По прогнозам аналитического агентства Gartner, к 2021 году более 75% средних и крупных организаций начнут активно использовать гибридные ИТ-стратегии и различные облачные службы. По мере роста числа облачных платформ ИТ-специалисты и DevOps-команды будут сталкиваться со всё большим количеством проблем и вопросов, связанных с обеспечением безопасности их облачных сред.
В новом отчёте Trend Micro утверждается, что главным источником этих проблем станут ошибки конфигурации. Платформа Trend Micro Cloud One – Conformity уже сейчас выявляет 230 миллионов таких ошибок ежедневно, что подтверждает масштабы и широкую распространённость этого фактора риска.
В ходе исследования Trend Micro обнаружила целый ряд угроз и слабых мест в системах безопасности, которые отвечают за защиту облачных вычислений. Эти уязвимости позволяют хакерам получить доступ к конфиденциальной информации и учётным данным пользователей. В частности, киберпреступники благодаря ошибкам конфигурации получают возможность внедрять в инфраструктуру программы-вымогатели, ПО для майнинга криптовалют, скимминга и кражи данных.
Ещё одной причиной неправильной конфигурации учётных данных и сертификатов в облаке могут стать сетевые учебные пособия, содержащие вводящую в заблуждение информацию. ИТ-отделы могут использовать интегрированные в само «облако» инструменты, чтобы снизить риск возникновения подобных ошибок, но им не стоит полагаться исключительно на них, заключают авторы исследования.
Trend Micro рекомендует ряд эффективных шагов для обеспечения безопасности облачных развёртываний:
- жёсткий контроль прав доступа: доступ к данным и инфраструктуре только для круга лиц, которым они действительно необходимы;
- понимание модели общей ответственности: несмотря на то, что владельцы облачных платформ применяют собственные встроенные инструменты для обеспечения безопасности, их клиенты также несут ответственность за защиту своих данных;
- отслеживание неправильно настроенных или незащищённых сред: Conformity и подобные ему инструменты способны быстро и эффективно выявить ошибки конфигурации в облачных средах;
- кибербезопасность как часть культуры DevOps: безопасность должна стать частью процессов DevOps на всех этапах интеграции разработки и эксплуатации ПО.
