Хмари скрізь. Вони життєво важливі для обчислень. Їх невпинно штурмують.
24 травня 2021 р.
Російська кібершпигунська операція
«Спалах з-поза хмар», викрита наприкінці минулого року,
позначилася більш як на сотні великих компаній і федеральних установ США. Серед
них — Державна скарбниця, міністерства енергетики, юстиції та внутрішньої
безпеки. Успіхом росіяни зобов’язані переважно вмінню скрадатися всередині
організації завдяки ураженню засобів ідентифікації
в хмарних і локальних мережах. Адже це дає доступ до хмарних
облікових записів і дозволяє маніпулювати електронними листами й файлами.
Хакери, які, на думку урядовців США, служать
Кремлю, націлювалися на
широко вживану хмарну службу Майкрософт, що синхронізує облікові дані
користувачів. Хакери викрадали сертифікати
вбезпечення та створювали власні
облікові дані. Ці останні дозволяли оминати засоби
оборони, як-от, багатофакторну автентифікацію, й діставати доступ до облікових
записів тисяч користувачів Office 365 у потерпілих компаніях і урядових
установах.
Не вперше, й запевне, не востаннє
кібератака спрямована на хмарні служби. Саме недоліки хмарного комплексу зіграли вирішальну роль в
ураженні Кепітал ван 2019
р. Тоді вразливість хмарного комплексу Amazon Web Services, помножена на спроби
Кепітал ван якось упоратися з
заплутаним налаштуванням хмарної службі, призвела до витоку інформації десятків
мільйонів клієнтів.
Зокрема, були викрадені заявки на кредитні картки, номери в системі соціального
страхування, банківські реквізити.
Напади
злочинців, хакерів і державних структур на хмарні служби стають чимдалі численніші —
мірою того, як хмарні обчислення підкоряють світ і стають типовим варіантом в
інформаційній техніці. Витік даних поганий сам по собі. Та набагато гірше
порушення роботи хмарних комплексів: відмова навіть в одного провайдера може
стати світовій економіці в мільярди доларів на добу.
Хмарні обчислення — серйозне джерело
ризиків. І через те, що вони так швидко витісняють традиційні засоби ІТ, і
через те, що звужують спектр можливих структур до пропозицій жменьки компаній.
По-перше, хмара дедалі більше перетворюється на типовий варіант корпоративного
обчислювального комплексу. А це означає, що саме в таких комплексах дедалі
більше оброблятимуть життєво важливі дані, в тому числі, в національних
розвідувальних та оборонних підрозділах. По-друге, хмарні обчислювальні служби,
особливо ті, які надають чотири найбільші в світі провайдери — Амазон,
Майкрософт, Алібаба й Ґуґл — зводять можливості вибору структур і засобів
убезпечення до пропозиції нечисленних організацій. Тож будь-яке неналежне
рішення чи невдалий компроміс в останніх невдовзі окошиться на сотнях мільйонів
користувачів.
Хмари скрізь. Деякі хмарні компанії
пропонують програмні засоби як службу, щоб потурати уподобанням абонентів
Нетфлікс чи надавати майданчики для балачок у Слек. Інші надають інфраструктурні
складники — корпоративні бази даних і місце для зберігання інформації.
Найбільші хмарні компанії постачають і те, й друге.
Є кілька способів організації хмарних
комплексів. Їхня спільна риса — певний баланс відповідальності за вбезпечення.
Зарівно як і вирішальна роль провайдера в цьому питанні. Те, яким чином провайдер
структурує на етапі проекту, будує й ставить до ладу хмарний комплекс, визначає рівень убезпечення
користувача — проте сам користувач впливає на це вкрай мало. Тож коли
сервери Ґуґл чи Амазон мають вразливості, ви про це, найімовірніше, не те що не
вплинете, а навіть і не дізнаєтеся, але від наслідків постраждаєте.
Усе впирається в гроші. На перший
погляд скидається на те, ніби конкуренція між хмарними компаніями спонукає вкладатися
в убезпечення клієнтів. Проте реальне життя на ринку дуже далеке від
цього ідеалу. Перш за все, вбезпечення для хмарних компаній маргінальне, адже через
ушкодження даних збиткують не вони, а користувачі. Доки клієнти не тікають
гуртом — а через порушення вбезпечення такого не відбувається — хмарні компанії
воліють вкладати в убезпечення якнайменше. Та й акціонери, як свідчать дані, за
це не карають: зниження ціни акцій по оприлюдненому ураженні незначне й
короткочасне.
По-друге, якщо інформацію про
вбезпечення в хмарі навіть публікують, про компромісні проектні розв’язки
відповідних служб чи про те, які з них випливають ризики, переважно умовчують.
Нехай навіть хмарні компанії зобов’язані публікувати докладну інформацію про
структуру та експлуатацію засобів убезпечення, споживачі навряд чи втямлять,
які загрози враховані в хмарних службах та як саме. А не тямлячи, важко оцінити
загальний рівень убезпечення служби. Відповідно, споживачі й користувачі не в
змозі відрізнити вбезпечену службу від невбезпеченої. Тому й не беруть цього до
уваги, приймаючи рішення щодо купівлі та використання.
По-третє, кіберубезпечення — це
складно, а коли йдеться про хмари, то ще складніше. Такому користувачеві, як
компанія чи державна установа, важко розібратися в тонкощах взаємозв’язків у
засобах убезпечення різноманітних хмарних і локальних комплексів і служб. Через
це користувачі не спроможні належно оцінити, наскільки хмарні служби вбезпечені
чи як вони взаємодіють з корпоративними мережами. Таке явище відоме в економіці
як «гнилий ринок». У результаті
рівень убезпечення в хмарних провайдерів може різнитися дуже істотно. Це
показали Ден Ґір, керівник із інформаційного вбезпечення Ін-кью-тел, і Вейд
Бейкер, професор Коледжу бізнесу Технічного університету Вірджінії, в
дослідженні серйозних недоліків убезпечення десяти найбільших хмарних
провайдерів. А споживачі про це ні сном, ні духом.
Ринкові механізми не спонукають хмарних
провайдерів конкуруювати за те, щоб надавати клієнтам і користувачам найвищий
рівень убезпечення за найменших витрат. Навпаки, хмарні компанії закладаються,
що хакери їх не чіпатимуть, — а коли навіть і зачеплять, то, як підказує
досвід, усе обійдеться. Певна річ, такий спосіб розумування й ухвалення рішень
притаманний найвищому керівництву й не відображає самовідданості й технічної
кваліфікації інженерів — розробників і фахівців із убезпечення. Ефект
недостатніх вкладень згубний: ризик нагромаджується, причому здебільшого він прихований
від користувачів. Через повсюдне впровадження хмарних обчислень цей ризик
перекидається на корпоративні мережі, клієнтів, користувачів, далі
розповзається Інтернетом.
І, врешті, сягає рівня національної
безпеки. Політичні очільники могли б зробити внесок у
розв’язання цієї задачі, якби задали чіткі цільові показники вбезпечення
хмарних служб і вимагали гласності щодо рішень і компромісів у структурі
вбезпечення. Адміністрації президента Байдена, зокрема, новопризначеному
національному кібер-директорові Крису Інґлісу, належало б організувати
міжвідомчу взаємодію з хмарними провайдерами, щоб розглянути їхні моделі загроз
і оцінити архітектуру вбезпечення пропонованих засобів. Паралельно з роботою з
поліпшення прозорості хмарних провайдерів і докладного аналізу їхніх досягнень
у техніці вбезпечення, слід осучаснити регламенти кіберубезпечення з
урахуванням специфіки хмарних комплексів.
Найкраще зосередити цю роботу у
Федеральній програмі керування уповноваженням і нейтралізації ризиків
(FedRAMP), бо саме вона є головною урядовою програмою оцінювання ризиків
хмарних служб і уповноваження їхнього застосування в державних установах. У
недавньому указі президента наведена низка заходів, які
мають пришвидшити роботу в FedRAMP і зробити її маневренішою. Проте зазначимо,
що програма й досі розглядає вбезпечення окремих хмарних служб замість глибшого
аналізу варіантів архітектури й моделей загроз постачальників цих служб.
Подальші рішення на рівні Конгресу мали б посилити й розширити указ, додавши
нові зобов’язання постачальників в аспекті гласності структурних компромісів,
моделей загроз і ризиків, що з них випливають. Це перетворило б FedRAMP на
дієвіше знаряддя організаційного керування вбезпеченням на додачу до
пришвидшення й підвищення ефективності.
Провайдери хмарних служб стали
важливими об’єктами інфраструктури в масштабах країни. Після розквіту
мейнфреймів, що тривав від 1960-х до початку 1980-х років, світ уперше бачить,
щоб обчислювальні комплекси такого рівня складності були в такому масовому
користуванні, але створювалися так нечисленними компаніями. Убезпечення цієї
інфраструктури вимагає більшої прозорості й підзвітності суспільству — навіть
якщо зважати лише на наслідки її відмови.
