Опять мыслями где-то в облаках...
Хакеры начали использовать яндекс-диск для кибератак
Облачный сервис они используют в качестве вспомогательного места хранения вредоносных файлов. Ранее для этих целей использовались Dropbox и OneDrive.
Работает это следующим образом: жертва получает электронное письмо с приложенным текстовым документом.При попытке его открытия начинается загрузка макроса с «Яндекс Диска», а также его запуск для копирования вредоносной библиотеки на ПК. Пользователь ничего не может заметить, так как он видит только открытый присланный документ.
Здесь хакеры пользуются пунктом в условиях пользования "Диска", где сказано, что сервис не проверяет содержимое облачных папок пользователей, так как это нарушает их конфиденциальность.
https://lenta.ru/news/2022/08/04/yandex_disc/Облака: сила и уязвимость Ч. 2
Каковы в принципе риски, когда мы говорим о сервисах, которые только вошли на рынок?
Да такие же, как и в другой нише рынка.
Смотрите: ушли производители, считавшиеся надежными. На виду теперь те, для кого функция облачного хранилища – производная, а значит, второстепенная.
Что важно для потребителя облака в бизнесе? Объем памяти, возможности восстановления, совместный доступ пользователей. Этого хочется в большем объеме. Но эти же запросы и повышают риски пропорционально: больший объем повышает риски просто потому, что чем больше информации, тем выше ущерб от утечки. Ну и с совместным доступом ясно: чем больше пользователей обладает ключами, тем выше в принципе вероятность получить ключ.
Мы хорошо видим из того, что сервисы операторов сотовой связи дают объем 5-8 Гб, что безопасность здесь – не миссия Пользователи, которым этого достаточно, в основном частники. Облако Теле2 вот вообще работает на канале без защищенного соединения. Кроме того, некоторые функции доступны только для своих. Ясно, что сервисы в принципе не задумываются как супербезопасные, не на том акцент. А просто потому что «мы и это умеем», пакетная услуга.
Есть и еще один вариант. Рынок расширяется, и на этой нише вскоре будут новые провайдеры. Обладают ли они необходимой инфраструктурой защиты? Как это понять? Сколько же нужно вложить в компанию, чтобы мы были уверены в надежности производителя? В этом смысле, возможно появление сервисов-однодневок, а возможно и обозначение новых лидеров.
Основные критерии, которые стоит учесть при выборе облачного провайдера:
1. Соответствие международным и российским стандартам защиты данных.
2. ЦОДам лучше находиться в РФ: так протоколы безопасности будут соответствовать параметрам действующего законодательства (хотя бы так, пусть и оно не идеально), в частности 152-ФЗ (уровень защищенности УЗ-1)
2. Узнайте о шифровании у провайдера. Каковы возможности и гарантии безопасности?
3. Многофакторная аутентификация снижает риски.
4. Возможность работать, даже если ЦОД занят.
5. Функции восстановления данных
Понятно, что надежность проверяется временем. Вводные данные такие. А дальше – практика покажет.
Ясно, что таким критериям соответствуют опытные компании, специализирующиеся на облачном хранении. Просто потому, что это опыт и возможности, идущие рука об руку. Но за неимением опытных компаний, об этих нюансах стоит помнить.
Какие угрозы остаются?
Ну и прописные правила, что может сделать со своей стороны пользователь, чтобы снизить риски:
1. Систему идентификации лучше усложнить (генераторы паролей, токены)
2. Используйте сервисы, повышающие безопасности (дополнительные программы: антивирусы, IDS- и IPS-системы и пр.)
3. Резервное копирование никто не отменял. Следите за этим.
4. Есть мнение, что хранить нужно у нескольких поставщиков облачных услуг
Итак, к выводам.
Прежде чем выбрать облачный сервис, пристально поинтересуйтесь у провайдера о технических сторонах вопроса. В безопасности нет мелочей и вам нужно немного понимать, как облако работает. Выгодные ключи шифрования – это прерогатива сервисов, специализирущихся на облачных хранилищах: на чем делаешь акцент, что развиваешь то и работает. Если для компании облако – дополнительный рынок, чтобы получить деньги и аудиторию – ставки будут другие, поэтому будьте готовы к снижению безопасности. С этим придется смириться. Поэтому нужно смотреть на провайдеров, для которых облака – специфика, с шифрованием и токенизацией.
Облака: сила и уязвимость
Продолжаем тему недавнего обзора переориентации облачного рынка. Мы уже увидели новые повороты и провалы этой истории, произошедшие из-за внешних изменений. Совершенно ясно, что нужно посмотреть на эту нишу шире: безопаснее ли облачное хранилище в принципе, и, если мы решили выбрать такой сервис, на что стоит обратить внимание?
Вопрос безопасности персональных данных как никогда актуален. Вдвойне – с точки зрения оператора обработки данных, а не пользователя. Абсолютно естественно, что в эпоху экономики услуг данные клиентов – это ваша репутация и будущее бизнеса.
К сожалению, практика показывает, что идеально справиться с защитой данных редко кому под силу.
Так, недавно стало известно, что у Delivery club утекла база данных клиентов. Компания подтвердила новость, в процесс вмешался Роскомнадзор. Утекли имена, номера телефонов, адреса доставки, IP-адреса... Клиенты по всей стране. Если все подтвердится, компании грозит штраф 60 – 100 тысяч рублей.
А еще за пару дней до этого РКН заблокировал ресурс-карту, где агрегировались утечки с визуализацией данных пользователей на карте. Там были «Яндекс. Еда», «Авито», «Билайн» и другие облачные сервисы и компании.
Утечка данных из «Яндекс.Еды», случившаяся в апреле по вине одного из сотрудников, стоила им 60 тысяч (и серьезнейших потерь репутации). А еще в конце апреля данные утекли у компании «Кока-кола».
Посмотрев на все эти случаи, мы точно можем сказать, что «и на старуху бывает проруха»: прорехи в информационной безопасности могут быть у всех.
К сожалению, информация, откуда произошли утечки - с сервера компании или облака - не распространяется. Но, по данным экспертов, большая часть корпораций выводит свои данные в облака, эта тенденция растет, как и востребованность облачных сервисов. Поэтому, допустимо предположить, что и данные утечки произошли из облачных сервисов. Несомненно, вопрос безопасности облачных платформ актуален. Но, как мы писали раньше, эта ниша сейчас несколько опустела. И при сохраняющемся запросе пользователей заполняться она будет новыми предложениями. Поэтому важно знать, на что обратить внимание при выборе облачного сервиса и работе с ним.
А зачем нам облака вообще?
Согласно данным экспертов, это нехилая экономия на IT: в среднем 8 %. Но очень малая часть компаний использует их по полной, а ведь это море гибких возможностей. Для маленьких компаний облачные решения очень выгодны с финансовой точки зрения: максимальную цену составляет работа с программами. Для больших компаний преимущества – устойчивость к сбоям, возможность гибкого администрирования, широкий доступ для пользователей. Упрощение администрирования – ключевой лайфхак облаков.
Итак, процедуры становятся мобильными благодаря отрыву реального от виртуального. Облака могут быть внешними – тогда вы пользуетесь хранилищем, которое дает вам провайдер. Либо внутренними – когда создаете облако для себя и своего бизнеса.
Но ключевая проблема – безопасность. И, пожалуй, именно это останавливает некоторые компании в решении пользоваться облаком.
Основные угрозы облачных сервисов, по сути - DDoS-атаки и взлом системы методом подбора паролей и последующий доступ к данным. Парадокс, но, по сути, риски у облаков такие же, как и у серверов: неверно настроенные права доступа, шифрование, небезопасные интерфейсы. При этом, как говорят эксперты, взлом сервера чреват худшими последствиями – облака, в отличие от сервера, позволяют блокировать доступ и быстрее восстановить безопасность, и поэтому предпочтительнее.
Что ж, мы выбираем облачное хранилище, и у нас есть два пути: сделать свое облако, или отдать провайдеру. Сегодня мы говорим о втором случае.
Мы решили довериться провайдеру.
Допустим, вы доверили все это провайдеру и отдали во внешнее облако. Тогда места, откуда могут украсть данные, множатся благодаря «аутсорсу»: теоретически, провайдер и все, кто имеют отношение к организации процесса, могут получить доступ, что чревато утечкой. Таким образом, становится ясно: вы должны быть уверены, что можете доверять провайдеру, отдавая данные в облако и пользуясь им в дальнейшем. Провайдеры, конечно, модернизируют системы, улучшая их и заботясь о репутации: это в их интересах.
Поговорим о возможностях внешних серверов.
С технической стороны, возможности современных технологий позволяют обезопасить облака. Благодаря особому шифрованию, можно сделать данные непрозрачными даже для провайдера: информация сразу после поступления в центр обработки данных (ЦОД) кодируется и с ней работаете только вы. Например, протокол TLS защищает файлы от прослушивания. Безопаснее шифровка на стороне пользователя облака: прямо на вашем устройстве. Файлы, которые загрузили в облачное хранилище под защитой, не расшифровываются на провайдерских серверах, ведь у них нет ключей шифрования. Значит, даже если кто-то получает доступ к серверу провайдера, не сможет их дешифровать.
То есть, если выбрать такую технологию, надежность повышается в разы. Также важно знать организацию хранения данных в ЦОДе: не все данные хранятся в одном месте, зачастую они рассредоточены по разным ресурсам, и это плюс. Хорошо сработает и усложненная аутентификация, а доступ можно защитить и токенами.
Timeweb: 7 причин продать свой хостинг
Приветствуем, дорогие читатели. Мы живем в непростые для IT-отрасли времена и можем сегодня наблюдать некоторый кризис на рынке хостингов. Если говорить вкратце — всё грустно. Но печаль и паника — не наш выход, а потому не спешите закрывать статью и погружаться в тяжелые размышления. Цель этого материала не напугать, а в том, чтобы максимально понятно донести и разъяснить обстановку, в которой мы оказались, а также дать парочку-другую советов и предоставить инструменты, дабы выйти из этой непростой ситуации с минимумом потерь.
Итак, пройдемся по некоторым неприятным фактам и причинам, соответственно:
1. Виртуальные хостинги растут медленно, по 4% процента в год. Это нехорошо, так как фактический уровень инфляции в 2 раза выше этого значения. В общем, мы наблюдаем уменьшение рынка. Причин этому хватает — цены растут, покупательская способность снижается. Хватает и косвенных признаков.
2. Идёт сокращение количества предприятий малого и среднего бизнеса. Для любой экономики это плохо, для российской — особенно.
3. Перемещение мелкого ecomm в маркетплейсы и магазины соц.сетей. Почему это происходит? Всё просто — у них уже есть сформировавшийся целевой трафик, который не нужно привлекать самостоятельно. Продавец заходит со своим товаром — и его со всех сторон обслуживают, на него работает доставка, реклама и сервис маркетплейса.
4. Закрытие части рынка различного рода конструкторами и no\low-code решениями. То есть идёт, скажем так, стандартизация рынка, за счёт более простых инструментов по созданию своих проектов. Порог входа существенно упал, а с ним и качество. Если раньше для создания сайта нужно было нанять программиста и дизайнера, то сейчас достаточно зайти на сайт по созданию сайтов и получить готовый продукт.
5. Идёт стагнация доменной зоны ru/рф. Как следствие, мы не можем видеть качественного роста рынков сбыта нашей продукции не столько в России, сколько за её пределами.
Количество веб-сайтов и одностраничников на доменах ru/рф сократилось по сравнению с мартом 20 на 4,3% (-120 тыс. доменов). Здесь всё просто — хостинговые компании теряют своих клиентов, рынок идёт на спад.
6. Так как рынок стагнирует, ценовая конкуренция между его лидерами растёт. Но в тоже время из-за кризиса (о котором ниже), маржа маленьких хостингов просела до нуля или вообще ушла в минус. К тому же, они просто не в состоянии конкурировать с гигантами отрасли.
7. Мы наблюдаем рост только в IaaS (инфраструктура как услуга от англ. Infrastructure-as-a-Service). То есть в виртуальных серверах с чётко заданной вычислительной мощностью. Но проблема в том, что мелким игрокам виртуального хостинга очень сложно потянуть создание и подъем необходимой инфраструктуры, так как для старта требуются весьма большие инвестиции. Более подробно об этом рассказано здесь.
В чём заключается текущей кризис?
Российский хостинговый рынок малорентабелен, это факт. Заработать на одном клиенте можно не так много, поэтому основной доход приносится за счёт объема клиентов. Это было актуально последние несколько лет, а сейчас — в особенности, ввиду усиливающегося кризиса маржа клиентов просто испарилась. Мало того, весь объем клиентской базы поглощают крупные игроки на рынке. А из-за стагнации рунета, притока новых клиентов нет, и ждать в обозримом будущем не стоит.
В сложившейся ситуации наиболее разумным будет скорее распродать все имеющиеся активы, дабы не накапливать долговую нагрузку.
Из-за растущей инфляции цены повышаются. Так что вскоре стоит ждать массовое банкротство мелких бизнесов, а это уже породит укрепление крупных компания. Они просто-напросто подберут под себя ту базу, которую потеряли мелкие игроки. Поэтому, чем быстрее вы продадите свой хостинг, тем меньше потеряете.
Тут стоит понимать, что аренда стоек дата-центров — вещь не дешёвая. Для мелких хостингов это особенно актуально, они могут тратить до половины своих доходов на содержание своего железа.
Как вообще работают хостинги на рынке?
Несмотря на попытки импортозамещения, РФ всё ещё во многом зависит от западных стран. Это особенно остро чувствуется в ситуации с программным обеспечением. Большая часть российских хостингов использует западное ПО (CPAnel, DirectAdmin, ISPsystem). Это влечёт за собой соответствующие риски, а конкретнее:
— ПО, находящееся в облаке, а не на физическом носителе, могут просто заблокировать;
— ПО привязано к доллару, поэтому из-за санкций против ряда российских банков, с оплатой могут возникнуть трудности. Уже не говорим о том, что из-за колебаний курса стоимость ПО непредсказуема.
Помимо этого, в копилку проблем добавляется подорожание вполне себе физических вещей, в виде сетевого и серверного оборудования. Это вызвано дефицитом полупроводников, который начался в 2020 году в связи с пандемией и увеличением майнинга.
Так что представляется совершенно неудивительным тот факт, что сетевое и серверное оборудование взлетело в цене (до x5 раз) по сравнению с началом 2022 (!) года. Посему говорить о дальнейшем расширении физических хостов не приходится, мало того, поддержание текущей нагрузки становится куда более обременительно для компаний. Так как чинить иностранное оборудование нужно, внезапно, иностранными деталями, поставка которых весьма затруднительна в связи с санкциями.
Обобщая вышесказанное, понимаем, что крупные хостинговые компании вскоре столкнутся с колоссальными, а возможно, даже непосильными расходами на поддержание своей деятельности.
Облачная ОС (идея)
Что если создать операционную систему, по типу браузера или TeamViewerа . Где все файлы хранятся на русских серверах и процессы обработки данных тоже происходят удалённо. Может по типу Cloud GPU. Таким образом, можно даже на слабых компах компах будет обрабатывать серьёзные задачи.
Доткомы 2.0
Переходите в облака - это надежно, по первому визгу блокируются все облака компаниям, которые априори не имеют отношения к военной деятельности.
Криптовалюта не принадлежит и не контролируется государствами и алчными структурами, она вне политики, по первому визгу блокируются крупные биржы, вместе со средствами на них.