Tietoturva Nyt!
Pilvipalvelut ovat nykyään lähes jokaisen organisaation IT-infrastruktuuriin kuuluva osa. Niitä hyödynnetään erittäin kriittisissäkin organisaation toiminnoissa, joten pilvipalveluiden pääkäyttäjätunnusten turvallinen hallinta on erittäin tärkeää. Yhdenkin pääkäyttäjätunnuksen väärinkäyttö voi vaarantaa koko organisaation pilviympäristön ja pysäyttää liiketoiminnan. Tässä artikkelissa käymme läpi kolme yleisintä pilvipalvelua – Amazon Web Services (AWS), Microsoft Azure ja Google Cloud Platform (GCP) – ja kerromme, miten niiden pääkäyttäjätunnuksia tulisi suojata ja ylläpitää.
Mikä on pääkäyttäjätunnus?
Pääkäyttäjätili on tunnus, jolla pilvipalvelun instanssi (organisaatio tai tenantti) alun perin perustetaan. Sillä on täydet hallintaoikeudet koko kyseiseen pilviympäristöön, mikä tekee siitä samalla pilviympäristön riskialtteimman yksittäisen tunnuksen. Pääkäyttäjätunnuksien tarkoituksenmukainen hallinta vaikuttaa suoraan palveluiden käytettävyyteen, tietoturvaan ja organisaation kokonaisriskitasoon.
Pääkäyttäjätilillä voidaan luoda uusia käyttäjätunnuksia, sulkea koko ympäristö, kopioida kaikki tiedot tai aiheuttaa huomattavia laskutettavia kustannuksia. Pääkäyttäjätilillä voidaan yleensä esimerkiksi:
- Konfiguroida palveluita ja resursseja
- Hallita käyttäjä- ja ryhmäoikeuksia
- Tarkastella tai muokata kriittisiä asetuksia
- Suorittaa toimenpiteitä, jotka voivat vaikuttaa koko ympäristön toimintaan
Jokaisella pilvipalvelulla on yksi alkuperäinen, ympäristön luomisen yhteydessä luotu pääkäyttäjätili:
- AWS: root user
- Azure: Global Administrator
- GCP: Organization Owner / Super Admin
Pääkäyttäjätunnuksiin liittyvät riskit
Pääkäyttäjätunnuksen väärinkäyttö on merkittävä riski organisaation pilviympäristölle. Hyökkääjä voi päästä käsiksi koko organisaation dataan, mikä voi pahimmillaan johtaa tietomurtoihin ja tietovuotoihin. Virheelliset muutokset tai tahalliset toimenpiteet voivat myös keskeyttää palveluiden toiminnan ja vaikuttaa koko ympäristön saatavuuteen. Pääkäyttäjätunnuksen väärinkäyttö voi myös aiheuttaa merkittäviä kustannuksia, esimerkiksi uusien palveluiden luominen tai resurssien käyttö organisaation laskuun.
Lisäksi väärinkäytökset voivat johtaa sääntelyrikkomuksiin, kuten GDPR:n tai muiden sovellettavien määräysten rikkomiseen. Riskit korostuvat erityisesti pilvipalveluissa, joissa ympäristöt ovat verkon kautta saavutettavissa ja käyttöoikeudet laajoja.
On tärkeää huolehtia pääkäyttäjätunnusten hallinta kuntoon. Tunnuksen vääriin käsiin joutumisella on vakavat seuraukset. Tyypillisesti ainoa turvallinen tapa palautua on rakentaa pilviympäristö uudestaan. Siksi suosittelemme tarkistamaan pilviympäristöjen pääkäyttäjähallinnan tilanteen ja ryhtymään toimiin, jos aihetta ilmenee.
Parhaita käytäntöjä pääkäyttäjätunnusten hallintaan pilvipalveluissa
Käyttäjätunnusten hallinnassa keskeistä on vähimmän oikeuden periaate, eli käyttäjille annetaan vain ne oikeudet, jotka ovat välttämättömiä työn suorittamiseen. Pääkäyttäjätilejä ei tule koskaan käyttää päivittäisiin tehtäviin, ja hallintaoikeudet tulisi myöntää roolipohjaisesti ja mieluiten tilapäisesti, esimerkiksi Privileged Access Management -ratkaisujen avulla. Monivaiheinen tunnistautuminen (MFA) on asetettava pakolliseksi kaikille pääkäyttäjille, ja kirjautumisia on syytä suojata IP-osoiterajoituksin, sijaintipohjaisin säännöin sekä hallittujen päätelaitteiden avulla. Lisäksi kriittiset toimenpiteet tulee lokittaa ja valvoa.
Pääkäyttäjätunnukset tulee erottaa henkilökohtaisista tileistä siten, että hallintatiliä käytetään vain tarvittaessa. Organisaation on säännöllisesti tarkistettava aktiiviset pääkäyttäjätilit, roolien tarpeellisuus, käyttämättömät tilit sekä poikkeava toiminta. Säännölliset auditoinnit ja oikeuksien tarkistukset ovat olennainen osa turvallista hallintaa, ja ne auttavat varmistamaan pilviympäristön jatkuvan suojan ja toimintavarmuuden.
Alla on tarkistuslista parhaista käytännöistä.
Pilvipalvelukohtaiset suositukset
Tässä osiossa esitämme pilvipalvelukohtaisia suosituksia pääkäyttäjätunnusten hallintaan. Microsoft Azure, Amazon Web Services (AWS) ja Google Cloud Platform (GCP) ovat yleisimmin käytettyjä pilvialustoja. Niiden hallintamallit ja työkalut eroavat toisistaan. Alla käydään läpi kunkin palvelun erityispiirteet sekä parhaat käytännöt, joiden avulla pääkäyttäjätunnukset voidaan suojata, valvoa ja ylläpitää tehokkaasti.
On tärkeää huolehtia pääkäyttäjän tunnukset kuntoon. Tunnuksen vääriin käsiin joutumisella on vakavat seuraukset, sillä tyypillisesti ainoa turvallinen tapa palautua on rakentaa pilviympäristö uudestaan. Siksi suosittelemme kaikkia tarkistamaan pilviympäristöjensä tunnusten tilanteen, ja ryhtymään toimiin, jos aihetta on.