Observar a vida de grandes corporações me deixa deprimido. É uma paranóia selvagem e, ao mesmo tempo, brechas de segurança assustadoras. No entanto, talvez essas coisas estejam apenas conectadas - porque o paranóico está focado em certas coisas e pode facilmente ignorar o óbvio. Ele pode sair para a rua, farfalhando desesperadamente com papel alumínio, que embrulhou da cabeça aos pés e ser atropelado por um ônibus.
Tive a oportunidade de observar uma empresa onde eles fecharam o perfil de armazenamento de dados USB para máquinas VDI, mas não fecharam o perfil do hub USB, ou seja, foi possível conectar um hub USB e, em seguida, uma unidade flash USB a ele. A propósito, os computadores lá estavam infectados. No entanto, não é de forma alguma um sonho, mas a vigília ativa das mentes dos guardas de segurança não visa consertar buracos, continua a dar à luz monstros. Um desses monstros é chamado
Criptografia de dados em repouso
Bem, se o sistema de armazenamento fizer isso ao gravar em seus discos: um pequeno pagamento na CPU, e é isso. Pior ainda, se a criptografia é realizada em um nível mais alto - essa criptografia reduz a desduplicação em um nível mais baixo. Não ficarei surpreso se eles forem forçados a executar o terceiro nível, por exemplo, para criptografar dados nas próprias unidades e apenas certificá-las ou exigir a criptografia de unidades de máquinas virtuais. Três tampas de alumínio funcionam melhor que uma!
Mas diga-me, que cenário da vida você está tentando impedir? Um hacker malvado foi até o datacenter e roubou o disco e a NetApp em funcionamento, tendo a bagunça na distribuição de dados em suas mãos. Como você imagina isso? Nesse datacenter, onde eu estava, havia até solavancos de concreto de um carneiro e de um carro blindado.
Você vê um hacker na foto com cortadores de fio no canto inferior esquerdo? Eu também não vejo.Obviamente, os discos usados não podem ser descartados, apenas destruídos. É como um padrão, e para isso existem empresas certificadas com escavadeiras certificadas
para sanções por esmagamento . Ok, criptografá-lo uma vez de forma transparente no nível de armazenamento, não me importo, mas por quê? A criptografia de dados em repouso foi a mais atingida
Aws
Como o RDS no SQL Server Express Edition não oferece suporte à criptografia, você precisa pelo menos da Standard Edition N vezes mais caro. E por que - se houver apenas tabelas de teste com dados falsos? E portanto! Porque política. É enviado
e não discutido. Como resultado, o uso da AWS para DEV não era prático.
Em geral, a AWS é triste. Uma pessoa vê como, com alguns cliques na interface da AWS, você pode criar uma infraestrutura, a mão dele alcança o mouse, mas o clamor segue:
- Criamos tudo apenas através do Terraform!
- Tudo bem, deixe-me criar um arquivo ...
- Não, nós temos a equipe do DevOps aqui, determinamos várias variáveis lá, tudo é complicado, você não faz isso, temos uma reunião de três horas todos os dias sobre solicitações de mesclagem do git para código de terraform
"Mas quando eu vou estar pronto?"
"Não, claro." Tudo funciona apenas através do trabalho de Jenkins
- onde fica
- Você ainda não poderá ir para lá. Ao criar o EC2, você deve especificar corretamente o código do inventário, o projeto, o código fiscal para a contabilidade, você não sabe tudo isso, não se intromete, há pessoas especiais.
Como resultado, com o desenvolvimento do DevOps, os desenvolvedores estão cada vez mais longe do Ops.
Rede
Na rede, também gostamos de criptografar. Bem, é claro, os túneis entre os escritórios são criptografados. Canais criptografados internos, conexões criptografadas, todos os tipos de https. Mas amanhã a manifestação - outra coisa será criptografada! Eles não são suficientes ...
Mais uma vez, como você imagina hackers? Gosta disso?
Encontrei apenas essa foto, mas estava procurando outra. Em um filme de guerra que eu assistia quando criança, agentes da inteligência militar prendiam agulhas em fios e espionavam conversas inimigas por meio de fones de ouvido. Por alguma razão, noite, nevasca, e tudo é preto e branco. Mas, falando sério, um túnel criptografado é uma bagunça de um monte de pacotes para um colapso, o que você fará com ele? O mesmo que a primavera?
Senhas e acesso
Ah, sim, esse é um ótimo tópico. Não importa como eles escrevam que uma alteração regular de senha é ruim, as coisas ainda estão lá. E como você gosta de 12 (sim, doze!) Contas de domínio diferentes com senhas de diferentes comprimentos, diferentes tempos de envelhecimento e regras incompatíveis em relação à sua complexidade?
Você precisa acessar alguns servidores como este: em uma conta, vá para o servidor Terminal (Jump); dali, saltaremos o RDP para outro, sob uma conta diferente e, às vezes, para a terceira. Em cada nível de mergulho, a velocidade do redesenho diminui, o tamanho da janela geralmente diminui, toda essa cadeia começa a exigir a reinserção da senha (é proibido copiar / colar) ou até fecha após alguns minutos em modo inativo, para que você precise ir ao banheiro muito rapidamente e apenas “em pequenas "
Eu suspeito fortemente que todas essas coisas, como tempos limite e falta de copiar e colar, sejam feitas simplesmente para torná-lo inconveniente. Puro mal. Nem todo DBA chegará ao servidor de produção. No entanto, sempre é possível piorar as coisas e eles já estão introduzindo algum tipo de sistema para produção com toque zero, o que, dizem eles, é até uma ordem de magnitude ainda mais inconveniente.
Auditores
Obviamente, muitas dessas medidas não são pura maldade, mas soluções “testadas pelo tempo” (como requisitos de senha) para auditores. Ao mesmo tempo, o conhecido princípio "não pergunte - não conte" é implementado - podemos adivinhar como 80% dos funcionários armazenam senhas. Mas todos parecíamos dizer, definir as regras, assinar documentos e, se alguém colou folhas no monitor, a culpa não foi nossa.
No entanto, mesmo com esse entendimento, abro a correspondência com medo - você pode encontrar outra carta sobre o seu "endurecimento" favorito - a tradução russa de "apertando os parafusos" e imaginando o que vai piorar. Você pode pensar que isso não é suficiente na minha vida! Parece que a preocupação com a segurança há muito se torna paranóia. Às vezes real, às vezes falsa - pelo bem dos auditores. Ainda me lembro da 13ª jornada de João, o Pacífico, para o planeta outrora deserto, que foi inundado, depois se transformou no oceano e todos não puderam parar até que todos se afogassem ...
Ficarei feliz em comentar.