Tenable Raporu, Bulutta Saklanan Verilerin Tehlikeli Şekilde Açıkta Olduğunu Gösteriyor
Tenable tarafından yayımlanan 2025 Bulut Güvenliği Risk Raporu, pek çok kuruluşun bulut depolama yapılandırmalarında ciddi açıklar bıraktığını ve bu nedenle yanlış bir güvenlik algısına kapıldığını ortaya koydu. Araştırmaya göre herkese açık bulut depolama alanlarının %9’unda hassas veriler yer alıyor. Bu verilerin %97’si gizli veya kısıtlı bilgi kategorisine giriyor.
Kimlik Sağlayıcılar Tek Başına Yeterli Koruma Sunmuyor
Tenable’ın bulgularına göre açıkta kalan veriler arasında API anahtarları, erişim bilgileri, şifreleme anahtarları ve erişim jetonları bulunuyor. Hatta kullanıcı adları ve şifreler bile doğrudan erişime açık şekilde depolanıyor. Özellikle Amazon Web Services (AWS) ortamında, kuruluşların %54’ü en az bir sırrı doğrudan ECS görev tanımlarına gömülü hâlde tutuyor. Ayrıca tüm AWS EC2 örneklerinin %3.5’inde kullanıcı verilerinde doğrudan gizli bilgilere rastlandı.
AWS kullanan kuruluşların %83’ü kimlik sağlayıcıları (IdP) ile kimlik yönetimi sağlasa da, varsayılan izinlerin aşırı esnek olması, sabit yetkilendirmeler ve genişletilmiş erişim hakları nedeniyle kimliğe dayalı tehditler devam ediyor.
Benzer şekilde, Google Cloud Platform üzerinde çalışan Cloud Run kullanıcılarının %52’si ve Microsoft Azure Logic Apps kullanıcılarının %31’i riskli durumda bulunuyor. Bu sistemlerde de yapılandırma eksiklikleri nedeniyle hassas veriler dışarıya açık hâlde kalabiliyor.
Araştırmada, kamuya açık, kritik derecede savunmasız ve yüksek ayrıcalıklı sistemlerin oluşturduğu risk yapısı “zehirli bulut üçlüsü” olarak tanımlandı. Her ne kadar bu tür yapıların oranı bir yılda %38’den %29’a düşmüş olsa da, hâlen ciddi bir tehdit olarak değerlendiriliyor.
Tenable, pek çok kuruluşun depoladığı verinin hassasiyet düzeyinden habersiz olduğunu belirtiyor. Özellikle geliştiricilerin geçici olarak verdiği yüksek erişim haklarının unutulması, bu izinlerin kalıcı hâle gelmesine neden oluyor. Ayrıca erişim politikalarının çakışması, manuel yapılandırmalar ve kimsenin bulamaz düşüncesiyle oluşturulan karmaşık bağlantı adresleri de güvenlik açıklarını büyütüyor.
Tenable Güvenlik Araştırmaları Direktörü Ari Eitan’a göre, saldırganların yolları çoğu zaman oldukça basit. Açık erişim noktalarından faydalanmak, gömülü sırları çalmak ya da fazla yetki verilen kimlikleri istismar etmek yeterli oluyor. Eitan, güvenlik ekiplerinin çevrelerini tam olarak görebilmesi ve tehdit oluşmadan önce otomatik çözümleme süreçlerini başlatması gerektiğini vurguluyor.
