ARK. 1Słownik pojęćChmura, kontenery i łańcuch dostaw
błędna konfiguracja chmury
Pozostawienie zasobu chmurowego — bucketu na pliki, bazy danych czy uprawnień IAM — w ustawieniach udostępniających go publicznie lub szerzej, niż wymaga tego działanie usługi.
TAB. 1Nazwapo polsku
| Po angielsku | cloud misconfiguration |
|---|---|
| Po polsku | błędna konfiguracja chmury |
| Którą formą pisać | po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie. |
| Inne formy | błąd konfiguracyjny w chmurze · błąd w konfiguracji · źle skonfigurowany zasób chmurowy · otwarty bucket |
| Odmiana | Fraza polska, odmieniana normalnie: błędnej konfiguracji chmury, błędną konfigurację chmury. Zapożyczony podtermin: bucket, bucketu, bucketem, l.mn. buckety. |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | „błąd konfiguracyjny” / „błąd w konfiguracji”, „niechroniona baza danych w chmurze Amazona (S3)”, „bucket” bez tłumaczenia |
|---|
TAB. 3Źródła3
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „w wyniku błędu konfiguracyjnego bucket mógł być udostępniony publicznie / niechronioną bazę danych w chmurze Amazona (S3) / Polityki zapisane w składni JSON i przez to niezrzucające się w oczy, mogą otworzyć na świat coś, co według ACL nie powinno być dostępne.” | niebezpiecznik.pl |
| PL | „„Błąd w konfiguracji”. Microsoft przypadkowo udostępniał bez uwierzytelnienia dane, w tym pliki swoich potencjalnych klientów (tytuł)” | sekurak.pl |
| EN | „OWASP Top Ten 2021: A05: Security Misconfiguration. Przegląd przypadków (tytuł — angielska fraza występuje wyłącznie jako nazwa własna kategorii OWASP, nie jako termin opisowy)” | sekurak.pl |
TAB. 4Obok w tej dziedzinie6
| atak na potok CI/CD | CI/CD pipeline compromise | Przejęcie zautomatyzowanego procesu budowania i wdrażania oprogramowania (np. GitHub Actions), by wstrzyknąć złośliwy kod do wydawanej wersji albo wykraść sekrety — klucze do chmury, tokeny, hasła do baz. Dotyczy też stron WordPress wdrażanych automatycznie z repozytorium. |
| bezpieczeństwo infrastruktury jako kodu (IaC) | infrastructure as code (IaC) security | Dbanie o to, by pliki opisujące serwery i usługi chmurowe (Terraform, Ansible, CloudFormation) nie tworzyły dziur: otwartych portów i bucketów, zbyt szerokich uprawnień czy haseł wpisanych w kod. Szablony skanuje się pod kątem błędów konfiguracji, zanim trafią na produkcję. |
| CSPM | cloud security posture management (CSPM) | Klasa narzędzi, które stale sprawdzają konfigurację kont chmurowych (AWS, Azure, GCP) i wskazują błędy: publiczne zasoby, brak szyfrowania, zbyt szerokie uprawnienia, niezgodność z normami. Dla małej firmy z jedną stroną to zwykle przesada; ma sens przy wielu usługach w chmurze. |
| dependency confusion (podmiana zależności) | dependency confusion | Atak polegający na opublikowaniu w publicznym repozytorium pakietu o nazwie identycznej z wewnętrzną biblioteką firmy i wyższym numerze wersji, przez co system budowania pobiera i uruchamia kod atakującego zamiast własnego. |
| model współdzielonej odpowiedzialności | shared responsibility model | Podział obowiązków bezpieczeństwa między dostawcę chmury lub hostingu a klienta: dostawca odpowiada za bezpieczeństwo samej infrastruktury, klient za to, co w niej umieszcza — dane, konta, uprawnienia i konfigurację. Na hostingu WordPressa oznacza to, że firma hostingowa dba o serwer, a aktualizacje wtyczek, hasła i kopie zapasowe strony zwykle pozostają po stronie właściciela. |
| podpisywanie kodu | code signing | Opatrywanie programu, sterownika, aktualizacji lub paczki podpisem cyfrowym wydawcy, żeby system i użytkownik mogli sprawdzić, kto go wydał i czy nie został zmieniony. Kradzież klucza do podpisywania kodu pozwala napastnikom podpisywać malware tak, jakby pochodził od zaufanej firmy. |