11 угроз вашим облакам

Почему бизнес уходит в облака?

Сразу определимся: завести корпоративное хранилище на Яндекс.Диске — это ещё не полноценный переход в облако. Но уже начало.

Всё чаще под облачными технологиями и облаками подразумевают аренду стороннего центра обработки данных для просчетов и хранения данных.

Спрос на облака огромен. В 2019 году в России объём этого рынка превысил 1 миллиард долларов, а мировой 230 миллиардов.

На это есть несколько причин:

1. Скорость внедрения. Для создания собственного ЦОД нужно подобрать и закупить оборудование, подготовить помещение и специалистов. Создание инфраструктуры идёт несколько месяцев. В случае же облаков, ЦОД уже готов и работает.
2. Стоимость. Оборудование и его обслуживание стоят приличных денег. Во многих случаях аренда оказывается дешевле, чем владение.
3. Гибкость. В случае необходимости можно временно увеличить мощность облачного ЦОД. Например, когда требуется сдать отчётность или подготовиться к большой распродаже. В случае с собственным ЦОД оборудование зачастую покупается с запасом, поэтому большую часть времени не использует все свои мощности.

Таким образом, компания, которой нужно быстро запустить сервис и сэкономить скорее воспользуется облаком от Amazone или Microsoft, а не станет создавать собственную инфраструктуру.

Но многие пошли дальше и стали мультиоблачными — то есть используют разные облака для разных задач.

Но безопасно ли это?

Каждый поставщик облачных услуг предлагает собственные инструменты администрирования и безопасности, поэтому управление несколькими облачными службами может быть непростым. Эта сложность может привести к разрозненности, ограниченной видимости, непоследовательному применению средств управления или неожиданным и пробелам в общем контуре безопасности компании.

По данным Fujitsu у среднего пользователя девять поставщиков облачных услуг, а у предприятий уже 13. А количество организаций, которые работают только с облачными технологиями в 2019 удвоилось.

Хотя сами облака хорошо защищены, переход в облако означает увеличение зон для атаки.

Неудивительно, что более половины опрошенных Fujitsu ИТ-руководителей заявили, что их облачные ресурсы стали слишком сложными для правильного управления, а им самим не хватает навыков управления. Более того, само это управление затруднено, ведь облако — не частный ЦОД, который можно перекроить по своему усмотрению.

Другая проблема кроется в том, что отдельные подразделения могут сами приобретать облака и вносить нужные изменения, но не обращать внимание на политики безопасности.

Однако если знать про потенциальные опасности, и можно предупредить и воспользоваться всеми преимуществами мультиоблачности.

11 рисков

Fujitsu выделяет следующие угрозы:

1. Утечки данных

2. Слабое управление данными

3. Отсутствие архитектуры и стратегии облачной безопасности

4. Слабая защита системы идентификации, учетных данных, доступа и управления ключами

5. Взлом аккаунта

6. Внутренняя угроза

7. Небезопасные интерфейсы и API

8. Неверная конфигурация и ошибочный контроль изменений

9. Ошибочная структура приложений

10. Злоупотребление и неправильное использование облачных сервисов

11. Ограниченная прозрачность облачных сервисов

Плохой контроль данных и нарушение их целостности — серьёзные трудности при работе в мультиоблачной среде. Задача усложняется тем, что облачные сервисы обновляются довольно часто.

Поэтому нужно работать по модели общей ответственности: поставщик облачных услуг несет ответственность за безопасность инфраструктуры, а организация за безопасность данных. Какая бы служба ни была развернута, предприятия всегда должны стремиться к обеспечению безопасности.

Давайте посмотрим, как работает такая системы безопасности: внутренняя, внешняя и в облаке.

Внутренние угрозы

Для защиты данных в облаке компаниям нужно настроить системы защиты от внутренних угроз, выполнить нормативные требования безопасности. А сами нормативы пересматривать после обновления платформ.

Пользователи корпоративного облака должны остерегаться рискованных конфигураций, например с широкими правами доступа. Последнее может сделать данные уязвимыми для злонамеренных действий.

Другие потенциальные слабые места: установка учетных данных по умолчанию (без смены пароля), сбои в установке патчей и обновлений, отключение ведения журнала или мониторинга, а также неограниченный доступ к портам и службам.

Особенно важно управление доступом и учетными данными.

Хотя это верно как в облаке, так и за его пределами, оставаться в безопасности становится намного сложнее, если предприятию приходится управлять несколькими учетками для каждого пользователя в мультиоблачной среде. Любой злоумышленник с авторизованным доступом к внутренним системам может представлять угрозу при перемещении конфиденциальных данных и приложений в облако.

Внешние угрозы

В мультиоблачной среде защита от внешних угроз также становится более сложной поскольку доступ к облачным сервисам может получить любой, у кого есть соответствующие учетные данные и права.

Причем неважно, как злоумышленники получили доступ к учеткам: с помощью социально инженерии или вредоносного ПО.

Также существует риск того, что облачные мощности могут быть захвачены. В этом случае появляются новые угрозы: захват облака, криптоджекинг (захват мощностей), рассылки спама и фишинг, массовое автоматизированное мошенничество, размещения вредоносного или пиратского контента, атаки методом перебора и многое другое.

Облачные угрозы

Кроме того, само облако создает множество проблем. Так, нужно решать вопросы с управлением, разными рабочими нагрузками, выбором между собственной и облачной инфраструктурой. Много головной боли может доставить и общение со службой поддержки.

Выбор правильной архитектуры безопасности особенно важен для общедоступного облака. И какую бы поддержку ни предлагали облачные сервисы, корпоративные пользователи должны понимать, что они всегда будут нести общую ответственность за безопасность.

Опять же, перемещение данных и сервисов в облако включает в себя нечто большее, чем просто перенос задач, которые когда-то выполнялись внутри компании. Например, доступ к облачным сервисам через интернет требует использования программных пользовательских интерфейсов и API. Если они плохо спроектированы или плохо защищены, они могут открыть дверь для неавторизованных пользователей и увеличить риск утечки данных.

Дублирование, перенос и хранение данных также становятся более сложными в многооблачной среде. Не все облачные сервисы одинаково хранят данные и управляют ими. Без надлежащей интеграции между ними может быть сложно координировать анализ угроз, определить утечки данных или угрозы со стороны вредоносного ПО. А если вы распределяете избыточные копии своих данных по нескольким облакам, как вы будете синхронизировать все эти данные?

При правильном исполнении мер безопасности управления инфраструктурой в облаке можно гарантировать могут гарантировать правильное выполнение подобных задач. С другой стороны, слабое управление может оставить администраторов, системных архитекторов и инженеров с пробелами и слепыми пятнами. Что также не несёт ничего хорошего.

Еще одна проблема для корпоративных пользователей: использовать родную защиту облака или использовать дополнительные инструменты? Если облако одно, то подходит первый вариант. Мультиоблачность требует дополнительных решений.

Идентификация, управление доступом и шифрование

Решение всех вышеперечисленных проблем в мультиоблачной среде требует “корпоративного” взгляда и понимания безопасности.

Наша цифровая идентичность сегодня — самый важный актив. Неправильное использование или перехват личных данных может привести к потере клиентов и серьёзным затратам. В облаке идентификационные данные стали новым периметром безопасности.

Fujitsu считает, что бизнес может усилить безопасность, если у каждого пользователя будет только одно “удостоверение” во всех облачных сервисах.

А централизованный и эффективный режим управления идентификацией может усилить защиту: он позволяет предприятиям легко добавлять пользователей и предоставлять им доступ к службам, которые необходимы для выполнения работы. Это также позволяет предоставлять другие права доступа, когда сотрудники получают новые обязанности, и полностью блокировать доступ, когда люди покидают организацию.

Без централизованного управления идентификацией и четко определенного процесса “присоединение, перевод и уход” существует риск, что вход в систему бывшего сотрудника может остаться незамеченным, как и последствия этого входа.

Централизованное управление также позволяет осуществлять надзор за системными администраторами и другими привилегированными пользователями, которые могут получать доступ к конфиденциальным данным и приложениям или изменять разрешения, чтобы позволить неавторизованным пользователям обходить защиту.

Так, предложение Fujitsu Privileged Access Management asa-service (PAMaaS) обеспечивает надежную аутентификацию лиц, которые используют привилегированные учетные записи.

Сами по себе данные также требуют особого внимания в многооблачной среде. Независимо от того, передаются ли они по сети или хранятся в ЦОД поставщика услуг, данные должны быть защищены от несанкционированного доступа. Лучшая защита — шифрование. Например, даже если будет получен несанкционированный доступ к общей облачной платформе, корпоративный пользователь может быть уверен, что его зашифрованные данные останутся в безопасности.

Собственная и независимая защита облака

Корпоративным пользователям необходимо подумать о поиске правильного баланса безопасности в облаке. Особенно в перспективе.

Некоторым организациям может потребоваться поддержка в этом вопросе. Другие могут иметь четкое представление о том, что им нужно, и предпочтут оценить средства управления безопасностью, включая те, которые доступны изначально.

Однако по мере того, как бизнес расширяется на все большее количество облачных сервисов, принять решение становится все труднее.

Предприятие с десятком различных облачных сервисов, включая сочетание IaaS, PaaS, SaaS, FaaS (функция как услуга), а также различные сервисы хранения и резервного копирования данных, могут работать с множеством средств управления безопасностью по всему миру. Поэтому вторым важным вопросом становится согласованность мер защиты между разными сервисами.

Однако выбор подхода к безопасности, который не зависит от облака, также создает препятствия, ведь приходится управлять большой сетью облаков и сервисов, что может создать сложности для некоторых организаций.

Риск непоследовательного применения средств управления или пропуск критических пробелов и уязвимостей возрастает с каждой новой облачной службой, добавляемой в систему.

Компании в строго регулируемых отраслях предпочтут собственное решение по безопасности. Это может быть связано с тем, что им нужен полный контроль над своими данными или они хотят работать в гибридной ИТ-среде, поскольку некоторые конфиденциальные или регулируемые данные должны оставаться локальными.

Организации со сложными системами, вероятно, будут вкладывать значительные средства в традиционные сервисы, в том числе мейнфреймы и другие среды, отличны x86. А это затрудняет перенос данных в облако. Поэтому выбор собственной системы защиты становится фактически единственным.

Любая организация должна подумать, где имеет смысл использовать собственные средства управления безопасностью облака, причем индивидуально под каждого поставщика услуг.

Стоимость

Кака мы писали в начале, всё больше организаций используют мультиоблачные среды, поскольку у них есть масса преимуществ. Но непродуманная система безопасности может съесть часть экономии.

Например, на управление рабочими нагрузками с помощью облачного шифрования. Предприятие, которое выбрало этот путь, может столкнуться с дорогостоящим и трудным решением, если ему потребуется переместить свои активы к другому поставщику облачных услуг: такой переход может потребовать от пользователя сначала расшифровать все его данные, затем переместить их и повторно зашифровать заново.

Обеспечение безопасности в мультиоблачной среде с помощью единого входа в систему также может быть сложной задачей. Такая система, если она плохо спроектирована и внедрена, может оказаться сложной в эксплуатации и весьма дорогой.

Заключение

Чтобы достичь правильного баланса безопасности в мультиоблачной среде,

компании должны учитывать многие факторы. Один из важнейших — идентификация и доступ:

• Управление привилегированным доступом
• Управление жизненным циклом идентификации
• Администрирование и управление идентификацией.

Также следует подумать, о шифровании, облачной и независимой защите, защиту, совместной ответственности за безопасность, управлении угрозами, защите конечных точек, требованиях к отчетности.

Поиск правильных решений во всех этих областях может быть сложной задачей. А неправильный выбор может привести к тому, что организация останется с неправильно настроенными системами, которыми сложно управлять, или даже с опасными и потенциально дорогостоящими пробелами с безопасностью.

Совместно с Fujitsu мы готовы сделать ваш переход в облака гибким и безопасным. Мы подберем оптимальные решения для вашей инфраструктуры, запустим необходимые процессы, которые помогут провести цифровую трансформацию и сделают вашу компанию ещё более эффективной.