Помогает ли имитация атак и сбоев в работе укрепить инфраструктуру или это рискованное развлечение неподготовленных команд?

Автор: Дэвид Линтикум, Infoworld
 
Хаос-инжиниринг предполагает стресс-тестирование систем путем моделирования реальных проблем, таких как кибератаки и внутренние сбои. Создавая контролируемый хаос, организации надеются подготовить свою инфраструктуру к непредвиденным инцидентам и свести к минимуму возможные простои. Наблюдение за тем, как система справляется с этими сбоями, может выявить скрытые уязвимости, которые при традиционном тестировании могут быть упущены из виду. Является ли это передовой методологией, необходимой компаниям для укрепления своей защиты от постоянно развивающихся киберугроз, или это опасное отвлечение внимания?
 
Несмотря на то, что хаос-инжиниринг дает потенциальное представление о надежности системы, предприятия должны тщательно изучить свои потребности в ресурсах, риски, которые он создает, и его соответствие более широким стратегическим целям. Понимание этих факторов имеет решающее значение для принятия решения о том, должен ли chaos engineering быть основным направлением или вспомогательным инструментом в технологической стратегии предприятия. Каждая компания должна определить, насколько внимательно следить за развитием технологий и как долго ждать, пока поставщик технологий предложит решения.
 
Высокая стоимость оплошности
 
В своем последнем ежеквартальном анализе угроз кибербезопасности компания Cloudflare, занимающаяся обеспечением безопасности облачных вычислений, сообщила об увеличении числа распределенных атак типа «отказ в обслуживании» (DDoS) на 65% в третьем квартале 2023 года по сравнению с предыдущим кварталом. По данным Cloudflare, во втором квартале 2024 года было зафиксировано четыре миллиона DDoS-атак.
 
Компании, использующие облачное программное обеспечение, уязвимы к сбоям в работе, а также к DDoS-атакам и другим преднамеренным атакам. Это типичные проблемы, в основном связанные с людьми, работающими в облаках, но некоторые из них вызваны проблемами с подключением из-за сбоев физических серверов или кибератак.
 
19 июля 2004 года датчик Falcon компании CrowdStrike вызвал сбой на компьютерах Windows, подключенных к облачной вычислительной системе Microsoft Azure. Как вы, возможно, помните, это привело к глобальному сбою в работе ИТ-систем. Датчик Falcon, предназначенный для предотвращения кибератак, был взломан не в результате кибератаки, а из-за технической проблемы с обновлением.
 
Это стало тревожным сигналом по нескольким причинам:
 
* Большинство предприятий начали осознавать, насколько они уязвимы. Производительность может снизиться из-за глупой ошибки.
* Общая стоимость этого мероприятия оказалась намного выше, чем ожидало большинство компаний. Оно также оказало большее, чем ожидалось, влияние на такие важные вопросы, как связи с общественностью и клиентами.
* Очевидный урок заключается в том, что наибольший риск исходит от людей, а не от технологий.
 
Преимущества chaos engineering
 
Предположим, что крупная компания, занимающаяся электронной коммерцией, внедряет chaos engineering для проверки устойчивости своей облачной системы в период пиковых покупок. Они используют инструмент хаос-инжиниринга для моделирования повышенной нагрузки на трафик, имитирующей условия «черной пятницы». Команда намеренно вводит задержки и случайные отключения серверов, чтобы понаблюдать за реакцией системы в стрессовых ситуациях.
 
Во время этих тестов они обнаруживают узкие места в архитектуре своей базы данных, которые должны были быть замечены при традиционном тестировании. Используя показатели в режиме реального времени, они быстро внедряют адаптивные стратегии, такие как автоматическое масштабирование ресурсов сервера и оптимизация запросов к базе данных. Постоянно повторяя эти эксперименты с хаосом, платформа электронной коммерции не только выдерживает имитируемые нагрузки, но и повышает свою способность автоматически адаптироваться к неожиданным скачкам. Это обеспечивает или должно обеспечивать бесперебойную работу с клиентами в критические периоды продаж. Такой проактивный подход превращает потенциальный хаос в возможность повышения устойчивости инфраструктуры. По крайней мере, такова идея.
 
Недостатки chaos engineering
 
Несмотря на свои преимущества, хаос-инжиниринг ставит перед предприятиями серьезные задачи и вопросы:
 
Ресурсоемкость. Внедрение chaos engineering требует значительных инвестиций в необходимые инструменты, квалифицированный персонал и время для эффективного моделирования и анализа сценариев. Это может негативно сказаться на бюджете и отвлечь внимание от основных бизнес-целей.
 
Операционные риски. Намеренное внедрение ошибок сопряжено с неотъемлемыми рисками. Предприятиям следует проявлять осторожность, поскольку такие методы могут нарушить работу служб, повлиять на производительность и вызвать нежелательные побочные эффекты, которые приведут к недовольству клиентов или финансовым потерям.
 
Смещение фокуса. Создание хаоса может отвлечь от более стратегических инициатив. Предприятия часто отдают предпочтение простым проектам, основанным на рентабельности инвестиций, которые непосредственно способствуют росту. Активное участие в разработке систем хаоса может отвлечь от внедрения инноваций или операционных улучшений, которые приносят немедленную выгоду.
 
Управление сложностью. По мере роста предприятий их системы становятся все более сложными. Хаос-инжиниринг требует глубокого понимания взаимозависимостей внутри систем. Справиться с этой сложностью непросто, и это может помешать компаниям эффективно применять принципы хаоса.
 
Сбалансированный подход
 
Эта статья — не рекламная кампания хаос-инжиниринга. Я изучаю процесс через призму корпоративных информационных технологий, которые могут рассматривать хаос-инжиниринг как еще одного кролика, за которым нужно последовать в нору.
 
Chaos engineering предлагает превентивный механизм защиты от уязвимостей системы, но предприятия должны сопоставлять риски со своими стратегическими целями. Для некоторых компаний значительные инвестиции в chaos engineering могут быть оправданы, особенно в секторах, где время безотказной работы и надежность имеют решающее значение. Однако другим лучше сосредоточиться на улучшении стандартов кибербезопасности, обновлении инфраструктуры и привлечении талантливых специалистов.
 
Кроме того, что могут предложить облачные провайдеры? Многие предприятия переходят на общедоступные облака, потому что хотят переложить часть работы на поставщиков, в том числе по обеспечению надежности. Иногда модель совместной ответственности слишком ориентирована на интересы поставщиков облачных услуг, а не их арендаторов. Возможно, вам, поставщики облачных услуг, придется активизировать свои усилия.
 
В конечном счете, предприятиям следует задуматься о том, как chaos engineering вписывается в их более широкую ИТ-стратегию. Интегрируя элементы, соответствующие их целям, а не внедряя технологию в массовом порядке, компании могут извлечь выгоду из полученных результатов, не отвлекаясь от своих основных задач. Как и в случае с любой инновацией, ключевой момент —разумное применение.
 
Ссылка на источник