Porzucone maszyny wirtualne w chmurze. Ciche ryzyko, które umyka zespołom IT

Chmura obliczeniowa od lat ułatwia firmom uruchamianie nowych zasobów w kilka chwil. Ta wygoda ma jednak ciemną stronę – niekontrolowany rozrost maszyn wirtualnych, które po pewnym czasie przestają być monitorowane i aktualizowane. Problem narasta, a jego konsekwencje mogą być poważne: od wycieków danych po przejęcie kontroli nad środowiskiem IT. W tym artykule wyjaśniamy, na czym polega zjawisko porzuconych VM, jakie niesie zagrożenia i jak można mu przeciwdziałać.

Czym jest VM sprawl i dlaczego stanowi problem?

VM sprawl, czyli niekontrolowany rozrost maszyn wirtualnych, to sytuacja, w której w organizacji przybywa instancji w chmurze, ale proces ich wyłączania i usuwania nie nadąża za tempem tworzenia. Jak opisuje raport ESET na temat bezpieczeństwa maszyn wirtualnych, w wielu firmach, zwłaszcza korzystających z kilku dostawców chmury (AWS, Azure, GCP), prowadzi to do gromadzenia się zasobów znajdujących się poza kontrolą zespołów bezpieczeństwa. Dostawcy chmury zapewniają podstawową ochronę, ale bieżące zabezpieczenie instancji leży po stronie klienta.

Porzucone maszyny wirtualne często nie otrzymują aktualizacji systemu operacyjnego. Co gorsza, są zwykle niemontorowane i podlegają politykom dostępu, które nie były zmieniane od momentu ich utworzenia. Według przytaczanych w raporcie danych, jedynie około 23% organizacji deklaruje pełny wgląd w swój cloud footprint. Oznacza to, że znaczna część firm nie zdaje sobie sprawy z tego, jakie zasoby faktycznie posiada w chmurze.

Jak porzucone VM stają się wektorem ataku?

Zapomniana maszyna wirtualna to nie tylko „zbierający kurz” zasób. Każda instancja w chmurze posiada tożsamość, która określa, do czego ma dostęp. Atakujący, który przejmie kontrolę nad taką maszyną, może wykorzystać jej uprawnienia do przemieszczania się w sieci wewnętrznej (tzw. ruch east-west) i dotarcia do innych systemów, w tym baz danych czy magazynów plików.

Jak wskazuje raport Cloud Security Alliance (CSA) cytowany przez ESET, największym zagrożeniem dla zasobów w chmurze są błędne konfiguracje i nieodpowiednia kontrola zmian, a zaraz za nimi plasują się słabości w zarządzaniu tożsamością i dostępem (IAM). To właśnie tożsamości przypisane do maszyn wirtualnych stanowią słaby punkt – często mają one zbyt szerokie uprawnienia, ponieważ ich precyzyjne ograniczenie wymaga czasu, którego zespołom IT brakuje.

W środowiskach hybrydowych, gdzie lokalne Active Directory jest synchronizowane z chmurą (np. Entra ID), zagrożenie rośnie. Kompromitacja VM w Azure może umożliwić atakującemu dostęp do zasobów on-prem, takich jak udziały plikowe czy aplikacje biznesowe. Przykłady takich ataków nie są rzadkością – w jednym z opisanych przypadków napastnicy przemieszczali się między instancjami EC2 na AWS za pomocą wewnętrznego protokołu RDP, gromadząc setki gigabajtów wykradzionych danych, a następnie uruchamiając ransomware.

Dlaczego standardowe zabezpieczenia nie wystarczają?

Tradycyjne narzędzia bezpieczeństwa często nie radzą sobie z wykrywaniem nadużyć związanych z tożsamościami maszyn wirtualnych. Atakujący działający z poziomu przejętej instancji może korzystać z jej tożsamości, by uzyskać dostęp do chmurowych zasobów – a to, z punktu widzenia VM, może wyglądać jak normalna aktywność. Aby wykryć taki scenariusz, konieczna jest korelacja zdarzeń zachodzących na samej maszynie z tym, co jej tożsamość robi w szerszym środowisku. Wymaga to integracji narzędzi bezpieczeństwa z rozwiązaniami do zarządzania tożsamościami, takimi jak Entra ID czy Active Directory.

Kluczowa jest też szybkość reakcji. Jak pokazują dane z raportu IBM, 30% naruszeń bezpieczeństwa dotyczy danych rozproszonych w wielu środowiskach, a znaczna część kosztów wynika z długiego czasu między infiltracją a wykryciem (dwell time). Organizacje, które nie widzą, co dzieje się w ich środowisku, często dowiadują się o ataku od zewnątrz – na przykład od klienta.

Co mogą zrobić polskie firmy?

Problem VM sprawl nie jest nowy, ale w obliczu rosnących wymogów regulacyjnych, takich jak NIS2, zyskuje na znaczeniu. Przepisy te nakładają na firmy obowiązek stosowania odpowiednich zabezpieczeń technicznych i organizacyjnych. Zaniedbania w zakresie zarządzania tożsamościami i konfiguracją zasobów chmurowych mogą skutkować nie tylko incydentem, ale też poważnymi sankcjami.

Oto kilka praktycznych kroków, które można podjąć już dziś:

• Inwentaryzacja zasobów chmurowych. Regularne skanowanie i katalogowanie wszystkich maszyn wirtualnych, ich konfiguracji i przypisanych uprawnień.
• Automatyzacja zarządzania cyklem życia VM. Wprowadzenie zasad, które wymuszają wyłączanie i usuwanie nieużywanych instancji, np. poprzez znaczniki (tagi) określające cel i datę ważności.
• Stosowanie zasady najmniejszych uprawnień. Każda tożsamość maszyny wirtualnej powinna mieć dostęp tylko do tych zasobów, które są jej niezbędne do działania.
• Segmentacja sieci i monitoring. Mikrosegmentacja ruchu wewnętrznego oraz narzędzia do wykrywania anomalii behawioralnych, które potrafią skorelować aktywność VM z działaniami jej tożsamości.
• Regularne przeglądy bezpieczeństwa. Włączanie skanowania VM do rutynowych audytów zgodności z politykami bezpieczeństwa.

Porzucone maszyny wirtualne to ciche ryzyko, które w każdej chwili może przerodzić się w poważny incydent. Im szybciej firma zidentyfikuje skalę problemu i wdroży odpowiednie kontrole, tym mniejsze prawdopodobieństwo, że zapomniana instancja stanie się furtką dla atakującego. Warto traktować zarządzanie VM nie jako jednorazowe zadanie, ale jako ciągły proces, który wymaga uwagi na co dzień.