Trend Micro: W jaki sposób zapewnić bezpieczeństwo infrastruktury IT w modelu multicloud?

O wielu aspektach bezpieczeństwa środowisk chmury obliczeniowej, wyzwaniach specyficznych dla zabezpieczenia środowisk multicloud, dobrych praktykach w zakresie oceny stopnia bezpieczeństwa dostępnych na rynku usług chmurowych, a także zaleceniach dla użytkowników biznesowych, deweloperów i specjalistów ds. operacji IT mówi Morton Swimmer, analityk i specjalista ds. bezpieczeństwa w zespole Forward-Looking Threat Research Team w Trend Micro.

Jakie są główne źródła potencjalnych podatności na cyberataki po stronie środowisk IT?

Większość skutecznych ataków wymierzonych w środowiska IT wykorzystuje błędy administratorów. W obliczu rosnącej złożoności środowisk IT zapewnienie ich sprawnego i bezpiecznego funkcjonowania staje się coraz większym wyzwaniem. Tego typu problemy uwydatniają się w przypadku środowisk chmurowych, zwłaszcza w modelu multicloud. Niektórzy sądzą, że usługi publicznej chmury obliczeniowej – oferowane przez wyspecjalizowanych dostawców, z bezpiecznych centrów danych – to rozwiązania, które są w stanie ochronić firmowe dane przed zagrożeniami. Tak jednak nie jest! W przypadku środowisk chmurowych należy być tak samo – lub nawet bardziej – czujnym niż w przypadku każdego innego środowiska IT. Dodatkowym problemem są błędy konfiguracyjne, wynikające z różnic pomiędzy środowiskami chmurowymi i nieznajomości zasad ich funkcjonowania.

Zatem większość związanych z działaniem usług opartych na modelu chmury obliczeniowej incydentów bezpieczeństwa wynika z błędów na etapie konfiguracji i administracji?

Wszystkie zagrożenia typowe dla chmury obliczeniowej są w pewnym stopniu związane właśnie z tymi dwoma aspektami. Użytkownicy korzystający z usług chmurowych często nie są świadomi, że wszystkie podejmowane działania, mające wpływ na funkcjonowanie takich usług, mogą mieć ogromne znaczenie dla bezpieczeństwa firmowych danych.

Weźmy np. przetwarzanie w modelu Serverless na bazie architektury AWS Lambda. Wiele osób zakłada, że jeśli mikrousługa działa zaledwie kilkadziesiąt milisekund, to jest w pełni bezpieczna, bo tak krótki czas działania zapewnia ochronę przed zagrożeniami. To nieprawda! Mikrousługi są tak samo podatne na zagrożenia webowe jak wszystkie inne aplikacje, i to niezależnie od czasu funkcjonowania poszczególnych instancji.
Kolejny problem często pojawia się w zespołach DevOps korzystających z multicloud. Mimo że deweloperzy koncentrują się na szybkim i zwinnym dostarczaniu rozwiązań, to nie przykładają należytej wagi do kwestii bezpieczeństwa IT. Bagatelizowane są np. kwestie dostępów do wybranych funkcjonalności aplikacyjnych oraz uwierzytelniania dostępu.

Ale są to nadal głównie błędy ludzkie…

No właśnie. To ludzie pozostają najsłabszym ogniwem w zabezpieczeniach większości dzisiejszych środowisk IT. Trudno jednak całkowicie wyeliminować zaangażowanie „czynnika białkowego” w tego typu procesach, więc musimy zapewnić pracownikom najlepsze możliwe rozwiązania i zadbać, aby postępowali zgodnie z politykami bezpieczeństwa i dobrymi praktykami.

Jak aspekt bezpieczeństwa usług chmurowych wygląda z perspektywy rozwiązań wykorzystywanych przez dostawców usług cloud computing? Często argumentują oni, że oferują rozwiązania trudne do spotkania w statystycznej organizacji biznesowej…

Powiedziałbym, że w przypadku największych, światowych dostawców usług chmury obliczeniowej kwestie bezpieczeństwa stoją na najwyższym poziomie. Prawdopodobnie faktycznie jest on wyższy niż ten, który większość firm jest w stanie zapewnić we własnych centrach danych. Poszczególni dostawcy najczęściej nie ujawniają szczegółów związanych z architekturą środowiska IT, ale najczęściej korzystają z rozwiązań bezpieczeństwa i ścieżek autoryzacji tak rozbudowanych, że w innych organizacjach uchodziłyby za wyjątkowe. Często jednak dostawcy usług chmurowych muszą utrzymywać elementy infrastruktury działające w starszych technologiach – i to tego rodzaju komponenty mogą mieć pewne podatności.

Mówiąc o bezpieczeństwie w chmurze, warto przeanalizować poziom jego kontroli, a także jakość oferowanych usług aplikacyjnych, w tym m.in. kodu udostępnianych API. Zdaję sobie jednak sprawę, że nie każda firma będzie w stanie przeprowadzić tego rodzaju audyt. Warto rozważyć taką możliwość przynajmniej w kontekście usług i rozwiązań, które będą wykorzystywane na potrzeby najbardziej newralgicznych danych, lub też ocenić i zaakceptować potencjalne ryzyka.

Wiele mówi się dziś o tym, że to właśnie model multicloud będzie niebawem głównym nurtem na rynku usług chmury obliczeniowej. Czy to znaczy, że problemów z funkcjonowaniem chmury będzie przybywać?

Z perspektywy operacyjnej współistnienie infrastruktury on-premise i chmury obliczeniowej stwarza już wiele problemów, tym bardziej że chciałoby się, aby funkcjonowały one spójnie, w ramach jednego środowiska IT. Jest to trudne, ponieważ wymaga zastosowania dwóch różnych podejść do środowiska IT. Jednym z rozwiązań jest stosowanie na szeroką skalę rozwiązania takiego jak Kubernetes. Należy bowiem unikać rozwiązań, które wprowadzają dodatkową złożoność do takiego środowiska. To samo dotyczy środowisk wielochmurowych. Większość dostawców usług chmury obliczeniowej zapewnia bardzo rozbudowane mechanizmy kontroli dostępu do zasobów, co pozwala zbudować kompleksowy proces bezpieczeństwa.

W przypadku infrastruktury multicloud bardzo prawdopodobna jest sytuacja, w której jeden proces, działający w jednym środowisku chmurowym, musi odwoływać się do uruchomionego w chmurze innego dostawcy. Niemożliwe staje się wiec wykorzystanie jednego mechanizmu kontroli dostępu, a obszarem do nadużyć jest konieczność przekazania danych uwierzytelniających i specyficznych kluczy, z zachowaniem szyfrowania z jednej do drugiej chmury, często na dużą skalę i w sposób zautomatyzowany. Oczywiście, można tego dokonać w sposób bezpieczny, ale bezpieczne podejście powinno być obligatoryjne. Trzeba więc dysponować rozwiązaniami, które wymusza to zarówno po stronie twórców aplikacji, jak i ich administratorów. Niedopuszczalne jest choćby zapisywanie tych danych w kodzie aplikacji. Nie znam jednak standardowego rozwiązania, które pozwoliłoby zautomatyzować ten proces. Zapewne wiele ułatwień pojawi się wraz ze standaryzacją usług i upowszechnieniem uniwersalnych platform pośredniczących.

W jaki sposób osoby odpowiedzialne za podejmowanie decyzji biznesowych mogą wpłynąć na poprawę bezpieczeństwa nowoczesnych, wielochmurowych środowisk IT?

Klienci oczekują, że kolejne aplikacje i usługi będą wdrażane w maksymalnie krótkim czasie, że będą działać w sposób stabilny i wydajny, niezależnie od warunków. W te potrzeby dobrze wpisują się usługi dostępne w modelu chmury. Biznes powinien jednak pamiętać, że gra toczy się o dużą stawkę, a zapewnienie bezpieczeństwa infrastruktury multicloud nie jest zadaniem trywialnym. Warto skorzystać ze wsparcia osób wyspecjalizowanych w bezpieczeństwie usług chmurowych. Warto też sięgnąć po narzędzia pozwalające w zautomatyzowany sposób przeanalizować architekturę całego rozwiązania właśnie pod kątem oceny zależności pomiędzy usługami bazującymi na różnych środowiskach chmurowych. Tego rodzaju wsparcie może zwrócić uwagę na obszary, w których zaniechania mogą stanowić znaczące zagrożenie dla bezpieczeństwa wdrażanej usługi. Często niezbędne jest przemodelowanie sposobu działania aplikacji, tak aby ograniczyć do minimum liczbę punktów styku pomiędzy różnymi chmurami. Aby było to możliwe, deweloperzy powinni na bieżąco współpracować ze specjalistami ds. bezpieczeństwa.

Wdrożenie określonych rozwiązań bezpieczeństwa obejmujących zasięgiem środowiska chmurowe, jak oferowane przez Trend Micro rozwiązanie Deep Security, pomaga m.in. zmniejszyć obciążenia operacyjne w zakresie zarządzania środowiskiem multicloud. Być może możliwe stanie się zmniejszenie częstotliwości aktualizowania poszczególnych elementów środowiska, ponieważ wdrożone oprogramowanie zapewni dodatkową warstwę ochrony w razie zagrożenia. Nie wszystkie problemy można jednak rozwiązać, wdrażając dodatkowe rozwiązania bezpieczeństwa. Niezbędna jest ścisła współpraca deweloperów, działów operacyjnych i specjalistów ds. bezpieczeństwa.

Jakie działania powinien podjąć zespół odpowiedzialny za operacje IT, aby zapewnić jak najwyższe bezpieczeństwo firmowego środowiska multicloud?

Odpowiedź na to pytanie w dużym stopniu zależy od poziomu dojrzałości środowiska IT takiej firmy. Założymy jednak, że będzie to firma dysponująca dedykowanym zespołem Cloud DevOps i korzysta z jakiejś formy automatyzacji zarządzania zasobami chmurowymi. W takim przypadku podkreśliłbym przede wszystkim konieczność przeprowadzenia audytów skryptów wykorzystywanych do zarządzania środowiskiem, również w wymiarze zarządzania dostępem. Zaleciłbym też kompleksową analizę konfiguracji stosowanych usług chmurowych. Trend Micro niedawno przejęła Cloud Conformity, dostawcę rozwiązań pozwalających ocenić konfigurację środowiska chmurowego i dokonać oceny jej zgodności z ustalonymi regułami w sposób zautomatyzowany.