Jó hír, jó hír, de ez relatív, mert egyáltalán miért is kell még mindig ezzel a nyavalyás felhővel szenvednünk, miért nincs már a történelem szemétdombján?

Tavaly már úgy tűnt, hogy végre elértük ezt a szintet, mivel már nemcsak arról volt szó, hogy nehezen szereznek új ügyfeleket a felhősök, hanem hogy a meglevőek is ezerrel menekülnek a cloudból.

"az informatikai vezetők 73%-a dolgozik azon, hogy a nyilvános felhőből egyes szolgáltatásokat visszavigyenek egy privát felhőalapú megoldásba vagy hagyományos adattárolókba (de csak 22% mondta azt, hogy több mint ötféle szolgáltatást mozgatnak vissza),"

Úgy tűnt, hogy végre vége, én is elkezdtem nem foglalkozni vele, de aztán a vírus történt. Nem számítógépes, hanem a koronavírus és sajnos sok cég abban látta a megoldást, hogy valami felhős sz@rsággal megvalósítsa a home office-t. Szerencsére, mint arról korábban írtam, sok ember aki először találkozott a felhő rémségével elborzadt, hogy... ez egy sz@rság, de sajnos összességében még így is jelentős életerő pumpálódott ebbe a zombiba, úgyhogy foglalkozni kell vele.

Mások is így gondolták és csináltak egy felmérést és ez azért is érdemel több figyelmet, mert nem magyarázza el a cikk háromszor, hogy azért vannak problémák a felhő terjedésével mert hülye vagy ( csak egyszer van tán ilyesmi ) és összességében tisztelettudó a felhasználóval szemben, szóval szinte tuti, hogy nem felhősök által készített, vagy szponzorált kutatásról van szó... vagy csak valakit felbéreltek, hogy szedje normálisan össze a dolgokat; de akárhogy is... nincsenek jó hírek a felhősök számára.

Ugye eleve ha igazak lennének a régi felhős cikkek, mostanra már rég mindenki megvilágosodott volna, hogy a felhő a legjobb, legbiztonságosabb leg... minden sz@r amivel etettek. De nem.

Lássuk hát az adatokat:

"A vállalatok kételyekkel szemlélik a nyilvános felhők biztonságosságát"

Vagyis csak a felhő legfőbb igéretével vannak gondok szerintük.

És persze jól gondolják, egy helyre összegyűjtenek mindenféle fontos céges adatokat... titkosszolgálatok ellopják pipa ( és továbbadják saját nagy cégeiknek az infókat ), kisebb szereplők  akiknek sikeres kísérletei bekerülnek olykor a hírekbe pipa. Kicsi-nagy mindenki a felhőket akarja kirabolni, olyan mintha egy kontinens minden kincsét egy bankrablással elvihetnék, ahol a bank fala csak fából van és a kamerák és a biztonsági emberek is vakok és süketek. Kicsi kockázat, hatalmas nyeremény. Ja és a felhős cégek sz@rhatnak a biztonságra, hisz mikor volt olyan, hogy kártérítést kellett volna adniuk, ami nem tartozott vicc kategóriába, márha persze volt valami egyáltalán?

Huhh... még csak a címnél tartunk.

"A Check Point Software Technologies Ltd. és a Cybersecurity Insiders, a kiberbiztonsággal kapcsolatos kérdések átfogó forrásául szolgáló közösség kiadták 2020-ra vonatkozó, globális felhőbiztonsági tanulmányuk (2020 Cloud Security Report) eredményeit, melyben hangsúlyozzák azon kihívásokat, melyekkel a nagyvállalatok biztonsági csapatainak kell szembenézniük a nyilvános felhőkben használt adataik és munkafolyamataik védelme során."

"A jelentés szerint a nyilvános felhőkkel kapcsolatos biztonsági kérdések továbbra is nagy kihívást jelentenek: a válaszadók 75%-a nyilatkozott úgy, hogy „nagyon aggódik” vagy „rendkívüli módon aggódik” miattuk. A kihívást még összetettebbé teszi, hogy 68% azt mondta, az általa képviselt szervezet kettő vagy több nyilvános felhőszolgáltatót is használ. Ez azt jelenti, hogy a biztonsági csapatnak több helyi biztonsági eszközt és menedzsment konzolt kell használnia a különböző környezeteknek való megfelelés miatt – írják a jelentés készítői."

Nem kell aggódni, nemet kell mondani a felhőre és máshogy megoldani a Home Office-t. A másik meg... mi ez, hogy biztonsági csapat kell?! Hát nem arról volt szó, hogy a felhő miatt nem is kellenek már informatikusok, a felhősök mindent megoldanak, akik... ráadásul a legjobbak. Jó, igen, tudjuk hogy ebből semmi se igaz, de azért nézzünk vissza a kezdetekre. Mindenesetre örülök a helyes reakciónak, ha az ember felhőt lát, fusson, fusson messzíre.

• "a nyilvános felhőkkel összefüggő, legnagyobb biztonsági veszélyek a válaszadók szerint: a felhőplatform hibás konfigurációja (68%) a 2019-es hasonló jelentésben betöltött harmadik helyről az élre ugrott. Ezt követi a jogosulatlan hozzáférés (58%), a nem elég biztonságos interfészek (52%) és a felhasználói fiókok eltérítése (50%)"

A legnagyobb veszély, hogy a felhős cég együttműködik nekünk idegen titkosszolgálatokkal és ellopják a cégünk és minden más benne levő cég fontos adatait. Abba kár is reménykedni, hogy ezt nem teszik meg. Snowdentől tudjuk, hogy arányaiban a legnagyobb titkosszolgálati munka épp ez, és a kémkedés megy szövetséges államok ellen is, de abba se reménykedj, hogy a kínaik, vagy az oroszok nem úgy járkálnak a felhőkben non-stop ahogy csak akarnak.

Csak egy példa, mert igazából nekik rengeteg más utuk is van... Tudjuk, hogy van olyan processzor sebezhetőség ami a felhőket kinyitja és... szoftveresen nem javíthatók és minden szervert le kellett volna cserélni, hogy megoldják a problémát, de nem tették:

"Mégsem lehet javítani a processzorok veszélyes biztonsági hibáit"

"Bár az Intel és más piaci szereplők is arról győzködték az elmúlt év során a nyilvánosságot, hogy a processzorokban felfedezett Spectre sebezhetőségeket a chipek cseréje nélkül is lehet javítani, ez a jelek szerint nincs így. Legalábbis ezt állítják a Google kutatói, akik alaposan megvizsgálták a szóban forgó gyengeségek sajátosságait, és azt állapították meg: pusztán szoftveres úton nem lehet a hibák kihasználását megakadályozni."

"A hatfős szakértőcsoport szerint a Spectre-sebezhetőségekkel szemben sem a programozási nyelvek és fordítók módosításai, sem az operációs rendszerek átalakításai nem képesek teljes védelmet nyújtani. A védett adatokhoz történő hozzáférést biztosító sebezhetőségeket megfelelő energiabefektetéssel ezek mellett továbbra is ki lehet használni."

"A kutatók különösen a Spectre 4-es variánsával kapcsolatban nyilatkoztak lesújtóan, aminek kihasználása ellen semmilyen eddig látott vagy elképzelhetőnek tartott megoldás nem tud védeni. A Google maga is megpróbált beépíteni a Spectre elleni védelmét pl. Chrome böngészőjébe is, de a mostani elemzés szerint ez is hiábavaló volt: ugyanis a védelem - miközben durván lassítja a böngésző működését - valójában nem képes a sebezhetőség kihasználását megakadályozni."

"A Google mérnökei szerint ennek ellenére az átlagfelhasználóknak nincs okuk aggodalomra, mert a sebezhetőségek kihasználása továbbra sem triviális - így az erre alkalmas kódokat vélhetően csak nagyon ritkán és célzott módon, kormányzati, katonai és banki szervek ellen fogják csak bevetni, nagy értékű támadások keretében."

"Végleges és teljes védelmet ugyanakkor a szakértők szerint csak új processzoroktól lehet várni, amik hardveresen is segítenek majd egymástól elválasztani az adatokat és a folyamatokat, és így a Spectre-jellegű támadások kivitelezését megakadályozni."

Vagyis mégegyszer... ha céged fontos dolgait a felhőben tartod, 100%-ban biztos lehetsz benne, hogy ellopják minimum a titkosszolgálatok és átadják ( ha van ) az infókat az ő országukban levő nagy versenytársaknak.

Ugyanezzel a veszéllyel egyenrangú, hogy sok más kisebb szereplő is megteheti, mondjuk egy rivális cég, titkosszolgálati segítség nélkül.

Na de haladjunk:

• "a bevezetéssel kapcsolatos legfontosabb biztonsági akadályok: legnagyobb problémaként a válaszadók a megfelelően képzett alkalmazottak hiányát nevezték meg (55%) – a tavalyi felmérésben ez még az ötödik helyen szerepelt. 46% említette a költségvetési korlátokat, 37% az adatvédelmi problémákat, 36% pedig a szervezet telephelyein működtetett biztonsági rendszerekkel való integráció hiányát"

Megintcsak... megfelelően képzett alkalmazottak hiánya. Dehát... a felhő miatt nem az van, hogy megszűnik a vállalati informatikusok posztja? Ehelyett valami nagyon hozzáértő emberek kellenek akiknek nem elég, hogy simán informatikusok. Dehát a felhővel könnyű, nem? Meg ott amúgy is zsenik vannak akik beállítanak nekünk mindent? Nos... nem. Üdv a valóságban! De amúgy a bezetéssel kapcsolatos legfontosabb biztonsági probléma az, hogy be akarják vezetni a felhőt, a legnagyobb akadály pedig a józan ész.

• "a meglévő biztonsági eszközök és a nyilvános felhők: 82% nyilatkozott úgy, hogy a hagyományos biztonsági megoldásaik vagy egyáltalán nem, vagy csak korlátozottan tudnak működni a felhő környezetekben – 2019-ben a válaszadóknak a 66%-a jelölte ezt meg problémaként, ami felhívja a figyelmet a felhő-biztonsággal kapcsolatos nehézségeknek az elmúlt 12 hónapban tapasztalt növekedésére"

Ez hazugság, ha már van felhő akkor elérted a biztonsági abszolútot... persze a valóságban csak nőnek a problémák.

• "a nyilvános felhő kockázatosabb: az adatkiszivárgás kockázatát a válaszadók 52%-a tekintette a nyilvános felhőkben nagyobbnak, mint a hagyományos, telephelyeken működő IT-környezetekben. Mindössze 17% gondolja alacsonyabbnak a kockázatot, míg 30% véleménye szerint ugyanakkora a kockázat mindkét környezet esetében"

Ez a megállapítás hazugság, a nyilvános felhő nem kockázatosabb. Az olyan nyilvános felhők amik összegyűjtenek több ezer vállalatot semmiféle bizonytalansággal nem bírnak: 100%, hogy minimum a titkosszolgálatok kirabolják. Tehát nincs kockázat, biztos tudat van, hogy ellopták amit ott találtak. Annak azért örülök, hogy a többség nem vette be ezt a sz@r dumát, hogy milyen biztonságos a felhő.

• "a felhőbiztonsági költségvetések növekedése: a szervezetek 59%-a számol azzal, hogy a következő 12 hónap során növekedni fog felhőbiztonsági költségvetése. A szervezetek átlagosan a biztonsági költségvetésük 27%-át allokáljak felhőbiztonságra"

Naná, hogy nőni fog a költsége; a felhő eredendően sz@r üzlet, ha az eredeti model szerint működne, vagyis alacsony áron, folyton fizetve kapnál szolgáltatást cserébe nem kell venned egybe egy terméket magas áron.  A felhő ma már baromi drága, és arra is rájöttek, hogyan lehetne még drágább: "A mesterséges intelligencia a felhőben lakik." Meg visszatérve a bevezetési problémákhoz... 46% a költségvetési korlátokat tartotta nehézségnek, miközben ugye a hivatalos duma, hogy jaj a felhő milyen olcsó, csak fillérekbe kerül, a kis cégek is simán ki tudják fizetni. Aztán persze ma már egyáltalán nincs így, régebben meg csak át akartak verni, vagy költségkalkuláció nélkül belevágtak a felhős cégek, pusztán hittek a "szolgáltatásban". Mindegy, ma már nincs olcsó felhő, főleg nem cégeknek...

"„A jelentés szerint a szervezetek felhőmigrációja és -alkalmazása előrébb jár, mint a biztonsági szakembereik lehetőségei a támadásokkal és az adatszivárgásokkal szembeni védelem terén."

Igen, erre elég csak megnézni a híreket, arról, hogy megint elloptak egy kontinensnyi felhasználói adatot például. Viszont... ez mindig így volt és így is lesz. Mindig ki fogják tudni rabolni a felhőket és meg is fogják tenni, ha oda értékes adatokat hordanak össsze. Ha csak annyi lenne, hogy mindneki felhő nélkül dolgozik, akkor már csak a cégek nagy száma miatt is sok cég adatához nem jutnának hozzá a titkosszolgálatok se, egyszerűen nem lenne elég kapacitásuk rá.

" Meglévő biztonsági megoldásaik csupán korlátozott védelmet nyújtanak a felhőkkel kapcsolatos fenyegetésekkel szemben, miközben szakembereik sokszor nem rendelkeznek a biztonsági és megfeleltetési folyamatok fejlesztéséhez szükséges szakértelemmel” – nyilatkozta a felmérést kommentálva TJ Gonen, a Check Point Software felhő termékvonal részlegének vezetője. "

Vagyis a felhő... nem biztonságos. Hány évet kellett várnom, hogy ezt lássam leírva, úgy hogy nem én írtam le. Micsoda élmény...

Á, de nem, most se kapom igazán meg 110%-ban az extázist, hisz a cikk szerint van megoldás és akkor már minden rendben lesz, magyarán eddig csak hazudtuk, hogy biztonságos a felhő, de van egy új parasztvakításunk ám:

"Annak érdekében, hogy át tudják hidalni e biztonsági hiányosságokat, a vállalatoknak a teljes, nyilvánosfelhő-környezetüket átfogó, holisztikus láthatóságra van szükségük, és egységesített, automatizált, felhőkre kifejlesztett védelmet, megfeleltetést és végrehajtást, valamint eseményanalízist kell használniuk. Ily módon tartani tudják a lépést üzletmenetük igényeivel, miközben gondoskodni tudnak a folyamatos biztonságról.”

Átfogó, teljes átláthatóság... dehát ez sohase lesz meg, hisz... a kibXXXX-t adatközpontok nem nálunk vannak, hát épp ez az!!!! Sőt még ha nálunk lenne se történne meg az abszolút kontroll, tehát, hasonló megoldást én is tudok mondani, íme:

Isten átadja nekem a hatalmat, hogy pusztán a szavak kiejtésével létrehozzam az abszolút biztonságos felhőt, ha ez teljesül akkor minden oké lesz, és biztonságos lesz a felhő, lépést tudunk tartani az üzletmenetünk igényeivel, miközben gondoskodni tudunk a folyamatos biztonságról.

"és egységesített, automatizált, felhőkre kifejlesztett védelmet, megfeleltetést és végrehajtást, valamint eseményanalízist kell használniuk."

Amiket aztán ugyanúgy, ahogy eddig minden más "szuper" védelem esetében a hackerek kijátszanak. Tehát nincs megoldásuk.

A megoldás, vagy legalábbis a jó irányba tett lépés: Mondj nemet a felhőre, legalábbis semmi fontos dolgod ne legyen benne!