Oblak ni kar privzeto varen

Analitsko podjetje Gartner napoveduje, da bodo leta 2022 za kar 95 odstotkov varnostnih težav v oblačnih okoljih krive stranke oziroma odjemalci. Zakaj? Ker ima model deljene odgovornosti tudi slepe točke.

Varna uporaba oblačnega okolja od podjetij zahteva oblikovanje strategije za varnost v oblaku, ki bo v popolnosti razumela in upoštevala model deljene odgovornosti – torej kateri deli varovanja so v domeni ponudnika in kateri v domeni stranke. Oglejmo si, katere varnostne pomanjkljivosti bi veljalo urediti v primeru rabe oblačnih storitev velikana Amazon Web Services (v nadaljevanju AWS), seveda pa tovrstne ukrepe lahko kar podaljšamo tudi do vseh drugih ponudnikov infrastrukture, platform in programske opreme v oblaku.

Zaščita zabojnikov

Eno največjih vprašanj pri uporabi AWS je varovanje kontejnerskega omrežja. To je posledica pomanjkanja konteksta, saj Amazonov virtualni zasebni oblak (VPC) uporablja interno omrežje. Amazonove varnostne skupine lahko uporabijo varnostne politike za vsak grozd, vendar tega ne morejo storiti s posameznimi stroki, zaradi česar je ta tehnologija nezadostna. Ko podjetje poskuša odpraviti težave ali doseči boljši vpogled v komunikacijo, se bo ta ustavil na prometu med gostitelji v gruči in ne na strokih, ki povzročajo t. i. varnostne slepe točke.

Podjetje, ki najema oblačne infrastrukturne storitve AWS, zato potrebuje dve rešitvi za nadzor omrežja v oblaku. Ena obravnava varnostne pravilnike virtualnih strojev, druga pa skrbi za nadzor zabojnikov. Ustvarjanje omrežnih pravil za eno samo aplikacijo, ki vključuje zabojnike in virtualne sisteme, zahteva uporabo ločenih rešitev. Podjetje tako uporablja dva nadzorna sistema – enega za vzdrževanje in drugega za upravljanje. Takšna praksa dodaja kompleksnost in veča tveganje, kar verjetno ni v skladu z željo podjetij po tem, da jim premik v oblak poenostavi upravljanje infrastrukture in poveča varnost.

Slab(š)a preglednost

Kar 62 % vodij informatike v velikih podjetjih (v ZDA) je prepričanih, da je za informacijsko varnost bolje poskrbljeno na lokaciji podjetja kot pri ponudniku oblačnih storitev. Menijo namreč, da imajo njihovi varnostni strokovnjaki boljši nadzor nad svojim IT-okoljem, podatki in komunikacijami, s premikom v oblak pa izgubijo tako na področju nadzora kot preglednosti.

V primeru pametne mikrosegmentacije seveda ni nujno tako. Na trgu obstajajo rešitve, ki podjetjem omogočajo boljši varnostni vpogled v delovanje njihovega oblačnega okolja, kot jim ga zagotavlja AWS. Rešitev Guardicore Centra, denimo, samodejno odkriva vse aplikacije in sega do procesne ravni (t. i. Layer 7), podobno pa delujejo tudi druge rešitve, ki prek vtičnika AWS API črpajo podatke za orkestracijo in podatke, iz katerih pridobijo kontekst za preslikavo aplikacij. Tako te varnostne rešitve ves čas spremljajo, kako se aplikacije obnašajo in komunicirajo z njimi, kar varnostnim strokovnjakom omogoča hitro odkrivanje anomalij in opozarjanje na spremembe. Seveda neodvisne programske rešitve to počno v različnih oblačnih okoljih.

# citat # Praksa, ki dodaja kompleksnost in veča tveganje, verjetno ni v skladu z željo podjetij po tem, da jim premik v oblak poenostavi upravljanje infrastrukture in poveča varnost.

Varnostna politika za aplikacije in stalni nadzor

Podjetja so se že navadila na rabo požarnih zidov nove generacije, katerih napredne funkcije uporabljajo tudi za zaščito in segmentiranje aplikacij. Oblačno okolje AWS (in še marsikatero drugo) pa ne zagotavlja enake funkcionalnosti. Segmentiranje aplikacij se lahko v omejenem obsegu izvede z uporabo varnostnih skupin AWS, pri čemer so podprti le nadzor prometa (do ravni 4), vrat in IP-naslovov. Podjetja se morajo tako spet obrniti na dodatne varnostne aplikacije, ki jim zagotovijo varovanje komunikacij in podatkov vse do procesne ravni.

Iskanje in upravljanje slepih točk

Za varno rabo oblačnih storitev AWS mora podjetje razumeti, da je za varovanje svojih podatkov pa tudi platforme, aplikacij, upravljanje identitete in dostopa ter vseh konfiguracij operacijskega sistema, omrežja in/ali požarnega zidu odgovorno samo. Amazon podobno kot drugi ponudniki oblačnih storitev v bistvu varuje le svojo infrastrukturo.

Kaj storiti? Odgovor ponuja mikrosegmentacija omrežja in aplikacij – če je pravilno izvedena, ponuja preprost način zagotavljanja varnosti hibridnega okolja, vključno z reševanjem edinstvenih izzivov zabojnikov v AWS. Z mikrosegmentacijo podjetje pridobi tudi možnost ustvarjanja dinamičnih aplikacijskih varnostnih politik na ravni procesov. Seveda mora poskrbeti tudi za implementacijo neodvisnih varnostnih rešitev, ki znajo samodejno odkrivati aktivnosti v omrežnih tokovih in povezavah, prepoznati slepe točke in jih zavarovati.

Varnost v oblačnih okoljih (tudi največjih) ponudnikov torej ni samoumevna. Le kdor se tega zaveda, lahko poskrbi za ustrezno zaščito svojega poslovanja v oblaku.