Облачная безопасность — пять вещей, которые никогда не должны быть в облаке (часть 1)

Опубликовано: 9 Марта, 2023

на информационный бюллетень WindowsNetworking.com, посвященный обновлению статей в режиме реального времени

Введение

Если вы не носили голову в песке (или в облаках?) в течение последних нескольких лет, вы много слышали об облачных вычислениях. «Общественное облако» — это название набора серверов и служб, размещенных в центрах обработки данных, которые вам не принадлежат и не находятся на вашей территории. «Облачный провайдер», владеющий серверами и контролирующий их, может предоставлять ряд услуг, обычно разделенных на следующие категории:

Инфраструктура как услуга (IaaS)
Платформа как услуга (PaaS)
Программное обеспечение как услуга (SaaS)

IaaS, PaaS и SaaS имеют свои преимущества и недостатки.

Примечание:
Существует множество других определений и описаний облачных вычислений. «Частное облако» — это термин, который относится к локальным центрам обработки данных, принадлежащим компании, которые используют те же технологии (например, виртуализацию), что и поставщики облачных услуг. В этой статье мы поговорим о публичном облаке.

Наиболее распространенное представление об облачных вычислениях заключается в том, что они предоставляют эластичный вычислительный ресурс по запросу, который может автоматически предоставляться и отключаться для удовлетворения потребностей потребителя услуг облачных вычислений; конечным результатом является то, что покупатель услуг облачных вычислений получает «измеренную услугу» и платит только за то, что используется.

Звучит неплохо, а? Подумай об этом. Ваша компания не является ИТ-компанией, и ваша основная компетенция не связана с ИТ или информационными услугами. Почему вы поддерживаете свои собственные центры обработки данных? Не лучше ли отдать на аутсорсинг управление ИТ-услугами, необходимыми для работы вашей компании, вместо того, чтобы пытаться поддерживать их самостоятельно? Если вы передаете свои вычислительные услуги на аутсорсинг, вы можете перевести доллары, которые вы тратите на капитальные затраты, на операционные расходы, и это сгладит ваши балансы, даст вам более предсказуемую схему движения денежных средств, и вам не нужно делать большой капитал. затраты на то, что быстро становится «технологией вчерашнего дня».

Вот почему в наши дни так много людей витают в облаках. Они утверждают, что ИТ «растет» так же, как коммунальные предприятия развивались с годами. Центральная энергетическая компания более рентабельна и надежна, чтобы управлять подачей электроэнергии в города, по сравнению с тем, чтобы каждый дом содержал свой собственный генератор. То же самое касается водоснабжения и газоснабжения. Зачем обслуживать собственный резервуар с пропаном и колодец, если у коммунальных компаний есть опыт и финансовые ресурсы для предоставления высокодоступных услуг мирового класса?

Однако с «взрослением» приходят и болезни роста. В деловом мире по-прежнему существует большое недоверие к облаку, и на то есть веские причины. Вероятно, все, кто читает эту статью, в какой-то момент потеряли какую-то важную информацию, потому что вы доверили какому-то онлайн-сервису хранить ваши данные и держать их всегда доступными. В нашей семье один из худших опытов, который у нас был, связан с музыкой MSN. Когда музыка MSN исчезла, все песни, которые Том и я покупали в сервисе за эти годы, больше нельзя было воспроизвести ни на одной машине, кроме трех авторизованных, и разблокировать эти песни было невозможно, так как эти машины старые и умершие, эта музыка стала полностью недоступной.

Таким образом, несмотря на то, что облако может сделать для вас несколько замечательных вещей, есть также некоторые вещи, с которыми вам нужно быть очень осторожным, когда вы начинаете думать об облачной стратегии для своей организации. В этой статье мы рассмотрим пять вещей, которые я считаю слишком важными, чтобы доверять облаку, по крайней мере, в том виде, в каком оно существует сегодня.

Системы управления идентификацией

Ваши системы управления идентификацией позволяют вам подтвердить, что, когда человек называет себя кем-то, он действительно является этим человеком. Если вы используете Active Directory, то база данных Active Directory является частью вашей системы управления идентификацией. Вы также можете использовать смарт-карты, биометрические данные или одноразовые пароли как часть системы многофакторной аутентификации. И вы, скорее всего, размещаете свои системы управления идентификацией внутри компании.

Ваша система управления идентификацией, хотя и не такая привлекательная или крутая, как некоторые технологии, является основой безопасности вашей организации. Если целостность вашей системы управления идентификацией скомпрометирована, все в вашей организации «можно захватить» — и я действительно имею в виду все. Субъект, который скомпрометирует вашу систему управления идентификацией, сможет заявить личность любого в вашей организации и осуществлять широкий спектр действий под видом человека, чья личность была скомпрометирована. Если у этого человека есть административные привилегии, у вас большие проблемы. С момента компрометации системы управления идентификацией до момента завершения реагирования на инцидент все действия пользователей в течение этого промежутка времени должны считаться подозрительными, и любая информация, которая была затронута, а также любые действия, выполняемые в корпоративных системах, должны считаться недействительными до завершения аудита.

Существуют ли сейчас системы управления идентификацией в облаке? Конечно. Facebook, Windows Live, Google и Yahoo — это лишь некоторые из них, и есть много других более мелких игроков. Большой вопрос: доверяете ли вы этим организациям и безопасности их систем управления идентификацией? Сколько раз вы слышали о компрометации систем управления идентификацией каждого из этих провайдеров, которая заканчивалась компрометацией имен пользователей и паролей учетных записей? Учитывая критический характер управления идентификацией для всех ваших бизнес-процессов, вам следует очень осторожно доверять управление идентификацией облаку.

Основная интеллектуальная собственность

При рассмотрении вопроса о хранении критически важных данных в облаке необходимо ответить на ряд вопросов:

Как облачный провайдер защищает ваши данные?
Используют ли они NTFS?
Используют ли они EFS?
Используют ли они какой-либо другой метод шифрования информации, пока она находится на диске?
А как насчет информации, существующей в памяти на серверах? Есть ли способ скомпрометировать данные в памяти?
Если машина выходит из строя, сбрасывает ли она содержимое памяти на диск, который может быть извлечен злоумышленником?
Как они защищают информацию, когда она передается между вашими клиентами и их серверами? Используют ли они SSL? TLS? IPsec? Какой-то другой протокол шифрования? Может ли злоумышленник, находящийся между вами и местом хранения вашей основной интеллектуальной собственности, перехватить эту информацию «по сети», воспроизвести сеансы и получить информацию о содержании связи?
Защищены ли сами данные? Что, если авторизованный пользователь получит доступ к основной интеллектуальной собственности, а затем решит, что он хочет пустить компанию под откос, отправив эти данные конкуренту? Включает ли поставщик облачных услуг управление правами для всей информации, хранящейся в облаке?

В отличие от вашей интрасети, где вы используете IPsec, TLS, NTLS, EFS, BitLocker и службы управления правами, вы можете не знать, доступны ли все эти функции безопасности, когда информация размещается у облачного провайдера. Существует слишком много векторов атак для любых данных, хранящихся в облаке, что делает его далеко не идеальным местом для хранения любой ключевой интеллектуальной собственности. В конце концов, компрометация основной интеллектуальной собственности может вывести вас из бизнеса.

Личная информация клиентов

Многие нормативные акты, с которыми вам, возможно, придется столкнуться, в зависимости от вашей отрасли, касаются защиты информации, позволяющей установить личность (PII) ваших партнеров и клиентов. Если кто-то получит личную информацию ваших клиентов, могут возникнуть серьезные негативные последствия. Эти данные могут быть такими простыми, как имя клиента, или такими опасными, как компрометация номера социального страхования клиента или номера кредитной карты.

Это может быть непросто. Например, допустим, вы предоставляете товары или услуги, которые можно приобрести в Интернете. Понятно, что по самой природе онлайн-продаж клиентам придется взаимодействовать с облачным сервисом для участия в транзакции. В этом контексте важное различие заключается в том, хранится ли эта информация в вашем собственном облаке или в чужом облаке.

Если это ваше облако, то у вас есть жесткий контроль над тем, какие PII получаются, какие PII хранятся, а также над временем жизни PII, которые хранятся в доступном в Интернете месте. Если это облачный провайдер, вы должны спросить себя, что он делает для защиты персональных данных ваших клиентов и партнеров. У них есть опубликованная политика? Если есть компромисс, есть ли какая-то компенсация? Что, если вас оштрафуют или подадут в суд из-за неправильного обращения с PII? Платит ли облачный провайдер штраф, или вы остаетесь на крючке за все это? Как насчет ущерба репутации бренда вашей фирмы? Может ли облачный провайдер что-нибудь с этим сделать? И действительно ли вам помогает обвинение вашего облачного провайдера?

Вот почему я считаю, что PII должна оставаться внутри компании. Когда что-то идет не так, не имеет значения, чья это «вина»; все пальцы будут направлены на вас, поэтому вы должны сделать все возможное, чтобы обеспечить защиту PII. Когда у вас есть контроль, вы можете сделать все возможное, чтобы сохранить PII в безопасности; если вы передаете ее облачному провайдеру, вы ограничены в своих возможностях для защиты PII.

Единственная копия чего угодно

Поставщики облачных услуг должны и почти во всех случаях будут проявлять должную осмотрительность, когда речь идет о резервном копировании информации. На самом деле многие поставщики облачных услуг используют очень сложные методы дублирования информации не только в своих центрах обработки данных, но и между географически удаленными центрами обработки данных. Это означает, что ваша информация может находиться в нескольких местах по всему миру, поэтому, если один центр обработки данных (или несколько) будет отключен, ваша информация все еще будет доступна.

Конечно, возможно, что вся инфраструктура конкретного поставщика облачных услуг может быть отключена, так что вся система станет недоступной. Конечно, это маловероятно, поскольку инфраструктуры лучших облачных провайдеров рассчитаны на исключительный уровень доступности. Но это могло случиться. Более вероятная возможность заключается в том, что поставщик облачных услуг прекращает свою деятельность, приобретается, отказывается от своих облачных предприятий или подвергается нападению со стороны недовольного сотрудника.

Ключевым выводом здесь является то, что, как и в случае с вашим локальным центром обработки данных, вам не нужно иметь только одну копию чего-либо. Я часто вижу людей, которые должны знать лучше, оставляя единственную копию важной информации в системах поставщика облачных услуг. Они думают, что у облачного провайдера есть какая-то магия, которая гарантирует, что данные никогда не будут потеряны, в основном из-за размера и репутации провайдера. Но я уверен, что вы видели много сообщений в СМИ об электронной почте и других данных, которые тот или иной облачный провайдер потерял и не смог восстановить.

Если вы используете облачного провайдера, убедитесь, что копия всего, что хранится в облаке, также хранится в вашем собственном центре обработки данных. Я гарантирую, что вы сможете подключить свои собственные системы к сети намного быстрее, чем поставщик облачных услуг, который должен обслуживать тысячи клиентов, сможет восстановить вашу информацию в сети после аварии.

Любая информация, которая всегда должна быть доступна

В Соединенных Штатах у нас уже давно есть концепция доступа «гудок». Под этим мы подразумеваем, что несмотря ни на что, вы всегда сможете получить гудок, чтобы вы могли позвонить. Электропитание может быть отключено, но вы всегда сможете получить гудок на линии POTS (обычная старая телефонная система), чтобы вы могли позвать на помощь. Существует ряд исторических, политических и нормативных причин и предыстории концепции «сигнала набора номера», но суть в том, что сигнал набора номера означал, что телефонная линия всегда была доступна. Реальность этого меняется с появлением передачи голоса по IP (VoIP), но ожидания остаются прежними.

Облачные вычисления, по своей сути, делают (в настоящее время ложное) предположение, что Интернет обеспечивает аналогичный набор гудков. Чтобы облачные вычисления работали на бизнес, этот бизнес всегда должен быть подключен к Интернету, и поставщик облачных услуг также всегда должен быть подключен к Интернету. Облачные провайдеры, скорее всего, всегда будут подключены к Интернету, потому что они, как правило, довольно сложны, когда речь идет о высокой доступности для подключения к Интернету, и у них также будет несколько распределенных точек присутствия. Проблема с отсутствием гудка для подключения к Интернету связана с предприятиями, которым необходимо подключиться к облачному провайдеру. Интернет-соединения многих предприятий далеки от качества «гудок».

Если у вас есть информация, которая всегда должна быть доступна (например, карты пациентов, в которых указана аллергия пациента на лекарства), вам никогда не следует размещать эту информацию в облаке. Дело не в том, прервется ли подключение к Интернету; вопрос в том, когда и как долго. Если кто-то умрет, получит серьезную травму или потеряет крупную сумму денег из-за недоступности Интернета, этот разгневанный клиент не будет требовать возмещения ущерба от вашего облачного провайдера — он пойдет за вами. Как и в случае с PII, вам бесполезно обвинять облачного провайдера, поскольку предполагается, что в рамках вашей должной осмотрительности вы знали (или должны были знать), что интернет-соединение не было ” и что в какой-то момент состояние отключения будет неизбежным. По этой причине никогда не размещайте в облаке информацию, которая всегда должна быть доступна.

Резюме

В этой статье мы начали с краткого обсуждения того, что такое облачные сервисы, а затем рассмотрели пять вещей, которые не должны быть в облаке. Как и все мнения, мнения, изложенные в этой статье, являются моими собственными, и вы обнаружите, что у других экспертов в области облачных вычислений могут быть другие мнения. Я рекомендую вам прочитать статьи авторов с разными мнениями, а затем сделать собственные выводы относительно того, каков ваш уровень терпимости к риску, когда речь идет об облаке. Затем работайте с этой точки, чтобы создать свою стратегию облачных вычислений. И чтобы вы не подумали, что я противник облачных технологий, в следующей статье этой серии мы рассмотрим пять вещей, которые вы должны внедрить в облако — скорее раньше, чем позже. Тогда увидимся! – Деб.