Tìm hiểu về PaaS Security

Iworld.com.vn gửi tới độc giả khái niệm về PaaS

Platform-as-a-service (PaaS) là một môi trường triển khai và phát triển có thể mở rộng, bao gồm tất cả các yếu tố mà nhà phát triển cần, để tạo và chạy các ứng dụng đám mây, hệ điều hành, ngôn ngữ lập trình, môi trường thực thi, cơ sở dữ liệu và máy chủ web, tất cả đều nằm trên cơ sở hạ tầng của nhà cung cấp dịch vụ đám mây. Một tổ chức có thể phát triển và triển khai các ứng dụng đám mây tùy chỉnh, mà không cần đầu tư vào phần cứng hoặc công cụ phát triển. Tương tự như vậy, một tổ chức có thể sử dụng PaaS để mở rộng hoặc tái kiến ​​trúc các ứng dụng hiện có của họ trên đám mây.

Ví dụ về platform-as-a-service là AWS Lambda, Microsoft Azure PaaS, Google App Engine, Apache Stratos và Force.com là một nền tảng phát triển dành cho khách hàng của Salesforce. Các nhà cung cấp PaaS có thể có các chuyên ngành khác nhau. Ví dụ: Có các nhà cung cấp PaaS dành riêng cho cơ sở dữ liệu, được gọi là PaaS ứng dụng năng suất cao (hpaPaaS), có đặc điểm là cách tiếp cận đồ họa, mã thấp để phát triển.

Trên toàn cầu, theo báo cáo của McAfee năm 2019 có khoảng 52% các tổ chức sử dụng một số loại dịch vụ nền tảng đám mây. Tỷ lệ phần trăm đó dự kiến ​​sẽ tăng lên, khi các tổ chức xây dựng nhiều ứng dụng của họ hơn trên đám mây.

PaaS cung cấp một số lợi thế so với phát triển tại chỗ, bao gồm:

• • • Cơ sở hạ tầng và chi phí phát triển thấp.
    • Các công cụ và hỗ trợ phát triển ứng dụng tích hợp sẵn.
    • Thời gian triển khai nhanh chóng.
    • Theo yêu cầu, tài nguyên có thể mở rộng.

Nhờ những lợi ích này, ngay cả các nhà phát triển trong các doanh nghiệp nhỏ cũng đủ khả năng, tạo ra các ứng dụng đám mây sáng tạo, để làm cho tổ chức của họ cạnh tranh hơn. Với nhiều tổ chức tập trung vào chuyển đổi kỹ thuật số và đáp ứng với những thay đổi nhanh chóng của thị trường, khái niệm phát triển PaaS có ý nghĩa kinh doanh.

Thực tiễn bảo mật PaaS

Trong đám mây, bảo mật là trách nhiệm được chia sẻ giữa nhà cung cấp đám mây và khách hàng. Khách hàng của PaaS chịu trách nhiệm bảo mật các ứng dụng, dữ liệu và quyền truy cập của người dùng. Nhà cung cấp PaaS bảo mật hệ điều hành và cơ sở hạ tầng vật lý.

Dưới đây là bảy phương pháp hay nhất về bảo mật PaaS để bảo mật dữ liệu và ứng dụng của tổ chức trên đám mây.

Nghiên cứu bảo mật của nhà cung cấp. Năm 2019, Theo báo cáo của McAfee Chỉ 8% trong số 25,000 dịch vụ đám mây đang được sử dụng hiện nay, đáp ứng các yêu cầu bảo mật dữ liệu được xác định trong Chương trình CloudTrust. Chỉ 1/10 mã hóa dữ liệu ở trạng thái mới và chỉ 18% hỗ trợ xác thực đa yếu tố. Kiểm tra các quy trình bảo mật để nhân viên truy cập vào hệ thống CNTT và các cơ sở vật chất. Đặt câu hỏi về kế hoạch ứng phó sự cố khi vi phạm bảo mật xảy ra hay không, cũng như kế hoạch khôi phục dữ liệu khi toàn bộ hệ thống ngừng hoạt động. Nếu dịch vụ PaaS gặp sự cố, điều gì sẽ xảy ra với các ứng dụng và dữ liệu đang chạy trên đó?

Sử dụng mô hình mối đe dọa. Phần lớn các lỗi bảo mật được đưa ra trong giai đoạn đầu của quá trình phát triển phần mềm. Các nhà phát triển có ý thức bảo mật,  có thể xác định và sửa chữa các lỗ hổng tiềm ẩn trong thiết kế ứng dụng, bằng cách sử dụng các công cụ và thực hành mô hình hóa mối đe dọa. Dự án Bảo mật ứng dụng Web Mở (OWASP) có thông tin về mô hình hóa mối đe dọa và Microsoft cung cấp công cụ và thông tin mô hình hóa mối đe dọa miễn phí.

Kiểm tra các lỗ hổng phần mềm kế thừa. Các nền tảng và thư viện của bên thứ ba thường có lỗ hổng bảo mật. Các nhà phát triển có thể kế thừa chúng, nếu họ tìm không thấy các lỗ hổng bảo mật tiềm năng.

Triển khai các kiểm soát truy cập dựa trên nhiệm vụ. Quản lý danh tính và quyền truy cập dựa trên nhiệm vụ, giúp đảm bảo nhà phát triển và người dùng khác có quyền truy cập vào các tài nguyên và công cụ mà họ cần, chứ không phải các tài nguyên khác.

Quản lý các tài khoản không hoạt động. Các tài khoản không được sử dụng cung cấp cơ hội tiềm năng cho tin tặc. Hủy cấp phép các tài khoản nhân viên cũ và các tài khoản không hoạt động khác. Tin tặc tìm kiếm những người gần đây, đã rời khỏi hoặc gia nhập các công ty, như LinkedIn là một nguồn tuyệt vời cho việc đó  và chiếm lấy các tài khoản. Ngoài ra, khóa thông tin đăng nhập tài khoản gốc, để ngăn truy cập trái phép vào tài khoản quản trị.

Tận dụng tài nguyên của nhà cung cấp. Hầu hết các nhà cung cấp PaaS lớn đều đưa ra các nguyên tắc và phương pháp hay nhất, để xây dựng trên nền tảng của họ. Nhiều người cũng cung cấp hỗ trợ kỹ thuật, thử nghiệm, tích hợp và trợ giúp khác cho các nhà phát triển.

Giải pháp bảo mật PaaS

Các tổ chức có thể triển khai các công nghệ bảo mật của riêng họ, để bảo vệ dữ liệu và ứng dụng của họ khỏi bị đánh cắp hoặc truy cập trái phép. Ba giải pháp bảo mật đám mây quan trọng là: Chương trình bảo mật truy cập đám mây, nền tảng bảo vệ dữ liệu công việc trên đám mây và quản lý tư thế bảo mật đám mây.

Chương trình giới bảo mật truy cập đám mây (CASB): Còn được gọi là cổng bảo mật đám mây (CSG), cung cấp nhiều dịch vụ bảo mật khác nhau, chẳng hạn như giám sát các dịch vụ đám mây trái phép, thực thi các chính sách bảo mật dữ liệu bao gồm ngăn chặn mất dữ liệu (DLP), hạn chế quyền truy cập vào các dịch vụ đám mây dựa trên người dùng, thiết bị và ứng dụng và kiểm tra cấu hình đám mây để tuân thủ và rủi ro.

Nền tảng bảo vệ dữ liệu công việc trên đám mây (CWPP): Các khối lượng công việc và vùng chứa không được bảo mật, cung cấp cho tội phạm mạng một đường dẫn vào môi trường đám mây, do đó, các nền tảng bảo vệ dữ liệu công việc trên đám mây phát hiện và giám sát các vùng chứa và các dữ liệu công việc. Các dịch vụ CWPP cũng áp dụng tính năng bảo vệ chống phần mềm độc hại và đơn giản hóa việc quản lý bảo mật trên nhiều môi trường PaaS.

Quản lý tư thế bảo mật đám mây (CSPM). Người quản lý tư thế bảo mật liên tục kiểm tra môi trường đám mây, để tìm các vấn đề về bảo mật và tuân thủ, cũng như cung cấp biện pháp khắc phục thủ công hoặc tự động. Ngày càng có nhiều CASB bổ sung thêm chức năng CSPM.

Bảo mật đám mây tiếp tục được cải thiện với những tiến bộ mới trong kiến ​​trúc và công nghệ bảo mật. Ví dụ, sự ra đời của các vùng chứa, gói các ứng dụng riêng lẻ và sự phụ thuộc của chúng, giúp phát triển PaaS an toàn hơn, bằng cách cô lập các phiên bản ứng dụng riêng lẻ, khỏi các lỗ hổng trong các ứng dụng khác trên cùng một máy chủ.

Khi nhiều ứng dụng doanh nghiệp di chuyển vào đám mây, sẽ có nhiều nhà phát triển sử dụng PaaS, để tạo các ứng dụng gốc đám mây và kích hoạt các ứng dụng tại chỗ trên đám mây. Để giảm thiểu nguy cơ bị tấn công mạng, vi phạm dữ liệu và các sự cố bảo mật khác, các nhà quản lý CNTT nên tuân theo các phương pháp hay nhất về bảo mật ứng dụng và triển khai các công nghệ bảo mật đám mây tiên tiến, cập nhật.

Các giải pháp bảo mật đám mây của McAfee cho phép các tổ chức đẩy nhanh tốc độ phát triển kinh doanh và chuyển đổi kỹ thuật số, bằng cách cung cấp cho họ khả năng hiển thị và kiểm soát dữ liệu của họ trên đám mây. Tìm hiểu thêm về công nghệ bảo mật đám mây McAfee.

Trân trọng cám ơn quý độc giả./.

Bài đọc tham khảo thêm cho bạn

• McAfee for Business
• McAfee Cloud Access Security Broker
• McAfee Cloud Workload Protection Platform

Biên dịch: Lê Toản – Iworld.com.vn