Не все облака одинаково полезны, или что не так с Microsoft Azure
Многие считают, что качество решений корпоративного уровня от лидеров рынка всегда на высоте. Однако в реальности крупнейшие производители не всегда выпускают продукты лучшего или хотя бы просто хорошего качества. Пример — облако Microsoft Azure со слабой кастомизацией гостевых ОС, потребители которого вынуждены использовать небезопасные методы аутентификации. В этом материале мы расскажем о проблеме и ее возможных последствиях.
Chris Hardy / Unsplash
Что такое гостевые ОС и зачем их кастомизировать в облаке
Гостевая операционная система, или Guest Operating System, — это ОС, которую устанавливают на виртуальную машину. Принцип инсталляции у нее такой же, как и у основной операционной системы. Единственное отличие — взаимодействие с виртуализированными сущностями аппаратного обеспечения, а не с физическими. Так как виртуализация максимально повышает унификацию устройств, видимых гостевой операционной системой, компании быстро пришли к использованию «облачных образов виртуальных машин». К ним относятся шаблоны, представляющие из себя виртуальную машину, в которой уже выполнена установка гостевой операционной системы. Для их использования достаточно изменить адреса сетевых интерфейсов, сменить пароль суперпользователю и, опционально, добавить новых пользователей. Все эти шаги занимают ничтожно малое время по сравнению с установкой гостевой операционной системы с нуля в каждую виртуальную машину.
Как правило, кастомизация выполняется автоматически при первом включении виртуальной машины.
Причина популярности Microsoft Azure
Microsoft Azure — облачная платформа, предоставляющая инструменты для хранения информации, вычислений, разработки и развертывания облачных приложений. Ей принадлежит 19% рынка облачных сервисов и эта доля постоянно увеличивается.
Большую часть клиентов Microsoft Azure составляет малый и средний бизнес. Чаще всего Microsoft Azure используют как среду для быстрой разработки сервисов и приложений. Причины ее популярности — в известности компании Microsoft, простых и привычных решениях, а также в размещении серверов в разных частях мира.
Azure позволяет пользователям создавать собственные виртуальные машины и размещать в них приложения или системы. У Azure есть функции автоматического масштабирования виртуальных машин и балансировки нагрузки для лучшего распределения трафика.
Taylor Vick / Unsplash
Что не так с Microsoft Azure: проблемы и последствия
Многие считают, что облачный сервис от известного производителя — это гарантия отсутствия серьезных проблем. Однако так бывает далеко не всегда.
Причина в том, что предварительные базовые настройки по умолчанию могут обеспечить только минимальный уровень безопасности. Если не поменять их, компания рискует стать жертвой кибератаки из-за уязвимостей в своей инфраструктуре. По данным Gartner, причиной большей части успешных атак злоумышленников стала именно неправильная конфигурация облачных сервисов. Например, одно из уязвимых мест Microsoft Azure — система кастомизации гостевых операционных систем.
Какие предустановленные настройки потенциально небезопасны, рассказал эксперт по облачным технологиям и кибербезопасности, автор книги Azure Security Карл Отс:
- незащищенные публичные эндпоинты (шлюзы, соединяющие серверные процессы приложения с внешним интерфейсом) повышают риск несанкционированного доступа к данным извне. Как изменить настройки безопасности можно прочитать здесь;
- сломанная аутентификация (сломанный контроль доступа или эскалация привилегий, которые позволяют злоумышленнику попытаться получить контроль над учетной записью) возникает из-за неэффективной проверки авторизации для определения привилегий доступа пользователей;
- отсутствие данных в журнале логирования. Речь идет о не просто недостаточном логировании, а о его полном отсутствии. Большинство сервисов Azure не сохраняют эти данные по умолчанию;
- использование устаревших ключей доступа. С помощью этих ключей можно создавать новые токены, удалять или создавать данные.
Также к рискам, связанным с неправильной конфигурацией облака, относятся:
- возможность получить доступ к хранилищу из интернета повышают риск несанкционированного доступа и утечки данных;
- отсутствие многофакторной аутентификации для присоединения устройств может привести к подключению потенциально вредоносных устройств, которые смогут получить доступ к ресурсам организации.
Поэтому важно заменить изначальные настройки от производителя на собственные. Однако безопасная настройка Microsoft Azure требует специальных знаний и понимания экосистемы платформы.
Fatos Bytyqi / Unsplash
К чему приводит низкий уровень безопасности Microsoft Azure?
Весной 2022 года Microsoft рассказала об уязвимости в Azure Automation, через которую киберпреступники могли получить доступ к учетным записям пользователей Azure и контроль над чужими ресурсами и данными. Уязвимость была устранена, а Microsoft отчиталась, что не обнаружила доказательств неправомерного использования учетных записей.
3 месяца назад Microsoft призналась в неправильной конфигурации пула серверов облачной системы Microsoft Azure, повлекшую масштабную утечку данных клиентов. Злоумышленники раскрыли данные (в том числе имена, email, содержание почтовой переписки, название компании, номера телефонов) 548 000 пользователей. Эксперты считают, что в открытый доступ могли попасть 2,4 Тб данных, в том числе относящихся к интеллектуальной собственности. Данная утечка коснулась 65 000 компаний из 111 стран.
Правда, сама корпорация Microsoft считает, что масштабы инцидента сильно преувеличены, а служба безопасности не выявила признаков того, что учетные записи или системы клиентов были скомпрометированы.
По словам представителей корпорации причиной ошибки стала неправильная настройка конечного шлюза, который не используется в экосистеме Microsoft. Все они были исправлены.
Ранее в этом году компания уже сообщала об уязвимости обхода проверки подлинности в Jupyter Notebooks для Azure Cosmos DB и о критических уязвимостях в облачном сервисе, которые удалось устранить. Они позволяли злоумышленникам получить доступ к клиентским базам данных PostgreSQL.
Данная ситуация говорит о том, что далеко не всегда продукты корпоративного уровня от лидеров рынка будут иметь превосходные характеристики и высокий уровень безопасности. Не стоит полностью полагаться на известного производителя и его настройки по умолчанию, особенно применяемые к платформенным (PaaS) и программным (SaaS) сервисам. Иногда решения молодых российских компаний могут оказаться не менее продуманными и эффективными, чем продукты гигантов рынка, в первую очередь за счет отсутствия принуждения формата использования продукта.
Полный текст статьи читайте на Компьютерра
