- Debesijos saugumas grindžiamas bendros atsakomybės modeliu tarp teikėjo ir kliento, kuris skiriasi priklausomai nuo paslaugos tipo (IaaS, PaaS, SaaS).
- Debesijos apsaugai reikia derinti šifravimą, detalų IAM, tinklo segmentavimą, nuolatinį stebėjimą ir patikrintas atsargines kopijas.
- Viešosioms, privačioms, hibridinėms ir daugiadebesėms aplinkoms reikalingos specialios strategijos, kurias palaiko „Zero Trust“ ir tokie įrankiai kaip CSPM, CIEM arba CDR.
- Privatumo ir reguliavimo reikalavimų (BDAR, HIPAA ir kt.) laikymasis reikalauja griežtų techninių ir organizacinių duomenų ir prieigos kontrolės priemonių taikymo.
Debesų kompiuterijos saugumas tapo pagrindiniu bet kurios įmonės ar organizacijos, kuri kasdien naudojasi debesų kompiuterijos paslaugomis, komponentu . Mes nebenorime kalbėti tik apie dideles korporacijas: MVĮ, laisvai samdomi darbuotojai ir net individualūs vartotojai pasikliauja programomis ir duomenimis, talpinamais ne jų pačių serveriuose.
Šiame kontekste geras supratimas, ką reiškia apsaugoti duomenis, programas ir infrastruktūrą debesies saugykloje , kokia dalis tenka paslaugų teikėjui, o kokia – klientui, ir kokios konkrečios rizikos egzistuoja, lemia, ar dirbsite ramiai, ar būsite vos už vieno paspaudimo nuo rimto kibernetinio saugumo incidento.
Debesų saugumo apibrėžimas ir pagrindai
Kalbėdami apie debesijos saugumą, turime omenyje technologijų, procesų, politikos ir geriausios praktikos rinkinį , skirtą apsaugoti viską, kas yra debesijos aplinkoje: duomenis, programas, operacines sistemas, virtualius tinklus ir pačią pagrindinę infrastruktūrą.
Ši disciplina yra kibernetinio saugumo dalis, tačiau ji turi savų niuansų. Debesyje apsaugą dalijasi paslaugų teikėjas ir klientas . Teikėjas apsaugo fizinius komponentus ir dalį loginio sluoksnio, o klientas yra atsakingas už konfigūraciją, duomenų apsaugą, vartotojų saugumą ir tai, kaip naudojamos paslaugos.
Iš esmės debesijos saugumas yra suskirstytas į kelias pagrindines sritis: duomenų apsaugą, tapatybės ir prieigos valdymą (IAM), valdymą ir atitiktį, verslo tęstinumą ir atkūrimą po nelaimių , taip pat suderinamumą su duomenų apsaugos įstatymais ir pramonės reglamentais.
Debesų saugumo apimtis apima nuo fizinių elementų, tokių kaip duomenų centrai, maršrutizatoriai ar maitinimo sistemos , iki loginių sluoksnių, tokių kaip virtualizacijos platformos, operacinės sistemos, tarpinė programinė įranga, API, vykdymo aplinkos, vartotojų programos ir, žinoma, duomenų sluoksnis bei galiniai įrenginiai (kompiuteriai, mobilieji telefonai, daiktų internetas ir kt.).
Kadangi šių debesies komponentų nuosavybė ir valdymas paskirstomi skirtingai, priklausomai nuo paslaugos, labai svarbu aiškiai apibrėžti atsakomybės ribas . Čia pradeda veikti gerai žinomas bendros atsakomybės modelis.
Bendros atsakomybės modelis debesyje
Bendros atsakomybės modelį taiko praktiškai visi teikėjai (AWS, „Azure“, „Google Cloud“ ir kiti) . Tai reiškia, kad tiek teikėjas, tiek klientas turi konkrečias pareigas užtikrinti aplinkos saugumą.
Paprastai paslaugų teikėjas yra atsakingas už paties debesies saugumą : duomenų centrus, fizinį tinklą, aparatinę įrangą, hipervizorius, fizinius pagrindinius kompiuterius ir dalį virtualizacijos sluoksnio. Tai apima pataisų diegimą, konfigūravimą ir prieigos prie fizinių išteklių, kuriuose veikia virtualios mašinos ir valdomos paslaugos, kontrolę.
Klientas, savo ruožtu, visada yra atsakingas už saugumą „debesyje“ . Tai apima vartotojų, vaidmenų ir leidimų (IAM) valdymą, paskyrų apsaugą nuo neteisėtos prieigos, jų duomenų šifravimą ir kontrolę, diegiamų programų apsaugą ir tinkamos atitikties palaikymą.
Tarp šių dviejų kraštutinumų yra atsakomybės, kurios skiriasi priklausomai nuo paslaugų modelio :
-
Programinė įranga kaip paslauga (angl. Software as a Service, SaaS) : Teikėjas valdo infrastruktūrą, operacinę sistemą, tarpinę programinę įrangą ir pačią programą. Klientas yra atsakingas už vartotojus, slaptažodžius, leidimus, funkcinę konfigūraciją ir įvedamų ar generuojamų duomenų apsaugą.
-
Platforma kaip paslauga (angl. PaaS) : Teikėjas tvarko infrastruktūrą, operacinę sistemą, vykdymo aplinką ir kai kuriuos platformos įrankius. Klientas valdo savo programos kodą, duomenis, vartotojų prieigą ir integracijos saugumą.
-
Infrastruktūra kaip paslauga (IaaS) : Teikėjas apsaugo fizinę aparatinę įrangą ir virtualizaciją, tačiau klientas turi apsaugoti savo virtualių mašinų operacinę sistemą, tarpinę programinę įrangą, duomenis, programas, loginį tinklą ir įrenginius bei tinklus, iš kurių prie jų prisijungiama.
Kuo labiau valdoma paslauga (pvz., SaaS), tuo daugiau saugumo užduočių prisiima teikėjas . Artėjant prie IaaS modelio, didėja kontrolė, bet kartu didėja ir kliento atsakomybė.
Debesų kompiuterijos diegimo aplinkos ir modeliai
Debesijos diegimo būdas taip pat turi įtakos saugumo valdymui. Yra įvairių debesijos aplinkos modelių , kurie atitinka skirtingus poreikius ir rizikas.
Viešajame debesyje ištekliai priklauso trečiosios šalies teikėjui ir yra bendrinami tarp kelių klientų (daugiafunkcinis debesis). Tai tipinis AWS, „Azure“ arba „Google Cloud“ modelis. Jis siūlo didelį mastelio keitimą, mokėjimo pagal naudojimą kainodarą ir minimalų kliento infrastruktūros valdymą, tačiau reikalauja griežto duomenų segmentavimo ir konfigūravimo, kad būtų išvengta nutekėjimo tarp nuomininkų ir viešo atskleidimo klaidų.
Privatus debesis – tai dedikuota aplinka vienai organizacijai, talpinama jos pačios patalpose arba trečiosios šalies svetainėje, bet izoliuota. Jis suteikia didesnę kontrolę, pritaikomą saugumą ir išteklių izoliaciją , be to, yra skirtas sektoriams, kuriems taikomi griežti reguliavimo reikalavimai, pavyzdžiui, sveikatos priežiūros, finansų ar viešajam sektoriui.
Hibridinio debesies modelis sujungia viešuosius ir privačius debesis, leisdamas perkelti duomenis ir darbo krūvius tarp jų. Tai suteikia lankstumo: galime talpinti svarbiausius duomenis privačiame debesyje ir išnaudoti viešojo debesies elastingumą esant didžiausiai paklausai. Tačiau tai taip pat padidina ryšio apsaugos ir nuoseklios politikos įgyvendinimo abiejose pusėse sudėtingumą .
Taikant kelių debesų kompiuterijos metodą , organizacija naudojasi kelių tiekėjų paslaugomis (pavyzdžiui, AWS, „Azure“ ir konkrečiai pramonei skirtą SaaS). Tai sumažina priklausomybę nuo tiekėjo ir pagerina atsparumą, tačiau apsunkina vieningą politikos valdymą, matomumą ir atitiktį reikalavimams dėl poreikio koordinuoti skirtingas platformas ir įrankius.
Visiems šiems modeliams rekomenduojamos tokios priemonės kaip stiprus šifravimas, detalus IAM, periodiniai auditai ir specializuoti įrankiai (CASB, CIEM, CSPM), siekiant išlaikyti konsoliduotą saugumo būklės vaizdą.
Kaip iš tikrųjų veikia debesijos saugumas
Debesų saugumas priklauso nuo suderintų techninių ir organizacinių mechanizmų rinkinio , kurie, tinkamai pritaikyti, smarkiai sumažina incidentų riziką.
Vienas iš pagrindinių ramsčių yra duomenų šifravimas perdavimo ir saugojimo metu . Saugūs protokolai (TLS) naudojami, kai duomenys perduodami tarp vartotojų, programų ir serverių, o diskuose, duomenų bazėse ar kituose objektuose saugomiems duomenims taikomi karinio lygio šifravimo mechanizmai . Tokiu būdu, net jei kas nors pavogs informaciją, jis negalės jos iššifruoti be rakto.
Lygiai taip pat svarbu, kaip ir šifravimas, tinkamas raktų valdymas : saugiai saugokite juos naudodami debesijos pagrindu veikiančius failų šifravimo įrankius (idealiu atveju – raktų valdymo moduliuose ar paslaugose), reguliariai juos keiskite ir kontroliuokite, kas gali juos naudoti. Prastas raktų valdymas gali pakenkti net ir stipriausiam šifravimui.
Kitas esminis komponentas yra tapatybės ir prieigos valdymas (IAM) . Tai apima vartotojų, grupių ir vaidmenų apibrėžimą, minimalių būtinų leidimų priskyrimą (mažiausių privilegijų principas), daugiafaktorinio autentifikavimo (MFA) naudojimą ir periodišką pasenusių arba pernelyg privilegijuotų paskyrų peržiūrą.
Tinklo lygmeniu debesijos saugumas naudoja virtualias užkardas, loginį segmentavimą, virtualius privačius tinklus (VPN) ir mikrosegmentavimą . Idėja yra ta, kad ne viskas gali bendrauti su viskuo kitu; tarp paslaugų, zonų ir aplinkų turėtų būti tik būtinas srautas.
Nuolatinis stebėjimas ir grėsmių aptikimas užbaigia vaizdą. Debesijos pagrindu veikiančios aptikimo ir reagavimo (CDR) priemonės, SIEM sprendimai, grėsmių žvalgyba ir dirbtinio intelekto valdomos anomalijų aptikimo sistemos leidžia beveik realiuoju laiku nustatyti įtartiną elgesį, neįprastą prieigą ar pavojingas konfigūracijas.
Visa tai palaiko atsarginės kopijos, duomenų atkūrimo po avarinių situacijų (DR) planai ir verslo tęstinumo (BC) užtikrinimas, užtikrinantys, kad jei kas nors sugenda ar yra pažeidžiama, organizacija gali atkurti duomenis be katastrofiško poveikio.
Kuo debesijos saugumas skiriasi nuo tradicinio saugumo?
Pagrindinis skirtumas yra tas, kad debesyje tradicinis perimetras praktiškai išnyksta . Anksčiau pakako apsaugoti įmonės vidinį tinklą perimetro užkarda; dabar duomenys ir programos yra paskirstyti tarp vidinių duomenų centrų ir išorinių tiekėjų, pasiekiami iš bet kurios vietos.
Be to, debesų infrastruktūroms būdingas greitas mastelio keitimas ir trumpalaikis pobūdis . Virtualios mašinos, konteineriai ir serverių neturinčios funkcijos atsiranda ir išnyksta automatiškai, o tai labai apsunkina tradicinių saugumo įrankių, skirtų statinėms aplinkoms, užduotį.
Integracija su keliomis trečiųjų šalių paslaugomis, API ir galiniais įrenginiais žymiai padidina atakų paviršių . Bet kokia netinkama konfigūracija ar nesaugus elgesys (pvz., atidaryto aplanko palikimas arba raktų bendrinimas el. paštu) gali turėti kaskadinį poveikį.
Galiausiai, viešojoje, hibridinėje ir daugiadebesėje aplinkoje yra papildomas komponentas: loginis artumas prie kitų klientų ir sistemų . Izoliuotas gedimas arba bendros paslaugos pažeidžiamumas gali paveikti kelis nuomininkus, jei paslaugų teikėjas nesiima greitų veiksmų.
Pagrindinės debesijos saugumo rizikos ir grėsmės
Netinkamai valdomos debesijos aplinkos gali sukelti įmonėms ir vartotojams įvairių grėsmių – tiek išorinių, tiek vidinių.
Pasikartojanti problema yra neteisėta prieiga , dažnai kylanti dėl pavogtų prisijungimo duomenų, silpnų slaptažodžių arba prastai valdomų administratoriaus paskyrų naudojimo. Nuotolinio darbo scenarijuose, kai darbuotojai prie sistemos jungiasi iš kelių vietų ir įrenginių, ši rizika padidėja kelis kartus.
Kita svarbi rizika yra duomenų praradimas arba nutekėjimas . Netinkamos konfigūracijos (viešas saugojimas, kai jis turėtų būti privatus), žmogiškosios klaidos, kenkėjiškų programų atakos, sukčiavimas sukčiavimu arba programų pažeidžiamumų išnaudojimas gali atskleisti neskelbtiną informaciją.
Neatitikimas reglamentams yra dar vienas didelis galvos skausmas. Tokie reglamentai kaip BDAR, HIPAA, PCI DSS ir kiti reikalauja specialios duomenų saugojimo, tvarkymo ir perdavimo kontrolės. Debesyje lengva pamiršti, kur fiziškai yra duomenys arba kas prie jų prisijungia, jei saugumas nėra sukurtas atsižvelgiant į šią reguliavimo sistemą.
Taip pat neturime pamiršti atakų prieš prieinamumą , tokių kaip paskirstytos paslaugų teikimo trikdymo (angl. DDoS) kampanijos, kuriomis bandoma perkrauti debesijos paslaugas ir jas atjungti. Nors didieji paslaugų teikėjai turi tvirtą apsaugą, jokia aplinka nėra apsaugota.
Galiausiai išsiskiria netinkamos konfigūracijos klaidos ir vidinės grėsmės . Palikti nereikalingus atvirus prievadus, nepakeisti numatytųjų verčių arba suteikti vartotojams ar programoms daugiau leidimų nei būtina, atveria duris piktnaudžiavimui, kurį gali atlikti tiek trečiosios šalys, tiek kenkėjiški arba nepakankamai apmokyti vidiniai darbuotojai.
Su debesija susiję privatumas, reglamentai ir įstatymai
Asmens duomenų apsaugai debesyje didelę įtaką daro teisinės ir reguliavimo sistemos . Europoje Bendrasis duomenų apsaugos reglamentas (BDAR) nustato taisykles, kaip Europos piliečių duomenys gali būti saugomi, tvarkomi ir perduodami.
Tokiuose sektoriuose kaip sveikatos priežiūra, tokie reglamentai kaip HIPAA nustato papildomus reikalavimus dėl klinikinės informacijos konfidencialumo, vientisumo ir prieinamumo. Be to, debesijos paslaugų teikėjų, veikiančių JAV, srityje tokie įstatymai kaip Debesijos įstatymas leidžia tam tikroms institucijoms prašyti prieigos prie jų serveriuose saugomų duomenų, net jei tie serveriai yra kitose šalyse.
Siekdamos patenkinti šiuos poreikius, daugelis organizacijų naudoja tokius metodus kaip duomenų maskavimas arba pseudonimizavimas , kurie atskiria identifikuojančius duomenis nuo likusios informacijos, taip pat stiprų šifravimą ir griežtą prieigos bei registracijos kontrolę.
Bet kuriuo atveju, net jei debesijos paslaugų teikėjas siūlo įrankius ir sertifikatus, galutinė atsakomybė už atitiktį reikalavimams taip pat tenka klientui , kuris privalo užtikrinti, kad paslaugos būtų sukonfigūruotos ir naudojamos pagal galiojančius įstatymus.
Tipai ir konkretūs debesijos saugumo sprendimai
Pastaraisiais metais atsirado specializuotų sprendimų, skirtų spręsti specifinius debesų kompiuterijos saugumo iššūkius ir papildyti tiekėjų teikiamas funkcijas.
Debesijos saugumo padėties valdymo (CSPM) platformos nuolat peržiūri debesijos išteklių konfigūraciją, kad aptiktų klaidas, nukrypimus nuo geriausios praktikos ir atitikties problemas, siūlydamos arba taikydamos automatinius pataisymus.
Debesijos infrastruktūros teisių valdymo (CIEM) įrankiai sutelkia dėmesį į leidimus ir tapatybes sudėtingose debesijos infrastruktūrose, padėdami sumažinti pernelyg daug privilegijų ir užtikrindami tikslų matomumą, kas gali ką daryti su kiekvienu ištekliumi.
Debesų aptikimo ir reagavimo (CDR) sistemos ir modernios SIEM sistemos užtikrina pažangų grėsmių aptikimą ir reagavimą į jas, koreliuoja žurnalus iš skirtingų šaltinių, prideda grėsmių žvalgybos duomenis ir realiuoju laiku įspėja apie anomalų elgesį.
Programinės įrangos kūrime tokios praktikos kaip SAST (statinis programų saugumo testavimas) ir DAST (dinaminis programų saugumo testavimas) padeda aptikti kodo ir vykdymo aplinkos pažeidžiamumus dar prieš jiems pasiekiant gamybos aplinką.
Šiuolaikinėse architektūrose taip pat kalbama apie saugią infrastruktūrą kaip kodą (IaC) , kuri apima infrastruktūros šablonų ir apibrėžimų („Terraform“, „CloudFormation“ ir kt.) patvirtinimą, siekiant užtikrinti, kad ištekliai būtų kuriami su saugia konfigūracija.
Debesijos darbo krūvio apsaugos platformos (CWPP) daugiausia dėmesio skiria virtualių serverių, konteinerių ir serverių neturinčių funkcijų apsaugai, o tokios technologijos kaip SOAR automatizuoja orkestravimą, reagavimą ir integravimą tarp kelių saugos įrankių.
Konteinerių orkestravimo aplinkose „Kubernetes“ saugumo padėties valdymo (KSPM) sprendimai padeda apsaugoti šiai ekosistemai būdingus klasterius, tinklo politikas, vaidmenis ir konfigūracijas.
Nulinis pasitikėjimas: pagrindinis požiūris į debesijos saugumą
Nulinio pasitikėjimo modelis siūlo atsisakyti idėjos, kad tai, kas yra tinklo „viduje“, yra patikima, o kas už jo ribų – ne. Vietoj to, visa prieiga turėtų būti nuolat tikrinama, nepriklausomai nuo naudotojo ar ištekliaus vietos.
Praktiškai „Zero Trust“ principas skatina mažiausių privilegijų principą : kiekvienas vartotojas, paslauga ar programa gali pasiekti tik tai, ko jai reikia savo funkcijai atlikti, ir nieko daugiau. Tokiu būdu, jei paskyra būtų pažeista, poveikis būtų mažesnis.
Šis metodas taip pat reikalauja apsaugoti žiniatinklio programas ir API nuo pat projektavimo etapo, peržiūrėti atvirus prievadus, duomenų bazių teises, trečiųjų šalių integracijas ir autentifikavimo bei autorizacijos politiką, kad užpuolikas negalėtų laisvai judėti, jei pažeistų komponentą.
Kitas svarbus „Zero Trust“ elementas yra mikrosegmentacija . Vietoj plokščio tinklo duomenų centre arba debesijos aplinkoje sukuriamos mažesnės saugumo zonos, taikant griežtas srauto politikas tarp zonų ir tarp darbo krūvių. Tokiu būdu, net jei viena dalis yra pažeista, likusi dalis lieka apsaugota.
Geriausia praktika ir konkrečios priemonės debesijos apsaugai
Norint saugiai naudoti debesį, būtina derinti technines, konfigūravimo ir sąmoningumo priemones . Kai kurios svarbiausios yra šios:
Pirma, patartina šifruoti visą ryšį su debesimi, ypač slaptus duomenis , pvz., kredencialus, finansinę informaciją ar asmens duomenis. Kai tik įmanoma, ištisinis šifravimas suteikia aukštesnį apsaugos lygį.
Lygiai taip pat svarbu kruopščiai konfigūruoti visas debesies paslaugas . Niekada nepalikite numatytųjų reikšmių ir netyčia neatskleiskite talpyklų, duomenų bazių ar mašinų prie interneto, nebent tai būtų absoliučiai būtina. IaC šablonų peržiūra ir CSPM įrankių naudojimas padeda sumažinti šias klaidas.
Pagrindinės kibernetinio saugumo praktikos išlieka būtinos: stiprūs slaptažodžiai , slaptažodžių tvarkyklės, daugiafaktorinis autentifikavimas (MFA), antivirusinės programos, kenkėjiškų programų naikinimas ir nesaugių viešųjų „Wi-Fi“ tinklų vengimas . Vienas užkrėstas įrenginys arba vienas nutekėjęs raktas gali pakenkti visam jūsų debesijos pėdsakui.
Taip pat svarbu reguliariai kurti atsargines kopijas ir patikrinti, ar jas galima atkurti. Šias atsargines kopijas galima saugoti vietoje, kitame debesyje arba pas kitą tiekėją, užtikrinant, kad jos nebūtų naudojamos toje pačioje infrastruktūroje, siekiant išvengti pavienių gedimų.
Galiausiai, organizacijos turėtų apriboti ir nuolat peržiūrėti leidimus bei prieigą tiek žmonėms, tiek daiktų interneto programoms ir įrenginiams, kurdamos svečių tinklus, atskirdamos gamybos ir testavimo aplinkas ir palaikydamos gerą paskyrų bei paslaugų higieną (atsisaikdindamos tai, kas nebenaudojama).
Išplėstiniai debesijos pagrindu sukurto saugumo iššūkiai
Aplinkose, kuriose labai orientuota į debesiją, ypač naudojant CI/CD, mikropaslaugas, konteinerius ir beserverius funkcijas, kyla papildomų saugumo iššūkių.
Atakų paviršius yra didesnis, su keliais potencialiais įėjimo taškais: atvirais prievadais, pažeidžiamomis API sąsajomis, kode įterptais prisijungimo duomenimis arba pernelyg liberaliomis tinklo konfigūracijomis. Kenkėjiškos programos, nulinės dienos atakos ir paskyrų perėmimai dabar yra įprasti reiškiniai.
Be to, dėl išsamaus matomumo IaaS, PaaS ir SaaS aplinkose stokos daugeliui įmonių sunku tiksliai žinoti, kokius išteklius jos turi kiekviename debesyje ir kaip jie sukonfigūruoti, o tai apsunkina atsargų ir rizikos valdymą.
Darbo krūviai nuolat kinta: ištekliai dinamiškai diegiami ir naikinami dideliu mastu, todėl tradicinėms priemonėms neįmanoma išlaikyti ir įgyvendinti nuoseklios politikos . Štai kodėl labai svarbu integruoti saugumo kontrolės priemones nuo pat ankstyviausių kūrimo gyvavimo ciklo etapų („DevSecOps“).
Prie viso to prisideda ir itin detalių privilegijų bei prieigos raktų valdymo sudėtingumas . Prastai apibrėžtas vaidmuo arba pamirštas slaptažodis su pernelyg didelėmis teisėmis gali sukurti didžiulį pažeidžiamumą. Hibridinėse ir kelių debesų aplinkose nuoseklios atitikties ir valdymo politikos organizavimas be tinkamų įrankių tampa praktiškai neįmanomas.
Galiausiai, organizacijoms reikia specialiai debesijos pagrindu veikiančioms aplinkoms sukurto saugumo , pasižyminčio centralizuotu matomumu, stipria automatizacija ir galimybe prisitaikyti prie labai paskirstytos aplinkos.
Visa ši koncepcijų, technologijų ir geriausios praktikos ekosistema debesijos saugumą paverčia daug daugiau nei „antivirusinės programinės įrangos įdiegimu nuotoliniame serveryje“: tai nuolatinis projektavimo, konfigūravimo, stebėjimo ir tobulinimo procesas, kurio metu paslaugų teikėjas ir klientas turi bendradarbiauti, kad duomenys, programos ir vartotojai būtų tikrai apsaugoti.
