Orta ölçekli kuruluşlar, bulut sorunlarını gidermekte de en yavaş grup olarak öne çıktı. Bu segmentte ortalama düzeltme süresi 35 gün oldu. Küçük işletmelerde bu süre 8 ila 16 gün arasında değişirken büyük işletmelerde ortalama 10 gün olarak kaydedildi. İncelemeyi yapan ekip, bunun orta ölçekli ekiplerin kurumsal düzeyde karmaşıklığı, aynı ölçekte ayrılmış kaynaklara sahip olmadan yönetmeye çalıştığını gösterdiğini belirtti.
Rapor, çoklu bulut ortamlarını yöneten ekipler için asıl meselenin, tüm varlıklar genelinde hangi risklerin daha baskın olduğunu doğru okumak olduğuna işaret ediyor. Amaç, sınırlı zaman ve kaynakları doğru alanlara yönlendirmek. Bunun için bulut sağlayıcıları arasında tutarlı bir güvenlik duruşu ölçümüne ihtiyaç duyulduğu, ancak her platformun kendine özgü düzeltme ayrıntılarının da korunması gerektiği aktarılıyor. İncelemenin tam sürümünde her platform için ilk 10 yanlış yapılandırma ve kuruluş büyüklüğüne göre bulut güvenlik duruşu yer alıyor.