Организации все чаще используют технологию облачных вычислений для создания, развертывания и мигрирования в облачные среды.
Хотя поставщики облачных услуг, такие как Google Cloud Platform (GCP), Microsoft Azure и Amazon Web Services (AWS), продолжают расширять услуги облачной безопасности для защиты своей облачной инфраструктуры, в конечном итоге клиент обязан внедрить надлежащую кибербезопасность в облаке и безопасность. их данные хранятся в них.
Несмотря на множество преимуществ, защита данных организации в облачной среде, которая публично размещена, может легко доставить организацию многим векторам угроз.
A Обзор показал, что ведущими проблемами кибербезопасности в облаке являются потеря данных (64%), конфиденциальность данных (62%), за которой следует случайная утечка учетных данных (39%), связанных с проблемами соблюдения (39%).
Поскольку данные продолжают перемещаться в облако, многие специалисты по кибербезопасности пытаются сохранить безопасность своих облачных сред.
Облачные вычисления открывают новые проблемы.
При использовании облачных сервисов, будь то программное обеспечение-как услуга (SAAS) или инфраструктура как услуга (IAAS), клиент всегда несет некоторый уровень ответственности за защиту своих данных от злоумышленников.
Благодаря услугам SaaS их контроль в первую очередь связан с ограничением доступа и шифрования данных, если SaaS позволяет это. Благодаря платформе в качестве услуги (PAAS) и IAAS организация берет на себя значительно большую ответственность за защиту данных.
Преодоление проблем облачной безопасности в кибербезопасности
Проблемы безопасности в облаке являются серьезной проблемой для многих организаций, которые рассматривают услуги облачных вычислений. Быстрый рост облака не только подчеркнул преимущества облака, но и сосредоточился на проблемах облачной безопасности, которые существуют в ее среде.
Это правда? Действительно ли облачные вычисления небезопасны?
Ответ сложный.
Отдельные услуги облачных вычислений могут быть значительно безопасными, внедрив последние меры безопасности. Фактически, многие поставщики облачных услуг проводят большую работу по интеграции безопасности в облачную инфраструктуру и делают ее более безопасным, чем многие другие организации.
Тем не менее, не каждый поставщик облачных услуг такой, поэтому необходимо соблюдать осторожность при рассмотрении положения безопасности облачного поставщика.
Безопасность в облачных вычислениях также зависит от пользователей. Неспособность должным образом придерживаться стандартов безопасности и своевременного решения рисков безопасности может привести к предотвратимой кибератаке или нарушению данных. Это требует, чтобы компании понимали и снижали риски облачной безопасности эффективным образом.
Большинство проблем безопасности в облаке сосредоточены на данных и доступе, потому что большинство моделей общей ответственности в облачных вычислениях службах поставляют эти два аспекта полностью для клиентов.
В результате злоумышленники нацелены на свое внимание на эту потенциальную уязвимость безопасности. Есть несколько проблем, связанных с облачной безопасностью. Наиболее распространенные проблемы для безопасности облачных вычислений включают:
• Определение и поддержание необходимых контролей безопасности • Балансирование общей ответственности за поддержание безопасности между поставщиком облачных услуг и пользователем • Соответствие нормативным требованиям для обеспечения данных в облачной среде.
Короче говоря, облачная безопасность довольно динамична, в основном в зависимости от того, насколько хорошо конечный пользователь понимает и устраняет риски безопасности облачных вычислений и уязвимости.
К счастью, риски облачной безопасности могут быть в значительной степени смягчены, следуя передовым методам облачной безопасности. Ниже мы перечислили лучшие лучшие практики кибербезопасности в облаке, которые могут помочь вам создать и поддерживать безопасную облачную среду.
Компьютерная безопасность: Лучшие практики в облаке
Хотите безопасно использовать облачные вычисления? Вот некоторые из лучших практик кибербезопасности в облаке:
Реализовать сильное управление доступом пользователя/наименьшая привилегия
Подобно традиционному процессу безопасности программного обеспечения, администраторы должны реализовать сильный контроль доступа пользователей, чтобы определить, кто может получить доступ к данным и в какой степени пользователи могут получить к ним доступ. Это поможет обеспечить, чтобы только авторизованные пользователи могли получить доступ к данным в облачной инфраструктуре.
Используя наименьшую модель привилегий, вы также можете убедиться, что пользователи могут получить доступ только к данным, которые им необходимы для выполнения своих задач. Этот процесс реализации контроля доступа пользователей и наименьшей привилегии может быть легко автоматизирован для повышения точности и сэкономить время в качестве существующих пользователей и новых пользователей на борту для доступа к новым серверам.
Используйте клавиши SSH и надежные клавиши магазина
Клавиши Secure Socket Shell (SSH) помогают установить безопасные серверные подключения с частными и общедоступными парами клавиш. Поскольку они используются для доступа к конфиденциальным данным и выполнения критических, привилегированных действий, важно правильно управлять ключами SSH и надежно хранить их.
Компании должны создавать специальные политики облачных вычислений и управления ключами, чтобы контролировать, как эти ключи создаются, управляются и удаляются, когда они достигают периода истечения срока действия. Например, любая привилегированная сессия через ключи SSH следует контролировать и проанализировать для удовлетворения потребностей как регулирующих, так и в кибербезопасности.
Реализовать шифрование в облаке
Шифрование данных в облачных вычислениях имеет важное значение для организаций, поскольку это помогает гарантировать, что данные, перемещающиеся в облако, зашифрованы и безопасны.
Выбирая поставщика облачных услуг, вы должны быть бдительными в отношении ваших потребностей в безопасности для развертывания облаков и данных, которые будут храниться в облаке. Многие поставщики облачных услуг предлагают услуги облачного шифрования; Много раз вы можете управлять своими собственными клавишами шифрования и не полностью полагаться на своего поставщика. Просто управляйте этим на основе вашей терпимости к риску.
Шифрование в сочетании с другими протоколами безопасности, такими как принцип наименьшей привилегии (POLP), позволяет организациям соответствовать строгим нормативным политикам, таким как PCI DSS, HIPAA и GDPR.
Выполнять обычные тесты на проникновение
Тесты на проникновение облака помогают определить уязвимости безопасности в облачной инфраструктуре.
Для облачных вычислений тесты ручки часто являются общей ответственностью, что означает, что как ваша организация, так и ваш поставщик облачных услуг могут выполнять тесты на проникновение для обнаружения уязвимостей безопасности в облаке.
Отличается ли тестирование ручки в облаке от других тестов ручки?
Как правило, тест на ручку в среде облачных вычислений не сильно отличается от других тестов ручки. Несмотря на то, что существуют ключевые различия в том, как создаются облачные приложения и инфраструктура, принципы теста PEN остаются прежними — выявление и смягчение уязвимостей безопасности.
Закаленные и контролируемые изображения
Затвердевшее изображение виртуального сервера — это в основном изображение, лишенное чего -либо, ненужного для конкретной задачи, и тесно защищено конфигурацией. Эти изображения построены в соответствии с соответствующими стандартами облачной безопасности с самыми низкими привилегиями доступа и разрешениями администратора, и только требуются порты и услуги.
Утверждение и управление изображениями является ключевым компонентом стратегии в глубине защиты, которая ограничивает уязвимости облачной безопасности и защищает вашу организацию.
Реализовать многофакторную аутентификацию
Многофакторная аутентификация (MFA) защищает данные вашей компании и учетные записи пользователей, используя массив методов аутентификации, таких как одноразовые пароли, биометрика, вопросы безопасности и многие другие.
Как MFA поможет обеспечить лучшую безопасность облачных вычислений?
Внедряя MFA в вашей среде облачных вычислений, вы можете ограничить доступ к данным в облаке только авторизованными пользователями и предотвратить риск потерянных, украденных или скомпрометированных учетных данных.
Сканирование на уязвимости и неутвержденные процессы упрочнения
Неправильные конфигурации в среде облачных вычислений могут создавать недостатки безопасности.
Согласно отчету, компании, в среднем, в среднем не менее 14 неверно настроили события IAAS, проводимые в любой момент времени, что привело к в среднем около 2300 инцидентов в облаке в месяц.
Чтобы избежать таких уязвимостей кибербезопасности, вам нужно будет проверять свои конфигурации IAAS для управления доступом, шифрования и конфигурации сети.
Кроме того, рассмотрите автоматическое сканирование закаленных изображений, контейнеров Docker и всех недавно развернутых серверов для выявления уязвимостей безопасности, которые могли быть введены в среде облачных вычислений при развертывании или управлении.
Не просто ищите существующие уязвимости кибербезопасности, постоянно сканируйте свою среду на наличие любых элементов, которые не находятся в надлежащей закаленной конфигурации. Если что -то сместилось с закаленной конфигурации, замените его на утвержденное закаленное изображение. Помните, скот не домашние животные!
Завертываясь и смотрит вперед
Облачные вычисления поставляются с справедливой долей преимуществ, а также проблем. В то время как кибербезопасность в облаке является общей ответственностью как поставщика облачных услуг, так и пользователя, многие организации не выполняют свои обязанности за счет своих клиентов.
Из -за халатности или отсутствия знаний, неправильное использование вашей облачной среды может иметь серьезные последствия. Убедитесь, что вы реализовали строгие политики безопасности облачных вычислений, чтобы обеспечить безопасность ваших данных в облаке.
Запуск облачной инфраструктуры — нелегкая задача, и мы ее получаем.
Наша команда безопасности состоит из лучших экспертов по безопасности и тематическим вопросам на AWS, Azure, Google Cloud, а также знающих тренеров по безопасности, которые могут помочь вам с вопросами, которые вы должны задать своим поставщику облачных услуг перед покупкой облачных услуг.
Этот пост был первоначально опубликован в CypressDataDefense.com .
Оригинал: «https://dev.to/joywinter90/what-you-need-to-know-about-cyber-security-in-the-cloud-587g»