مهاجرت به فناوری ابری و چالش های حفاظتی آن

امروزه کمپانی ها با سرعت بالایی فرآیندهای خود را کم و بیش به محیط ابریِ مقیاس پذیر، منعطف و قابل اطمینان منتقل می کنند. اوایل امسال، یک گزارش از اتخاذ ابر منتشر شده توسط کمپانی Oreilly اظهار داشت که بیش از 88 درصد پاسخ دهندگان فناوری ابری را در بیش از یک شکل استفاده می کنند و 25 درصد از آنان قصد دارند در سال 2021، تمامی فعالیت های کمپانی شان به پلتفرم ابری منتقل شود. این گزارش همچنین نشان داد که تعداد بالاتری از کاربران ابر (61 درصد) از یک سیستم ابر عمومی استفاده می کردند، در حالی که 39 درصد، ترکیبی از زیرساخت های فرضی و ابر را به کار بردند.

نتیجه این گزارش، افزایش تمایل به خدمات و فناوری ابری عمومی را نشان می دهد، بازاری که چشم انداز روشنی دارد؛ زیرا به صورت افزایش رشد در چندین تحقیق بازار مشاهده شده است.

بر اساس گزارشی صورت گرفته توسط کمپانی تحقیقاتی Gartner، بازار جهانی خدمات ابر عمومی قرار است به 266.4 میلیارد دلار برسد و رشد سالانه 17 درصدی را داشته باشد.

افزایش علاقه به تنظیمات ابری، در میان فرهنگ رو به تکامل کسب و کار به دلیل استفاده از دور کاری و مدل BYOD (استفاده از سیستم شخصی برای کار)، با نگرانی در مورد حفاظت سیستم های ابری و مدیریت هویت، تحت تأثیر قرار می گیرد.

ارتباط حفاظت ابر با مدیریت هویت

باید گاهی اوقات به مفهوم هویت، از منشور زیرساخت های ابری نگاه شود. این مفهوم در زیر چتر مدیریت هویت و دسترسی (IAM) قرار می گیرد که مسئولیت اعطای دسترسی مناسب به کاربران را با توجه به نقش و جایگاهی که دارند در زمان های مختلف بر عهده دارد.

اگرچه کمپانی ها کارهای مهم و داده های به دست آمده از زیرساخت های IT خود را به پلتفرم های ابر منتقل می کنند، اما باید مدیریت هویت و دسترسی را نیز اتخاذ کنند تا امنیت اپلیکیشن های واقع در ابر و داده های حساسشان را ارتقا دهند؛ زیرا ممکن است افراد مختلف از دستگاه های گوناگون در یک منطقه جغرافیایی وسیع به آن دسترسی یابند. اتخاذ استراتژی هایی با یک بار ورود به سیستم و ابر چندگانه، برای انجام کارها به شکلی روان و بی وقفه، مسائل مربوط به هویت افراد و سیستم هایی که به داده ها از ابر دسترسی پیدا می کنند را پیچیده تر می کند.

در اینجا نگاهی بیندازیم به برخی از خطرات حفاظتی مربوط به محیط های ابری:

ضعیف بودن ساختار و استراتژی حفاظت ابر

کمپانی ها با قاطعیت در حال اتخاذ فناوری ابری عمومی هستند تا به کسب و کاری آینده نگر دست یابند. با این حال، آنها اغلب موفق نمی شوند یک چارچوب و استراتژی حفاظتی کارآمد برای مبارزه با تهدیدات و حملات روزافزون سایبری راه اندازی کنند.

بر اساس فهرست تهدیدات سایبری Imperva، در بازه زمانی بین مارس تا آوریل 2020، افزایش 7.5 درصدی در حملات وب برخواسته از ابرهای عمومی وجود داشت و بیشتر این حملات ناشی از این دو سیستم ابر عمومی رایج بودند:  Amazon Web Services  یا AWS و Microsoft Azure.

ربودن حساب کاربری

اکانت های سرویس ابر یا اکانت های مشترک، بیشترین آسیب پذیری را در محیط های محلی ابری دارند و سرقت اعتبارات، سوءاستفاده از راهکارهای مبتنی بر ابر و حملات فیشینگ، خطر ربودن اکانت یا حساب کاربری را افزایش می دهد.

نا امن بودن رابط های کاربری و API ها

مشتریان اغلب به API ها و رابط کاربری های نرم افزاری اپلیکیشن ها و فناوری ابری مورد استفاده برای مدیریت بهتر خدمات ابری شان، دسترسی می دهند. با این حال، حفاظت ناکافی و ضعیف در رابط های کاربری مختلف می تواند موجب آسیب پذیر شدن در برابر حملات اتفاقی یا عامدانه شده و خطرات امنیتی جدی را برای سیستم به همراه خواهد داشت.

ناکافی بودن کنترل و نظارت

استفاده از اپلیکیشن های مبتنی بر ابر غیر مجاز و سوءاستفاده از راهکارهای مبتنی بر ابر مجاز، هر دو، اقداماتی پر خطر هستند که ممکن است کارکنان در حین انجام وظایفشان، در آنها افراطی عمل کنند. عدم توانایی در داشتن کنترل کامل، قابل مشاهده بودن سرمایه های ابری و جریان داده ها می توانند منجر به قرار گرفتن داده ها در معرض خطر و سوءاستفاده یا دستکاری داده ها یا فرآیندهای کاری شوند. به علاوه، اتخاذ استراتژی های ابر چندگانه نیز می تواند قابل مشاهده بودن و کنترل روی داده ها را محدود کند.

ضعیف بودن هویت و سیستم مدیریت دسترسی

ناکافی بودن مدیریت هویت، دسترسی و اعتبارات، دلیل اصلی بیشتر حملات سایبری و نشت داده ها شده است. سازمان هایی که نمی توانند هویت افراد و سیستم ها را به درستی ایجاد، تأیید و به روز رسانی کنند و قوانین صدور مجوز دسترسی داده ها را برای کاربران در نقش های مختلف تعریف نمی کنند، در معرض خطر جدی حملات سایبری قرار دارند.

روش هایی برای کاهش خطرات حفاظت سایبری

استفاده از احراز هویت چند عاملی برای تکمیل فرآیند صدور مجوز، به بیش از یک مدرک احراز هویت نیاز دارد. این کار باعث می شود که هویت کاربر با ترکیب اعتبارات با پسورد های موقتی یک بار مصرف یا ارسال پیام به دستگاه های رجیستر شده، مورد تأیید قرار گیرد.

اتخاذ سیاست حداقل امتیاز:  کمپانی ها باید روش ها، اطلاعات و داده های مهم برای کسب و کار مبتنی بر پارامترهای مختلف را طبقه بندی کنند که در راستای سیاست ها و فعالیت های روزانه شان است. اکسس کنترل مبتنی بر نقش نیز می تواند به کار رود تا تنها به کارکنان مجاز در سطوح، نقش ها و دپارتمان های مختلف با دسترسی به داده ها و فرآیندهای لازم اجازه دسترسی دهد. لزومی ندارد که دسترسی غیر ضروری داده شود؛ زیرا می تواند هم در داخل و هم خارج از سازمان مورد سوءاستفاده قرار گیرد.

دسترسی شرطی: کمپانی ها می توانند شرایط از پیش تنظیم شده ای را اِعمال کنند که می تواند به مدیریت دسترسی به داده ها و اطلاعات ارزشمند تنها در صورت داشتن شرایط مشخص، کمک کند؛ بنابراین از کاربران می خواهد تا خود را با یک سیستم تأیید دو مرحله ای احراز هویت کنند که در صورت عدم تأیید، دسترسی آنان پذیرفته نخواهد شد.

هویت به عنوان یک سرویس (IDaaS): کمپانی ها باید فناوری IDaaS را نیز به کار بگیرند که عموماً راهکارهای مدیریت هویت توسط کمپانی های دیگر روی ابر هستند و طیف وسیع تری از مدیریت دسترسی، هویت و مشخصات هوشمند را برای خدمات ابری و IT شبکه ای پوشش می دهند.

نتیجه گیری

تلفیقی از استراتژی ها، ابزارها و اجزای IAM (مدیریت هویت و دسترسی) همراه با افزایش آگاهی میان کارکنان در مورد خطرات مختلف حفاظت سایبری و اهمیت بهترین اقدامات مدیریت داده ها می توانند به توسعه یک سیستم حفاظتی کامل و عالی برای مشاغل مبتنی بر ابر کمک کنند.