Как да защитим облачните работни натоварвания без пропуски

Прекъсване на облачна услуга, публично достъпен сторидж контейнер или компрометиран администраторски акаунт могат да нарушат работата на бизнеса много преди екипът по сигурност да успее да установи какво точно се е случило.

Да знаете как да защитите облачните натоварвания означава да възприемате всяко приложение, виртуална машина, контейнер, база данни и облачна идентичност като част от цялостния бизнес риск, а не просто като инфраструктура, управлявана от облачен доставчик.

Облачните платформи могат да подобрят скоростта и мащабируемостта на бизнеса, но също така създават нови зависимости. Само една грешна конфигурация може да изложи клиентски данни. Сервизен акаунт с прекомерни права може да даде на атакуващите достъп до критични системи. Ransomware инцидент може да засегне данни, хоствани в облака, дори когато самата платформа остава напълно достъпна.

За бизнес лидерите целта е ясна: да намалят вероятността от прекъсване на дейността, да ограничат щетите при възникване на инцидент и да гарантират, че организацията ще може да изпълни своите договорни, регулаторни и финансови задължения след това.

Защитата на облачните натоварвания започва с разбирането на отговорностите

Облачните доставчици защитават собствените си центрове за данни, физическата инфраструктура и основните услуги, които предоставят. Вашата организация обаче остава отговорна за начина, по който тези услуги са конфигурирани, кой има достъп до тях, какви данни съдържат и как приложенията работят в рамките на тази среда.

Точното разпределение на отговорностите зависи от това дали използвате Infrastructure as a Service (IaaS), Platform as a Service (PaaS) или Software as a Service (SaaS).

Например облачният доставчик може да защитава физическата инфраструктура, върху която работи виртуален сървър, докато вашият екип остава отговорен за инсталирането на актуализации, защитата на отдалечения достъп и управлението на административните права.

При управлявана услуга за бази данни доставчикът може да поддържа самата база данни, но организацията все пак трябва да защитава идентификационните данни, правилата за достъп и съхраняваната информация.

Това разграничение е особено важно по време на одити по сигурността и при кандидатстване за киберзастраховка.

Много застрахователи оценяват контрола на идентичностите, защитата на крайните устройства, резервните копия, логването и готовността за реакция при инциденти.

Използването на облачни услуги не премахва тези изисквания. В някои случаи дори увеличава необходимостта от документирани контроли, тъй като ресурсите могат да бъдат създавани, променяни или изложени на риск значително по-бързо.

Сравнение на отговорностите в облачната сигурност

Изградете точен инвентар на облачните активи

Не можете да защитите натоварвания, които никой не може да идентифицира.

Започнете с документиране на всеки облачен акаунт, абонамент, проект, регион, приложение, хранилище на данни, виртуална машина, контейнерна среда и интеграция с трети страни.

Включете натоварванията, управлявани от вътрешни екипи, външни партньори по разработка и бизнес звена, които може самостоятелно да са закупили и внедрили облачен софтуер.

За всяко натоварване документирайте:

Клиентски портал, свързан с платежна система, изисква различно ниво на преглед и контрол в сравнение с временна тестова среда.

Без този контекст екипите по сигурност често прилагат едни и същи мерки навсякъде или пропускат системите с най-голямо оперативно значение.

Инвентаризацията не трябва да бъде еднократно упражнение, реализирано чрез електронна таблица. Облачните среди се променят постоянно.

Използвайте инструменти за автоматично откриване на активи, мониторинг на конфигурациите и формални процедури за управление на промените, за да идентифицирате новите ресурси преди те да се превърнат в неконтролиран риск.

Превърнете идентичностите в първата линия на защита

Повечето сериозни инциденти в облака са свързани с компрометирани, неправилно използвани или прекалено привилегировани акаунти.

Поради тази причина защитата на идентичностите е сред най-ефективните методи за намаляване на риска в облачните среди.

Изисквайте многофакторна автентикация за всички потребителски акаунти, особено за администратори, отдалечени потребители и достъп до облачните административни панели.

Избягвайте използването на споделени акаунти. Предоставяйте права според служебните отговорности и прилагайте принципа на най-малките необходими привилегии.

Защитете конфигурациите, преди да се превърнат в риск

Облачните услуги са изключително мощни именно защото могат да бъдат конфигурирани по различни начини. Същата тази гъвкавост обаче може да се превърне в риск, когато настройките за сигурност останат по подразбиране или бъдат променени без необходимия контрол.

Създайте стандартизирани и сигурни конфигурации за често използваните услуги, включително виртуални машини, хранилища за данни, бази данни, системи за управление на идентичности, мрежови услуги и контейнерни платформи.

Тези базови конфигурации трябва да включват правила за криптиране, публичен достъп, логване, защитни групи, управление на актуализациите и използване на одобрени региони и услуги.

Обърнете специално внимание на ресурсите, достъпни от интернет. Работните натоварвания не трябва да бъдат публично достъпни само защото това улеснява внедряването им.

Разполагайте чувствителните системи зад подходящи мрежови контроли, използвайте частни връзки когато е възможно и ограничавайте входящия трафик само до доверени източници.

Уеб приложенията може да изискват Web Application Firewall (WAF), докато вътрешните системи трябва да бъдат сегментирани по начин, който не позволява свободно придвижване на атакуващите между различните среди.

Автоматизираните проверки на конфигурациите са особено полезни, тъй като ръчните проверки трудно могат да следват темпото на промените в облака.

Автоматизацията обаче трябва да има ясен собственик. Аларми, по които никой не реагира, изключения без документация и задачи за корекция без определен отговорник могат да създадат фалшиво усещане за сигурност.

Защитете данните през целия им жизнен цикъл

Защитата на данните не се изчерпва с криптирането. Тя започва с разбирането каква информация обработва дадено натоварване и дали организацията има реална бизнес необходимост да съхранява тези данни.

Класифицирайте чувствителната информация като клиентски записи, лични данни на служители, финансови данни, здравна информация, интелектуална собственост и удостоверителни данни.

Ограничавайте достъпа до тази информация, криптирайте я както при пренос, така и при съхранение и управлявайте ключовете за криптиране чрез ясно разделение на административните отговорности.

Когато е практично, използвайте отделни акаунти или роли за администриране на ключове и за администриране на работните натоварвания.

Основни мерки за защита на данните

Политиките за съхранение заслужават същото внимание като мерките за защита. Съхраняването на ненужни данни с години увеличава последствията при пробив и може да усложни регулаторните задължения.

Определете ясни правила за съхранение и изтриване на информацията според правните, договорните и оперативните изисквания.

Периодично проверявайте дали изтрити записи, snapshot-и, резервни копия и репликирани данни действително се обработват според определените политики.

Защитете натоварването, а не само облачния акаунт

Дори напълно защитен облачен акаунт може да хоства уязвимо приложение.

Сървърите се нуждаят от редовни актуализации, защита на крайните устройства, управление на уязвимостите и подсилени операционни системи.

Контейнерите изискват използване на доверени образи, сканиране за уязвимости, управление на тайни и постоянен мониторинг по време на работа.

Екипите по разработка трябва да избягват съхраняването на пароли, API ключове и токени директно в програмния код или конфигурационните файлове.

Вместо това използвайте специализирани услуги за съхранение на секрети и подменяйте удостоверителните данни при смяна на служители, доставчици или при съмнение за компрометиране.

Репозиториите с програмен код и автоматизираните CI/CD процеси също изискват строг контрол на достъпа, тъй като компрометиран pipeline може да разпространи злонамерени промени в голям мащаб.

EDR, XDR и MDR решения за облачни среди

За среди с по-висок риск решенията за Endpoint Detection and Response (EDR), Extended Detection and Response (XDR) или Managed Detection and Response (MDR) осигуряват необходимата видимост за откриване на подозрително поведение.

Наблюдавайте за заплахи и тествайте възстановяването

Логовете са полезни само когато могат да отговорят на реални оперативни въпроси.

Можете ли да видите кой е променил политика за достъп? Можете ли да установите дали е имало неочакван достъп до база данни? Можете ли да определите кои системи са били засегнати от компрометиран акаунт?

Централизирайте облачните audit логове, събитията за автентикация, логовете на работните натоварвания и събитията от мрежовата сигурност.

Защитете логовете от модификации и ги съхранявайте достатъчно дълго, за да подпомагат разследвания, одити и застрахователни претенции.

Приоритизирайте известията така, че екипите да реагират първо на събития като ескалация на привилегии, деактивирани защитни механизми, необичайни трансфери на данни и влизания от неочаквани локации.

Резервните копия са отделен контрол от високата наличност. Дори среда с висока наличност може автоматично да репликира изтрити, криптирани или компрометирани данни.

Поддържайте резервни копия, които са изолирани от стандартния административен достъп, криптирани, редовно тествани и съобразени с бизнес изискванията за възстановяване.

Планирайте реакцията при инциденти предварително

Вашият план за реакция при инциденти трябва ясно да определя техническите контакти, бизнес ръководителите, правните консултанти, комуникационните отговорности и процедурите за уведомяване на застрахователя.

Забавеното докладване или използването на неодобрени доставчици може да усложни процеса по киберзастрахователна претенция .

Предварителното планиране защитава както скоростта на реакция, така и възможностите за застрахователно покритие.

Свържете техническата сигурност с финансовата защита

Контролите за киберсигурност намаляват риска, но никоя организация не може напълно да го елиминира.

Инцидентите в облачна среда могат да доведат до разходи, надхвърлящи техническото възстановяване, включително криминалистични разследвания, уведомяване на клиенти, правна помощ, прекъсване на бизнеса , регулаторни действия и отговорност към трети страни.

Киберзастраховката може да помогне за прехвърлянето на част от този финансов риск, но условията на полиците варират значително.

Покритието трябва да бъде прегледано спрямо начина, по който организацията използва облачните услуги, типовете данни, договорните задължения, зависимостта на приходите от цифровите услуги и възможностите за реакция при инциденти.

Полица, която изглежда всеобхватна на пръв поглед, може да съдържа изключения, лимити или изисквания за сигурност, които имат съществено значение по време на застрахователна претенция.