در حالی که مفاهیم متعددی برای مدیریت آسیب‌پذیری ابری (Cloud vulnerability management) وجود دارد، تعریف عمومی پذیرفته شده "عمل شناسایی، مدیریت و اصلاح مستمر آسیب‌پذیری‌ها در محیط‌های فناوری اطلاعات" است. این فرآیند در نهایت به بخشی یکپارچه از برنامه کلی امنیت ابری یک سازمان تبدیل می‌شود. در ادامه به طور کامل‌تری با مدیریت آسیب‌پذیری ابری و آسیب‌پذیری‌های رایج در آن، بیشتر آشنا خواهیم شد.
چرا مدیریت آسیب‌پذیری ابری به خوبی اعمال نمی‌شود؟
در حالی که بسیاری از شرکت‌های بزرگ فرآیند طراحی و پیاده‌سازی یک طرح مدیریت آسیب‌پذیری ابری را آغاز کرده‌اند، بسیاری دیگر این کار را نکرده‌اند. چنین تلاش‌هایی به دلایل مختلفی متوقف می‌شود.یکی از این دلایل فقدان دانش در مورد نقش استراتژیک و اهمیتی است که مدیریت آسیب‌پذیری ابر در طرح کلی مدیریت امنیت ابر ایفا می‌کند.
جک گلد، رئیس موسسه J.Gold، یک موسسه مشاوره در نورثبورگ می‌گوید : "شرکت‌های بزرگتر به یک استراتژی کاملاً تعریف شده برای مدیریت آسیب‌پذیری نیاز دارند، اما بسیاری از آن‌ها این کار را با اتکا به مهارت و دانش فردی خود انجام می‌دهند. اما نمی‌توان خیلی از افراد IT را مقصر دانست. بسیاری از آن‌ها منابع مورد نیاز خود را برای اولویت دادن به آن دریافت نمی‌کنند."
پول اغلب چیزی است که تصمیم برای پیشبرد مدیریت آسیب‌پذیری ابری را مختل می‌کند.
فرانک دزوبک، رئیس معماران شبکه ارتباطی در واشنگتن دی‌سی گفت : " مدیران مجموعه‌ها در مورد اینکه چه کسی قرار است هزینه راه اندازی مدیریت ابری را بپردازد و اینکه چه بازدهی قرار است داشته باشد، با یکدیگر درگیر می‌شوند. سرمایه‌گذاری‌های بازگشت سرمایه با بهره‌وری کاربر ارتباط دارند، چگونه بهره‌وری را با محصولاتی اندازه‌گیری می‌کنید که فقط از رویدادهایی که می‌توانند بر بهره‌وری تأثیر منفی بگذارند جلوگیری می‌کنند؟ "
آسیب‌پذیری‌های رایج در فضای ابری
آسیب‌پذیری‌های ابری رایجی که متخصصان فناوری اطلاعات می‌توانند انتظار داشته باشند با آن‌ها مواجه شوند شامل موارد زیر است:
تنظیمات اشتباه (Misconfigurations)
خطاهایی در تنظیمات امنیتی برنامه‌ها و سیستم‌های ابری، از جمله ماشین‌های مجازی، کانتینرها و محیط‌های بدون سرور هستند.
ناتوانی در تشخیص (Lack of visibility)
شرکت‌ها معمولاً فناوری‌های ابری فروشندگان مختلف را با هم ترکیب می‌کنند و یک محیط فناوری اطلاعات به هم پیوسته ایجاد می‌کنند. در چنین چشم‌انداز فناوری متنوعی، تشخیص و کاهش آسیب‌پذیری‌های ابری دشوار است.
مدیریت دسترسی ضعیف (Poor access management)
هویت‌های دیجیتال، بسیار بیشتر از هویت‌های انسانی در محیط‌های ابری وجود دارند که آن‌ها را به اهداف جذابی برای هکرها تبدیل می‌کند. آسیب‌پذیری‌های مرتبط با هویت به عنوان بردارهای حمله اولیه برای مجرمان سایبری که به دنبال ورود به یک محیط فناوری اطلاعات هستند، عمل می‌کنند.
تهدیدات داخلی (Insider threats)
تهدیدات داخلی شامل آسیب‌پذیری‌های مرتبط با افرادی که دارای دسترسی و دانش موجود در محیط یک سازمان فناوری اطلاعات هستند می‌شوند.
APIهای ناامن (Insecure APIs)
هکرها می‌توانند از آسیب‌پذیری‌های API مانند کنترل‌های دسترسی ناکافی، پروتکل‌های احراز هویت ضعیف و قرارگرفتن در معرض تصادفی داده‌ها سوء استفاده کنند.
عدم وجود رمزگذاری ابری (Lack of cloud encryption)
فقدان رمزگذاری ابری یک آسیب‌پذیری برجسته در فضای ذخیره‌سازی ابری است که به افراد غیرمجاز اجازه می‌دهد در صورت نفوذ به محیط ابری به داده‌های حیاتی دسترسی داشته باشند. هنگامی که داده‌ها به طور کامل رمزگذاری می‌شوند، به قالبی تبدیل می‌شوند که بدون کلید رمزگذاری قابل خواندن نیستند.
از آنجایی که هر سازمانی که از خدمات ابری استفاده می‌کند با این آسیب‌پذیری‌ها مواجه است، مهم است که با همکاری ارائه‌دهندگان محصولات مربوطه، این خطرات را کاهش دهند.
بهترین روش‌ها برای مدیریت آسیب پذیری ابری
PurpleSec، یک شرکت امنیت سایبری مستقر در واشنگتن دی‌سی، برای داشتن شانس در برابر دشمنان مصمم، سه دستورالعمل برای سازمان‌هایی که سعی در مدیریت آسیب‌پذیری ابری خوددارند، ارائه می‌دهد:
کشف دارایی و موجودی (Conduct asset discovery and inventory)
مهمترین گام در مدیریت آسیب‌پذیری، کشف موجودی جامع کلیه دستگاه‌های مجاز و غیرمجاز در شبکه، از جمله نرم افزارهای نصب شده بر روی دارایی های متعلق به سازمان و دارایی‌های متعلق به فروشندگان شخص ثالث است. هنگامی که تیم فناوری اطلاعات بداند کدام دارایی‌ها بیشترین خطر را دارند، می‌توانند اسکن آسیب‌پذیری را به‌خوبی تنظیم کنند.
طبقه بندی دارایی ها و تعیین وظایف (Classify assets and assign tasks)
پس از موجودی دارایی‌ها، واحد فناوری اطلاعات باید آن‌ها را بر اساس ریسک واقعی آن‌ها برای شرکت طبقه‌بندی و رتبه‌بندی کند. طبقه‌بندی ریسک به تعیین بازه زمانی انجام اسکن آسیب‌پذیری و اولویت‌بندی انجام امور اصلاح تغییرات ایجاد شده کمک می‌کند. همچنین، مهم است که مالکیت دارایی‌ها مشخص باشد تا مشخص شود چه کسی مسئول خطرات احتمالی مرتبط با دارایی‌هاست.
اجرای متناوب و خودکار فرایند اسکن آسیب‌پذیری (Run frequent automated vulnerability scanning)
واحد فناوری اطلاعات باید حداقل هر ماه یا هر سه ماه یکبار اسکن خودکار آسیب‌پذیری را در همه سیستم‌های موجود در شبکه انجام دهد. با این حال هر روز آسیب‌پذیری‌های جدیدی می‌توان پیدا کرد و هکرها گاهی اوقات آن‌ها را در عرض چند ساعت به سلاح تبدیل می‌کنند. بنابراین، اگر در بازه ماهانه اسکن می‌کنید، سازمان شما از نظر تئوری می‌تواند تا 29 روز در ماه در معرض خطر قرار گیرد.
جمع‌بندی
در این مطلب متوجه شدیم که استفاده از سیستم مدیریت آسیب‌پذیری ابری امریضروری است چرا که نقاط ضعف و نفوذ فضای ابری می‌توانند برای کسب‌وکار شما مشکل‌ساز شوند. برخی از مدیران برای اعمال طرح مدیریت آسیب‌پذیری ابری در سازمان خود، مردد هستند یا احساس نیاز نمی‌کنند اما استفاده از این سیستم، امنیت سیستم‌های ابری را بالا برده و اصلاحات لازم در نقاط آسیب‌پذیر را به خوبی انجام خواهد داد.