«Мир ЦОД 2016»: адаптивная защита сделает облака безопаснее

Рустэм Хайретдинов: «Разработка все время ускоряется – новые сервисы запускаются с колес, изменения происходят каждые две недели, а тестирование на наличие уязвимостей делается раз в полгода»


13:01 10.11.2016   |   2649 |  Алексей Есауленко |  «Директор информационной службы»

Рубрика Предприятие



Новые типы угроз вынуждают поставщиков сервисов ЦОД перейти от традиционной парадигмы защиты информационных систем к инфраструктуре безопасности, основанной на принципах адаптивности.

Современная модель киберугроз для поставщиков облачных сервисов в целом соответствует набору рисков для телекоммуникационных и корпоративных информационных систем, но требует новых мер реагирования — к такому выводу пришли участники дискуссии по тематике информационной безопасности на форуме «Мир ЦОД 2016. Услуги. Облака», организованном издательством «Открытые системы».

К новой парадигме

Когда провайдеры ЦОД начинали строить облачные сервисы, они больше заботились об их функциональных возможностях и скорости запуска, чем о сопутствующих рисках. Пора задуматься о последних; причем организовывать защиту от современных и потенциальных угроз следует на принципах адаптивности, утверждает Рустэм Хайретдинов, заместитель генерального директора компании InfoWatch.

К слову, как отмечается в недавнем отчете Gartner, переход к адаптивной инфраструктуре безопасности входит в десятку ведущих глобальных технологических тенденций в отрасли ИТ.

«На начальном этапе строительства облачных сервисов концепция их безопасности мало чем отличалась от концепции защиты телекоммуникационных сервисов или ИТ-систем предприятий – компании принимали меры для защиты от DDoS-атак, нападений хакеров, попыток злоумышленников подобрать пароли и обойти системы авторизации… Как будет действовать злоумышленник в этом противостоянии, было в принципе известно; был понятен и набор защитных средств. Сейчас же все изменилось. Облако (неважно, о каких сервисах идет речь – IaaS, PaaS, SaaS) представляет собой набор приложений, которые их поставщик не контролирует в полном объеме», — считает Хайретдинов.

Во-первых, в создании сервисов активно участвуют специалисты сторонних компаний. Например, запуская сервис SaaS, провайдер автоматически открывает заказчикам и партнерам интерфейс программирования приложений для доработки под их нужды. При этом провайдер не может всецело проконтролировать, что именно будет дописано в приложении. API разрабатывается под идеального, дисциплинированного с точки зрения безопасности программиста. Но на деле далеко не все они соблюдают меры предосторожности. Таким образом в облаке начинают функционировать платформа, инфраструктура или софт, живущие «своей жизнью», совсем не той, что запрограммировал и спроектировал провайдер.

Во-вторых, атаки осуществляются не только на сервисы провайдера (например, с целью полностью загрузить канал мусорным трафиком или реализовать другие известные атаки). Теперь атакуются и конкретные приложения, распространяемые из облака. Защита, построенная на традиционных подходах, безусловно, нивелирует многие традиционные угрозы, поскольку они остаются в арсенале злоумышленников. Однако новые атаки на конкретные приложения в сервисе, учитывающие специфику их написания и проектирования, отразить очень сложно, так как заранее неизвестно, какие именно уязвимости при этом эксплуатируются. Мало того что такие атаки нарушают работоспособность самих приложений, они могут стать средством для нападения на сервис целиком или на другие сервисы, предоставляемые провайдером.

«Нередко возникает ситуация, когда вы используете одно приложение из дата-центра, а кто-то при этом атакует другое приложение, расположенное там же, и в результате ваше приложение тоже перестает быть доступным. И тогда пользователи, не являющиеся первоначальной целью этих нападений, становятся сопутствующими их жертвами. Старая парадигма защиты дает сбой», — говорит Хайретдинов.

Юрий Бражников, генеральный директор компании 5nine Software в России и СНГ, также полагает, что в облачном виртуальном мире требуется иной уровень защиты: «Старые методы и архитектуры, которые десятилетиями использовались для защиты физической среды, уже не действуют. Они перестают защищать инфраструктуру и неэффективны для виртуальной среды, потому что старая модель строилась для защиты конечных точек. Но все нагрузки сегодня перемещаются с них на серверы и в облака – виртуализуются. Это приводит к появлению новых уязвимостей на уровне гипервизоров и операционных систем».

Боты, Agile и адаптивность

Хайретдинов отмечает, что злоумышленники быстро роботизируют свои инструменты нападения: «Боты во многом уже имеют признаки искусственного интеллекта, действуют автономно и сами находят приложения с определенными уязвимостями, а далее работают по программе киберпреступников. Найти живого человека, который за ними стоит, очень сложно».

Снижает уровень безопасности и распространение концепции Agile, для которой скорость запуска сервиса в продуктивную эксплуатацию имеет приоритет над его защитой. Это приводит к тому, что пользователи и владельцы сервиса оказываются в зоне высокого риска. В данной ситуации традиционные методы защиты пробуксовывают и обычно не способны своевременно отреагировать на новые угрозы.

Атаки становятся многоплановыми, многоэтапными, многоуровневыми, они осуществляются с разных направлений, с предварительной разведкой, с отвлечением, прикрытием и другими элементами военной тактики. Те, кто проектируют средства защиты, должны разбираться в различных видах атак, и это довольно сложно. Не менее сложно точно детектировать тип атаки и тем, кто непосредственно использует защитные средства. Отсюда возникает потребность в комбинированных и глубоко автоматизированных решениях. Такие средства уже появляются на рынке и позволяют предприятиям сфокусироваться на своем бизнесе, не отвлекаясь на вопросы защиты своих информационных активов.

С переходом к облачным сервисам заметно усложнилась задача защиты приложений. В 1990-е годы объект ИТ-системы существовал отдельно от средств защиты, которые обычно поставлялись в виде коробочного решения, выполняющего определенные функции. С приходом веб-приложений ситуация изменилась в корне – к таким приложениям может получить доступ миллиард пользователей, включая злоумышленников. Поэтому в начале 2000-х на рынке появились сканеры, описывающие состояние объекта защиты. Это позволило настраивать систему защиты оптимальным образом.

Сейчас же настало время адаптивной защиты, которая не только изучает охраняемый объект, но и подстраивает объект и себя к текущим условиям — например, автоматически выпускает новые виртуальные заплатки для сервисов и приложений. Впрочем, адаптивная инфраструктура — это промежуточный этап развития средств информационной безопасности.

«Разработка все время ускоряется – новые сервисы запускаются с колес, изменения происходят каждые две недели, а тестирование на наличие уязвимостей делается раз в полгода. В таких условиях никакого иного выхода, кроме интеграции системы защиты с самим объектом защиты, не существует», — отмечает Хайретдинов.

Примерно такой сценарий реализуется крупнейшими облачными провайдерами. Например, у Amazon Web Services нет отдельного сервиса защиты — там специалисты по безопасности тесно взаимодействуют с разработчиками собственно облачных сервисов. Происходит своего рода диффузия знаний и процедур в этих областях деятельности. Хайретдинов предполагает, что уже в 2020-х годах парадигмы разработки и защиты приложений полностью интегрируются и будут существовать вместе.

Казус Сноудена

Однако даже радикальная смена парадигмы не гарантирует отсутствия инцидентов. Отвечая на вопрос, что представляет собой наибольшую угрозу для дата-центров, эксперты отметили исключительное значение человеческого фактора.

Как заявил Бражников, самая большая угроза все же исходит от местных сноуденов – тех, кто эксплуатирует ИТ-системы. Кстати, в этом плане облака безопаснее традиционных корпоративных систем, размещенных на территории предприятия, так как они более абстрагированы от корпоративных пользователей и персонала ИТ-подразделений.

«Мы, как провайдер телекоммуникационных и облачных сервисов, уделяем очень большое внимание этому вопросу, стараясь обеспечить безопасность со стороны хостинга, защититься от DDoS-атак и нападений хакеров на ИТ-системы, исключить возможность нанесения вреда нелояльными сотрудниками», — сообщил Владимир Малиновский, руководитель продаж решений дата-центра Lattelecom.

Антон Шевчук, менеджер по продукции Arbor Networks в компании Netwell, говоря об опасности целенаправленных атак (Advanced Persistent Threat, APT), заметил, что для проникновения в сеть совсем не обязательно использовать уязвимости или вредоносный код. Это может быть сделано с помощью социальной инженерии и других методов, использующих человеческий фактор.

«Полностью исключить утечку не может ни одно техническое средство, если не запрещен обмен данными с внешней системой… Одним из решений в этой ситуации может быть адаптация модели минимального доверия в ЦОД, которая не только защищает прямые потоки данных, но и учитывает горизонтальный обмен информацией. Например, минимизировать внутренние угрозы можно, сократив привилегии администраторов. Все должно фильтроваться в горизонтальном направлении, чтобы злоумышленник, попав в ЦОД, не смог пройти дальше того объекта, над которым ему удалось установить контроль», — говорит Александр Кренев, руководитель направления сетевой виртуализации VMware в России и СНГ.

В целом же на современном этапе для ЦОД и облачных сервисов актуальны практически те же угрозы, которые известны для корпоративных ИТ-систем. Хотя определенные акценты у них, конечно, расставлены по-своему, заключил Хайретдинов.


Теги: Информационная безопасность Мир ЦОД 2016