Gehen wir also in die Cloud, aber vorsichtig!

(Di Marco Rottigni)
25/08/21

Um ein berühmtes amerikanisches Sprichwort zu zitieren: cloud ist die beste Erfindung vom Schnittbrot bis heute!

Es ist eine dieser historischen Erfindungen, die auf sanfte, aber unerbittliche Weise Gewohnheiten, Arbeitsparadigmen und Geschäftsprozesse verändern, von großen und kleinen Unternehmen akzeptiert werden, Kontinuität und gleichzeitig tiefgreifende Innovation bringen können.

Gerade diese letzten Eigenschaften machen es so mächtig, dass es seit einiger Zeit das Thema der hybride Cloud - d.h. dasjenige, das aus traditionellen und Online-Teilen besteht, private Erfahrungen und die auf gemeinsame Anbieter angewiesen sind, die auf der Verbesserung von Prozessen aufbauen, die seit einiger Zeit bestehen und deren Ineffizienzen in Bezug auf tiefgreifende Innovationen in den Vorgehensweisen bekannt sind Unternehmen.

Wenn der Vorstoß – modisch oder nicht – der digitalen Transformation nicht ausreichte, hat die jüngste Pandemie-Situation Notfälle und Vorgehensweisen geschaffen, die die Notwendigkeit weiter verschärft haben, Prozesse und Anwendungen aus der Ferne und jederzeit allgegenwärtig und von überall aus zugänglich zu machen.

Dies hat zu oft voreiligen Reaktionen geführt, die manchmal als Vereinfachungen mit erheblichen Kosteneinsparungen wahrgenommen werden, oft als "Lift-and-Shift" definiert und durch die Verlagerung von Servern aus traditionellen Unternehmensrechenzentren in Umgebungen gekennzeichnet sind Wolke Amazonas, Microsoftese oder Googlici.

Die Projekte mit einem strukturierteren Ansatz haben jedoch ein Re-Engineering der Anwendungsplattformen nach den Prinzipien von Plattform-als-Service (oder PaaS).

Wenn dieser moderne und effektive Ansatz aus IT- und Entwicklungssicht eine Fragmentierung des Servers in seine grundlegenden Komponenten erforderte - wie Speicher, Zugriffslisten, Netzwerke, Datenbanken und mehr -, haben nur wenige den tiefgreifenden Unterschied aus Sicht der Sicherheit. , insbesondere in Bezug auf die gemeinsame Verantwortung.

Dieses Konzept wurde von Amazon Web Services bzw. AWS hervorragend in dem Satz zusammengefasst „Diese Differenzierung der Verantwortung wird allgemein als Cloud-Sicherheit versus Cloud-Sicherheit bezeichnet“ und ebenso wirkungsvoll wie folgt dargestellt.

Dieses Schema wird sehr oft verwendet, um Unternehmen zu einer bewussten Weiterentwicklung ihrer Geschäftsprozesse und Schemata zur Nutzung von Plattformen zu erziehen Wolke, stellt eine manchmal zu starke Vereinfachung des Konzepts dar, die ich an einem Beispiel zu erläutern versuche.

Nehmen wir an, das fiktive Unternehmen ACME Ricambi Motoveicoli hat vor vier Jahren seine erste digitale Transformation abgeschlossen und ein Serversystem implementiert, das im Internet verfügbar ist und sich in seinem Rechenzentrum befindet, um ein System für den Online-Verkauf seiner Produkte und Dienstleistungen zu schaffen.

Nehmen wir im vorliegenden Fall an, dass die Lösung erfolgreich war, sich aber aufgrund der erforderlichen Infrastruktur als zu komplex und teuer in der Wartung herausstellte.

Im Jahr 2019 hat sich das Projekt mit dem Umzug der Server in weiterentwickelt Wolke, in der Hoffnung auf Kostensenkung.

Dank der Pandemie, die zu einem Anstieg der Benutzer geführt hat, führte die Notwendigkeit, Ressourcen zu skalieren, aufgrund der monolithischen Struktur der Server zu Kosten für Server-Replikate, die höher waren als die Betriebseffizienz (die Eile hatte zur Entscheidung für eine schnelle Lösung geführt ...) .

Ende 2020 hat sich unser ACME Ricambi Motoveicoli deshalb für eine komplette Überarbeitung des Projekts entschieden, die die einzelnen Komponenten der Server fragmentiert, ausbalanciert und skalierbar instanziiert in Wolke. Grundsätzlich besteht die Idee darin, das zu trennen, was normalerweise einen Server definiert - zum Beispiel den Speicher- oder Festplattenspeicher, die Datenbank, auf der die Daten gespeichert sind, die Zugriffsregeln auf die exponierten Dienste und so weiter. Jedes Fragment ist konfiguriert in Wolke individuell, mit einem System, das seine Anforderungen mit steigender Nachfrage vervielfacht. Dieser Ansatz ist ideal, da er nur die Komponenten des Anwendungsmosaiks repliziert, die ihn benötigen, wodurch das Verhältnis von Investition zu Leistung optimiert wird.

Wenn dies aus Anwendungs- und Betriebssicht der richtige Weg ist, erfordert dies aus Sicht der Sicherheit eine tiefgreifende Modifikation der Schutzstrategien – gerade wegen der typischen Undurchsichtigkeit geteilter Verantwortung.

Um zu verstehen, was ich meine, vertiefen wir einen Teil der obigen Grafik:

Auf den ersten Blick, wenn Sie einen Speicher und eine Datenbankinstanz instanziieren möchten, scheint die Verantwortung für die Sicherung von allem bei Amazon zu liegen.

Und das ist es sicherlich, wenn es um Speicher- und / oder DB-Instance-Resilienz geht.

Was uns das vereinfachte Diagramm nicht sagt, ist, dass wir bei genauerer Betrachtung dieser beiden Elemente in den Sicherheitseinstellungen Folgendes feststellen.

Die Konfiguration einer Speicherinstanz, zum Beispiel Amazon S3 Bucket, hat standardmäßig den Standardwert für Berechtigungen – Bucket-Richtlinie – Prinzipal *, der es jedem ermöglicht, auf exponierten und erreichbaren Speicher zuzugreifen.

Eine Amazon> RDS-Instanz – d. h. eine Datenbank – hat eine Standard-Datenbankkonfiguration ohne Löschschutz.
Ein Kompromiss der Umwelt Wolke - beispielsweise für den Diebstahl von Zugangsdaten - würde es Angreifern ermöglichen, die Datenbankinstanz zu löschen, möglicherweise nachdem die Daten übertragen wurden.

Diese beiden Beispiele veranschaulichen, wie das gesamte Sicherheitskonzept im PaaS-Paradigma Wissen erfordert, das normalerweise nicht jedem zugänglich ist; Dies bedeutet die Notwendigkeit, die Fähigkeiten des Sicherheitsteams zu aktualisieren, ein Element, das bei der Projektplanung oft nicht berücksichtigt wird Wolke.

Es wäre auch wünschenswert, über spezialisierte Inventar- und dynamische Konfigurationsanalyselösungen zu verfügen, die möglicherweise mehrere Dienstanbieter umfassen können Wolke. Auf diese Weise erhalten wir eine einheitliche und organische Darstellung der verletzlichen Oberfläche, die direkt auf die erreichte Sichtbarkeit der Umgebung abgebildet wird Multi-Cloud, Funktionen, die im vorherigen Artikel "Von Rohdaten zu nutzbaren Informationen: Sichtbarkeit und Beobachtbarkeit" erörtert wurden.

Die Cloud Security Alliance, eine Institution zur kulturellen Verbreitung von Sicherheit in Umgebungen Wolke, hat zwei wichtige Veröffentlichungen veröffentlicht, zu denen ich die Lektüre empfehle:

Die verräterischen Zwölf (The Treacherous Twelve), in dem er bereits 2016 zwölf Vorfälle in Wolke Ursache dafür war vor allem die Nichtbeachtung von Best Practices in den Konfigurationen.

Die ungeheuerliche Elf (Gli Egregi Eleven), in dem er vor zwei Jahren die Analyse von elf wichtigen Vorfällen präsentierte, deren Ursprung noch oft in der falschen oder zu freizügigen Ressourcenkonfiguration lag.

Il Cloud Dies ist sicherlich der Weg zu größerer geschäftlicher Agilität und Skaleneffekten bei der IT-Kostenkontrolle. Die Einführung dieser neuen Technologie darf jedoch nicht die Aktualisierung von Sicherheitskenntnissen und die Verbesserung der Sichtbarkeit, Beobachtbarkeit, Erkennungs- und Reaktionsfähigkeiten ignorieren, die für diese neue Herausforderung geeignet sind.

Um mehr zu erfahren:

https://www.theinnovationgroup.it/ll-cloud-ibrido-leva-strategica-per-il...

https://aws.amazon.com/it/compliance/shared-responsibility-model/

https://www.qualys.com/apps/cloud-security-assessment/