A digitális transzformáció egyik legjellemzőbb vonása a felhős szolgáltatások használatának robbanásszerű terjedése. Egyre többen veszik igénybe és egyre több dologra is használjak ezeket. Vadonatúj technológiák jönnek létre és terjednek el, lásd a hagyományos virtualizációt tovább gondoló konténeres megoldások, ezen konténeres rendszereket felügyelő management rendszerek, infrastructure as a code, és serverless megoldások.
Ezek a megoldások legtöbbször felhőben futnak, a felhőben adminisztrálják őket, ezért egyre gyakoribb a fejlesztői rendszerek felhős működtetése is. Ezek a felhasználási formák újfajta kockázatokat, támadási felületeket hoznak magukkal, amikre sokszor csak új, eddig nem ismert biztonsági megoldásokkal tudnunk reagálni.
Ilyenek például a felhős szolgáltatások beállításait ellenőrző és szabályozásoknak való megfelelőséget biztosító megoldások. Azt látjuk, hogy az ismertebb sérülékenységmenedzsment-rendszerek is felkészültek az ilyen rendszerek elemzésére, például képesek egy adott konténeres image-ét még futtatás előtt a felhős repositoryban megvizsgálni és jelenteni róla. De megjelentek a felhős rendszerekre készült identity megoldások is. Nem szólva a DevOps folyamatokba beépülő megoldásokról, melyek az egyre többször elhangzó shift left filozófia betartatásában segítenek.
Â
Az egyik legújabb trend az Infrastructure as Code (IaC)
Ebben a működési modellben a felhős szolgáltatások (vm-ek, konténerek stb.) menedzselését, indítását és megállítását felhős DevOps környezetekben egyre többször már nem az üzemeltető csapat végzi, hanem a fejlesztőcsapat kezébe kerül az irányítás. Åk legtöbbször ezt scriptekkel és machine readable definiciós fájlokkal, automatizálva végzik. Ezzel ugyan kisebb lesz a terhelés a hagyományos infrastruktúra elemeit üzemeltető csapatokon (és sok esetben még a változások gyors lekövetésével sikerül a költségeket is csökkenteni), de újabb támadási felületet jelent a cég felhős környezetei esetében. Elég csak arra gondolni, amit már más folyamatok során megtapasztaltunk, mégpedig, hogy az alkalmazásfejlesztők általában nem a biztonsági szempontokat tartják szem előtt. Ezért fontos, hogy ebbe a folyamatba is képesek legyünk belelátni és automatizáltan kikényszeríteni még a telepítés előtt a legfontosabb elvárásainkat.
Â
Rapid7 Divvycloud
A Clico által a piacon képviselt gyártók közül a Rapid7-nek van egy kimondottan a multi cloud környezetet használó szervezetek igényeit kielégítő megoldása, a Divvycloud. Ez képes felderíteni és osztályozni az adott szervezet által használt felhős erőforrásokat, compliance-vizsgálatokkal segíteni a különböző előírásoknak való megfelelést, vagy csak egyszerűen javaslatokat tenni a biztonságosabb és kockázatmentesebb beállításokra. Képes ellenőrizni a felhasználó jogosultságokat, jelszó házirendeket definiálni, segíti a szerepköralapú felhasználó- és hozzáféréskezelés-menedzsmentet (IAM funkcionalitás), multifaktoros autentikációt kikényszeríteni.
A hálózati támadások ellen képes API szinten integrálódni a szolgáltatók saját megoldásaival (például Amazon GuardDuty-val) vagy más partnercégekkel, és hatékonyan, valós időben, automatikusan beavatkozni fenyegetés esetén (például kriptovalutabányász-kód vagy káros botkommunikáció észlelése esetén), esetleg felismerni ismert rosszindulatú forrásoktól érkező API-forgalmakat.
|
Valaki más számítógépe Népszerű definíció a felhőre a valaki más számítógépe hasonlat. Ebben az írásban nem is a futtatókörnyezet-infrastruktúra tulajdonjoga szempontjából vizsgáljuk a felhő biztonsági vonatkozásait, hanem az IT-megközelítés szempontjából. Ha egy rendszer/alkalmazás felhős technológiákkal, de a földön fut, attól még a felhős környezetekre jellemző biztonsági megközelítéssel kell kezelnünk, legyen az Openshift, Tenzu vagy bármilyen, ma reggel megjelent friss technológia. A közös metszéspont sokkal inkább az lesz, hogy ezeknek az elemeknek a fejlesztése és üzemeltetése nem válik el élesen egymástól, sokkal inkább DevOps megközelítésű. Cikkünkkel az a célunk, hogy ezt megpróbáljuk a DevSecOps megközelítés felé tolni, miszerint hiába vagyunk roppant agilisak a fejlesztési és üzemeltetési területünkön a végletekig automatizálva azt, de az így teremtett vállalati érték addig a miénk, amíg meg tudjuk védeni, azaz szükségszerű a biztonsági szempontokat is beépíteni a folyamatainkba. Minél inkább a folyamat elején tesszük ezt, annál magasabb biztonsági szintet tudunk elérni, és annál súrlódásmentesebb lesz az összes érintett rendszer együttműködése. |
ítfogó monitorozást és analitikát biztosít a használt erőforrásokról, így segítve a költséghatékony működést és erőforrás-menedzsmentet. Nemcsak a compute instance-okra terjed ki, hanem magába foglalja a felhős adatbázisokat, továbbá big data, cache, search összetevőket is. Jelenleg minden jelentősebb publikus felhőt támogat (Amazont, Azure-t, Google Cloudot, Alibaba Cloudot).
A Rapid7 további szolgáltatásokat is kínál, amelyekkel még tovább bővíthető a DivvyCloud, így az InsightVM sérülékenységmenedzsment-platformmal képes egyrészt a felhős compute instance-ok részletes vizsgálatára, felhős konténeres környezetekhez API-n keresztül kapcsolódva képes a repository-ban lévő konténer image-eket akár futtatás előtt is ellenőrizni, de természetesen helyi környezetek is vizsgálhatók vele. De kiegészíthető a Rapid7 további Insight Platform összetevőkkel is, mint például a web alkalmazások vizsgálatára alkalmas InsightAppSec-kel vagy a platform SOAR megoldásával, az InsightConnecttel, amellyel szélesebb körű automatizációs feladatok is megoldhatók.
Â
Palo Alto Networks Prisma Cloud
A másik, Clico által képviselt gyártó, a Palo Alto Networks Prisma Cloud megoldását kicsit közelebbről megvizsgálva láthatjuk, hogy jól átgondolt, minden támadási vektorra kiterjedő cloud native biztonsági platformot alakítottak ki. A gyártó rövid idő leforgása alatt szinte számolatlan mennyiségű pénzt költött különböző cégek felvásárlására, melyek mély integrációjával és továbbfejlesztésével kialakította a Prisma Cloud platformot.
A megoldáscsomag magába foglalja a legtöbb ismert cloud security támadás elleni védelmet, például CSPM (Cloud Security Posture Management), CWP (Cloud Workload Protection), CIEM (Cloud Infrastructure Entitlement Management. Ezeken felül a közelmúltban belekerült a WebApp és API security, identity based segmentation, illetve a Bridgecrew felvásárlással már az infrastructure as a code környezetek biztosítását is képes megoldani. A biztonsági platform képes megvédeni a cégek virtuális gép alapú környezeteitől kezdve akár serverless alkalmazásokon át nagyjából bármit, ami privát, hibrid vagy publikus felhők esetén előfordulhat.
Ezenkívül a Palo Alto Networks CN sorozatú tűzfalával már akár Layer7 védelmet is ki tudunk kényszeríteni a konténerek közötti forgalmak esetében is anélkül, hogy ki kéne csatornáznunk ezt a Kubernetes környezetünkből. A Prisma Cloud funkcióit természetesen elérhetjük a legtöbb ismert felhős szolgáltató esetében, illetve érdemes fél szemünket a megoldáson tartani, mivel a platform képességeit folyamatosan (hetente!) bővítik újabb funkciókkal.
Egy jól működő felhős védelmi platformmal nagymértékben növelhetjük a cégünk és alkalmazásaink védelmét. Ahogy ebből a rövid cikkből is látszik, szerencsére erre a folyamatosan fejlődő területre is találunk már jó és átfogó IT-biztonsági megoldásokat. Viszont mivel a felhős környezetek nagyon gyorsan fejlődnek, érdemes nekünk is szemmel tartani a változásokat és követni a legújabb trendeket, illetve olyan gyártó mellett elkötelezni magunkat, amely agilisan és folyamatosan fejleszti a felhős védelmi mechanizmusait.
