Современная модель киберугроз для поставщиков облачных сервисов в целом соответствует набору традиционных рисков для информационных систем, но требует новых мер реагирования — к такому выводу пришли участники дискуссии на форуме «Мир ЦОД 2016. Услуги. Облака», организованном издательством «Открытые системы».

Когда провайдеры ЦОД начинали строить облачные сервисы, они больше заботились об их функциональных возможностях и скорости запуска, чем о сопутствующих рисках. Пора задуматься о последних; причем организовывать защиту от современных и потенциальных угроз следует на принципах адаптивности, утверждает Рустэм Хайретдинов, заместитель генерального директора компании InfoWatch.

«На начальном этапе строительства облачных сервисов концепция их безопасности мало чем отличалась от концепции защиты телекоммуникационных сервисов или ИТ-систем предприятий — компании принимали меры для защиты от DDoS-атак, нападений хакеров, попыток злоумышленников подобрать пароли и обойти системы авторизации… Как будет действовать злоумышленник в этом противостоянии, было в принципе известно; был понятен и набор защитных средств. Сейчас же все изменилось. Облако представляет собой набор приложений, которые их поставщик не контролирует в полном объеме», — считает Хайретдинов.

Во-первых, в создании сервисов активно участвуют специалисты сторонних компаний. Например, запуская сервис SaaS, провайдер автоматически открывает заказчикам и партнерам интерфейс программирования приложений для доработки под их нужды. При этом провайдер не может всецело проконтролировать, что именно будет дописано в приложении. API разрабатывается под идеального, дисциплинированного с точки зрения безопасности программиста. Но на деле далеко не все они соблюдают меры предосторожности. Таким образом в облаке начинают функционировать платформа, инфраструктура или ­софт, живущие «своей жизнью», совсем не той, что запрограммировал и спроектировал провайдер.

Во-вторых, атаки осуществляются не только на сервисы провайдера. Теперь атакуются и конкретные приложения, распространяемые из облака. Защита, построенная на традиционных подходах, безусловно, нивелирует многие традиционные угрозы, поскольку они остаются в арсенале злоумышленников. Однако новые атаки на конкретные приложения в сервисе, учитывающие специфику их написания и проектирования, отразить очень сложно, так как заранее неизвестно, какие именно уязвимости при этом эксплуатируются. Мало того что такие атаки нарушают работоспособность самих приложений, они могут стать средством для нападения на сервис целиком или на другие сервисы, предоставляемые провайдером.

Рустэм Хайретдинов: «Разработка все время ускоряется — новые сервисы запускаются с колес, изменения происходят каждые две недели, а тестирование на наличие уязвимостей делается раз в полгода»

«Нередко возникает ситуация, когда вы используете одно приложение из дата-центра, а кто-то при этом атакует другое приложение, расположенное там же, и в результате ваше приложение тоже перестает быть доступным. И тогда пользователи, не являющиеся первоначальной целью этих нападений, становятся сопутствующими их жертвами. Старая парадигма защиты дает сбой», — говорит Хайретдинов.

Юрий Бражников, генеральный директор компании 5nine Software в России и СНГ, также полагает, что в облачном виртуальном мире требуется иной уровень защиты: «Старые методы и архитектуры, которые десятилетиями использовались для защиты физической среды, уже не действуют. Они перестают защищать инфраструктуру и неэффективны для виртуальной среды, потому что старая модель строилась для защиты конечных точек. Но все нагрузки сегодня перемещаются с них на серверы и в облака — виртуализуются. Это приводит к появлению новых уязвимостей на уровне гипервизоров и операционных систем».

«Боты во многом уже имеют признаки искусственного интеллекта, действуют автономно и сами находят приложения с определенными уязвимостями, а далее работают по программе киберпреступников. Найти живого человека, который за ними стоит, очень сложно», — признает Хайретдинов.

Атаки становятся многоплановыми, многоэтапными, многоуровневыми, они осуществляются с разных направлений, с предварительной разведкой, с отвлечением, прикрытием и другими элементами военной тактики. Те, кто проектирует средства защиты, должны разбираться в различных видах атак, и это довольно сложно. Не менее сложно точно детектировать тип атаки и тем, кто непосредственно использует защитные средства. Возникает потребность в комбинированных и глубоко автоматизированных решениях.

С переходом к облачным сервисам заметно усложнилась задача защиты приложений. В 1990 -е годы объект ИТ-системы существовал отдельно от средств защиты, которые обычно поставлялись в виде коробочного решения, выполняющего определенные функции. С приходом веб-приложений ситуация изменилась в корне — к таким приложениям может получить доступ миллиард пользователей, включая злоумышленников. Поэтому в начале 2000-х на рынке появились сканеры, описывающие состояние объекта защиты.

Сейчас же настало время адаптивной защиты, которая не только изучает охраняемый объект, но и подстраивает объект и себя к текущим условиям — например, автоматически выпускает новые виртуальные заплатки для сервисов и приложений.

Однако даже радикальная смена парадигмы не гарантирует отсутствия инцидентов. Отвечая на вопрос, что представляет собой наибольшую угрозу для дата-центров, эксперты отметили исключительное значение человеческого фактора.

Как заявил Бражников, самая большая угроза все же исходит от тех, кто эксплуатирует ИТ-системы. Кстати, в этом плане облака безопаснее традиционных корпоративных систем, размещенных на территории предприятия, так как они более абстрагированы от корпоративных пользователей и персонала ИТ-подразделений.

«Мы, как провайдер телекоммуникационных и облачных сервисов, уделяем очень большое внимание этому вопросу, стараясь обеспечить безопасность со стороны хостинга, защититься от DDoS-атак и нападений хакеров на ИТ-системы, исключить возможность нанесения вреда нелояльными сотрудниками», — сообщил Владимир Малиновский, руководитель продаж решений дата-центра Lattelecom.

Антон Шевчук, менеджер по продукции Arbor Networks в компании Netwell, говоря об опасности целенаправленных атак, заметил, что для проникновения в сеть совсем не обязательно использовать уязвимости или вредоносный код. Это может быть сделано с помощью социальной инженерии и других методов, использующих человеческий фактор.

«Полностью исключить утечку не может ни одно техническое средство, если не запрещен обмен данными с внешней системой… Одним из решений в этой ситуации может быть адаптация модели минимального доверия в ЦОД, которая не только защищает прямые потоки данных, но и учитывает горизонтальный обмен информацией. Например, минимизировать внутренние угрозы можно, сократив привилегии администраторов, чтобы злоумышленник, попав в ЦОД, не смог пройти дальше того объекта, над которым ему удалось установить контроль», — говорит Александр Кренев, руководитель направления сетевой виртуализации VMware в России и СНГ.

В целом же на современном этапе для ЦОД и облачных сервисов актуальны практически те же угрозы, которые известны для корпоративных ИТ-систем. Хотя определенные акценты у них, конечно, расставлены по-своему, заключил Хайретдинов.