REstart Program
DE Model

Chmura nie wybacza błędów

Digital Excellence Group
21-02-11 14:56

Umieszczenie zasobu w chmurze publicznej może być de facto wystawieniem go do Internetu. Kiedyś, we własnym centrum danych, taka operacja wymagała połączonego działania w ramach wielu zespołów i procedur. Dziś jedno nieprzemyślane kliknięcie może spowodować publiczną ekspozycję zasobu ze źle skonfigurowanymi zabezpieczeniami. Skutki najczęściej są dotkliwe.

W kwestii chmury i jej bezpieczeństwa, osoby odpowiedzialne za IT mogą mieć skrajne podejście. Początkowo cloud był środowiskiem o niezwykle ograniczonym zaufaniu. Obecnie, można spotkać się z opiniami, że po migracji do chmury, obawy o zabezpieczenia są nieuzasadnione. Jak zdroworozsądkowo podejść do bezpieczeństwa chmury i jakie podejście daje największe uzyski? Podczas kolejnego wirtualnego spotkania, w ramach dedykowanego Dyrektorom IT programu CLOUD SIG, odpowiedzi na to pytanie udzielili zaproszeni eksperci: Paweł Berus z firmy Dell Technologies, Andrzej Szymczak z VMware oraz Krzysztof Wilczyński i Marcin Marciniak z EY.

Chmura jest środowiskiem technologicznym, które w największym stopniu stymuluje transformację organizacji. Zapewniając lepszą komunikację, w zasadzie niemal nieograniczoną skalę i bardziej niezawodną kontrolę, daje im możliwość rozwoju przy jednoczesnej optymalizacji kosztów operacyjnych. Oferuje całe spektrum usług - od tych najpowszechniejszych (obliczeniowych, pamięciowych czy sieciowych) po najbardziej transformacyjne, wynikające z potencjału danych (jak machine learning, analityka czy Big Data). Powyższy zestaw korzyści nie powinien przesłonić wyzwań, także z obszaru security.

Kto odpowiada za bezpieczeństwo chmury i w jakim stopniu? Wszyscy dostawcy chmury publicznej proponują model odpowiedzialności współdzielonej z użytkownikiem. W przypadku usługi IaaS operator jest odpowiedzialny za całą infrastrukturę obsługującą - za usługi podstawowe, oprogramowanie do wirtualizacji i sprzęt, łatanie luk i naprawianie błędów w tym obszarze, a także zasilanie i redundancję data center. Operator wnosi odporność na szereg zagrożeń, np. ataków typu DDoS. Dużą zaletą chmury jest w znacznym stopniu ustandaryzowany cykl życia infrastruktury, więc mniejsze prawdopodobieństwo, że zmiany w tej warstwie będą miały znaczący wpływ na aplikacje. Przykładem może być sprawa podatności związanych z procesorami Intela - w tym wypadku dostawcy chmury bardzo szybko zareagowali, ograniczając ryzyko, a ich klienci nie odczuli negatywnych skutków tej operacji.

Dla użytkownika współdzielona odpowiedzialność w usłudze IaaS oznacza, że odpowiada on za to, co wnosi, czyli za systemy i aplikacje. Zarządzanie nimi, ich aktualizowanie oraz „łatanie” jest jego zakresie obowiązków. Co już mniej oczywiste, należy do nich także konfiguracja sieci i jej zabezpieczeń. W konsekwencji, powinien podejść bardzo poważnie do bezpieczeństwa swoich zasobów w chmurze, bo ewentualne reklamacje mogą nie zostać uwzględnione.

Zdaniem ekspertów, zdecydowana większość incydentów związanych z bezpieczeństwem infrastruktury chmurowej będzie rezultatem niewłaściwych konfiguracji i operacji właśnie po stronie użytkownika, a nie winą usługodawcy. A powodem błędnej konfiguracji jest najczęściej – i tu nie ma żadnego zaskoczenia - ludzki błąd. Dodatkowe powody to brak znajomości polityk bezpieczeństwa czy niedostateczna kontrola nad cyklem życia usługi. Błędy konfiguracyjne będą najczęściej związane z dostępem użytkownika (obszar IAM/PAM), zasadami dostępu sieciowego (listy ACL), politykami dostępu do zasobów dyskowych oraz niewłaściwie wdrożonym szyfrowaniem przy tranzycie danych (albo wręcz jego brakiem).

Migracja do chmury będzie się często wiązała z wykorzystaniem platform wielu dostawców i różnych technologii. W tym kontekście istotne staje się Cloud Security Posture Management, które jest ciągłym procesem poprawy i dostosowywania bezpieczeństwa chmury w celu zmniejszenia prawdopodobieństwa udanego ataku. Staje się to łatwiejsze, gdy używa się narzędzi, które analizują i pokazują aktualny „stan zdrowia” usług chmurowych, m.in. to, czy są one odpowiednio skonfigurowane pod względem bezpieczeństwa.

Budując usługi chmurowe - często w ramach środowiska hybrydowego, gdy część infrastruktury jest w chmurze publicznej a część w prywatnej - łączymy wiele elementów, a każdy operator realizuje bezpieczeństwo inaczej. Dlatego kluczowe staje się posiadanie jednego, wspólnego modelu, który sprawdzi się w każdych warunkach.

Może nim być Zero Trust, który powinien sprawić, by z jednej strony dane, użytkownicy i ich urządzenia były pod ochroną „zawsze i wszędzie", a z drugiej strony bezpieczna była także infrastruktura, zarówno własna, jak i chmurowa. Z praktycznego punktu widzenia pomocą w tym będzie wprowadzanie dostępnych funkcji bezpieczeństwa w modelu warstwowym (czyli stworzenie ochrony „defense-in-depth”). Ułatwieniem będzie też unifikacja funkcjonalności platform bezpieczeństwa implementowanych on-prem i w chmurze publicznej oraz unikanie nadmiernej dywersyfikacji dostawców, dzięki czemu możliwe staje się szybsze wdrażanie i efektywniejsze zarządzanie ryzykiem. Właśnie sposobom wdrażania bezpieczeństwa w modelu „zerowego zaufania” poświęcone były prezentowane podczas warsztatu case studies.


Materiał powstał na podstawie wirtualnego modułu tematycznego w ramach programu Cloud Special Interest Group, którego wykładowcami byli: Andrzej Szymczak z VMware, Krzysztof Wilczyński oraz Marcin Marciniak z EY i Paweł Berus z Dell Technologies.

Po więcej informacji o programie zapraszamy na stronę www.cionet.com/pl/cloudsig

Tutaj daj znać, jeśli chcesz otrzymywać od nas informacje o nowych inicjatywach