Контроль периметра в публичном облаке

Итак, наличие NGFW не гарантирует защиту облачной инфраструктуры. Публичность ресурсов здесь определяется также их конфигурацией, и если контролировать только сеть или только настройки публичности — риски сохраняются. Необходима защита по обоим направлениям: сетевая фильтрация и непрерывный контроль настроек облачных сервисов.

1. Контроль политик управления доступом (IAM)
   Анализируют настройки сервиса IAM (Identity and Access Management). Выявляют избыточные привилегии, устаревшие учётные записи и другие нарушения лучших практик безопасности (не ротируемые ключи, отсутствие MFA и т.п.).
2. Полную инвентаризацию публичных ресурсов
   Автоматически обнаруживают все публично доступные ресурсы — базы данных, виртуальные машины, бакеты, API Kubernetes-кластеров, облачные функции — и поддерживают их актуальный список.
3. Контроль и анализ групп безопасности (Security Groups)
   Контролируют правила групп безопасности и выявляют слишком широкие правила сетевой фильтрации для предотвращения несанкционированного доступа извне.
4. Анализ реальной публичной доступности
   Проверяют не формальные признаки (наличие публичного IP), а всю цепочку сетевой связности. Это позволяет выявить публичные ресурсы за балансировщиками нагрузки и DNAT — те, что не видны при поверхностной проверке, но фактически доступны из интернета. При анализе также учитываются правила групп безопасности, которые могут как разрешать, так и блокировать трафик до конечного ресурса, даже если сетевая связность формально установлена.

CSPM работают в реальном времени: непрерывно контролируют конфигурацию облака, уведомляют о появлении рисков и дают рекомендации по их устранению.

Однако у изолированной CSPM есть ограничение: она видит только вершину айсберга, присваивая одинаковый уровень опасности всем публичным ресурсам — независимо от их «внутреннего» состояния. Оценивая риски лишь по одному параметру, такие решения не способны выстроить цельную картину угроз, без которой невозможна их корректная приоритизация.

Cloud Advisor — единая платформа для безопасности в публичном облаке, #1 CNAPP (Cloud-Native Application Protection Platform) в России — устраняет этот недостаток. Вместо изолированных проверок она объединяет данные о рисках безопасности со всех слоёв облачной инфраструктуры: ошибки конфигурации, уязвимости, вредоносное ПО, секреты в открытом виде, избыточные права и т.д. Именно полнота контекста позволяет Cloud Advisor выявлять критические пути атаки и определять реальные угрозы безопасности.

Пример:

В инфраструктуре появляются две виртуальные машины с публичными IP-адресами:

ВМ 1: без уязвимостей, с корректными настройками доступа, без секретов.

ВМ 2: с критической уязвимостью и секретом от бакета объектного хранилища.

Изолированная CSPM увидит только то, что обе машины стали публично доступны, и присвоит событиям одинаковый приоритет.

Cloud Advisor видит иначе. Получив данные от сканера уязвимостей, он распознаёт опасную комбинацию: «публичный доступ + уязвимость + секрет». Такая машина мгновенно выделяется как критическая угроза:

Результат: команды ИБ получают мгновенную картину реальных рисков, экономят часы на ручном анализе предупреждений и фокусируются на том, что действительно требует внимания.

Выводы и рекомендации

• Полагаться только на NGFW в облаке опасно: — Во-первых, из-за «теневого» периметра: разработчики могут назначать публичные IP ресурсам в обход согласований и мгновенно выводить их на внешний периметр. — Во-вторых, многие ресурсы (S3-бакеты, API-шлюзы, облачные функции и т.д.) технически невозможно разместить за сетевым экраном — их безопасность определяется исключительно настройками их конфигурации. — В-третьих, управление инфраструктурой идёт через публичные API провайдера напрямую, минуя любую сетевую фильтрацию.
• Чтобы защитить периметр в публичном облаке, необходим двусторонний подход: сетевая фильтрация (NGFW и/или группы безопасности) плюс непрерывный контроль конфигурации облака. Решения класса CSPM (Cloud Security Posture Management) автоматизируют эту задачу: они выявляют публичные ресурсы, анализируют группы безопасности и контролируют политики IAM.
• Максимальный эффект даёт использование CSPM в составе платформы CNAPP, такой как Cloud Advisor. Анализируя данные со всех слоёв облачной инфраструктуры — от конфигурации облака до уязвимостей и вредоносного ПО на ВМ и в контейнерах, — Cloud Advisor выявляет не просто риски, а реальные пути атак. В результате вместо потока разрозненных оповещений вы получаете чёткий список критических угроз, которые требуют немедленного реагирования.

Оставьте заявку на демонстрацию и пилотный доступ, и эксперты Cloud Advisor покажут, как платформа помогает защищать динамический периметр облачной инфраструктуры.