امنیت در رایانش ابری

در قلب هر برنامه موفق امنیت ابری یک استراتژی کاملاً مشخص تعریف شده است

سازمان‌هایی که به سمت ابر حرکت می­‌کنند با تعداد زیادی واژه مواجه می­‌شوند که بسیار گیج کننده است. مانند ابر هیبریدی، ارکستریشن ،PaaS، SaaS، IaaS و بسیاری از اصطلاحات دیگر، اما نکته مهم که معمولا فراموش می‌­شود امنیت سرویس­‌ها است.طبق تحقیقات 990 میلیون سرور ابری دارای تنظیمات نادرست و اشتباه هستند.علاوه بر تنظیمات نادرست ابر، برخی از نگرانی‌­های سازمان‌ها در محیط‌های ابری شامل موارد زیر است:

– ایجاد یک استراتژی امنیتی در محیط ابری

– کمبود تجربه و تخصص

– نیاز به تجهیزات امنیتی

– عدم دید متمرکز در  مدیریت تهدیدها و خطرات

– هزینه مازاد ابزارها در فناوری جدید

– حفظ سیاست‌های امنیتی در فضای خصوصی / عمومی

– موانع دریافت لایسنس برای دستگاه‌­های امنیتی

پرداختن به تمام این مسائل به طور هم زمان می‌تواند برای حل موثر مشکلات دشوار باشد. برای صرفه‌جویی در وقت و بهره‌وری بیشتر، باید موارد زیر را در نظر گرفت.

ایجاد استراتژی ابر

در قلب هر برنامه موفق امنیت ابری یک استراتژی کاملاً مشخص تعریف شده است که شامل معیارهای زیر است:

– ایجاد یک پایه امنیتی برای محیط‌های ابری

– درک این نکته که داده‌های مهم کجا و چیست و چه کسانی به آنها دسترسی دارند

– شناسایی سیستم‌های امنیتی مطابق با سرویس‌­ها

– تعریف امنیت مناسب برای سرویس و تنظیمات ابزار امنیتی مطابق آن

– منطقی سازی مجموعه کنترل‌های مناسب برای تأمین این الزامات

– ساخت یک نقشه راه و اجرای قدم به قدم آن

انتخاب سرویس ابری مناسب

انتخاب یک CSP مناسب این امکان را می‌­دهد تا بتوان به راحتی نقشه راه امنیتی را ایجاد و اجرا کرد. ادمین باید بتواند به سهولت دسترسی افراد به محیط ابری را کنترل کند.

برای انتخاب CSP مناسب سوالات زیر را در مورد سرویس انتخابی باید بررسی کرد.

آیا ارائه دهنده خدمات ابری تنظیمات امنیتی مناسب نقشه راه  شما را در اختیار دارد؟

چگونه می‌توانید تنظیمات امنیتی خود را با سرویس های ارائه شده در ابر ادغام و یکپارچه کنید؟

چگونه می­‌توان تنظیمات امنیتی جدید در  ابر را بر روی داده­‌های خود اجرا کنید؟

پس از بررسی کردن این سوالات باید نسبت به خطرات رایج در کشور و منطقه هاستینگ خود تحقیقات لازم را انجام دهید. در کشورمان ایران می‌توانید از داده‌های مرکز ماهر استفاده کنید و سیستم خود را نسبت به خطرات شناسایی شده امن سازی کنید. همچنین استفاده از دستگاه­‌های بومی یا منبع باز می‌­تواند تاثیر بسزایی در روند امنیت شما داشته باشد.

مدیریت صحیح تنظیمات ابری

بعد از ایجاد  نقشه راه نوبت آن است که تنظیمات ابری را مدیریت کرد. بررسی مداوم هشدارهای سازمان‌های امنیتی مانند مرکز ماهر یا CIS شما را در این امر یاری می‌­کند اما همراهی تیم متخصص امنیت در این راه بسیار مفید است و در صورت عدم داشتن تیم همراه مناسب سرویس های شما در معرض خطر بیشتری قرار می‌­گیرد. رعایت نکات زیر می­‌تواند شما را در مدیریت صحیح یاری برساند.

– کنترل سرویس‌­ها و منابع ابری به صورت real-time

 – ایجاد آیین‌نامه امنیتی برای دسترسی به محیط ابری برای جلوگیری از نقض برنامه امنیت

– سخت گیری در اجرای امنیتی بدون در نظر گرفتن رابطه

– پیشبینی امنیتی و مدیریت ریسک در حوادث غیرمترقبه

محیط کاری در ابر

در سیستم‌های ابری ایجاد کانتینر علاوه بر ساده‌سازی سیستم‌ها و نصب راحت آن‌ها مشکلاتی به همراه دارد که باید مراقب آن‌ها بود. استفاده از image های معتبر می‌­تواند خطرات ناشی از استفاده از کانتینر را کاهش دهد. برای داشتن یک کانتینر مناسب با نقشه امنیتی موارد زیر را باید بررسی کرد:

-ایجاد، آزمایش و اعتبارسنجی image

– رجیستری برای ذخیره‌سازی image

– ارکستراتیو برای بازیابی کانتینری که برای راه اندازی سرویس استفاده می­‌شود

– سیستم عامل میزبان و مدیریت آن

بعد از بررسی موارد فوق می­‌توان به راحتی از کانتینرها در سیستم‌های هیبریدی یا مالتی کلود استفاده کرد. بعد از ارزیابی و استراتژی دقیق، باید خدمات ادغام، طراحی و پیاده سازی و همچنین مدیریت در حال انجام را برای تمام مراحل چرخه عمر کانتینر در نظر گرفت. وقتی این قابلیت‌ها در دسترس باشد، مزایای امنیتی زیر  برای Red Hat OpenShift ،Kubernetes ، Docker و سایر سیستم عامل‌های کانتینر ایجاد شده است.

– وضعیت امنیتی تقویت شده در سرویس‌های موجود در ابر

– سرویس‌های امنیتی مدیریت شده در محیط های ابر هیبریدی

– کمک برای ایجاد کانتینر مناسب مطابق با دستور العمل­‌ها در محیط­‌های کانتینری

– مدیریت یکپارچه سیستم‌­های امنیتی و سرویس‌­ها

DevSecOps و امنیت برنامه

تیم‌های توسعه عمدتاً بر تولید سریع برنامه‌های کاربردی و جدید برای مصرف کنندگان تمرکز دارند و تیم های عملیاتی برای اطمینان از یک سیستم پاسخگو و پایدار کار می‌کنند. داشتن ارتباط قوی بین این تیم­‌ها می‌تواند همزمان کیفیت و سرعت را به ارمغان آورد. اما داشتن یک تیم متخصص امنیت می­‌تواند مولفه‌­های امنیتی  را در برنامه بررسی و تایید کند و آسیب پذیری‌­های شما را به صفر برساند. البته اگر تیم برنامه‌نویسی و امنیت شما از سطح خوبی برخوردار نباشند باید منتطر حمله روز صفرم باشید.

برای دستیابی بیشتر اهداف مهم این تیم‌ها، شما باید تغییر فرهنگ به روش‌های DevSecOps را در نظر بگیرید. DevSecOps مجموعه تلفیقی از اقداماتی است که ترکیبی از فرهنگ، فرآیند و فناوری را برای شما ایجاد می‌کند.

با افزودن DevSecOps و شیوه‌های توسعه امن به برنامه­‌های کاری خود، می‌توانید از موارد زیر بهره مند شوید:

– ایجاد فرهنگ چابک سازی،سریع و کارآمد در بین کارمندان در مواجهه با خطرات امنیتی

– اتوماسیون سازی فرآیندها برای افزایش سرعت، امنیت و پایداری

– تشویق برای نوآوری،‌که حلقه بازخورد و همکاری منجر به افزایش استقلال و استقرار امن می‌شود

نتیجه

با توجه به مدرن شدن فرآیندها و حرکت به سوی دنیای ابری تمامی سازمان‌ها خواه و ناخواه مجبور به ابری کردن سامانه‌های خود هستند. این مهاجرت با وجود تمام مزایایی که در پی دارد اما نباید ازخطراتش نیز غافل شد. طبق آمار در سالیان اخیر حمله هکرها به سمت سرورهای ابری گسترش زیادی یافته است. هر چند میزان امنیت نسبت به متدلوژی‌های گذشته افزایش یافته، اما ایجاد امنیت باعث تداوم کسب وکار است. سازمان‌ها سعی بر آن دارند با رویکردی مناسب  از اطلاعات و سرویس‌های خود محافظت کنند.
در پایان انتخاب مناسب یک خدمات دهنده ابر اولین قدم در مسیر امن دنیای اینترنت است. تیم ابر زس مفتخر است که همراه همیشگی مشتریان و کاربران خود بوده است و در بسیاری از موارد توانسته مشکلات امنیتی کاربران را برطرف سازد.