เคลื่อนไหวอย่างรวดเร็ว จ่ายเฉพาะสิ่งที่คุณใช้ และทำการปะมือให้คนอื่น การเสนอขายนั้นยังคงดำเนินต่อไป แต่ฮันนีมูนจะจางหายไปเมื่อบิลการจัดเก็บที่ควบคุมไม่ได้มาถึง หรือนโยบาย S3 ที่ถูกมองข้ามทำให้ถังข้อมูลเปิดกว้าง จากประสบการณ์ที่ได้มาอย่างยากลำบาก ฉันมองเห็นความท้าทายที่สำคัญแบบเดียวกันสำหรับการประมวลผลแบบคลาวด์ที่ยกระดับความสนใจในสแต็กและอุตสาหกรรมต่างๆ ด้วยการจัดเตรียมพวกเขาตั้งแต่เนิ่นๆ เราจะหลบเลี่ยงความเจ็บปวดส่วนใหญ่และทำให้ทีมมุ่งเน้นไปที่คุณสมบัติการจัดส่งแทนที่จะต่อสู้กับไฟ
เหตุใดอาการปวดหัวเหล่านี้จึงไม่ยอมหายไป
ความล้มเหลวของคลาวด์แทบจะไม่เกิดขึ้นจากจุดบกพร่องร้ายแรงเพียงจุดเดียว พวกเขาสโนว์บอลจากช่องว่างเล็กๆ ที่ซ้อนกันทั่วทั้งสถาปัตยกรรม กระบวนการ และผู้คน ก่อนที่เราจะเจาะลึกแต่ละหมวดหมู่ นี่คือภาพรวมของอาการที่แสดงให้เห็นว่ามีบางอย่างที่ลึกกว่านั้นปิดอยู่:
- ค่าธรรมเนียมขาออกที่เพิ่มขึ้นอย่างกะทันหันทำให้กำไรขั้นต้นหายไปสองเดือน
- รหัสการเข้าถึงที่ถูกลืมจะกระตุ้นให้เกิดความสนุกสนานในการขุด crypto ในชั่วข้ามคืน
- การไฟฟ้าดับทั่วภูมิภาคเป็นการทดสอบแผนการกู้คืนภัยพิบัติที่ไม่มีใครซักซ้อม
- การตรวจสอบการปฏิบัติตามกฎระเบียบจะทำเครื่องหมายข้อมูลที่ละเอียดอ่อนที่ไม่มีป้ายกำกับซึ่งจอดอยู่ในพื้นที่จัดเก็บออบเจ็กต์
- ทีมสิบทีมใช้แผนการแท็กสิบแบบ ดังนั้นรายงานการเรียกเก็บเงินคืนจึงอ่านได้เหมือนอักษรอียิปต์โบราณ
แต่ละอาการจะย้อนกลับไปที่กลุ่มความเสี่ยงหลักอย่างน้อยหนึ่งกลุ่ม เก็บแผนที่นั้นไว้ใกล้ตัว โดยจะแนะนำทุกขั้นตอนการบรรเทาผลกระทบในภายหลัง
ความเสี่ยงของการประมวลผลแบบคลาวด์
การศึกษาในอุตสาหกรรมชี้ให้เห็นอย่างต่อเนื่องถึงกลุ่มความเสี่ยงหลัก 7 ประการที่ทำให้เกิดเหตุการณ์จำนวนมากทั่วทั้งภาคส่วนต่างๆ แม้ว่าหมวดหมู่เหล่านี้จะรวมเข้าด้วยกัน แต่พวกมันก็จับคู่กัน ความท้าทายที่สำคัญสำหรับการประมวลผลแบบคลาวด์ ทีมต่างๆ เผชิญหน้ากันในแต่ละวัน ตั้งแต่การลดต้นทุนไปจนถึงการขโมยข้อมูล:
การกำหนดค่าไม่ถูกต้องและสิทธิ์ส่วนเกิน
แม้แต่วิศวกรผู้ช่ำชองก็คลิกสลับคอนโซลผิดเป็นบางครั้ง กลุ่มความปลอดภัยที่อนุญาตมากเกินไปหรือที่เก็บข้อมูลสาธารณะจะเปลี่ยนเครื่องมือภายในให้กลายเป็นความรับผิดต่ออินเทอร์เน็ต
การเลื่อนหลุดทั่วไป
- ไวลด์การ์ด 0.0.0.0/0 กฎเกี่ยวกับพอร์ตผู้ดูแลระบบ
- บทบาท IAM ที่ให้สิทธิ์การเข้าถึงแบบเต็มนานหลังจากการโยกย้ายเสร็จสิ้น
การละเมิดข้อมูลและการรั่วไหล
เมื่อการกำหนดค่าผิดพลาดเปิดประตู ข้อมูลก็จะออกไป การละเมิดข้อมูล เป็นเรื่องที่น่าปวดหัวซ้ำซากในการรักษาความปลอดภัยบนคลาวด์ และแทบจะไม่เริ่มต้นด้วยศูนย์วันที่ซับซ้อน โดยไหลผ่านจุดสิ้นสุดที่เปิดเผยหรือข้อมูลรับรองเก่า
ผู้ดูแลระบบภัยคุกคามและเงาจากวงใน
ไม่ใช่ทุกความเสี่ยงจะอยู่นอกบริษัท พนักงานตามสัญญาที่ถือสิทธิพิเศษไว้ หรือพนักงานที่แยกบริการที่ไม่ได้รับอนุญาต ทำให้เกิดจุดบอดที่การตรวจสอบมาตรฐานพลาดไป
API ที่ไม่ปลอดภัยและการเปิดรับห่วงโซ่อุปทาน
แอปบนระบบคลาวด์ทุกแอปอาศัย SDK และ API ของบุคคลที่สาม ขีดจำกัดอัตราที่ขาดหายไปหรือไลบรารีที่ไม่ได้รับแพตช์ทำให้เกิดการละเมิด โดยเปลี่ยนฟีเจอร์ที่ไม่เป็นอันตรายให้กลายเป็นพื้นที่การโจมตี
การมองเห็นและการตรวจสอบช่องว่างที่จำกัด
หากบันทึกอยู่ในบัญชีหนึ่งและมีการแจ้งเตือนในอีกบัญชีหนึ่ง เหตุการณ์จะขยายออกไปในขณะที่ทีมแย่งชิงบริบท จุดบอดซ่อนทั้งการเบี่ยงเบนของประสิทธิภาพและการบุกรุกที่ทำงานอยู่
ความกังวลด้านความปลอดภัยที่ทำให้ทีมต้องตื่นตัวในเวลากลางคืน
หลักการที่กำหนดไว้ในบทความของเราเกี่ยวกับ ความปลอดภัยของระบบคลาวด์คืออะไร ให้พื้นฐานที่มั่นคง แต่ผู้โจมตีที่มีความซับซ้อนยังคงหลบเลี่ยงได้ เว้นแต่บริษัทจะทำการตรวจสอบบันทึก, MFA และการออกแบบที่มีสิทธิพิเศษน้อยที่สุดโดยอัตโนมัติ หากไม่มีราวกั้นเหล่านั้น ปัญหาด้านความปลอดภัยที่สำคัญในการประมวลผลแบบคลาวด์ ย้ายจากนามธรรมไปสู่เรื่องเร่งด่วน ทันสมัย เครื่องมือรักษาความปลอดภัยบนคลาวด์ ช่วยลดเวลาในการตรวจจับ แต่เมื่อทีมเชื่อมต่อเข้ากับขั้นตอนการทำงานรายวันเท่านั้น
ประเด็นสำคัญ:
- แมปปลายทางภายนอกทุกจุด สแกนหาการสัมผัสโดยไม่ได้ตั้งใจทุกสัปดาห์
- หมุนปุ่มโดยอัตโนมัติ ปฏิบัติต่อข้อมูลประจำตัวที่มีอายุการใช้งานยาวนานเสมือนเป็นหนี้
- การตรวจสอบฟีดจะบันทึกลงใน SIEM ส่วนกลาง จากนั้นแจ้งเตือนเกี่ยวกับความผิดปกติแทนข้อผิดพลาดที่เกิดขึ้นจริง
ความประหลาดใจด้านการดำเนินงานและการเงิน
ความพร้อมใช้งานสูงฟังดูเป็นเรื่องง่ายจนกระทั่งคลัสเตอร์ฐานข้อมูลหลาย AZ เริ่มเพิ่มค่าใช้จ่ายของคุณเป็นสองเท่า ในหมู่ ความท้าทายที่สำคัญสำหรับการประมวลผลแบบคลาวด์ ซ่อนตัวอยู่ในที่โล่ง ค่าดริฟท์อยู่ในอันดับใกล้ด้านบน ตั๋วสนับสนุนจะเพิ่มขึ้นทุกครั้งที่กลุ่มอินสแตนซ์เลิกใช้งาน หรือเมื่อความจุจำกัดเหตุการณ์การขยายขนาดคันเร่ง
ทีมที่ต้องการการควบคุมอย่างละเอียดในบางครั้งจะย้ายบริการที่ไวต่อความหน่วงไปใช้แบบ Lightweight วีพีเอส คลาวด์ การตั้งค่า ด้วยการตรึงปริมาณงานไว้ที่ vCPU ที่รับประกัน จะหลีกเลี่ยงผลกระทบจากเสียงรบกวนจากเพื่อนบ้าน ในขณะเดียวกันก็รักษาความยืดหยุ่นของผู้ให้บริการไว้ได้
ปัญหาคลาวด์ทั่วไปใน Ops Front
- ขีดจำกัดที่จัดสรรไว้น้อยเกินไปจะขัดขวางการรับส่งข้อมูลที่เพิ่มขึ้นอย่างรวดเร็ว
- ผู้ขายล็อคอินทำให้การเปลี่ยนแปลงชั้นข้อมูลช้าและมีราคาแพง
- ค่าธรรมเนียมการโอนข้ามภูมิภาคที่ไม่คาดคิดในระหว่างการทดสอบเฟลโอเวอร์
ข้อผิดพลาดด้านการกำกับดูแลและการปฏิบัติตามกฎระเบียบ
ผู้ตรวจสอบพูดภาษาถิ่นของตนเอง และระบบคลาวด์ก็เพิ่มศัพท์เฉพาะที่สดใหม่ไว้ด้านบน เมื่อนโยบายการแท็ก การเก็บรักษา และการเข้ารหัสลอยไป การค้นพบจะทวีคูณอย่างรวดเร็ว ตารางด้านล่างเน้นย้ำช่องว่างสี่ประการที่ฉันพบบ่อยระหว่างการตรวจสอบความพร้อม:
| ช่องว่างการปฏิบัติตามกฎระเบียบ | ทริกเกอร์ทั่วไป | ความน่าจะเป็น | ผลกระทบทางธุรกิจ |
| ข้อมูลส่วนบุคคลที่ไม่เป็นความลับจัดเก็บไว้ในที่เก็บข้อมูลออบเจ็กต์ | คลังข้อมูลหายไป | ปานกลาง | ค่าปรับทำให้แบรนด์เสียหาย |
| ไม่มี MFA ในบัญชีที่ได้รับสิทธิพิเศษ | ความเร็วเหนือกระบวนการ | สูง | การครอบครองบัญชี |
| ไม่เคยทดสอบแผนการกู้คืนความเสียหาย | แรงกดดันด้านทรัพยากร | ปานกลาง | การหยุดทำงานเป็นเวลานาน |
| คุณสมบัติที่เป็นกรรมสิทธิ์ที่ฝังลึก | สะดวกสบายในเวลาก่อสร้าง | ต่ำ | ทางออกมีค่าใช้จ่ายสูง ทำให้การย้ายถิ่นช้าลง |
สังเกตว่าแต่ละแถวเชื่อมโยงกับความท้าทายด้านการประมวลผลของเราข้างต้นอย่างไร ความสามารถในการมองเห็น สิทธิ์ขั้นต่ำ และการทดสอบซ้ำเป็นหัวใจสำคัญของรอบการตรวจสอบที่ประสบความสำเร็จ
จัดการกับจุดปวด
ไม่มีกระสุนเงินอยู่ แต่การเข้าใกล้แบบเป็นชั้นจะหลุดพ้นจากความเสี่ยงอย่างรวดเร็ว ฉันจัดกลุ่มยุทธวิธีออกเป็นสามกลุ่ม:
- ทำให้มูลนิธิแข็งตัว
- กำหนดพื้นฐานทุกบัญชีด้วยโครงสร้างพื้นฐานตามรหัส การแจ้งเตือนดริฟท์ตรวจจับการเปลี่ยนแปลงที่แอบแฝง
- บังคับใช้ MFA ในระดับผู้ให้บริการข้อมูลประจำตัว ไม่ใช่ต่อแอปพลิเคชัน
- ตรวจจับและตอบสนองอัตโนมัติ
- รวมบันทึกไว้ที่ศูนย์กลาง จากนั้นรวมเข้ากับแท็กทรัพยากรเพื่ออธิบายการแจ้งเตือน อะไร พัง ไม่ใช่แค่ ที่ไหน มันพัง
- หมุนสำเนาแซนด์บ็อกซ์ทุกสัปดาห์เพื่อทดสอบชุดแพตช์ก่อนที่การผลิตจะเห็น
- แผนสำหรับสิ่งที่หลีกเลี่ยงไม่ได้
- เรียกใช้สถานการณ์วันแข่งขัน: ดึงปลั๊กบริการและดูการแกว่งของแดชบอร์ด บทเรียนติดดีกว่าสไลด์
- เก็บภาพที่สะอาดและพกพาได้ในโหมดสแตนด์บาย เพียงคลิกเดียว ซื้อคลาวด์เซิร์ฟเวอร์ ตัวเลือกทำหน้าที่เป็นวาล์วนิรภัยเมื่อบริเวณต่างๆ ละลาย
ใช้ชิ้นส่วนที่เหมาะกับกองของคุณก่อน จากนั้นจึงขยายความคุ้มครองให้กว้างขึ้น ชัยชนะเล็กๆ น้อยๆ เช่น การติดแท็กอัตโนมัติหรือการหมุนเวียนคีย์รายวัน จะเกิดขึ้นแบบทบต้นเมื่อเวลาผ่านไป
ความคิดสุดท้าย
การนำระบบคลาวด์ไปใช้จะยังคงเป็นกราฟขาขึ้น ดังนั้น การเพิกเฉยต่อปัญหาของระบบคลาวด์จึงไม่ใช่ทางเลือก โดยการทำแผนที่สภาพแวดล้อมของคุณกับ ความท้าทายที่สำคัญสำหรับการประมวลผลแบบคลาวด์ อธิบายไว้ที่นี่ คุณจะมองเห็นจุดอ่อนตั้งแต่เนิ่นๆ คาดการณ์การใช้จ่ายได้ และปล่อยให้นักพัฒนาจัดส่งฟีเจอร์ต่างๆ ได้อย่างมั่นใจ การเดินทางไม่เคยสิ้นสุดอย่างแท้จริง แต่ด้วยสายตาที่ชัดเจน เครื่องมือที่มั่นคง และนิสัยของการทบทวนเป็นประจำ คลาวด์ยังคงเป็นตัวเร่งแทนที่จะเป็นแหล่งที่มาของหน้าเที่ยงคืน
ความเร็ว ความสม่ำเสมอ และการป้องกันสุญญากาศรวมอยู่ใน Cloudzy's ผลงาน VPS Cloud. แต่ละอินสแตนซ์ใช้งานพื้นที่จัดเก็บ NVMe, CPU ความถี่สูง และเส้นทาง Tier-1 ที่ซ้ำซ้อน ซึ่งหมายความว่าปริมาณงานเปิดตัวได้อย่างรวดเร็วและยังคงตอบสนองแม้ในช่วงที่ปริมาณข้อมูลเพิ่มสูงขึ้น ไฟร์วอลล์ระดับองค์กร ผู้เช่าที่แยกออกมา และการแพตช์อย่างต่อเนื่องจะล็อคสแต็กโดยไม่ทำให้สิ่งใดช้าลง หากคุณต้องการซื้อก คลาวด์เซิร์ฟเวอร์ ที่ทำเครื่องหมายในช่องความปลอดภัยและความน่าเชื่อถือทั้งหมด ไม่ต้องมองหาที่ไหนอีกแล้ว!
