Objavljeno: 11.6.2019 | Avtor: Vinko Seliškar | Monitor Posebna 2019

Oblak ni kar privzeto varen

Analitsko podjetje Gartner napoveduje, da bodo leta 2022 za kar 95 odstotkov varnostnih težav v oblačnih okoljih krive stranke oziroma odjemalci. Zakaj? Ker ima model deljene odgovornosti tudi slepe točke.

Varna uporaba oblačnega okolja od podjetij zahteva oblikovanje strategije za varnost v oblaku, ki bo v popolnosti razumela in upoštevala model deljene odgovornosti – torej kateri deli varovanja so v domeni ponudnika in kateri v domeni stranke. Oglejmo si, katere varnostne pomanjkljivosti bi veljalo urediti v primeru rabe oblačnih storitev velikana Amazon Web Services (v nadaljevanju AWS), seveda pa tovrstne ukrepe lahko kar podaljšamo tudi do vseh drugih ponudnikov infrastrukture, platform in programske opreme v oblaku.

Zaščita zabojnikov

Eno največjih vprašanj pri uporabi AWS je varovanje kontejnerskega omrežja. To je posledica pomanjkanja konteksta, saj Amazonov virtualni zasebni oblak (VPC) uporablja interno omrežje. Amazonove varnostne skupine lahko uporabijo varnostne politike za vsak grozd, vendar tega ne morejo storiti s posameznimi stroki, zaradi česar je ta tehnologija nezadostna. Ko podjetje poskuša odpraviti težave ali doseči boljši vpogled v komunikacijo, se bo ta ustavil na prometu med gostitelji v gruči in ne na strokih, ki povzročajo t. i. varnostne slepe točke.

Podjetje, ki najema oblačne infrastrukturne storitve AWS, zato potrebuje dve rešitvi za nadzor omrežja v oblaku. Ena obravnava varnostne pravilnike virtualnih strojev, druga pa skrbi za nadzor zabojnikov. Ustvarjanje omrežnih pravil za eno samo aplikacijo, ki vključuje zabojnike in virtualne sisteme, zahteva uporabo ločenih rešitev. Podjetje tako uporablja dva nadzorna sistema – enega za vzdrževanje in drugega za upravljanje. Takšna praksa dodaja kompleksnost in veča tveganje, kar verjetno ni v skladu z željo podjetij po tem, da jim premik v oblak poenostavi upravljanje infrastrukture in poveča varnost.

Slab(š)a preglednost

Kar 62 % vodij informatike v velikih podjetjih (v ZDA) je prepričanih, da je za informacijsko varnost bolje poskrbljeno na lokaciji podjetja kot pri ponudniku oblačnih storitev. Menijo namreč, da imajo njihovi varnostni strokovnjaki boljši nadzor nad svojim IT-okoljem, podatki in komunikacijami, s premikom v oblak pa izgubijo tako na področju nadzora kot preglednosti.

V primeru pametne mikrosegmentacije seveda ni nujno tako. Na trgu obstajajo rešitve, ki podjetjem omogočajo boljši varnostni vpogled v delovanje njihovega oblačnega okolja, kot jim ga zagotavlja AWS. Rešitev Guardicore Centra, denimo, samodejno odkriva vse aplikacije in sega do procesne ravni (t. i. Layer 7), podobno pa delujejo tudi druge rešitve, ki prek vtičnika AWS API črpajo podatke za orkestracijo in podatke, iz katerih pridobijo kontekst za preslikavo aplikacij. Tako te varnostne rešitve ves čas spremljajo, kako se aplikacije obnašajo in komunicirajo z njimi, kar varnostnim strokovnjakom omogoča hitro odkrivanje anomalij in opozarjanje na spremembe. Seveda neodvisne programske rešitve to počno v različnih oblačnih okoljih.

# citat # Praksa, ki dodaja kompleksnost in veča tveganje, verjetno ni v skladu z željo podjetij po tem, da jim premik v oblak poenostavi upravljanje infrastrukture in poveča varnost.

Varnostna politika za aplikacije in stalni nadzor

Podjetja so se že navadila na rabo požarnih zidov nove generacije, katerih napredne funkcije uporabljajo tudi za zaščito in segmentiranje aplikacij. Oblačno okolje AWS (in še marsikatero drugo) pa ne zagotavlja enake funkcionalnosti. Segmentiranje aplikacij se lahko v omejenem obsegu izvede z uporabo varnostnih skupin AWS, pri čemer so podprti le nadzor prometa (do ravni 4), vrat in IP-naslovov. Podjetja se morajo tako spet obrniti na dodatne varnostne aplikacije, ki jim zagotovijo varovanje komunikacij in podatkov vse do procesne ravni.

Iskanje in upravljanje slepih točk

Za varno rabo oblačnih storitev AWS mora podjetje razumeti, da je za varovanje svojih podatkov pa tudi platforme, aplikacij, upravljanje identitete in dostopa ter vseh konfiguracij operacijskega sistema, omrežja in/ali požarnega zidu odgovorno samo. Amazon podobno kot drugi ponudniki oblačnih storitev v bistvu varuje le svojo infrastrukturo.

Kaj storiti? Odgovor ponuja mikrosegmentacija omrežja in aplikacij – če je pravilno izvedena, ponuja preprost način zagotavljanja varnosti hibridnega okolja, vključno z reševanjem edinstvenih izzivov zabojnikov v AWS. Z mikrosegmentacijo podjetje pridobi tudi možnost ustvarjanja dinamičnih aplikacijskih varnostnih politik na ravni procesov. Seveda mora poskrbeti tudi za implementacijo neodvisnih varnostnih rešitev, ki znajo samodejno odkrivati aktivnosti v omrežnih tokovih in povezavah, prepoznati slepe točke in jih zavarovati.

Varnost v oblačnih okoljih (tudi največjih) ponudnikov torej ni samoumevna. Le kdor se tega zaveda, lahko poskrbi za ustrezno zaščito svojega poslovanja v oblaku.

Naroči se na redna tedenska ali mesečna obvestila o novih prispevkih na naši spletni strani!

Komentirajo lahko le prijavljeni uporabniki

Najbolj brano

  • Android vam bo povedal, ali vam policija prisluškuje

    Čedalje popularnejši način prisluškovanja in prestrezanja podatkov z mobilnih telefonov je uporaba lažnih baznih postaj (IMSI catcher), ki jih imajo organi pregona v nekaterih državah, lahko pa tudi drugi akterji. Na takšno napravo se povežejo vsi telefoni v okolici, saj njen signal preglasi legitimne bazne postaje, upravljavec pa potem zlahka prestreza komunikacijo. Uporabnik tega početja praktično ne more zaznati.

    Objavljeno: 1.7.2025 07:00
  • Tisoče severnokorejskih uslužbencev prikrito na daljavo delalo v ameriških podjetjih

    Ameriško pravosodno ministrstvo je vložilo obtožnice zoper devet ljudi, ki so skrbeli za prikrito zaposlovanje računalnikarjev iz Severne Koreje za delo na daljavo v ameriških podjetjih. En Američan, šest Kitajcev in dva Tajvanca so obtoženi prevare, pranja denarja, kraje identitete, nepooblaščenega dostopa v računalniški sistem in kršenja mednarodnih sankcij.

    Objavljeno: 2.7.2025 07:00
  • Naprava, ki z laserji uničuje komarje

    Čeprav še nimamo letečih avtomobilov ali robotov strežnikov, lahko zdaj naročimo nekaj, o čemer smo od nekdaj sanjali - lasersko napravo, ki zazna in ubije komarja v nekaj milisekundah.

    Objavljeno: 3.7.2025 11:00
  • Podjetja nočejo Copilota, ker zaposleni raje uporabljajo ChatGPT

    Microsoft kljub velikim naporom (beri: finančnemu vložku) podjetjem težko proda storitve umetne inteligence Copilot.

    Objavljeno: 27.6.2025 09:00
  • HDMI 2.2 je tu!

    Sicer na papirju, a vendarle. HDMI Forum je izdal končne specifikacije standarda HDMI 2.2, ki so ga izdatno opisovali in predstavljali že na januarskem sejmu CES. HDMI 2.2 ima že večjo prepustnost kot DisplayPort, a bo zanjo zahteval nove kable Ultra96.

    Objavljeno: 27.6.2025 05:00
  • Zakaj Nintendo Switch 2 skoraj ne podpira priključnih postaj

    Nintendov Switch 2, ki postaja najbolj popularna konzola vseh časov, ima priključek USB-C, ki ni, kakršnega bi pričakovali. Nintendo je namenoma spodkopal njegovo združljivost z drugimi napravami, saj uporablja posebno šifriranje in čip.

    Objavljeno: 4.7.2025 07:00
 
  • Polja označena z * je potrebno obvezno izpolniti
  • Pošlji