Pembunuhan di awan Amazon

Code Spaces adalah perusahaan yang menawarkan repositori kode sumber pengembang dan layanan manajemen proyek menggunakan Git atau Subversion, di antara opsi lainnya. Sudah berlangsung selama tujuh tahun, dan tidak ada kekurangan pelanggan. Tapi semuanya sudah berakhir sekarang - perusahaan pada dasarnya dibunuh oleh seorang penyerang.

Kami berbicara tentang keamanan, cadangan, dan terutama cloud, tetapi sulit untuk mengukur sebagian besar upaya yang kami lakukan, terutama terkait dengan masalah anggaran. Kita dapat memperkuat tembok kita sebaik mungkin dengan sumber daya yang kita miliki, dan dalam sebagian besar kasus, itu sudah cukup. Terkadang, bagaimanapun, itu tidak akan cukup.

[Pelajari cara sangat mengurangi ancaman serangan jahat dengan laporan khusus PDF Deep Dive Insider Threat. | Ikuti perkembangan keamanan terkini dengan buletin Pusat Keamanan. ]

Code Spaces sebagian besar dibuat di AWS, menggunakan penyimpanan dan instans server untuk menyediakan layanannya. Instance server tersebut tidak diretas, juga database Code Spaces tidak disusupi atau dicuri. Menurut pesan di situs web Code Spaces, seorang penyerang mendapatkan akses ke panel kontrol AWS perusahaan dan meminta uang sebagai imbalan untuk melepaskan kontrol kembali ke Code Spaces. Ketika Code Spaces tidak mematuhi dan mencoba untuk mengambil kembali kendali atas layanannya sendiri, penyerang mulai menghapus sumber daya. Seperti pesan di situs web berbunyi: "Kami akhirnya berhasil mendapatkan akses panel kami kembali tetapi tidak sebelum dia menghapus semua snapshot EBS, bucket S3, semua AMI, beberapa instance EBS, dan beberapa instance mesin."

Serangan tersebut secara efektif menghancurkan Ruang Kode. Ini adalah perbandingan langsung dengan seseorang yang membobol gedung perkantoran pada larut malam, meminta uang tebusan, kemudian melemparkan granat ke pusat data jika tuntutan itu tidak dipenuhi. Satu-satunya perbedaan adalah jauh lebih mudah untuk menembus platform berbasis cloud daripada menembus pusat data perusahaan secara fisik.

Saya yakin skenario ini tidak pernah terpikir oleh orang-orang malang di Code Spaces. Kemungkinan besar mereka menjaga langkah-langkah keamanan mereka, memastikan bahwa keamanan server mereka ketat, dan mengandalkan Amazon untuk sebagian besar infrastruktur mereka - tidak seperti ribuan perusahaan lain. Namun serangan yang menyebabkan Code Spaces berada di bawah itu semudah mendapatkan akses ke panel kontrol AWS-nya. Semua keamanan di dunia tidak penting ketika ancaman datang dari dalam, dan tampaknya itulah yang terjadi di sini.

Code Spaces telah mereplikasi layanan dan cadangan, tetapi semuanya tampaknya dapat dikontrol dari panel yang sama dan, dengan demikian, dihancurkan dengan cepat. Perusahaan mengatakan bahwa beberapa data masih tersisa, dan bekerja dengan pelanggan sebaik mungkin untuk menyediakan akses ke apa yang tersisa.

Ini adalah jenis cerita yang seharusnya membuat kita semua terpukul, karena itu pasti bisa terjadi pada Anda dan saya. Ini tentunya memperkuat gagasan bahwa pemisahan layanan adalah hal yang baik.

Jika Anda menjalankan layanan cloud, mungkin Anda harus menggunakan beberapa vendor berbeda. Anda harus menyebarkan layanan Anda di beberapa lokasi geografis, jika memungkinkan, dan menghabiskan beberapa uang ekstra di sana-sini untuk langkah-langkah keamanan di luar pencitraan contoh server sederhana. Anda pasti harus memiliki cadangan di luar situs - ini tidak dapat dinegosiasikan - meskipun itu akan menjadi biaya yang signifikan ketika semua yang lain berjalan di cloud.

Waktu yang tepat bagi vendor backup cloud pihak ketiga untuk memulai pengeras suara mereka. Kisah yang sangat menyedihkan ini seharusnya membuat mereka mendapatkan lebih dari beberapa pelanggan.

Kepada orang-orang di belakang Code Spaces yang tidak diragukan lagi masih terhuyung-huyung karena serangan tidak beralasan ini, saya turut berbela sungkawa. Satu harapan bahwa orang-orang di balik malapetaka seperti ini akan dibawa ke pengadilan, meskipun tampaknya tidak mungkin. Semoga Anda sedikit terhibur karena mengetahui bahwa kemalangan Anda mungkin membantu orang lain menghindari nasib serupa. Kenyamanan kecil, saya tahu.

Kisah ini, "Pembunuhan di awan Amazon," awalnya diterbitkan di .com. Baca lebih lanjut blog The Deep End milik Paul Venezia di .com. Untuk berita teknologi bisnis terbaru, ikuti .com di Twitter.