O braço de inteligência e pesquisas de ameaças Check Point Research (CPR), da Check Pointes, estabeleceu uma parceria com o provedor de serviços de computação em nuvem Microsoft Azure. O objetivo da iniciativa é quebrar um paradigma de mercado sobre o qual se supõe que as infraestruturas de nuvem são seguras. Os pesquisadores da Check Point observaram que as vulnerabilidades populares da nuvem se concentram, em sua maioria, na segurança dos aplicativos do cliente e não na infraestrutura do provedor de nuvem. Assim, realizaram uma pesquisa em duas partes cujos resultados mostraram vários vetores e vulnerabilidades de ataque encontrados nas plataformas Azure Stack e Azure.
O Azure Stack é um portfólio de produtos que estende os serviços e recursos do Azure a qualquer ambiente – do datacenter à borda de infraestruturas locais e escritórios remotos. O portfólio permite que aplicativos híbridos e de computação de ponta sejam construídos, implementados e executados de forma consistente por meio dos limites de localização, oferecendo opções e flexibilidade para atender diferentes cargas de trabalho e diversas necessidades organizacionais.
A equipe do Check Point Research demonstrou em sua pesquisa nas infraestruturas em nuvem Azure Stack e Azure como é possível obter capturas de tela e informações sobre tenants e máquinas na infraestrutura Azure Stack, usando uma cadeia de problemas encontrados nas plataformas. Também identificaram uma vulnerabilidade crítica no Serviço de Aplicativo do Azure, que é a plataforma que permite criar e hospedar aplicativos web, backends móveis e APIs em várias linguagens de programação, sem gerenciar a infraestrutura.
O impacto da exploração dessa vulnerabilidade pode comprometer a infraestrutura do serviço de aplicativos da Microsoft. No entanto, explorá-la especificamente em um plano Grátis/Compartilhado (que a Microsoft declarou publicamente ter) também pode permitir o comprometimento de outros aplicativos, dados e contas de tenants, quebrando assim o modelo de segurança do App Service (Serviço de Aplicativo).
A nuvem não é um lugar mágico. Apesar de sua percepção quase protegida, é eventualmente uma infraestrutura, um código que pode ter vulnerabilidades – exatamente como demonstrado pelos pesquisadores da Check Point e compartilhado com a equipe da Microsoft. O CPR dedica-se a aprimorar e desenvolver em direção a tecnologias e infraestruturas mais seguras e, geralmente, a valorizar a maior comunidade de inteligência.
As vulnerabilidades identificadas foram divulgadas e corrigidas pela Microsoft e atribuídas como CVE-2019-1372 e CVE-2019-1234. A Microsoft reconheceu que essas vulnerabilidades eram relevantes para os ambientes de Azure e a de Azure Stack.
Ao operar na nuvem, as empresas geralmente se comportam como se seus serviços estivessem hospedados atrás da segurança de seu gateway. Mas, é importante lembrar que, enquanto se está sentado dentro da empresa, seu dispositivo – usando sua conexão de Internet corporativa – está na verdade se comunicando com um serviço hospedado fora da organização. Os custos potenciais para as empresas são dramáticos – esquemas de phishing e vazamentos de dados custaram às marcas globais tanto em valor em dólares quanto em reputação.
