Home › Blog › Cloud misconfiguration: come gli hacker sfruttano gli errori

Cloud misconfiguration: come gli hacker sfruttano gli errori

Una cloud misconfiguration è un errore nelle impostazioni di un servizio cloud, per esempio un archivio pubblico per sbaglio o permessi troppo ampi, che permette a un attaccante di accedere a dati e risorse senza violare alcun software. È una delle cause più frequenti degli attacchi hacker al cloud, perché non serve un exploit sofisticato: basta trovare la porta lasciata aperta.

In questa guida vediamo come funzionano questi attacchi, quali sono gli errori più comuni e cosa può fare un'azienda per prevenirli.

Cos'è una cloud misconfiguration e perché è così pericolosa

Quando un'azienda usa servizi cloud, il provider protegge l'infrastruttura di base: data center, hardware, virtualizzazione. Tutto ciò che si configura sopra, cioè utenti, permessi, reti, archivi e applicazioni, resta sotto la responsabilità del cliente. Questo schema si chiama modello di responsabilità condivisa, ed è il punto in cui nascono molti problemi.

Il cloud rende facilissimo creare risorse in pochi minuti. Questa velocità è un vantaggio per i team, ma moltiplica le occasioni di sbagliare. Un'impostazione provvisoria usata per un test e mai ripristinata può restare online per mesi.

Il rischio è concreto perché gli attaccanti non devono "entrare" nel senso classico. Cercano servizi raggiungibili da internet, li provano con strumenti automatici e sfruttano ciò che trovano. Una misconfigurazione espone spesso dati sensibili, credenziali o accessi amministrativi.

Come gli hacker sfruttano gli errori di configurazione nel cloud

Gli attacchi seguono di solito uno schema ricorrente, simile alle fasi descritte nella kill chain di un attacco informatico: ricognizione, accesso iniziale, ampliamento dei privilegi, impatto.

Ricognizione automatizzata

Gli attaccanti usano scanner che cercano in continuazione indirizzi, nomi di archivi e servizi esposti. Basta un nome prevedibile, legato al brand dell'azienda, per individuare un archivio dati pubblico. Spesso questa fase richiede pochi minuti e nessuna competenza avanzata.

Accesso iniziale e movimento laterale

Una volta trovata una risorsa esposta, l'attaccante legge i dati disponibili. Spesso al loro interno trova altro: chiavi di accesso, file di configurazione, backup con password. Con una sola credenziale valida può entrare in altri servizi e muoversi nell'ambiente.

Escalation dei privilegi

Se un account ha permessi più ampi del necessario, l'attaccante può ottenere un controllo molto più esteso di quello iniziale. È una forma di privilege escalation: da un'identità con pochi diritti si arriva a creare utenti, leggere segreti o disattivare i log. In questo caso l'errore di configurazione sta nei ruoli troppo generosi, non in un bug del software.

Impatto finale

Le conseguenze vanno dal furto di dati alla cifratura dei sistemi da parte di gruppi ransomware, fino all'uso delle risorse cloud per attività illecite, con costi a carico dell'azienda. Per capire quanto pesano economicamente questi eventi, può essere utile la guida su quanto costa un attacco hacker a una PMI.

Le misconfigurazioni cloud più comuni

Ogni piattaforma ha le sue particolarità, ma gli errori ricorrenti sono pochi e riconoscibili:

• Archivi di dati pubblici: bucket o container di storage accessibili a chiunque, magari per condividere un file e poi dimenticati.
• Permessi IAM eccessivi: ruoli amministrativi assegnati a utenti o applicazioni che avrebbero bisogno di pochi diritti.
• Porte di gestione aperte a internet: accesso SSH, desktop remoto o database raggiungibili da qualsiasi indirizzo.
• Credenziali nel codice: chiavi di accesso salvate in repository, script o variabili di ambiente non protette.
• Autenticazione debole: mancanza dell'autenticazione a più fattori sugli account con privilegi, o password predefinite non cambiate.
• Log disattivati: senza registrazione degli eventi, un accesso illecito può passare inosservato per lungo tempo.
• Console e dashboard esposte: pannelli di amministrazione di container, orchestratori o strumenti interni raggiungibili senza protezione.
• Cifratura assente: dati e backup non cifrati, che rendono più grave qualsiasi accesso non autorizzato.

Alcuni di questi errori sono il bersaglio ideale di attacchi di forza bruta sulle credenziali; su questo tema trovi dettagli in come difendersi da un attacco brute force.

Differenza tra vulnerabilità e misconfigurazione

Spesso i due concetti vengono confusi. Una vulnerabilità è un difetto nel software o nel firmware, che può essere catalogato con un codice CVE e valutato con un punteggio CVSS. Si risolve con una patch del produttore. Per un approfondimento, vedi cosa sono le vulnerabilità informatiche e come vengono sfruttate.

Una cloud misconfiguration, invece, non è un difetto del prodotto ma una scelta o una dimenticanza di chi lo usa. Non esiste una patch: occorre correggere l'impostazione e, soprattutto, il processo che ha permesso l'errore. Di solito non ha un CVE, quindi gli scanner basati solo su database di vulnerabilità note non la trovano.

Per questo i due approcci si completano. Aggiornare i sistemi è necessario, ma non basta se i permessi sono sbagliati. Per la parte di aggiornamenti, la guida al processo di gestione delle vulnerabilità chiarisce come impostarla.

Come prevenire una cloud misconfiguration

Non esiste una soluzione unica, ma un insieme di buone pratiche che riduce molto la probabilità di errore. Un percorso sensato può essere questo:

1. Fai un inventario delle risorse. Non si protegge ciò che non si conosce: account, progetti, archivi, macchine e servizi dimenticati vanno censiti.
2. Applica il principio del minimo privilegio. Ogni utente e applicazione riceve solo i permessi che servono, e li rivede periodicamente.
3. Attiva l'autenticazione a più fattori. Soprattutto sugli account amministrativi e su quelli che gestiscono la fatturazione.
4. Blocca l'esposizione pubblica per impostazione predefinita. Rendi pubblico un archivio solo con una decisione esplicita e motivata.
5. Gestisci i segreti in modo corretto. Usa i servizi dedicati del provider e verifica che chiavi e password non finiscano nel codice.
6. Controlla le configurazioni in modo continuo. Gli strumenti di Cloud Security Posture Management confrontano l'ambiente con regole e standard di riferimento e segnalano le deviazioni.
7. Verifica anche il codice dell'infrastruttura. Se usi template o Infrastructure as Code, analizzali prima del rilascio, così l'errore non arriva in produzione.
8. Attiva log e allarmi. Registra le azioni amministrative e definisci chi riceve le segnalazioni e come reagisce.

Le applicazioni ospitate nel cloud portano con sé altri rischi oltre alla configurazione; conviene considerarli insieme a quelli descritti nella guida alle vulnerabilità delle applicazioni web OWASP Top 10.

Come verificare la propria esposizione nel cloud

I controlli automatici sono un buon punto di partenza, ma non vedono tutto. Alcune combinazioni di errori diventano pericolose solo se messe in fila: un permesso eccessivo da solo può sembrare innocuo, ma insieme a una chiave esposta apre la strada a un controllo completo.

Per questo molte aziende affiancano alle scansioni un test condotto da professionisti, che riproduce il ragionamento di un attaccante. Un pentest sull'ambiente cloud mostra quali percorsi reali portano ai dati critici e quali correzioni hanno la priorità. Le organizzazioni più mature possono spingersi oltre con il red teaming, cioè una simulazione di attacco più ampia e meno vincolata, che mette alla prova anche la capacità di rilevamento e risposta.

Prima di commissionare un test, conviene definire con chiarezza perimetro, account coinvolti e regole d'ingaggio, anche per rispettare i termini d'uso del provider. Se una società di servizi ti propone una verifica, chiedi come verranno gestite queste condizioni e quale report riceverai.

Conclusioni

La cloud misconfiguration non è un problema "da grandi aziende": riguarda chiunque usi servizi cloud, a prescindere dalle dimensioni. La buona notizia è che, a differenza di molte vulnerabilità del software, dipende da scelte che l'azienda può controllare: inventario, permessi minimi, esposizione ridotta, monitoraggio continuo e verifiche periodiche.

Se vuoi capire quanto è esposto il tuo ambiente, puoi partire da una valutazione delle vulnerabilità per le aziende di Milano o contattare il team di Fred for Security per discutere le tue esigenze e capire quale tipo di verifica sia più adatto alla tua situazione.

Domande frequenti