Роль облачного доступа Брокеры безопасности (Casbs) Обеспечение гибридных облачных сред

Вызовы безопасности гибридного облака

Гибридные облачные среды объединяют локальные центры обработки данных с общедоступными облачными сервисами, такими как AWS, Microsoft Azure или Google Cloud. Хотя эта архитектура предлагает гибкость и оптимизацию затрат, она вводит значительные сложности в области безопасности. Данные перемещаются через несколько границ, пользователи получают доступ к ресурсам из различных мест и устройств, и каждый облачный провайдер имеет свои собственные средства управления безопасностью и форматы журналирования. Эта фрагментация часто приводит к непоследовательному обеспечению соблюдения политики и слепым пятнам, которые могут использовать злоумышленники. Организации должны управлять идентификацией и доступом через разрозненные системы, обеспечивать защиту данных во время транзита и в покое и соблюдать правила, которые могут по-разному применяться к локальным данным по сравнению с облачными данными.

Что такое Cloud Access Security Broker (CASB)?

Брокер безопасности облачного доступа (CASB) является точкой реализации политики безопасности, расположенной между потребителями облачных услуг и поставщиками облачных услуг. Gartner первоначально определил CASB как локальное или облачное программное обеспечение, которое опосредует доступ к облачным сервисам. Современные CASB превратились в всеобъемлющие платформы, которые обеспечивают четыре основных столпа: видимость , безопасность данных , защита от угроз и соответствие . Они работают в нескольких режимах развертывания - на основе API, прямого прокси, обратного прокси и встроенного - для решения различных сценариев использования и шаблонов трафика. Путем агрегирования журналов активности из нескольких облачных приложений и применения согласованных политик, CASB действуют как централизованный центр безопасности для гибридных сред.

Объясняются способы развертывания

• API-режим: CASB подключается непосредственно к API облачных сервисов (например, Microsoft Graph API, Google Workspace API) для проверки данных в состоянии покоя, мониторинга активности пользователей и обеспечения соблюдения политик, не требуя изменений сетевого трафика.
• Переходный прокси-режим: Пользователи маршрутизируются через CASB через конфигурацию или агента прокси. CASB может проверять весь исходящий трафик на облачные сервисы, блокировать вредоносный контент и применять правила предотвращения потери данных (DLP) в режиме реального времени. Этот режим эффективен для несанкционированных приложений, но требует конфигурации конечной точки и может вводить задержку.
• Обратный прокси-режим: CASB сидит перед облачными приложениями, перехватывая запросы пользователей. Он может обеспечивать контроль доступа на основе положения устройства, местоположения и идентичности до того, как трафик достигнет облачного провайдера. Этот режим часто интегрируется с поставщиками идентификаторов (IdPs) для одиночного входа (SSO).
• В режиме inline: CASB обрабатывает трафик в режиме реального времени, поскольку он перетекает между пользователями и облачными сервисами, часто в сочетании с безопасным веб-шлюзом (SWG).В режиме inline CASB могут проверять зашифрованный трафик, обнаруживать вредоносные программы и применять адаптивные политики.

Большинство корпоративных развертываний используют комбинацию режимов для покрытия всего облачного трафика — как управляемых приложений, подключенных к API, так и трафика, инициированного пользователем, для неуправляемых служб.

Критическая роль CASB в гибридной облачной безопасности

В гибридной среде политики безопасности должны охватывать как локальные активы, так и облачные сервисы без создания трений для пользователей. CASB преодолевают этот пробел, действуя как единый уровень правоприменения. Они проглатывают данные локальных брандмауэров, списков управления облачным доступом и поставщиков идентификационных данных для создания целостного профиля рисков. Например, CASB может обнаруживать пользователя, обращающегося к корпоративному SaaS-приложению с личного устройства за пределами корпоративной сети, затем обеспечивать повышение аутентификации или блокировать загрузку конфиденциальных файлов. Это последовательное приложение политики невозможно достичь с помощью изолированных инструментов безопасности.

Расширены ключевые функции

1. видимость во всех облачных сервисах

Теневая ИТ-технология - использование сотрудниками несанкционированных облачных приложений - остается главным риском безопасности. CASB обнаруживают и каталогизируют использование облачных приложений путем анализа сетевых журналов, расширений браузера или разъемов API. Они обеспечивают панель инструментов, показывающую, какие приложения используются, кем и с каких устройств. Эта видимость позволяет командам безопасности оценивать риск каждого приложения (например, инструменты совместной работы с низким риском по сравнению с сайтами совместного использования файлов с высоким риском) и принимать решение о блокировании, разрешении или мониторинге. В гибридном облачном контексте видимость распространяется на рабочие нагрузки, выполняемые в средах IaaS, таких как виртуальные машины и контейнеры, гарантируя, что помечены неправильные конфигурации или публичная экспозиция ведер хранения.

2. Безопасность данных и DLP

CASB классифицируют и защищают конфиденциальные данные с помощью проверки контента, сопоставления шаблонов и машинного обучения. Они обеспечивают соблюдение правил предотвращения потери данных путем обнаружения номеров кредитных карт, медицинских записей, интеллектуальной собственности или другой конфиденциальной информации, прежде чем она покинет контроль организации. В гибридных средах политики DLP должны быть синхронизированы между локальными серверами электронной почты, облачным хранилищем и платформами совместной работы. CASB применяют согласованные правила независимо от того, где находятся данные. Они могут шифровать данные в покое в облачных приложениях, токенизировать чувствительные поля и карантинные файлы, которые нарушают политику. Интеграция с инструментами управления цифровыми правами (DRM) позволяет отозвать доступ даже после того, как файлы были переданы извне.

3.Управление доступом в гранулах

Контроль доступа в гибридных облаках по своей сути сложен, потому что пользователи аутентифицируются через несколько магазинов идентификации (например, Active Directory on-premises и Azure AD или Okta в облаке). CASB унифицируют идентичность и обеспечивают соблюдение политик, учитывающих роль пользователя, здоровье устройства, географическое местоположение и оценку риска. Например, члену финансовой команды, получающему доступ к облачной ERP с корпоративного ноутбука внутри офиса, может быть предоставлен полный доступ, в то время как одному и тому же пользователю на неуправляемом мобильном устройстве из кафе будет предоставлен только чтение. Этот подход с нулевым доверием предотвращает боковое движение и ограничивает радиус взрыва скомпрометированных учетных данных.

4. Расширенное обнаружение угроз

CASB используют аналитику поведения пользователей и организаций (UEBA) для обнаружения аномалий, таких как невозможное путешествие, вставка учетных данных, эксфильтрация данных и захват учетных записей. Они соотносят активность в нескольких облачных службах - ищут шаблоны, такие как пользователь, внезапно загружающий тысячи файлов из CRM, а затем удаляющий их. В гибридных средах CASB могут глотать сигналы разведки угроз из локальных брандмауэров и систем обнаружения и реагирования конечных точек (EDR) для корреляции событий. Когда угроза идентифицирована, CASB может автоматически отменять сеансы, заставлять сброс паролей или карантинные облачные учетные записи. Этот быстрый ответ необходим для смягчения вымогателей и инсайдерских угроз.

Преимущества внедрения CASB в гибридных облачных развертываниях

Организации, осуществляющие КАСБ, сообщают о ряде ощутимых улучшений в их положении в области безопасности и оперативной эффективности.

• Единое правоприменение политики: Команды безопасности пишут политики один раз в консоли CASB и применяют их во всех облачных сервисах, включая IaaS, PaaS и SaaS, а также локальных ресурсах при интеграции с инструментами сетевой безопасности.
• Регуляторное соответствие: CASB упрощают аудиты, предоставляя централизованные журналы, предварительно определенные шаблоны политики для GDPR, HIPAA, PCI DSS и SOC 2, а также возможность демонстрации средств контроля резидентности данных. Они могут автоматически маскировать конфиденциальные данные в журналах для соблюдения правил конфиденциальности.
• Снижение риска утечек данных: Контролируя данные в движении и в покое, CASB предотвращают случайные или злонамеренные утечки данных.Сочетание DLP, шифрования и контроля доступа резко снижает поверхность атаки.
• Повышение производительности пользователей: Вместо того, чтобы блокировать все облачные сервисы, CASB обеспечивают безопасное принятие, позволяя санкционированные приложения и предоставляя условный доступ. Пользователи получают необходимые им инструменты без ущерба для безопасности.
• Экономия затрат: CASB часто заменяют несколько точечных продуктов (DLP, веб-шлюз, управление осанкой облака) и уменьшают накладные расходы на ручной анализ журналов и реагирование на инциденты.

Проблемы и соображения по осуществлению

Хотя преимущества очевидны, развертывание CASB требует тщательного планирования, чтобы избежать распространенных ошибок.

• Сложность интеграции: Подключение CASB к нескольким облачным платформам и локальным системам управления идентификацией может быть технически сложным. Организации должны отображать порты, API и потоки аутентификации. Многие предприятия начинают с пилотной среды для нескольких критически важных приложений, прежде чем расширяться.
• Задержка и производительность: Встроенные прокси-разверты вводят дополнительные прыжки, которые могут увеличить задержку. Для смягчения этого поставщики CASB предлагают краевые точки присутствия и встроенное кэширование. Организации должны проверить базовые показатели производительности перед полным развертыванием.
• Конфиденциальность и суверенитет данных: При использовании облачной CASB чувствительные метаданные могут обрабатываться за пределами юрисдикции организации. Оцените поставщиков, которые поддерживают региональные варианты развертывания и имеют сертификаты, такие как ISO 27001, SOC 2 и соответствие GDPR.
• Развивающийся ландшафт угроз: Киберпреступники нацелены на облачные сервисы с растущей изощренностью. Вендоры CASB должны постоянно обновлять свои сигнатуры угроз, модели UEBA и возможности интеграции. Регулярные обновления и управление поставщиками необходимы.
• Пробелы в навыках: Администрирование CASB требует знания облачной архитектуры, политики безопасности и управления API.

CASB и архитектура Zero Trust

Принципы Zero Trust — никогда не доверяйте, всегда проверяйте, предполагайте нарушение — тесно связаны с функциональностью CASB. CASB реализуют Zero Trust, проверяя каждый запрос доступа на основе идентификации пользователя, положения устройства и риска, прежде чем предоставлять доступ к облачным ресурсам. Они также обеспечивают наименьшие привилегии посредством политики условного доступа и микросегментации на уровне приложения. В гибридном облаке Zero Trust требует, чтобы ни одному ресурсу не доверяли на основе его сетевого местоположения. CASB часто интегрируются с безопасными возможностями доступа (FLT:1]], сочетая облачные возможности безопасности, такие как SWG, брандмауэр как услуга и CASB в единый облачный сервис. Согласно отчету Gartner по SASE , CASB является основным компонентом наряду с SD-WAN и ZTNA для современной сетевой безопасности.