Při pitvání příčin narušení aplikací a datových sad v cloudu jsou problémy často vystopovány v komunikaci. A často to nejsou problémy s komunikací mezi počítači, ale komunikace mezi lidmi, kteří navrhují cloudové systémy, a těmi, kteří jsou pověřeni jejich zabezpečením.
Aplikace využívajících moderní mechanismy, jako jsou kontejnery, Kubernetes a mikroslužby, často ignorují chyby zabezpečení, které odkrývají. Analogií, kterou rád používám, je, že architekti navrhují tu nejlepší inteligentní budovu, jakou svět zná, ale neinstalují do ní zámky. Zámky měly být do budovy zabudovány během jejího návrhu a neměly být předmětem dodatečné poznámky, jímž často ve světě zabezpečení cloudového systému bývají.
Podstatou tohoto problému je nedostatek osvědčených postupů a standardů, od kterých se mohou lidé, kteří navrhují tato cloudová nativní řešení, odrazit. Teprve teď začínáme vnímat určité instrukce, které umožňují týmům architektury a zabezpečení lépe koordinovat standardy a osvědčené postupy.
Příkladem nově vznikajících osvědčených postupů a standardů by mohly být ty, které vyvinula pracovní skupina Application Containers and Microservices Working Group, patřící pod organizaci Cloud Security Alliance. Ty vývojářům aplikací a architektům, stejně jako komukoli odpovědnému za zabezpečení kontejnerů aplikací a mikroslužeb, nabízejí opakovatelný přístup k navrhování, vývoji a nasazování vzoru architektury mikroslužeb.
Stručně řečeno, tato sada pokynů vám řekne, jak mít mikroslužbu, která bude fungovat nezávisle a bude komunikovat s jinými mikroslužbami. Mikroslužby se vyvinuly a staly se běžnou aplikační součástí síťově nových cloudových systémů. Součásti aplikace by se samozřejmě neměly stát útočnými vektory pro nějakého hackera, který zjistil, jak využívat mikroslužby. Design se zde setkává s bezpečností.
Cílem je úzká koordinace mezi těmi, kteří navrhují a vytvářejí cloudové nativní aplikace (s mikroslužbami nebo bez nich), a těmi, kteří jsou zodpovědní za zabezpečení. Hodně z toho z kultury IT zmizelo, protože bezpečnostní týmy se po přijetí nové technologie, jako jsou mikroslužby, cítí nepříjemně překvapené. Vývojářské týmy zároveň cítí tlak na inovativnější a hodnotnější využití cloudové nativní technologie na podporu podnikání. Musíme dělat obojí.
-
Vytvořte kulturu těsné koordinace a komunikace mezi týmy cloudové architektury a cloudového zabezpečení.
-
Podporujte používání standardů a osvědčených postupů pro architekturu a zabezpečení.
-
Propagujte neustálé a neustálé zlepšování jak cloudové nativní architektury, tak nejlepších bezpečnostních postupů a technologií.
Je to docela jednoduché, řekl bych. Mám však podezření, že v příštích několika letech budu zažehnávat boje mezi aplikačními a bezpečnostními týmy. Musíte mi v tom pomoct.
PŘEDPLATNÉ
ČLÁNKY DO MAILU