Retour à l'époque où j'ai été heureux de passer du temps sur le plancher dans les opérations de centres de calcul, nous avons toujours observé que les plus grandes menaces à la sécurité de nos systèmes sont bien les opérateurs qui ont l'intention de simples erreurs. Aucun hacker ou pénales jamais ramené un réseau comme le bored réseau gars sur la fin du quart, qui a décidé d'envoyer une nouvelle version de l'IOS de Cisco sur les routeurs d'un fournisseur de services Internet sans essai préalable. Un bug dans la libération IOS causés chaque routeur aller vers le bas, un par un. Je me souviens être appelés à travailler à résoudre le problème (à envoyer des gens sur place pour le chargement de la IOS à chaque endroit), puis passer de nombreuses heures à écrire du code et des scripts de wrapper pour enregistrer chaque frappe sur des systèmes opérationnels par les opérateurs, vers 1994.

Plus et plus nous voyons la vérité de unsexy auto-infligées par déni de service, comme nous l'avons souvent fait référence à ces incidents. L'accent mis par les professionnels de la sécurité IT est souvent sur les petites, presque trivial exploits, tandis que les principaux problèmes sont toujours d'une bien destiné opérateur nous payons pour faire le travail.

Il n'y a pas si longtemps, où Google a eu le même problème. Si vous vous souvenez (je crois que j'ai posté quelque chose ici), l'un des employés de Google téléchargé un «/» (slash) comme un site malveillant dans leur "super filtre". Ce petite erreur due à l'ensemble de l'internet est inaccessible via Google pour environ une heure (ou un peu moins, je me souviens bien). Avec autant de sociétés en fonction de Google AdSense pour les recettes (dernier appartenant à Google, plus de 70% de la recherche de marché), ce fut une perte importante pour de nombreuses entreprises (et surtout, Google).

Ainsi, il n'est donc pas surprenant que, dans notre hâte à l'externalisation des services aux "nuages" que nous oublions une erreur dans le "nous nous appuyons sur des nuages" par un nuage de prestataire de services est plus susceptible de provoquer une interruption de service d'un hacker hackin' le nuages. Jamais la moindre preuve de prudence, nous lisons des rapports sur le piratage de nuages, pas de nuages les questions opérationnelles.

En cas-en-point, l'un des "sites-under-notre-wings" a décidé d'expérimenter avec Amazon CloudFront de livrer le contenu statique. Nous avons mis l'accent sur la rapidité de livraison, la latence et l'expérience de l'utilisateur. Nous avons été " heureux "Amazon AWS et la défense comme la prochaine grande à venir de la technologie. Tous semblaient très bien. Ensuite, la pluie a cessé d'objets de notre nuage. Nos objets ne sont pas servi plus. Le site Web a été effectuée parce que le porter CloudFront AWS Content Delivery Network ( EUR) arrêtera de contenu. Heureusement pour nous, nous avons seulement déplacé sur de petits objets graphiques statiques, de ne pas le Javascript ou d'autres opérations web code. Nous avons tendance à travailler en petits pas, les leçons tirées de la congélation de l'informatique opérationnelle étages centres.

Que s'est-il passé?

Un système fondé sur des règles de notre (une fois favoris) de nuages fournisseur signalé ce compte comme "suspect" et, sans avertissement, avis par courriel, téléphone ou SMS, arrêtez les services de notre nuage. Pas plus de contenu. Service refusé. Notre nuage a été sec. Il n'y avait pas de hacker, pénale ou autre personne gênante de provoquer un dommage, pas de fraudeur ou méchant, il a été le fournisseur de nuages nous avons payé pour prendre soin de ces choses - un bien destiné série d'erreurs.

Cette courte histoire sert de rappel à tous les professionnels de la sécurité IT sur les dangers cachés dans les nuages et comment les services des questions opérationnelles par des gens bien intentionnés nous avons confiance sont généralement les plus grands risques pour les systèmes de TI et la sécurité du système.




Plus d'informations ...