Традиционная безопасность на основе периметра работала, когда данные и приложения находились в локальных дата-центрах, а сотрудники работали в офисе. Но с распространением гибридного формата работы и миграцией в облако эта модель устарела. Современные организации часто используют нескольких облачных провайдеров (например, AWS, Microsoft Azure), что дает злоумышленникам множество точек входа для атак по мере перемещения данных между средами.
Облачные анклавы решают эту проблему, разделяя облачные среды на безопасные зоны со строгим контролем, что ограничивает риск латерального перемещения. Индивидуальные политики нулевого доверия (zero trust), часто реализуемые с помощью таких инструментов, как микросегментация, ограничивают трафик только тем, что явно разрешено. Такой подход является более эффективным способом защиты рабочих нагрузок и данных в современных децентрализованных облачных средах.
Сетевая сегментация против облачных анклавов
Сетевая сегментация управляет трафиком внутри подсетей и между ними на сетевом уровне с помощью VLAN, межсетевых экранов и списков доступа. Облачные анклавы, напротив, добавляют многоуровневые, детализированные элементы управления на основе идентичности и контекста, защищая трафик на уровне рабочей нагрузки или приложения. Давайте рассмотрим оба подхода подробнее.
Сетевая сегментация
Сетевая сегментация делит сеть на поднети, применяя правила безопасности и соответствия к каждой из них. Трафик между сегментами обычно разделяется с помощью VLAN и межсетевых экранов. Будучи более детальной, чем безопасность на основе периметра, сегментация опирается на статичные IP-адреса, порты и протоколы, которые определяют, откуда поступили запросы, но не кто или что их совершило.
Эти статичные средства контроля доверяют сущностям внутри сегментов, даже если они являются злоумышленниками. Такой «плоский» дизайн сети допускает латеральное перемещение, оставляя атакующим пути для распространения по рабочим нагрузкам и компрометации вашей среды. Управление сегментацией с помощью устаревших инструментов, таких как межсетевые экраны и виртуальные машины (ВМ), также сопряжено с высокими затратами, сложностью и временными затратами, которые часто перевешивают ее преимущества.
Облачные анклавы
Облачные анклавы создают изолированные зоны в облачных средах, адаптированные под конфиденциальные рабочие нагрузки, приложения или требования соответствия. В отличие от сетевой сегментации, анклавы используют такие инструменты, как микросегментация, для уменьшения поверхности атаки путем контроля восточно-западного трафика на уровне рабочей нагрузки. Анклавы также аутентифицируют запросы на основе идентичности и контекста, добавляя более глубокую защиту помимо статичного контроля IP-адресов.
Благодаря доступу на основе наименьших привилегий и ограниченному латеральному перемещению внутри зон, анклавы снижают риски внутренних и внешних угроз. Даже если одна рабочая нагрузка будет взломана, остальная часть среды останется в безопасности.
