Концепцията за периметър при IaaS става неприложима

6.5Примери за пробиви в сигурността на данните при използване на облачни технологии

• 
  служители на организацията;
  
• 
  служителите на доставчика на услугата;
  
• 
  допуснатите до информационните ресурси на организацията външни служители на партньори и контрагенти;
  
• 
  крайните потребители, допуснати за работа и принадлежащи към останалите наематели на услуги от публичния облак,
  

Ще приведем няколко примера на такива пробиви в облачната сигурност, за които се коментира и се съобщава официално:

• 
  Февруари, 2013²⁴: "Адаптирането на организацията към услуги от облака веднага повлича след себе си използването на собствените устройства – лаптопи, таблети, интелигентни телефони, ръчни терминали и др. (това е т.нар. концепция "донеси собственото си устройство", на англ. Bring Your Own Device – BYOD). Пробивът във всяко едно такова устройство може да застраши данните на организацията в облака, ако то се използва за работа с наетите услуги.";
  
• 
  Октомври, 2014²⁵: "MBIA е базирана в Ню Йорк холдингова компания, която предоставя финансова гаранция, застраховки, управление с фиксиран доход на активите, както и други финансови услуги чрез своите дъщерни дружества. Данните, принадлежащи на клиентите на MBIA Inc, най-големият застраховател на облигации в САЩ, по невнимание са експонирани онлайн, поради лошо конфигуриран сървър. Имена на клиенти, счетоводни данни, баланси, дивиденти и друга информация е станала публично достояние и дори е била индексирана от търсачките, тъй като един сървър за отчети не е бил конфигуриран да гарантира, че само оторизирани потребители могат да имат достъп до данни, съобщи блогърът по сигурността Брайън Кребс. Засегнатият сайт е спрян след като от MBIA научават за теча на информация. Google е успял да индексира 230 страници извлечения за лица, като Texas CLASS, Town of Richmond, NH, Connecticut CLASS Plus и New Hampshire Public Deposit Investment Pool.";
  
• 
  Октомври, 2014²⁶: "Департаментът по заетостта на Орегон разследва проникване на мрежата, което е настъпило на 7 Октомври. Анонимен сигнал, изпратен до организацията, съобщава за уязвимост в сигурността на информационна система WorkSource Oregon Management (WOMIS), където потребителите на системата се регистрират за търсене на работа и свързаните с това услуги. Информацията, която може да е била компрометирана, включва имена, адреси и номера на социални осигуровки. Отделът все още не е предоставил информация за броя на компрометираните записи, нито пълния обхват на нарушението, тъй като и други системи може да са били засегнати. Уязвимата система е била спряна, за да бъде закърпен пробивът, обяви WOMIS. Системата вече е отново онлайн." ;
  
• 
  Февруари, 2015²⁷: "Близо 40 000 организации, работещи с MongoDB, NoSQL висока производителна платформа бази данни, са незащитени и уязвими за хакери. Трима студенти от Университета в Саарланд, Германия, в Центъра за IT сигурност, откриха, че MongoDB, която работи с TCP порт 27017 като услуга в няколко хиляди търговски уеб сървъри, е оставена лесно достъпна за пробиви. MongoDB е база данни с отворен код, използван от компании от всякакъв мащаб, във всички отрасли, за голямо разнообразие от приложения. MongoDB е построена за скалируемост, производителност и висока надеждност, мащабиране от инсталация на един сървър до големи и сложни архитектури разпределени на няколко места. Германските изследователи заявиха, че те са били в състояние да "четат и пишат" в необезпечени MongoDB бази данни без използването на специални инструменти за хакване. Те открили 39890 MongoDB бази данни, оставени достъпни от Интернет, включително една инстанция, която принадлежи на неназована френска телекомуникационна компания, съдържаща 8 милиона телефонни номера на клиента и адреси. "Всеки може да изтегли и дори да промени няколко милиона единици данни на клиентите, включително имена, адреси, имейли и номера на кредитни карти," твърдят изследователите. Използване на откритата вратичка е невероятно лесно, тъй като нападателят трябва само да провери TCP порт 27017 на машината на жертвата си или може да намери всички възможни уязвими сървъри в Интернет в рамките на четири часа, като сканира, използвайки най-бързият TCP Port скенер наричан "masscan";
  
• 
  Февруари, 2015²⁸: "Регулаторни изисквания карат предприятията да контролират ключовете, с които криптират данните си, а други организации просто не искат да губят контрол над собствената си информация. Въпреки това, ако една организация иска да използва услугите на доставчик на облачни услуги, тя може да позволи на доставчика достъп до своите ключове. В другият вариант криптирането се извършва в облака с ключове, управлявани от клиента. Напоследът ИТ секторът се фокусира в криптирането, защото от там се очакват решения на проблеми, които са свързани с нарушенията на данни. Ако организацията използва услуги, които надхвърлят простото съхраняване на данни, то контролът над ключовете става дискутабелен проблем. В случай, че доставчикът не може да декриптира данните на клиента, той няма да има възможност да защитава ресурсите на клиента си с антивирусни програми, с инструменти за предпазване от изтичане на данни (DLP), функции за преглед на файлове и индексиране на текст. Не е маловажен и проблемът с процесорното време, което се използва за криптиране и декриптиране. За съжаление доверието в доставчиците на облачни услуги не нараства...".
  

Изследване на Alert Logic сравнява състоянието на защитата на конвенционалните центрове с тази на доставчиците на облачни услуги. Изследването е направено върху 232364 инцидента по сигурността с повече от милион събития в тях. За това изследване са били установени мухоловки в дейта центровете на множество действащи доставчици на облачни услуги. То показва, че ²⁹:

• 
  мухоловките в САЩ са атакувани четири пъти повече от тези в Европа. Оказва се, че престъпните групировки от Русия и страните от Източния блок тестват нововъведенията си в Европа, след което насочват изпитаните зловредни софтуерни средства към САЩ;
  
• 
  броят на атаките нараства и за облачно базираните дейта центрове и за конвенционалните;
  
• 
  с времето атаките се изместват към облачните услуги и очакванията са тази тенденция да продължи заедно с широкото навлизане на новата технология.