Fejlkonfiguration i skyen

De tilbagevendende typer er velkendte. Eksponeret lager: en S3-bucketpolitik med Principal "*", en ACL, der giver AllUsers adgang, anonym blob-adgang i Azure Storage eller en binding i Google Cloud Storage til allUsers eller allAuthenticatedUsers (sidstnævnte betyder enhver Google-konto overhovedet, ikke "vores brugere", en klassisk misforståelse). Eksponeret netværk: security groups, der tillader 0.0.0.0/0 på SSH, RDP eller databaseporte, managed databaser med offentlige endpoints, Kubernetes API-servere eller dashboards åbne mod internettet. Identitet: IAM-politikker med wildcards, daglig brug af root-kontoen, langlivede adgangsnøgler. Synlighed: revisionslog, adgangslogs på lager eller flow logs slået fra. OWASP placerer den webvendte variant under A02:2025 Security Misconfiguration, og MITRE ATT&CK beskriver udnyttelsen som T1530 Data from Cloud Storage.

Fejlkonfigurationer er så almindelige, fordi kontrolplanet lader mange principals ændre sikkerhedsrelevante indstillinger på sekunder, standardværdierne varierer mellem tjenester, og den faktiske tilstand glider væk fra den infrastructure as code, der angiveligt definerer den, gennem ændringer i konsollen og nødrettelser, der aldrig rulles tilbage. Udbyderne har strammet standarderne: S3 Block Public Access kom i 2018, og siden april 2023 har nye buckets Block Public Access slået til og ACL'er slået fra som standard. Capital One-bruddet i 2019 viser, hvordan fejl kædes sammen: en fejlkonfigureret web application firewall på EC2 muliggjorde SSRF mod instansens metadata-tjeneste (IMDSv1), som udleverede loginoplysninger til en rolle, der var bred nok til at liste og kopiere S3-data om omkring 100 millioner personer. IMDSv2, hvor der kræves et sessionstoken hentet med PUT, kom senere samme år som direkte modtræk.

Forebyggelse virker tre steder. Før udrulning tjekker policy-as-code-scannere som Checkov, Trivy eller OPA/Conftest Terraform- og Kubernetes-manifester i pipelinen. På organisationsniveau blokerer forebyggende guardrails hele fejlklasser: service control policies i AWS, Azure Policy med deny-effekt og organisationspolitikker i Google Cloud som storage.publicAccessPrevention. Under drift evaluerer cloud security posture management (AWS Config og Security Hub, Microsoft Defender for Cloud, Google Security Command Center eller tredjeparts-CSPM) løbende de faktiske ressourcer mod CIS Foundations Benchmarks og markerer afvigelser.

En fejlkonfiguration er ikke en CVE: der findes ingen patch fra leverandøren, for softwaren virker som designet, og svagheden ligger på kundens side af modellen for delt ansvar. Er personoplysninger blevet eksponeret, er det efter databeskyttelsesforordningens art. 4, nr. 12, et brud på persondatasikkerheden, også uden bevis for adgang, og art. 33, stk. 1, kræver anmeldelse til Datatilsynet inden for 72 timer, medmindre bruddet sandsynligvis ikke indebærer en risiko. Har adgangslogning været slået fra, kan den dataansvarlige som regel ikke dokumentere, at ingen har hentet data, hvilket trækker vurderingen i retning af anmeldelse.