- Mākoņdatošanas drošība balstās uz pakalpojumu sniedzēja un klienta kopīgas atbildības modeli, kas atšķiras atkarībā no pakalpojuma veida (IaaS, PaaS, SaaS).
- Mākoņa aizsardzībai ir nepieciešama šifrēšanas, granulāras IAM, tīkla segmentācijas, nepārtrauktas uzraudzības un pārbaudītu dublējumu apvienošana.
- Publiskai, privātai, hibrīdai un daudzmākoņainai videi ir nepieciešamas īpašas stratēģijas, ko atbalsta nulles uzticēšanās un tādi rīki kā CSPM, CIEM vai CDR.
- Atbilstība privātuma un normatīvo aktu prasībām (VDAR, HIPAA utt.) prasa stingru tehnisko un organizatorisko datu un piekļuves kontroles pasākumu piemērošanu.
Mākoņdatošanas drošība ir kļuvusi par galveno komponentu jebkuram uzņēmumam vai organizācijai, kas ikdienā izmanto mākoņpakalpojumus . Mēs vairs nerunājam tikai par lieliem uzņēmumiem: MVU, ārštata darbinieki un pat individuāli lietotāji paļaujas uz lietojumprogrammām un datiem, kas tiek mitināti ārpus viņu pašu serveriem.
Šajā kontekstā laba izpratne par to, ko nozīmē aizsargāt datus, lietojumprogrammas un infrastruktūru mākoņkrātuvē , kāda daļa gulstas uz pakalpojumu sniedzēju un kāda uz klientu, kā arī kādi konkrēti riski pastāv, ir izšķiroša starp to, vai strādāt ar mierīgu sirdi vai būt viena klikšķa attālumā no nopietna kiberdrošības incidenta.
Mākoņdrošības definīcija un pamati
Runājot par mākoņa drošību, mēs domājam tehnoloģiju, procesu, politiku un labākās prakses kopumu, kas izstrādāts, lai aizsargātu visu, kas atrodas mākoņvidē: datus, lietojumprogrammas, operētājsistēmas, virtuālos tīklus un pašu pamatā esošo infrastruktūru.
Šī disciplīna ir daļa no kiberdrošības, taču tai ir savas nianses. Mākonī aizsardzību dala pakalpojumu sniedzējs un klients . Pakalpojumu sniedzējs aizsargā fiziskās komponentes un daļu no loģiskā slāņa, savukārt klients ir atbildīgs par konfigurāciju, datu aizsardzību, lietotāju drošību un pakalpojumu lietošanas veidu.
Būtībā mākoņdrošība ir strukturēta vairākās galvenajās jomās: datu aizsardzība, identitātes un piekļuves pārvaldība (IAM), pārvaldība un atbilstība, uzņēmējdarbības nepārtrauktība un atkopšana pēc katastrofām , kā arī atbilstība datu aizsardzības likumiem un nozares noteikumiem.
Mākoņdrošības darbības joma aptver gan fiziskus elementus, piemēram, datu centrus, maršrutētājus vai barošanas sistēmas , gan loģiskus slāņus, piemēram, virtualizācijas platformas, operētājsistēmas, starpprogrammatūru, API, izpildlaika vides, lietotāju lietojumprogrammas un, protams, datu slāni un gala ierīces (datorus, mobilos tālruņus, lietu internetu utt.).
Tā kā šo komponentu īpašumtiesības un pārvaldība mākonī ir sadalīta atšķirīgi atkarībā no pakalpojuma, ir svarīgi skaidri definēt atbildības robežas . Šeit spēlē lomu labi zināmais kopīgās atbildības modelis.
Dalītas atbildības modelis mākonī
Gandrīz visi pakalpojumu sniedzēji (AWS, Azure, Google Cloud un citi) piemēro dalītas atbildības modeli . Tas nozīmē, ka gan pakalpojumu sniedzējam, gan klientam ir īpaši pienākumi, lai nodrošinātu vides drošību.
Pakalpojumu sniedzējs parasti ir atbildīgs par paša mākoņa drošību : datu centriem, fizisko tīklu, aparatūru, hipervizoriem, fiziskajiem resursdatoriem un daļu no virtualizācijas slāņa. Tas ietver ielāpu instalēšanu, konfigurēšanu un piekļuves kontroli fiziskajiem resursiem, kuros darbojas virtuālās mašīnas un pārvaldītie pakalpojumi.
Klients savukārt vienmēr ir atbildīgs par drošību "mākonī" . Tas ietver lietotāju, lomu un atļauju (IAM) pārvaldību, kontu aizsardzību pret nesankcionētu piekļuvi, datu šifrēšanu un kontroli, izvietoto lietojumprogrammu drošību un atbilstošas atbilstības nodrošināšanas nodrošināšanu.
Starp šīm divām galējībām pastāv pienākumi, kas atšķiras atkarībā no pakalpojumu modeļa :
-
Programmatūra kā pakalpojums (SaaS) : Pakalpojumu sniedzējs pārvalda infrastruktūru, operētājsistēmu, starpprogrammatūru un pašu lietojumprogrammu. Klients ir atbildīgs par lietotājiem, parolēm, atļaujām, funkcionālo konfigurāciju un to ievadīto vai ģenerēto datu aizsardzību.
-
Platforma kā pakalpojums (PaaS) : Pakalpojumu sniedzējs pārvalda infrastruktūru, operētājsistēmu, izpildlaiku un dažus platformas rīkus. Klients pārvalda savu lietojumprogrammu kodu, datus, lietotāju piekļuvi un integrācijas drošību.
-
Infrastruktūra kā pakalpojums (IaaS) : Pakalpojumu sniedzējs nodrošina fiziskās aparatūras un virtualizācijas drošību, bet klientam ir jāaizsargā savu virtuālo mašīnu operētājsistēma, starpprogrammatūra, dati, lietojumprogrammas, loģiskais tīkls un ierīces un tīkli, no kuriem tiem piekļūst.
Jo pārvaldītāks ir pakalpojums (piemēram, SaaS), jo vairāk drošības uzdevumu uzņemas pakalpojumu sniedzējs . Tuvojoties IaaS modelim, kontrole palielinās, bet pieaug arī klienta atbildība.
Mākoņdatošanas izvietošanas vides un modeļi
Mākoņa izvietošanas veids ietekmē arī drošības pārvaldību. Ir dažādi mākoņvides modeļi , kas risina dažādas vajadzības un riskus.
Publiskā mākonī resursi pieder trešās puses pakalpojumu sniedzējam un tiek koplietoti starp vairākiem klientiem (vairāku nomnieku modelis). Šis ir tipisks AWS, Azure vai Google Cloud modelis. Tas piedāvā augstu mērogojamību, priekšapmaksas cenas un minimālu klienta infrastruktūras pārvaldību, taču tam ir nepieciešama stingra datu segmentācija un konfigurēšana, lai novērstu noplūdes starp nomniekiem un publiskas informācijas atklāšanas kļūdas.
Privāts mākonis ir atsevišķai organizācijai veltīta vide, kas tiek mitināta tās telpās vai trešās puses vietnē, bet ir izolēta. Tas nodrošina lielāku kontroli, pielāgojamu drošību un resursu izolāciju , un ir paredzēts nozarēm ar stingrām normatīvajām prasībām, piemēram, veselības aprūpei, finansēm vai publiskajam sektoram.
Hibrīda mākoņa modelis apvieno publiskos un privātos mākoņus, ļaujot pārvietot datus un darba slodzes starp tiem. Tas nodrošina elastību: mēs varam mitināt kritiski svarīgus datus privātajā mākonī un izmantot publiskā mākoņa elastību maksimālā pieprasījuma gadījumā. Tomēr tas arī palielina saziņas nodrošināšanas un konsekventu politiku ieviešanas sarežģītību abās pusēs.
Daudzmākoņa pieejā organizācija izmanto pakalpojumus no vairākiem pakalpojumu sniedzējiem (piemēram, AWS, Azure un nozarei specifisku SaaS). Tas samazina pieķeršanos pie viena pārdevēja un uzlabo noturību, taču apgrūtina vienotu politikas pārvaldību, redzamību un atbilstību, jo ir nepieciešams koordinēt dažādas platformas un rīkus.
Visiem šiem modeļiem ieteicams izmantot tādus pasākumus kā spēcīga šifrēšana, granulāra IAM, periodiskas revīzijas un specializēti rīki (CASB, CIEM, CSPM), lai uzturētu konsolidētu priekšstatu par drošības stāvokli.
Kā mākoņa drošība patiesībā darbojas
Mākoņdatošanas drošība balstās uz koordinētu tehnisko un organizatorisko mehānismu kopumu , kas, pareizi piemēroti, ievērojami samazina incidentu risku.
Viens no galvenajiem pīlāriem ir datu šifrēšana gan pārsūtīšanas, gan miera stāvoklī . Droši protokoli (TLS) tiek izmantoti, kad dati pārvietojas starp lietotājiem, lietojumprogrammām un serveriem, un datiem, kas tiek glabāti diskos, datubāzēs vai citos objektos, tiek piemēroti militāra līmeņa šifrēšanas mehānismi . Tādā veidā, pat ja kāds nozog informāciju, viņš to nevarēs atšifrēt bez atslēgas.
Tikpat svarīga kā šifrēšana ir pareiza atslēgu pārvaldība : droši glabājiet tās, izmantojot mākonī balstītus failu šifrēšanas rīkus (ideālā gadījumā atslēgu pārvaldības moduļos vai pakalpojumos), regulāri mainiet tās un kontrolējiet, kas tās var izmantot. Slikta atslēgu pārvaldība var apdraudēt pat visspēcīgāko šifrēšanu.
Vēl viena būtiska sastāvdaļa ir identitātes un piekļuves pārvaldība (IAM) . Tas ietver lietotāju, grupu un lomu definēšanu, minimāli nepieciešamo atļauju piešķiršanu (mazāko privilēģiju princips), daudzfaktoru autentifikācijas (MFA) izmantošanu un novecojušu vai pārmērīgi privilēģētu kontu periodisku pārskatīšanu.
Tīkla līmenī mākoņa drošība izmanto virtuālus ugunsmūrus, loģisko segmentāciju, virtuālos privātos tīklus (VPN) un mikrosegmentāciju . Ideja ir tāda, ka ne viss var sazināties savā starpā; starp pakalpojumiem, zonām un vidēm jābūt tikai absolūti nepieciešamajai datplūsmai.
Nepārtraukta uzraudzība un draudu noteikšana papildina ainu. Mākonī balstīti noteikšanas un reaģēšanas (CDR) rīki, SIEM risinājumi, draudu izlūkošana un mākslīgā intelekta darbinātas anomāliju noteikšanas sistēmas ļauj gandrīz reāllaikā identificēt aizdomīgu uzvedību, neparastu piekļuvi vai bīstamas konfigurācijas.
To visu atbalsta dublējumkopijas, atkopšanas pēc avārijas (DR) plāni un biznesa nepārtrauktības (BC) nodrošināšana , kas nodrošina, ka, ja kaut kas sabojājas vai tiek apdraudēts, organizācija var atgūties bez katastrofālas ietekmes.
Ar ko mākoņa drošība atšķiras no tradicionālās drošības?
Galvenā atšķirība ir tā, ka mākonī tradicionālais perimetrs praktiski izzūd . Iepriekš pietika ar uzņēmuma iekšējā tīkla aizsardzību aiz perimetra ugunsmūra; tagad dati un lietojumprogrammas ir sadalītas starp iekšējiem datu centriem un ārējiem pakalpojumu sniedzējiem, un tām var piekļūt no jebkuras vietas.
Turklāt mākoņinfrastruktūrām raksturīga ātra mērogojamība un īslaicīgums . Virtuālās mašīnas, konteineri un bezserveru funkcijas parādās un pazūd automātiski, kas ievērojami sarežģī tradicionālo drošības rīku, kas paredzēti statiskām vidēm, uzdevumu.
Integrācija ar vairākiem trešo pušu pakalpojumiem, API un gala ierīcēm ievērojami palielina uzbrukuma virsmu . Jebkura nepareiza konfigurācija vai nedroša rīcība (piemēram, atvērta nodalījuma atstāšana vai atslēgu koplietošana pa e-pastu) var radīt kaskādes efektu.
Visbeidzot, publiskās, hibrīdās un daudzmākoņu vidēs pastāv papildu komponents: loģisks tuvums citiem klientiem un sistēmām . Izolēta kļūme vai koplietota pakalpojuma ievainojamība var izplatīties uz vairākiem nomniekiem, ja pakalpojumu sniedzējs nerīkojas ātri.
Galvenie mākoņa drošības riski un draudi
Mākoņvides, ja tās netiek pareizi pārvaldītas, var pakļaut uzņēmumus un lietotājus plašam apdraudējumu klāstam , gan ārējiem, gan iekšējiem.
Bieži sastopama problēma ir nesankcionēta piekļuve , kas bieži rodas nozagtu akreditācijas datu, vāju paroļu vai slikti pārvaldītu administratora kontu izmantošanas rezultātā. Attālinātā darba scenārijos, kad darbinieki piekļūst sistēmai no vairākām vietām un ierīcēm, šis risks palielinās.
Vēl viens būtisks risks ir datu zudums vai noplūde . Nepareizas konfigurācijas (publiska krātuve, kad tai jābūt privātai), cilvēciskas kļūdas, ļaunprogrammatūras uzbrukumi, pikšķerēšana vai lietojumprogrammu ievainojamību izmantošana var atklāt sensitīvu informāciju.
Vēl viena liela problēma ir neatbilstība normatīvajiem aktiem . Tādi noteikumi kā GDPR, HIPAA, PCI DSS un citi pieprasa īpašu kontroli pār to, kā dati tiek glabāti, apstrādāti un pārsūtīti. Mākonī ir viegli pazaudēt informāciju par to, kur dati fiziski atrodas vai kas tiem piekļūst, ja drošība nav izstrādāta, ņemot vērā šo normatīvo regulējumu.
Mēs nedrīkstam aizmirst arī par uzbrukumiem pieejamībai , piemēram, izkliedētām pakalpojuma atteikšanas (DDoS) kampaņām, kuru mērķis ir pārslogot mākoņpakalpojumus un izslēgt tos. Lai gan lielākajiem pakalpojumu sniedzējiem ir spēcīga aizsardzība, neviena vide nav imūna.
Visbeidzot, izceļas nepareizas konfigurācijas kļūdas un iekšējie apdraudējumi . Nevajadzīgu portu atstāšana atvērtiem, noklusējuma vērtību nemaināšana vai vairāk atļauju piešķiršana lietotājiem vai lietojumprogrammām nekā nepieciešams paver durvis ļaunprātīgai izmantošanai gan no trešo pušu, gan iekšējā personāla puses ar ļaunprātīgiem nodomiem vai nepietiekamu apmācību.
Ar mākoņpakalpojumiem saistītie privātuma noteikumi un likumi
Personas datu aizsardzību mākonī lielā mērā ietekmē tiesiskais un normatīvais regulējums . Eiropā Vispārīgā datu aizsardzības regula (VDAR) nosaka noteikumus par to, kā Eiropas pilsoņu dati var tikt glabāti, apstrādāti un pārsūtīti.
Tādās nozarēs kā veselības aprūpe tādi noteikumi kā HIPAA pievieno papildu prasības attiecībā uz klīniskās informācijas konfidencialitāti, integritāti un pieejamību. Turklāt mākoņpakalpojumu sniedzēju, kas darbojas ASV, jomā tādi likumi kā Mākoņpakalpojumu likums ļauj noteiktām iestādēm pieprasīt piekļuvi datiem, kas glabājas viņu serveros, pat ja šie serveri atrodas citās valstīs.
Lai apmierinātu šīs prasības, daudzas organizācijas izmanto tādas metodes kā datu maskēšana vai pseidonimizācija , kas atdala identificējošus datus no pārējās informācijas, kā arī spēcīgu šifrēšanu un stingru piekļuves un reģistrācijas kontroli.
Jebkurā gadījumā, pat ja mākoņpakalpojumu sniedzējs piedāvā rīkus un sertifikācijas, galīgā atbildība par atbilstību gulstas arī uz klientu , kuram jānodrošina, ka pakalpojumi tiek konfigurēti un izmantoti saskaņā ar piemērojamajiem tiesību aktiem.
Veidi un specifiski mākoņa drošības risinājumi
Pēdējos gados ir parādījušies specializēti risinājumi, lai risinātu specifiskas mākoņa drošības problēmas un papildinātu pakalpojumu sniedzēju vietējās funkcijas.
Mākoņa drošības stāvokļa pārvaldības (CSPM) platformas nepārtraukti pārskata mākoņresursu konfigurāciju, lai atklātu kļūdas, novirzes no labākās prakses un atbilstības problēmas, ierosinot vai piemērojot automatizētus labojumus.
Mākoņinfrastruktūras tiesību pārvaldības (CIEM) rīki koncentrējas uz atļaujām un identitātēm sarežģītās mākoņinfrastruktūrās, palīdzot samazināt pārmērīgas privilēģijas un nodrošinot precīzu pārskatu par to, kas var darīt ko ar katru resursu.
Mākoņa noteikšanas un reaģēšanas (CDR) sistēmas un mūsdienīgas SIEM sistēmas nodrošina uzlabotu draudu noteikšanu un reaģēšanu, korelējot žurnālus no dažādiem avotiem, pievienojot draudu informāciju un reāllaikā brīdinot par anomālu uzvedību.
Programmatūras izstrādē tādas metodes kā SAST (statiskā lietojumprogrammu drošības testēšana) un DAST (dinamiskā lietojumprogrammu drošības testēšana) palīdz atklāt ievainojamības kodā un izpildlaika vidē, pirms tās nonāk ražošanas vidē.
Mūsdienu arhitektūrās tiek runāts arī par drošu infrastruktūru kā kodu (IaC) , kas ietver infrastruktūras veidņu un definīciju (Terraform, CloudFormation utt.) validēšanu, lai nodrošinātu, ka resursi tiek radīti ar drošu konfigurāciju.
Mākoņdatošanas darba slodzes aizsardzības platformas (CWPP) koncentrējas uz virtuālo serveru, konteineru un bezserveru funkciju aizsardzību, savukārt tādas tehnoloģijas kā SOAR automatizē orķestrēšanu, reaģēšanu un integrāciju vairākos drošības rīkos.
Konteineru orķestrēšanas vidēs Kubernetes drošības stāvokļa pārvaldības (KSPM) risinājumi palīdz aizsargāt šai ekosistēmai raksturīgos klasterus, tīkla politikas, lomas un konfigurācijas.
Nulles uzticēšanās: galvenā pieeja mākoņa drošībai
Nulles uzticēšanās modelis ierosina atteikties no idejas, ka tas, kas atrodas tīkla "iekšpusē", ir uzticams, bet tas, kas atrodas ārpusē, nav. Tā vietā visa piekļuve ir nepārtraukti jāpārbauda neatkarīgi no lietotāja vai resursa atrašanās vietas.
Praksē nulles uzticēšanās princips veicina mazāko privilēģiju principu : katrs lietotājs, pakalpojums vai lietojumprogramma var piekļūt tikai tam, kas nepieciešams tās funkcijai, nekam vairāk. Tādā veidā, ja konts tiek apdraudēts, ietekme ir ierobežotāka.
Šī pieeja prasa arī tīmekļa lietojumprogrammu un API aizsardzību jau no projektēšanas stadijas, atvērto portu, datubāzes atļauju, trešo pušu integrāciju, kā arī autentifikācijas un autorizācijas politiku pārskatīšanu, lai novērstu uzbrucēja brīvu pārvietošanos, ja tas apdraud kādu komponentu.
Vēl viens svarīgs nulles uzticēšanās elements ir mikrosegmentācija . Plakana tīkla vietā datu centrā vai mākoņvidē tiek izveidotas mazākas drošības zonas, piemērojot stingras datplūsmas politikas starp zonām un starp darba slodzēm. Tādā veidā, pat ja viena daļa tiek apdraudēta, pārējā paliek aizsargāta.
Labākā prakse un konkrēti pasākumi mākoņa drošības nodrošināšanai
Lai droši izmantotu mākoņpakalpojumus, ir jāapvieno tehniskie, konfigurācijas un informētības pasākumi . Daži no svarīgākajiem ir šādi:
Pirmkārt, ieteicams šifrēt visu saziņu ar mākoni, īpaši sensitīvus datus , piemēram, akreditācijas datus, finanšu informāciju vai personas datus. Kad vien iespējams, pilnīga šifrēšana piedāvā augstāku aizsardzības līmeni.
Tikpat svarīga ir visu mākoņpakalpojumu rūpīga konfigurēšana . Nekad neatstājiet noklusējuma vērtības un nekad nejauši neatklājiet segmentus, datubāzes vai mašīnas internetam, ja vien tas nav absolūti nepieciešams. IaC veidņu pārskatīšana un CSPM rīku izmantošana palīdz samazināt šīs kļūdas.
Joprojām ir svarīgi ievērot kiberdrošības pamatpraksi: spēcīgas paroles , paroļu pārvaldnieki, daudzfaktoru autentifikācija (MFA), pretvīrusu līdzekļi, ļaunprogrammatūras novēršana un nedrošu publisku Wi-Fi tīklu neizmantošana . Viena inficēta ierīce vai viena nopludināta atslēga var apdraudēt visu jūsu mākoņpakalpojumu.
Ir arī svarīgi regulāri veikt dublējumkopijas un pārbaudīt, vai tās var atjaunot. Šīs dublējumkopijas var glabāt lokāli, citā mākonī vai pie cita pakalpojumu sniedzēja, nodrošinot, ka tās neizmanto vienu un to pašu infrastruktūru, lai izvairītos no atsevišķiem kļūmes punktiem.
Visbeidzot, organizācijām ir jāierobežo un nepārtraukti jāpārskata gan lietotāju, gan lietu interneta lietojumprogrammu un ierīču atļaujas un piekļuve , izveidojot viesu tīklus, atdalot ražošanas un testēšanas vides un uzturot labu kontu un pakalpojumu higiēnu (likvidējot to, kas vairs netiek izmantots).
Mākoņtehnoloģiju drošības sarežģītie izaicinājumi
Vidēs, kas ir ļoti orientētas uz mākoņdatošanu, īpaši ar CI/CD, mikropakalpojumiem, konteineriem un bezservera funkcijām, rodas papildu drošības problēmas.
Uzbrukumu virsma ir plašāka, ar vairākiem potenciāliem ieejas punktiem: atvērtiem portiem, atklātiem API, kodā iegultiem akreditācijas datiem vai pārāk atļaujošām tīkla konfigurācijām. Ļaunprogrammatūra, nulles dienas uzbrukumi un kontu pārņemšana tagad ir ikdienišķa parādība.
Turklāt visaptverošas pārskatāmības trūkums IaaS, PaaS un SaaS vidēs daudziem uzņēmumiem apgrūtina precīzu zināšanu par to, kādi aktīvi tiem ir katrā mākonī un kā tie ir konfigurēti, tādējādi sarežģot inventāra un risku pārvaldību.
Darba slodzes pastāvīgi mainās: resursi tiek dinamiski izvietoti un iznīcināti plašā mērogā, padarot neiespējamu tradicionālajiem rīkiem saglabāt un ieviest konsekventas politikas . Tāpēc ir tik svarīgi integrēt drošības kontroles jau no izstrādes dzīves cikla (DevSecOps) agrīnākajiem posmiem.
Turklāt ir sarežģīti pārvaldīt ļoti detalizētas privilēģijas un piekļuves atslēgas . Slikti definēta loma vai aizmirsta parole ar pārmērīgām atļaujām var radīt milzīgu ievainojamību. Hibrīdās un vairāku mākoņu vidēs konsekventu atbilstības un pārvaldības politiku ieviešana bez atbilstošiem rīkiem kļūst praktiski neiespējama.
Galu galā organizācijām ir nepieciešama drošība, kas īpaši izstrādāta mākoņdatošanas vidēm , ar centralizētu redzamību, spēcīgu automatizāciju un spēju pielāgoties ļoti izkliedētām vidēm.
Visa šī koncepciju, tehnoloģiju un labākās prakses ekosistēma padara mākoņdrošību par daudz vairāk nekā tikai "pretvīrusu programmatūras izvietošanu attālajā serverī": tas ir nepārtraukts projektēšanas, konfigurēšanas, uzraudzības un uzlabošanas process, kurā pakalpojumu sniedzējam un klientam ir jāsadarbojas, lai dati, lietojumprogrammas un lietotāji būtu patiesi aizsargāti.
