Почему традиционные решения не подходят для управления уязвимостями в публичном облаке?

Традиционные средства защиты, требующие установки агентов или настройки SSH-доступа к каждому хосту, а также сетевые сканеры, работающие по принципу «чёрного ящика», изначально создавались для статичной и предсказуемой инфраструктуры.

В облаке всё иначе. Бизнес выбирает его за скорость, гибкость и возможность мгновенного масштабирования. Но у этих преимуществ есть и обратная сторона: облако формирует принципиально новую, высокодинамичную среду, для защиты которой традиционные инструменты технически не предназначены.

На практике это выражается в следующих проблемах:

1. Отставание защитного ПО от скорости изменения среды. В облаке ресурсы (ВМ, контейнеры) могут жить всего несколько дней. Новые активы создаются постоянно, но далеко не всегда на них разворачиваются ИБ-агенты или заводятся учетные записи для SSH-доступа, необходимые для сетевого сканирования. В результате значительная часть инфраструктуры остаётся непокрытой.
2. Необходимость организовывать и поддерживать сетевую связность. Чтобы сканер «дотянулся» до ресурса, инженерам нужно открывать порты, настраивать маршруты, управлять правилами файрвола. В облаке поддержка связности становится отдельной задачей. Любое изменение сети рискует вывести часть инфраструктуры из зоны видимости сканера, создавая «слепые зоны» в покрытии.
3. Высокая совокупная стоимость владения (TCO). Внедрение традиционных инструментов требует серьёзных операционных затрат: инженерам приходится пересобирать образы систем, устанавливать агенты, заводить сервисные учётные записи и настраивать сетевую связность. В результате время высокооплачиваемых ИБ- и ИТ-специалистов уходит на рутинную поддержку решения. Кроме того, сами агенты потребляют ресурсы CPU и RAM. Если в on-premise это было не так критично, то в облаке вы платите провайдеру за каждый занятый гигабайт памяти и ядро процессора.
4. Снижение производительности. Агенты (а их может быть несколько — по одному от каждого из вендоров: VM, EDR, AV и др.) на каждой ВМ могут заметно снижать общую производительность инфраструктуры и приводить к зависанию ВМ.
5. Увеличение поверхности атаки. Сетевые сканеры создают риски из-за необходимости аутентификации (иногда с правами администратора) и активных сетевых подключений. Агентские решения снижают сетевые риски, но требуют установки программного агента на каждый хост, а агент, как любое ПО, может сам содержать уязвимости. Это создаёт новые точки входа и повышает риск компрометации инфраструктуры: если злоумышленник взломает сам инструмент защиты, он получит полный контроль над ресурсом.
6. Отсутствие информации о других рисках безопасности в облаке. Изолированный сканер осуществляет поиск только уязвимостей и не видит контекста ресурса в облаке*: его сетевую связность, публичную доступность, риски бокового перемещения и т.д.

Масштаб проблемы с покрытием подтверждают цифры: по данным внутренней аналитики Cloud Advisor, до 95% ВМ в облаке остаются без установленных традиционных инструментов защиты — таких как антивирус или средства управления уязвимостями.

Как управлять CVE-уязвимостями на скорости облака: современный подход

Чтобы защитить облако, безопасность должна двигаться с его скоростью. Эту задачу решают специализированные решения класса CNAPP (Cloud-Native Application Protection Platform).

Одна из ключевых особенностей таких решений — технология безагентного сканирования. Инструмент проверяет не сами ВМ и контейнеры, а снимки их дисков (снапшоты). Такой подход гарантирует 100% покрытие динамичной среды без операционных затрат на их поддержку — без установки агентов, без заведения учётных записей и без настройки сети.

1. Через API облачного провайдера автоматически создаётся снимок диска ВМ или контейнера.
2. Снимок передаётся в изолированный сканер, работающий в периметре пользователя, который проводит глубокое сканирование: выявляет уязвимости ПО, ищет вредоносный код, проверяет конфигурацию ОС, обнаруживает секреты (ключи, пароли) в открытом виде, контролирует целостность файлов (FIM) и т. д.
3. После завершения анализа снимок диска удаляется.

Чтобы наглядно показать разницу в характеристиках и возможностях традиционных и cloud-native сканеров уязвимостей, мы подготовили сравнительную таблицу ниже.

Сравнение методов поиска уязвимостей (видов сканеров)

Безагентный подход с анализом снапшотов решает проблему покрытия, но не отвечает на вопрос «что устранять в первую очередь?». И здесь на помощь приходит CNAPP. Решения этого класса проводят комплексный анализ безопасности инфраструктуры в публичном облаке и предоставляют полную картину рисков. Это позволяет приоритизировать угрозы с учётом всего контекста облачной среды.

Cloud Advisor: безагентное сканирование и точная оценка критичности уязвимости с учётом контекста

Подход к управлению уязвимостями, сочетающий безагентное сканирование снапшотов с приоритизацией рисков, учитывающей полный контекст облачной среды, реализован в Cloud Advisor — #1 CNAPP в России:

• Безагентная технология DiskScan обеспечивает 100% покрытие и автоматическое сканирование новых ресурсов при их появлении в инфраструктуре без дополнительных действий со стороны ИТ- и ИБ-команд.

  «Я не могу себе представить более быструю схему работы с уязвимостями, чем сейчас. От Cloud Advisor невозможно спрятаться: всё, что появляется в инфраструктуре, сразу начинает сканироваться. Даже если DevOps создаст “временную” виртуальную машину для тестовых целей — сразу после запуска она будет проверена»

  Максим Мисюра, директор по информационной безопасности Doma.ai

  Читать также: История успеха: Как Doma.ai сократила время на поиск и анализ уязвимостей в публичном облаке более чем в 10 раз

• Информация о рисках безопасности от других модулей, входящих в состав CNAPP, помогает выявлять критические пути атаки и корректно приоритизировать угрозы.

  Как контекст облачной среды помогает в триаже уязвимостей?

  При анализе рисков, связанных с найденными уязвимостями, Cloud Advisor учитывает не только CVSS-оценку, но и наличие публичных эксплойтов. Помимо этого, платформа предлагает следующий уровень приоритизации угроз — учёт контекста актива, включая анализ его доступности из интернета.

  

  Так, уязвимость, найденная на публично доступной машине с группой безопасности, разрешающей неограниченные подключения, будет иметь больший приоритет, чем та же уязвимость, найденная на машине, не имеющей доступа в интернет.

  В результате ИБ-команда получает не разрозненный список из тысяч CVE-уязвимостей, требующий ручного анализа, а короткий перечень угроз, которые необходимо устранить в первую очередь.

Больше, чем управление уязвимостями

Важно отметить, что возможности Cloud Advisor выходят далеко за рамки управления CVE-уязвимостями. Подключая платформу, вы получаете единый центр безопасности для комплексной защиты инфраструктуры в публичном облаке. Она позволяет решать широкий спектр задач информационной безопасности в рамках одного продукта:

• контролировать конфигурацию облака: публичность ресурсов, наличие шифрования и т.д.;

• контролировать IAM — Identity and Access Management: пользователи, права, роли;

• обеспечивать безопасность Kubernetes;

• защищать рабочие нагрузки: осуществлять поиск уязвимостей, вредоносного ПО, секретов в открытом виде, контролировать целостность файлов и проводить другие проверки.

Обладая полной картиной всего происходящего в облаке, Cloud Advisor выявляет токсичные комбинации обнаруженных рисков и строит критические пути атаки. Это позволяет ИБ-команде сосредоточиться на устранении реальных угроз безопасности и не тратить время на анализ бесконечного потока алертов от разрозненных инструментов.

Выводы и рекомендации

1. Управление уязвимостями — важнейший компонент безопасности облачной инфраструктуры.
   

   Согласно отчёту Google Cloud, эксплуатация уязвимостей в ПО — это вектор атак №1 для начального проникновения в инфраструктуру.

2. Традиционные средства управления уязвимостями в облаке малоэффективны.
   

   Агенты и сетевые сканеры созданы для статичной инфраструктуры. Они не обеспечивают приемлемого покрытия в облаке, где ресурсы часто существуют всего несколько дней и нередко создаются без участия ИБ.

3. Для эффективного управления CVE-уязвимостями в облаке необходим переход к cloud-native решениям.
   

   Современный подход строится на двух принципах:

   • Безагентное сканирование снапшотов.

     Через API облачного провайдера создаются снимки дисков, на которых выполняется поиск уязвимостей. Благодаря этому можно обходиться без агентов и сетевых сканеров, которые влияют на производительность продуктивных систем и увеличивают поверхность атаки. Кроме того, такой метод гарантирует 100% покрытие всех ВМ в инфраструктуре.

   • Контекстный анализ.

     Уязвимости приоритизируются не изолированно (по оценке CVSS), а в связке с другими рисками безопасности в облаке: публичной доступностью ресурса, избыточными правами IAM, ошибками конфигурации и т. д.

Выстраивайте защиту облачной инфраструктуры комплексно. Используйте платформу Cloud Advisor, чтобы получить полную картину безопасности вашего облака в рамках одного продукта: от управления уязвимостями до контроля конфигурации облака.

Хотите увидеть, как это работает в вашей инфраструктуре? Приходите на демо и запускайте пилотное тестирование.