Tenable acaba de lanzar su 2024 Tenable Cloud Risk Report, donde examina los riesgos más críticos que se pueden encontrar en los entornos de nube modernos. Entre los datos destaca que casi cuatro de cada diez organizaciones se exponen a los niveles más altos debido a la “tríada tóxica de la nube”, que involucra cargas de trabajo en la nube expuestas públicamente, vulnerables y altamente privilegiadas. “Cada uno de estos desajustes por sí solo introduce un riesgo para los datos en la nube, pero la combinación de los tres eleva drásticamente la probabilidad de acceso a la exposición por parte de ciberatacantes”, explica la compañía.
El informe revela que el 38 % de las organizaciones tienen cargas de trabajo en la nube que cumplen con los tres criterios “y que cuando los actores maliciosos explotan estas exposiciones, los incidentes suelen incluir interrupciones de aplicaciones, tomas de control total del sistema y ataques DDoS que suelen estar asociados con ransomware”.
Por otra parte, la mayoría de las organizaciones (84,2 %) poseen claves de acceso sin usar o con permisos excesivos, lo que plantea un mayor riesgo de brecha de seguridad.
El análisis de Amazon Web Services (AWS), Google Cloud Platform (GCP) y Microsoft Azure revela que el 23 % de las identidades en la nube, tanto humanas como no humanas, tienen permisos excesivos críticos o de alta gravedad.
El informe pone de manifiesto que aún persisten vulnerabilidades críticas en la nube. Menciona de manera especial el CVE-2024-21626, una vulnerabilidad grave de escape de contenedores que podría provocar el compromiso del host del servidor, y que permaneció sin remediar en más del 80 % de las cargas de trabajo incluso 40 días después de su publicación.
El 74 % de las organizaciones han expuesto públicamente los activos de almacenamiento, incluidos aquellos en los que residen datos confidenciales. Además, el 78 % de las organizaciones tienen servidores API de Kubernetes de acceso público, de las que el 41 % también permite el acceso entrante a Internet.
Para Shai Morag, director de productos de Tenable, aunque el informe revela que una abrumadora cantidad de organizaciones tienen vulnerabilidades de acceso en sus cargas de trabajo en la nube de las que tal vez ni siquiera sean conscientes, “la buena noticia es que muchas de estas brechas de seguridad se pueden cerrar fácilmente una vez que se conocen y se exponen”.
