— Я поставлю такой пароль, который точно никто не разгадает!
— А логин?
— И логин тоже!

Мы уже говорили, что уделяем большое внимание безопасности наших клиентов. Защита от DDoS-атак на уровне L3/L4 лишь одно из наших преимуществ. Сегодня пришло время поделиться следующим, без которого вся облачная инфраструктура может оказаться в опасности. Даже если вы гуру в создании сложных паролей.

🛡 Преимущество №2. Двухфакторная аутентификация

Негативный сценарий
Пароли — это слабое звено в безопасности. Даже если сотрудник использует сложный пароль, он может быть скомпрометирован через утечку данных в другом сервисе. Например, если сотрудник использует один и тот же набор символов для личной почты и для доступа к облачной инфраструктуре, то взлом его личного аккаунта может привести к компрометации всей облачной среды. Злоумышленники могут получить доступ к данным, зашифровать их или удалить виртуальные машины.

Что может быть у провайдера нового поколения, чтобы такого сценария избежать
2FA для всех клиентских учетных записей, включая доступ к консоли управления облачными ресурсами, так как компрометация аккаунта администратора = полный доступ к инфраструктуре.

В Nubes двухфакторная аутентификация для учетных записей клиентов — обязательный инструмент. И даже если злоумышленник будет знать логин и пароль, он не сможет войти в систему без кода из мобильного приложения.

Казалось бы, инструмент очень базовый, но он сильно снижает риск взлома и для учетных записей администраторов просто мастхев.

GPU, защищенные VDI, бэкапирование — это все, конечно, здорово. У облачного провайдера такие сервисы практически мастхев и особого удивления уже не вызывают. А вот чем действительно стоит гордиться, так это уровнем заботы о клиенте!

В Nubes забота — один из приоритетов, и заботимся мы не только о том, чтобы все работало без сбоев и клиенты могли спокойно решать свои задачи. Мы также уделяем особое внимание безопасности каждого клиента. Про две опции, которые у нас есть, мы рассказали вот тут и вот тут. Пришло время делиться третьей.

🛡 Преимущество №3. Сканирование уязвимостей на публичных IP-адресах

Негативный сценарий
После публикации сервисов в интернете (онлайн-магазинов или корпоративных порталов, например), они становятся мишенью для хакеров. Злоумышленники могут воспользоваться уязвимостью в веб-сервере и получить доступ к данным или даже к управлению сервером. Такое возможно по разным причинам, в том числе и из-за ошибок в конфигурировании, которые могут допускать администраторы. Например, публиковать в сеть порты и сервисы, которые лучше бы оставить для внутреннего пользования.

Если не сканировать публичные IP-адреса на наличие уязвимостей, то можно даже не знать, что сервис открыт для атаки. И хоть следить за уязвимостями — это ответственность клиента, со стороны провайдера присматривать за IP-адресами бизнеса, который размещается на его ресурсах, — хороший тон.

Что может быть у провайдера нового поколения, чтобы такого сценария избежать
Регулярное сканирование публичных IP-адресов клиентов, которые размещаются в облаке, на наличие уязвимостей и неправильных конфигураций. Провайдер может информировать вас о найденных проблемах и рекомендовать меры по их устранению.

Мы регулярно проводим такое сканирование. Если находим проблему, то сразу же информируем клиента и даем рекомендации по ее решению.

Эта опция, кстати, включена по умолчанию у любого, кто размещается в нашем облаке. Потому что нам важно, чтобы каждый клиент спал спокойно. Так мы проявляем ту самую заботу, о которой говорили в начале поста.

Сегодня — «Международный день резервного копирования» и мы поздравляем всех, кто не верит в бессмертие серверов и знает, что «авось пронесет» — не стратегия!

Резервное копирование — это не просто формальность, а критически важная практика для защиты данных. Как минимум потому, что:

➡️ Ошибки случаются
Даже опытные специалисты могут допустить роковую оплошность — от случайного удаления данных до ошибочного изменения конфигурации.

➡️ Техника не вечна
Отказы оборудования, сбои в работе облачных провайдеров или повреждение носителей — без резервных копий восстановление может стать невозможным.

➡️ Киберугрозы реальны
Резервные копии — последняя линия защиты против ransomware и злонамеренных действий.

Обезопасить себя от всего этого достаточно просто — делаете бэкап по стратегии 3-2-1 и спите спокойно. Или праздники отмечаете.

Наша команда, кстати, реализовала успешный проект подобного бэкапа и, надеемся, совсем скоро о нем расскажем. А вы пока проверьте, когда последний раз делались резервные копии :)

Безопасности и скорости никогда не бывает много, согласны? Мы точно согласны и поэтому расширили функционал защиты от DDoS-атак и добавили к ней CDN от наших партнеров Curator.

Теперь все наши клиенты, которые пользуются защитой от DDoS, могут дополнительно обезопасить трафик и ускорить доставку контента до конечного пользователя.

✖️ Как это работает:

Видео, картинки и прочий контент доставляются до пользователя не с основных серверов клиента или из облака, а с множества CDN-серверов, которые размещаются в разных местах по всей стране. Соответственно, запрос идет до более близкого сервера и сайт у пользователя будет грузиться быстрее. Ну и, конечно, весь трафик проходит первичную очистку.

✖️ Кому это нужно:

Всем сервисам, в составе которых есть большое количество контента: интернет-магазины, стриминговые сервисы, СМИ, онлайн-кинотеатры, фотостоки и т.д.

✖️ Что может сервис:

- полная поддержка HTTP/2 и HTTP/3;
- поддержка управления через Cache Control;
- сжатие и масштабирование изображений (webp, avif);
- контроль доступа к URL;
- поддержка подписи запросов для Origin (G2O);
- поддержка сертификатов Let's Encrypt;
- поддержка HTTP Vary;
- управление заголовками;
- поддержка SNI;
- поддержка HTTP ETAG.

По традиции задать вопросы по поводу CDN можно вот здесь.

Для организации виртуальной инфраструктуры и повышения её надежности платформа VMware Cloud Director предоставляет инструменты группировки виртуальных машин. Одними из ключевых механизмов являются Affinity и Anti-Affinity правила.

Что это за правила такие?

➖ Affinity — указывает механизму DRS (технология распределения ресурсов, которую мы используем в нашем облаке) размещать ВМ на одном хосте виртуализации.
➖ Anti-Affinity — позволяет размещать ВМ на разных хостах кластера,
что повышает доступность сервиса при сбое одного или нескольких хостов.

Работают они в двух режимах:

✖️ Hard (required) — не позволят игнорировать правило при отсутствии необходимого количества доступных хостов.
Например, в правиле указано 10 машин, но в кластере доступно всего 8 хостов. В таком случае 2 машины не запустятся.

✖️ Soft (preferred) — позволяют игнорировать требования правила в случае отсутствия ресурсов, удовлетворяющих правилу.

Проблема в том, что сама система виртуализации VMware не знает, какой сервис или какая группа ВМ наиболее приоритетная. Может оказаться так, что, предположим, DRS группирует машины на одном хосте и в случае его падения/отказа механизм HA перезапустит ВМ. Из-за этого на какое-то время весь сервис перестанет работать.

Чтобы таких ситуаций не происходило, можно создать Anti-Affinity rule за пять простых шагов:

1️⃣ Проверьте зависимости — какие сервисы должны оставаться доступными при любых условиях?
2️⃣ Выделите критичные ВМ со схожей функцией, которые резервируют друг друга. Например, 2 балансировщика или сервера приложений. Не нужно применять правило ко всем.
3️⃣ Зайдите в VMware Cloud Director → раздел Affinity Rules.
4️⃣ Создайте правило → укажите ВМ и выберите Anti-Affinity.
5️⃣ Сохраните и проверьте — готово!

Почему это важно?

✔️ Проактивность вместо аварий — 5 минут настройки экономят часы восстановления.
✔️ Защита от «эффекта домино» — даже при отказе хоста часть сервисов останется рабочей.

Если вдруг не получилось настроить Anti-Affinity rule самостоятельно, то можно обратиться за помощью к нам и наши инженеры проконсультируют, как это сделать.

Хранить код где попало: на локальных машинах, случайных серверах или в публичных репозиториях, где безопасность под вопросом, — не лучший вариант для серьезного бизнеса.

А если что-то сломается, пропадет интернет или жесткий диск решит «отдохнуть»? Восстанавливать всё с нуля будет долго, сложно и очень-очень дорого. Особенно для крупных компаний.

Хорошая новость в том, что есть надежное решение для хранения кода — Gitea в защищенном облаке. Это не просто Git-репозиторий, а полноценная платформа для работы с кодом без лишних заморочек. Размещенные на платформе проекты будут под защитой, с резервными копиями, контролем доступа и встроенными инструментами для разработки.

Что это дает?

➡️ Удобное управление кодом — ветки, пул-реквесты, командная работа и ревью, как в крупных сервисах, но под вашим контролем.
➡️ Встроенный CI/CD — Gitea Actions позволит автоматизировать сборку и тестирование без сложных настроек.
➡️ Безопасность — гибкие настройки прав, защита данных и никаких неожиданных удалений.
➡️ Простота — развернули, настроили и работаете, не тратя время на администрирование.

Ну а самое приятное, что о работе серверов, где хранится код, думать не нужно, это мы берем на себя.

Узнать подробности можно вот здесь.