Securitybedrijf Intruder heeft misconfiguratiedata van 3.000 organisaties op AWS, Microsoft Azure en Google Cloud geanalyseerd voor de 2026 Cloud Security Index. De conclusie is ongemakkelijk voor wie met één checklist alle clouds denkt af te dekken: de risicoprofielen van de drie providers hebben bijna niets met elkaar gemeen. Elke provider faalt op zijn eigen manier, en een aanpak die op AWS werkt, mist bij Azure of Google Cloud vaak het echte probleem.
Twee problemen komen wél overal voor. Zwakke IAM-configuraties en ontbrekende logging spelen bij 80 tot 98 procent van de accounts, ongeacht de provider. Hoe groter de organisatie, hoe erger het wordt: bij kleinere bedrijven kampt 87 procent met zwakke identity-controls, bij grote ondernemingen loopt dat op tot 98 procent. Middelgrote organisaties doen er gemiddeld 35 dagen over om zulke problemen te verhelpen, tegen 8 tot 16 dagen bij kleinere bedrijven.
Op AWS is het risico het grootst: de provider scoort op vijf van de zes onderzochte categorieën het slechtst. Blootgestelde diensten komen voor bij 76 procent van de accounts, te permissieve firewallregels bij 83 procent en zwakke encryptie bij 49 procent. Concreet gaat het vaak om S3-buckets zonder verplichte HTTPS (87 procent), te ruime netwerk-ACL’s (83 procent) en IAM-rechten die privilege-escalatie mogelijk maken (83 procent).
Azure scoort het slechtst op verkeerd geconfigureerde diensten (80 procent), vooral rond storage accounts: bij 67 procent staat sleutelrotatie uit en bij 55 procent ontbreekt MFA voor Entra ID-gebruikers. Google Cloud steekt positief af met de laagste cijfers op vijf van de zes categorieën — blootgestelde diensten en zwakke encryptie komen er allebei bij slechts 8 procent voor, dankzij minder diensten en veiligere standaardinstellingen. Het grootste knelpunt blijft ook daar IAM: OS Login zonder MFA staat bij 77 procent van de accounts nog open.
Voor Nederlandse IT-beheerders met meerdere cloudplatforms is de les vooral: kopieer geen securitybeleid klakkeloos van AWS naar Azure of Google Cloud. Begin met identity- en toegangsbeheer — MFA afdwingen, overbodige rechten schrappen, sleutelrotatie inschakelen — dat blijft overal de zwakste schakel. Zet daarna centrale logging aan waar die ontbreekt, en stel per provider een eigen checklist op in plaats van één generieke lijst die overal net iets mist.
Bron: The Hacker News
Blijf op de hoogte
Volg CybersecurityNieuws.nl via RSS en mis geen enkel beveiligingsnieuws. Zelf iets gezien dat wij moeten weten? Tip de redactie.