Każda technologia niesie ryzyko związane z jej wykorzystywaniem. Podobnie jest z usługami chmurowymi. W ich przypadku jednak ryzyko biznesowe może być niekiedy znacząco wyższe niż w przypadku modelu on-premise. Firmy powinny mieć świadomość zagrożeń i umieć podejmować działania zaradcze.
Podczas konferencji RSA w marcu 2016 roku, Cloud Security Alliance (CSA) opublikowała raport poświęcony zagrożeniom związanym z modelem cloud computing. Przedstawiamy najważniejsze z nich, wskazane w tym raporcie, i opisujemy środki ich ograniczenia.
Dane i hasła
Najgłośniejsze medialnie zagrożenie dotyczy kradzieży danych. Skutki ataku zależą od rozmiaru strat i ważności wykradzionej informacji. Duży rozgłos wywołuje kradzież informacji dotyczących finansów, ale największe szkody powoduje utrata informacji handlowych, własności intelektualnej oraz danych medycznych. Aby ograniczyć zagrożenia tego typu, CSA zaleca wprowadzenie dwuskładnikowego uwierzytelnienia oraz szyfrowania informacji, aby minimalizować skutki kradzieży danych.
Dojrzałość technologiczna dostawców chmury sprawia, że całkowite zniszczenie danych klientów zdarza się bardzo rzadko. Nadal jednak podobne zdarzenie może mieć miejsce. Mechanizmy obronne w tym przypadku są analogiczne ze stosowanymi w ramach lokalnej infrastruktury, choć w rozwiązaniach cloud computing są obowiązującym standardem. Obejmują one m.in. replikację danych do zdalnej lokalizacji oraz wprowadzenie i egzekwowanie polityki kopii bezpieczeństwa.
Chmura publiczna opiera się zwykle na współdzielonej infrastrukturze dostawcy. Jeśli w obejmującym stosie infrastruktury (a szczególnie w jego elementach wewnętrznych, np. hiperwizor) będzie obecna podatność na określone zagrożenie, to wpłynie ona na wielu klientów jednocześnie. Zalecane jest więc wdrożenie wielowarstwowej ochrony obejmującej kompleksowe uwierzytelnienie, detekcję intruzów oraz kontrolę nad uprawnieniami wraz z separacją segmentów sieci.
Część zagrożeń jest spowodowana problemami z uwierzytelnieniem: przejętymi hasłami, zupełnym brakiem kontroli dostępu bądź niewłaściwymi uprawnieniami. Część z tych problemów można wyeliminować, wprowadzając zarządzanie tożsamością oraz centralne dwuskładnikowe uwierzytelnienie. Systemy uwierzytelnienia korzystające z haseł jednorazowych, telefonów i kart mikroprocesorowych poważnie utrudniają włamywaczom atak z użyciem skradzionego hasła. Warto jednak pamiętać, że szczególnej ochronie powinno podlegać centralne repozytorium uwierzytelnienia.
Coraz częściej spotykanym nadużyciem jest kradzież konta związanego z usługami chmurowymi. Napastnicy mogą przejąć kontrolę nad wykupionymi usługami, narażając firmę m.in. na dodatkowe koszty czy utratę danych. Kradzież konta może nastąpić w wyniku różnych działań, od błędu w interfejsach, przez ludzką nieuwagę, aż do ataku na stację roboczą administratora usługi. CSA zaleca unikać współdzielenia danych dostępowych między osobami, unikać duplikowania haseł przy usługach chmurowych, a także wprowadzić dwuskładnikowe uwierzytelnienie, tam gdzie jest to możliwe i uzasadnione.
Zasoby i infrastruktura
Chmura publiczna opiera się zwykle na współdzielonej infrastrukturze dostawcy. Jeśli w obejmującym stosie infrastruktury (a szczególnie w jego elementach wewnętrznych, np. hiperwizor) będzie obecna podatność na określone zagrożenie, to wpłynie ona na wielu klientów jednocześnie. Zalecane jest więc wdrożenie wielowarstwowej ochrony obejmującej kompleksowe uwierzytelnienie, detekcję intruzów oraz kontrolę nad uprawnieniami wraz z separacją segmentów sieci.
Na stabilność usług oferowanych przez dostawców chmurowych istotnie wpłynąć mogą ataki odmowy obsługi. Przy dużej skali powodują one duże użycie zasobów, co przekłada się na zmniejszenie responsywności lub dostępności usług chmurowych. Zazwyczaj dostawcy usług cloud computing radzą sobie z atakami rozproszonej odmowy dostępu (DDoS) o wiele lepiej, niż mogliby to zrobić ich klienci we własnej infrastrukturze. Dzięki efektowi skali wszelkie działania zaradcze służą ochronie wielu klientów jednocześnie i są tańsze niż w przypadku ochrony pojedynczej firmy. Niezależnie od tego, ataki DDoS mogą utrudnić korzystanie z usług chmurowych.
Błędy, luki i nadużycia
Fundamentem każdej platformy chmurowej jest złożone środowisko aplikacyjne. Fakt ten stanowi jednak o potencjalnych zagrożeniach wynikających z błędów w oprogramowaniu wykorzystywanym przez dostawcę. Standardem w chmurze publicznej jest stosowanie współdzielonej pamięci, baz danych oraz innych zasobów na potrzeby obsługi wielu odbiorców. Powstaje w ten sposób powierzchnia ataku, którą napastnicy mogą wykorzystać. Ryzyko można minimalizować za pomocą standardowych działań – skanowania podatności, niezwłocznego wprowadzania aktualizacji oraz szybkiej odpowiedzi na zagrożenia.
Coraz częściej spotykanym nadużyciem jest kradzież konta związanego z usługami chmurowymi. Kradzież konta może nastąpić w wyniku różnych działań, od błędu w interfejsach, przez ludzką nieuwagę, aż do ataku na stację roboczą administratora usługi. CSA zaleca unikać współdzielenia danych dostępowych między osobamii duplikowania haseł przy usługach chmurowych, a także wprowadzić dwuskładnikowe uwierzytelnienie, tam gdzie jest to możliwe i uzasadnione.
Na ataki narażone są też interfejsy programistyczne powszechnie używane przez dostawców usług cloud computing do zarządzania i koordynacji działania usług. Przejęcie kontroli nad interfejsami API lub wykorzystanie obecnych tam błędów może spowodować bardzo poważne zagrożenia, związane z dostępem, poufnością, integralnością czy poprawnym rozliczaniem opłat za usługi. Jeśli dostawca usług polega na interfejsach firm trzecich i dodatkowo udostępnia je publicznie przez internet, ryzyko rośnie jeszcze bardziej. Można je zmniejszyć, wprowadzając do procesu budowania aplikacji etap dokładnego audytu kodu oraz cykliczne testy penetracyjne.
Usługi chmurowe są dostępne dla każdego, kto za nie zapłaci. W szczególności tym klientem może być przestępca, który będzie za ich pomocą prowadzić nadużycia. Oprócz typowych zastosowań wymagających dużej mocy obliczeniowej (łamanie kluczy szyfrujących poprzedzające właściwy atak), usługi chmurowe mogą być wykorzystane do wysyłania spamu, rozsyłania sfałszowanych wiadomości phishingowych, hostowania złośliwego oprogramowania lub nawet ataków odmowy obsługi. Nadużycia usług mogą np. spowodować wprowadzenie zasobów i domen na czarną listę, co nie pozostaje bez wpływu na użytkowników, którzy korzystają z usług w sposób zgodny ze wszelkimi zasadami i regulaminami. Usługodawcy powinni umieć rozpoznać nadużycia, zaoferować klientom mechanizm monitoringu i zgłaszania ewentualnych problemów. Zadaniem klientów jest ocena, czy takie funkcje są dla nich dostępne.
KOMENTARZ EKSPERTA
Niezależnie od branży, skali działalności czy profilu świadczonych usług, firmy przenoszą dane do chmury. Według Gartnera, w 2020 roku wydatki związane z wykorzystaniem technologii cloud computing wyniosą aż 216 mld USD! Dane IDC potwierdzają, że tendencja ta utrzyma się przez najbliższe lata, a udział chmury będzie stopniowo wzrastał, pomniejszając rolę tradycyjnych usług centrów danych. Jest to związane przede wszystkim z niskim kosztem użytkowania oraz możliwością elastycznego dostosowywania przestrzeni dyskowej do potrzeb przedsiębiorstwa. Technologia cloud computing pozwala bowiem w łatwy sposób zmniejszać lub zwiększać wielkość posiadanych zasobów.
Biorąc pod uwagę fakt, że firmy niejednokrotnie przechowują w chmurze dane wrażliwe albo wręcz niezbędne do ich funkcjonowania, niezwykle istotny jest poziom bezpieczeństwa usług cloud computing zapewniany przez ich dostawcę. Odpowiednie zaprojektowanie usług w chmurze gwarantuje bezpieczeństwo na najwyższym poziomie. To pozwala uniezależnić się od niedostępności pojedynczych elementów infrastruktury. Za właściwe działanie usług chmurowych odpowiadają klastry serwerów, a nad spójnością danych czuwa odpowiednie oprogramowanie. Dzięki temu klient ma gwarancję ciągłości dostępu do danych.
Przykładem takiej usługi jest Software Defined Data Center – chmura prywatna oferowana przez OVH. Dzięki dedykowanej infrastrukturze oraz specjalnemu oprogramowaniu, pozwala ona na korzystanie ze środowiska o wysokiej dostępności. Wyłączenie jednego elementu nie powoduje przerwy w dostępie do usługi, a uzupełnienie braków (przywrócenie HA) zajmuje ok. 15 minut.
Przy wyborze usług chmurowych warto zwracać uwagę na detale – gwarancje dostawcy (SLA), odpowiednie certyfikaty (bezpieczeństwo potwierdzone przez niezależnych ekspertów), lokalizację (uwarunkowania prawne np. w branży medycznej) czy bezpieczeństwo fizyczne centrum danych. Pamiętajmy, że chmura jest tak bezpieczna, jak jej najsłabsze ogniwo. Dlatego też powinniśmy traktować kwestię bezpieczeństwa usług chmurowych całościowo, aby mieć pewność, że nic nas nie zaskoczy.
Robert Paszkiewicz, dyrektor sprzedaży i marketingu, OVH sp. z o.o.
Artykuł ukazał się na łamach Raportu ITwiz: “Świadome podejście do cloud computing”. Szczegóły dotyczące tematyki Raportu wraz z formularzem dla osób zainteresowanych zakupem wydania dostępne są na stronie: itwiz.pl/kiosk
