10 типичных вопросов в техподдержку. Инженеры De Novo о безопасности в облаке

Когда речь заходит о миграции в облако и работе критических сервисов, у клиента, как правило, возникает масса практических вопросов относительно безопасности и защищённости операторской площадки. Маркетинговые слайды часто скрывают технические детали, внутри которых как раз и лежит суть безопасности. Мы собрали десять самых острых (и частых) вопросов, которые нам задают пользователи, и дали на них прямые ответы с точки зрения архитектуры и эксплуатации облака De Novo.

1. Видит ли провайдер мои данные в облаке?

Короткий ответ — нет. Для нас ваша инфраструктура выглядит как набор изолированных «чёрных ящиков». Инженеры De Novo администрируют физические серверы и уровень виртуализации, но архитектурно отделены от данных внутри ВМ. Файл виртуального диска (VMDK) для инженера эксплуатации — это бинарный контейнер. У нас нет доступа к файловой системе вашей гостевой ОС, поэтому превратить этот «цифровой шум» обратно в файлы и прочитать их практически невозможно.

На сетевом уровне используется инкапсуляция VXLAN/Geneve, гипервизор жёстко разделяет адресные пространства оперативной памяти. Такая архитектура гарантирует, что трафик и данные разных клиентов строго изолированы друг от друга, даже если они находятся на одном физическом хосте. Кроме этого, в качестве дополнительных мер защиты данных клиент может задействовать шифрование прикладных данных на уровне гостевой ОС либо на уровне ВМ, а также использовать шифрование резервных копий ВМ.

2. Как защищена передача данных?

В нашей архитектуре данные управления, репликации и резервного копирования никогда не передаются через публичные сети в открытом виде. Между дата-центрами проложены выделенные каналы связи или используются защищённые VPN-туннели. Все инструменты и сервисы имеют встроенные средства шифрования. Кроме этого, могут быть использованы дополнительные меры защиты технологического трафика, когда уже зашифрованный встроенными средствами трафик дополнительно шифруется на более низком уровне (например, такие решения требуются для госорганов, когда технологический трафик должен быть защищён с использованием сертифицированных криптосредств).

3. Какие права и доступы имеют инженеры техподдержки?

Мы работаем по принципу Zero Trust и наименьших привилегий. В нашей модели Zero Trust сам факт принадлежности к внутренней сети De Novo ничего не даёт: каждый доступ проверяется, права выдаются строго по ролям (RBAC). Инженер не обладает правами «суперпользователя» ко всей инфраструктуре по умолчанию. Любой вход администратора осуществляется через систему управления привилегированным доступом (PAM, Privileged Access Management), которая выступает единой точкой входа. Такое решение журналирует действия и при необходимости позволяет восстановить полную картину сессии.

Администраторам по умолчанию запрещены действия с элементами клиентского ландшафта (контейнеры ВМ, прикладная сеть, виртуальный маршрутизатор). В случае необходимости проведения таких действий это выполняется в строгом согласовании с клиентом либо под его полным контролем.

4. Что происходит при обнаружении киберинцидента?

У нас внедрена эшелонированная система сбора и корреляции событий безопасности (SIEM — Security Information and Event Management), куда стекаются логи с IDS/IPS, межсетевых экранов, гипервизоров и ключевых сервисов. SIEM не только сохраняет события, но и обрабатывает их, используя корреляционные правила: например, серия неудачных попыток входа вместе с аномальным ростом трафика на редкий порт превращаются в единый инцидент. При его обнаружении — будь то DDoS-атака, сканирование портов или аномальная активность — система автоматически оповещает ответственных специалистов. Процесс реагирования отлажен до минут: дежурная смена фиксирует угрозу, специалисты ИБ обрабатывают её, блокируя вредоносные IP, меняя политики фильтрации или перенаправляя трафик через специализированные узлы и уведомляя клиента в максимально сжатые сроки.

5. Какие документы подтверждают безопасность облака?

Облако De Novo регулярно проходит проверки на соответствие международным стандартам безопасности ISO/IEC 27001, 27017, 27018, а также PCI DSS. Кроме того, мы обладаем аттестатами соответствия КСЗИ и ОТР, что критично для госсектора и банков. Регулярно привлекаемые внешние аудиторы проводят тесты на проникновение периметра и устойчивость ключевых компонентов безопасности. Такой подход позволяет своевременно выявлять и устранять критические уязвимости и ошибки конфигурации до того, как ими воспользуются злоумышленники.

6. Что будет, если сотрудник клиента случайно удалит данные?

Облачный провайдер гарантирует доступность инфраструктуры и физическую целостность данных на уровне компонентов инфраструктуры, но не логическую целостность файлов внутри прикладной системы. Для защиты данных от данного класса угроз клиент может использовать набор сервисов резервного копирования — BaaS, Flex Backup и опции с геораспределённым хранением (Geo). Если ваш администратор удалил критически важную базу данных, при наличии бэкапа в облаке восстановление происходит через портал самообслуживания Veeam либо через запрос в техподдержку. Оттуда можно вернуть как отдельный файл, так и всю виртуальную машину из последней пригодной копии.

7. Может ли кто-то извне получить доступ к моей виртуальной инфраструктуре?

По умолчанию облако De Novo закрыто извне. Доступ к управлению облачными ресурсами могут получить только предварительно авторизованные контакты клиента и только с указанных клиентом внешних IP-адресов.

Прикладной ландшафт изначально не имеет доступа наружу, пока клиент самостоятельно не определит и не реализует необходимую сетевую топологию. Исходя из выбранной топологии, будь то выделенный канал либо маршрутизируемая в интернет сеть, провайдер презентует в облачный ресурс ту или иную сеть, к которой клиент уже самостоятельно подключает свои ВМ.

Перед подключением ВМ к сетям мы настоятельно рекомендуем предварительно выполнить необходимые настройки безопасности (файрвольные правила, инспекцию трафика, IDPS) на сетевых устройствах, придерживаясь политик компании (при наличии таковых) либо лучших практик и рекомендаций (например, первоначально настроить правило «Deny All» и только после этого добавлять разрешающие правила по необходимости; не публиковать порты управления, такие как RDP и SSH, в открытый интернет, а использовать защищённые VPN-соединения; максимально ограничивать доступность прикладных сервисов снаружи и т. д.).

8. Что произойдёт, если одна из площадок ЦОД выйдет из строя?

Для таких сценариев существует услуга послеаварийного восстановления (DRaaS). При настроенной репликации данные регулярно синхронизируются на резервную площадку с минимальным интервалом, который задаётся политикой DR. В случае физической катастрофы в основном ЦОДе клиент инициирует процедуру failover. Виртуальные машины запускаются на резервной площадке с минимальным временем простоя (RTO) и контролируемой потерей данных (RPO), что поддерживает непрерывность бизнеса даже в тяжёлых сценариях.

9. Как облака защищены от вирусов-шифровальщиков и программ-вымогателей?

В этом вопросе действует модель разделённой ответственности. Мы гарантируем безопасность на уровне гипервизора: архитектура виртуализации защищает от попыток вредоносного ПО «перепрыгнуть» на уровень железа или мигрировать в инфраструктуру соседнего клиента. Защита ОС и данных внутри лежит на пользователе. Эффективное противодействие достигается использованием подхода 3-2-1-1: три копии данных, минимум на двух разных носителях, одна — за пределами основного сайта, ещё одна — на автономном (air-gapped) или immutable-репозитории.

10. Что будет, если злоумышленник получит учётные данные моего аккаунта?

Первым и обязательным шагом защиты является двухфакторная аутентификация (MFA). Мы настраиваем её для административных доступов и настоятельно рекомендуем клиентам включать MFA для всех критичных учётных записей. Такой подход значительно снижает риск: даже зная пароль, злоумышленник ограничен в возможностях входа без второго фактора.

Важным аспектом в рамках данного класса угроз является подход к защите данных. В случае компрометации учётных записей злоумышленник часто начинает атаку с уничтожения резервных копий, чтобы нанести максимальный ущерб. Решением в данном случае являются неизменяемые резервные копии (Immutable Backups). Мы используем технологию Object Lock в режиме WORM (Write Once, Read Many), работающую как «цифровой бетон»: созданную копию нельзя изменить или удалить до истечения заданного срока хранения. Это защищает данные даже в сценарии глубокой компрометации — вирус, инсайдер или хакер с правами root или глобального администратора не сможет уничтожить такие бэкапы до окончания периода блокировки.