Az Office 365 háromlépcsős védelme – ezért nem kell féltened adataidat
Ha azt fontolgatjuk, hogy cégünket felhőszolgáltatásokra állítjuk át, új szinten kell átgondolnunk a választást: a bizalom szintjén. A felhőalapú szoftver-mint-szolgáltatás (SaaS) megoldások esetén a biztonságért már nem csak magunk felelünk, a szolgáltató megoldásait is meg kell ismernünk ahhoz hogy ezt a bizalmat megelőlegezhessük.
Az elmúlt években a kibertámadások, a hekkerek által feltört adatbázisok száma látványosan megszaporodott – alig telik el úgy hét, hogy ne olvashatnánk arról, éppen melyik nagyvállalat vagy kormányügynökség adatbázisait törték fel, hány millió felhasználó adataihoz fértek hozzá illetéktelenek.
A vállalatok hozzáállása is megváltozott: 2015-re a kiberbiztonság elhanyagolt témából az egyik fő kérdéssé vált a büdzsé elosztása során, mivel a cégek felismerték, hogy egy adatvesztési ügy nem csak kézzelfogható veszteséget jelent, de egyben hatalmas arcvesztést is, mivel a média ma már mindenről beszámol. Egyes felmérések szerint ma a vállalatok 24,6 százaléka gond nélkül fizetne válságdíjat a szervereit feltörő hekkereknek vagy azért, hogy elkerüljék a támadást.
Érthető, hogy ma már mindenki a lehető legbiztonságosabb szolgáltatásokat keresi, és inkább áldoz a kiberbiztonságra, minthogy a következő címlapon ő szerepeljen. Anélkül azonban, hogy tudnánk, pontosan hogyan védik az adatainkat, nehéz egy szolgáltatás mellett letenni a voksunkat.
Az Office 365 olyan, akár a hagyma
Az Office 365 esetében a Microsoft háromrétegű védelmet alakított ki, hogy adatainkat biztonságban tudhassuk. A szolgáltatásszintű (service-level) biztonsági megoldások három szintje:
- fizikai védelem (physical layer)
- logikai védelem (logical layer)
- adatvédelem (data layer)
A mélységi védelem biztosítja azt, hogy a felhasználók adatai több szintű védelmet élvezve akkor is biztonságban legyenek, a egy adott ponton az illetéktelen hozzáférést keresők sikerrel járnának. A Microsoft adatközpontjaiban futó szolgáltatásoknak természetesen része az esetleges támadások, behatolási kísérletek folyamatos figyelése is: a szakemberek és automatizált rendszerek képesek észlelni, megelőzni és semlegesíteni a biztonsági fenyegetéseket, általában már azelőtt, hogy bármiféle gondot okozhatnának.
A betörések megakadályozása érdekében a szolgáltatást üzemeltetők folyamatosan auditálják az operátori és adminisztrátori belépéseket és tevékenységeket, az engedélyeket mindig csak a belépés idejére osztják ki a felhasználóknak, az email környezetet elkülönítik a termékhozzáféréstől és így tovább.
Hogy a betöréseket megakadályozzák a felesleges regisztrációkat is rendszeresen törlik, ha egy dolgozó elmegy a cégtől, ha csoportot vált vagy éppen a lejárati idő előtt nem használja a fiókját. Ahol csak lehetséges, automatizálják a feladatokat, igyekezvén kizárni az emberi hiba lehetőségét, így jellemzően a telepítési, debugging, diagnosztikai és szolgáltatás-újraindítási feladatokat a gépek végzik el.
Erősíti a védelmet az is, hogy a szokatlan, gyanús tevékenységeket a rendszeren belül szintén automatizált programok figyelik, keresik, így a lehető leghamarabb képesek a fenyegetésekre válaszolni. Még a hibajavítás egy része is automatizált: a rendszer által észlelt problémákra automatikusan elkészülnek és telepítésre kerülnek a patchek, emberi beavatkozás nélkül.
Természetesen a szolgáltatásokat folyamatosan teszteknek vetik alá, illetéktelen behatolási kísérleteket szimulálnak, így láthatják, hol vannak esetleg gyenge pontok a védelemben és csökken a reakcióidő is.
1. A fizikai védelem szintje – az adatközpont és a hálózat
Az ügyfelek adatait a Microsoft az Office 365 szolgáltatások működtetésére dedikált adatközpontokban tárolja, amelyek földrajzilag redundánsak, vagyis egymástól távoli pontokon épültek fel. Ez csökkenti annak esélyét, hogy valamilyen lokális esemény (természeti katasztrófa, az energiahálózat hibája stb.) megzavarja a szolgáltatást, mivel szükség esetén egy másik távoli létesítmény képes átvenni az érintett adatközpont munkáját.
Az adatközpontokat természetesen eleve úgy tervezték meg, hogy a természeti behatásoknak és a (fizikai) behatolási kísérleteknek is ellenálljanak. Az illetéktelen behatolók elleni intézkedéseknek része egy igen komoly, folyamatosan működő beléptetési rendszer, melyben az engedélyeket mindig csak az adott napra és munkára adják ki, és a hozzáférési szinteket az abszolút szükségesre korlátozzák.
Mindenkinek, aki be akar jutni az adatközpontba egy többlépcsős beléptető-rendszeren kell átjutnia melyben az okos belépőkártyák mellett a biometrikus azonosítás is szerephez jut, a helyszínen biztonsági szolgálat tartja szemmel a látogatókat, az adatközpont területét pedig folyamatosan kamerákkal, mozgásérzékelőkkel figyelik és riasztórendszerekkel biztosítják.
A különféle természeti katasztrófák esetére is különféle automatizált rendszereket telepítenek az adatközpontokban, így például tűzoltórendszereket, amelyek a lehető legjobban kímélik a hardvereket. Emellett olyan rackeket használnak, amelyek egy földrengés esetén képesek megvédeni az érzékeny eszközöket a sérüléstől.
A hálózatot annak peremén és a hálózatban elhelyezett eszközök segítségével védik. Az alapelv, hogy csakis azokat a kapcsolatokat, csak olyan kommunikációt engedjenek át, amely a rendszer működéséhez feltétlenül szükséges minden más portot, protokollt és kapcsolatot blokkolva.
A rendszer routerein hozzáférés-jogosultsági listákat (ACL) használnak, amelyek tartalmazzák az információkat arról, hogy milyen kapcsolatok férhetnek hozzá egy-egy objektumhoz a rendszeren belül, illetve, hogy milyen jogosultságokkal bírnak, mit tehetnek az adott objektumokkal. A hosztokon IPsec protokollcsomagok biztosítanak védelmet, és természetesen a hálózatot több szinten működő tűzfalak is védik a támadásoktól. A routereken működő biztonsági rendszer lehetővé teszi, hogy a behatolási kísérleteket, illetve a különféle sebezhetőségeket hálózati szinten észleljék.
Az Office 365 adatközpontokon belüli hálózatokat fizikailag is szegmentálják, a kritikus back-end szervereket és tárolókat, valamint a publikusan elérhető interfészeket egymástól független rendszerek védik.
2. A logikai védelem szintje – automatizáció, jogosultságok, malware-védelem
A logikai szinten számos kontroll és folyamat védelmezi a hoszt gépeket, a rajtuk futó applikációkat, illetve mindazokat a felhasználókat, akik ezeket a gépeket és alkalmazásokat használják.
A hosztokon és applikációkban végzett műveletek többsége automatizált, az emberi beavatkozás minimális – így igyekeznek a következetlen konfigurációból eredő hibákat kizárni, illetve a káros tevékenységeket kiszűrni.
Az Office 365 szolgáltatásokhoz és a Microsoft adatközpontjaiban tárolt adatokhoz való adminisztrátori hozzáférést szigorúan ellenőrzik.
Az alapelv az, hogy minden személynek a lehető legminimálisabb szintű hozzáférést adják az adatokhoz, hogy adott műveleteket el tudjanak végezni. A rendszerben végzett tevékenységeket, illetve a hozzáféréssel rendelkezőket folyamatosan monitorozzák (legyenek jelen akár fizikailag az adatközpontban, akár távoli kapcsolat révén).
Security Development Lifecycle: a Microsoft a szoftverek és szolgáltatások tervezése, fejlesztése és telepítése során folyamatosan ellenőrzi, hogy megfelelően érvényesülnek-e a biztonsági szempontok – ezt a folyamatot takarja az SDL. Általa igyekeznek még az egyes szolgáltatások elindítása előtt azonosítani a lehetséges sebezhetőségeket, támadható felületeket és fenyegetéseket, és kiiktatni ezeket a rendszerből.
Az adatokat természetesen anti-malware szoftverek is védik, amelyek a káros programokat akadályozzák meg abban, hogy hozzáférjenek bármihez a rendszeren belül, vírussal fertőzzék meg azt vagy férgeket juttassanak be. A szoftverek feladata az is, hogy a fertőzött állományokat karanténba zárják, megelőzve a további károkat.
3. Az adatvédelem szintje
Az Office 365 egy több bérlős, nagymértékben skálázható szolgáltatás, ami azt is jelenti, hogy adataink sokszor más ügyfelek adataival osztoznak a fizikai hardveren.
A modern adatközpontokban azt az adatvédelmi problémát, amit ez jelenthet, már régen feloldották. AZ Office 365 szolgáltatásban az adattárolás és -feldolgozás az Azure Active Directory segítségével kerül elkülönítésre, illetve olyan, speciálisan a szolgáltatás számára fejlesztett megoldásokon keresztül, amelyeknek célja a több bérlős környezetek kiépítése, kezelése és biztonságossá tétele. Az Azure-nak köszönhetően adatainkhoz más ügyfelek nem férhetnek hozzá és nem módosíthatják azokat.
Mindezek mellett a felhőalapú Office-ban természetesen számos titkosítási megoldás is található, amelyek akkor is védik az adatokat, ha azokhoz a többszintű védelmen keresztül eljutna egy illetéktelen behatoló.
Ezek tehát azok az alapvető módszerek, amelyek az Office 365 szolgáltatásainak használata során biztosítják, hogy ne kelljen az adatvesztéstől vagy adatlopástól tartanunk.