Гібридна хмара мала надати організаціям найкраще з обох світів: контроль над локальною інфраструктурою та гнучкість хмари. З точки зору безпеки, воно значною мірою вирішило проблеми, властиві обом варіантам.
Управління безпекою в гібридному середовищі потребує одночасного використання різних моделей безпеки. Локальна інфраструктура працює в рамках певних периметрів та використовує відносно статичні IP-адреси. Хмарні середовища динамічні, керуються через API та постійно змінюються. Програми, що поєднують ці світи, не звертають уваги на цю різницю, як і загрози, націлені на них.
За даними, майже половина (49%) компаній повідомляють про використання віртуальних версій традиційних міжмережевих екранів у хмарі Дослідження AlgoSec в галузі безпеки гібридних хмарних рішень. Ця статистика точно відображає проблему: більшість організацій намагаються вирішити принципово нове завдання у сфері безпеки за допомогою інструментів та підходів, розроблених для іншої епохи. Ось шість практик, які справді змінюють ситуацію на краще.
Використання традиційних міжмережевих екранів у хмарі – це як принести карту до міста, яке перебудовується за одну ніч.
1. Відмовтеся від традиційних міжмережевих екранів у хмарних середовищах.
Традиційні міжмережові екрани з відстеженням стану були розроблені для моніторингу вхідного та вихідного мережевого трафіку на рівнях 1 та 2. Хмарні середовища вимагають захисту на рівнях з 3 по 7, включаючи поінформованість про програми, активний аналіз загроз та інтегровану систему запобігання витоку даних.
Міжмережевий екран нового покоління (NGFW) забезпечують ці можливості. Але важливіша зміна стосується продуктивного середовища: безпеку хмарних сервісів не можна розглядати як окрему систему безпеки локальних систем. Політики, що регулюють роботу хмарної програми та локальних систем, до яких вона підключається, є частиною однієї й тієї ж системи безпеки. Керування ними за допомогою різних інструментів та команд створює вразливості, які можуть бути використані зловмисниками.
2. Використовуйте динамічні об’єкти, щоб не відставати від хмарних робочих навантажень
Управління безпекою в локальній мережі ґрунтується на відносно статичних підмережах та IP-адресах. Хмарні робочі навантаження постійно створюються та видаляються, IP-адреси змінюються, і традиційні об’єкти політик просто не справляються з цим.
Динамічні об’єкти вирішують цю проблему, дозволяючи політикам безпеки зіставляти групи робочих навантажень, використовуючи хмарні категорії, а не статичні IP-адреси. Це означає, що політики залишаються точними навіть за зміни базової інфраструктури, усуваючи необхідність постійного оновлення правил для відображення нових розгортань. Для команд, що керують великими хмарними середовищами, динамічні об’єкти — це різниця між масштабованою архітектурою політик і тією, яка з часом стає дедалі неточнішою.
3. Забезпечте 360-градусний огляд усієї гібридної інфраструктури
Прозорість є необхідною умовою для решти практик, перерахованих у цьому списку. Рішення в галузі безпеки, які приймаються без повної прозорості як у хмарному, так і в локальному середовищі, ґрунтуються на неповній інформації. Саме у цій неповноті й накопичується ризик.
У гібридному середовищі найважливішим аспектом забезпечення прозорості є контекст програми. Знання про існуючі мережеві потоки недостатньо. Необхідно знати, які бізнес-додатки підтримують ці потоки, які нормативні вимоги їх регулюють і якими будуть ризики, пов’язані з будь-якими змінами.
Видимість без контексту це просто шум.
Цей орієнтований на додатки рівень видимості перетворює мережеві дані на корисну інформацію для забезпечення безпеки. Він лежить в основі підходу, який AlgoSec розробляє вже два десятиліття, і все частіше стає стандартом, на якому сходяться зрілі програми безпеки гібридних хмарних середовищ. Horizon AppViz (Раніше AppViz) автоматично визначає вимоги до підключення додатків і зіставляє їх з політиками безпеки, які регулюють їх у всьому гібридному середовищі.
4. Оцінюйте ризики протягом усього мережевого маршруту, а не лише на рівні хмари.
Поширеною проблемою у сфері безпеки гібридних хмарних рішень є надмірна увага до хмарних сервісів на шкоду мережевим каналам, які їх з’єднують. Трафік, що йде з інтернету та центрів обробки даних до хмарних сервісів, несе в собі такий самий ризик, як і трафік усередині самої хмари, і найчастіше він контролюється набагато гірше.
Ефективне управління ризиками в гібридних хмарних середовищах вимагає рівномірного обліку ризиків на всьому шляху проходження по мережі: між хмарами, між локальними мережами, між інтернетом і хмарою, а також усередині самого локального середовища. Ризик, що існує на одній ділянці шляху, але невидимий на іншій, створює саме ту «сліпу зону», якою можуть пройти зловмисники.
У документі про політику безпеки мультихмарних рішень докладно розглядається це питання, у тому числі, як профіль ризику змінюється в міру розподілу робочого навантаження за різними середовищами, і як на практиці виглядає єдиний підхід до оцінки ризиків.
5. Упорядкуйте політику безпеки хмарних сервісів, перш ніж вони стануть джерелом проблем.
Групи безпеки хмарних послуг часто змінюються. Додатки розгортаються та виводяться з експлуатації, вимоги до підключення змінюються, а політики оновлюються миттєво без відповідного процесу очищення. Без управління масиви хмарних політик розростаються застарілими правилами, які розширюють поверхню атаки та значно ускладнюють аудит.
Тут застосовується той самий принцип, що і при очищенні локального міжмережевого екрану: встановити регулярний графік перевірок, визначити порогові значення неактивності, виявити правила, які не мають активного власника додатка, і видалити або посилити ті, які більше не виправдані. Темпи змін у хмарних середовищах роблять це актуальнішим, ніж у традиційних мережевих середовищах, а не менше.
Horizon ACE (раніше AlgoSec Cloud Enterprise) відстежує понад 150 специфічних для хмарних середовищ індикаторів ризику, включаючи невикористовувані групи безпеки та надмірно ліберальні правила хмарного брандмауера, що робить подібну безперервну очистку політик практичною в масштабах підприємства. Ви можете ознайомитись з Horizon ACE щоб дізнатися, як це працює в середовищах AWS, Azure та GCP.
6. Впроваджуйте безпеку в конвеєр DevOps, а не лише на етапі розгортання.
Хмарні середовища – це середовище, де DevOps розвивається найшвидше, і де безпека найчастіше розглядається як заключний етап перевірки. Проблема такої послідовності полягає в тому, що на момент виявлення нового ризику у виробничому середовищі його усунення вимагає переривання вже запущеного конвеєра доставки.
Більш ефективний підхід полягає в запровадженні безпеки більш на ранніх етапах конвеєра. Перед надсиланням нового фрагмента інфраструктурного коду в продакшн необхідно автоматично запускати перевірку ризиків на відповідність існуючим безпековим політикам. Це модель DevSecOps, яка застосовується до гібридної хмари: аналіз безпеки як частина запиту на злиття, а не після розгортання.
Це потребує інтеграції управління політиками безпеки з інструментами CI/CD, саме тут у багатьох організаціях найгостріше відчувається розрив між швидкістю роботи DevOps та можливостями їхньої команди безпеки. На сторінці, присвяченій рішенням AlgoSec для безпеки в середовищі DevOps, описані моделі інтеграції, які дозволяють реалізувати це практично.
Загальна нитка, що проходить через усі шість практик
Всі перелічені методи вказують на одну й ту саму фундаментальну зміну: управління безпекою в гібридних хмарних середовищах має враховувати особливості додатків, постійно контролюватись і бути інтегрованими в оперативний ритм роботи команди, а не додаватись як періодичні перевірки.
Організації, які розглядають безпеку гібридної хмари як простий захід з налаштування, зазвичай відстають. Ті ж, хто інтегрує їх у процес доставки додатків, робочий процес управління змінами та архітектуру моніторингу відповідності, зазвичай випереджають як ландшафт загроз, і цикл аудиту.
Компанія AlgoSec протягом двох десятиліть допомагає організаціям забезпечувати безпеку підключення додатків у гібридних мережевих середовищах.
Источник: Six Best Practices for Managing Security in the Hybrid Cloud
