В первый день открывшегося в Сан-Франциско традиционного ежегодного форума RSA Сonference, посвященного вопросам безопасности, организация Cloud Security Alliance (CSA) и корпорация Hewlett-Packard представили документ “Top Threats to Cloud Computing V1.0” (“Главные угрозы развитию облачных вычислений”). Он составлен по результатам проведенного исследования и адресован как провайдерам облачных сервисов, так и их пользователям. Отметим также, что вклад в его подготовку внесли представители целого ряда известных компаний, включая Bank of America, CloudSecurity.org, HP, Microsoft, Rackspace, Oracle, Trend Micro, Verizon Business и др., так что говорить о чьей-либо особой заинтересованности в данном случае не приходится.
Индекс V1.0 в названии документа подчеркивает, что выпущена первая его версия, которая будет со временем обновляться. Как отмечают авторы, было довольно много дебатов относительно того, что следует отразить в первой версии, но в конечном счете было решено сфокусироваться на уникальных угрозах, присущих именно сфере облачных вычислений, а также на тех, которые существенно прибавили в своей значимости благодаря характерным особенностям организации облачной среды. Что же это за угрозы?
Привлекая клиентов обещаниями неограниченных компьютерных и сетевых ресурсов и возможностей для хранения данных, IaaS-провайдеры предлагают им очень простую процедуру регистрации (пройти её может любой, у кого есть действующая кредитная карточка), а также зачастую и возможность бесплатного тестирования услуги в течение некоторого периода времени. Злоупотребляя сравнительной анонимностью процедуры регистрации и использования облачных ресурсов, спамеры, авторы зловредных кодов и другие злоумышленники получили возможность безнаказанно использовать облачные сервисы для своих целей. Ранее с подобного рода “неприятностями” сталкивались главным образом PaaS-провайдеры, но теперь стало очевидно, что все чаще целью для злоумышленников становятся и поставщики услуг IaaS. В дальнейшем можно ожидать, что их ресурсы могут использоваться для вскрытия паролей и ключей, DDoS-атак, хостинга вредоносных кодов, построения так называемых радужных таблиц (rainbow table) и инструментов обхода CAPTCHA-средств.
В частности, как было установлено, сервисы IaaS использовались для формирования ботсети Zeus, распространения трояна InfoStealer и эксплойтов для приложений Microsoft Office и Adobe PDF. А в результате противодействия распространению спама в черные списки попали целый блоки сетевых адресов IaaS-провайдеров.
Для работы с облачными сервисами провайдеры предоставляют клиентам специальные программные интерфейсы и API. От того, как в этих инструментах реализованы меры обеспечения информационной безопасности (аутентификация, контроль доступа, шифрование, мониторинг активности), во многом зависит безопасность и самого сервиса. Проблема усложняется в случае, если на базе облачных ресурсов одного провайдера сторонняя компания строит и предлагает дополнительные услуги и ответственность перед заказчиком за меры безопасности оказывается распределенной. Так что перед тем, как начать пользоваться облачными сервисами, следует убедиться в безопасности предложенных провайдером инструментов, чтобы не подвергать свою компанию неоправданным рискам.
Инсайдерские угрозы представляют опасность для любой компании, но для пользователей облачных сервисов они возрастают многократно, поскольку предоставляемые разным заказчикам сервисы базируются на единой, тесно интегрированной ИТ-инфраструктуре, а реализованные провайдером процессы и процедуры управления ею в значительной степени непрозрачны. В частности, провайдер может не раскрывать, чем лимитирован доступ его сотрудников к физическим и виртуальным ИТ-ресурсам, как организован контроль за деятельностью сотрудников, каким образом удовлетворяются требования регулирующих органов и т. д. В результате может сложиться весьма благоприятная ситуация для разного рода злоумышленников, промышленного шпионажа или даже нежелательного вмешательства государственных органов. Последствия для пользователя сервисов в таком случае могут быть весьма серьезными как в имиджевом плане, так и в финансовом.
Эффективную масштабируемость своих услуг IaaS-провайдеры обеспечивают за счет того, что эти услуги базируются на единой ИТ-инфраструктуре, ресурсы которой могут быть перераспределены между заказчиками. Однако многие компоненты такой инфраструктуры (в частности, графические процессоры, кэш-память центральных процессоров и т. д.) проектировались без учета необходимости строгой изоляции ресурсов, выделяемых разным пользователям. Эта проблема решается с помощью гипервизоров, образующих промежуточный слой между гостевыми ОС и физическими компонентами, однако и гипервизоры имеют свои недостатки, из-за чего не всегда исключена ситуация, когда гостевая ОС получает недопустимый уровень контроля за аппаратными средствами. Чтобы пользователи сервисов не могли проникнуть на “чужую” территорию, меры безопасности должны охватывать все уровни ИТ-инфраструктуры и обеспечивать надежный мониторинг использования вычислительных и сетевых компонентов и систем хранения.
И при использовании традиционной инфраструктуры возникает масса ситуаций, чреватых утратой или кражей данных (например, при преждевременном удалении файлов, резервные копии которых еще не были созданы в ходе плановой процедуры резервного копирования, при утрате ключей шифрования данных и т. д.). В случае использования облачной инфраструктуры вероятность такого рода инцидентов и компрометации данных может оказаться еще более высокой в силу принципиальных отличий такой инфраструктуры от традиционной или, что еще хуже, в силу каких-либо архитектурных или операционных характеристик конкретной облачной среды.
Случаи, когда учетными записями и сервисами помимо их владельца пользуются еще и злоумышленники, которым удалось украсть учетные данные, отнюдь не редки — этот вид угроз сегодня занимает место в списке наиболее распространенных. Ситуация усугубляется еще и тем, что пользователи часто используют для доступа к разным услугам одни и те же пароли. Облачные же решения добавляют свои краски в эту безрадостную картину. Если злоумышленник получает доступ к учетной записи пользователя облачных сервисов, то у него появляется возможность отслеживать пользовательские транзакции, манипулировать данными, перенаправлять клиентов на другие сайты и т. д. Чтобы избежать этого, провайдер услуг должен применять надежные технологии аутентификации, строгие политики безопасности и мощные средства мониторинга процессов.
Облачные сервисы весьма привлекательны для компаний, поскольку позволяют им сократить свой парк аппаратных и программных средств и сфокусироваться на собственном бизнесе. Тем не менее и в этом случае вопросы безопасности должны оставаться на первом плане. Своевременная установка обновлений, соблюдение политики безопасности, учет обнаруженных уязвимостей ПО, выявление попыток несанкционированного доступа к корпоративным ресурсам — все это компании должны постоянно иметь в виду. И ни в коем случае нельзя обойтись минимальным набором мер — этого может оказаться недостаточно, чтобы оставаться на плаву.
Что следует знать вашей организации о безопасности в облачной среде
Один из ведущих аналитиков компании Gartner назвал облачные вычисления «фразой дня». Любой, кто хоть сколько-нибудь времени занимается информационными технологиями (ИТ), знает, что эта фраза, по-видимому, будет актуальна и в ближайшем будущем. Действительно, по прогнозам компании Gartner, объем рынка облачных вычислений к концу 2013 года достигнет 150 миллиардов долларов. Компания Merrill Lynch также прогнозирует взрывной рост объема рынка до 160 миллиардов долларов к 2013 году.
Причина такой популярности облачных вычислений связана с тем, что они призваны обеспечивать сбережение ресурсов и экономию средств. Перемещая в облако программное обеспечение, ресурсы хранения, электронную почту и т. д., организации получают возможность выделять ресурсы лишь в том объеме, который необходим для соответствующих сервисов. Пространство систем хранения, вычислительная мощность, память и даже лицензии больше не находятся в пассивном ожидании операций, которые они могли бы выполнить. Эти ресурсы используются и оплачиваются по мере возникновения необходимости. На приведена схема облачной среды из Wikimedia Commons.
Организации ожидают от облачной технологии даже экономии на кадрах. Передавая ИТ-услуги на аутсорсинг облачным провайдерам, организации получают возможность высвободить ИТ-специалистов, чтобы они могли заниматься исключительно проектами, направленными на продвижение бизнеса, вместо того чтобы тратить время на поддержку сервисов, управление которыми могут взять на себя облачные провайдеры.
Учитывая все эти возможности сокращения затрат, трудно понять, почему организации порой с такой неохотой перемещают в облако свои данные, программное обеспечение и другие сервисы, - но лишь до тех пор, пока вы не вспомните о рисках с точки зрения безопасности, с которыми сопряжено такое перемещение. Согласно результатам большинства опросов, именно безопасность является основной причиной, по которой руководители по ИТ не решаются начать движение в сторону облачных решений. Один из недавних опросов на портале LinkedIn показал, что у 54% из 7053 респондентов проблема безопасности вызывает наибольшую озабоченность, когда речь заходит о миграции в облако.
Как и в любом ИТ-сервисе, в облаке имеются уязвимости с точки зрения безопасности, которые пытаются обнаружить злоумышленники. Однако по мере роста осведомленности ИТ-специалистов об этих уязвимостях и о методах их устранения облачная среда становится все более безопасным местом. В действительности у тех, кто отважился совершить миграцию в облако, уровень безопасности повысился, о чем свидетельствуют голоса 57 % участников опроса, проведенного компанией Mimecast. Причина, по которой большинство участников этого исследования уверены в безопасности облачных вычислений, заключается в том, что они люди понимают суть имеющихся угроз и научились минимизировать их.
В данной статье кратко охарактеризованы некоторые из наиболее распространенных рисков с точки зрения безопасности, связанных с облачными вычислениями, а также приведены шаги, которые может предпринять ваша организация для уменьшения этих рисков.
Облачные среды можно разделить на четыре категории в соответствии с четырьмя моделями развертывания, перечисленными и описанными в .
В моделях частного и коллективного облаков, а также, в некоторой степени, в гибридной модели множество разных заказчиков совместно используют ресурсы с помощью виртуализации. Такая платформа вычислений имеет следующие потенциально слабые стороны:
Первым шагом, который следует предпринять для защиты от указанных слабостей, является понимание среды, в которой вы работаете. Если для данных или иных ресурсов требуется защищенная среда в соответствии с законами, стандартами или отраслевыми нормами, то применяемый вами подход должен соответствовать этим требованиям и при этом необходимо уделить внимание типу используемой среды. Для такого сценария, безусловно, предпочтительным является решение на основе частного облака или, возможно, какое-либо гибридное решение, в котором уязвимые данные, транзакции и сервисы находятся в частной секции, что позволяет вашей организация иметь больше возможностей для управления безопасностью и доступом.
Затем нужно выполнить оценку поставщика облака. Выясните, какие шаги он предпринимает для защиты указанных уязвимых мест, особенно в отношении гипервизора. Узнайте, какое программное обеспечение виртуализации использует поставщик и каков его график установки исправлений и обновлений. Проверьте, использует ли хост какой-либо модуль доверенной платформы, создающий доверительные отношения с гипервизором для предотвращения внесения несанкционированных изменений.
Кроме того, необходимо убедиться в том, что гипервизор сконфигурирован для обнаружения экстремального потребления ресурсов в целях защиты от атак типа «отказ в обслуживании».
В своей статье «Data Leakage Prevention and Cloud Computing» («Предотвращение утечки данных и облачные вычисления») компания KPMG LLP утверждает: «Как только данные оказываются в общедоступном облаке, развернутые в вашей организации средства предотвращения утечки данных (DLP) обесцениваются, поскольку уже не могут помочь в защите конфиденциальности этих данных. При этом ваша организация не имеет возможности прямого контроля над конфиденциальностью своих данных в общедоступном облаке ни в модели предоставления услуг «программное обеспечение как сервис» (SaaS), ни в модели предоставления услуг «платформа как сервис (PaaS)». Ссылка на полный текст статьи приведена в разделе .
Что можно предпринять для предотвращения утечки данных в облаке в ситуации, когда закон США от 1996 года о преемственности и подотчетности медицинского страхования (HIPAA) и стандарт защиты информации в индустрии платежных карт (PCI DSS) требуют от организаций серьезного подхода к обеспечению защиты данных?
Кажется, что лучшим решением было бы обратиться к имеющимся на рынке продуктам для предотвращения утечки данных. Однако эти продукты призваны обеспечивать целостность и доступность данных, а не их защиту. Кроме того, эти решения невозможно развернуть в среде, в которой вы не управляете инфраструктурой.
Между тем ключом к успеху в предотвращении утечки данных является «упрочнение» систем, которые хранят и транспортируют данные.
Прежде всего, когда речь идет об обращении с вашими данными, поставщик облака должен использовать высоконадежное шифрование как во время хранения, так и во время передачи. Вам также необходимо принять меры по обеспечению наличия подписанного соглашения об уровне сервиса между вашей организацией и поставщиком услуг облака, в котором должны быть четко определены роли и обязанности по защите данных в облаке. Это соглашение должно содержать требование, чтобы поставщик услуг облака уничтожал данные на постоянных носителях перед их освобождением в пул.
Еще одной мерой для того, чтобы ваша организация соответствовала требованиям стандарта PCI DSS, является наличие должным образом сконфигурированного межсетевого экрана Web-приложений для защиты последних от разнообразных атак. Прежде чем принимать решение в пользу какого-либо поставщика услуг SaaS, отдел ИТ вашей организации должен оценить имеющийся уровень защиты Web-приложений. Если это разрешено, следует провести испытание проникновением, чтобы проверить защиту от несанкционированного доступа всех используемых вашей компанией приложений.
Наконец, необходимо принять меры по защите от утечки данных в облаке в рамках вашей организации, но когда речь идет о данных, это требует изменения политик. Организации, которые боятся утечки данных, должны иметь действующие политики классификации данных и установления стандартов относительно порядка обращения с данными различного уровня конфиденциальности. Коротко говоря, некоторые данные могут быть вообще не предназначены для хранения в облаке.
Для того чтобы клиенты могли взаимодействовать с облачными сервисами, поставщики услуг используют интерфейсы прикладного программирования (API). Эти интерфейсы применяются для предоставления услуг, управления, оркестровки и мониторинга, поэтому основополагающая безопасность сервисов, предоставляемых в облаке, зависит от того, насколько хорошо защищены данные интерфейсы API.
Анонимный доступ и многократно используемые маркеры или пароли, открытые способы аутентификации и передачи контента, а также негибкие средства контроля доступа и ненадлежащая авторизация — все это представляет серьезные угрозы для безопасности. Добавим к этому ограниченность доступных клиентам возможностей мониторинга и регистрации, и может показаться, что клиенты по существу находятся во власти поставщиков услуг, когда дело касается того, кто имеет доступ к ресурсам, за которые клиенты платят.
Кроме того, имеет место проблема с интерфейсами API, созданными сторонними организациями. Несмотря на то что эти интерфейсы часто разрабатываются для предоставления клиентам дополнительных услуг, такие дополнения не всегда подвергаются столь же тщательному рассмотрению и анализу, что добавляет еще один уровень сложности к соответствующему API и повышает риск нарушения безопасности. Кроме того, интерфейсы API сторонних разработчиков могут предполагать раскрытие учетных данных организаций — порой без ведома последних — для доступа к услугам, предоставляемым тем или иным интерфейсом API.
Для преодоления перечисленных рисков требуется главным образом рассмотрение и анализ модели безопасности поставщика облака с целью удостовериться в том, что поставщик делает все необходимое для защиты таких интерфейсов API.
Ваша организация должна внимательно изучить средства аутентификации и доступа и убедиться в том, что при передаче данных используется шифрование. Кроме того, перед заключением любого соглашения вам следует проанализировать цепочку зависимостей и удостовериться в том, что вам известны все интерфейсы API и все предъявляемые ими требования.
В то время как борьба с большинством рассмотренных уязвимостей ложится главным образом на плечи поставщика облака, бремя борьбы со всем спектром угроз похищения и несанкционированного использования учетных записей и услуг в равных долях разделяется между поставщиком услуг и клиентом.
Несмотря на то, что уязвимости программного обеспечения могут сделать возможным перехват злоумышленником информации об учетной записи в источнике, это не самый распространенный способ кражи учетных данных пользователей. Чаще всего злоумышленники похищают учетную информацию пользователей посредством фишинговых атак, прослушивания с использованием вредоносного программного обеспечения и мошенничества. Поскольку люди зачастую многократно используют одни и те же имена пользователя и пароли в самых разнообразных сервисах, злоумышленники часто обнаруживают, что могут легко и быстро похитить учетные данные. Это может быть какой-либо другой сервис, используемый жертвой вне системы поставщика облака. Получив в свое распоряжение многократно используемые учетные данные какого-либо пользователя, злоумышленник может нарушить целостность и конфиденциальность данных, хранящихся в облаке. Злоумышленники даже могут использовать эти же учетные данные для проведения атак на другие организации, что может нанести серьезный ущерб репутации вашей компании.
Помимо понимания политик безопасности вашего поставщика облака, ваша организация также должна осуществлять определенный упреждающий мониторинг пользования облачными сервисами для отслеживания несанкционированного доступа и несанкционированной активности.
Применение политик, предусматривающих использование уникальных учетных данных для входа в систему и надежных паролей, также помогает предотвратить уязвимости, связанные с многократным использованием пользовательской информации. Еще больше уменьшить вероятность атак подобного типа помогают методы двухфакторной аутентификации.
Как правило, организации прилагают значительные усилия для проверки благонадежности сотрудников, прежде чем принимают их на работу или предоставляют доступ к определенной информации. Когда же речь заходит о поставщиках облачных услуг, прозрачность процессов и процедур, регламентирующих действия их сотрудников, является недостаточной.
Передача сервисов поставщику облака обычно означает, что вы не имеете никакого понятия о том, кто имеет доступ (физический и виртуальный) к ресурсам вашей организации. Поставщики облачных услуг держат клиентов в неведении относительно того, как они контролируют своих сотрудников, как анализируют соблюдение политик и как отчитываются об этом.
Возможность работы с конфиденциальными и финансовыми данными является очень привлекательной для хакеров и корпоративных шпионов. Работа на компанию, которая предоставляет облачные услуги, может позволить такому злоумышленнику наживаться на продаже конфиденциальных данных или получать полный контроль над облачными сервисами с малым риском или вообще без такового.
Для начала клиентам необходимо выяснить, какие меры предпринимаются поставщиками услуг для обнаружения инсайдеров-злоумышленников и защиты от них. Вы должны не только требовать прозрачности, когда речь идет об информационной безопасности и методах управления, но и знать, какой процесс оповещения применяется в случае нарушений защиты. Если сроки или процесс оповещения являются неприемлемыми, следует поискать какого-либо другого поставщика услуг.
Облачные вычисления предоставляют целый ряд весьма привлекательных возможностей для повышения эффективности совместной, удаленной и распределенной работы и для сокращения затрат. Несмотря на то что миграция в облако сопряжена с определенными рисками, эти риски не превышают тех, которые имеют место при хостинге услуг внутри организации. Основное различие заключается в том, что облачная среда предоставляет злоумышленникам новое поле для атак.
Если вы потратите время на понимание того, какие уязвимости существуют в облачной среде и что вы можете сделать для предотвращения использования этих уязвимостей злоумышленниками, облачные сервисы могут стать такими же защищенными, как и любые другие сервисы, предоставляемые в локальной или распределенной сети вашей организации.
IT-GRAD
Сегодня поговорим об угрозах облачной безопасности, рассмотрев ТОП-12, с которыми сталкиваются те или иные организации, использующие облачные сервисы. Как известно, количество облачных миграций с каждым годом растет, а вопрос безопасности по-прежнему остается серьезной темой.
Первым шагом к минимизации рисков в облаке является своевременное определение ключевых угроз безопасности. На конференции RSA , прошедшей в марте этого года, CSA (Cloud Security Alliance) представила список 12 угроз облачной безопасности, с которыми сталкиваются организации. Рассмотрим их более подробно.
Угроза 1: утечка данных
Облако подвергается тем же угрозам, что и традиционные инфраструктуры. Из-за большого количества данных, которые сегодня часто переносятся в облака, площадки облачных хостинг-провайдеров становятся привлекательной целью для злоумышленников. При этом серьезность потенциальных угроз напрямую зависит от важности и значимости хранимых данных.
Раскрытие персональной пользовательской информации, как правило, получает меньшую огласку, нежели раскрытие медицинских заключений, коммерческих тайн, объектов интеллектуальной собственности, что наносит значительный ущерб репутации отдельно взятой компании. При утечке данных организацию ожидают штрафы, иски или уголовные обвинения, а также косвенные составляющие в виде ущерба для бренда и убытков для бизнеса, которые приводят к необратимым последствиям и затяжным процедурам восстановления имиджа компании. Поэтому облачные поставщики стараются обеспечивать должный контроль и защиту данных в облачном окружении. Чтобы минимизировать риски и угрозы утечки данных, CSA рекомендует использовать многофакторную аутентификацию и шифрование.
Угроза 2: компрометация учетных записей и обход аутентификации
Утечка данных зачастую является результатом небрежного отношения к механизмам организации проверки подлинности, когда используются слабые пароли, а управление ключами шифрования и сертификатами происходит ненадлежащим образом. Кроме того, организации сталкиваются с проблемами управления правами и разрешениями, когда конечным пользователям назначаются гораздо бо льшие полномочия, чем в действительности необходимо. Проблема встречается и тогда, когда пользователь переводится на другую позицию или увольняется. Мало кто торопится актуализировать полномочия согласно новым ролям пользователя. В результате учетная запись содержит гораздо бо льшие возможности, чем требуется. А это узкое место в вопросе безопасности.
CSA рекомендует использовать механизмы многофакторной аутентификации, включая одноразовые пароли, токены, смарт-карты, USB-ключи. Это позволит защитить облачные сервисы, поскольку применение озвученных методов усложняет процесс компрометации паролей.
Угроза 3: взлом интерфейсов и API
Сегодня облачные сервисы и приложения немыслимы без удобного пользовательского интерфейса. От того, насколько хорошо проработаны механизмы контроля доступа, шифрования в API, зависит безопасность и доступность облачных сервисов. При взаимодействии с третьей стороной, использующей собственные интерфейсы API, риски значительно возрастают. Почему? Потому что требуется предоставлять дополнительную информацию, вплоть до логина и пароля пользователя. Слабые с точки зрения безопасности интерфейсы становятся узким местом в вопросах доступности, конфиденциальности, целостности и безопасности.
CSA рекомендует организовать адекватный контроль доступа, использовать инструменты защиты и раннего обнаружения угроз. Умение моделировать угрозы и находить решения по их отражению - достойная профилактика от взломов. Кроме того, CSA рекомендует выполнять проверку безопасности кода и запускать тесты на проникновение.
Угроза 4: уязвимость используемых систем
Уязвимость используемых систем - проблема, встречающаяся в мультиарендных облачных средах. К счастью, она минимизируется путем правильно подобранных методов управления ИТ, отмечают в CSA. Лучшие практики включают в себя регулярное сканирование на выявление уязвимостей, применение последних патчей и быструю реакцию на сообщения об угрозах безопасности. Согласно отчетам CSA, расходы, затраченные на снижение уязвимостей систем, ниже по сравнению с другими расходами на ИТ.
Распространена ошибка, когда при использовании облачных решений в модели IaaS компании уделяют недостаточно внимания безопасности своих приложений, которые размещены в защищенной инфраструктуре облачного провайдера . И уязвимость самих приложений становится узким местом в безопасности корпоративной инфраструктуры.
Угроза 5: кража учетных записей
Фишинг, мошенничество, эксплойты встречаются и в облачном окружении. Сюда добавляются угрозы в виде попыток манипулировать транзакциями и изменять данные. Облачные площадки рассматриваются злоумышленниками как поле для совершения атак. И даже соблюдение стратегии «защиты в глубину» может оказаться недостаточным.
Необходимо запретить «шаринг» учетных записей пользователей и служб между собой, а также обратить внимание на механизмы многофакторной аутентификации. Сервисные аккаунты и учетные записи пользователей необходимо контролировать, детально отслеживая выполняемые транзакции. Главное - обеспечить защиту учетных записей от кражи, рекомендует CSA.
Угроза 6: инсайдеры-злоумышленники
Инсайдерская угроза может исходить от нынешних или бывших сотрудников, системных администраторов, подрядчиков или партнеров по бизнесу. Инсайдеры-злоумышленники преследуют разные цели, начиная от кражи данных до желания просто отомстить. В случае с облаком цель может заключаться в полном или частичном разрушении инфраструктуры, получении доступа к данным и прочем. Системы, напрямую зависящие от средств безопасности облачного поставщика, - большой риск. CSA рекомендует позаботиться о механизмах шифрования и взять под собственный контроль управление ключами шифрования. Не стоит забывать про логирование, мониторинг и аудит событий по отдельно взятым учетным записям.
Угроза 7: целевые кибератаки
Развитая устойчивая угроза, или целевая кибератака, - в наше время не редкость. Обладая достаточными знаниями и набором соответствующих инструментов, можно добиться результата. Злоумышленника, задавшегося целью установить и закрепить собственное присутствие в целевой инфраструктуре, не так легко обнаружить. Для минимизации рисков и профилактики подобных угроз поставщики облачных услуг используют продвинутые средства безопасности. Но помимо современных решений, требуется понимание сущности и природы такого вида атак.
CSA рекомендует проводить специализированное обучение сотрудников по распознаванию техник злоумышленника, использовать расширенные инструменты безопасности, уметь правильно управлять процессами, знать о плановых ответных действиях на инциденты, применять профилактические методы, повышающие уровень безопасности инфраструктуры.
Угроза 8: перманентная потеря данных
Поскольку облака стали достаточно зрелыми, случаи с потерей данных без возможности восстановления по причине поставщика услуг крайне редки. При этом злоумышленники, зная о последствиях перманентного удаления данных, ставят целью совершение подобных деструктивных действий. Облачные хостинг-провайдеры для соблюдения мер безопасности рекомендуют отделять пользовательские данные от данных приложений, сохраняя их в различных локациях. Не стоит забывать и про эффективные методы резервного копирования. Ежедневный бэкап и хранение резервных копий на внешних альтернативных защищенных площадках особенно важны для облачных сред.
Кроме того, если клиент шифрует данные до размещения в облаке, стоит заранее позаботиться о безопасности хранения ключей шифрования. Как только они попадают в руки злоумышленнику, с ними становятся доступны и сами данные, потеря которых может быть причиной серьезных последствий.
Угроза 9: недостаточная осведомленность
Организации, которые переходят в облако без понимания облачных возможностей, сталкиваются с рисками. Если, к примеру, команда разработчиков со стороны клиента недостаточно знакома с особенностями облачных технологий и принципами развертывания облачных приложений, возникают операционные и архитектурные проблемы.
CSA напоминает о необходимости понимать функционирование облачных сервисов, предоставляемых поставщиком услуг. Это поможет ответить на вопрос, какие риски берет на себя компания, заключая договор с хостинг-провайдером.
Угроза 10: злоупотребление облачными сервисами
Облака могут использоваться легитимными и нелегитимными организациями. Цель последних - использовать облачные ресурсы для совершения злонамеренных действий: запуска DDoS-атак, отправки спама, распространения вредоносного контента и т. д. Поставщикам услуг крайне важно уметь распознавать таких участников, для чего рекомендуется детально изучать трафик и использовать инструменты мониторинга облачных сред.
Угроза 11: DDoS-атаки
Несмотря на то что DoS-атаки имеют давнюю историю, развитие облачных технологий сделало их более распространенными. В результате DoS-атак может сильно замедлиться или вовсе прекратиться работа значимых для бизнеса компании сервисов. Известно, что DoS-атаки расходуют большое количество вычислительных мощностей, за использование которых будет платить клиент. Несмотря на то что принципы DoS-атак, на первый взгляд, просты, необходимо понимать их особенности на прикладном уровне: они нацелены на уязвимости веб-серверов и баз данных. Облачные поставщики, безусловно, лучше справляются с DoS-атаками, чем отдельно взятые клиенты. Главное - иметь план смягчения атаки до того, как она произойдет.
Угроза 12: совместные технологии, общие риски
Уязвимости в используемых технологиях - достаточная угроза для облака. Поставщики облачных услуг предоставляют виртуальную инфраструктуру , облачные приложения, но если на одном из уровней возникает уязвимость, она влияет на все окружение. CSA рекомендует использовать стратегию «безопасности в глубину», внедрять механизмы многофакторной аутентификации, системы обнаружения вторжений, придерживаться концепции сегментирования сети и принципа предоставления наименьших привилегий.
