Dobre praktyki użytkowania usług IaaS

Przeczytaj także: 7 błędów, których musisz unikać, aby dane w chmurze były bezpieczne

Zabezpiecz swoją firmę stosując się do poniższych rad odnośnie bezpiecznego używania serwisów chmurowych

Firma Code Spaces, która oferowała repozytoria kodów źródłowych oraz usługę zarządzania projektami dostępnymi na Amazon's Web Services for developers, została zmuszona do zakończenia działalności w czerwcu, kiedy to nie spełniła żądań internetowych szantażystów. Na firmę przeprowadzono atak typu DDoS (Distributed Denial of Service), po którym nastąpiło włamanie mające na celu zniszczenie całej własności intelektualnej należącej do organizacji.

Problemy firmy Code Space rozpoczęły się atakiem DDoS mającym miejsce 17. czerwca, który okazał się jedynie sposobem na odciągnięcie uwagi od włamania do systemu. Atakujący przejął kontrolę nad panelem kontrolnym Amazon EC2 i spowodował „usunięcie większości danych, wszystkich kopii zapasowych oraz danych konfiguracyjnych'', wyjaśniła firma na swoim blogu.

Podobny scenariusz może wydawać się mało prawdopodobny w odniesieniu do Twojej firmy, ale w rzeczywistości wiele dzisiejszych biznesów korzysta z usług IaaS (Infrastructure as a Service) opartych na chmurze. Umożliwia to pracownikom łatwy dostęp do danych firmowych oraz innych zasobów. Jednocześnie wiele firm nie posiada żadnych rozwiązań pozwalających na ochronę przed zagrożeniami wynikającymi z użytkowania usług IaaS, tak katastrofalnych w skutkach jak ataki DDOS i włamania do firmy Code Space. Najnowsze badania firmy Forrester Research wykazały, że tylko 57 procent firm posiada plan działania w wypadku ataku DDoS.

Możesz lepiej chronić swoją organizację przed wyżej wymienionymi zagrożeniami stosując dobre praktyki użytkowania usług IaaS.

Zdecyduj kto powinien mieć dostęp do Twojego Panelu Zarządzania

Udostępniając panel zarządzający chmurą IaaS wielu osobom sprawiasz, że Twój system staje się bardziej podatny na przejęcie kontroli nad całym środowiskiem - tak jak miało to miejsce w firmie Code Spaces.

Ogranicz grono użytkowników mających dostęp do panelu zarządzania do niezbędnej liczby osób aby zmniejszyć ryzyko nieautoryzowanego dostępu. Nigdy nie używaj konta root bez wyraźnej potrzeby. Utwórz konto administratora do codziennego użytku, które może zostać wykorzystane do zablokowania pozostałych użytkowników w razie ataku. W przeciwnym razie, gdy haker zdobędzie dostęp do konta root i zmieni hasło, będziesz musiał skontaktować się z dostawcą IaaS aby odzyskać kontrolę.

Określ uprawnienia użytkowników w Panelu Zarządzania

Zezwalaj użytkownikom jedynie na to, co jest niezbędne w ich pracy. Wygodnym sposobem organizacji uprawnień użytkowników jest utworzenie grup użytkowników i określenie dla każdej z nich minimalnych praw pozwalających na wykonanie konkretnego zadania. Potem, w trakcie dodawania nowego użytkownika, nadaj mu uprawnienia w panelu sterowania poprzez dołączenie do odpowiednich grup.

Przykładowo, utwórz grupę “Dostęp do bazy danych”. Użytkownicy w tej grupie będą mieli prawa tylko do odczytu bazy danych i nic poza tym. Będziesz musiał razem z współpracownikami poświęcić czas na ustalenie uprawnień dla każdej z grup, ale jeżeli nastąpi przejęcie konta nie mającego praw administratora, nie będzie to stanowiło zagrożenia dla całego IaaS.

Używaj wielostopniowego uwierzytelniania

Zaleca się wprowadzenie bardziej złożonego sposobu uwierzytelniania, aby utrudnić nieautoryzowany dostęp. Uwierzytelnianie wielostopniowe może nadal wymagać podania loginu i hasła, ale oprócz tego wprowadza weryfikację kodu dostarczanego przez usługę autoryzacyjną udostępnianą przez firmę trzecią. Kod ten może być np. generowany co minutę przez token sprzętowy albo być podany w treści SMSa wysłanego do użytkownika. Uwierzytelnianie wielostopniowe jest bezpieczniejsze niż stosowanie samego hasła.

Rozważ stosowanie technologii SAML

SAML, czyli Security Assertion Markup Language, to otwarty standard, który może być wykorzystywany wraz z innymi mechanizmami identyfikacji jak np. Windows Active Directory Federation Services. Możesz włączyć w panelu sterowania używanie Windows Active Directory w celach identyfikacji. W ten sposób dodawana jest kolejna warstwa bezpieczeństwa, która pozwala użytkownikom logować się do panelu sterowania jedynie gdy przebywają w sieci firmowej lub w zabezpieczonej sieci VPN, która wymaga logowania przez Active Directory.