Mover servicios a la nube

Digo que estás interpretando la nube como una instancia "basada en el inquilino" en la que estás en un servidor alojado, con cientos de otras compañías. Este no es siempre el caso. Usando AWS como ejemplo, o Softlayer, puede lanzar sus instancias y usar los mismos principios para bloquear las cosas. Por ejemplo, active una ACL de firewall SOLAMENTE permitiendo conexiones a su instancia desde las fuentes que desee.

He tenido problemas con la entrega de claves de reinos a proveedores de la nube. Una cosa que nunca hago es confiar en casi todo lo que dicen. Voy a bloquear mis instancias de la misma manera que lo haría si estuvieran físicamente presentes. El mayor problema que tengo, incluso con ese modelo, es que la gente falla, los servicios fallan, entonces, ¿estoy dispuesto a aprovechar esa oportunidad?

Piensa en lo siguiente, creas una instancia y la bloqueas hasta el grado N. Un empleado de Softlayer no autorizado toma una instantánea de su invitado de ESX y lo exporta. Nunca lo sabrías sin importar lo que pongas en tu invitado. Esto no quiere decir que alguien de Softlayer u otra compañía lo haría, pero existe esa posibilidad. Estás a merced de otra organización, y esperas que estén en la cima de su juego con respecto a la seguridad. QUE en sí mismo es ridículo teniendo en cuenta la cantidad de empresas que han sido violadas.

Entonces, para mí ... Si hubiera lanzado un servidor de chat, seguro, estaría encriptado en el cable, en tránsito, en el registro externo, con bloqueo completo como todo lo demás. ¿Me gustaría decir que mis bases de datos almacenan cosas de misión crítica? No, gracias. Eso es solo yo.

A su primer punto, sí, puede haber un mayor riesgo. Dependiendo de lo que busque un atacante, un proveedor en la nube es un gran objetivo. Usted puede potencialmente obtener mucha información jugosa sobre objetivos o incluso materiales de autenticación. Un gran ejemplo de esto es la violación de MongoHQ, que resultó en un Buffer comprometido, ya que habían almacenado sus tokens de acceso sin cifrar.

La buena noticia es que si está transfiriendo servicios a servicios de terceros, probablemente tenga más recursos para revisar a estos proveedores. Obviamente, como todo, no hay una bala de plata, pero he encontrado un buen éxito con los proveedores de auditoría antes de aceptar pagarles. Lo importante es que este proceso sea liviano, pero como eres un profesional de la seguridad, estoy seguro de que es una de las primeras cosas en tu mente. Los procesos que implican fricción a menudo no se siguen.

He tenido mucha suerte con la creación de una pregunta de 20 o más para preguntar a los posibles proveedores de la nube. Preguntar cosas como la forma en que está estructurado su equipo de seguridad (oh, no tienes uno, gracias por jugar), cómo realizan la seguridad operativa, los estándares a los que se adhieren, etc. pueden ayudarte a elegir.

El proceso debe ser transparente y permitirle calificar cada categoría y dar una calificación general. Esto es importante para sus usuarios internos para que comprendan por qué no pueden almacenar sus datos importantes en el entorno de un proveedor con una calificación deficiente. Sus políticas de clasificación de datos pueden ser diferentes a las mías, pero básicamente no usaría un proveedor con una puntuación baja con datos confidenciales. Si están alojando un directorio de la empresa que es solo fotos e información de contacto, tal vez el riesgo no sea tan grande. Si están alojando sus registros de chat, lo que señala correctamente podría contener información confidencial, querría que estuvieran más abotonados.

Usted tiene la comodidad de que cuando su proveedor de nube se vea comprometido, o se bloquee, estará en compañía de muchos otros.