Безопасность в облаке — это совместная ответственность облачного провайдера и клиента.

Автор: Виктор Виноградов, менеджер по информационной безопасности DataSpace

Безусловно, облачный провайдер, предоставляющий услуги по модели, инфраструктура как услуга (IaaS), отвечает за физическую безопасность и доступность платформы виртуализации, защищает гипервизоры и компоненты инфраструктуры. Клиент, в свою очередь, должен самостоятельно защитить виртуальные машины и виртуальную сеть, организовать процедуры управления учетными записями и контроля доступа к ресурсам, размещенным в облаке. Чтобы избежать потенциальные риски, мы подготовили короткий чек-лист из пяти наиболее популярных ошибок, которые допускают клиенты, размещающие инфраструктуру в облаке.

1. Отсутствие многофакторной аутентификации

Традиционный способ аутентификации с использованием пары имени пользователя и пароля уже недостаточен. Пароль может быть легко скомпрометирован злоумышленниками, например, путем атаки методом полного перебора (Brute Force). Использование многофакторной аутентификации значительно усложнит доступ злоумышленников к учетным записям ваших пользователей.

2. Отсутствие резервного копирования

Резервные копии – это наилучший способ избежать худший сценарий в случае любых проблем, которые могут привести к потере данных или прерыванию деятельности компании. Даже в облаке вы должны быть уверены в том, что ваши политики резервного копирования соответствуют требованиям компании в части непрерывности деятельности.

3. Игнорирование регулярных обновлений

Не стоит забывать о регулярном обновлении программного обеспечения и обновлении операционных систем, необходимо организовать эффективный процесс управления уязвимостями, который будет включать инфраструктуру компании в облаке. По статистике в каждой третьей успешной атаке на российские компании в 2023 и первом полугодии 2024 года применялись методы эксплуатации уязвимостей¹.

4. Неправильная конфигурация в облаке

Размещение инфраструктуры в облаке позволяет легко и быстро масштабировать инфраструктуру, исходя из текущих потребностей компании. Поэтому всегда перед любыми изменениями нужно оценивать риски, связанные с неправильной конфигурацией инфраструктуры, которая размещается в облаке. Обязательно проверяйте доступные порты, используйте только защищенные протоколы для межсервисного взаимодействия, контролируйте доступы.

5. Отсутствие мониторинга

Быстрое обнаружение и реагирование на инциденты является критически важным. Качественный мониторинг позволяет быстро заметить проблемы в облачной инфраструктуре и тем самым предотвратить неприемлемые последствия для компании.

Размещение инфраструктуры в облаке позволяет передать часть функций облачному провайдеру, но не надо думать, что это означает передачу всего на аутсорсинг третей стороне. В действительности происходит разделение ответственности за безопасность облака между провайдером и клиентом. Даже если большая часть ответственности лежит на поставщике, вы должны обеспечиться безопасность в своей зоне ответственности.

¹Актуальные киберугрозы в странах СНГ 2023—2024 (https://www.ptsecurity.com/ru-ru/research/analytics/aktualnye-kiberugrozy-v-stranah-sng-2023-2024/)