Η Aviatrix λανσάρει το Clearance για τον περιορισμό της εξάπλωσης παραβιάσεων σε φόρτους εργασίας cloud και ΤΝ

Η Aviatrix λάνσαρε το Clearance, μια λύση ασφάλειας cloud σχεδιασμένη να περιορίζει τη ζημιά που μπορεί να προκαλέσει ένας παραβιασμένος φόρτος εργασίας, περιορίζοντας τους προορισμούς και τους άλλους φόρτους εργασίας στους οποίους μπορεί να αποκτήσει πρόσβαση. Η βασική της πρόταση είναι τόσο λειτουργική όσο και τεχνική: οι ομάδες ασφάλειας μπορούν να δοκιμάσουν μια περιοριστική πολιτική σε πραγματική κίνηση δικτύου προτού της επιτρέψουν να αποκλείει συνδέσεις παραγωγής.

Το Clearance, που ανακοινώθηκε στις 26 Οκτωβρίου, συνδυάζει τον περιορισμό της εξερχόμενης και της πλευρικής κίνησης με ένα αυτοματοποιημένο επίπεδο πολιτικών που ονομάζεται Aviatrix Active Defense. Η εταιρεία διαθέτει επίσης σε επιχειρήσεις δυνατότητες περιορισμού της εξερχόμενης και της πλευρικής κίνησης, καθώς και πρόληψης εισβολών, χωρίς όριο στον αριθμό των φόρτων εργασίας, μέσω ενός προσωρινού προγράμματος απόκρισης που διαρκεί από την 1η Νοεμβρίου 2026 έως την 1η Μαΐου 2027.

Για οργανισμούς που αναπτύσσουν πράκτορες ΤΝ παράλληλα με συμβατικές εφαρμογές cloud, το υποκείμενο πρόβλημα αποκτά ολοένα μεγαλύτερη σημασία. Μια υπηρεσία που έχει δεχτεί εκμετάλλευση ή ένας χειραγωγημένος πράκτορας μπορεί να διαθέτει ήδη χρήσιμα διαπιστευτήρια και πρόσβαση στο δίκτυο. Η αποτροπή της αρχικής παραβίασης παραμένει απαραίτητη, αλλά οι διαθέσιμες συνδέσεις στη συνέχεια καθορίζουν αν η παραβίαση θα παραμείνει περιορισμένη ή θα εξαπλωθεί.

Προεπιλεγμένη άρνηση με προεπισκόπηση των συνεπειών

Το Clearance λειτουργεί στην Aviatrix Containment Platform, η οποία βασίζεται στο Cloud Native Security Fabric της εταιρείας. Παρέχει στους φόρτους εργασίας ένα σαφώς καθορισμένο σύνολο επιτρεπόμενων διαδρομών επικοινωνίας, ενώ οι υπόλοιπες διαδρομές αποκλείονται από προεπιλογή.

Το Outbound Containment διέπει τις συνδέσεις με εξωτερικούς προορισμούς, οι οποίοι προσδιορίζονται με βάση το όνομα τομέα και όχι μόνο τη διεύθυνση δικτύου. Το Lateral Containment διέπει την επικοινωνία μεταξύ φόρτων εργασίας με βάση την ταυτότητά τους, επεκτείνοντας το μοντέλο σε διαφορετικά νέφη και σε πόρους όπως κοντέινερ, συναρτήσεις χωρίς διακομιστή, βάσεις δεδομένων και πράκτορες ΤΝ.

Η δυσκολία στην ανάπτυξη είναι ότι συχνά είναι δύσκολο να καταγραφούν πλήρως όλες οι νόμιμες εξαρτήσεις μιας εφαρμογής. Ένας κανόνας που φαίνεται σωστός κατά την εξέτασή του μπορεί και πάλι να διακόψει μια υπηρεσία πληρωμών, μια εργασία παρασκηνίου ή μια διασύνδεση που χρησιμοποιείται σπάνια.

Το Clearance αντιμετωπίζει αυτόν τον κίνδυνο με ένα Shadow Rule Set. Μια προτεινόμενη πολιτική λειτουργεί αρχικά σε λειτουργία παρακολούθησης, παράλληλα με την ενεργή πολιτική, και εμφανίζει την κίνηση δικτύου που θα είχε αποκλείσει, χωρίς να μπλοκάρει αυτές τις συνδέσεις. Οι ομάδες μπορούν να εντοπίσουν τις απαραίτητες διαδρομές, να αναθεωρήσουν τα δικαιώματα και στη συνέχεια να ενεργοποιήσουν την επιβολή της πολιτικής. Σύμφωνα με την Aviatrix, τόσο η ενεργοποίηση της επιβολής όσο και η επαναφορά απαιτούν μία μόνο ενέργεια.

Έτσι, η προεπισκόπηση αποτελεί σημαντικό μέρος της ροής εργασίας, όχι όμως εγγύηση ότι μια αλλαγή δεν μπορεί να προκαλέσει διακοπή λειτουργίας. Η κίνηση δικτύου που παρατηρείται σε μια δεδομένη περίοδο ενδέχεται να μην περιλαμβάνει τις διαδικασίες τέλους μήνα, την αποκατάσταση από καταστροφή ή κάποια άλλη σπάνια αλλά νόμιμη δραστηριότητα. Οι ομάδες εξακολουθούν να χρειάζεται να επιλέγουν περιόδους παρατήρησης και εξαιρέσεις που ανταποκρίνονται στον πραγματικό τρόπο λειτουργίας των εφαρμογών τους.

Πώς εντάσσεται η επιβολή πολιτικών δικτύου στις εφαρμογές cloud

Στον ιστότοπο του προϊόντος της, η Aviatrix περιγράφει μια διαφανή ενσωμάτωση σε επίπεδο VPC, η οποία διατηρεί τις αρχικές διευθύνσεις χωρίς να απαιτείται agent στον κεντρικό υπολογιστή, SDK ή αλλαγή στον κώδικα της εφαρμογής. Αναφέρει επίσης ότι οι πολιτικές μπορούν να αποτυπωθούν μέσω Terraform και προσαρμοσμένων πόρων Kubernetes και να ενορχηστρωθούν σε ομάδες ασφαλείας και σε Kubernetes NetworkPolicy, όπου δεν απαιτείται πύλη δικτύου.

Αυτό έχει σημασία, επειδή η υποδομή cloud αλλάζει ταχύτερα από μια στατική λίστα διευθύνσεων. Ένα κοντέινερ μπορεί να μετακινηθεί, μια συνάρτηση μπορεί να κλιμακωθεί και μια εφαρμογή μπορεί να εκτείνεται σε πολλά δίκτυα. Η διατύπωση των απαιτήσεων με βάση τον φόρτο εργασίας και τους προορισμούς στους οποίους χρειάζεται να έχει πρόσβαση μπορεί να καταστήσει μια πολιτική πιο ανθεκτική στον χρόνο, αντί να αντιμετωπίζεται κάθε αλλαγή διεύθυνσης ως ξεχωριστή απόφαση ασφάλειας.

Ο πρακτικός στόχος είναι να κλείσουν οι διαδρομές επικοινωνίας που θα μπορούσε να χρησιμοποιήσει ένας εισβολέας, χωρίς να υποχρεωθεί κάθε ομάδα εφαρμογών να υιοθετήσει μια νέα διασύνδεση. Ωστόσο, ο περιορισμός της κίνησης στο δίκτυο διέπει τη συνδεσιμότητα: ακόμη και μια επιτρεπόμενη σύνδεση μπορεί να μεταφέρει κακόβουλη δραστηριότητα. Συμπληρώνει την εγκατάσταση ενημερώσεων ασφαλείας, τους ελέγχους ταυτότητας, την ασφάλεια εφαρμογών και τον εντοπισμό απειλών· δεν καθιστά αυτά τα μέτρα περιττά.

Το Active Defense προσθέτει αυτοματοποιημένη συντήρηση πολιτικών

Το Aviatrix Active Defense αποτελεί το αυτόνομο επίπεδο της προσφοράς. Σύμφωνα με την ανακοίνωση, οι πράκτορές του δημιουργούν ένα μοντέλο του περιβάλλοντος του πελάτη, συντάσσουν προσχέδια των πολιτικών που χρειάζονται οι εφαρμογές, τις αξιολογούν σε λειτουργία παρακολούθησης και τις διατηρούν ενημερωμένες καθώς αλλάζουν οι φόρτοι εργασίας. Οι πολιτικές που προκύπτουν παραμένουν ευανάγνωστες και επεξεργάσιμες από την ομάδα ασφάλειας.

«Δεν μπορείτε να λύσετε αυτό το πρόβλημα μόνο με ενημερώσεις κώδικα ή εντοπισμό, δεδομένου του χρόνου που διαθέτετε, ενώ αυτός ο κύκλος ενημερώσεων συμπίπτει με το πάγωμα αλλαγών κατά την περίοδο των εορτών», δήλωσε στην ανακοίνωση ο διευθύνων σύμβουλος της Aviatrix, Doug Merritt, εξηγώντας την απόφαση της εταιρείας να προσφέρει ένα προσωρινό μέτρο περιορισμού, καθώς οι πελάτες αξιολογούν και επιδιορθώνουν τα συστήματά τους.

Ο ιστότοπος προσθέτει μια σημαντική διευκρίνιση σχετικά με τη διαθεσιμότητα: το Active Defense διατίθεται δωρεάν σε πρώιμη πρόσβαση για συνεργάτες σχεδιασμού που χρησιμοποιούν το Aviatrix Enterprise, ενώ η διάθεσή του για το Aviatrix Cloud έχει προγραμματιστεί. Αυτό πρέπει να διακρίνεται από τη διαθεσιμότητα των δυνατοτήτων περιορισμού του Clearance. Η σελίδα αναφέρει επίσης ότι ο αυτοματισμός λειτουργεί εντός των ορίων που ορίζει η ομάδα και δεν τροποποιεί κανόνες που έχουν συνταχθεί από ανθρώπους.

Το δυνητικό όφελος είναι η μείωση της χειρωνακτικής εργασίας που απαιτείται για τη μετατροπή της συμπεριφοράς των εφαρμογών σε πολιτικές που μπορούν να επιβληθούν. Η αντίστοιχη λειτουργική απαίτηση είναι να διατηρούνται σαφείς οι αρμοδιότητες: οι κανόνες που προτείνονται αυτόματα χρειάζονται καθορισμένη διαδικασία ελέγχου και εφαρμογής, ιδιαίτερα όταν η παρατηρούμενη συμπεριφορά μιας εφαρμογής ενδέχεται ήδη να περιλαμβάνει ανεπιθύμητες συνδέσεις.

Γιατί οι πράκτορες ΤΝ καθιστούν σημαντικότερη την προσβασιμότητα δικτύου

Η ευρύτερη τεχνολογία ασφάλειας φόρτων εργασίας ΤΝ της Aviatrix χρησιμοποιεί δεδομένα ροής δικτύου, αρχεία καταγραφής DNS και απογραφή πόρων στο cloud για να εντοπίζει πράκτορες, τελικά σημεία μοντέλων και σχετικές υποδομές. Η εταιρεία την περιγράφει ως έναν τρόπο με τον οποίο οι ομάδες ασφάλειας μπορούν να εντοπίζουν τη χρήση ΤΝ χωρίς να εξαρτώνται αποκλειστικά από τους προγραμματιστές για την ενσωμάτωση μηχανισμών παρακολούθησης στις εφαρμογές.

Ο εντοπισμός και ο περιορισμός αντιμετωπίζουν διαφορετικά προβλήματα. Ο εντοπισμός συμβάλλει στη διαπίστωση των συστημάτων που υπάρχουν και των συνδέσεών τους. Ο περιορισμός καθορίζει ποιες από αυτές τις συνδέσεις παραμένουν δυνατές όταν εφαρμόζεται μια πολιτική.

Ας εξετάσουμε έναν πράκτορα που χρειάζεται έναν πάροχο μοντέλου και μία εγκεκριμένη εσωτερική υπηρεσία. Ο περιορισμός των διαδρομών δικτύου του μπορεί να μειώσει τους προορισμούς στους οποίους έχει πρόσβαση για την κλοπή δεδομένων ή την περαιτέρω διείσδυση, αν ο πράκτορας παραβιαστεί. Αυτό δεν αποδεικνύει ότι οι προτροπές, η συλλογιστική ή οι εξουσιοδοτημένες ενέργειές του είναι ασφαλείς· για αυτά απαιτούνται έλεγχοι σε άλλα επίπεδα.

Αυτή η διάκριση αποσαφηνίζει τη συνάφεια του προϊόντος με την ΤΝ. Το Clearance αφορά τον περιορισμό των πόρων στους οποίους μπορεί να αποκτήσει πρόσβαση ένας πράκτορας μέσω του δικτύου, ενώ το Active Defense χρησιμοποιεί αυτοματοποίηση για να συμβάλλει στη διατήρηση αυτών των ορίων.

Το δωρεάν πρόγραμμα και η τυπική διαθεσιμότητα

Η Aviatrix αναφέρει ότι όλες οι επιχειρήσεις δικαιούνται να συμμετάσχουν στο πρόγραμμα απόκρισης, το οποίο καλύπτει τον περιορισμό εξερχόμενης κίνησης, τον πλευρικό περιορισμό και την αποτροπή εισβολών σε ολόκληρο το περιβάλλον τους, χωρίς όριο στον αριθμό των φόρτων εργασίας, από την 1η Νοεμβρίου έως την 1η Μαΐου. Οι εγγραφές μέσω του AWS Marketplace ξεκινούν την 1η Νοεμβρίου 2026.

Οι ομάδες μπορούν να ξεκινήσουν με μια δωρεάν Αξιολόγηση περιορισμού. Ο ιστότοπος διακρίνει την αρχική αυτοαξιολόγηση μέσω προγράμματος περιήγησης, η οποία παρέχει προσωρινά αποτελέσματα, από την επακόλουθη αξιολόγηση της αρχιτεκτονικής, η οποία βασίζεται σε δεδομένα πελατών. Επομένως, η αρχική βαθμολογία πρέπει να θεωρείται αφετηρία για περαιτέρω διερεύνηση και όχι καταγεγραμμένη απογραφή κάθε πόρου στον οποίο είναι δυνατή η πρόσβαση.

Στο πλαίσιο της τυπικής προσφοράς της, το Clearance περιλαμβάνει αξιολόγηση και 15 φόρτους εργασίας σε λειτουργία παρακολούθησης ή επιβολής, χωρίς χρονικό περιορισμό. Η πρόσθετη χωρητικότητα τιμολογείται ανά φόρτο εργασίας, με πληροφορίες για τις τιμές διαθέσιμες από την Aviatrix. Η ανακοίνωση αναφέρει ότι οι δύο μηχανισμοί περιορισμού παρέχονται μέσω του Aviatrix Cloud και είναι επίσης διαθέσιμοι στο Aviatrix Enterprise.

Η διάθεση του προϊόντος στοχεύει σε ένα επίμονο εμπόδιο για την ασφάλεια των επιχειρήσεων: οι οργανισμοί συχνά συμφωνούν ότι οι φόρτοι εργασίας πρέπει να έχουν λιγότερη πρόσβαση, αλλά διστάζουν να επιβάλουν περιορισμούς όταν οι συνέπειες είναι αβέβαιες. Η σημασία του Clearance έγκειται στη σύνδεση αυτού του στόχου ασφάλειας με μια σταδιακή λειτουργική διαδικασία: παρατήρηση της προτεινόμενης πολιτικής, επίλυση εξαρτήσεων, εφαρμογή της και διατήρηση μιας σαφούς δυνατότητας επαναφοράς.