In diesem Beitrag möchten wir unsere Leser von verbreiteten Missverständnissen bezüglich der Sicherheit virtueller Server befreien und erläutern, wie man seine gemieteten Clouds zum Ende des Jahres 2019 richtig schützt. Der Artikel richtet sich hauptsächlich an unsere neuen und potenziellen Kunden, insbesondere an diejenigen, die gerade ein cloudbasiertes Angebot erworben haben oder erwerben möchten. , jedoch bisher nicht allzu vertraut mit Fragen der Cybersicherheit und dem Betrieb von VPS sind. Wir hoffen, dass er auch für erfahrene Nutzer von Nutzen sein wird.
Vier falsche Ansätze zur Cloud-Sicherheit
Es gibt Meinungen, die unter Geschäftsinhabern und Führungskräften weit verbreitet sind (wir heben sie fett hervor), dass die Gewährleistung der Cybersicherheit von Cloud-Diensten entweder von vornherein unnötig ist, da Clouds sicher sind (1), oder dass es die Aufgabe des Cloud-Anbieters ist: Wenn man für VPS bezahlt, sollte alles eingerichtet, sicher und ohne Probleme funktionieren (2). Es gibt auch eine dritte Meinung, die sowohl bei IT-Sicherheitsfachleuten als auch bei Geschäftsleuten anzutreffen ist: Clouds are dangerous! No known security tools can provide the necessary protection for virtual environments. (3) — business executives with this approach reject cloud technologies due to distrust or misunderstandings about the difference between traditional and specialized protection methods (which will be discussed below). A fourth category of citizens believes that yes, one should protect their cloud infrastructure, but standard antivirus solutions exist. (4).
All four of these approaches are incorrect — they can lead to losses (except perhaps for the approach of not using virtual servers at all, but even then, one should not ignore the business axiom 'lost profit is also a loss'). To illustrate some statistics, we will quote an expert in corporate sales support from Kaspersky Lab, Vladimir Ostroverkhov, who we Im Sommer 2017 führte Kaspersky eine Umfrage unter fünftausend Unternehmen aus 25 Ländern durch — dabei handelte es sich um große Unternehmen mit mindestens 1500 Mitarbeitenden. 75 % von ihnen nutzen Virtualisierung, investieren jedoch nicht in den Schutz. Das Problem ist auch heute noch aktuell:
Etwa die Hälfte der [großen] Unternehmen nutzt keinen Schutz für virtuelle Maschinen, während die andere Hälfte der Meinung ist, dass jeder Standardvirus-Scanner ausreicht. All diese Unternehmen [im Schnitt] geben fast eine Million Dollar aus [pro Jahr] für Wiederherstellung nach Vorfällen: für Untersuchungen, für Systemwiederherstellung, für Kostenerstattungen, für Entschädigungen aufgrund eines einzigen Hacks… Was würden ihre Ausgaben sein, wenn sie kompromittiert würden? Direkte Verluste für Wiederherstellung, Austausch von Hardware, Software… Indirekte Verluste – Reputation… Verluste für Entschädigungen an ihre Kunden, einschließlich der Reputation… Und auch die Untersuchung von Vorfällen, teilweise Erneuerung der Infrastruktur, weil diese bereits kompromittiert wurde, Dialoge mit Behörden, Dialoge mit Versicherungen, Dialoge mit Auftraggebern, die Entschädigungen zahlen müssen.
Warum diese Ansätze nicht funktionieren
Ansatz 1: Clouds sind sicher, sie müssen nicht geschützt werden. Etwa 240.000 Malware-Einheiten erscheinen täglich und finden in der Cloud hervorragende Lebensräume: von einfachem Code, den ein Schuljunge ins Internet gestellt hat (und der potenziell Daten beschädigen kann), bis hin zu komplexen gezielten Angriffen, die speziell für bestimmte Organisationen, Fälle und Situationen entwickelt wurden und die nicht nur in der Lage sind, Daten zu stehlen und zu beschädigen, sondern sich auch »verstecken« können. Virtuelle Infrastrukturen sind auch für Hacker interessant: Sie sind viel einfacher zu hacken und ermöglichen den sofortigen Zugriff auf alle Ihre virtuellen Maschinen und Daten, anstatt jeden physischen Server einzeln angreifen zu müssen. Darüber hinaus muss man bedenken, dass sich schädlicher Code innerhalb der virtuellen Infrastruktur mit enormer Geschwindigkeit verbreitet — Zehntausende von Maschinen können in nur wenigen Minuten infiziert werden, was einer Epidemie gleichkommt (siehe oben). ). Schadsoftware und Erpressung, die zu Datenlecks in Unternehmen führen, machen etwa 27 % aller cloudbezogenen „Gefahren“ aus. Die anfälligsten Bereiche in der Cloud sind ungeschützte Schnittstellen und unbefugter Zugriff — etwa 80 % insgesamt (laut einer Studie unterstützt von Check Point Software Technologies Ltd. — einem führenden Anbieter von Cybersicherheitslösungen für Regierungen und Unternehmen weltweit).
Ansatz 2: Der Schutz der Cloud-Infrastruktur ist die Aufgabe des VPS-Anbieters. Das ist teilweise wahr, denn der Anbieter von virtuellen Servern sorgt für die Stabilität seiner Systeme und für einen ausreichend hohen Schutz der zentralen Cloud-Komponenten: Server, Speicher, Netzwerke, Virtualisierung (geregelt durch das Service-Level-Agreement, SLA). Aber er ist nicht dafür verantwortlich, interne und externe Bedrohungen zu verhindern, die in der Cloud-Infrastruktur des Kunden auftreten können. Lassen Sie uns hier eine zahnmedizinische Analogie verwenden. Nachdem ein Patient für ein gutes Implantat recht viel Geld bezahlt hat, versteht der Kunde einer Zahnarztpraxis, dass die ordnungsgemäße Funktion des Prothesen stark von ihm selbst abhängt. Der Zahnarzt hat seinerseits alles Notwendige für die Sicherheit unternommen: er hat qualitativ hochwertige Materialien ausgewählt, das Implantat zuverlässig „befestigt“, den Biss nicht beeinträchtigt, das Zahnfleisch nach der Operation geheilt usw. Und wenn der Nutzer anschließend die Hygienevorschriften nicht einhält, beispielsweise mit den Zähnen Metallflaschenöffnungen öffnet und andere ähnliche gefährliche Handlungen vornimmt, wird es unmöglich sein, die ordnungsgemäße Funktion des neuen Zahns zu garantieren. Die gleiche Geschichte gilt für die Gewährleistung von 100%iger Cloud-Sicherheit bei VPS, die beim Anbieter gemietet werden. Der Schutz der Daten und Anwendungen des Kunden liegt nicht in der „Jurisdiktion“ des Anbieters von Cloud-Diensten – es ist seine persönliche Verantwortung.
Ansatz 3: Keine Sicherheitswerkzeuge können den erforderlichen Schutz für virtuelle Umgebungen gewährleisten. Keineswegs. Es gibt spezialisierte Cloud-Schutzlösungen, über die wir im letzten Teil des Artikels sprechen werden.
Ansatz 4: Verwendung eines Standardantivirenprogramms (traditioneller Schutz). Hier ist es wichtig zu wissen, dass traditionelle Sicherheitswerkzeuge, die alle von lokalen Computern gewohnt sind, einfach nicht für verteilte virtuelle Umgebungen ausgelegt sind (sie „sehen“ nicht, wie die Kommunikation zwischen virtuellen Maschinen abläuft) und somit die interne virtuelle Infrastruktur nicht vor internen Hackerangriffen schützen. Einfach ausgedrückt, normale Antivirenprogramme funktionieren in der Cloud fast nicht. Gleichzeitig verbrauchen sie, wenn sie auf jeder VM installiert sind, eine enorme Menge an Ressourcen des gesamten virtuellen Ökosystems bei Virusprüfungen und Aktualisierungen, was die Netzwerkkapazität beeinträchtigt und die Arbeit des Unternehmens verlangsamt, wobei sie letztendlich einen nahezu null Wirkungsgrad in ihrer Hauptaufgabe erzielen.
In den folgenden beiden Abschnitten des Artikels werden wir die Gefahren auflisten, die bei der Arbeit von Unternehmen in der Cloud (privat, öffentlich, hybrid) auftreten können, und erläutern, wie man diese Gefahren richtig verhindern kann.
Gefahren, die Cloud-Diensten ständig drohen
▍Remote-Netzwerkangriffe
Dies ist eine Art von schädlichen Informationsangriffen auf verteilte Rechensysteme, die durch Software über Kommunikationskanäle erfolgen, um verschiedene Ziele zu erreichen. Die häufigsten sind:
- DDoS-Angriff (). Die massenhafte Absendung von Informationsanfragen an Server mit dem Ziel, Ressourcen oder Bandbreite des angegriffenen Systems zu verbrauchen, um das Zielsystem lahmzulegen und so dem Unternehmen Schaden zuzufügen. Solche Angriffe werden von Konkurrenten als Dienstleistung, von Erpressern, politischen Aktivisten und Regierungen genutzt, um politische Vorteile zu erlangen. Diese Angriffe erfolgen über ein Botnetz – ein Netzwerk von Computern, auf denen Bots (Software, die Viren, Programme zur Fernsteuerung des Computers und Werkzeuge zum Verstecken vor dem Betriebssystem enthalten kann) installiert sind, die von Hackern aus der Ferne verwendet werden, um Spam und Ransomware zu verbreiten. Lesen Sie mehr in unserem Beitrag. .
- Ping Flooding — zur Überlastung der Leitung.
- Ping of Death — zum Auslösen von Abstürzen, Neustarts und Systemfehlern.
- Angriffe auf Anwendungsebene — zum Zugang zu einem Computer, der die Ausführung von Anwendungen für ein bestimmtes (privilegiertes System-) Benutzerkonto ermöglicht.
- Fragmentierung von Daten — für den Notfallshutdown des Systems durch Überlauf von Software-Puffern.
- Autoren-Router — zur Automatisierung des Hackprozesses durch Scannen einer großen Anzahl von Systemen in kurzer Zeit mittels Rootkit-Installation.
- Sniffing — zum Lauschen des Kanals.
- Packet Injection — zum Umleiten einer Verbindung, die zwischen anderen Computern hergestellt wurde, auf den eigenen Computer.
- Packet Capture am Router — zum Erhalten von Benutzerpasswörtern und Informationen aus E-Mails.
- IP Spoofing — damit ein Hacker innerhalb oder außerhalb des Netzwerks sich als ein vertrauenswürdiger Computer ausgeben kann. Erfolgt durch das Vortäuschen der IP-Adresse.
- Brute-Force-Angriffe (brute force) — zur Passwortermittlung durch Testen von Kombinationen. Verwenden Schwachstellen in RDP und SSH.
- Smurf — zur Reduzierung der Bandbreite der Kommunikationsverbindung und/oder zur vollständigen Isolation des angegriffenen Netzwerks.
- DNS-Spoofing — zur Beeinträchtigung der Integrität von Daten im DNS-System durch DNS-Cache-Poisoning.
- Substitution eines vertrauenswürdigen Hosts — um die Möglichkeit zu haben, eine Sitzung mit einem Server im Namen eines vertrauenswürdigen Hosts zu führen.
- TCP SYN Flood — um den Speicher des Servers zu überlasten.
- Man-in-the-Middle — für den Diebstahl von Informationen, die Manipulation übertragener Daten, DoS-Angriffe, das Hacking einer aktiven Kommunikationssitzung, um Zugriff auf private Netzwerkressourcen zu erhalten, und die Analyse des Verkehrs zur Gewinnung von Informationen über das Netzwerk und seine Benutzer.
- Netzwerkaufklärung — zur Untersuchung von Informationen über das Netzwerk und die auf Hosts laufenden Anwendungen vor einem Angriff.
- Portumleitung — eine Art von Angriff, der einen kompromittierten Host verwendet, um den Verkehr durch eine Firewall zu leiten. Wenn beispielsweise eine Firewall mit drei Hosts verbunden ist (einem externen, einem internen und einem in einem öffentlichen Dienstsegment), kann der externe Host den internen Host kontaktieren, indem er die Ports am öffentlichen Diensthost umleitet.
- Nutzungsausbeutung — Angriffe, die stattfinden, wenn jemand die Vorteile von Vertrauensverhältnissen innerhalb des Netzwerks ausnutzt. Zum Beispiel kann das Hacken eines Systems innerhalb eines Unternehmensnetzwerks (HTTP, DNS, SMTP-Server) dazu führen, dass auch andere Systeme kompromittiert werden.
▍Soziale Ingenieurtechnik
- Phishing — um vertrauliche Informationen (Passwörter, Kreditkartennummern usw.) durch Versand im Namen bekannter Organisationen, Banken zu erhalten.
- Packet Sniffing (Packet Sniffer) – um Zugang zu kritischen Informationen, einschließlich Passwörtern, zu erhalten. Dies gelingt oft, weil Benutzer häufig ihren Namen und ihr Passwort mehrfach verwenden, um auf verschiedene Anwendungen und Systeme zuzugreifen. Auf diese Weise kann ein Hacker auf das Konto eines Systembenutzers zugreifen und darüber ein neues Konto erstellen, um jederzeit Zugang zum Netzwerk und seinen Ressourcen zu haben.
- Pretexting – ein geplantes Angriffsszenario mit sprachlichen Kommunikationsmitteln, dessen Ziel es ist, das Opfer zu einer Handlung zu bewegen.
- Trojanisches Pferd – eine Technik, die auf den Emotionen des Opfers basiert: Angst, Neugier. Malware befindet sich normalerweise im Anhang einer E-Mail.
- Quid pro quo (dies ist eine Dienstleistung für eine Dienstleistung) – Angriff eines Angreifers über das Unternehmenstelefon oder die E-Mail im Namen eines technischen Supportmitarbeiters, der über Probleme am Computer des Opfers informiert und Lösungen anbietet. Ziel ist es, Software zu installieren und schädliche Befehle auf diesem Computer auszuführen.
- Straßenapfel – das Platzieren von infizierten physischen Datenträgern an gemeinschaftlichen Orten in Unternehmen (USB-Stick im Badezimmer, Diskette im Aufzug), versehen mit Aufschriften, die Neugier wecken.
- Informationssammlung aus sozialen Medien.
▍Exploits
Alle illegalen und unbefugten Angriffe, die darauf abzielen, entweder Daten zu erlangen, die Systemfunktionalität zu stören oder Kontrolle über das System zu übernehmen, werden als Exploits bezeichnet. Sie werden durch Fehler im Entwicklungsprozess der Software verursacht, die in den Sicherheitssystemen Schwachstellen erzeugen, die von Cyberkriminellen erfolgreich ausgenutzt werden, um ungehinderten Zugang zu dem Programm zu erhalten, und von dort aus zum gesamten Computer und weiter zum Netzwerk von Maschinen.
▍Kompromittierung von Konten
Der unbefugte Zugriff auf das Konto eines Unternehmensmitarbeiters, um Zugang zu geschützten Informationen zu erhalten: von der Abhörung von Informationen (einschließlich Audio) und der Schlüssel für Malware bis hin zum physischen Eindringen in die Speicherung von Informationen.
▍Kompromittierung von Repositories
Infektion von Dateispeicherservern mit Installationssoftware, Updates und Bibliotheken.
▍Interne Risiken des Unternehmens
Hierzu zählen Informationslecks durch die Mitarbeiter des Unternehmens selbst. Dies kann einfache Nachlässigkeit oder absichtliche schädliche Handlungen sein: von gezieltem Sabotage an den Sicherheitsrichtlinien bis hin zum Verkauf von vertraulichen Informationen. Dazu gehört auch unbefugter Zugang, unsichere Schnittstellen, falsche Konfigurationen von Cloud-Plattformen und die Installation/Nutzung nicht autorisierter Anwendungen.
Lassen Sie uns nun betrachten, wie ein so umfangreiche (und keineswegs vollständige) Liste von Cloud-Sicherheitsproblemen verhindert werden kann.
Moderne spezialisierte Cloud-Schutzlösungen
Jede Cloud-Infrastruktur benötigt einen umfassenden, mehrstufigen Schutz. Die im Folgenden beschriebenen Methoden helfen zu verstehen, aus welchen Bestandteilen ein Sicherheitskonzept für die Cloud bestehen sollte.
▍Antivirenprogramme
Es ist wichtig zu beachten, dass herkömmliche Antivirenlösungen nicht zuverlässig sind, wenn es um die Gewährleistung der Cloud-Sicherheit geht. Eine Lösung, die speziell für virtuelle und Cloud-Umgebungen entwickelt wurde, muss eingesetzt werden, wobei auch die Installation bestimmten Regeln folgt. Heute gibt es zwei Möglichkeiten, die Cloud-Sicherheit durch spezialisierte, multi-komponentige Antivirenlösungen, die nach den neuesten Technologien entwickelt wurden, zu gewährleisten: agentenlose Sicherheit und Sicherheit mit leichtem Agenten.
Agentenlose Sicherheit. Entwickelt von VMware und nur auf deren Lösungen verfügbar. Auf einem physischen Server mit virtuellen Maschinen werden zwei zusätzliche virtuelle Maschinen implementiert: der Sicherheitsserver (SVM) und der Netzwerkangriffsblocker (Network Attack Blocker, NAB). In jede von ihnen wird nichts installiert. In der SVM – einem dedizierten Sicherheitsgerät – wird lediglich der Antivirus-Kernel installiert. In der NAB-Maschine ist dieses Modul nur für die Überprüfung der Kommunikation zwischen den virtuellen Maschinen und dem, was in der Ökosystem passiert, verantwortlich (sowie für die Kommunikation mit der NSX-Technologie). Die Prüfungen des gesamten Datenverkehrs, der auf den physischen Server gelangt, werden von der SVM durchgeführt. Sie erstellt einen Pool von Urteilen, der für alle Schutz-VMs über einen gemeinsamen Urteils-Cache zugänglich ist. Jede Schutz-VM greift zuerst auf diesen Pool zu, anstatt das gesamte System zu scannen – dieses Prinzip verringert die Ressourcenkosten und beschleunigt die Arbeitsweise des Ökosystems.
Schutz mit leichtem Agenten. Entwickelt von Kaspersky und ohne die Einschränkungen von "VMware". Wie bei der agentenlosen Sicherheit wird auf SVM eine Antivirensoftware installiert, jedoch gibt es im Gegensatz dazu einen leichten Agenten, der in jede WM integriert wird. Der Agent führt keine Prüfungen durch, sondern überwacht lediglich alle Vorgänge innerhalb der nativen WM auf Basis der Technologie der selbstlernenden Netze. Diese Technologie speichert die korrekte Abfolge der Anwendungsaktivitäten; wenn die Abfolge der Aktionen einer Anwendung innerhalb der WM nicht korrekt ist, wird sie blockiert.
Zusätzlich zu , und wie Sie den Antivirus-Schutz mit dem leichten Agenten für Ihren virtuellen Server einrichten können, (unten auf der Seite finden Sie die Kontaktdaten des 24/7-Supports für den Fall, dass Fragen auftreten).
▍Integration mit Diensten, die helfen, Probleme im Zusammenhang mit Cloud-Sicherheit zu verhindern oder zu beheben
- Änderungsmanagement-Plattformen. Dies sind bewährte Dienste, die die wichtigsten ITSM-Prozesse von Unternehmen unterstützen, darunter IT-Sicherheit und Vorfälle. Beispiele sind ServiceNow, Remedy, JIRA.
- Sicherheits-Scanning-Tools. Beispiele sind Rapid7, Qualys, Tenable.
- Konfigurationsmanagement-Tools. Diese ermöglichen die Automatisierung von Serveraufgaben und vereinfachen somit die Einrichtung und Wartung von Dutzenden, Hunderten und sogar Tausenden von Servern, die rund um den Globus verteilt sein können. Beispiele sind TrueSight Server Automation, IBM BigFix, TrueSight Vulnerability Manager, Chef, Puppet.
- Tools für sicheres Alarmmanagement. Sie ermöglichen eine kontinuierliche Bereitstellung von Dienstleistungen und eine fortlaufende Kontrolle während von Vorfällen, sowie eine kompetente Unterstützung bei der Integration von Telefonie, Messaging und E-Mail-Arbeit (Laut Cisco waren im Juli 2019 über 85 % der E-Mails Spam, die potenziell Malware, Phishing-Versuche usw. enthielten. Aktuell wird Malware häufig über "gewöhnliche" Anhangstypen versendet: Die häufigsten Malware-Anhänge in E-Mails sind Microsoft Office-Dateien. Weitere Informationen finden Sie im ). Ein solches Werkzeug könnte zum Beispiel OpsGenie sein.
▍Schutz vor Exploits
Da Exploits die Folge von Schwachstellen in Software sind, liegt es in der Verantwortung der Entwickler dieser Software, die Fehler in ihrem Produkt zu beheben. Die Benutzer hingegen müssen sicherstellen, dass sie die Updates und Patches sofort nach deren Veröffentlichung zeitnah installieren. Ein Tool zur automatischen Suche und Installation von Updates oder ein Anwendungsmanager mit dieser Funktion hilft, Updates nicht zu verpassen. Der automatische Schutz vor Exploits ist in der oben beschriebenen Anwendung integriert. .
▍Firewall
Eine Firewall kontrolliert und filtert den Netzwerkverkehr nach vorab konfigurierten Regeln. Man kann sich die Firewall als eine Sequenz von Filtern vorstellen, die den Informationsfluss im Netzwerk verarbeiten. Eine korrekte Konfiguration der Firewall ist effektiv gegen Brute-Force-Angriffe. RDP- oder SSH-Verbindungen können nur von bestimmten IP-Adressen des Serverbesitzers erlaubt werden, um den Server vor Passwortüberprüfungsversuchen zu schützen. Firewalls sind in allen modernen Betriebssystemen vorhanden. Darüber hinaus wird im RUVDS-Kundenbereich angeboten eine kostenlose Firewall auf Netzwerkebene. Dadurch wird unerwünschlicher Netzwerkverkehr nicht auf die virtuelle Maschine geleitet, sondern auf der Ebene des Rechenzentrums gefiltert. Zur zusätzlichen Benutzerfreundlichkeit wurden die am häufigsten verwendeten Filterregeln in die Firewall-Oberfläche integriert. Bei einer Änderung der IP-Adresse kann der Kunde einfach in sein persönliches Konto gehen und die Regel bearbeiten, ohne auf den Server zugreifen zu müssen.
▍DDoS-Schutz
Es gibt einen zusätzlichen Dienst, den Sie bei
Anbietern von virtuellen (und physischen) Servern erwerben können. Dieser basiert auf Technologien zur Analyse des Netzwerkverkehrs, die beispielsweise bei RUVDS rund um die Uhr durchgeführt werden, und der Schutz ermöglicht es, stabil bis zu 1500 Gbit/s zu bewältigen. Sie zahlen nur für den Verkehr, den Sie benötigen. Aktuell gibt es bei RUVDS den ersten Monat kostenlos 0,5 Mbit/s, danach ab 400 R pro Monat.
▍Erstellung von Compliance-Anforderungen und Erreichung der Einhaltung
Die Bedeutung des menschlichen Faktors in der Cloud-Sicherheit ist nicht zu unterschätzen, insbesondere in Bezug auf Angriffe durch Social Engineering. Hierzu zählen auch die erstellten und durchgeführten Benutzerregeln sowie die Richtlinien für Rehabilitationsmaßnahmen (Cybersecurity-Notfallplan). Zu diesem Punkt gehört die Zugangskontrolle für Mitarbeiter, das Festlegen der wichtigsten Cloud-Anwendungen des Unternehmens (keine anderen Anwendungen als die wenigen, die auf einer solchen «Whitelist» stehen, dürfen installiert werden) und die Sicherheit mobiler Geräte, die im Unternehmen zur Interaktion mit der Cloud-Infrastruktur verwendet werden können, sowie die Kontrolle von Geräten in Bezug auf die Richtlinien für die Nutzung externer Medien.
Wir hoffen, dass der Artikel hilfreich war. Wie immer sind wir dankbar für konstruktive Kommentare, neue Informationen, interessante Meinungen und auch für Hinweise auf Unstimmigkeiten im Material.
Quelle: habr.com
