Code Spaces je bilo podjetje, ki je razvijalcem med drugim ponujalo repozitorije izvorne kode in storitve upravljanja projektov z uporabo Git ali Subversion. To je trajalo sedem let in kupcev ni manjkalo. Ampak vsega je konec - napadalca je v bistvu umoril podjetje.
Govorimo o varnosti, varnostnih kopijah in zlasti o oblaku, vendar je težko količinsko opredeliti večino svojih prizadevanj, zlasti glede na proračunske pomisleke. Svoje obzidje si lahko čim bolj utrdimo s sredstvi, ki jih imamo, in v veliki večini primerov bo to dovolj. Včasih pa ne bo dovolj.
[Naučite se, kako močno zmanjšati nevarnost zlonamernih napadov s posebnim poročilom PDF Insider Threat Deep Dive. | Bodite na tekočem z najnovejšimi dogodki na področju varnosti z glasilom Security Central. ]
Code Spaces je bil večinoma zgrajen na AWS z uporabo primerkov pomnilnika in strežnika za zagotavljanje svojih storitev. Ti primerki strežnika niso bili vdrti, prav tako pa tudi ni bila ogrožena ali ukradena baza podatkov Code Spaces. Glede na sporočilo na spletni strani Code Spaces je napadalec dobil dostop do nadzorne plošče podjetja AWS in zahteval denar v zameno za sprostitev nadzora nazaj v Code Spaces. Ko Code Spaces ni izpolnil zahtev in je poskušal prevzeti nadzor nad lastnimi storitvami, je napadalec začel brisati vire. Kot piše v sporočilu na spletni strani: "Končno nam je uspelo vrniti dostop do plošče, vendar ne preden je odstranil vse posnetke EBS, vedra S3, vse AMI-je, nekatere primerke EBS in več primerkov stroja."
Napad je dejansko uničil Code Spaces. Gre za neposredno primerjavo s tem, da nekdo pozno ponoči vdre v poslovno stavbo, zahteva odkupnino, nato pa metanje granat v podatkovni center, če zahteve niso bile izpolnjene. Edina razlika je v tem, da je veliko lažje prodreti v platformo, ki temelji na oblaku, kot pa fizično kršiti podatkovni center podjetja.
Prepričan sem, da se ta scenarij tistim ubogim dušam v Code Spaces ni nikoli zgodil. Več kot verjetno so nadaljevali z varnostnimi ukrepi, zagotovili, da je njihova varnost strežnikov tesna, in se v večini infrastrukture zanašali na Amazon - za razliko od tisočih drugih podjetij. Pa vendar je bil napad, ki je spodbudil Spaces Code, tako preprost kot dostop do nadzorne plošče AWS. Vsa varnost na svetu je nepomembna, če grožnja prihaja od znotraj, in zdi se, da se je tukaj to zgodilo.
Code Spaces je repliciral storitve in varnostne kopije, vendar jih je bilo vse mogoče očitno nadzorovati z iste plošče in so bili zato na kratko uničeni. Podjetje pravi, da nekaj podatkov še vedno ostaja in s kupci sodeluje po svojih najboljših močeh, da omogoči dostop do tistega, kar je ostalo.
To je vrsta zgodbe, ki bi nas vse morala močno prizadeti, saj bi se zagotovo lahko zgodila tebi in meni. Vsekakor krepi idejo, da je ločevanje storitev dobra stvar.
Če uporabljate storitve v oblaku, bi morda morali uporabiti nekaj različnih ponudnikov. Če je le mogoče, razporedite svoje storitve na več geografskih lokacij in tu in tam zapravite nekaj dodatnih dolarjev za varnostne ukrepe, ki presegajo preprosto slikanje primerkov strežnika. Vsekakor bi morali imeti varnostne kopije zunaj spletnega mesta - o tem se ni mogoče pogajati - čeprav bo to pomenilo znatne stroške, ko se vse drugo izvaja v oblaku.
Pravi čas je, da tretji ponudniki varnostnih kopij v oblaku sprožijo svoje melodije. Ta izredno žalostna zgodba bi jih morala pridobiti več kot le nekaj kupcev.
Ljudem, ki stojijo za Code Spacesom, ki se nedvomno še vedno otepajo zaradi tega brezvestnega napada, izrekam iskreno sožalje. Upa se, da bodo ljudje, ki stojijo za takšnim opustošenjem, privedeni pred sodišče, čeprav se to zdi malo verjetno. Lahko se malo potolažite, če veste, da lahko vaše nesreče drugim pomagajo, da se izognejo podobnim usodam. Majhno udobje, vem.
Ta zgodba "Umor v amazonskem oblaku" je bila prvotno objavljena na .com. Preberite več bloga Paula Venezia The Deep End na .com. Za najnovejše novice o poslovni tehnologiji spremljajte .com na Twitterju.
