Главная мысль
Проверяйте сетевой поток, владельца ресурса и то, кто и с какого устройства обращается к приложению. Метка «частная подсеть» не подтверждает безопасность: проверяйте маршруты и средства контроля.
Что даёт VPC
VPC — это логически изолированная сетевая область в публичном облаке. Вы задаёте диапазоны адресов и подсети, настраиваете таблицы маршрутизации и сетевые фильтры. Техническая изоляция провайдера не заменяет проектирование сети для ваших приложений: трафик нужно разрешать и ограничивать средствами конкретного провайдера.
Адреса и подсети
Заранее спланируйте диапазоны IP-адресов; при необходимости разделите уровни приложений, данных и управления по подсетям. Для гибридного соединения проверьте отсутствие пересечений с существующими адресами.
Маршруты и соединения
Проверьте таблицу маршрутизации каждой подсети, пути выхода через интернет-шлюз или NAT, а также VPN- или выделенные частные соединения. Отсутствие внешнего IP-адреса не означает, что все пути наружу закрыты.
Правила трафика и журналы
Разрешайте входящий и исходящий трафик только для необходимых источников, назначений, портов и протоколов. Проверяйте изменения правил и направляйте журналы потоков и безопасности ответственным командам.
Выбор публичного и частного облака
Выбор между публичным и частным облаком — это не выбор между «безопасно» и «небезопасно». Учитывайте требования рабочей нагрузки, нужный уровень контроля, опыт команды, полную стоимость и сетевые связи. Больше контроля в частной среде означает и больше операционной ответственности.
| Критерий | Публичное облако | Частное облако |
|---|---|---|
| Инфраструктура | Общие физические ресурсы провайдера; клиенты логически изолированы. | Ресурсы выделены одной организации; размещение возможно внутри неё или у провайдера. |
| Управление | Провайдер управляет базовой инфраструктурой; клиент — сервисами и настройками. | Обязанности зависят от размещения; собственное частное облако может потребовать больше работы внутренней команды. |
| Что проверить | Расположение данных, идентификация, параметры сервиса и доступ провайдера. | Полная стоимость владения, устойчивость, обслуживание, обновления и восстановление. |
Пример трёхуровневой структуры VPC
В типичном приложении публичный трафик поступает на балансировщик нагрузки, затем по ограниченным правилам передаётся серверам приложений, а база данных принимает соединения только от уровня приложения. Это пример проектирования; в конкретном облаке определяйте публичную и частную подсети по маршрутам и поведению адресов.
Создайте входной уровень
Разместите балансировщик или шлюз, принимающий только необходимый интернет-трафик; не открывайте порты администрирования всему интернету.
Ограничьте уровень приложения
Разрешите входному уровню обращаться к экземплярам приложения только по необходимым портам. Для обновлений и администрирования определите отдельный контролируемый путь.
Изолируйте уровень данных
Не назначайте базе данных публичный адрес. Ограничьте сетевые подключения разрешённым уровнем приложения и проверяйте его учётные данные при доступе к базе. Отдельно проверьте резервное копирование и восстановление.
Проверьте весь путь
Проверьте разрешённые и запрещённые потоки, подтвердите фактические маршруты и события журналов, повторяйте тесты после изменений.
Контроль облачных приложений с помощью CASB
Cloud Access Security Broker (CASB) — это категория решений и подходов, которая применяет политики между пользователями и облачными приложениями. В зависимости от приложения CASB может анализировать трафик через прокси, проверять хранящиеся данные через API-интеграцию или сочетать оба метода. Не все продукты поддерживают все методы и меры контроля; проверьте охват приложений и технические ограничения до выбора.
Учёт используемых приложений
Определите утверждённые и неутверждённые SaaS-приложения, используемые для работы, типы аккаунтов и способы обмена данными. Уточняйте результаты обнаружения у владельцев процессов: неизвестное приложение не всегда означает вредоносную активность.
Политики данных
Настройте правила передачи, загрузки и хранения чувствительных файлов с учётом возможностей API или анализа трафика конкретного приложения. Проверьте, в каких приложениях действительно работают DLP, карантин и блокировка.
Пользователь и контекст
При решении о доступе учитывайте пользователя, управляется ли устройство организацией, местоположение, выполняемое действие и способы обмена данными. Документируйте исключения, записывайте действия в журналы и согласовывайте правила с ответственными за бизнес-процессы.
Учитывайте границы контроля
CASB не обеспечивает автоматическую видимость всех облачных ресурсов и действий пользователей. Охват зависит от выбранных приложений, подключённых аккаунтов, разрешений API, зашифрованного трафика и метода интеграции. Используйте CASB вместе с защитой сети и конечных устройств, управлением доступом и проверкой облачных конфигураций.