Новости

Symantec исследовала распространенные ошибки при использовании облачной инфраструктуры

05.05.2015
Symantec исследовала распространенные ошибки при использовании облачной инфраструктуры
01.05.2015 компания Symantec опубликовала отчет «Ошибки в облачной инфраструктуре, ставящие под угрозу ваши данные» («Mistakes in the IaaS cloud could put your data at risk»), в котором проанализированы распространенные ошибки администрирования при использовании облачной инфраструктуры.

Эксперты компании исследовали безопасность облачной модели «инфраструктуры как услуги» (Infrastructure-as-a-Service, IaaS) и обнаружили порядка 16 тысяч доменов облачных сервисов, содержащих более 50 открытых директорий, в которых хранились 11 тысяч общедоступных файлов. Файлы содержали адреса электронной почты, имена и пароли пользователей, данные финансовых операций.

Кроме того, выявлены многочисленные случаи хранения маркеров доступа (англ. «аccess token»), идентифицирующих пользователей облачного хранилища, в общедоступном исходном коде.

В отчете выделены следующие угрозы безопасности облачной инфраструктуры:
  1. Ненадежные интерфейсы программирования приложений (Application Programming Interface, API).
  2. Угрозы от внутреннего нарушителя (по данным компании, 8% утечек данных, зафиксированных в 2014 году, связаны с действиями внутренних нарушителей).
  3. Распределение ресурсов. Уязвимости в отдельных компонентах облачного хранилища могут привести к компрометации всей инфраструктуры.
  4. Отказ в обслуживании. Использование одним клиентом всех облачных ресурсов может затруднить работу других пользователей данного облачного хранилища.
  5. Потеря данных. Несмотря на возможности резервного копирования, программный сбой или внешняя компьютерная атака могут привести к потере всех данных, хранящихся в облачном хранилище.
  6. Кража учетных записей, предоставляющих доступ в облачное хранилище. Украденные учетные записи реализуются по цене $ 7-8 на «черном рынке» и используются для осуществления компьютерных атак, размещения вредоносных программ или создания управляющих серверов бот-сетей (command-and-control server, C&C).
Для обеспечения безопасности данных специалисты рекомендуют компаниям, использующим облачные технологии, соблюдать следующие меры:
  1. Применение двухфакторной аутентификации.
  2. Шифрование данных.
  3. Проведение регулярных проверок уязвимостей.
  4. Ведение протокола событий.
  5. Проверка соответствия услуг, предоставляемых провайдером, необходимым требованиям и правилам хранения данных.