Chmura pod ostrzałem

Ilość informacji, które trafiły do chmur obliczeniowych, przekroczyła już próg jednego zetabajta i pędzi dalej. Jednak – tak jak z każdą technologią – im większa towarzyszy jej popularność, tym atrakcyjniejszym celem staje się ona dla przestępców.

Liczba ataków na środowiska chmurowe rośnie. Potwierdza to m.in. ankieta przeprowadzona przez firmę Alert Logic, oferującą usługi z zakresu bezpieczeństwa. Wśród 2200 zapytanych klientów aż 44% (przy 30% rok wcześniej) odpowiedziało, że ich środowiska chmurowe były celem ataków typu brute force. Znacznie wzrosła również liczba prób skanowania, mającego na celu wykrycie luk w bezpieczeństwie – z 27 do 44%. Ponad dwukrotnie – z 5 do 11% – wzrosła również liczba ataków DDoS. Widać wyraźnie, że im więcej firm będzie przenosić dane i aplikacje z tradycyjnych środowisk do chmury, tym więcej będzie ataków.

Alert Logic stosuje również sieć serwerów-pułapek (honeypot) do śledzenia częstotliwości i intensywności ataków na chmury. Aż 14% zebranych przez te serwery próbek szkodliwego oprogramowania zostało określone jako niewykrywalne przez ponad połowę programów antywirusowych. Co ciekawe, w Europie chmury są atakowane cztery razy częściej niż w Stanach Zjednoczonych.

Zobacz również:

Hamulec bezpieczeństwa

Bezpieczeństwo zawsze było bardzo ważną kwestią w środowiskach cloud i w wielu analizach jest wymieniane jako główny czynnik spowalniający popularyzację tego typu rozwiązań. Transmisja wartościowych danych, rosnące wykorzystanie sieci rozległych i zwiększająca się liczba urządzeń mobilnych wprowadzają nowe sposoby przetwarzania informacji. Dlatego wokół cloud computing i jego bezpieczeństwa toczy się wiele dyskusji.

Z perspektywy użytkownika chmura obliczeniowa to bardzo użyteczne rozwiązanie. Opłaty nalicza się tylko za wykorzystane zasoby, które są dostępne na żądanie i można je łatwo zwolnić, gdy przestają być potrzebne. Jednak z punktu widzenia bezpieczeństwa trzeba zwrócić uwagę na trzy kwestie: dane przechowuje się w infrastrukturze należącej do zewnętrznego podmiotu, korzysta się z niezaufanych systemów, a dostęp odbywa się przez sieć publiczną – internet.

Pierwsza kwestia wydaje się oczywista. Jeśli przekazujemy do chmury prywatne bądź firmowe dane, to w uproszczeniu znaczy, że de facto oddajemy je komuś obcemu. Tak jest z każdą chmurą publiczną, jak choćby Google czy Microsoft. Użytkownik nie ma możliwości zweryfikowania zabezpieczeń infrastruktury chmurowej i działających w niej aplikacji. Pojawia się też problem, jak reagować na żądania organów ścigania dotyczące dostępu do danych. Nie można też wykluczyć, że wśród pracowników operatora chmury znajdzie się agent pracujący dla jakiejś agencji rządowej.

Obserwuje się również nowe rodzaje ataków, które mogą podważyć wiarygodność danych przechowywanych w chmurze. Owszem, operatorzy wdrażają reguły obchodzenia się z danymi, mające zabezpieczyć interesy klientów, ale co w sytuacji, gdy ktoś złamie zabezpieczenia i włamie się do chmury? Jak w takim wypadku zweryfikować, czy dane nie zostały zmodyfikowane? Obok poufności i integralności danych, pojawia się kwestia ich wysokiej dostępności. Brak dostępu oznacza bowiem dla wielu firm wymierne starty finansowe. Spektakularnym przykładem takiej sytuacji była przerwa w działaniu chmury Amazon EC2, w wyniku czego podczas Bożego Narodzenia klienci nie mieli dostępu do serwisu Netflix.

Kolejny problem to bezpieczeństwo systemu. Część operatorów daje klientom pełną swobodę w budowaniu własnego systemu, ale większość oferuje prekonfigurowane obrazy, mające umożliwić szybkie uruchomienie usługi, z których część jest tworzona przez społeczności użytkowników (tak jest w przypadku EC2). To oznacza, że trzeba zaufać systemowi, który został stworzony przez nieznane, przypadkowe osoby. A przecież mogło przyjść komuś do głowy, aby umieść w takim systemie tylną furtkę (backdoor). Trzeba też pamiętać, że systemy działają na serwerach, do których dostęp na niskim poziomie (root lub podobny) ma operator chmury. To zasadniczo prowadzi do dyskusji o bezpieczeństwie oraz o tym, że klucze szyfrujące użytkowników, konfiguracje VPN czy hasła są chronione nieznanymi zabezpieczeniami, których solidności nie da się ocenić. Powraca też kwestia inwigilacji. Przykładowo, duży operator może przesyłać maszyny wirtualne między fizycznymi lokalizacjami poprzez łącza, będące pod nadzorem agencji rządowych.

Chmura dostępna dla każdego

Chmura publiczna to sposób na dynamiczne dostarczanie informacji przez internet. Korzystając z niej, trzeba więc pamiętać, że dostęp do tych danych można uzyskać z każdego zakątka świata. Publicznie dostępne będą dane i serwery, a nie zawsze jest to efekt, o który chodzi klientowi. Sieci Content Delivery Network (CDN) są świetnym sposobem na przechowywanie danych, ale jest wiele aplikacji, w których mechanizmy ochrony danych nie są wystarczające bądź działają niepoprawnie. To może prowadzić do utraty poufnych danych. Przykładowo, błędna konfiguracja usługi chmurowej może prowadzić do tego, że poufne dane zostaną zindeksowane przez wyszukiwarkę i w rezultacie staną się publicznie dostępne. Takie mogą być skutki korzystania z niezaufanego systemu, o którym nie do końca wiadomo, jak działa.

Z powodu wielu niepewności dotyczących bezpieczeństwa eksperci zalecają, aby nie przesyłać do chmury publicznej danych i aplikacji o krytycznym znaczeniu. Należy również oddzielić chmurę od danych operacyjnych, jeśli tylko jest to możliwe. Przykładowo, nie powinno się replikować wewnętrznej bazy danych przez internet do chmury publicznej. Szyfrowanie należy stosować tam, gdzie jest to uzasadnione. Dane powinny być zaszyfrowane zarówno podczas przechowywania na pamięciach masowych, jak i transmisji (można używać tuneli TLS czy SSH). Dobrym pomysłem, odnoszącym się nie tylko do środowisk chmurowych, jest audytowanie jak największej liczby elementów. Jeśli operator chmury udostępnia pliki logów, warto je zaciągnąć do własnego systemu ochrony informacji i systemu zarządzania zdarzeniami (SIEM). To pozwala na przeanalizowanie zdarzeń i wykrycie podejrzanych anomalii.


TOP 200