CSPM से परे: क्लाउड डेटा सुरक्षा अंतर को पाटना

क्लाउड सिक्योरिटी पोस्चर मैनेजमेंट (सीएसपीएम) क्लाउड की गलत कॉन्फ़िगरेशन, पॉलिसी में बदलाव और असुरक्षित कंट्रोल-प्लेन सेटिंग्स की पहचान करने के लिए एक मूलभूत नियंत्रण बन गया है, लेकिन यह उन सभी डेटा-केंद्रित सवालों का समाधान नहीं करता है जिनका जवाब सुरक्षा टीमों को चाहिए होता है।

CSPM को क्लाउड वातावरणों में स्थिति का आकलन करने और विचलन का पता लगाने के लिए स्वचालित रूप से डिज़ाइन किया गया है। यह AWS, Azure, Google Cloud और अन्य IaaS प्लेटफ़ॉर्मों पर असुरक्षित सेवाओं, अति-विशेषाधिकार प्राप्त IAM भूमिकाओं, एन्क्रिप्टेड स्टोरेज की कमी, सार्वजनिक स्नैपशॉट और नीति उल्लंघनों की पहचान कर सकता है। यह क्षमता अत्यंत आवश्यक है। वेरिज़ोन की DBIR रिपोर्टिंग से लगातार पता चलता है कि त्रुटियाँ और गलत कॉन्फ़िगरेशन सुरक्षा उल्लंघनों के महत्वपूर्ण कारक बने हुए हैं; 2024 DBIR इन्फोग्राफिक ने बताया कि त्रुटियों के कारण 28% सुरक्षा उल्लंघन हुए, जिनमें गलत कॉन्फ़िगरेशन एक आम त्रुटि पैटर्न था।

लेकिन पारंपरिक CSPM उपकरण बुनियादी ढांचे के विन्यास और नियंत्रण-तल की सुरक्षा पर ध्यान केंद्रित करते हैं, न कि डेटा की सामग्री या संवेदनशीलता पर। वे इस बात की गहराई से जांच नहीं करते कि डेटा संसाधनों में क्या शामिल है, वह डेटा कितना संवेदनशील है, या विभिन्न पहुंच मार्गों के माध्यम से वास्तव में कौन उस तक पहुंच सकता है। एक स्टोरेज बकेट विन्यास के दृष्टिकोण से अनुपालनशील हो सकता है, लेकिन फिर भी अत्यधिक साझा पहुंच अनुमतियों या बाहरी लिंक के माध्यम से ग्राहक रिकॉर्ड को उजागर कर सकता है।

यह अंतर महत्वपूर्ण है क्योंकि क्लाउड डेटा जोखिम केवल स्पष्ट गलत कॉन्फ़िगरेशन तक सीमित नहीं है। कई क्लाउड हमलों में तकनीकी कॉन्फ़िगरेशन त्रुटियों के अलावा, गोपनीय क्रेडेंशियल्स का दुरुपयोग और वैध खातों का गलत इस्तेमाल भी शामिल होता है। MITRE ATT&CK उन तकनीकों का दस्तावेजीकरण करता है जिनमें हमलावर वैध क्लाउड खातों का उपयोग करके संसाधनों तक पहुँच प्राप्त करते हैं और डेटा को क्लाउड स्टोरेज में स्थानांतरित करते हैं। ऐसे परिदृश्यों में, बुनियादी ढांचा सही ढंग से कॉन्फ़िगर किया हुआ प्रतीत हो सकता है जबकि डेटा असुरक्षित रहता है। स्रोत: https://attack.mitre.org/

क्लाउड डेटा सुरक्षा स्थिति के लिए यह जानना आवश्यक है कि संवेदनशील डेटा कहाँ संग्रहीत है, यह कैसे स्थानांतरित होता है, इस तक कौन पहुँच सकता है और समय के साथ इसका जोखिम कैसे बदलता है। इसका अर्थ है कि केवल स्थिति की जाँच से आगे बढ़कर खोज, वर्गीकरण, जोखिम विश्लेषण और क्लाउड और SaaS वातावरणों में निरंतर निगरानी करना – ये क्षमताएँ एक व्यापक डेटा सुरक्षा स्थिति प्रबंधन ( DSPM ) दृष्टिकोण को परिभाषित करती हैं।

CSPM की खूबियाँ

CSPM क्लाउड इन्फ्रास्ट्रक्चर से जुड़ी उन समस्याओं का पता लगाने में माहिर है जो कंट्रोल-प्लेन स्तर पर जोखिम पैदा करती हैं। यह बेसलाइन और अनुपालन फ्रेमवर्क के आधार पर क्लाउड कॉन्फ़िगरेशन की लगातार निगरानी करता है। यह निम्नलिखित जैसी समस्याओं को उजागर कर सकता है:

• सार्वजनिक रूप से सुलभ भंडारण

• अत्यधिक विशेषाधिकार प्राप्त भूमिकाएँ और अत्यधिक अनुमतियाँ

• एन्क्रिप्टेड संसाधन नहीं हैं / एन्क्रिप्शन अक्षम है

• खुले सुरक्षा समूह और उजागर सेवाएं/डेटाबेस

• आंतरिक नीति या नियामक आवश्यकताओं का उल्लंघन

क्लाउड टीमों के लिए, यह पारदर्शिता बहुत महत्वपूर्ण है। इससे सुरक्षा संबंधी कमियों को पहचानने, नीतियों को लागू करने और कॉन्फ़िगरेशन में बदलाव के कारण होने वाले सामान्य जोखिमों को कम करने में मदद मिलती है। साथ ही, यह कई क्लाउड प्रदाताओं में बार-बार जांच करने की सुविधा भी प्रदान करता है, जिसे बड़े पैमाने पर मैन्युअल रूप से करना मुश्किल है।

जहां सीएसपीएम की कमियां हैं

सीमा इसका दायरा है। CSPM वातावरण को मान्य करता है, लेकिन यह आपको यह नहीं बताता कि वातावरण में क्या शामिल है।

एक बकेट सभी कॉन्फ़िगरेशन नियंत्रणों को पास कर सकता है, फिर भी उसमें विनियमित डेटा हो सकता है। एक सहयोगात्मक कार्यक्षेत्र स्वीकृत सेटिंग्स का पालन कर सकता है, जबकि एक संवेदनशील फ़ाइल को बहुत व्यापक रूप से साझा किया जा सकता है। एक क्लाउड डेटाबेस को नेटवर्क स्तर पर सुरक्षित किया जा सकता है, जबकि एप्लिकेशन उपयोगकर्ता, सेवा खाते या विरासत में मिली अनुमतियाँ अप्रत्याशित जोखिम पैदा कर सकती हैं।

इसीलिए CSPM अकेले उन सवालों का जवाब नहीं दे सकता जिनकी सुरक्षा टीमों को सबसे ज्यादा परवाह होती है:

• संवेदनशील डेटा कहाँ स्थित है?

• यह किस प्रकार का डेटा है?

• इसे कौन-कौन इस्तेमाल कर सकता है?

• इसे कैसे साझा किया जा रहा है?

• किन जोखिमों से व्यवसाय को सबसे अधिक खतरा होता है?

पारंपरिक CSPM में क्रॉस-प्लेटफ़ॉर्म डेटा प्रवाह की सीमित जानकारी होती है। आपके AWS वातावरण को सुरक्षित करने वाले टूल को शायद यह पता न हो कि AWS और Microsoft 365, Salesforce या अन्य क्लाउड सेवाओं के बीच डेटा कैसे स्थानांतरित होता है। यह व्यक्तिगत क्लाउड स्टोरेज, अनधिकृत SaaS उपयोग या बाहरी सहयोग टूल में निर्यात के माध्यम से बनाए गए शैडो रिपॉजिटरी को भी पहचानने में विफल हो सकता है।

डेटा संदर्भ प्राथमिकता निर्धारण को क्यों प्रभावित करता है?

सुरक्षा टीमों को बड़ी मात्रा में जोखिम संबंधी निष्कर्षों का सामना करना पड़ सकता है, लेकिन डेटा संदर्भ के बिना उन्हें सबसे अधिक प्रभाव डालने वाले जोखिमों को प्राथमिकता देने में कठिनाई हो सकती है। कृत्रिम डेटा वाले कम जोखिम वाले परीक्षण वातावरण को ग्राहक वित्तीय रिकॉर्ड वाले उत्पादन सिस्टम के समान तत्परता नहीं मिलनी चाहिए।

यही अंतर डेटा-जागरूक दृश्यता के महत्व को दर्शाता है। यह महत्वपूर्ण तकनीकी मुद्दों को उन मुद्दों से अलग करने में मदद करता है जो वास्तव में व्यवसाय के लिए गंभीर हैं। सार्वजनिक भंडारण संबंधी चेतावनी गंभीर होती है, लेकिन यदि परिसंपत्ति में कोई संवेदनशील जानकारी नहीं है, तो प्रतिक्रिया विनियमित रिकॉर्ड या बौद्धिक संपदा वाले समान रूप से उजागर भंडार से भिन्न हो सकती है।

एक्सेस गवर्नेंस एक और अनदेखा पहलू है। CSPM यह तो प्रमाणित कर सकता है कि व्यापक इंफ्रास्ट्रक्चर नीतियां लागू हैं, लेकिन यह पूरी तरह से यह नहीं दर्शाता कि समूहों, ऐप अनुमतियों, साझा संसाधनों, टोकन-आधारित एक्सेस या तृतीय-पक्ष एकीकरणों के माध्यम से एक्सेस कैसे एकत्रित होता है। समय के साथ, ये संबंध ऐसे जोखिम पैदा कर सकते हैं जिन्हें बुनियादी जांच से पता नहीं चलता।

डेटा सुरक्षा स्थिति प्रबंधन (DSPM) से क्या लाभ होता है?

डेटा सुरक्षा स्थिति प्रबंधन (DSPM) बुनियादी ढांचे से लेकर डेटा तक दृश्यता का विस्तार करता है। यह संवेदनशील जानकारी की खोज, उसका वर्गीकरण, उसके उजागर होने के तरीके को समझना और उस उजागर होने में होने वाले परिवर्तनों की निगरानी पर केंद्रित है।

डेटा सुरक्षा प्रबंधन को सुदृढ़ बनाने की शुरुआत क्लाउड और SaaS प्रणालियों में व्यापक खोज से होती है। इसमें यह पहचानना आवश्यक है कि डेटा कहाँ मौजूद है, चाहे वह क्लाउड स्टोरेज में हो, सहयोग उपकरणों में हो, या स्वीकृत और अनधिकृत अनुप्रयोगों में हो।

इसके बाद, वर्गीकरण से व्यावसायिक संदर्भ जुड़ जाता है। केवल सामग्री का निरीक्षण करना पर्याप्त नहीं है; डेटा को संवेदनशीलता और प्रभाव के संदर्भ में समझना आवश्यक है। इसका अर्थ है सामान्य फाइलों और विनियमित अभिलेखों जैसे कि व्यक्तिगत पहचान योग्य जानकारी (PII), सार्वजनिक सुरक्षा सूचना (PCI) डेटा, वित्तीय दस्तावेज़ या बौद्धिक संपदा के बीच अंतर करना।

इसके बाद एक्सपोज़र विश्लेषण उन तरीकों का पता लगाता है जिनसे डेटा तक पहुँचा जा सकता है। इसमें अनुमतियाँ, शेयरिंग सेटिंग्स, बाहरी लिंक, वंशानुगत समूह पहुँच, API एक्सपोज़र, एकीकरण और उपयोगकर्ता व्यवहार शामिल हैं। यह इस बात पर भी विचार करता है कि कोई हमलावर खाता हैक करके या विशेषाधिकार बढ़ाकर डेटा तक कैसे पहुँच सकता है।

अंततः, निरंतर निगरानी यह सुनिश्चित करती है कि डेटा की आवाजाही, साझाकरण और पहुंच में होने वाले परिवर्तनों का पता लगते ही चल जाए। क्लाउड वातावरण में, टीमों के सहयोग, स्वचालन और नई सेवाओं को जोड़ने के कारण जोखिम तेजी से बदल सकता है।

CSPM और DSPM एक दूसरे के पूरक हैं।

CSPM और DSPM एक दूसरे के विकल्प नहीं हैं। वे अलग-अलग समस्याओं का समाधान करते हैं और साथ मिलकर सबसे अच्छा काम करते हैं।

CSPM बुनियादी ढांचे की सुरक्षा करता है। यह बताता है कि क्लाउड संसाधन सही ढंग से कॉन्फ़िगर किए गए हैं या नहीं और बुनियादी नियंत्रण लागू हैं या नहीं। DSPM डेटा परत में पारदर्शिता बढ़ाता है। यह बताता है कि कौन सा संवेदनशील डेटा मौजूद है, वह कहाँ संग्रहीत है, कौन उस तक पहुँच सकता है और वह कैसे उजागर हो सकता है।

यह संयुक्त दृष्टिकोण सुरक्षा टीमों को बुनियादी ढांचे और डेटा दोनों से संबंधित प्रश्नों का अधिक संपूर्ण उत्तर प्रदान करता है। यह जोखिम को बेहतर ढंग से प्राथमिकता देने में भी सहायक होता है, क्योंकि टीम किसी गलत कॉन्फ़िगरेशन को उन संपत्तियों और डेटा से जोड़ सकती है जिन पर इसका वास्तव में प्रभाव पड़ता है।

वे संगठन जो एकीकृत प्लेटफार्मों का उपयोग करते हैं, जैसे कि Skyhigh Security व्यापक Security Service Edge (एसएसई) समाधान, क्लाउड डेटा/डेटा जोखिम प्रबंधन के संपूर्ण स्पेक्ट्रम को संबोधित करने के लिए बुनियादी ढांचे और डेटा-केंद्रित दृश्यता दोनों को एकीकृत कर सकता है।

व्यावहारिक उदाहरण

मान लीजिए कि एक डेवलपमेंट टीम सहयोग के लिए सोर्स कोड को क्लाउड स्टोरेज में एक्सपोर्ट करती है। CSPM से पता चल सकता है कि स्टोरेज अकाउंट एन्क्रिप्टेड, प्राइवेट और बुनियादी नीतियों के अनुरूप है। इंफ्रास्ट्रक्चर के दृष्टिकोण से यह स्वीकार्य लगता है।

लेकिन डेटा-आधारित दृश्यता एक अलग तस्वीर पेश कर सकती है। रिपॉजिटरी में मालिकाना एल्गोरिदम, पुराने ठेकेदार एक्सेस या ऐसे साझा लिंक हो सकते हैं जिन्हें कभी रद्द नहीं किया गया। ऐसे में, खतरा केवल क्लाउड सेटिंग का नहीं होता। बल्कि सेटिंग, सामग्री और एक्सेस पथ का संयोजन ही खतरा बन जाता है।

SaaS सहयोग उपकरणों के मामले में भी यही बात लागू होती है। फ़ाइलें स्वीकृत अनुप्रयोगों में संग्रहीत की जा सकती हैं, फिर भी बाहरी पक्षों के साथ साझा की जा सकती हैं, समूह सदस्यता के माध्यम से प्राप्त की जा सकती हैं, या कनेक्टेड ऐप्स और API एकीकरण के माध्यम से सुलभ हो सकती हैं। CSPM इन डेटा-साझाकरण संबंधों का विस्तृत विश्लेषण करने के लिए डिज़ाइन नहीं किया गया है।

आधुनिक क्लाउड प्रोग्रामों को दोनों दृष्टिकोणों की आवश्यकता क्यों है?

क्लाउड के उपयोग में वृद्धि के साथ, संवेदनशील डेटा अधिक सेवाओं, पहचानों और सहयोग चैनलों में फैलता है। अवसंरचना नियंत्रण आवश्यक बने हुए हैं, लेकिन वे अब अपने आप में पर्याप्त नहीं हैं।

एक परिपक्व क्लाउड सुरक्षा प्रणाली के लिए कंट्रोल प्लेन और डेटा प्लेन दोनों में एकीकृत दृश्यता आवश्यक है। इसका अर्थ है कि संवेदनशील सामग्री का पता लगाने, जोखिम का आकलन करने और जोखिम-आधारित प्रतिक्रिया का समर्थन करने वाली डेटा-केंद्रित क्षमताओं के साथ CSPM को जोड़ना।

इन दृष्टिकोणों को मिलाकर काम करने वाले संगठन निम्नलिखित जैसे प्रश्नों के बेहतर उत्तर दे सकते हैं:

• क्या क्लाउड संसाधन सुरक्षित रूप से कॉन्फ़िगर किया गया है?

• क्या इसमें संवेदनशील डेटा शामिल है?

• क्या सही लोगों को इसकी जानकारी मिल सकती है?

• क्या यह साझाकरण, एकीकरण या बाहरी लिंक के माध्यम से उजागर होता है?

• किन समस्याओं का समाधान सबसे पहले किया जाना चाहिए?

ये प्रश्न एक सुरक्षित कॉन्फ़िगरेशन और एक सुरक्षित डेटा स्थिति के बीच अंतर को परिभाषित करते हैं।