Основные стратегии облачной безопасности для минимизации рисков, угроз и уязвимостей

Предполагаете, что ваши данные в облаке защищены и резервируются? Не так быстро.

С рекордным числом кибератак в 2018 году ясно: все данные под угрозой.

Все всегда думают: «Со мной этого не случится». Реальность такова: ни одна сеть не защищена на 100% от хакеров.

По данным Kaspersky Lab, программа-шифровальщик выросла более чем на 250% в 2018 году и продолжает пугающую динамику. Следование рекомендациям здесь — лучшая страховка от парализующих последствий серьезной потери данных в облаке.

Как начать защиту данных в облаке? Какие лучшие практики сохранят данные в безопасности? Насколько безопасны облачные вычисления?

Чтобы помочь запустить вашу стратегию безопасности, мы пригласили экспертов поделиться советами по Рискам и угрозам облачной безопасности.

Ключевые выводы наших экспертов по защите облака и угрозам безопасности

• Примите, что прорыв вашей защиты — лишь вопрос времени, планируйте это.
• Не предполагайте, что ваши данные в облаке резервируются.
• Включите двухфакторную аутентификацию и IP-локацию для доступа к облачным приложениям.
• Используйте шифрование. Шифруйте данные в покое.
• Человеческий фактор — одна из крупнейших угроз вашей безопасности.
• Внедрите надежный процесс управления изменениями с еженедельным циклом управления патчами.
• Поддерживайте офлайн-копии данных на случай уничтожения или вымогательства облачных данных.
• Заключите контракт на сервис мониторинга безопасности 24/7.
• Имейте план реагирования на инциденты безопасности.
• Используйте передовые технологии межсетевого экрана, включая WAF (веб-приложения).
• Воспользуйтесь сервисами приложений, слоистостью и микросегментацией.

1. Обеспечение доступности в облаке

Дастин Албертсон, старший архитектор облачных решений в Veeam

Когда большинство людей думают об облачной безопасности, они представляют сети, межсетевые экраны, защиту конечных точек. Amazon определяет облачную безопасность так:

Безопасность в облаке похожа на безопасность в ваших локальных дата-центрах — только без затрат на содержание объектов и оборудования. В облаке не нужно управлять физическими серверами или устройствами хранения. Вместо этого используются программные инструменты безопасности для мониторинга и защиты потока информации в облачные ресурсы и из них.

Но часто упускаемый риск — поддержание доступности. Речь не только о гео- или аппаратной избыточности, а о том, чтобы ваши данные и приложения были покрыты. Облако — не волшебное место, где исчезают проблемы; это место, где страхи часто легче и дешевле умножаются. Надежная стратегия защиты данных — ключ. Veeam давно проповедует «Правило 3-2-1», сформулированное Питером Кроу.

Правило гласит: должно быть три копии данных, храниться на двух разных носителях, одна копия — вне площадки. Обычно «вне площадки» — это «облако», но что, если вы уже в облаке?

Именно здесь возникает большинство проблем: уже находясь в облаке, люди хранят данные в том же облаке. Поэтому важно помнить о детальной стратегии при переходе в облако. Используя такие инструменты, как агенты Veeam для защиты облачных рабочих нагрузок и Cloud Connect для отправки резервных копий вне площадки, чтобы сохранить доступность вне того же дата-центра или облака. Не предполагайте, что защита данных — работа провайдера, потому что это не так.

2. Миграция в облако опережает эволюцию элементов управления безопасностью

Сальваторе Столфо, CTO Allure Security

По новому опросу ESG, 75% организаций заявили, что как минимум 20% их конфиденциальных данных в публичных облаках недостаточно защищены. Также 81% опрошенных считают, что локальная безопасность данных более зрела, чем в публичном облаке.

Тем не менее, бизнес мигрирует в облако быстрее чем когда-либо для максимизации организационных выгод: по отчету LogicMonitor Cloud Vision 2020, к 2020 году 83% бизнес-нагрузок будет в облаке. У нас все более срочная ситуация: организации переносят конфиденциальные данные в облако для производительности быстрее, чем эволюционируют элементы управления безопасностью для защиты этих данных.

Компаниям нужно рассматривать решения, контролирующие доступ к данным в облачных ресурсах на основе уровня разрешений пользователя, но также иметь средства оповещения при доступе к данным необычными или подозрительными способами, даже со стороны кажущегося доверенного пользователя.

Помните: многие хакеры и утечки изнутри исходят от злоумышленников с украденными легитимными учетными данными, позволяющими свободно перемещаться по облачным ресурсам в поисках ценных данных. Обманные документы (приманки) также могут быть отличным инструментом обнаружения. Приманки могут предупредить команды безопасности на ранней стадии нарушения облачной безопасности о необычном поведении и даже обмануть потенциального кибера, заставив его думать, что он украл что-то ценное, хотя на самом деле это высококонвинцирующий поддельный документ. Затем возникает вопрос контроля над документами даже после их извлечения из облачного ресурса.

Именно здесь многие решения безопасности начинают давать сбой. После загрузки файла из облачного репозитория, как отследить, куда он перемещается и кто его смотрит? Необходимы дополнительные инвестиции в технологии вроде геофенсинга и телеметрии для решения этой проблемы.

3. Минимизация угроз и уязвимостей облачных вычислений с помощью плана безопасности

Ник О'Донован, архитектор решений и облачный специалист VMware

Гибридное облако продолжает набирать популярность в энтерпрайзе — в основном из-за скорости развертывания, масштабируемости и экономии затрат, становящихся более привлекательными для бизнеса. Мы продолжаем видеть быструю эволюцию инфраструктуры в облако, что означает: безопасность должна развиваться в так же темпе. Для энтерпрайза важно работать с облачным провайдером, имеющим надежный подход к безопасности в облаке.

Это означает, что партнерство с вашим облачным провайдером становится все более важным, когда вы вместе работаете над пониманием и внедрением плана безопасности для защиты данных.

Элементы управления безопасностью вроде многофакторной аутентификации, шифрования данных вместе с необходимым уровнем соответствия — все области фокуса при построении плана безопасности.

4. Никогда не переставайте узнавать о своих величайших уязвимостях

Айзек Коэн, CEO Teramind

Все больше компаний становятся жертвами облака, и это связано с ошибками конфигурации облака и небрежностью сотрудников.

1. Главные угрозы безопасности данных — ваши сотрудники. Небрежные или злонамеренные, сотрудники — одна из главных причин заражений вредоносным ПО и потерь данных. Причины, почему атаки вредоносного ПО и фишинговые письма стали обыденностью в новостях — это «легкие» способы для хакеров получить доступ к данным. Через социальную инженерию злоумышленники могут «обмануть» сотрудников, заставив отдать пароли и учетные данные критически важных бизнес-систем. Способы предотвращения: эффективная программа обучения сотрудников и мониторинг сотрудников, активно проверяющий систему.

2. Никогда не переставайте учиться. В отрасли, которая постоянно меняется и адаптируется, важно быть в курсе последних трендов и уязвимостей. Например, с Интернетом вещей (IoT) мы только начинаем видеть «вершину айсберга» в защите данных при увеличенных Wi-Fi-соединениях и онлайн-сервисах хранения. Эта история еще развивается и будет напрямую влиять на малый бизнес в будущем.

3. Изучите и поймите, как работает хранилище, затем обучайте. Мы слышали истории — когда данные раскрываются через облако, часто это связано с ошибками конфигурации облачных настроек. Сотрудники должны понимать природу безопасности приложения и то, что настройки легко поддаются изменению и могут быть переключены «вкл», выставляя данные наружу. Проводите обучение осведомленности безопасности через тренинги.

4. Ограничьте точки доступа. Легкий способ смягчить это — ограничить точки доступа. Распространенная ошибка при раскрытии облака — когда сотрудники с доступом по ошибке включают глобальные разрешения, exponируя данные к открытому соединению. Для смягчения: поймите, кто и что имеет доступ к облачным данным — все точки доступа — и тщательно контролируйте эти соединения.

5. Мониторинг систем. Прогрессивный и всесторонний. Для долгосрочной защиты данных в облаке используйте платформу пользовательской аналитики и мониторинга для быстрого обнаружения нарушений. Мониторинг и пользовательская аналитика упорядочивают данные и создают стандартный «профиль» пользователя — сотрудника и компьютера. Эти аналитики интегрированы и следят за вашими наиболее критическими хранилищами данных, которые вы как администратор указали в ПО обнаружения. Когда конкретные облачные данные изменяются, перемещаются или нарушаются, система «пингует» администратора немедленно, указывая на изменение характера.

5. Рассмотрите гибридные решения

Майкл В.Н. Холл, директор операций Turbot

Есть несколько важных вещей, которые нужно понимать о безопасности в облаке:

1. Пароли — сила — 80% всех нарушений паролей могли быть предотворены многофакторной идентификацией: верифицируя личность через SMS на телефон или email на аккаунт, вы можете получать оповещения о попытках доступа к вашим данным.

Одним из крупнейших виновников сейчас являются слабые учетные данные. Пароли, кодовые фразы и парольные фразы крадутся через фишинг, кейлоггинг и брутфорс.

Парольные фразы — новые пароли. Случайные, легко запоминаемые парольные фразы намного лучше паролей, так как они длиннее и сложнее.

MyDonkeysEatCheese47 — сложная парольная фраза, и если вы не владелец осла или производитель сыра, она не связана с вами. Помните о использовании заглавных и строчных букв, а также всего спектра пунктуации.

2. Сохраняйте связь с хостинг-провайдером. Выбирайте правильного хостинг-провайдера — репутационную компанию с высокими стандартами безопасности. Коммуницируйте регулярно, так как частые взаимодействия позволяют быть в курсе любых изменений или развивающихся проблем.

3. Рассмотрите гибридное решение. Гибридные решения позволяют безопасным, статичным системам хранить критические данные инхаус, одновременно открывая доступ к менее приоритетным данным для большей гибкости облака.

6. Узнайте, как работают системы облачной безопасности

Том ДеСот, CIO Digital Defense, Inc.

Бизнесам нужно оценивать риски и выгоды безопасности облачных вычислений. Важно, чтобы они образовывались о том, что означает переход в облако, прежде чем делать большой скачок от запуска систем в собственном дата-центре.

Слишком часто я видел бизнес, мигрирующий в облако без плана или знаний о том, что это значит для их систем и безопасности. Им нужно признать, что их ПО будет «жить» на общих системах с другими клиентами, так что если происходит нарушение платформы другого клиента, злоумышленник может скомпрометировать и их систему.

Точно так же клиентам облака нужно понимать, где будут храниться их данные — только в США или провайдер реплицирует на другие системы на разных континентах. Это может вызвать реальные проблемы, если информация конфиденциальна, например PII или данные, защищенные HIPAA или другим регулятивным статутом. В заключение, клиент облака должен внимательно относиться к соглашениям об уровне сервиса (SLA), которым придерживается провайдер, и убедиться, что они отражают их собственные SLA.

Переход в облако — отличный способ освободить вычислительные ресурсы и обеспечить uptime, но я всегда советую клиентам двигаться небольшими шагами, чтобы у них было время оценить, что значит быть «в облаке».

7. Проведите должную осмотрительность в защите облака

Кен Стасиак, CEO SecureState

Понимайте тип данных, которые вы помещаете в облако, и обязательные требования безопасности вокруг этих данных.

Как только бизнес представляет тип данных для хранения в облаке, у него должно быть твердое понимание уровня должной осмотрительности, необходимого при оценке разных облачных провайдеров. Например, если вы выбираете облачного провайдера для хостинга Защищенной медицинской информации (PHI), вы должны требовать оценку стандартов безопасности и соответствия HIPAA перед перемещением любых данных в облако.

Хорошие вопросы при оценке соответствия облачного провайдера организации, заботящейся о защите данных: Проводите ли вы регулярные SOC-аудиты и оценки? Как защищаетесь от вредоносной активности? Проводите ли вы проверки прошлого всех сотрудников? Какие системы имеются для мониторинга сотрудников, определения доступа и аудиторских следов?

8. Настройте контроль доступа и разрешения безопасности

Майкл Р. Дуранте, президент Tie National, LLC

Пока облако — растущая сила в вычислениях за гибкость масштабирования под нужды бизнеса и увеличение сотрудничества между локациями, оно также вызывает проблемы безопасности с потенциалом раскрытия уязвимостей относительно вне вашего контроля.

Например, BYOD может быть проблемой для безопасности, если пользователи не регулярно применяют патчи и обновления безопасности. Мой номерной совет — максимально использовать доступные средства контроля доступа.

Бизнесам нужно использовать контроль доступа для ограничения разрешений безопасности, позволяя только действия, связанные с функциями сотрудника. Ограничивая доступ, бизнес обеспечивает доступность критических файлов только персоналу, им нуждающемуся, тем самым снижая вероятность их раскрытия неправым лицам. Этот контроль также упрощает немедленный отзыв прав доступа при увольнении сотрудника для защиты любого конфиденциального контента, где бы сотрудник ни пытался получить доступ удаленно.

9. Понимайте происхождение и процессы поставщика или вендора

Пол Эванс, CEO Redstor

Использование облачных технологий позволило бизнесу всех размеров улучшить производительность и получить эффективность с более удаленной работой, более высокой доступностью и гибкостью.

Однако с растущим числом разрозненных систем и множеством облачных поставщиков и ПО для выбора, сохранение контроля над безопасностью данных становится сложным. При внедрении облачного сервиса критически важно тщательно понимать происхождение и процессы поставщика/вендора, который предоставит сервис. Отраслевые стандартные сертификаты безопасности — отличная отправная точка. Поставщики с сертификацией ISO 27001 доказали соответствие международным стандартам управления информационной безопасностью и должны уважаться выше, чем те, у кого её нет.

Полное понимание того, где ваши данные будут географически, кто к ним будет иметь доступ и будет ли оно зашифровано — ключ к защите. Также важно знать процессы поставщика в случае утечки или потери данных или простоев. Допустимые простои должны быть зафиксированы в контрактных SLA, которые должны быть финансово обеспечены для гарантии.

Для организаций, желающих использовать облачные платформы, существуют угрозы облачной безопасности, о которых нужно знать: кто будет иметь доступ к данным? Где данные хранятся? Мои данные зашифрованы? Но в целом облачные платформы могут ответить на эти вопросы и имеют высокие уровни безопасности. Организациям, использующим облака, нужно убедиться, что они знают законы и регуляции защиты данных, влияющие на данные, и получают точное понимание договорных соглашений с облачными провайдерами. Как защищаются данные? Многие регуляции и отраслевые стандарты дадут руководство по лучшему способу хранения чувствительных данных.

Хранение незащищенных или незашифрованных копий данных ставит их под более высокий риск. Получение знаний о уровнях безопасности облачных сервисов жизненно важно.

Каковы политики хранения и есть ли у меня резервная копия? Облачные платформы могут иметь широко вариативное использование, и это может вызывать (или предотвращать) проблемы. Если данные хранятся в облачной платформе, они могут быть уязвимы для рисков облачной безопасности, таких как вымогательское ПО или повреждение, поэтому обеспечение хранения множественных копий данных или их резервного копирования может предотвратить это. Гарантируя выполнение этих процессов, улучшаются уровни безопасности облачных платформ организации и дается понимание, откуда может прийти риск.

10. Используйте надежные пароли и многофакторную аутентификацию

Фред Рек, InnoTek Computer Consulting

Убедитесь, что вы требуете надежные пароли для всех облачных пользователей, и предпочтительно используйте многофакторную аутентификацию.

По отчету Verizon Data Breach Investigations Report 2017, 81% всех взломов, связанных с хакерством, использовали либо украденные, либо слабые пароли. Одной из крупнейших выгод облака является возможность доступа к данным компании из любой точки мира на любом устройстве. С другой стороны, с точки зрения безопасности, любой (так называемые «плохие парни») с именем пользователя и паролем может потенциально получить доступ к данным бизнеса. Принуждение пользователей к созданию надежных паролей делает брутфорс-атаки (подбор пароля из множества случайных символов) намного сложнее.

Помимо безопасных паролей, многие облачные сервисы сегодня могут использовать мобильный телефон сотрудника как второстепенный физический элемент аутентификации в многофакторной стратегии, делая это доступным и доступным для организации. Пользователям нужно не только знать пароль, но и иметь физический доступ к своему мобильному для доступа к аккаунту.

Наконец, рассмотрите внедрение функции блокировки аккаунта пользователя после заданного количества неудачных попыток входа.

11. Включите блокировку по IP-локации

Крис Берн, сооснователь и CEO Sensorpro

Компаниям следует включить двухфакторную аутентификацию и блокировку по IP-локации для доступа к используемым облачным приложениям.

С 2FA вы добавляете еще один вызов к обычной комбинации email/пароль через SMS. С блокировкой IP вы можете огородить доступ от IP офиса или IP удаленных сотрудников. Если платформа не поддерживает это, рассмотрите просьбу к провайдеру включить это.

Что касается фактического предоставления облачной платформы, предоставьте опцию шифрования данных в покое. В какой-то момент это станет таким же повсеместным, как https (SSL/TLS). Если случится невообразимое и данные попадут в чужие руки — например, устройство украдено или забыто в поезде — шифрование данных в покое является последней линией обороны, предотвращающей доступ к данным без правильных ключей шифрования. Даже если они умудрятся украсть их, они не смогут использовать. Это, например, смягчило бы недавнее нарушение Equifax.

12. Решения безопасности облачного хранилища с VPN

Эрик Шлиссель, президент и CEO GeekTek

Используйте VPN (виртуальные частные сети) при каждом подключении к облаку. VPN часто используются для полуанонимизации веб-трафика, обычно зрителями, геоблокируемыми при доступе к стриминговым сервисам вроде Netflix USA или BBC Player. Они также предоставляют критически важный слой безопасности для любого устройства, подключающегося к вашему облаку. Без VPN любой потенциальный злоумышленник с пакетным сниффером мог определить, какие участники обращаются к вашему облачному аккаунту и потенциально получить доступ к их учетным данным.

Шифруйте данные в покое. Если по какой-либо причине учетная запись пользователя скомпрометирована в вашем публичном, приватном или гибридном облаке, разница между данными в открытом виде и зашифрованным форматом может измеряться в сотнях тысяч долларов — конкретно $229,000, средняя стоимость кибератаки по опросу страховой компании Hiscox. Как показали недавние события, процесс шифрования и дешифрования этих данных окажется гораздо менее болезненным, чем его альтернатива.

Используйте двухфакторную аутентификацию и единый вход (SSO) для всех облачных аккаунтов. Google, Facebook и PayPal все используют 2FA, требующую ввода уникального программно-генерируемого кода в форму перед входом. Независимо от того, стремится ли ваш бизнес к их статусу, он может и должен эмулировать эту ключевую компоненту их стратегии безопасности. Единый вход упрощает управление доступом, так что одна пара учетных данных входит сотрудника во все аккаунты. Таким образом, системным администраторам нужно удалять только один аккаунт, а не несколько, которые могут быть забыты и позже повторно доступны бывшему сотруднику.

13. Будьте осторожны с риском человеческого фактора

Стивен Дж.Д. Вайсман, юрист и профессор Bentley University

Парафразируя Шекспира, вина не в облаке; ответственность в нас.

Хранение чувствительных данных в облаке — хороший вариант для безопасности данных на многих уровнях. Однако, независимо от того, насколько безопасна технология, человеческий элемент всегда представляет потенциальную опасность безопасности, которую могут эксплуатировать киберпреступники. Многие прошлые нарушения облачной безопасности доказали, что они не были вызваны провалами безопасности облачной технологии, а действиями отдельных пользователей облака.

Они неосознанно предоставляли свои имена пользователей и пароли киберпреступникам, которые через целевые фишинговые письма, телефонные звонки или текстовые сообщения убеждали людей отдать критически важную информацию для доступа к облачному аккаунту.

Лучший способ избежать этой проблемы, вместе с лучшим обучением сотрудников распознаванию и предотвращению целевого фишинга — использование двухфакторной аутентификации, например, разового кода, отправляемого на мобильный сотрудника при каждой попытке доступа к облачному аккаунту.

14. Обеспечьте извлечение данных от облачного вендора

Боб Херман, сооснователь и президент IT Tropolis

1. Двухфакторная аутентификация защищает от мошенничества с аккаунтами. Многие пользователи становятся жертвами фишинговых попыток по email, где злоумышленники вводят жертву в заблуждение, заставляя ввести данные для входа на поддельный сайт. Злоумышленник может затем войти на настоящий сайт как жертва и причинить весь возможный ущерб в зависимости от приложения сайта и доступа пользователя. 2FA гарантирует, что второй код должен быть введен при входе в приложение. Обычно код отправляется на телефон пользователя.

2. Обеспечение владения вашими данными и возможности извлечь их в случае, если вы больше не хотите работать с облачным вендором — императивно. Большинство легитимных облачных вендоров должны указывать в своих условиях, что клиент владеет своими данными. Далее, нужно подтвердить, что вы можете извлечь или экспортировать данные в каком-то пригодном формате, или что облачный вендор предоставит их по запросу.

15. Мониторинг в реальном времени и непрерывный

Сэм Бисби, директор по безопасности Threat Stack

1. Создайте наблюдаемость безопасности в реальном времени и непрерывный мониторинг систем

Пока мониторинг важен в любой среде данных, критически важно подчеркнуть, что изменения в современных облачных средах, особенно SaaS, происходят чаще; их влияние ощущается немедленно.

Результаты могут быть драматичными из-за эластичной инфраструктуры. В любой момент случайные или злонамеренные действия могут серьезно повлиять на безопасность ваших систем разработки, продакшена или тестирования.

Запуск современной инфраструктуры без наблюдаемости безопасности в реальном времени и непрерывного мониторинга — как полет вслепую. У вас нет понимания того, что происходит в вашей среде, и нет способа начать немедленное смягчение при возникновении проблемы. Вам нужно мониторить доступ к приложениям и хостам, чтобы понимать состояние вашего приложения во времени.

• Мониторинг систем для ручных действий пользователей. Это особенно важно в текущем мире DevOps, где инженеры, вероятно, имеют доступ к продакшену. Возможно, они управляют системами с помощью ручных задач, поэтому используйте это как возможность выявить процессы, подходящие для автоматизации.
• Отслеживание производительности приложений во времени для обнаружения аномалий. Понимание «кто, что и когда сделал» фундаментально для расследования изменений, происходящих в вашей среде.

2. Установите и непрерывно контролируйте настройки конфигурации

Настройки безопасности в облачных средах вроде Amazon Direct Connect могут быть сложными, и легко случайно оставить доступ к системам и данным открытым для всего мира, как это доказывают недавние истории об утечках S3.

Учитывая изменчивую (иногда волатильную) природу SaaS-сред, где сервисы могут создаваться и удаляться в реальном времени на постоянной основе, неудача в соответствующей настройке сервисов и неудача в мониторинге настроек могут поставить под угрозу безопасность. В конечном счете, это подорвет доверие клиентов, которые полагаются на вас для защиты их данных.

Устанавливая конфигурации против установленной базовой линии и непрерывно их мониторя, можно избежать проблем при настройке сервисов и быстрее обнаруживать и реагировать на проблемы конфигурации при их возникновении.

3. Согласуйте приоритеты безопасности и операций для решений и инфраструктуры облачной безопасности

Хорошая безопасность неотличима от правильных операций. Слишком часто эти команды в конфликте внутри организации. Безопасность иногда видна как замедление бизнеса — чрезмерно фокусируясь на полиции деятельности Dev и Ops команд. Но безопасность может быть бизнес-возможностью.

Безопасность должна использовать инструменты автоматизированного тестирования, элементы управления безопасностью и мониторинг внутри организации — по управлению сетями, доступом пользователей, конфигурации инфраструктуры и управлению уязвимостями на уровне приложений — это приведет бизнес вперед, снижая риск по поверхности атаки и поддерживая операционную доступность.

16. Используйте инструменты аудита для защиты данных в облаке

Джереми Вэнс, US Cloud

1. Используйте инструмент аудита, чтобы знать, что у вас есть в облаке и что все ваши пользователи используют в облаке. Вы не можете защитить данные, о которых не знаете.

2. Помимо выяснения, какие сервисы запущены в вашей сети, выясните, как и почему эти сервисы используются, кем и когда.

3. Сделайте этот аудит рутинной частью вашего сетевого мониторинга, а не разовым событием. Более того, если у вас нет пропускной способности для этого, аутсорсьте эту аудиторскую рутину квалифицированной третьей стороне вроде US Cloud.

17. Большинство нарушений начинаются с простых незащищенных точек

Маркус Тернер, главный архитектор и CTO Enola Labs

Облако очень безопасно, но чтобы обеспечить сохранность данных компании, важно правильно настроить облако.

Для AWS специально AWS Config — лучший инструмент для этого. AWS, когда настроен правильно, — одна из самых безопасных сред облачных вычислений в мире. Однако большинство утечек данных — не хакеры, использующие сложные программы для доступа к критическим данным, а простые незащищенные точки, низко висящие плоды, делающие данные компании уязвимыми.

Даже с лучшей облачной безопасностью человеческая ошибка часто виновата в самом критическом пробое или нарушении защиты. Наличие рутин для валидации непрерывной точности конфигурации — самая недооцененная и недооцененная метрика для сохранности данных компании в облаке.

18. Задайте своему облачному вендору ключевые вопросы безопасности

Брендан Кивни, Ed.D., основатель Data Ethics LLC

Изучая возможности перехода на облачное решение, вы должны обеспечить наличие адекватной поддержки на случай нарушения. Убедитесь, что вы задаете следующие вопросы перед подписанием соглашения с облачным провайдером:

Вопрос: Сколько третьих сторон использует провайдер для облегчения своего сервиса?

Причина: Процессы и документация должны быть обновлены для включения процедурных гарантий и координации с облачным решением. Дополнительно, уровень безопасности, предоставляемый облачным провайдером, должен быть четко понятен. Может потребоваться повышение уровня безопасности для соответствия требованиям конфиденциальности и безопасности для хранимых данных.

Вопрос: Как вы будете уведомлены, если произойдет нарушение их систем, и помогут ли они вашей компании в уведомлении ваших клиентов/покупателей?

Причина: Добавление облачного решения к хранению ваших данных добавляет новое измерение времени для учета в требованиях уведомления, которые могут применяться к вашим данным при нарушении. Эти временные факторы должны быть включены в процедуры уведомления о нарушении и политики конфиденциальности.

При переходе в облако с локально хостингового решения ваш процесс оценки рисков безопасности нужно обновить. Перед переходом оценка рисков должна произойти для понимания текущего состояния целостности данных, которые будут мигрированы.

Дополнительно, исследование должно быть проведено для обзора того, как данные будут переданы в облачную среду. Вопросы для рассмотрения:

Вопрос: Ваши данные готовы к транспортировке?

Причина: Время проведения оценки качества данных — до миграции данных в облачное решение, а не после.

Вопрос: Будет ли этот перенос облегчен облачным провайдером?

Причина: Важно понимать параметры безопасности для передачи данных к облачному провайдеру, особенно при рассмотрении больших наборов данных.

19. Защитите свой облачный аккаунт за пределами пароля

Предоставлено командой Dexter Edward

Защитите сам облачный аккаунт. Вся защита на сервере/ОС/приложении не поможет, если кто-то может захватить управление.

• Используйте надежный и безопасный пароль на аккаунте и 2-факторную аутентификацию.
• Ротируйте облачные ключи/учетные данные регулярно.
• Используйте IP-белые списки.
• Используйте любые роль-базированные доступы на любых связанных облачных ключах/учетных данных.

Защитите доступ к вычислительным инстансам в облаке.

• Используйте межсетевые экраны, предоставляемые облачными провайдерами.
• Используйте безопасные SSH-ключи для любых устройств, требующих доступа для входа.
• Требуйте пароль для административных задач.
• Строите приложение для работы без привилегий root.
• Обеспечьте использование вашими приложениями шифрования для любых коммуникаций вне облака.
• Используйте аутентификацию перед установкой публичных коммуникаций.

Используйте как можно больше частной облачной сети.

• Избегайте привязки сервисов ко всем публичным сетям.
• Используйте частную сеть для изоляции даже вашего доступа для входа (VPN — вариант).

Воспользуйтесь преимуществами мониторинга, файлового аудита и обнаружения вторжений, когда предлагаются облачными провайдерами.

• Облако создано для движения — используйте эту функцию для изменения сетевого местоположения.
• Выключайте инстансы, когда не используются. b. Храните ежедневные образы, чтобы можно было чаще перемещать серверы/приложения по интернету.

20. Рассмотрите внедрение управляемых виртуальных рабочих столов

Майкл Аббауд, CEO и основатель TetherView

Стихийные бедствия в сочетании с киберугрозами, утечками данных, проблемами оборудования и человеческим фактором увеличивают риск того, что бизнес столкнется с каким-то типом дорогого простоя или сбоя.

Переход к управляемым виртуальным рабочим столам, доставляемым через приватное облако, предоставляет уникальную возможность для организаций снизить затраты и обеспечить безопасный удаленный доступ персонала, поддерживая инициативы непрерывности бизнеса и смягчая риск простоя.

Используя резервные виртуальные рабочие столы, правильное решение непрерывности бизнеса предоставляет бизнесу фундамент для безопасности и соответствия.

Развертывание виртуальных рабочих столов дает пользователям гибкость удаленной работы через полностью функциональную браузерную среду, одновременно позволяя IT-отделам централизованно управлять конечными точками и блокировать критические бизнес-данные. Производительность, безопасность и соответствие не страдают.

Резервные виртуальные рабочие столы поставляются предварительно настроенными и готовы к мгновенному развертыванию, позволяя вашей команде оставаться в режиме «бизнес как обычно» при внезапном disastro.

Помимо этого, вы должны обеспечить регулярные аудиты данных и резервное копирование

Если вы не знаете, что в вашем облаке, сейчас время узнать. Необходимо часто аудировать данные и обеспечивать резервное копирование всего. Вы также захотите рассмотреть, кто имеет доступ к этим данным. Старые сотрудники или те, кому больше не нужен доступ, должны иметь отозванные разрешения.

Важно также использовать последние меры безопасности, такие как многофакторная аутентификация и шифрование по умолчанию. Всегда держите сотрудников в курсе этих мер и обучайте их распознавать потенциальные угрозы, чтобы они знали, как с ними справиться сразу.

21. Будьте в курсе политик безопасности провайдера

Джефф Биттнер, основатель и президент Exit technologies

Многие, если не большинство, бизнесов продолжат расширяться в облаке, опираясь на локальную инфраструктуру по разным причинам: от простых преимуществ стоимости/выгоды до нежелания доверять ключевые миссионно-критические данные или системы третьим сторонам — облачным провайдерам. Отслеживание того, какие активы где находятся в этой гибридной среде, может быть сложным и приводить к пробелам в безопасности.

Ответственность за безопасность в облаке разделена между провайдером сервиса и подписчиком. Поэтому подписчик должен знать не только политики безопасности провайдера, но и такие мирские вопросы, как циклы обновления оборудования.

Кибератакующие стали искусны в поиске и эксплуатации пробелов в старых ОС и приложениях, которые могут быть устаревшими или больше не обновляемыми. Теперь, с раскрытием уязвимостей Spectre и Meltdown, нам также нужно беспокоиться об угрозах, которые могут эксплуатировать ошибки или упущения, зашитые на уровне чипа.

Оборудование вроде серверов и ПК имеет ограниченный жизненный цикл, но часто бизнесы продолжают эксплуатировать эти системы после того, как вендоры начинают отзывать поддержку и прекращать обновления прошивки и ПО, необходимые для противодействия новым угрозам безопасности.

Помимо осведомленности о том, что делает их облачный провайдер, бизнес должен отслеживать свои собственные активы и обновлять или списывать их по мере необходимости. Когда компьютерные системы перепрофилируются для некритичных целей, слишком легко для них выйти за пределы управления рисками и надзора безопасности.

22. Шифруйте резервные копии перед отправкой в облако

Мikkel Уилсон, CTO Oblivious.io

1. Метаданные файлов должны защищаться так же бдительно, как сами данные. Даже если злоумышленник не может добраться до данных, хранящихся в облаке, если он может получить, скажем, все имена файлов и их размеры, вы утечкали важную информацию. Например, если вы юрист и раскрываете, что у вас есть файл «michael_cohen_hush_money_payouts.xls» размером 15 МБ, это может вызвать вопросы, на которые вы бы предпочли не отвечать.

2. Шифруйте свои резервные копии *перед* загрузкой в облако. Резервные копии — высокоценная цель для злоумышленников. Многие компании, даже с собственными дата-центрами, хранят резервные копии в облачных средах вроде Amazon S3. Они даже включают функции шифрования S3. К сожалению, Amazon хранит ключи шифрования прямо рядом с данными. Это как заперть машину и оставить ключи на капоте.

23. Знайте, где находятся ваши данные, чтобы снизить облачные угрозы

Викас Адитья, основатель QuikFynd Inc

Будьте осведомлены о том, где их данные хранятся в наши дни, чтобы они могли проактивно идентифицировать, могут ли какие-либо данные быть под риском нарушения.

В наши дни данные хранятся в множественных облачных локациях и приложениях в дополнение к устройствам хранения в бизнесе. Компании принимают облачные сервисы хранения вроде Google Drive, Dropbox, OneDrive и онлайн ПО для всех видов бизнес-процессов. Это привело к огромной фрагментации данных компании, и часто менеджеры не знают, где все данные могут быть.

Например, конфиденциальный финансовый отчет компании может попасть в облачное хранилище, потому что устройства автоматически синхронизируются с облаком, или конфиденциальный бизнес-разговор может произойти в облачных сервисах обмена сообщениями вроде Slack. Хотя облачные компании имеют все правильные намерения защитить данные клиентов, они также главные цели, потому что хакеры имеют лучший ROI в таргетинге таких сервисов, где они могут потенциально получить доступ к данным миллионов подписчиков.

Так что должна сделать компания?

Пока они продолжат принимать облачные сервисы и их данные окажутся во многих локациях, они могут использовать инструменты поиска и организации данных, которые покажут, какие данные существуют в этих сервисах. Используя возможности полнотекстового поиска, они могут очень быстро выяснить, является ли какая-либо из этой информации потенциальным риском для компании при нарушении. Вы не можете защитить то, чего даже не знаете, где оно. И еще важнее, вы даже не узнаете, если оно украдено. Поэтому компаниям, желающим защитить свои бизнес-данные, нужно предпринять шаги хотя бы для осведомленности о том, где вся их информация.

24. Регулярно патчьте свои системы, чтобы избежать облачных уязвимостей

Адам Штерн, CEO Infinitely Virtual

Бизнес-пользователи не беззащитны, даже после недавних атак на облачные вычисления вроде WannaCry или Petya/NotPetya.

Лучшее противоядие — управление патчами. Всегда разумная практика держать системы и серверы в актуальном состоянии с патчами — это кратчайший путь к спокойствию. Действительно, «сознание управления патчами» должно быть частью общего мантры, что безопасность — процесс, а не событие — мышление, а не вопрос отметки галочек и продолжения. Бдительность должна быть режимом по умолчанию для всех.

Спам — друг никому; будьте осторожны с email от неизвестных источников — а значит не открывайте их. Каждый малый и средний бизнес выигрывает, ставя стратегический акцент на защиту безопасности, с технологиями вроде кластерных межсетевых экранов и систем обнаружения и предотвращения вторжений (IDPS).

25. Процессы безопасности нуждаются в принуждении, так как сотрудники часто не осознают риск

Мурад Мордухай, CEO Qencode

1. Безопасность как приоритет

Принуждение мер безопасности может стать сложным при работе с дедлайнами или сложными новыми функциями. В попытке двигать свои продукты вперед, команды часто гнут правила, изложенные в своих собственных процессах безопасности, не осознавая риск, в который ставя свою компанию. Хорошо продуманный процесс безопасности должен быть хорошо принужден для достижения своей цели в защите ваших данных. Компании, включающие облачную безопасность как приоритет в процессе разработки продукта, драматически снижают свою экспозицию потерянным данным и угрозам безопасности.

2. Пароли и шифрование

Две важные части защиты ваших данных в облаке — пароли и шифрование.

Плохое управление паролями — крупнейшая возможность для злоумышленников получить доступ и контроль над данными компании. Обычно осуществляется через техники социальной инженерии (вроде фишинговых email) в основном из-за плохого обучения сотрудников. Правильное обучение сотрудников и процессы мониторинга email идут далеко в помощи раскрытию информации паролей. Дополнительно, пароли должны быть длинными, включать цифры, буквы и символы. Пароли никогда не должны записываться, делиться в email или публиковаться в чатах и комментариях тикетов. Дополнительный слой защиты данных достигается через шифрование. Если ваши данные хранятся в облаке на длительные периоды, они должны быть зашифрованы локально перед отправкой вверх. Это делает данные практически недоступными в маловероятном случае их компрометации.

26. Включите двухфакторную аутентификацию

Тим Платт, вице-президент IT Business Services в Virtual Operations, LLC

Для лучшей безопасности облачного сервера мы предпочитаем видеть двухфакторную аутентификацию (также известную как 2FA, многофакторную аутентификацию или двухшаговую аутентификацию) везде, где возможно.

Что это такое? 2 Фактор объединяет «то, что вы знаете» с «тем, что у вас есть». Если вам нужно предоставить и пароль, и уникальный код, отправленный на ваш смартфон через SMS, то у вас есть оба этих фактора. Даже если кто-то знает ваш пароль, он все равно не может войти в ваш аккаунт. Ему нужно знать ваш пароль и иметь доступ к вашему мобильному. Не невозможно, но вы драматически усложнили им взлом аккаунта. Они поищут более легкую цель. В качестве примера, iCloud и Gmail поддерживают 2FA — два сервиса, очень популярные у бизнес-пользователей. Рекомендую всем его использовать.

Почему это важно для облачной безопасности?

Потому что облачные сервисы часто не защищены межсетевым экраном или иным механизмом контроля того, откуда можно получить доступ к сервису. 2FA — отличный дополнительный слой для добавления к безопасности. Должен упомянуть, что некоторые сервисы, такие как Salesforce, имеют очень эффективную, легкую в использовании реализацию 2FA, которая не является значительной нагрузкой для пользователя.

27. Не предполагайте, что ваши данные в облаке резервируются

Майк Поттер, CEO и сооснователь Rewind

Резервное копирование данных в облаке: существует большое заблуждение о том, как облачные платформы (например, Shopify, QuickBooks Online, Mailchimp, WordPress) резервируются. Обычно облачные приложения поддерживают аварийное восстановление облачного резервного копирования всей платформы. Если бы что-то случилось с их серверами, они бы пытались восстановить данные всех до последнего резервного копирования. Однако как пользователь, у вас нет доступа к их резервной копии для восстановления ваших данных.

Это означает, что вы рискуете необходимости вручную отменять нежелательные изменения или навсегда терять данные, если:

• Стороннее приложение, интегрированное в ваш аккаунт, вызывает проблемы.
• Вам нужно откатить серию изменений.
• Вы или кто-то в вашей команде совершает ошибку.
• Недовольный сотрудник или подрядчик злонамеренно удаляет данные.

Наличие доступа к вторичной резервной копии ваших облачных аккаунтов дает вам больший контроль и свободу над своими данными. Если бы что-то случилось с серверами вендора или внутри вашего индивидуального аккаунта, возможность быстрого восстановления данных могла сэкономить тысячи долларов в потерянной выручке, затратах на ремонт и времени.

28. Минимизируйте и проверяйте разрешения файлов

Рэндольф Моррис, основатель и CTO Releventure

1. Если вы используете облачный сервер, обеспечьте мониторинг и патчинг уязвимости Spectre и её вариаций. Облачные серверы особенно уязвимы. Эта уязвимость может обойти любые меры облачной безопасности, включая шифрование для данных, обрабатываемых в момент использования уязвимости как эксплойта.

2. Пересмотрите и усильте доступ к файлам для каждого сервиса. Слишком часто аккаунты с полным доступом используются для обеспечения работы ПО, потому что были проблемы с разрешениями в прошлом. Если возможно, каждый сервис должен использовать свой аккаунт и иметь только ограниченное разрешение на доступ к жизненно важному и давать только минимально необходимые права.

29. При защите файлов в облаке сначала шифруйте данные локально

Брендон Акройд, основатель и эксперт по мобильной безопасности Tiger Mobiles

Большинство пользователей облачного хранилища предполагают, что такие сервисы используют свое шифрование. Они используют, Dropbox, например, использует отличную систему шифрования для файлов.

Проблема, однако, в том, что потому что вы не тот, кто шифрует, у вас также нет ключа дешифровки. Dropbox держит ключ дешифровки, так что любой с этим же ключом может дешифровать ваши данные. Дешифровка происходит автоматически при входе в систему Dropbox, так что любой, кто получает доступ к вашему аккаунту, например, через взлом, также может получить ваши теперь не зашифрованные данные.

Решение — зашифровать ваши файлы и данные, используя приложение или ПО для шифрования, перед отправкой в выбранный вами сервис облачного хранилища.

30. Экспонированные бакеты в AWS S3 уязвимы

Тодд Бернхард, менеджер по продуктовому маркетингу CloudCheckr

1. Самые распространенные и публичные утечки данных за последний год или около того были из-за предоставления публичного доступа для чтения к бакетам AWS S3. Конфигурация по умолчанию действительно приватная, но люди склонны вносить изменения и забывать об этом, а затем помещать конфиденциальные данные на эти экспонированные бакеты.

2. Шифруйте данные и в трафике, и в покое. В дата-центре, где конечные пользователи, серверы и серверы приложений могут быть в одном здании. В отличие от этого, с Облаком весь трафик идет через Интернет, поэтому нужно шифровать данные при их движении в публичной среде. Это как разница между отправкой письма в конверте или открытки, которую может прочитать любой, кто в контакт с ней приходит.

31. Используйте золотой стандарт шифрования

Джефф Капоне, CEO SecureCircle

Существует ложное чувство приватности у бизнесов, использующих облачные сервисы вроде Gmail и Dropbox для коммуникаций и обмена информацией. Поскольку эти сервисы облачные и доступны по паролю, автоматически предполагается, что коммуникации и обмен файлами безопасны и приватны. Реальность — они не такие.

Один из способов, которым организации могут гарантировать безопасность своих данных — использование новых методов шифрования, таких как сквозное шифрование для email и обмена файлами. Это считается «золотым стандартом» метода без центральных точек атаки — означает, что оно защищает пользовательские данные даже при нарушении сервера.

Эти передовые методы шифрования будут наиболее полезны для бизнесов при использовании в сочетании с хорошо выстроенными внутренними политиками. Например, децентрализация доступа к данным когда возможно, минимизация или устранение аккаунтов с привилегированным доступом и тщательное рассмотрение рисков при решении делиться данными или использовать SaaS-сервисы.

32. Имейте комплексные средства контроля доступа

Рэнди Баттат, основатель и CEO PreVeil

Все облачные провайдеры имеют возможность установки контроля доступа к вашим данным. Это по сути список тех, кто имеет доступ к данным. Убедитесь, что «анонимный» доступ отключен и что вы предоставили доступ только тем аутентифицированным аккаунтам, которым он нужен.

Помимо этого, вы должны использовать шифрование, чтобы гарантировать, что ваши данные остаются защищенными и в стороне от посторонних глаз. Существует множество вариантов в зависимости от вашего облачного провайдера. Балансируйте удобство доступа к данным с необходимостью их защиты — некоторые методы безопаснее других, как использование клиентского ключа и процесса шифрования. Тогда, даже если у кого-то есть доступ к данным (см. пункт 1), у них есть доступ только к зашифрованной версии, и им все еще нужен ключ для дешифровки.

Обеспечьте непрерывное соответствие вашим политикам управления. Как только вы внедрили вышеперечисленное и разработали множество других стандартов безопасности и защиты, убедитесь, что вы остаетесь в соответствии с вашими политиками. Как многие организации испытали с утечками облачных данных, риск не в платформе облачного провайдера. В том, что их сотрудники делают с платформой. Обеспечьте соответствие мониторингом изменений, или лучше — внедрите инструменты для мониторинга облака с автоматизированными корректирующими действиями, если ваша среда испытывает дрейф конфигурации.

33. 5 фундаментальных принципов для сохранения данных в безопасности в облаке

Дэвид Гугик, вице-президент по управлению продуктом CloudBerry

• Проводите тестирование на проникновение для обеспечения обнаружения и исправления любых уязвимостей.
• Используйте межсетевой экран для создания частной сети, чтобы держать неавторизованных пользователей вне.
• Шифруйте данные с использованием AES-шифрования и ротируйте ключи для обеспечения защиты данных и в транзите, и в покое.
• Логирование и мониторинг для отслеживания того, кто что делает с данными.
• Идентификация и контроль доступа для ограничения доступа и типа доступа только пользователям и группам, которым он нужен.

34. Обеспечьте безопасную мультитенантную среду

Энтони Дезилва, CISO PhoenixNAP

Когда мы думаем об облаке, мы думаем о двух вещах. Экономия затрат за счет эффективности, полученной от использования общей инфраструктуры, и риск безопасности облачного хранилища.

Хотя многие опубликованные нарушения атрибутируются к ошибкам конфигурации облачной среды, я бы удивился, если это число было больше, чем сообщенные нарушения не-облачных сред.

Лучшие облачные провайдеры имеют заинтересованность в создании безопасной мультитенантной среды. Их совокупные расходы на создание этих сред намного больше, чем IT-бюджеты большинства компаний, не говоря уже о их бюджетах безопасности. Поэтому я бы утверждал, что правильно настроенная облачная среда обеспечивает гораздо более высокий уровень безопасности, чем может создать малый или средний бизнес on-prem.

Более того, в среде, где таланты безопасности в острогом дефиците, у организации нет способа найти, не то что позволить себе нужные таланты безопасности. В результате — следующая лучшая вещь: создать деловые партнерские отношения с провайдером, который не только имеет сильную безопасную инфраструктуру, но также предоставляет решения мониторинга безопасности облака.

Угрозы и уязвимости облачных вычислений: нужно знать

• Архитектурируйте решение так, как вы бы это делали для любого on-prem дизайн-процесса;
• Воспользуйтесь преимуществами сервисов приложений, слоистостью и микросегментацией;
• Используйте слои обработки транзакций с жесткими ACL, контролирующими межпроцессное взаимодействие. Используйте PKI-инфраструктуру для аутентификации и шифрования межпроцессного взаимодействия.
• Используйте передовые технологии межсетевых экранов, включая WAF (веб-приложения), для фронтэнда веб-приложений, чтобы минимизировать влияние уязвимостей в базовом ПО;
• Используйте шифрование вплоть до уровня записи;
• Примите, что прорыв вашей защиты — лишь вопрос времени, планируйте это. Архитектурируйте все системы для минимизации влияния, если это случится.
• Плоская сеть никогда не нормальна!
• Надежный процесс управления изменениями, с еженедельным циклом управления патчами;
• Поддерживайте офлайн-копии данных для смягчения риска коллапса облачного сервиса или злонамеренной атаки, вытирающей вашу облачную среду;
• Заключите контракт с сервисами мониторинга безопасности 24/7, имеющими компонент реагирования на инциденты.