Риски облаков: угрозы и решения

Основная причина, по которой компании не решаются переходить на облачные решения, это вопросы безопасности. Опасения относительно сохранности конфиденциальных данных, относящихся не только к коммерческой тайне, но и персональным данным клиентов, до сих пор остаются главным препятствием широкого внедрения облачных технологий. Между тем, сами провайдеры уже давно уделяют первостепенное внимание безопасности, читая необходимым не только неформальное соответствие современным требованиям, но и получение формальных сертификатов соответствия, например, стандарту ISO/IEC 27001.

Насущные угрозы

В чём же сегодня состоят основные угрозы безопасности облачных решений? Как нетрудно догадаться, часть из них типична для любых дата-центров, но есть и специфические угрозы, связанные непосредственно с облачными технологиями.

Прежде всего, речь идёт об организации инфраструктуры и о возможности как физического, так и виртуального несанкционированного проникновения в систему. Поэтому чрезвычайно важно обеспечить многоуровневую защиту, в частности, несколько периметров безопасности, самый слабый из которых, к примеру, доступен любому штатному персоналу объекта, а самый сильный может быть ограничен даже не просто машинным залом, а конкретным набором оборудования с защитой, преодолеть которую уполномочены только отдельные представители заказчика.

Виртуальная угроза связана с возможностью удалённого проникновения в «чужую» часть облака с использованием неправильно организованной инфраструктуры провайдера. Имеется в виду, в частности, эксплуатация известных уязвимостей в несвоевременно обновляемом системном ПО, использование backdoor («чёрных ходов») в приложениях, распределённых по разным серверам облака, проникновение с одних виртуальных машин на другие в инфраструктуре того же провайдера.

С этой проблемой непосредственно связаны и угрозы на основе пресловутого «человеческого фактора», то есть инсайдерские угрозы как от сотрудников оператора, так и от представителей самого заказчика, что тоже не редкость. И если в последнем случае проблема 
в кадровой политике заказчика, то в первом причина кроется в отсутствии должной организации работы персонала провайдера, который в силу служебных обязанностей способен получать расширенный доступ к информации клиентов. 

Не стоит сбрасывать со счетов и случайные ошибки персонала, в результате которых снижается уровень безопасности системы и злоумышленники могут получить доступ к «облаку» и хранящимся в нём данным.

Наконец, угрозы, непосредственно относящиеся к облачным технологиям, связаны с их сетевой основой: поскольку облака по определению расположены в публичной части интернета, которая при наличии средств аутентификации должна быть доступна клиентам, они уязвимы и для сетевых атак. За последние годы одним из самых распространённых типов таких атак стали DDoS, при которых страдает не только сама жертва, но и вся инфраструктура: мусорным трафиком забиваются сетевые каналы, а производительность оборудования максимально снижается из-за обработки мусорных запросов. 

Поскольку в дата-центрах вместо независимых хостов широко используются виртуализированные, так как они обеспечивают высокую производительность работы с большими массивами данных, с этим также связан целых ряд возможных уязвимостей. Дело в том, что приложения с разной степенью активности, расположенные на одном виртуальном хосте, способны чрезвычайно жёстко соперничать за вычислительные ресурсы, что существенно снижает производительность. Для предотвращения таких ситуаций создаются дополнительные экземпляры виртуальных машин, а увеличение числа компонентов само по себе снижает безопасность, поскольку появляется целый ряд новых объектов атак — от гипервизоров до виртуальных коммутаторов.

Результат — создание целого ряда специфических типов атак, направленных именно на виртуальную среду. В частности, злоумышленники могут перехватывать контроль на гипервизорами, что позволяет управлять виртуальными хостами, похищать сами виртуальные машины и монтировать их образы на других системах. Вирусы, запущенные в виртуальной машине, способны «перепрыгивать» из одной виртуальной машины в другую (VM Hopping) или даже «сбегать» за её пределы (VM Escape), внедряя и исполняя вредоносный код непосредственно на гипервизоре.

Возможные решения

Постоянно модифицирующиеся многоуровневые угрозы заставляют отвергать стандартные способы защиты, выстраивая из знакомых элементов сложные системы противодействия злоумышленникам. К таким традиционным элементам прежде всего относятся брандмауэры, антивирусное программное обеспечение, системы предотвращения утечек информации (DLP) и защищённые хранилища. При этом для каждого инструмента существуют свои нюансы применительно именно к облачным системам.

Так, межсетевые экраны должны включать в себя средства предотвращения вторжений во внутренние сети извне, и такие инструменты включаются во все системы нового поколения. Антивирусы должны работать только вне виртуальных машин, размещаясь отдельно в качестве шлюзов или независимых систем сканирования данных — в целях предотвращения перехвата управления и блокировки.

Системы защиты от утечек, как программы мониторинга потоков передаваемой информации, типичны для корпоративных сетей, когда они устанавливаются на клиентских ПК и на шлюзе для выхода во внешние сети. Применительно же к облачным технологиям такие системы могут быть реализованы на независимой виртуальной машине, которая может располагаться в том числе и у другого оператора с целью повышения взломоустойчивости систем.

Поскольку любой ЦОД сам по себе является защищённым хранилищем данных, повышенная защита может означать, к примеру, полное шифрование данных, абсолютная изоляция от других данных и виртуальных машин, возможно и размещение в каком-то удалённом месте или у другого провайдера услуг. Разумеется, при этом должно обеспечиваться полноценное функционирование всей инфраструктуры, безотносительно к физическому расположению оборудования.

Наконец, сами облака могут предоставлять услуги безопасности даже для вычислительных ресурсов, размещённых на территории заказчика — возможно, что с ростом доверия к облакам Security as a Service станет намного более востребованным сервисом. Облачные антивирусы, системы определения вторжений IDS и защиты от DDoS, а также различные межсетевые экраны могут существенно облегчить задачу обеспечения безопасности даже для крупных компаний. 

А ведь уже существуют и гораздо более интересные решения, например, гибридные облака, при которых определённые части инфраструктуры остаются у заказчика, а другие — арендуются в облаке. Здесь в любом случае необходимы услуги облачной безопасности, иначе будет невозможно организовать эффективное взаимодействие между отдельными сегментами облака. 

Другой вариант — распределённые облака, когда отдельные элементы инфраструктуры размещаются у разных облачных провайдеров, а вся система объединяется при помощи защищённых межсетевых экранов. Теоретически такая схема может быть намного отказоустойчивей, чем если бы всё облако арендовалось у одного оператора, хотя могут возникнуть сложности с его администрированием и правовым регулированием.

В любом случае, облака уже сегодня готовы предложить потенциальным клиентам самые разнообразные способы защиты информации, в зависимости от их потребностей. Более того, недоверчивый клиент может самостоятельно установить свои собственные инструменты обеспечения безопасности в арендованной облачной инфраструктуре, при этом они будут подконтрольны исключительно авторизованному персоналу заказчика.