Конфигурация облака — новая поверхность атаки

Ключевое отличие облачной инфраструктуры от on-premise — появление нового, критически важного слоя управления: конфигурации облака. На первый взгляд всё выглядит знакомо: безопасность по-прежнему зависит от публичности ресурсов, политик доступа и прав пользователей. Однако управление ими теперь осуществляется через консоль провайдера или код, а контроль над этим слоем требует принципиально нового подхода.

Параметры безопасности во многом те же, но управлять ими стало сложнее. Требуются не разовые проверки, а постоянный автоматический контроль. Вот почему следить за этими настройками нужно тщательнее, чем в on-premise:

1. Эти настройки формируют новый периметр. В облаке проще случайно или намеренно вывести ресурс в публичный доступ, а некоторые сервисы (например, объектные хранилища) изначально имеют интерфейс для внешнего взаимодействия. Их уже нельзя «спрятать» за корпоративным фаерволом.
2. Шире круг ответственных и выше риск ошибки. Часто к облачной консоли имеют доступ не только администраторы, но и разработчики, DevOps-инженеры. Человеческий фактор и нехватка знаний могут привести к критической для безопасности ошибке.
3. Среда динамична. Ресурсы постоянно создаются и меняются, что делает ручной аудит неэффективным.

Однако при миграции в облако зачастую этот слой управления становится «слепой зоной». Компании просто не задумываются о том, что его нужно контролировать. Поэтому со временем почти в каждой облачной среде, где не выполняются регулярные автоматизированные проверки, накапливаются ошибки, способные привести к масштабному инциденту.

Даже одна неверная настройка может открыть злоумышленнику доступ к вашей инфраструктуре из любой точки мира и позволить ему удалять виртуальные машины, нарушать работу систем, похищать данные. Поэтому контроль конфигурации облака критически важен для защиты облачной инфраструктуры.

Безопасность облака начинается с его правильной конфигурации.

Исследования и отчёты называют ошибки в настройке облака — мисконфигурации — главной причиной инцидентов в облаке и основным фокусом внимания для ИБ-команд:

• В отчете Cloud Security Alliance «Главные угрозы облачным вычислениям» за 2024 г. мисконфигурации и недостаточный контроль изменений заняли первое место среди главных угроз, поднявшись с третьего места всего за два года.
• Как прогнозирует Gartner, к 2026 году 60% организаций будут рассматривать предотвращение мисконфигураций как приоритет в обеспечении облачной безопасности, по сравнению с 25% в 2021 году.

Основные причины мисконфигураций:

• Дефицит опыта и информации. Многие ИБ-команды, даже с большим опытом работы с on-premise, не обладают достаточными знаниями о специфических рисках и лучших практиках для настройки облачных сервисов и не до конца осознают критичность контроля конфигурации.
• Высокая сложность среды. Современное облако — это сотни взаимосвязанных ресурсов разных типов: виртуальные машины, контейнеры, объектные хранилища, базы данных, кластеры Kubernetes, пользователи, роли и т.д. Удержать в голове все зависимости и корректно настроить каждый компонент вручную почти невозможно.
• Человеческий фактор. Облако является средой самообслуживания, и зачастую ресурсы разворачиваются разработчиками или инженерами, чей фокус — функциональность, а не безопасность. Без встроенных автоматических проверок ошибки — по невнимательности или в погоне за «быстрым решением задачи» — становятся неизбежными.

К каким проблемам могут привести мисконфигурации?

Итак, в облаке IAM становится новым периметром безопасности, а мисконфигурации — главным источником рисков. Последствия атак, эксплуатирующих ошибки в настройках облачной среды, нередко носят масштабный характер. Злоумышленники могут украсть или удалить конфиденциальную информацию, уничтожить всю облачную инфраструктуру, парализовав работу компании, или использовать ваши ресурсы для майнинга.

Кейсы взломов из-за мисконфигураций

Как избежать инцидентов из-за ошибок конфигурации облака?

Поскольку контроль конфигурации облака является критически важным, а модель разделения ответственности возлагает эту задачу на клиента, а не на провайдера, вам необходимо самостоятельно выбрать подходящие для этого инструменты и осуществлять мониторинг на постоянной основе.

Традиционные инструменты безопасности (антивирусы, NGFW, IPS), разработанные для on-premise, работают на уровне сети и хостов. Они не видят слой конфигурации облака и, соответственно, пропускают связанные с ним риски. Например, они не обнаружат пользователя IAM с избыточными привилегиями, публичный доступ к данным или неиспользуемую учётную запись.

Для контроля облачной конфигурации существуют три основных подхода:

3. Система управления состоянием безопасности облака CSPM (Cloud Security Posture Management) лучший выбор. Система автоматически и непрерывно сканирует облачную инфраструктуру, проверяет настройки на соответствие политикам безопасности и сигнализирует о нарушениях.

• По данным глобального исследования Fortinet «State of Cloud Security Report 2025», 67% компаний и организаций внедрили или планируют внедрить CSPM, чтобы устранять ошибки конфигураций и нарушения требований.
• Прогноз Gartner: предложение CSPM будет расти. К 2027 году 80% вендоров будут включать CSPM в платформы облачной безопасности, тогда как в 2022 году таких компаний было 50%.

CSPM лишена всех недостатков других подходов, так как она:

• Проверяет актуальное состояние всей инфраструктуры.
• Автоматически обнаруживает риски, независимо от способа создания ресурсов (вручную или через код).
• Не требует постоянного ручного анализа потоков логов.

CSPM — это эффективный подход, но не все продукты на рынке одинаково хорошо решают вопрос с контролем конфигурации облака. Некоторые инструменты, предлагаемые как вендорами, так и облачными провайдерами, часто страдают от общих недостатков:

• Нельзя создавать собственные правила и стандарты. Без возможности создавать собственные правила и стандарты вы не сможете автоматизировать аудит на соответствие внутренним политикам и требованиям вашей организации.
• Поддержка только одного облака. Если инструмент поддерживает только одно облако, он ограничивает вашу стратегию. Компании с высокой цифровой зрелостью обычно работают с несколькими провайдерами. Если вы внедрите такое решение, а потом добавите новое облако, окажется, что нужен другой инструмент и придётся начинать внедрение заново.
• Неправильная приоритизация рисков из-за изолированности. Это главная проблема таких CSPM. Используя их отдельно от других инструментов безопасности, вы не сможете увидеть полную картину рисков и выявить критические пути атаки. Ведь чаще всего причинами инцидентов становятся не единичные ошибки в настройках облака, а их опасные комбинации с другими угрозами: уязвимостями, секретами в открытом виде или вредоносной активностью. Из-за них злоумышленник не только проникает в облако, но и свободно перемещается в нём, нанося максимальный ущерб.

Для комплексной защиты облачных сред нужна единая платформа облачной безопасности — CNAPP (Cloud-Native Application Protection Platform). Cloud Advisor — ведущее в России решение данного класса. С 2020 года он защищает крупнейшие облачные инфраструктуры, решая ключевые задачи безопасности в рамках одного продукта.

CSPM от Cloud Advisor устраняет недостатки базовых решений, предлагая готовый набор критически важных функций:

• Автоматический аудит на соответствие лучшим практикам. Проверка по более чем 1200 правилам, основанным на отраслевых стандартах и лучших практиках. Помимо обнаружения мисконфигураций система также даёт рекомендации по их устранению.
• Гибкость под внутренние требования. Вы можете создавать собственные правила и стандарты для автоматизации аудита на соответствие внутренним требованиям вашей организации.
• Готовые отчёты для аудиторов. Формирование отчётов о соответствии стандартам (ФСТЭК, ФЗ-152, PCI DSS, CIS и др.) в пару кликов.
• Единое окно для мультиоблака. Поддержка основных российских и международных провайдеров (Cloud.ru Advanced/VMware, Yandex Cloud, Т1 Облако, Selectel, Ростелеком, OXYGEN, MWS, VMware Cloud Director, Huawei Cloud, AWS, Azure, Google Cloud) на единой панели.

Cloud Advisor — это не только CSPM. Платформа также осуществляет поиск уязвимостей, вредоносного ПО, секретов в открытом виде и содержит другие инструменты безопасности. Анализируя связи между всеми выявленными рисками, она находит критические пути атаки, наглядно показывая, как злоумышленник может скомпрометировать вашу инфраструктуру. Это позволяет корректно расставить приоритеты и сфокусироваться на устранении реальных угроз безопасности.

Выводы и рекомендации

1. Конфигурация облака — краеугольный камень облачной безопасности.По данным исследования Cloud Secuirty Alliance, мисконфигурации являются угрозой № 1 для облачной безопасности, поэтому необходимо постоянно отслеживать корректность настроек облачной среды.
2. Автоматизируйте контроль. Отслеживать мисконфигурации вручную в динамичной облачной среде невозможно. Вам необходимы специализированные инструменты для непрерывной и автоматической проверки настроек. Наиболее эффективны для контроля конфигурации облака решения класса CSPM, которые снижают число инцидентов в среднем на 70%.
3. Выбирайте CSPM-решение правильно. Полноценный инструмент предлагает следующие возможности:
   • Позволяет создавать собственные правила безопасности, учитывающие уникальные требования и внутренние политики вашего бизнеса.
   • Поддерживает мультиоблачную среду. Выбирайте CSPM, которое поддерживает несколько облачных платформ. Тогда при подключении нового провайдера вам не придется внедрять новое решение.
   • Выявляет критичные риски, создаваемые комбинациями угроз. Для этого CSPM-решение должно получать данные от других инструментов, таких как сканер уязвимостей. Наилучший результат показывает CSPM в составе платформы CNAPP (Cloud-Native Application Protection Platform, платформы для защиты облачной инфраструктуры и приложений), такой как Cloud Advisor.