На відміну від традиційного програмного фаєрволу, що призначений для захисту комп’ютера чи сервера, «фаєрвол як сервіс» використовується для одночасного захисту кількох клієнтських IT-інфраструктур. Втім це не єдина відмінність такого підходу від традиційних апаратних та програмних рішень.

Традиційний фаєрвол (також відомий як міжмережевий екран або брандмауер) захищає від загроз з локальної мережі або інтернету тільки той пристрій, на якому він встановлений. Це програмне забезпечення здійснює базову фільтрацію мережевого трафіку, у разі небезпеки попереджаючи користувача про ймовірні загрози, або блокуючи потенційно небезпечні з’єднання згідно з певними правилами.

«Фаєрвол як сервіс» (Firewall as a Service, FWaaS) працює на стороні провайдера і являє собою відмовостійкий кластер апаратно-програмних міжмережевих екранів, ресурси яких надаються клієнтам за сервісною моделлю. FWaaS так само виконує перевірку безпеки та служить бар’єром між компонентами IT-інфраструктури клієнта та підключеними до неї системами та мережами.

Як працює FWaaS

Фаєрволи можна умовно поділити на два типи.

Програмний встановлюється на фізичні або віртуальні пристрої й призначений для відстеження вхідного та вихідного трафіку, а також блокування потенційних загроз. Це спеціалізоване програмне забезпечення може встановлюватись безпосередньо на комп’ютер або на сервер, що може виступати в ролі програмного маршрутизатора. Ключовими перевагами програмних міжмережевих екранів можна вважати нижчу порівняно з апаратними вартість, здатність захищати окремі сегменти локальних мереж зсередини, а також можливість розгортати їх на користувацьких комп’ютерах та наявних серверах. До недоліків відноситься обмежена на тлі апаратних рішень пропускна спроможність та в деяких випадках досить трудомістке налаштування.

Апаратний фаєрвол являє собою обладнання, що спроєктовано безпосередньо для обробки трафіку, та працює під керуванням спеціального програмного забезпечення. Така система захищає від мережевих атак підключену до нього фізичну або віртуальну ІТ-інфраструктуру.

Серед популярних міжмережевих екранів можна відзначити такі рішення як Cisco ASA, FortiGate, CheckPoint, SonicWALL та WatchGuard. Вони, як і притаманно апаратним брандмауерам, ефективніші за програмні рішення, вирізняються високою продуктивністю, надійністю, а також простотою підключення та використання. Головним недоліком апаратного фаєрволу є висока вартість, що робить недоцільним його використання для індивідуального захисту.

«Фаєрвол як сервіс»

Фаєрвол, який пропонується за сервісною моделлю, по суті є різновидом апаратного. Це обладнання під керуванням спеціалізованого ПЗ, що дозволяє створювати віртуальні домени – кожен з них обслуговуватиме певного клієнта та забезпечуватиме максимально можливу ізоляцію навантажень клієнтів один від одного. За аналогічним принципом працює віртуалізація, де ізоляцію віртуальних машин забезпечує гіпервізор.

Фактично з послугою «фаєрвол як сервіс» клієнт отримує потужне та ефективне апаратне рішення для захисту будь-якої IT-інфраструктури: хмарної, фізичної чи гібридної. Такий підхід дозволяє зробити дорогі апаратні фаєрволи більш доступними, оскільки передбачає використання потужного пристрою для захисту кількох клієнтських IT-інфраструктур. По суті це той самий принцип, що лежить в основі популярної соціальної економічної моделі шерінгу, коли завдяки поділу якісь цінні ресурси стають доступними для спільного одночасного використання.

Як захищають від загроз міжмережеві екрани нового покоління

Наразі провайдери використовують для захисту від загроз міжмережеві екрани наступного покоління – NGFW (Next Generation FireWall). Такі пристрої відповідають за маршрутизацію трафіку та після поділу на віртуальні домени (інстанси) можуть обслуговувати декілька навантажень клієнта. Потрібна кількість віртуальних інстансів на один NGFW-пристрій визначається залежно від продуктивності обладнання та кількості мережевих портів. Відповідно клієнт замовляє стільки інстансів, скільки йому необхідно для ефективного захисту наявної IT-інфраструктури від небажаного трафіку.

Серед NGFW-пристроїв популярністю користуються, наприклад міжмережеві екрани Fortinet FortiGate. Тому саме на їх базі Colobridge побудувала свою платформу Firewall as a Service. Це апаратно-програмні комплекси з великою кількістю мережевих портів та підтримкою кластеризації. У кожному комплексі встановлено кілька мережевих процесорів для обробки мережного трафіку і ще кілька потужних спеціалізованих чипів для забезпечення функцій безпеки.

Що потрібно знати користувачам послуги FWaaS

«Фаєрвол як сервіс» дозволяє забезпечити захищений доступ до IT-інфраструктури клієнта та реалізувати різні сценарії доступу до його ресурсів. Це економічно обґрунтований інструмент для комплексного захисту від різних типів загроз: шкідливого ПЗ, цільових кібератак і розширених постійних загроз, включаючи новітні – завдяки регулярному оновленню відповідних баз NGFW-пристрою.

Ключові можливості FWaaS:

• міжмережева фільтрація трафіку;
• виявлення та запобігання атак;
• контроль за використанням додатків;
• фільтрація вебконтенту;
• захищений віддалений доступ;
• пріоритезація трафіку;
• блокування джерел нелегітимного трафіку;
• захист вебзастосунків.

Клієнти, які обирають FWaaS як додаткову послугу до хмарного або фізичного розміщення своєї IT-інфраструктури, отримують захист мережевого трафіку в режимі реального часу, гарантії відсутності єдиної точки відмови в системі безпеки та можуть прогнозувати свої витрати на відбиття мережних загроз. Фахівці Colobridge рекомендують використовувати «фаєрвол як сервіс» для захисту віртуальних машин у хмарі, приватних та гібридних хмар, виділених серверів – будь-якої реалізації корпоративної IT-інфраструктури, а також загалом для захисту бізнес-додатків.

Тема безпеки ІТ-інфраструктури наразі актуальна як ніколи. Компанії можуть бути атакованими з різних причин: зовнішні загрози, недобросовісні конкуренти або інші зацікавлені особи, хакери-аматори. Але в будь-якому випадку наслідки можуть бути сумними. Тому бізнесу важливо пам’ятати про потенційні загрози для своїх ІТ-систем та застосовувати послідовний підхід до організації цифрового захисту.

Інфраструктура хмарних обчислень включає безліч компонентів на кількох рівнях – фізичні сервери, мережі, системи віртуалізації, сховища, бази даних, програми тощо. Щоб повністю убезпечити свою інфраструктуру, компанії необхідно забезпечити захист кожної її складової.

Захист інформації на сервері

Хоча основа хмарної інфраструктури – віртуалізація, безпека фізичних серверів є дуже важливою. Йдеться не тільки про те, щоб розмістити їх на майданчику, що добре охороняється. Потрібно також забезпечити контроль над вхідними та вихідними з’єднаннями та налаштувати підключення серверів лише до певних діапазонів IP-адрес.

Фахівці Colobridge також наголошують на тому, що обмін даними повинен відбуватися по зашифрованих і добре захищених каналах (наприклад, VPN), щоб уникнути потенційних атак Man-in-the-middle. Не можна використовувати вразливі протоколи, такі як Telnet, FTP, HTTP. Їх можуть замінити безпечні аналоги – SSH, SFTP (Secure FTP), HTTPS.

Крім того, рекомендується використовувати двофакторну аутентифікацію.

Захист мережевих з’єднань

Аби мережа не стала вразливим місцем у хмарній інфраструктурі, рекомендується дотримуватися кількох перевірених правил.

• Налаштуйте списки керування доступом (ACL) для VPN.
• Використовуйте додаткові рішення для безпеки, такі як firewall-as-a-Service (FWaaS) та firewall веб-програм (WAF), щоб швидко та активно виявляти та блокувати шкідливий трафік.
• Якщо можливо, розгорніть інструменти автоматичної перевірки хмарних мереж (Cloud Security Posture Management (CSPM) для виявлення вразливих конфігурацій.

Захист гіпервізора

Компрометація гіпервізора (гіперджекінг) дозволяє зловмиснику отримати доступ до всіх хостів та віртуальних машин компанії. Комп’ютери, де працюють гіпервізори, мають бути добре ізольовані від загальних мереж.

Доступ до гіпервізору потрібно ретельно контролювати, мінімізуючи привілеї для всіх користувачів, які не є адміністраторами. Особливу увагу варто приділити машинам, на яких запущений монітор VM і ПЗ для управління віртуалізацією, таке як VMware vSphere. Засоби для розгортання та тестування нового гіпервізора теж необхідно зробити безпечними.

Захист хмарного сховища

У хмарних системах сховища є віртуалізованими пулами зберігання. Для них діють такі правила захисту.

• Складіть чіткий список пристроїв або програм, які потребують доступу до хмарного сховища.
• Забороніть доступ до сховища внутрішнім користувачам, яким воно не потрібне.
• Видаляйте дані, що не використовуються, щоб зменшити поверхню атаки, а також забезпечити виконання зобов’язань перед клієнтами GDPR (Загальний регламент ЄС із захисту даних). Докладно про цей регламент ми неодноразово писали у своєму блозі.
• Використовуйте інструменти запобігання відтоку даних (DLP – Data Leak Prevention), щоб мати можливість швидко виявляти і блокувати підозрілі вихідні потоки даних, а також не допустити компрометації інформації – як зловмисної, так і випадкової.

Загальні загрози

Окрім уразливостей компонентів, хмарна інфраструктура для бізнесу може піддаватися загрозам, які залишаються спільними для всього цифрового простору.

Критоджекінг

Критоджекінг – це досить нова форма кібератаки. Зловмисники можуть отримати доступ до хмарних систем і використовувати їх обчислювальну потужність для майнінгу. Криптоджекінг виявити складно. Коли хакери використовують ресурси вашої хмарної системи, робота сервісів може сповільнюватися, і здається, що це відбувається через погане підключення до Інтернету або відсутність необхідних оновлень. Реальна ж причина проблеми стає зрозумілою пізніше.

Витік даних

Можливо, найбільш поширеною загрозою для хмарних обчислень є саме витік даних. Кіберзлочинці можуть отримати несанкціонований доступ до хмарної мережі або використовувати програми для перегляду, копіювання та передачі даних стороннім особам. Втрата інформації може призвести до порушення GDPR та великих штрафів для бізнесу, а водночас до репутаційної шкоди та втрати довіри клієнтів.

Відмова в обслуговуванні

Одна з найбільш руйнівних для бізнесу – DDoS-атака, яка може надовго зробити послуги компанії недоступними для клієнтів. Кіберзлочинці «забивають» систему дуже великим обсягом трафіку, з яким сервери не в змозі впоратися. Система йде або у відмову, або корисний трафік просто не може «достукатися» до сервера через перевантажені канали.

Злом акаунтів

Можливо, найбільшою загрозою для бізнесу є проблема злому облікових записів. Зловмисники можуть використовувати такі методи, як брутфорс та фішингові електронні листи, щоб отримати доступ до ключових облікових записів компанії.

Ризикові програми

Іноді власна ІТ-система може бути безпечна, а безпосередню загрозу становлять зовнішні додатки, які активно використовуються співробітниками. Працівники компанії повинні обережно підходити до встановлення необхідних для роботи програм. Своєю чергою, ІТ-фахівцям необхідно стежити за тим, щоб ПЗ регулярно оновлювалося, а на робочі комп’ютери встановлювалися всі необхідні патчі.

Висновок

Виклики, пов’язані з безпекою, при використанні хмарної інфраструктури складні, але переборні. Щоб з ними впоратися, компаніям слід виробити єдину стратегію безпеки, грамотно вибудувати процеси, що забезпечують захист усіх компонентів системи, включаючи реагування на інциденти. Важливо вибрати надійного хмарного провайдера, тоді кілька рівнів захисту, наприклад, захист мережі, серверів та гіпервізора, буде його зоною відповідальності, а ІТ-команда зможе звузити пул своїх завдань та сконцентруватися на безпеці сервісів та додатків, що використовуються компанією у хмарі.

Незважаючи на популярність публічних хмар, завжди є клієнти, під бізнес-вимоги яких підходять тільки приватні хмарні інсталяції. Про те, коли дійсно виправдане використання Private Cloud говорено вже немало, але ж на часі ще привернути увагу до цієї теми.

У приватної хмари є кілька специфічних особливостей, які виділяють її на тлі інших продуктів. Важлива відмінність Private Cloud полягає в тому, що клієнт може повністю контролювати свої дані та загалом IT-інфраструктуру, а доступні йому фізичні та віртуальні ресурси, які він використовує монопольно, надійно ізольовані від ресурсів інших клієнтів. Такий підхід дає змогу гнучкіше управляти навантаженнями, розміщеними в приватній хмарі.

За даними LogicMonitor до пандемії в публічних хмарах розміщувалося 23% робочих навантажень, у приватних - 25%. До 2025 року розрив збережеться, але сумарна частка хмар на тлі in-house зросте: 28% робочих навантажень розміщуватимуться в публічній хмарі, і 30% - у приватній.

Можна виділити дві моделі надання приватної хмари як сервісу.

Перша модель - клієнту надаються в оренду всі компоненти приватної хмари: сервери, порти необхідного типу і ємності, IP-адреси, сховище даних і оренда ліцензій. При цьому в зоні відповідальності провайдера залишається забезпечення працездатності кожного компонента інфраструктури, заміна компонентів в обумовлені в SLA терміни, закупівля і розширення ресурсів на вимогу замовника - покомпонентне або серверне. У зоні відповідальності клієнта залишається управління системою віртуалізації та її компонентами, налаштування всіх хмарних служб, їх оновлення та моніторинг. Крім того, клієнт керує самими віртуальними машинами, контролює виділення ресурсів і займається адмініструванням операційних систем.

Друга модель - клієнту надається IT-інфраструктура за першою моделлю, але провайдер бере на себе управління системою віртуалізації, виконує роботи з налаштування, оновлення та моніторингу всіх служб приватної хмари. Ця модель дає змогу клієнту делегувати значну частину рутинних робіт на провайдера, як порівняти з першою моделлю. Моніторинг і підтримка в режимі 24/7 дають змогу постачальнику послуг реагувати на інциденти в дуже короткі строки й оперативно приступати до усунення проблем. Клієнт при цьому керує тільки операційними системами віртуальних машин, вимагаючи від провайдера забезпечити їхню доступність.

Таким чином, в обох випадках клієнт обирає між тим, щоб розгортати свої додатки в середовищі віртуалізації або на "голому" залізі, без віртуалізації. При цьому провайдер опціонально може брати участь у запуску середовища віртуалізації та застосунків або обмежиться тим, що надасть виключно обладнання.

У кожному випадку підбирається індивідуальне рішення під конкретні завдання клієнта і його вимоги до безпеки. При цьому відкриваються можливості для реалізації найрізноманітніших проєктів, адже клієнт може самостійно вибрати відповідний йому рівень відповідальності провайдера та делегувати йому такий обсяг завдань, який вважатиме потрібним з урахуванням специфіки навантаження.

Перша модель реалізації приватної хмари може бути цікава локальним провайдерам, які хочуть запропонувати своїм клієнтам додаткову послугу - розміщення IT-інфраструктури в дата-центрі за межами країни. Наприклад, на орендованих фізичних потужностях платформи Colobridge локальний провайдер може розгорнути хмарну інфраструктуру і продавати її ресурси своїм клієнтам як "хмара в Європі".

Ось декілька цікавих прикладів того, як відомі бренди з усього світу отримують користь від міграції в приватну хмару.

Бренд Villeroy & Boch, який вже багато десятиліть відомий своїми порцеляновими виробами, вирішив оновити підходи до комунікації з клієнтами. Німецькій компанії хотілося краще підготуватися до освоєння цифрового ринку, для чого вона перенесла IT-інфраструктуру в приватну хмару. Результати не змусили на себе чекати: тепер Villeroy & Boch може гнучко розширювати свої бізнес-додатки на нові магазини, підвищити стабільність роботи сервісів, на якісно новому рівні захищати конфіденційні дані клієнтів і збільшити частку продажів через інтернет. Також приватна хмара уможливила перехід на новий рівень автоматизації бізнес-процесів, спростила управління IT-інфраструктурою і дала змогу ефективніше використовувати обчислювальне обладнання.

Один з найбільших північноамериканських банків Regions Bank, у якого працює понад 1300 представництв по всій країні, вибрав Private Cloud, щоб отримати ізольоване середовище для бізнес-навантажень і в перспективі перейти на гібридну інфраструктуру. Розміщення даних у приватній хмарі додатково убезпечило їх від витоку, дало змогу швидше і з точнішими результатами виявляти інциденти, пов'язані з шахрайством. Усього через рік після переходу на модель Private Cloud у банку заощадили 10% витрат на утримання IT-інфраструктури, майже на третину знизили кількість попереджень про шахрайські дії з боку клієнтів, а також удвічі зменшили середній розмір добового збитку.

Некомерційна благодійна організація Hand in Hand India шукала під свої завдання недорогу, але досить гнучку IT-інфраструктуру, яку можна масштабувати в міру відкриття нових філій. З приватною хмарою вона отримала бажаний рівень продуктивності за посильну для неї ціну, а також убезпечила персональні дані людей, які зверталися до Hand in Hand India по допомогу.

Одна з найбільших фінансових організацій Австралії Suncorp Group обрала приватну хмару для розміщення своїх критично важливих застосунків і тестування нових продуктів Використання сховища зі специфічними характеристиками дало змогу компанії зробити її ресурси доступнішими для клієнтів, а віртуальні потужності гіперскейлера - прискорити розгортання нових застосунків.

Компанія Form I-9 Compliance займається обробкою форм I-9 ("Перевірка права на роботу") - її послугами користуються тисячі роботодавців і консалтингових компаній. Раніше персональні дані клієнтів зберігалися в локальному дата-центрі, що забезпечувало необхідний рівень безпеки. Але коли бізнес увійшов у фазу швидкого зростання, виявилося, що економічно доцільно буде перейти в Private Cloud - це повинно було допомогти Form I-9 Compliance скоротити CapEx/OpEx, але при цьому зберегти високий рівень безпеки для своїх сервісів. Компанія перенесла дані на самоврядну приватну хмарну платформу і підключила послугу Data Protection as a Service, щоб краще забезпечувати цілісність сховища даних. Приватна хмара дала змогу скоротити витрати на інфраструктуру і пробачила не тільки масштабування, а й проходження аудиторських перевірок SOC 2, обов'язкових для сервісних IT-компаній (фактично це міжнародний стандарт звіту для системи управління ризиками кібербезпеки).

Серед клієнтів Colobridge інфраструктуру приватної хмари успішно використовує інвестиційна компанія OMEGA FUNDS INVESTMENT. Раніше вона розміщувала свою інфраструктуру в публічній хмарі, проте була не зовсім задоволена прозорістю обробки та зберігання даних. Private Cloud у комплексі з іншими продуктами на платформі Colobridge дали змогу фінтех-компанії значно мінімізувати ризики фізичного пошкодження та втрати критично важливих даних, успішно проходити регулярний аудит ІТ-інфраструктури та оптимізувати витрати на її володіння.

Найбільша в Україні мережа кінотеатрів Multiplex також перенесла частину своєї IT-інфраструктури на технологічну платформу Colobridge, де використовує можливості приватної хмари в комплексі з кількома іншими продуктами. Зараз у Multiplex у приватній хмарі розгорнуто квиткову онлайн-систему. Створено сприятливі умови для цифровізації сервісів і послуг, а також її поширення на нові кінотеатри. Наразі мережа кінотеатрів може оперативно та ефективно масштабуватися, не вкладаючи кошти в надлишкові апаратні ресурси "про всяк випадок". Водночас централізоване управління IT-інфраструктурою на потужностях Colobridge дає змогу отримувати важливі метрики та прогнозувати "високі сезони". Multiplex почала ефективно реагувати не тільки на сезонні тренди, а й на виходи блокбастерів, через які навантаження на каси багаторазово зростало.

Будь-який з перерахованих пунктів може стати прямим "показанням" до вибору на користь приватної хмари.

Для роботи застосунків потрібне обладнання зі специфічними вимогами до компонентів
Приватна хмара дає змогу реалізувати проєкти з обладнанням будь-якої конфігурації від будь-якого виробника. Зазвичай це продиктовано специфікою його бізнес-додатків: тим може знадобитися певна частота процесора або кількість ядер на одну віртуальну машину, модель GPU або СЗД. Також компанія може у своїх вимогах орієнтуватися на обладнання конкретного вендора - наприклад, якщо він повністю влаштовував її якістю продукції та рівнем гарантійного обслуговування.

Специфіка навантаження та/або внутрішні правила СБ визначають високі вимоги до забезпечення безпеки
Якщо компанія планує самостійно керувати хостом або обмежити доступ до гіпервізорів третім особам (у тій же публічній хмарі до нього теоретично можуть отримати доступ співробітники провайдера), публічна хмара їй не підійде. У деяких випадках ініціаторами вибору більш захищеного середовища для розгортання IT-інфраструктури стають співробітники внутрішньої служби безпеки.

Клієнту необхідно оптимізувати витрати на IT-інфраструктуру
При досягненні певного обсягу ресурсів клієнт може відчутно заощадити, якщо вибере саме модель приватної хмари, розгорнутої на виділених серверах. Крім того, він може гнучко варіювати вартість послуг - залучати до роботи штатних сисадмінів або, навпаки, сисадмінів провайдера. Якщо порівнювати з найближчою альтернативою - публічною хмарою, - то виявиться, що впродовж дво- або трирічного періоду за однакового робочого навантаження приватна хмара може виявитися більш економічно ефективною. Це важливо для компаній, які звикли планувати і прогнозувати свої витрати - їм Private Cloud допоможе отримати максимум продуктивності за мінімальних витрат.

Клієнт хоче максимально контролювати обладнання, ПЗ і дані
З приватною хмарою він отримає в розпорядження інструменти для адміністрування на апаратному рівні та на рівні гіпервізора. Це великий плюс до контролю і керованості IT-інфраструктурою: можна оперативно відреагувати на проблему в застосунку, використовувати аналітику для прогнозування простоїв і вибрати найкращі політики для контролю доступу.

Клієнт висуває специфічні вимоги до хмари
Наприклад, у нього є певні очікування до продуктивності роботи серверів або системи зберігання і при цьому вкрай важливо мінімізувати навіть незначний вплив "сусідів".  

Клієнт планує викупити обладнання в майбутньому
Оскільки приватна хмара передбачає виключно індивідуальний підхід, обладнання для розгортання IT-інфраструктури буде поставлено з урахуванням вимог і реальних потреб клієнта. Якщо той захоче через певний час викупити в розстрочку раніше орендовану техніку, у приватній хмарі це не буде проблемою.

Десятиліття - значний період у контексті високих технологій. За цей час хмари встигли стати потужним і вкрай потрібним бізнес-інструментом, проте на початку 2010-х на них дивилися зовсім по-іншому. Згадуємо, як тоді бізнес сприймав хмарні технології, і чому сьогодні саме час переглянути свої переконання щодо них.

На початку минулого десятиліття хмарам все ще доводилося боротися за увагу користувачів, а бізнес не поспішав розміщувати там свої сервіси. На той момент про хмари вже сформувалися певні переконання.

Багато потенційних замовників вважали, що «хмара - це ризик втратити контроль над IT-інфраструктурою».

Передавати щось своє в чужі руки в принципі суперечить людській природі: через це ми починаємо почуватися менш захищеними і більш тривожними. У бізнесі аналогічна ситуація - тут важливе відчуття повного контролю над IT-інфраструктурою. Тому багато компаній побоювалися хмар, продовжуючи зберігати й обробляти дані локально - так вони точно знали, як забезпечується їхня безпека, і могли посилити захист у разі потреби.

Сьогодні десятки тисяч компаній знають, що безпека IT-інфраструктури не завжди залежить від того, в чиїх руках вона перебуває. У світі зростає кількість кіберзагроз, які однаково небезпечні для даних і в хмарі, і в локальній інфраструктурі. У звіті Multicloud Annual Research Report навели результати опитування понад 1400 IT-фахівців і керівників по всьому світу - як виявилося, в абсолютної більшості завданням №1 для бізнесу стала саме безпека.

Десять років страх втратити контроль над даними був цілком виправданим, але до 2022 року ситуація змінилася. Локальне середовище більше не вважається більш захищеним. До того ж сьогодні доступні мультихмарні рішення, які, навпаки, дають змогу посилити надійність зберігання даних завдяки георозподіленій надмірності та новітнім інструментам шифрування.

Ще одна поширена думка у минулому - «хмара обійдеться дорожче за локальну IT-інфраструктуру».

На вартість утримання хмарної інфраструктури впливають багато факторів, тому не можна однозначно стверджувати, що розміщувати дані в хмарі дорожче, ніж зберігати їх на локальному сервері. Важливо й те, як компанія використовує хмарні ресурси і наскільки ефективно управляє витратами на IT. Вони будуть тим меншими, чим краще оптимізовано хмару під бізнес-завдання організації. Тим паче, що в найпопулярнішій хмарній моделі "інфраструктура як сервіс" (IaaS) можна гнучко керувати доступними ресурсами - додавати або зменшувати їх за потреби - і платити тільки за фактично використані обсяги. Щоб так само гнучко реагувати на зміни попиту в випадку локальної інфраструктури, доведеться закупити дороге обладнання, ресурси якого простоюватимуть більшу частину часу, а це нераціонально.

Застарілі переконання досі заважають деяким компаніям розглядати хмари як важливу складову успішного ведення бізнесу. Проте ринок хмарних сервісів стрімко зростає, і аналітики продовжують і далі прогнозувати його збільшення рекордними темпами. Очікується, що з 445,3 млрд дол. торік він збільшиться до 947 млрд дол. У 2026-му, щорічно приростаючи в середньому на 16,3%. Хоча хмари все ще складно назвати ідеальним інструментом, вони стали життєво важливими для величезної кількості компаній. Кардинально змінюючи модель володіння IT-інфраструктури, вони відкривають для себе нові можливості, які дають змогу оптимізувати й автоматизувати рутинні процеси, краще реагувати на зміну попиту, швидше масштабуватися і вирішувати інші важливі завдання. Саме на це вказує багаторічний досвід нашої компанії Colobridge.

За прогнозами Gartner, наступного року світові витрати на публічні хмари сягнуть 591,7 млрд дол., причому з них майже 150,1 млрд дол. припаде на інфраструктуру як послугу – зростання IaaS становитиме 29,8%.

Інтерес до хмар підігрівають численні кейси, в яких бізнес зміг оптимізувати витрати на IT-інфраструктуру, зробити її гнучкою і масштабованою, краще підготуватися до сплесків навантаження. І це результати не стільки міграції в хмару, скільки правильного вибору провайдера послуги.

Витрати на віртуальну інфраструктуру зростають, але при цьому компанії шукають доступні варіанти розміщення даних і не хочуть збільшувати витрати на розгортання та підтримку IT-інфраструктури. Але перш ніж порівнювати ціни, варто спочатку оцінити надійність хмарних провайдерів за сімома критеріями.

Відмовостійкість

Безперервність виконання бізнес-процесів, фінансові результати та навіть репутація компанії часто залежать від того, чи може вона убезпечити дані й забезпечити до них безперебійний доступ. Це залежить від параметрів дата-центру, послугами якого користується ваш провайдер.

Для оцінки відмовостійкості (Tier) використовують класифікацію зі стандарту Uptime Institute, де дата-центри розділили на чотири групи залежно від способів резервування даних.

Tier I – базова інфраструктура без резервування (N). Якщо виходить з ладу один компонент, дані буде втрачено. Дата-центри Tier I ненадійні та не актуальні.

Tier II – інфраструктура з мінімальним резервуванням інженерних систем, коли використовуються додаткові елементи в системах кондиціонування і безперебійного живлення (N+1). Завдяки невеликій надмірності клієнти дата-центру менше страждають від неполадок устаткування, однак у разі серйозних помилок дані можуть бути загублені, а для профілактичного обслуговування потрібно буде відключити всі системи.

Tier III – інфраструктура, в якій завдяки подвійному резервуванню (2N) можна проводити планові роботи без відключення навантаження. Усі інженерні компоненти та лінії живлення продубльовані. Якщо щось зламається або потрібно буде провести планове обслуговування інфраструктури, дані клієнтів залишаться доступними.

Tier IV – повністю відмовостійка інфраструктура (2N+1). Інженерні системи не тільки продубльовані, а й містять по ще одному додатковому компоненту, тому ймовірність втрати даних наближається до нуля.

Класифікація, яку розробили в Uptime Institute – не єдина. Ба більше, 90% європейських дата-центрів не сертифіковані на відповідність критеріям Tier III та Tier IV, хоча за фактом їм відповідають. З 2016 року в ЄС ухвалено новий стандарт оцінки надійності ЦОД, який підтверджується сертифікатом EN 50600. Його отримують майданчики з резервуванням не нижче N+1, що відповідають міжнародному стандарту ISO 27001 з інформаційної безпеки та стандартам менеджменту якості ISO 9001.

Послуги та сервіси

Звертайте увагу на функціональність, яку пропонує провайдер: крім кількості процесорних ядер, обсягу пам'яті та місткості сховища, важливою є наявність SLA за технічними характеристиками віртуальних машин, кількість операцій вводу-виводу за секунду і пропускна здатність мережевих портів.

Корисним буде інструментарій для резервування та аварійного відновлення даних, DNS-хостинг, публічний API, засоби захисту від мережевих атак, системи моніторингу доступності сервіси в режимі 24/7. Якщо в пріоритеті надійність, вибирайте хмарного провайдера з двома і більше територіально розподіленими дата-центрами, щоб знизити ризики. Якщо не готові повністю відмовитися від своїх серверів, вивчіть перспективи та переваги гібридної хмари. А якщо ваші застосунки збирають і зберігають великі обсяги неструктурованих даних, розгляньте можливість укласти договір із провайдером, у якого є об'єктне сховище.

Безпека

Дізнайтеся, як буде захищена ваша інфраструктура на фізичному та програмному рівнях. В IaaS захист даних лягає і на клієнтів, і на провайдера. Останній не створює віртуальні машини, а надає віртуальні потужності для розгортання клієнтських бізнес-додатків. Відповідно, провайдер не контролює самі дані, але захищає середовище віртуалізації, робочі місця адміністраторів, забезпечує роботу антивірусів і актуалізацію антивірусних баз, регламентує збір і зберігання логів. На рівні хмари провайдер також відповідає за оновлення ПЗ, пошук і усунення вразливостей. На фізичному рівні – резервує основні вузли своєї інфраструктури, обмежує доступ до дата-центру, встановлює охоронну сигналізацію і камери відеоспостереження.

Додатковою перевагою буде розміщення потужностей провайдера у великому європейському дата-центрі (Німеччина, Нідерланди) або в США. Хороша новина: у багатьох західних країнах вилучати обладнання з дата-центру можна тільки рішенням суду. Однак, обираючи відповідну юрисдикцію, враховуйте, що більша відстань між клієнтами та фізичним дата-центром збільшує затримки, що може бути критичним для деяких застосунків – наприклад, онлайн-ігор, стримінгових сервісів, служб доставки.

Наприклад, дані клієнтів компанії Colobridge зберігаються в дата-центрах найкращих світових ЦОД-операторів Equinix і KDDI Telehouse, розташованих у європейській IT-столиці – німецькому місті Франкфурт-на-Майні. Їхні інженерні інфраструктури та системи безпеки відповідають стандартам Tier III+ (у деяких гермозонах Tier IV), а гарантія доступності становить понад 99,99%.

Гарантіями безпеки також вважається відсутність єдиної точки відмови в дата-центрі, інструменти моніторингу 24/7, міжнародні сертифікати ISO/EIC, чітко сформульовані в SLA гарантії щодо електроживлення, охолодження та каналів передачі даних (в ідеалі – 99,99% і вище).

Високий рівень сервісу корпоративного провайдера Colobridge підтверджують міжнародні сертифікати ISO 9001:2008 та ISO/IEC 27001:2005.

Оплата

Розгляньте доступні варіанти оплати та їх взаємозамінність – добре, якщо є можливість вибору. Ознайомтеся з вимогами до оплати рахунків: іноді гроші можна перераховувати як в іноземній, так і в національній валюті.

Багато хмарних провайдерів вже використовують модель Pay-as-You-Go – оплата за фактичним споживанням, коли клієнти оплачують тільки фактично спожитий обсяг потужностей. Це зручно і справедливо на відміну від оплати за фіксовану кількість ресурсів, коли неважливо, користуєтеся ви ними в повному обсязі чи ні.

Тестування

Під час безплатного тестового періоду ви маєте зрозуміти, як хмара справляється з різними навантаженнями, поспілкуєтеся з фахівцями підтримки та зможете оцінити витрати. Якісно протестувати послугу не завжди виходить за два-три дні, але цілком реально за тиждень. Тому в пріоритеті ті провайдери, які дають змогу тестувати хмарну інфраструктуру принаймні протягом семи днів і готові подовжити цей термін, якщо клієнту потрібно трохи більше часу.

Підтримка

Ви завжди можете розраховувати на базову техпідтримку в телефонному режимі, але наскільки вона якісна і в якому режимі – краще дізнаватися із зовнішніх джерел, наприклад, клієнтських відгуків. Важливо, щоб ви отримували допомогу в режимі 24/7, рідною мовою і кількома каналами зв'язку: телефоном, електронною поштою або через форму зворотного зв'язку. Деякі провайдери створюють велику базу готових запитань і відповідей, де інформацію можна отримати без звернення до підтримки, або запускають чат-ботів у популярних месенджерах, які реагують на проблеми швидше за живих операторів.

Дізнайтеся, які додаткові послуги можна отримати в обраного провайдера. Можливо, його фахівці повністю перенесуть дані в хмару і зможуть адмініструвати вашу інфраструктуру надалі. Уточніть вартість таких послуг – це може бути дешевше, ніж наймати в штат інженера.

Клієнти

Перелік публічних клієнтів та їхні успішні кейси визначають рівень довіри до хмарного провайдера. Якщо в списку є лідери ринку, то і ви можете використовувати інфраструктуру IaaS на тих самих потужностях.

Наприклад, з дата-центрами, на потужностях яких розташовуються віртуальні машини клієнтів Colobridge, співпрацюють Adobe, IBM, Yahoo, Amazon, Google і Microsoft.