Безопасность в облаке: руководство для пользователей облака

Облачная безопасность

В 2010-2011 годах облако было ажиотажем, но сегодня оно стало необходимостью. В связи с тем, что многие организации переходят в облако, безопасность в облаке становится самым главным приоритетом.

Но перед этим, те из вас, кто плохо знаком с облачными вычислениями, давайте кратко рассмотрим, что такое облачные вычисления.

Что такое облачные вычисления?

Облачные вычисления, часто называемые «облаком», простыми словами означают хранение или доступ к вашим данным и программам через Интернет, а не через ваш собственный жесткий диск.

Давайте теперь обсудим типы облаков:

Публичное облако

В режиме развертывания общедоступного облака развертываемые сервисы открыты для публичного использования и, как правило, публичные облачные сервисы бесплатны. Технически, возможно, нет разницы между общедоступным облаком и частным облаком, но параметры безопасности сильно отличаются, поскольку общедоступное облако доступно любому, с чем связан более высокий фактор риска.

Частное облако

Частное облако используется исключительно для одной организации, это может быть та же организация или сторонняя организация. Но обычно затраты высоки, когда вы используете собственное облако, поскольку оборудование будет периодически обновляться, безопасность также должна контролироваться, поскольку новые угрозы появляются каждый день.

Гибридное облако

Гибридное облако включает в себя функции как частного, так и общедоступного облака.

Как заказчики выбирают между публичным, частным и гибридным облаками?

Ну, это зависит от требований пользователя, то есть, если пользователь чувствует, что его информация слишком конфиденциальна, чтобы находиться в какой-либо системе, а не в его собственной, он выберет частное облако.

Лучшим примером для этого может быть DropBox, на заре своей деятельности они начинали с использования AWS S3 в качестве бэкэнда для хранения объектов, но теперь они создали свою собственную технологию хранения, которую они контролируют сами.

Почему они это сделали?

Что ж, они стали такими большими, что ценообразование в общедоступных облаках больше не имело смысла. По их словам, их программная и аппаратная оптимизация более рентабельна, чем хранение их данных на Amazon S3.

Но тогда, если вы не такой важный игрок, как DropBox, и все еще пользуетесь частной инфраструктурой, может быть, пора подумать: а почему не публичное облако?

Теперь почему заказчик будет использовать общедоступное облако?

Во-первых, цены намного ниже по сравнению с инвестициями, которые потребуются компании для установки собственных серверов.

Во-вторых, когда вы связаны с известным облачным провайдером, доступность ваших файлов в облаке становится выше.

Все еще не понимаете, хотите ли вы хранить свои файлы или данные в частном или публичном облаке.

Позвольте мне рассказать вам о гибридном облаке, с гибридным облаком вы можете хранить свои наиболее «ценные» данные в своей частной инфраструктуре, а остальные в публичном облаке, это будет «гибридное облако».

что такое подстрока в Java

Итак, в заключение, все зависит от требований пользователя, на основании которых он должен выбирать между публичным, частным и гибридным облаком.

Может ли безопасность облачных вычислений ускорить переход клиентов в облако?

Да, давайте посмотрим на некоторые исследования, проведенные компанией gartner. Пожалуйста, просмотрите следующую статистику:

Источник: Gartner

Теперь это исследование проводилось для компаний, которые неохотно переходят в облако, и, как вы можете ясно видеть на изображении выше, главной причиной является безопасность.

Это не значит, что облако небезопасно, но у людей такое восприятие. Таким образом, если вы можете заверить людей в безопасности облака, движение к облаку может немного ускориться.

Как ИТ-директора устранить противоречие между риском, стоимостью и удобством для пользователей?

Я где-то это читал, Cloud Security - это смесь науки и искусства.

Смущенный? Что ж, это искусство знать, до какой степени вы должны обеспечить безопасность службы, чтобы пользовательский опыт не уменьшился.

Например: предположим, что у вас есть приложение, и для его безопасности вы запрашиваете имя пользователя и пароль при каждой операции, что имеет смысл с точки зрения безопасности, но мешает взаимодействию с пользователем.

Так что знать, когда остановиться, - искусство, но в то же время это наука, потому что вам нужно создавать алгоритмы или инструменты, обеспечивающие максимальную безопасность данных ваших клиентов.

Теперь, когда появляется что-то новое, люди относятся к этому скептически.

Люди думают, что облачные вычисления связаны с множеством «рисков», давайте рассмотрим эти риски один за другим:

1. Облако небезопасно

В большинстве случаев, когда вы говорите об облаке, многие люди говорят, что данные более безопасны в их собственной инфраструктуре, а не на каком-то сервере AWS с безопасностью AWS.

Что ж, это могло бы иметь смысл, если бы компания просто сосредоточилась на безопасности своего частного облака, что, очевидно, не так. Но если компания сделает это, когда они сосредоточатся на собственных целях?

Давайте поговорим об облачных провайдерах, скажем, об AWS (крупнейшем из них). Разве вам не кажется, что единственная цель AWS - сделать ваши данные максимально безопасными? Почему, потому что это то, за что им платят.

Также забавный факт, что Amazon разместила на AWS собственный веб-сайт электронной коммерции, который помогает понять надежность AWS.

Облачные провайдеры живут, едят и дышат облачной безопасностью.

2. В облаке больше брешей.

Исследование Spring Alert Logic Report за 2014 год показывает, что кибератаки в 2012–2013 годах были нацелены как на частные, так и на общедоступные облака, но частные облака были более уязвимы для атак. Зачем? Потому что компании, которые устанавливают свои собственные серверы, не так хорошо оснащены по сравнению с AWS, Azure или любым другим облачным провайдером в этом отношении.

3. Однопользовательские системы более безопасны, чем многопользовательские.

Что ж, если вы думаете логически, разве вы не думаете, что с мультитенантными системами у вас есть дополнительный уровень безопасности. Зачем? Потому что ваш контент будет логически изолирован от остальных арендаторов или пользователей в системе, чего нет, если вы используете однопользовательские системы. Следовательно, если хакер захочет проникнуть в вашу систему, он должен пройти еще один дополнительный уровень безопасности.

В заключение, все это мифы, а также учитывая экономию инвестиций, которую вы будете делать при переносе данных в облако, а также другие преимущества, это намного перевешивает риски, связанные с облачной безопасностью.

Сказав это, давайте перейдем к теме сегодняшнего обсуждения: как ваши облачные провайдеры обеспечивают безопасность.

Давайте рассмотрим пример и предположим, что вы используете приложение для социальных сетей. Вы нажимаете на случайную ссылку, и ничего не происходит. Позже вы узнаете, что спам-сообщения рассылаются из вашей учетной записи всем вашим контактам, которые связаны с вами в этом приложении.

Но тогда, прежде чем вы сможете написать письмо или пожаловаться в службу поддержки приложения, они уже будут знать о проблеме и будут готовы ее решить. Как? Давайте разбираться.

Таким образом, облачная безопасность состоит из трех этапов:

• Данные мониторинга
• Обретение видимости
• Управление доступом

В Облачный мониторинг Инструмент, который постоянно анализирует поток данных в вашем облачном приложении, будет предупреждать, как только в вашем приложении начнут происходить какие-то «странные» вещи. Как они оценивают «странности»?

Инструмент облачного мониторинга должен иметь расширенные алгоритмы машинного обучения, которые регистрируют нормальное поведение системы.

Таким образом, любое отклонение от нормального поведения системы будет красным флагом, также известные методы взлома перечислены в его базе данных. Таким образом, если объединить все это в одну картину, ваш инструмент мониторинга выдает предупреждение всякий раз, когда что-то подозрительное.

Теперь, когда вы узнаете, что происходит что-то «ненормальное», вы захотите узнать, когда и где наступит этап 2, становится заметным .

Это можно сделать с помощью инструментов, которые обеспечивают видимость данных, поступающих в ваше облако и исходящих из него. Используя их, вы можете отслеживать не только место возникновения неисправности, но и то, «кто» за нее отвечает. Как?

Эти инструменты ищут шаблоны и перечисляют все подозрительные действия и, следовательно, видят, какой пользователь несет ответственность за то же самое.

Теперь нужно сначала удалить ответственное лицо из системы, верно?

Наступает этап 3, управление доступом.

Инструменты, которые будут управлять доступом, будут перечислять всех пользователей, присутствующих в системе. Следовательно, вы можете отследить этого человека и стереть его из системы.

Каким же образом этот человек или хакер получил доступ администратора к вашей системе?

Скорее всего, пароль к вашей консоли управления был взломан хакером и создал себе роль администратора с помощью инструмента управления доступом, а все остальное стало историей.

Что бы после этого сделал ваш облачный провайдер? Они будут извлекать уроки из этого и развиваться, чтобы этого больше никогда не повторилось.

Этот пример просто для понимания, обычно ни один хакер не может получить доступ к вашему паролю просто так.

Здесь следует сосредоточить внимание на том, что облачная компания эволюционировала из этого прорыва, они приняли меры для улучшения своей облачной безопасности, чтобы то же самое никогда не повторилось.

Теперь все облачные провайдеры следуют этим этапам. Давайте поговорим о крупнейшем облачном провайдере AWS.

Выполняет ли AWS эти этапы для обеспечения облачной безопасности aws? Давайте посмотрим:

Для облачного мониторинга AWS имеет CloudWatch

Для прозрачности данных в AWS есть CloudTrail

А для управления доступом в AWS есть УЖЕ

Это инструменты, которые использует AWS, давайте подробнее рассмотрим, как они работают.

CloudWatch

Это дает вам возможность анализировать данные, поступающие и исходящие из ваших ресурсов AWS. Он имеет следующие функции, связанные с облачной безопасностью:

• Следите за EC2 и другими ресурсами AWS:
  • Без установки дополнительного программного обеспечения вы можете отслеживать производительность EC2 с помощью AWS CloudWatch.
• Возможность отслеживать пользовательские метрики:
  • Вы можете создавать собственные метрики и отслеживать их с помощью CloudWatch.
• Отслеживайте и сохраняйте журналы:
  • Вы можете отслеживать и хранить журналы, связанные с действиями, происходящими на ваших ресурсах AWS.
• Установить будильник:
  • Вы можете установить будильник для определенных триггеров, например для действий, требующих немедленного внимания и т. Д.
• Просмотр графиков и статистики:
  • Вы можете визуализировать эти данные в виде графиков и других визуальных представлений.
• Отслеживайте и реагируйте на изменения ресурсов:
  • Его можно настроить таким образом, чтобы он реагировал на изменения доступности ресурса или когда ресурс не функционирует должным образом.

CloudTrail

CloudTrail - это сервис регистрации, который можно использовать для регистрации истории вызовов API. Его также можно использовать для определения того, какой пользователь из Консоли управления AWS запросил конкретную услугу. Исходя из нашего примера, это инструмент, с помощью которого вы сможете идентифицировать пресловутого «хакера».

УЖЕ

Управление идентификацией и доступом (IAM) используется для предоставления общего доступа к вашей учетной записи AWS. Он выполняет следующие функции:

• Детальные разрешения:
  • Его можно использовать для предоставления прав доступа различным пользователям на очень сотовом уровне. Например: вы можете предоставить доступ для чтения конкретному пользователю и доступ для чтения и записи другому пользователю.
• Безопасный доступ к приложениям, работающим в среде EC2:
  • IAM можно использовать для обеспечения безопасного доступа, заставляя пользователя вводить учетные данные для доступа к соответствующим ресурсам EC2.
• Бесплатное использование:
  • AWS сделал сервисы IAM бесплатными для использования с любыми совместимыми сервисами aws.

AWS Shield

Это управляемая служба отказа DDOS. Давайте быстро разберемся, что такое DDoS?

DDoS в основном перегружает ваш сайт нерелевантным трафиком с целью его остановки. Как это работает? Как хакеры создают бот-сеть, заражая множество компьютеров, подключенных к Интернету? Помните те странные электронные письма, которые вы иногда получаете по почте? Лотерея, медицинская помощь и т. Д. Обычно они заставляют вас нажимать на что-то, что устанавливает вредоносное ПО на ваш компьютер, которое затем запускается, чтобы сделать ваш компьютер плюсом в неактуальном трафике.

Не уверены в своем веб-приложении? Не будь AWS Shield здесь.

Он предлагает два типа услуг:

1. Стандарт
2. Продвинутый

В Стандарт пакет бесплатен для всех пользователей, и ваше веб-приложение на AWS автоматически покрывается этим пакетом по умолчанию. Он включает в себя следующие функции:

• Быстрое обнаружение
  • Обнаруживает вредоносный трафик на ходу с помощью алгоритмов аномалий.
• Встроенные атаки по смягчению последствий
  • В AWS Shield встроены методы автоматического предотвращения угроз, которые обеспечивают защиту от распространенных атак.
• Добавьте специальные правила для поддержки вашего приложения.

Недостаточно? Существует Продвинутый пакет тоже. За небольшую дополнительную плату вы можете покрыть свои ресурсы Elastic Load Balancer, Route 53 и CloudFront.

Что все включено? Давайте посмотрим:

• Улучшенное обнаружение
  • Он включает в себя дополнительные методы, такие как мониторинг конкретных ресурсов, а также обеспечивает детальное обнаружение DDoS-атак.
• Расширенная защита от атак
  • Более сложные автоматические меры.
• Видимость и уведомление об атаках
  • Уведомления в реальном времени с помощью CloudWatch.
• Специализированная поддержка
  • Круглосуточная поддержка специальной группы реагирования на DDoS-атаки.
• Защита от DDoS-атак
  • Предотвращает скачки цен от перегрузки DDoS-атаками.

В заключение, любой поставщик облачных услуг для достижения успеха следует высочайшим стандартам облачной безопасности, и постепенно, если не сразу, люди, которые все еще не верят в облако, поймут, что необходимо переходить на него.

Есть вопрос к нам? Пожалуйста, укажите это в разделе комментариев этого блога Cloud Security, и мы свяжемся с вами.