Как защитить ИТ-проект в облаке: 4 частые проблемы и советы, чтобы снизить риски
Разбираемся, какие приемы и сервисы помогут защитить ваш сайт, мобильное приложение и ИТ-инфраструктуру в облаке.
Если ваш бизнес еще не вырос до уровня корпораций с большим количеством данных и пользователей, это не значит, что хакерские вторжения минуют. Вы можете стать жертвой массированной атаки или заказа конкурента. Последствия будут самыми разными — от временной недоступности проекта до шифрования всех данных.
Егор Сапун, руководитель направления сертификации инфраструктуры Рег.ру, рассказал, с какими проблемами могут столкнуться небольшие компании и как от них защититься.
Содержание:
DDoS-атаки
Встречаются чаще всего и остаются наиболее опасными для облачных ресурсов. Цель DDoS — вывести из строя инфраструктуру, на которой размещается сайт, приложение или более сложная IT-система. Во время атаки происходит большое количество пакетных запросов конкретному серверу за короткое время, он перегружается и деактивируется.
Стать жертвой DDoS-атаки компания может по разным причинам:
- Массированная атака. Ваш бизнес может затронуть по касательной, когда хакеры будут атаковать конкретный регион или отрасль, например банки или логистические предприятия.
- Точечная атака. Цель нападения — только ваша компания. Устроить его могут как хакеры, несогласные с вашей деятельностью, так и конкуренты, которые используют незаконные методы, чтобы вывести из строя ресурсы компании — например, в период скидок или наибольшего спроса.
- Отвлечение внимания от основной атаки. Во время DDoS-атаки администраторы будут сосредоточены на устранении ее последствий. Это может отвлечь их от других угроз — например, проникновения в систему или установки вредоносного ПО.
Если инфраструктура компании плохо защищена, DDoS-атака может выявить уязвимости, которые злоумышленники используют для дальнейших атак.
Как защититься. На сегодняшний день большинство облачных провайдеров выделяют серверы, защищенные, как правило, на уровнях L3–L4. Защита реализована на уровне сети и активируется автоматически при заказе сервера.
Например, все облачные серверы Рег.ру защищены системой DDoS-guard и способны отразить атаку до 1,5 Tbps на сетевых уровнях L3–L4.
Если объем трафика увеличится и произойдет более серьезная DDoS-атака, стандартные меры защиты могут оказаться недостаточными. Потребуется защита на уровне L7: она обеспечивает более глубокий анализ трафика и может фильтровать атаки, направленные на конкретные приложения или сервисы.
Чаще всего такой уровень защиты реализуется с помощью SaaS-инструментов, которые перенаправляют трафик через свои серверы, очищают его от нежелательного или вредоносного трафика и обеспечивают доступ реальных пользователей к сайту. Инструменты также могут скрывать реальный IP-адрес вашего проекта, что добавляет дополнительный уровень безопасности. Так работает сервис Anti-DDoS от StormWall, который можно подключить в Рег.ру. Вы получаете защищенный IP-адрес в облаке, где работает защита от DDoS-атаки, и перенаправляете на него DNS-запись сайта. В итоге весь трафик проходит проверку, фильтрацию и оптимизацию, а вредоносный блокируется.
В зависимости от опыта и предпочтений клиенты могут выбрать разные тарифы: на некоторых доступна большая пропускная способность, на других есть возможность кастомизировать управление и получать аналитику.
Для защиты крупных компаний от атак L3–L7, как правило, используются специализированные on-premise-решения. Они внедряются напрямую в инфраструктуру компании, при этом требуют серьезных финансовых затрат, а также команды сотрудников или сторонних специалистов для поддержки инфраструктуры.
Оптимальный вариант для небольших компаний — встроенная в облако защита уровней L3–L4: она поможет справиться с массированными DDoS-атаками и не потребует дополнительных расходов. Для более комплексного подхода к защите веб-приложений, сайтов, интернет-магазинов стоит рассмотреть SaaS-инструменты уровня L7 с более глубокой очисткой трафика на уровне приложений.
Несанкционированный доступ к информационной системе
Схема простая: хакеры получают доступ к инфраструктуре, могут управлять ей либо получить доступ к конфиденциальным данным. Вот возможные ошибки компании и ее сотрудников, которые приводят к атакам:
- использовать неоптимальную конфигурацию виртуальных машин, например открытые порты на сервере без необходимости;
- использовать стандартные учетные записи и пароли, например admin/admin, или долго их не менять;
- не включать двухфакторную аутентификацию.
Для того чтобы получить доступ к системе, может быть использовано зараженное устройство, фишинг или социальная инженерия. Исходы вторжения тоже различаются:
- Утечка конфиденциальной информации, уничтожение или изменение данных. Злоумышленники могут получить доступ к данным, удалить или изменить важные сведения — например, личные данные клиентов, финансовую информацию или интеллектуальную собственность.
- Временные простои и ущерб репутации. Восстановление после атаки может занять много времени и ресурсов, а сам инцидент — подорвать доверие клиентов и партнеров.
- Атаки на другие системы. Использование взломанной системы как точки доступа для дальнейших атак на другие системы или организации. Вредоносное программное обеспечение будет работать в системе как сканер-анализатор: отслеживать действия пользователей и выявлять уязвимости для будущей хакерской атаки.
Как защититься. В сценарии атаки из-за несанкционированного доступа к IT-системе слабое звено — человек. Именно поэтому важно на уровне администратора применять все возможные меры предосторожности:
- Не записывать пароли на бумаге, в мессенджерах и на других ресурсах, к которым можно легко получить доступ. Это базовое правило информационной безопасности, хотя, согласно исследованию NordPass 2024 года, более трех миллионов пользователей выбирают ненадежный пароль «123456» для учетных записей.
- Своевременно обновлять антивирус и не переходить по подозрительным ссылкам. Приглашения поучаствовать в розыгрыше, сообщения о победе в лотерее и прочие виды мошенничества легко могут привести к потерям информации и доступов.
- Использовать двухфакторную аутентификацию. После ввода пароля потребуется ввести код из СМС или последние цифры номера входящего звонка. Хакерам сложно узнать эти данные, учитывая, что они действуют ограниченное время, поэтому ваши онлайн-ресурсы будут надежно защищены.
- Распределять уровни доступа для разных специалистов. Если у вас множество сотрудников с разными сферами деятельности, режимы доступа к IT-системе также могут быть разными. Например, контент-редактор будет иметь доступ к обновлению информации на страницах, маркетолог — к аналитике, а разработчик — к релизам обновлений и всей базе данных.
- Ограничить доступ к информационной системе. Более сложный вариант. В этом случае администраторы смогут авторизоваться, только находясь в конкретной подсети. С помощью ограничения можно сузить количество стран и регионов, для которых будет доступен вход в систему, и усложнить хакерам доступ к ней.
- Не передавать доступы подрядчикам. Использовать ваши данные и доступ к системе могут не только хакеры, но и, например, недобросовестные специалисты. Если у подрядчиков есть доступ к учетным записям, базам данных компании, обязательно меняйте пароли после прекращения работы. А если вы только начинаете использовать какой-то ресурс при помощи сторонних специалистов, оформляйте доступ сразу на себя.
Эксплуатация уязвимости в системе
Хакер использует «слабые места» в инфраструктуре, чтобы получить доступ к данным, а дальше зашифровать их или удалить. Уязвимости могут обнаружить в сетевых компонентах или программных системах, например CMS, особенно если пользователь вовремя не обновляет приложения.
Как защититься. Базовое правило: нужно регулярно обновлять все системы — вендоры оперативно устраняют в них уязвимости. Отслеживать их лучше на сайте поставщика или на тематических форумах — так вы сможете в числе первых узнать об обновлении и задать вопросы.
Для комплексной защиты веб-приложений от большинства типов атак можно использовать WAF. Это специализированное решение, которое обеспечивает фильтрацию и анализ входящего и исходящего трафика веб-приложения. WAF проверяет запросы и ответы на наличие подозрительной активности и потенциальных угроз, а при обнаружении блокирует вредоносные запросы. Это может включать в себя отказ в обслуживании или перенаправление на страницу ошибки.
Чтобы определить, какие действия предпринимать в ответ, WAF использует набор правил и политик. Они могут быть основаны на известных уязвимостях (например, SQL-инъекции, XSS) или на поведенческих паттернах.
Никакой инструмент не снизит риск атаки на 100%. Бизнесу обязательно нужно держать руку на пульсе, следить за информационной безопасностью и происходящим в сфере, чтобы быть готовым к внеплановым трудностям из-за атак.
Потеря данных из-за ошибок администраторов
Это не кибератака, но одна из частых проблем. Ошибка администратора или разработчика при обновлении релиза может привести, например, к удалению виртуальной машины и потере базы данных. Если у компании нет резервной копии, восстановить информацию будет невозможно.
Как защититься. Следить за регулярным созданием резервных копий и экспортировать их в облако и на локальные хранилища. Особенно ценные данные можно хранить на жестких дисках в сейфах.
На облачных серверах Рег.ру есть два типа резервного копирования:
- Бэкап — снимок сервера, который создается автоматически один раз в неделю. Это то самое резервное копирование, которое станет страховкой в случае потери данных на сервере.
- Снэпшот — снимок сервера, который можно сделать вручную или по API в любой момент. Его используют, когда нужно сохранить состояние всей виртуальной машины — например, перед внесением изменений.
Как выбрать надежного провайдера облачной инфраструктуры
Большинство способов защиты на уровне инфраструктуры предоставляют провайдеры, поэтому важно выбрать компанию, которая сможет качественно поддерживать ваши IT-проекты. Для выбора есть несколько наиболее важных критериев:
- Оценка репутации и опыта. Изучите историю провайдера, его репутацию на рынке и отзывы клиентов. Проверьте наличие успешных кейсов и опыт работы в вашей отрасли.
- Безопасность и соответствие стандартам. Убедитесь, что провайдер соблюдает отраслевые стандарты безопасности, например ISO 27001. Ознакомьтесь с мерами безопасности, такими как управление доступом и защита от DDoS-атак.
- Географическое расположение дата-центров. Убедитесь, что дата-центры находятся в регионах, соответствующих вашим требованиям по соблюдению законодательства и снижению задержек, а также соответствуют отраслевым стандартам безопасности (TIER). Например, ЦОД Рег.ру соответствуют уровню Tier III — это значит, что отказоустойчивость оборудования составляет 99,98%, а время простоя не превышает 1,6 часа в год.
- Уровень поддержки. Узнайте о доступных уровнях технической поддержки (24/7, SLA, каналы связи). Оцените качество поддержки на основе отзывов клиентов.
- Управление данными и резервное копирование. Узнайте о политике управления данными, включая резервное копирование и восстановление после сбоев. Проверьте наличие функций для управления версиями и миграции данных.
Эти критерии помогают выбрать провайдера с точки зрения уровня безопасности. По пропускной способности, тарифам и дополнительным услугам можно сверять предложения и финально выбирать подрядчика.
Читайте еще: