Short intro: here you can find info related to investigation
of consulting firm NVTEH about data leakage on Amazon WS…
Относительно использования облачных технологий по моему
опыту люди делятся грубо на две категории - одни считают, что это небезопасно и
не моет быть применено к их бизнесу, другие же, наоборот считают, что в
публичном облаке их информация находится под надежной защитой и им не требуется
для ее сохранности проводить дополнительных мероприятий. Недавно мне попалась
на глаза интересная статья про те ошибки, которые совершают пользователи Amazon
WS, некоторые мысли по ее поводу и линк на источник - под катом.
Люди из первой
категории как правило работают на большие корпорации, которые могут потратиться
на собственные ЦОД, и этих людей стоимость ЦОД (как и разница в цене по
сравнению с использованием облачного подхода) не особенно волнует, да и бизнес
привык мыслить в старых категориях. Для подобного бизнеса зачастую важно сохранить
статус-кво и менее важно повысить свою эффективность, которая не является для
него жизненно-важной. К счастью, часто конкурентная борьба является бизнес
драйвером того, чтобы люди поменяли свое мышление.
Люди из второй
категории как правило работают (или вообще владеют) в стартапах, для которых самое
важное - выжить на рынке не важно каким способом, и для которых собственный ЦОД
нерентабелен, а то и вовсе нецелевое вложение средств. При этом на этапе
становления бизнеса чаще всего полагаются на то, что данные в облаке будут
безопасными сами по себе. Некоторые из подобных молодых компаний взрослеют, но
подход использования облачных систем для ведения бизнеса остается, как и мысль
о том, что безопасность там будет обеспечиваться сама собой.
Первые теряют в
прибыли и полагаются на протекционистскую государственную политику, без которой
рискуют быть вытесненными более молодыми и лучше адаптирующимися к изменениям
конкурентами. Вторые рискуют собственной репутацией, да и вообще выживанием на
рынке, очевидна необходимость уделять внимание защите данных, даже если они
находятся на защищенных серверах мировых лидеров в облачных технологиях -
Amazon WS, Microsoft Azure, Oracle Cloud.
Теперь к сути. На
днях мне попалась любопытная статья о том, что хорватская компания NVTEH, специализирующаяся на кибербезопасности,
провела тестовые выборочные атаки на сервера Amazon WS с целью выявления публично
доступных данных. Как выяснилось, многие компании, хранящие данные на серверах
AWS используют снэпшоты Elastic Block Storage (EBS snapshots, фактически бэкапы
всех данных с серверов), которые были сделаны публично доступными. Как пишут в
статье, NVTEH написали
простую систему для трекинга создаваемых
публично доступных снэпшотов, в результате чего получили доступ к данным, исходному
коду и API ключам многих
компаний, мотивируя это тем, что лучше это сделают они сейчас, чем
злоумышленники потом.
Конечно, на AWS
есть способы защитить EBS снэпшоты и эти способы описаны в документации, ссылка на которую также
дана в статье, но настораживает то, что это лишь один из примеров неверно
настроенной безопасности в облачных системах, которых, уверен, с развитием и усложнением облачных технологий
еще будет множество. Мне кажется, что выхода тут два. Первый - постоянно
следить за новинками в области кибербезопасности и самостоятельно следить за
конфигурацией постоянно изменяющихся облачных сервисов. Второй - использовать
продукты, позволяющие выявить потенциально неверную настройку безопасности
облачных сервисов, например, Oracle CASB Service (Cloud Access Security
Broker). В случае CASB сервис бы позволил выявить ошибки в настройке
безопасности EBS снэпшотов.
No comments:
Post a Comment