As principais formas de garantir a segurança dos dados nas nuvens
De acordo com o relatório da empresa de pesquisa americana Gartner, até 2020 devido a configurações incorretas e processos de negócios não otimizados, os casos de vazamento de informações de nuvens públicas aumentarão para 80%. Portanto, as empresas que usam serviços em nuvem precisam pensar em aumentar a segurança agora.
Neste artigo, examinaremos mais de perto as cinco maneiras mais populares de proteger dados na nuvem: criptografia, monitoramento de infraestrutura, restrições de acesso a dados, backups e planos de recuperação de desastres.
Mas antes disso, estatísticas interessantes:
- 64% das empresas consideram os sistemas em nuvem mais seguros do que os sistemas locais;
- 75% adotam medidas adicionais para garantir a segurança;
- 61% criptografam seus dados;
- 52% introduziram uma política de controle de acesso aos sistemas de informação;
- 48% realizam verificações regulares dos sistemas de informação quanto ao cumprimento dos requisitos de segurança.
Criptografia
Para garantir a segurança, você deve implementar uma política de criptografia específica. Mas criptografar todos os dados não faz sentido - nesse caso, as desvantagens associadas aos processos de criptografia superarão todas as vantagens possíveis. Portanto, você precisa descobrir quais dados estão na nuvem e para onde o tráfego está indo e, em seguida, decidir quais deles precisam ser criptografados. Para o uso efetivo da criptografia, é necessário comparar o custo de implantação de tais medidas e possíveis perdas por vazamento de informações. Além disso, você deve analisar como a criptografia afetará o desempenho dos sistemas de informação.
A proteção de dados pode ser realizada em diferentes níveis. Por exemplo, todos os dados que os usuários enviam para a nuvem podem ser criptografados usando algoritmos de criptografia de bloco. O próximo nível é a criptografia de dados em um sistema em nuvem, que tem três maneiras:
A primeira é criptografar independentemente os dados no computador e enviá-los para a nuvem. Assim, você pode fazer cópias de backup de qualquer projeto. Paralelamente, vale a pena baixar arquivos criptografados ou contêineres de criptografia para um disco rígido externo, pois há exemplos em que dados de armazenamento em nuvem não confiável são excluídos permanentemente sem o consentimento do proprietário.
Se houver muitos arquivos, você poderá usar serviços que criptografam dados antes de enviá-los para a nuvem. Alguns deles até criptografam cabeçalhos de arquivos. Assim, se os invasores obtiverem acesso à nuvem, não apenas o conteúdo do arquivo, mas também seu nome não estará disponível para eles.
Um desses serviços é BoxCryptor. A principal vantagem do Boxcryptor é o suporte para serviços populares de armazenamento em nuvem, como Dropbox, Google Drive, OneDrive, Box, Amazon, iCloud Drive. O serviço também suporta todas as plataformas populares, incluindo iOS e Android sistemas operacionais móveis. O produto possui uma versão gratuita, mas possui algumas limitações. Por exemplo, você pode trabalhar com apenas uma nuvem. A versão paga permite criptografar nomes de arquivos e funciona com um número ilimitado de provedores de nuvem.
Monitoramento de infraestrutura
Os invasores quase sempre podem encontrar uma maneira de invadir um sistema. Portanto, para evitar ameaças, é necessário garantir que os ataques não se espalhem para outros sistemas vulneráveis. Isso é possível se você bloquear conexões não autorizadas entre fluxos de trabalho e evitar solicitações de conexão perigosas.
Existem muitos produtos no mercado para monitoramento de infraestrutura que permitem obter uma visão completa da atividade da rede: ver todos que se conectam à rede e definir regras para os usuários (o que usuários específicos podem fazer e quais direitos de acesso devem ter).
Os sistemas de monitoramento também permitem obter estatísticas para cada usuário e eventos e ameaças relacionados. Serviços como o Zscaler permitem o envio de logs para o sistema SIEM de um cliente para receber relatórios que incluem dados de várias fontes. O Zscaler fornece aos usuários uma coleção de logs predefinidos e personalizados. Inclui os seguintes tipos de relatórios:
- Relatórios Executivos (um breve relatório de segurança para os gestores, incluindo o número de ameaças detectadas ou violações de regras por um determinado período);
- Relatórios interativos;
- Relatórios Agendados (distribuição regular de relatórios padrão e personalizados);
- Relatório de Pontuação de Risco da Empresa (cálculo de uma avaliação de risco para uma empresa incluída no pacote Business and Transformation, e disponível mediante taxa para o pacote Professional);
- Comparação de pares do setor (compare o desempenho do uso do Zscaler em sua organização e em outras organizações do seu setor);
- Relatório de Auditoria do Sistema (relatório do sistema sobre o status dos túneis GRE, arquivos PAC, etc. Se houver problemas, o relatório dará recomendações sobre como corrigi-los);
- Relatório de Auditoria da Política de Segurança.
Restringir o acesso aos dados
Muitos já estão acostumados com o fato de cada usuário fazer login no sistema de informações com seu nome de usuário e senha. Normalmente, os dados de senha são armazenados como um hash em um banco de dados de forma fechada. Para evitar o roubo de uma sessão de usuários autorizados, o hash de login e senha é verificado no carregamento de cada página do sistema. Em caso de erro de autenticação, o usuário sairá automaticamente. Mas além do sistema tradicional de proteção por meio de login e senha, os serviços em nuvem oferecem vários outros métodos de proteção de informações.
Recentemente, um modelo de segurança baseado em função (também chamado de controle de acesso baseado em função) tornou-se difundido. Este modelo é baseado na identificação do usuário por meio de um login. Quando um usuário é identificado, funções e decisões são automaticamente atribuídas a ele.
Um modelo de controle de acesso baseado em função está em conformidade com as políticas de segurança adotadas por várias organizações. Permite organizar recursos como hierarquia de funções e separação operacional de funções.
O Controle de Acesso Baseado em Função (RBAC) considera todas as informações como pertencentes a esta organização. Nesse sistema, os usuários não podem transferir direitos de acesso às informações para outros usuários. Esse sistema é baseado em uma decisão de acesso baseada em informações sobre uma função que um usuário desempenha dentro de uma determinada organização com base em sua função.
A definição de associação e a distribuição de autoridade para uma função em um sistema de controle de acesso baseado em função não depende do administrador do sistema, mas das políticas de segurança adotadas no sistema. Uma função pode ser entendida como o conjunto de ações que um usuário ou grupo de usuários pode usar. O conceito de função inclui uma descrição de responsabilidades, responsabilidades e qualificações. As funções são atribuídas às funções pelo administrador do sistema. O acesso à função também é determinado pelo administrador do sistema.
A política de funções permite distribuir a autoridade entre as funções sob suas funções oficiais, e a função do administrador é complementada por poderes especiais que permitem ao administrador controlar a operação do sistema e gerenciar a configuração. Os direitos dos usuários comuns são limitados ao mínimo necessário para executar programas específicosrams.
O número de funções no sistema pode não corresponder ao número de usuários reais - um usuário, se tiver responsabilidades diferentes que exigem privilégios diferentes, pode cumprir várias funções e vários usuários podem usar uma função se realizarem o mesmo trabalho.
Sistemas em nuvem, como o Amazon EC2, fazem uso extensivo do RBAC para ajustar o acesso do usuário final aos recursos. O Microsoft Azure também usa o RBAC para controle de acesso aos recursos da nuvem. Portanto, como exemplo, damos algumas ações que podem ser executadas usando o RBAC:
- conceder a um usuário permissão para gerenciar máquinas virtuais em uma assinatura e outro - para gerenciar redes virtuais;
- conceder permissão ao grupo de DBA para gerenciar bancos de dados SQL em uma assinatura;
- conceder ao usuário permissão para gerenciar todos os recursos no grupo de recursos, incluindo máquinas virtuais, sites e sub-redes.
Backup de dados
Os aplicativos executados na nuvem são protegidos apenas até certo ponto. As histórias aparecem periodicamente como um ou outro provedor de nuvem não confiável que apagou máquinas virtuais ou arquivos armazenados. Para proteger totalmente os dados gerados por aplicativos em nuvem, você precisará fazer backup no data center do cliente (DPC) ou em outra nuvem.
Em cenários de pequena escala, os usuários podem copiar arquivos, por exemplo, do Office 365 para um volume local ou uma unidade externa. Mas este é um processo manual que pode não ser confiável e difícil de dimensionar.
Para arquivos grandes e aplicativos maiores, esses cenários são muito raros. As empresas que usam a nuvem baseada em IaaS podem usar as interfaces do sistema de aplicativos (APIs) fornecidos por provedores de nuvem para desenvolver seu software de backup ou software de backup de terceiros para servidores locais, armazenamento conectado à rede (NAS) ou data center próprio.
Os backups de nuvem para nuvem prometem aos negócios várias vantagens em relação aos backups locais, incluindo custos de infraestrutura mais baixos, backup e recuperação mais rápidos e maior flexibilidade.
Como parte do serviço de backup na nuvem, os usuários podem fazer backup de dados importantes (arquivos, bancos de dados, configurações do sistema operacional) na nuvem. Para fazer isso, eles instalam agentes especiais para fazer backup dos dados dos aplicativos necessários. A presença de agentes permite garantir a integridade dos dados no backup, e a própria transferência dos dados reservados é realizada via Internet via VPN Canais.
Plano de Recuperação de Desastres
O Plano de Recuperação de Desastres ajuda a proteger seus negócios contra interrupções na infraestrutura de TI e possíveis perdas de dados.
Um plano de restauração tradicional envolve a criação de um local de backup, de preferência em outra área ou mesmo cidade. Para sua organização, é necessário adquirir o mesmo conjunto de equipamentos do site principal, fornecer a infraestrutura do site e adquirir software de backup. Nesse caso, o custo de criação e manutenção de um site de backup pode ser igual ao custo do site principal. Isso significa que até 50% de todo o orçamento de TI pode ser usado para garantir a continuidade dos negócios. Enquanto o serviço de backup em nuvem oferece a capacidade de aumentar ou diminuir rapidamente o volume de consumo e não requer capidespesas totais.
