Když Eric Schmitt, nyní vedoucí Googlu, poprvé použil výraz „cloud“ k označení distribuovaného výpočetního systému na webu, stěží věděl, že je to jedno z těch slov, která se často objevují v legendách. Téměř ve všech mýtech národů světa žijí božské bytosti velmi blízko oblohy - na oblacích. Výsledkem je, že termín „cloud computing“ je mezi obchodníky velmi populární, protože poskytuje prostor pro kreativitu. Pokusíme se také verbalizovat tyto mýty a pochopit, jak jsou organicky kombinovány s IT.

Smrt Merlina

Jednou z postav v cyklu legend o králi Artušovi a jeho kulatém stole je kouzelník a čaroděj Merlin, který pomáhal Arturovi za jeho vlády. Je příznačné, že Merlin skončil uvězněn v oblacích. Chtěl se pochlubit mladé čarodějce a ukázat svou magickou sílu, postavil hrad z mraků a pozval svou vášeň, aby ho prozkoumala. Čarodějka se však ukázala jako mazaná a uvěznila kouzelníka ve svém vlastním mrakodrapu. Poté už Merlina nikdo neviděl, takže se věří, že tam někde zemřel - v mrakodrapu, který sám postavil.

Nyní „kouzelníci z IT“ také vybudovali celou mytologii kolem distribuovaných počítačů, takže abyste nebyli uvězněni v těchto „zámcích“, měli byste nejprve zjistit, co tyto mraky jsou, tedy oddělit marketing od řízků.

Zpočátku existoval pouze jeden cloud - právě s tímto symbolem byl tradičně označován internet. Tento cloud znamenal shromažďování všech počítačů připojených protokolem IP s vlastní IP adresou. Internet postupem času začal přidělovat serverové farmy, které byly nainstalovány u poskytovatelů a na nichž byly založeny webové projekty. Současně, aby byla zajištěna vysoká odolnost vůči zatížení a poruchám, největší webové systémy se staly vícevrstvými a distribuovanými.

V typickém takovém systému lze rozlišit následující úrovně: reverzní proxy, který také funguje jako nástroj pro vyrovnávání zatížení a dešifrátor SSL, samotný webový server, poté aplikační server, DBMS a úložný systém. Současně na každé úrovni mohlo existovat několik prvků provádějících stejné funkce, a proto nebylo vždy jasné, které komponenty byly použity ke zpracování požadavků uživatelů. A když není jasno, pak jsou to mraky. Začali proto říkat, že požadavky uživatelů se provádějí někde v „cloudu“ z velkého počtu serverů. Tak vznikl termín „cloud computing“.

Přestože byl původně cloud computing spojen s veřejně dostupnými webovými projekty - portály, ale jak se vyvíjely distribuované webové systémy odolné vůči chybám, začaly se používat k řešení interních podnikových problémů. Byla to doba rozmachu korporátních portálů, které byly založeny na webových technologiích, které byly vyvinuty ve veřejných systémech. Firemní systémy se zároveň začaly konsolidovat do datových center, jejichž údržba byla snazší a levnější.

Bylo by však neefektivní přidělit samostatný server pro každý prvek cloudu - ne všechny prvky cloudu jsou načteny stejně, takže se virtualizační průmysl začal vyvíjet souběžně. Ve veřejných cloudech se ukázalo, že je docela populární, protože umožnilo odlišit přístupová práva a zajistit rychlý přenos prvku distribuovaného systému na jiný hardwarový nosič. Bez virtualizace by cloud computing byl méně dynamický a škálovatelný, a proto se cloudy nyní obvykle skládají z virtuálních počítačů.

Cloud computing je spojen především s pronájmem aplikací, definujícím tři typy takových služeb: IaaS - infrastruktura jako služba, PaaS - platforma jako služba a SaaS - software jako služba. Někdy je zabezpečení jako služba také sníženo na SaaS, ale aby nedošlo k záměně cloudových bezpečnostních služeb s pronájmy softwaru, je lepší jej nazývat ISaaC - Informační bezpečnost jako cloud. I takové služby se začínají poskytovat. Nezaměňujte však outsourcing aplikací a cloud computing, protože cloudy mohou být interní, veřejné a hybridní. Každý z těchto typů cloudů má při organizaci bezpečnostního systému své vlastní charakteristiky.

Tři Višnuovy kroky

Bůh Višnu v hinduistické mytologii je známý tím, že to byl on, kdo dobyl prostor pro lidský život pomocí tří kroků: první byl vytvořen na Zemi, druhý - v oblacích a třetí - v nejvyšším příbytek. V souladu s Rig Veda právě touto akcí Vishnu dobyl všechny tyto prostory pro lidi.

Moderní IT také dělá podobný „druhý krok“ - od země k oblakům. Aby však z těchto mraků nespadly na zem, stojí za to dbát na bezpečnost. V první části jsem podrobně analyzoval strukturu cloudu, abych pochopil, jaké hrozby pro cloud computing existují. Z výše uvedeného je třeba odlišit následující třídy hrozeb:

Tradiční útoky na software... Souvisejí se zranitelností síťových protokolů, operačních systémů, modulárních komponent a dalších. Jde o tradiční hrozby, k ochraně proti nim stačí nainstalovat antivirus, firewall, IPS a další diskutované komponenty. Je jen důležité, aby tyto ochrany byly přizpůsobeny cloudové infrastruktuře a fungovaly efektivně ve virtualizovaném prostředí.

Funkční útoky na cloudové prvky... Tento typ útoku je spojen s vrstvením cloudu, což je obecný bezpečnostní princip, podle kterého je celková ochrana systému stejná jako u nejslabšího článku. Úspěšný útok DoS na reverzní proxy nainstalovaný před cloudem zablokuje přístup k celému cloudu, přestože veškerá komunikace uvnitř cloudu bude fungovat bez rušení. Podobně injekce SQL procházející aplikačním serverem umožní přístup k systémovým datům bez ohledu na pravidla přístupu ve vrstvě pro ukládání dat. K ochraně před funkčními útoky potřebujete pro každou cloudovou vrstvu konkrétní ochranné prostředky: pro proxy - ochrana před útoky DoS, pro webový server - řízení integrity stránky, pro aplikační server - obrazovku na úrovni aplikace, pro DBMS vrstva - ochrana před injekcemi SQL, pro úložný systém - zálohování a řízení přístupu. Samostatně, každý z těchto obranných mechanismů již byl vytvořen, ale nejsou shromažďovány společně pro komplexní ochranu cloudu, takže úkol jejich integrace do jednoho systému musí být vyřešen při vytváření cloudu.

Útoky klientů... Tento typ útoku byl praktikován ve webovém prostředí, ale je také relevantní pro cloud, protože klienti se připojují ke cloudu, obvykle pomocí prohlížeče. Zahrnuje takové útoky jako Cross Site Scripting (XSS), únos webových relací, krádež hesel, „muž uprostřed“ a další. Tradičně byla obrana proti těmto útokům silná autentizace a šifrovaná komunikace se vzájemnou autentizací, ale ne všichni tvůrci cloudu si mohou dovolit tak nehospodárné a obvykle nepříliš pohodlné způsoby ochrany. Proto v tomto odvětví informační bezpečnosti stále existují nevyřešené úkoly a prostor pro vytváření nových prostředků ochrany.

Virtualizační hrozby... Protože platformou pro cloudové komponenty byla tradičně virtualizovaná prostředí, útoky na virtualizační systém také ohrožují celý cloud jako celek. Tento typ hrozby je pro cloud computing jedinečný, proto se na něj podíváme blíže níže. V současné době se začínají objevovat řešení pro některé virtualizační hrozby, ale toto odvětví je zcela nové, a proto zatím stávající řešení nebyla vyvinuta. Je docela možné, že trh s informační bezpečností brzy vyvine prostředky ochrany před tímto typem hrozby.

Komplexní cloudové hrozby... Ovládání a správa cloudů je také problém zabezpečení. Jak zajistit, aby byly spočítány všechny cloudové prostředky a aby v něm nebyly žádné neřízené virtuální stroje, nebyly spuštěny zbytečné obchodní procesy a aby nebyla narušena vzájemná konfigurace vrstev a prvků cloudu. Tento typ ohrožení je spojen se zvládnutelností cloudu jako jednotného informačního systému a hledáním zneužití nebo jiných narušení provozu cloudu, což může vést ke zbytečným nákladům na udržování zdraví informačního systému. Pokud například existuje cloud, který vám umožňuje detekovat v něm virus pomocí odeslaného souboru, jak pak zabránit krádeži takových detektorů? Tento typ hrozby je nejvyšším stupněm a domnívám se, že pro něj neexistuje univerzální způsob ochrany - pro každý cloud musí být jeho celková ochrana vytvořena samostatně. Tomu může pomoci nejobecnější model řízení rizik, který je stále třeba správně aplikovat na cloudové infrastruktury.

První dva typy hrozeb již byly dostatečně studovány a byly pro ně vyvinuty obrany, ale stále je třeba je upravit pro použití v cloudu. Například brány firewall jsou určeny k ochraně perimetru, ale v cloudu není snadné přidělit perimetr jednotlivému klientovi, což značně ztěžuje ochranu. Proto je třeba technologii brány firewall přizpůsobit cloudové infrastruktuře. Práce v tomto směru nyní aktivně provádí například Check Point.

Novým typem hrozby pro cloud computing jsou problémy s virtualizací. Faktem je, že při použití této technologie se v systému objeví další prvky, na které lze útočit. Patří sem hypervisor, systém pro přenos virtuálních počítačů z jednoho hostitele na druhého a systém pro správu virtuálních počítačů. Uvažujme podrobněji, jaké útoky mohou uvedené prvky podstoupit.

Útoky hypervisoru... Ve skutečnosti je klíčovým prvkem virtuálního systému hypervisor, který zajišťuje rozdělení prostředků fyzického počítače mezi virtuální stroje. Zasahování do provozu hypervizoru může vést k tomu, že jeden virtuální počítač může přistupovat k paměti a prostředkům druhého, zachytávat jeho síťový provoz, odebírat jeho fyzické zdroje a dokonce úplně vytlačit virtuální počítač ze serveru. Jen málo hackerů zatím přesně chápe, jak hypervizor funguje, takže k útokům tohoto typu prakticky nedochází, ale to nezaručuje, že se v budoucnu neobjeví.

Migrujte virtuální počítače... Je třeba poznamenat, že virtuální počítač je soubor, který lze spustit pro spuštění v různých cloudových uzlech. Systémy pro správu virtuálních počítačů poskytují mechanismy pro přenos virtuálních počítačů z jednoho hostitele na druhého. Soubor virtuálního počítače však může být ukraden a pokus o spuštění mimo cloud. Vyjmutí fyzického serveru z datového centra je nemožné, ale virtuální počítač lze odcizit v síti bez fyzického přístupu k serverům. Je pravda, že samostatný virtuální stroj mimo cloud nemá žádnou praktickou hodnotu - z každé vrstvy je třeba ukrást alespoň jeden virtuální počítač, stejně jako data z úložného systému k obnovení podobného cloudu, nicméně virtualizace zcela umožňuje krádež částí nebo celý mrak. To znamená, že interference s mechanismy pro přenos virtuálních počítačů vytváří pro informační systém nová rizika.

Útoky na řídicí systém... Obrovský počet virtuálních počítačů, které se používají v cloudech, zejména ve veřejných cloudech, vyžaduje systémy správy, které mohou spolehlivě řídit vytváření, migraci a likvidaci virtuálních počítačů. Intervence v řídicích systémech může vést ke vzniku neviditelných virtuálních strojů, blokování některých strojů a nahrazování nepovolených prvků v cloudových vrstvách. To vše umožňuje útočníkům získat informace z cloudu nebo zachytit jeho části nebo celý cloud.

Je třeba poznamenat, že doposud jsou všechny výše uvedené hrozby čistě hypotetické, protože o skutečných útocích tohoto typu prakticky neexistují žádné informace. Současně, když se virtualizace a cloud stanou dostatečně populární, všechny tyto typy útoků mohou být docela reálné. Proto je třeba mít na paměti i ve fázi návrhu cloudových systémů.

Za sedmým nebem

Apoštol Pavel tvrdil, že znal muže, který byl chycen až do sedmého nebe. Od té doby je fráze „sedmého nebe“ pevně zakořeněná pro označení ráje. Ne všichni křesťanští svatí však měli tu čest navštívit i první nebe, nicméně neexistuje žádný takový člověk, který by nesnil o tom, že by se podíval na sedmé nebe alespoň jedním okem.

Možná právě tato legenda přiměla tvůrce Trend Micro pojmenovat jeden ze svých projektů ochrany před cloudem Cloud Nine - devátý cloud. To je jasně nad sedmou. Nyní je však toto jméno dáno široké škále věcí: písničkám, detektivkám, počítačovým hrám, ale je dost možné, že toto jméno bylo inspirováno křesťanskou legendou o Paulovi.

Společnost Trend Micro však zatím zveřejnila pouze informace, že Cloud Nine bude spojen se šifrováním dat v cloudu. Právě šifrování dat umožňuje chránit před většinou hrozeb pro data ve veřejném cloudu, takže se nyní budou takové projekty aktivně vyvíjet. Představme si, jaké nástroje ochrany mohou být stále užitečné ke zmírnění výše popsaných rizik.

Nejprve musíte zajistit spolehlivou autentizaci uživatelů cloudu i jeho komponent. Chcete-li to provést, můžete s největší pravděpodobností použít hotové systémy jediné autentizace (SSO), které jsou založeny na protokolu Kerberos a vzájemném hardwarovém ověřovacím protokolu. Dále budete potřebovat systémy pro správu identit, které vám umožní konfigurovat přístupová práva uživatelů k různým systémům pomocí správy založené na rolích. Samozřejmě si musíte pohrát s definicí rolí a minimálních práv pro každou roli, ale jakmile systém nakonfigurujete, lze jej používat po dlouhou dobu.

Když jsou definováni všichni účastníci procesu a jejich práva, musíte sledovat dodržování těchto práv a odhalování administrativních chyb. To vyžaduje systémy zpracování událostí z prostředků chránících prvky cloudu a další ochranné mechanismy, jako jsou brány firewall, antiviry, IPS a další. Je pravda, že stojí za to použít ty možnosti, které mohou fungovat ve virtualizačním prostředí - to bude efektivnější.

Kromě toho byste měli také použít nějaký druh podvodného stroje, který by vám umožnil odhalit podvody při používání cloudů, to znamená snížit nejtěžší riziko zásahu do obchodních procesů. Je pravda, že nyní na trhu s největší pravděpodobností neexistuje žádný podvodný stroj, který by umožňoval práci s cloudy, nicméně technologie pro detekci případů podvodů a zneužívání již byly pro telefonování vyvinuty. Protože bude muset být v cloudu implementován fakturační systém, měl by k němu být připojen podvodný stroj. Bude tedy možné alespoň řídit hrozby pro cloudové obchodní procesy.

Jaké další obranné mechanismy lze použít k ochraně mraků? Otázka je stále otevřená.

Existuje několik metod pro budování podnikové IT infrastruktury. Nasazení všech zdrojů a služeb na cloudovou platformu je jen jedním z nich. Předsudky o bezpečnosti cloudových řešení se však často stávají překážkou právě tímto způsobem. V tomto článku pochopíme, jak je bezpečnostní systém uspořádán v cloudu jednoho z nejslavnějších ruských poskytovatelů - Yandex.

Pohádka je lež, ale je v ní náznak

Začátek tohoto příběhu lze vyprávět jako slavná pohádka. Ve společnosti byli tři správci: senior byl chytrý člověk, prostřední byl ten a ten, nejmladší byl ... zkušený praktikant. Spustil jsem uživatele ve službě Active Directory a zkroutil ocasy na tsiska. Nastal čas, aby se společnost rozšířila, a král, tj. Šéf, povolal svou administrativní armádu. Přeji si, říká, nové webové služby pro naše klienty, vlastní úložiště souborů, spravované databáze a virtuální stroje pro testování softwaru.

Nejmladší okamžitě navrhl vytvořit vlastní infrastrukturu od nuly: nákup serverů, instalace a konfigurace softwaru, rozšíření hlavního internetového kanálu a přidání záložního - kvůli spolehlivosti. A společnost je klidnější: hardware je vždy po ruce, kdykoli můžete něco vyměnit nebo překonfigurovat a on sám bude mít vynikající příležitost k pumpování svých administrátorských schopností. Počítali a ronili slzy: společnost si takové náklady nebude moci dovolit. Velké podniky to mohou udělat, ale pro střední a malé podniky se to ukazuje jako příliš drahé. Nemusíte jen kupovat vybavení, vybavit serverovnu, zavěsit klimatizaci a nastavit požární hlásiče, musíte také zorganizovat směnovou hlídku, abyste udrželi pořádek ve dne i v noci a odrazili síťové útoky temperamentních lidí z internetu . A z nějakého důvodu nechtěli správci pracovat v noci a o víkendech. Pokud jen za dvojitou platbu.

Starší správce se zamyšleně podíval do okna terminálu a navrhl dát všechny služby do cloudu. Ale pak se jeho kolegové začali navzájem děsit hororovými příběhy: říkají, že cloudová infrastruktura má nechráněná rozhraní a API, špatně vyvažuje zátěž různých klientů, což může poškodit vaše vlastní zdroje, a je také nestabilní vůči krádeži dat a externím útokům . A obecně je děsivé přenášet kontrolu nad kritickými daty a softwarem na neoprávněné osoby, s nimiž jste nesnědli půl kila soli a vypili kbelík piva.

Mediocre dal nápad umístit celý IT systém do datového centra poskytovatele, na jeho kanály. O tom a rozhodl se. Na naši trojici však čekalo několik překvapení, ne všechna byla příjemná.

Za prvé, jakákoli síťová infrastruktura vyžaduje povinnou dostupnost nástrojů zabezpečení a ochrany, které byly samozřejmě nasazeny, nakonfigurovány a spuštěny. Jak se ukázalo, náklady na hardwarové prostředky, které používají, si však musí zaplatit klient sám. A moderní systém zabezpečení informací spotřebovává značné prostředky.

Za druhé, podnikání nadále rostlo a infrastruktura vybudovaná od začátku rychle dosáhla stropu škálovatelnosti. Navíc na jeho rozšíření nestačila jednoduchá změna tarifu: v tomto případě by mnoho služeb muselo být převedeno na jiné servery, překonfigurováno a něco zcela přepracováno od začátku.

Nakonec jednoho dne kvůli kritické zranitelnosti jedné z aplikací celý systém havaroval. Správci to rychle vybrali ze záloh, ale nedokázali rychle zjistit důvody toho, co se stalo, protože zapomněli nastavit zálohu pro služby protokolování. Ztratil se cenný čas a čas, jak říká lidová moudrost, jsou peníze.

Výpočet nákladů a shrnutí výsledků vedlo vedení společnosti k neuspokojivým závěrům: administrátor, který od samého začátku navrhoval použít cloudový model IaaS - „infrastruktura jako služba“, měl pravdu. Pokud jde o zabezpečení takových platforem, stojí za to mluvit o tom samostatně. A uděláme to na příkladu nejpopulárnějších takových služeb - Yandex.Cloud.

Zabezpečení na Yandex.Cloud

Začněme, jak Cheshire Cat radila dívce Alice, od začátku. Tedy z otázky vymezení odpovědnosti. V Yandex.Cloud, stejně jako na jiných podobných platformách, je poskytovatel zodpovědný za bezpečnost služeb poskytovaných uživatelům, zatímco klient je zodpovědný za zajištění správného provozu aplikací, které vyvíjí, za organizaci a vymezení vzdáleného přístupu k vyhrazeným zdrojům , konfigurace databází a virtuálních strojů, kontrola nad protokolováním. K tomu však má k dispozici všechny potřebné nástroje.

Zabezpečení cloudové infrastruktury Yandex má několik úrovní, z nichž každá implementuje vlastní zásady ochrany a využívá samostatný arzenál technologií.

Fyzická vrstva

Není žádným tajemstvím, že Yandex má svá vlastní datová centra, která obsluhují jejich vlastní bezpečnostní oddělení. Hovoříme nejen o službách video dohledu a řízení přístupu, jejichž cílem je zabránit cizím osobám ve vstupu do serveroven, ale také o systémech řízení klimatizace, hašení požárů a nepřerušitelných napájecích zdrojích. Sternové bezpečnostní stráže jsou k ničemu, pokud je váš serverový server jednou zaplaven vodou z protipožárních postřikovačů nebo pokud se přehřejí po poruše klimatizace. To se jim v datových centrech Yandex rozhodně nestane.

Hardware Cloud je navíc fyzicky oddělen od „velkého Yandexu“: jsou umístěny v různých stojanech, ale stejným způsobem procházejí pravidelnou běžnou údržbou a výměnou komponent. Na pomezí těchto dvou infrastruktur se používají hardwarové brány firewall a uvnitř cloudu - softwarová brána firewall na bázi hostitele. Přepínače Top-of-the-rack využívají navíc systém ACL (Access Control List), který výrazně zvyšuje zabezpečení celé infrastruktury. Yandex průběžně skenuje cloud zvenčí a hledá otevřené porty a chyby konfigurace, aby bylo možné potenciální zranitelnost předem rozpoznat a odstranit. Pro zaměstnance pracující s cloudovými prostředky byl implementován centralizovaný ověřovací systém využívající klíče SSH s přístupovým modelem založeným na rolích a protokolovány jsou všechny relace správce. Tento přístup je součástí modelu Secure by default, který Yandex hojně používá: zabezpečení je začleněno do infrastruktury IT ve fázi jejího návrhu a vývoje a není přidáno později, když již bylo vše uvedeno do provozu.

Úroveň infrastruktury

Na úrovni „logiky hardwaru a softwaru“ používá Yandex.Cloud tři služby infrastruktury: Compute Cloud, Virtual Private Cloud a Yandex Managed Services. A teď o každém z nich trochu podrobněji.

Compute Cloud

Tato služba poskytuje škálovatelný výpočetní výkon pro různé úkoly, jako je hostování webových projektů a služeb s vysokou zátěží, testování a prototypování nebo dočasná migrace IT infrastruktury po dobu opravy nebo výměny vlastního vybavení. Službu můžete spravovat prostřednictvím konzoly, příkazového řádku (CLI), SDK nebo API.

Zabezpečení Compute Cloud je založeno na skutečnosti, že všechny klientské virtuální počítače používají alespoň dvě jádra a při přidělování paměti nedochází k nadměrnému závazku. Protože v tomto případě je v jádře spuštěn pouze klientský kód, systém není náchylný k zranitelnostem, jako jsou L1TF, Spectre a Meltdown nebo útoky na boční kanály.

Yandex navíc používá vlastní sestavení Qemu / KVM, ve kterém je deaktivováno vše nepotřebné, takže zbývá jen minimální sada kódu a knihoven nezbytných pro provoz hypervisorů. Současně jsou procesy spuštěny pod kontrolou instrumentace založené na AppArmor, která pomocí zásad zabezpečení určuje, ke kterým systémovým prostředkům a s jakými oprávněními má konkrétní aplikace přístup. AppArmor běžící na každém virtuálním počítači snižuje riziko, že klientská aplikace bude mít přístup k hypervisoru z virtuálního počítače. Aby bylo možné přijímat a zpracovávat protokoly, vytvořil Yandex proces pro doručování dat z AppArmor a sandboxů do vlastního Splunku.

Virtuální privátní cloud

Služba Virtual Private Cloud vám umožňuje vytvářet cloudové sítě sloužící k přenosu informací mezi různými zdroji a jejich připojení k internetu. Tuto službu fyzicky podporují tři nezávislá datová centra. V tomto prostředí se logická izolace provádí na úrovni víceprotokolové komunikace - MPLS. Současně Yandex neustále rozmazává rozhraní SDN a hypervisoru, to znamená, že ze strany virtuálních počítačů je do externího prostředí nepřetržitě odesílán proud chybně tvarovaných paketů, aby bylo možné získat odpověď od SDN, analyzovat ji a zavřít konfigurační mezery. Ochrana DDoS je automaticky povolena při vytváření virtuálních počítačů.

Spravované služby Yandex

Yandex Managed Services je softwarové prostředí pro správu různých služeb: DBMS, klastry Kubernetes, virtuální servery v infrastruktuře Yandex.Cloud. Zde služba převezme většinu bezpečnostních prací. Všechny zálohy, šifrování záloh, správa zranitelnosti atd. Jsou automaticky poskytovány softwarem Yandex.Cloud.

Nástroje reakce na incidenty

Abychom mohli včas reagovat na incidenty zabezpečení informací, je nutné včas identifikovat zdroj problému. K tomu je nutné použít spolehlivé monitorovací nástroje, které by měly fungovat nepřetržitě a bez přerušení. Takové systémy budou nevyhnutelně spotřebovávat zdroje, ale Yandex.Cloud nepřenáší náklady na výpočetní výkon bezpečnostních nástrojů na uživatele platforem.

Při výběru sady nástrojů se Yandex řídil dalším důležitým požadavkem: v případě úspěšného využití chyby zabezpečení 0day v jedné z aplikací by útočník neměl opustit hostitele aplikace, zatímco tým zabezpečení by se měl o incidentu okamžitě dozvědět a reagovat jako potřeboval.

V neposlední řadě bylo přáním, aby všechny nástroje byly open source. Tato kritéria plně splňuje balíček AppArmor + Osquery, který bylo rozhodnuto použít v Yandex.Cloud.

AppArmor

AppArmor byl zmíněn výše: je to softwarový nástroj proaktivní ochrany založený na přizpůsobitelných profilech zabezpečení. Profily používají technologii označování soukromí Mandatory Access Control (MAC) implementovanou pomocí LSM přímo v samotném jádře Linuxu od verze 2.6. Vývojáři Yandex zvolili AppArmor z následujících důvodů:

• lehkost a rychlost, protože nástroj závisí na části jádra Linuxu;
• je to open source řešení;
• Aplikaci AppArmor lze velmi rychle nasadit na Linux bez psaní jakéhokoli kódu;
• flexibilní konfigurace je možná pomocí konfiguračních souborů.

Osquery

Osquery je nástroj pro monitorování zabezpečení systému vyvinutý společností Facebook a nyní se úspěšně používá v mnoha IT odvětvích. Nástroj je zároveň multiplatformní a open source.

S Osquery můžete shromažďovat informace o stavu různých komponent operačního systému, shromažďovat je, transformovat do standardizovaného formátu JSON a odesílat zvolenému příjemci. Tento nástroj vám umožňuje psát a odesílat standardní dotazy SQL do vaší aplikace, které jsou uloženy v databázi rocksdb. Frekvenci a podmínky pro provádění nebo zpracování těchto požadavků můžete přizpůsobit.

Standardní tabulky již implementovaly mnoho funkcí, například můžete získat seznam procesů spuštěných v systému, nainstalované balíčky, aktuální sadu pravidel iptables, entity crontab atd. Po vybalení byla implementována podpora pro příjem a analýzu událostí ze systému auditu jádra (používá se v Yandex.Cloud ke zpracování událostí AppArmor).

Samotný Osquery je napsán v C ++ a distribuován s otevřeným zdrojovým kódem, můžete je upravovat a přidávat nové tabulky do hlavní základny kódu a vytvářet vlastní rozšíření v jazycích C, Go nebo Python.

Užitečnou funkcí Osquery je přítomnost distribuovaného systému dotazů, pomocí kterého můžete provádět dotazy v reálném čase na všechny virtuální počítače v síti. To může být užitečné, například pokud je v balíčku nalezena chyba zabezpečení: pomocí jediného dotazu můžete získat seznam počítačů, na kterých je tento balíček nainstalován. Tato funkce je široce používána při správě velkých distribuovaných systémů se složitou infrastrukturou.

závěry

Pokud se vrátíme k příběhu vyprávěnému na samém začátku tohoto článku, uvidíme, že obavy, kvůli kterým naši hrdinové odmítli nasadit infrastrukturu na cloudovou platformu, se ukázaly jako neopodstatněné. Alespoň pokud jde o Yandex.Cloud. Zabezpečení cloudové infrastruktury vytvořené společností Yandex má vícevrstvou architekturu echeloned, a proto poskytuje vysokou úroveň ochrany před většinou aktuálně známých hrozeb.

Díky úsporám na běžné údržbě hardwaru a platbám za zdroje spotřebované monitorovacími a varovnými systémy, které Yandex provádí, používání Yandex.Cloud současně výrazně šetří peníze malým a středním podnikům. Úplné opuštění oddělení IT nebo oddělení odpovědného za informační bezpečnost (zvláště pokud jsou obě tyto role sloučeny do jednoho týmu) samozřejmě nebude fungovat. Yandex.Cloud ale výrazně sníží mzdové náklady a režijní náklady.

Vzhledem k tomu, že Yandex.Cloud poskytuje svým zákazníkům zabezpečenou infrastrukturu se všemi potřebnými bezpečnostními nástroji, mohou se soustředit na obchodní procesy, přičemž úkoly spojené se servisem a monitorováním hardwaru nechají na poskytovateli. Nevylučuje to nutnost současné správy virtuálních počítačů, databází a aplikací, ale takový rozsah úkolů by bylo v každém případě nutné vyřešit. Obecně můžeme říci, že Yandex.Cloud šetří nejen peníze, ale i čas. A druhý, na rozdíl od prvního, je nenahraditelným zdrojem.

GRIGORIEV1 Vitaly Robertovich, kandidát technických věd, docent KUZNETSOV2 Vladimir Sergeevich

PROBLÉMY S IDENTIFIKACÍ ZRANITELNOSTÍ V OBLASTI POČÍTAČE CLOUD

Tento článek poskytuje přehled přístupů k budování koncepčního modelu cloud computingu a také srovnání stávajících pohledů na identifikaci zranitelností, které jsou vlastní systémům postaveným na základě tohoto modelu. Klíčová slova: cloud computing, zranitelnost, jádro hrozeb, virtualizace.

Účelem tohoto článku je poskytnout přehled přístupů k budování koncepčního modelu cloud computingu uvedeného v referenční architektuře NIST Cloud Computing Reference a porovnat názory předních organizací v této oblasti na zranitelnosti v tomto výpočetním modelu a také hlavní hráči na trhu cloud computingu.

Cloud computing je model, který poskytuje pohodlný síťový přístup na vyžádání ke konfigurovatelným sdíleným výpočetním prostředkům (sítě, servery, úložiště dat, aplikace a služby), který je rychle dodáván s minimální interakcí správy a poskytovatele služeb. Tato definice National Standards Institute (NIST) je široce přijímána v celém odvětví. Definice cloud computingu zahrnuje pět základních charakteristik, tři modely služeb a čtyři modely nasazení.

Pět hlavních charakteristik

Samoobsluha na vyžádání

Uživatelé mohou získávat, řídit a spravovat výpočetní prostředky bez pomoci správců systému. Široký přístup k síti - Výpočetní služby jsou poskytovány prostřednictvím standardních sítí a heterogenních zařízení.

Operativní elasticita - 1T-

prostředky lze podle potřeby rychle škálovat v libovolném směru.

Pool zdrojů - IT zdroje jsou sdíleny různými aplikacemi a uživateli v odpojeném režimu.

Výpočet nákladů na službu - využití 1T zdroje je sledováno pro každou aplikaci a uživatele zpravidla k zajištění fakturace za veřejný cloud a interních plateb za používání soukromých cloudů.

Tři servisní modely

Software jako služba (SaaS) - Aplikace jsou obvykle dodávány koncovým uživatelům jako služba prostřednictvím webového prohlížeče. V současné době existují stovky nabídek SaaS, od horizontálních podnikových aplikací po nabídky specifické pro dané odvětví, stejně jako pro spotřebitelské aplikace, jako je e-mail.

Platform as a Service (PaaS) - Platforma pro vývoj a nasazení aplikací je poskytována vývojářům jako služba pro vytváření, nasazování a správu aplikací SaaS. Platforma obvykle obsahuje databáze, middleware a vývojové nástroje, které jsou všechny poskytovány jako služba přes internet. PaaS se často zaměřuje na programovací jazyk nebo API, jako je Java nebo Python. Virtualizovaná klastrovaná distribuovaná výpočetní architektura často slouží jako základ pro systémy

1 - MSTU MIREA, docent katedry informační bezpečnosti;

2 - Moskevská státní univerzita radioelektroniky a automatizace (MSTU MIREA), student.

Paradise, protože struktura sítě síťového zdroje poskytuje potřebnou pružnou škálovatelnost a sdružování zdrojů. Infrastruktura jako služba (IaaS) - Servery, úložný a síťový hardware jsou poskytovány jako služba. Tento hardware infrastruktury je často virtualizovaný, takže součástí LaaR je také virtualizace, správa a software operačního systému.

Čtyři modely nasazení

Soukromé cloudy - Navrženy pro výhradní použití jedné organizace a jsou obvykle řízeny, spravovány a hostovány soukromými datovými centry. Hosting a správu soukromých cloudů lze zadat externímu poskytovateli služeb, ale často

Nový cloud zůstává ve výhradním používání jedné organizace. Veřejné cloudy - sdílené mnoha organizacemi (uživateli), spravované a spravované externími poskytovateli služeb.

Skupinové mraky - Používá je skupina příbuzných organizací, které chtějí využít výhod sdíleného cloudového výpočetního prostředí. Skupina může být například složena z různých odvětví armády, všech univerzit v daném regionu nebo všech dodavatelů významného výrobce.

Hybridní cloudy - objevují se, když organizace používá pro stejnou aplikaci soukromý i veřejný cloud, aby využila výhod obou. Například ve scénáři „bouře“ uživatel organizace v případě standardního načtení aplikace

využívá soukromý cloud a když je zátěž například na konci čtvrtiny nebo během prázdnin špičková, využívá potenciál veřejného cloudu a následně tyto prostředky vrací do obecného fondu, když nejsou potřeba.

Na obr. 1 ukazuje koncepční model cloud computingu podle dokumentu „NIST Cloud Computing Reference Architecture“. Jak je znázorněno na obr. 1 model ve standardu zdůrazňuje hlavní účastníky cloudového systému: cloudový spotřebitel, poskytovatel cloudu, cloudový auditor, cloudový broker, cloudový zprostředkovatel. Každý účastník je osoba nebo organizace, která vykonává své vlastní funkce implementace nebo poskytování cloud computingu. Cloudový spotřebitel - osoba nebo organizace, která udržuje obchodní interakce s ostatními

Cloudový spotřebitel

Cloudový auditor

C Bezpečnostní audit L I J

I audit důvěrnosti I J

(Audit poskytovaných služeb |

Poskytovatel cloudu

Komplex úrovní

Vlastní úroveň

^ Služba jako služba ^ ^ Platforma jako služba ^ Infrastruktura jako služba)

Úroveň abstrakce

Fyzická vrstva

Cloudová služba

^ J podpora ^ J přizpůsobení

Přenosnost

Cloudový broker

Cloudový zprostředkovatel

Rýže. 1. Koncepční model vyvinutý specialisty NIST

tori network a využívá služeb od cloudových poskytovatelů. Poskytovatel cloudu - osoba, organizace nebo kdokoli, kdo je zodpovědný za dostupnost služeb poskytovaných spotřebitelům, kteří mají zájem. Cloud auditor - účastník, který může provádět nezávislá hodnocení cloudových služeb, služeb a zabezpečení cloudové implementace. Cloud broker je účastník, který spravuje používání, výkon a doručování cloudových služeb spotřebiteli a vyjednává interakce mezi poskytovateli cloudu a cloudovými spotřebiteli. Cloudový zprostředkovatel - zprostředkovatel, který zajišťuje komunikaci a poskytování cloudových služeb mezi poskytovateli cloudu a cloudovými spotřebiteli.

Výhody a výzvy cloud computingu

Nedávné průzkumy IT specialistů ukazují, že cloud computing nabízí při organizaci distribuovaných služeb dvě hlavní výhody - rychlost a náklady. Díky autonomnímu přístupu do fondu výpočetních zdrojů mohou být uživatelé zahrnuti do procesů, které je zajímají, během několika minut, a ne týdnů nebo měsíců, jak tomu bylo v minulosti. Díky pružně škálovatelnému výpočetnímu prostředí Grid se také rychle mění výpočetní kapacita. Jelikož v cloud computingu uživatelé platí pouze za to, co používají, a škálovatelnost a automatizace dosahují vysoké úrovně, je poměr nákladů a efektivity poskytovaných služeb také velmi atraktivním faktorem pro všechny účastníky výměnných procesů.

Stejné průzkumy veřejného mínění ukazují, že některým společnostem brání v přechodu na cloud řada vážných úvah. Mezi těmito aspekty je zabezpečení cloudových počítačů zdaleka vedoucí.

Pro adekvátní posouzení bezpečnosti v cloudových systémech má smysl prozkoumat názory na hrozby v této oblasti hlavních hráčů na trhu. Porovnáme současné přístupy k cloudovým hrozbám prezentované v plánu NIST Cloud Computing Standards Roadmap s nabídkami společností IBM, Oracle a VmWare.

US National Standards Institute Standard zabezpečení cloudových počítačů

Plán NIST Cloud Computing Standards, přijatý NIST, pokrývá možné potenciální typy útoků na služby cloud computingu:

♦ ohrožení důvěrnosti a dostupnosti dat přenášených poskytovateli cloudu;

♦ útoky, které vycházejí ze strukturálních vlastností a schopností prostředí cloud computingu za účelem zesílení a zvýšení poškození způsobeného útoky;

♦ neoprávněný přístup spotřebitele (prostřednictvím nesprávné autentizace nebo autorizace nebo zranitelnosti zavedené pravidelnou údržbou) k softwaru, datům a zdrojům používaným autorizovaným spotřebitelem cloudových služeb;

♦ zvýšení úrovně síťových útoků, jako je DoS, využívání softwaru, jehož vývoj nezohledňoval model ohrožení distribuovaných internetových zdrojů, ani zranitelnost zdrojů, které byly přístupné ze soukromých sítí;

♦ omezené možnosti šifrování dat v prostředí s velkým počtem účastníků;

♦ přenositelnost vyplývající z používání nestandardních API, která ztěžují zákazníkovi cloudu migraci na nového poskytovatele cloudu, pokud nejsou splněny požadavky na dostupnost;

♦ útoky využívající fyzickou abstrakci cloudových zdrojů a využívající nedostatky v záznamech a postupech auditu;

♦ útoky na virtuální počítače, které nebyly odpovídajícím způsobem aktualizovány;

♦ útoky využívající nesrovnalosti v globálních a soukromých bezpečnostních politikách.

Standard také zdůrazňuje hlavní bezpečnostní cíle pro cloud computing:

♦ ochrana uživatelských dat před neoprávněným přístupem, zveřejněním, změnou nebo prohlížením; znamená podporu identifikační služby takovým způsobem, aby měl spotřebitel možnost provádět zásady identifikace a řízení přístupu u autorizovaných uživatelů, kteří mají přístup ke cloudovým službám; tento přístup implikuje schopnost spotřebitele poskytovat přístup k jeho datům selektivně ostatním uživatelům;

♦ ochrana před hrozbami dodavatelského řetězce; zahrnuje potvrzení stupně důvěryhodnosti a spolehlivosti poskytovatele služeb ve stejné míře jako stupeň důvěry v použitý software a hardware;

♦ prevence neoprávněného přístupu ke zdrojům cloudových počítačů; zahrnuje vytváření zabezpečených domén, které jsou logicky oddělené od prostředků (například logické oddělení pracovních zátěží běžících na stejném fyzickém serveru prostřednictvím hypervisoru v prostředí s více klienty) a používání zabezpečených výchozích konfigurací;

♦ vývoj webových aplikací nasazených v cloudu pro model hrozeb distribuovaných internetových zdrojů a integraci bezpečnostních funkcí do procesu vývoje softwaru;

♦ ochrana internetových prohlížečů před útoky za účelem zmírnění bezpečnostních slabin koncových uživatelů; zahrnuje přijetí opatření k ochraně internetového připojení osobních počítačů pomocí bezpečného softwaru, firewallů (firewallů) a pravidelné instalace aktualizací;

♦ nasazení technologií řízení přístupu a detekce narušení

od poskytovatele cloudových služeb a provádění nezávislého hodnocení za účelem ověření jejich dostupnosti; zahrnuje (ale není omezen na) tradiční perimetrická bezpečnostní opatření kombinovaná s modelem zabezpečení domény; tradiční zabezpečení perimetru zahrnuje omezení fyzického přístupu k síti a zařízením, ochranu jednotlivých komponent před zneužitím nasazením aktualizací, výchozí nastavení většiny nastavení zabezpečení, deaktivaci všech nepoužívaných portů a služeb, řízení přístupu na základě rolí, monitorování záznamů auditu, minimalizaci použitých oprávnění pomocí antivirových balíčků a šifrovaných připojení;

♦ definování důvěryhodných hranic mezi poskytovatelem (poskytovateli) služeb a spotřebiteli, aby bylo zajištěno, že oprávněná odpovědnost za poskytování zabezpečení je jasná;

♦ podpora přenositelnosti, prováděná tak, aby měl spotřebitel možnost změnit poskytovatele cloudu v případech, kdy potřebuje splnit požadavky na integritu, dostupnost, důvěrnost; to zahrnuje možnost v tuto chvíli zrušit účet a kopírovat data od jednoho poskytovatele služeb k druhému.

Plán NIST Cloud Computing Standards, přijatý NIST, definuje základní seznam útoků na cloudové systémy a seznam základních úkolů, které by měly

řešit přihláškou

příslušná opatření.

Zformulujme hrozby pro informační bezpečnost cloudového systému:

♦ U1 - ohrožení (kompromitace, dostupnost atd.) Dat;

♦ U2 - hrozby generované strukturálními prvky a schopnostmi architektury pro implementaci distribuovaných počítačů;

♦ U4 - hrozby spojené s nesprávným modelem hrozby;

♦ U5 - hrozby související s nesprávným použitím šifrování (je nutné použít šifrování v prostředí, kde existuje několik datových toků);

♦ U6 - hrozby spojené s používáním nestandardních API během vývoje;

♦ U7 - virtualizační hrozby;

♦ U8 - hrozby využívající nesrovnalosti v globálních bezpečnostních politikách.

Pohled IBM na zabezpečení cloudových počítačů

Pokyny k zabezpečení cloudu Doporučení IBM pro implementaci Cloud Security nám umožňují vyvodit závěry o vizi zabezpečení IBM. Na základě tohoto dokumentu můžeme rozšířit dříve navržený seznam hrozeb, a to:

♦ U9 - hrozby spojené s přístupem třetích stran k fyzickým prostředkům \ systémům;

♦ U10 - hrozby spojené s nesprávným odstraněním (životního cyklu) osobních údajů;

♦ U11 - hrozby související s porušováním regionálních, národních a mezinárodních zákonů týkajících se zpracovávaných informací.

IBM, Oracle a VmWare přistupují k zabezpečení cloudových počítačů

Dokumentace poskytovaná těmito společnostmi popisující jejich názory na zabezpečení v jejich systémech se zásadně neliší od výše uvedených hrozeb.

Stůl 1 uvádí hlavní třídy zranitelností formulované společnostmi ve svých produktech. Tab. 1 vám umožňuje vidět nedostatek úplného pokrytí hrozeb ve studovaných společnostech a formulovat „jádro hrozeb“ vytvořené společnostmi v jejich cloudových systémech:

♦ ohrožení dat;

♦ hrozby založené na struktuře \ schopnostech distribuovaných počítačů;

♦ hrozby spojené s nesprávným modelem hrozby;

♦ virtualizační hrozby.

Závěr

Přehled hlavních tříd zranitelností na cloudové platformě nám umožňuje dospět k závěru, že v současné době neexistují žádná hotová řešení pro úplnou ochranu cloudu kvůli různým útokům, které tyto chyby zabezpečení používají.

Je třeba poznamenat, že vytvořená tabulka tříd zranitelnosti (tabulka 1), která integruje přístupy vedoucích

Tabulka 1. Třídy zranitelnosti

Zdroj Deklarované hrozby

U1 U2 U3 U4 U5 U6 U7 U8 U9 U10 U11

NIST + + + + + + + + + - - -

IBM + + + + + - + - + + +

Sun / Oracle + + + + - - + + - - + -

VmWare + + + + + - - + - - - -

toto odvětví hráčů není omezeno na hrozby, které jsou v něm uvedeny. Například neodráží hrozby spojené s rozostřováním hranic mezi prostředími s různými úrovněmi důvěrnosti dat, stejně jako stírá hranice odpovědnosti za informační bezpečnost mezi spotřebitelem služeb a poskytovatelem cloudu.

Je zřejmé, že za účelem implementace komplexního cloudového systému je třeba vyvinout ochranu pro konkrétní implementaci. Důležitou roli pro implementaci zabezpečených počítačů ve virtuálních prostředích hraje také nedostatek standardů FSTEC a FSB pro cloudové systémy. Má smysl používat „jádro hrozeb“ zdůrazněné v práci ve studii

úkolem je vytvořit jednotný model tříd zranitelnosti. Tento článek má přehled, v budoucnu se plánuje podrobná analýza tříd hrozeb spojených s virtualizací a vývoj přístupů k vytvoření systému ochrany, který potenciálně brání implementaci těchto hrozeb

Literatura

1. Pokyny pro zabezpečení cloudu Doporučení IBM pro implementaci Cloud Security, ibm.com/redbooks, 2. listopadu 2009.

2. http://www.vmware.com/technical-resources/security/index.html.

3. Cloud NIST. Computing Reference Architecture, National Institute of Standards and. Technologie, speciální publikace. 500-292, září 2011.

4. NIST Cloud. Plán výpočetních standardů, Národní institut pro standardy a. Technologie, speciální publikace. 500-291, červenec 2011.

5. http://www.oracle.com/technetwork/indexes/documentation/index.html.

Cloud computing souhrnně označuje velký fond snadno používaných a snadno dostupných virtualizovaných prostředků (jako jsou hardwarové systémy, služby atd.). Tyto prostředky lze dynamicky přerozdělit (škálovat), aby se přizpůsobily dynamicky se měnícímu zatížení a zajistily optimální využití zdrojů. Tento fond zdrojů je obvykle poskytován na základě průběžných plateb. Majitel cloudu zároveň zaručuje kvalitu služby na základě určitých dohod s uživatelem.

V souladu se vším výše uvedeným lze rozlišit následující hlavní funkce cloud computingu:

1) cloud computing je nové paradigma pro poskytování výpočetních zdrojů;

2) základní služby infrastruktury (hardwarové prostředky, úložné systémy, systémový software) a aplikace jsou poskytovány jako služby;

3) tyto služby může poskytovat nezávislý poskytovatel pro externí uživatele na základě průběžných plateb, hlavními funkcemi cloud computingu jsou virtualizace a dynamická škálovatelnost;

4) cloudové služby mohou být koncovému uživateli poskytovány prostřednictvím webového prohlížeče nebo prostřednictvím specifického rozhraní API (Application Programming Interface).

Obecný model cloud computingu se skládá z externí a interní části. Tyto dva prvky jsou propojeny přes síť, ve většině případů přes internet. Prostřednictvím externí části uživatel interaguje se systémem; vnitřní část je vlastně samotný mrak. Frontend se skládá z klientského počítače nebo sítě podnikových počítačů a aplikací používaných pro přístup ke cloudu. Vnitřní část představují aplikace, počítače, servery a datová úložiště, která vytvářejí cloud služeb prostřednictvím virtualizace (obr. 1).

Když jsou existující fyzické virtuální počítače (VM) přesunuty z datového centra (DC) do externích cloudů nebo poskytování služeb IT mimo zabezpečený perimetr v privátních cloudech, obvod sítě zcela ztrácí smysl a celková úroveň zabezpečení je poměrně nízká.

Zatímco v tradičních datových centrech je přístup inženýrů k serverům přísně kontrolován na fyzické úrovni, zatímco v cloud computingu je přístup inženýrů k dispozici přes internet, což vede ke vzniku odpovídajících hrozeb. V souladu s tím je zásadní přísná kontrola přístupu pro správce a také zajištění kontroly a transparentnosti změn na systémové úrovni.

Virtuální stroje jsou dynamické. Nestálost virtuálních počítačů velmi ztěžuje vytváření a udržování soudržného systému zabezpečení. Chyby zabezpečení a chyby konfigurace se mohou vymknout kontrole. Kromě toho je velmi obtížné zaznamenat stav ochrany v určitém konkrétním časovém okamžiku pro následný audit.

Cloudové výpočetní servery používají stejný operační systém a stejné webové aplikace jako místní virtuální a fyzické servery. V případě cloudových systémů je tedy hrozba vzdáleného hackování nebo infekce malwarem stejně vysoká.

Další hrozbou je hrozba integrity dat: kompromisy a krádež dat. Je třeba monitorovat integritu operačního systému a souborů aplikací a také interní aktivitu.

Využívání cloudových služeb pro více nájemců ztěžuje plnění požadavků standardů a zákonů, včetně požadavků na používání kryptografických nástrojů, k ochraně citlivých informací, jako jsou informace o majiteli kreditní karty a informace, které identifikují osoba. To zase představuje skličující úkol poskytovat spolehlivou ochranu a zabezpečený přístup k citlivým datům.

Na základě analýzy možných hrozeb v cloud computingu je navržena možná hardwarová a softwarová komplexní bezpečnostní ochrana pro cloud computing, která zahrnuje 5 technologií: firewall, detekci a prevenci narušení, kontrolu integrity, analýzu logů a ochranu před škodlivým softwarem.

Poskytovatelé cloudových počítačů využívají virtualizaci, aby svým zákazníkům poskytli přístup k levným výpočetním prostředkům. Klientské virtuální počítače zároveň sdílejí stejné hardwarové prostředky, což je nezbytné k dosažení nejvyšší ekonomické efektivity. Firemní zákazníci, kteří se zajímají o cloud computing za účelem rozšíření své interní IT infrastruktury, musí vzít v úvahu hrozby, které takový krok představuje. Kromě tradičních mechanismů pro síťovou ochranu center zpracování dat, využívajících takové bezpečnostní přístupy, jako jsou: hraniční firewall, demilitarizované zóny, segmentace sítě, monitorování stavu sítě, systémy detekce a prevence narušení, by měly být na virtualizačních serverech použity také mechanismy ochrany dat softwaru na samotných serverech. VM, protože s přechodem virtuálních počítačů na veřejné cloudové služby postupně ztrácí smysl obvod podnikové sítě a nejméně chráněné uzly začínají výrazně ovlivňovat celkovou úroveň zabezpečení. Právě nemožnost fyzického oddělení a používání hardwaru zabezpečení k odrazení útoků mezi virtuálními počítači vede k potřebě umístit ochranný mechanismus na virtualizační server nebo na samotné virtuální počítače. Implementace komplexní metody ochrany na samotném virtuálním počítači, včetně softwarové implementace brány firewall, detekce a prevence narušení, kontroly integrity, analýzy protokolů a ochrany před škodlivým kódem, je nejúčinnějším způsobem ochrany integrity, souladu s regulačními požadavky a v souladu s zásady zabezpečení při přesunu virtuálních prostředků z intranetu do cloudu.

Literatura:

1. Radchenko G.I. Distribuované výpočetní systémy // Tutorial. - 2012 .-- S. 146-149.

2. Kondrashin M. Zabezpečení cloud computingu // Storage News. - 2010. - č. 1.

Kurz podle disciplíny

Software a hardware pro zabezpečení informací

„Zabezpečení informací v cloud computingu: chyby zabezpečení, metody a prostředky ochrany, nástroje pro audit a vyšetřování incidentů.“

Úvod

1. Historie a klíčové faktory vývoje

2. Definice cloud computingu

3. Referenční architektura

4. Dohoda o úrovni služeb

5. Metody a prostředky ochrany v cloud computingu

6. Zabezpečení cloudových modelů

7. Bezpečnostní audit

8. Vyšetřování incidentů a kriminalistiky v cloudu

9. Model ohrožení

10. Mezinárodní a domácí standardy

11. Územní identita údajů

12. Státní normy

13. Prostředky zabezpečení cloudu

14. Praktická část

Výstup

Literatura

Úvod

Rostoucí rychlost cloud computingu je vysvětlena skutečností, že za málo, obecně peněz, zákazník získá přístup k nejspolehlivější infrastruktuře s požadovaným výkonem bez nutnosti nákupu, instalace a údržby drahých počítačů. Systém dosahuje 99,9% , což také šetří výpočetní prostředky .... A co je důležitější - téměř neomezené možnosti škálovatelnosti. Zakoupením pravidelného hostingu a pokusem o skok přes hlavu (s prudkým nárůstem zátěže) existuje riziko získání služby, která na několik hodin poklesla. V cloudu jsou na vyžádání k dispozici další zdroje.

Hlavním problémem cloud computingu je nezaručená úroveň zabezpečení zpracovávaných informací, stupeň ochrany zdrojů a často zcela chybějící regulační rámec.

Účelem studie bude poskytnout přehled o stávajícím trhu s cloudovými počítači a prostředky k zajištění bezpečnosti na něm.

informace o zabezpečení cloud computingu

1. Historie a klíčové faktory vývoje

Myšlenku toho, čemu dnes říkáme cloud computing, poprvé vyslovil J. C. R. Licklider v roce 1970. Během těchto let byl zodpovědný za vytvoření ARPANET (Advanced Research Projects Agency Network). Jeho myšlenka byla, že každý člověk na Zemi bude připojen k síti, ze které bude přijímat nejen data, ale i programy. Další vědec John McCarthy předložil myšlenku, že výpočetní výkon bude uživatelům poskytován jako služba (služba). V této souvislosti byl vývoj cloudových technologií pozastaven až do 90. let, poté k jeho rozvoji přispěla řada faktorů.

Rozšíření šířky pásma internetu v 90. letech neumožnilo významný skok ve vývoji cloudových technologií, protože na to nebyla téměř žádná společnost a technologie té doby připravena. Samotná skutečnost zrychlení internetu však dala podnět k počátečnímu vývoji cloud computingu.

2. Jedním z nejvýznamnějších vývojů v této oblasti byl vznik Salesforce.com v roce 1999. Tato společnost se stala první společností, která prostřednictvím svého webu poskytla přístup ke své aplikaci. Ve skutečnosti se tato společnost stala první společností, která poskytovala svůj software na základě softwaru jako služby (SaaS).

Dalším krokem byl vývoj cloudové webové služby Amazon v roce 2002. Tato služba umožnila ukládat informace a provádět výpočty.

V roce 2006 Amazon spustil službu s názvem Elastic Compute cloud (EC2) jako webovou službu, která umožňovala svým uživatelům spouštět vlastní aplikace. Amazon EC2 a Amazon S3 byly první dostupné služby cloud computingu.

Další milník ve vývoji cloud computingu přišel s vytvořením platformy Google Apps pro webové aplikace v podnikatelském sektoru společností Google.

Virtualizační technologie hrály významnou roli ve vývoji cloudových technologií, zejména softwaru, který vám umožňuje vytvořit virtuální infrastrukturu.

Vývoj hardwaru nepřispěl ani tak k rychlému růstu cloudových technologií, ale k dostupnosti této technologie pro malé firmy a jednotlivce. Pokud jde o technologický pokrok, významnou roli v tom sehrálo vytvoření vícejádrových procesorů a zvýšení kapacity zařízení pro ukládání informací.

2. Definice cloud computingu

Podle definice amerického Národního institutu pro standardy a technologie:

Cloud computing (Cloud computing) (AngličtinaCloud - mrak; výpočetní- výpočetní) je model pro poskytování všudypřítomného a pohodlného přístupu k síti podle potřeby do sdíleného fondu konfigurovatelných výpočetních zdrojů (např. sítí, serverů, úložných systémů, aplikací a služeb), které lze rychle zřídit a uvolnit s minimálním úsilím správy a vyžadujícím interakci s poskytovatelem služeb (poskytovatel služeb).

Cloudový model podporuje vysokou dostupnost služeb a je popsán pěti základními charakteristikami, třemi modely služba / služba a čtyřmi modely nasazení.

Programy se spouští a výsledky práce se zobrazují ve standardním okně webového prohlížeče na místním počítači, zatímco všechny aplikace a jejich data nezbytná pro práci jsou umístěny na vzdáleném serveru na internetu. Počítače využívající cloudové počítače se nazývají „cloud computing“. V tomto případě je zátěž mezi počítače zahrnutá v „výpočetním cloudu“ distribuována automaticky. Nejjednodušším příkladem cloud computingu jsou sítě p2p.

K implementaci cloud computingu se používají middleware produkty vytvořené pomocí speciálních technologií. Slouží jako mezičlánek mezi zařízením a uživatelem a zajišťují monitorování stavu zařízení a programů, rovnoměrné rozložení zátěže a včasné poskytování zdrojů ze společného fondu. Jednou z těchto technologií je virtualizace v oblasti výpočetní techniky.

Virtualizace ve výpočetní technice- proces reprezentující sadu výpočetních prostředků nebo jejich logickou kombinaci, která poskytuje jakékoli výhody oproti původní konfiguraci. Toto je nový virtuální pohled na zdroje jednotlivých částí, neomezený implementací, fyzickou konfigurací nebo geografickou polohou. Virtualizované prostředky obvykle zahrnují výpočetní výkon a úložiště dat. Vědecky je virtualizace izolací výpočetních procesů a zdrojů od sebe navzájem.

Příkladem virtualizace jsou symetrické víceprocesorové počítačové architektury, které používají více než jeden procesor. Operační systémy jsou obvykle konfigurovány tak, aby více procesorů vypadalo jako jedna procesorová jednotka. To je důvod, proč lze softwarové aplikace psát pro jednu logickou ( virtuální) výpočetní modul, který je mnohem snazší než pracovat s velkým počtem různých konfigurací procesorů.

Pro obzvláště velké a na zdroje náročné výpočty se používají výpočty mřížky.

Mřížkové výpočty (mřížka - mřížka, síť) je forma distribuovaných počítačů, ve kterých je „virtuální superpočítač“ reprezentován jako klastry síťových, volně spojených, heterogenních počítačů spolupracujících na provádění velkého počtu úkolů (operací, úloh).

Tato technologie se používá k řešení vědeckých a matematických problémů, které vyžadují značné výpočetní prostředky. Grid computing se také používá v komerční infrastruktuře k řešení časově náročných úkolů, jako jsou ekonomické prognózy, seizmická analýza a vývoj a studium vlastností nových léků.

Z pohledu síťové organizace je síť konzistentní, otevřené a standardizované prostředí, které poskytuje flexibilní, bezpečné a koordinované oddělení výpočetních a úložných zdrojů, které jsou součástí tohoto prostředí v rámci jedné virtuální organizace.

Paravirtualizace Je virtualizační technika, která poskytuje virtuálním počítačům programovací rozhraní podobné, ale ne totožné se základním hardwarem. Cílem tohoto upraveného rozhraní je zkrátit čas strávený hostujícím operačním systémem na provádění operací, jejichž provádění ve virtuálním prostředí je mnohem obtížnější než v nevirtualizovaném.

Existují speciální háčky, které umožňují hostovi a hostiteli požadovat a potvrzovat tyto složité úkoly, které by bylo možné provádět ve virtuálním prostředí, ale s mnohem pomalejším tempem.

Hypervisor ( nebo Monitor virtuálního stroje) - v počítačích program nebo hardwarové schéma, které poskytuje nebo umožňuje současné, paralelní spouštění několika nebo dokonce mnoha operačních systémů na stejném hostitelském počítači. Hypervisor také poskytuje vzájemnou izolaci OS, ochranu a zabezpečení, sdílení prostředků mezi různými běžícími OS a správu zdrojů.

Hypervisor může také (ale nemusí) poskytnout operačnímu systému běžícímu na stejném hostitelském počítači prostředky komunikace a vzájemné interakce (například prostřednictvím výměny souborů nebo síťového připojení), jako by tyto OS běžely na různých fyzických počítače.

Samotný hypervisor je určitým způsobem minimální operační systém (mikrojádro nebo nanokernel). Poskytuje operačním systémům běžícím pod jeho kontrolou službu virtuálních strojů, virtualizující nebo emulující skutečný (fyzický) hardware konkrétního počítače, a spravuje tyto virtuální počítače, alokuje a uvolňuje pro ně prostředky. Hypervisor umožňuje nezávislé „zapnutí“, restart, „vypnutí“ jakéhokoli virtuálního počítače s konkrétním operačním systémem. Operační systém běžící na virtuálním počítači pod kontrolou hypervizoru ale může, ale nemusí, „vědět“, že běží na virtuálním počítači a ne na skutečném hardwaru.

Modely cloudových služeb

Možnosti poskytování výpočetního výkonu jsou velmi odlišné. Všechno, co souvisí s cloudovými počítači, se obvykle nazývá aaS - znamená to jednoduše „jako služba“, to znamená „jako služba“ nebo „ve formě služby“.

Software jako služba (SaaS) - poskytovatel poskytuje klientovi aplikaci připravenou k použití. Aplikace jsou přístupné z různých klientských zařízení nebo prostřednictvím rozhraní tenkého klienta, jako je webový prohlížeč (například webmail) nebo programová rozhraní. Současně spotřebitel nekontroluje základní cloudovou infrastrukturu, včetně sítí, serverů, operačních systémů, úložných systémů a dokonce ani nastavení jednotlivých aplikací, s výjimkou některých nastavení konfigurace uživatelské aplikace.

V modelu SaaS platí zákazníci za to, že software jako takový nevlastní, ale za jeho pronájem (to znamená, že jej používají prostřednictvím webového rozhraní). Na rozdíl od klasického schématu licencování softwaru tedy zákazníkovi vznikají relativně malé opakující se náklady a nemusí investovat značné prostředky na nákup softwaru a jeho podporu. Schéma pravidelných plateb předpokládá, že pokud dočasně chybí potřeba softwaru, může zákazník pozastavit jeho používání a zmrazit platby vývojáři.

Z pohledu vývojáře vám model SaaS umožňuje účinně bojovat proti nelicencovanému používání softwaru (pirátství), protože samotný software se nedostává ke koncovým zákazníkům. Koncept SaaS navíc často může snížit náklady na nasazení a implementaci informačních systémů.

Rýže. 1 Typické rozložení SaaS

Platforma jako služba (PaaS) - poskytovatel nabízí klientovi softwarovou platformu a nástroje pro navrhování, vývoj, testování a nasazování uživatelských aplikací. Spotřebitel zároveň nekontroluje základní cloudovou infrastrukturu, včetně sítí, serverů, operačních systémů a úložných systémů, ale má kontrolu nad nasazenými aplikacemi a případně některými konfiguračními parametry hostitelského prostředí.

Rýže. 2 Typické rozložení PaaS

Infrastruktura jako služba (IaaS). - poskytovatel nabízí klientovi výpočetní prostředky k pronájmu: servery, úložné systémy, síťová zařízení, operační systémy a systémový software, virtualizační systémy, systémy pro správu zdrojů. Spotřebitel zároveň nekontroluje základní cloudovou infrastrukturu, ale má kontrolu nad operačními systémy, úložnými systémy, nasazenými aplikacemi a případně má omezenou kontrolu nad výběrem síťových komponent (například hostitel s firewally).

Rýže. 3 Typické rozvržení IaaS

dodatečně rozlišovat služby jako:

Komunikace jako služba (Com -aaS) - rozumí se, že komunikační služby jsou poskytovány jako služby; obvykle je to IP telefonie, pošta a okamžitá komunikace (chaty, IM).

Cloudové ukládání dat- uživateli je poskytnuto určité množství prostoru pro ukládání informací. Vzhledem k tomu, že informace jsou uloženy distribuovány a duplikovány, poskytují taková úložiště mnohem vyšší míru bezpečnosti dat než místní servery.

Pracoviště jako služba (WaaS) - uživatel, který má k dispozici nedostatečně výkonný počítač, může nakupovat výpočetní prostředky od dodavatele a používat svůj počítač jako terminál pro přístup ke službě.

Antivirový cloud- infrastruktura, která se používá ke zpracování informací pocházejících od uživatelů za účelem včasného rozpoznání nových, dosud neznámých hrozeb. Cloudový antivirus nevyžaduje od uživatele žádné zbytečné akce - jednoduše odešle požadavek na podezřelý program nebo odkaz. Když je nebezpečí potvrzeno, všechny potřebné akce jsou provedeny automaticky.

Modely nasazení

Mezi modely nasazení existují 4 hlavní typy infrastruktury.

Soukromý cloud - infrastruktura určená k použití jednou organizací, včetně několika spotřebitelů (například divize jedné organizace), případně také klienty a dodavateli této organizace. Soukromý cloud může být vlastněn, provozován a provozován samotnou organizací nebo třetí stranou (nebo jejich kombinací) a může fyzicky existovat v jurisdikci vlastníka i mimo něj.

Rýže. 4 Soukromý cloud.

Veřejný cloud - infrastruktura určená k bezplatnému používání širokou veřejností. Veřejný cloud mohou vlastnit, provozovat a provozovat komerční, akademické a vládní organizace (nebo jakákoli jejich kombinace). Veřejný cloud fyzicky existuje v jurisdikci vlastníka - poskytovatele služeb.

Rýže. 5 Veřejný cloud.

Hybridní cloud - je to kombinace dvou nebo více různých cloudových infrastruktur (soukromých, veřejných nebo veřejných), které zůstávají jedinečnými objekty, ale jsou propojeny standardizovanými nebo soukromými technologiemi pro přenos dat a aplikací (například krátkodobé využívání veřejných cloudových zdrojů k vyvážení zatížení mezi mraky).

Rýže. 6 Hybridní cloud.

Veřejný cloud (komunitní cloud) - typ infrastruktury určené k použití konkrétní komunitou spotřebitelů z organizací se společnými cíli (např. poslání, bezpečnostní požadavky, zásady a soulad s různými požadavky). Veřejný cloud může být ve spoluvlastnictví, provozován a provozován jednou nebo více komunitními organizacemi nebo třetí stranou (nebo jakoukoli jejich kombinací) a může fyzicky existovat v jurisdikci vlastníka i mimo něj.

Rýže. 7 Popis vlastností cloudu

Základní vlastnosti

NIST ve svém dokumentu `The NIST Definition of Cloud Computing` definuje následující charakteristiky cloudů:

Samoobslužná služba na vyžádání. Spotřebitel má možnost přistupovat k poskytnutým výpočetním zdrojům jednostranně podle potřeby, automaticky, bez nutnosti interakce se zaměstnanci každého poskytovatele služeb.

Široký přístup k síti. Poskytnuté výpočetní prostředky jsou k dispozici v síti prostřednictvím standardních mechanismů pro různé platformy, tenké a silné klienty (mobilní telefony, tablety, notebooky, pracovní stanice atd.).

Sdružování zdrojů (sdružování zdrojů). Výpočetní prostředky poskytovatele jsou sdruženy, aby sloužily mnoha spotřebitelům v modelu s více tenanty. Fondy zahrnují řadu fyzických a virtuálních zdrojů, které lze dynamicky přiřadit a znovu přiřadit tak, aby vyhovovaly potřebám zákazníků. Spotřebitel nemusí znát přesnou polohu zdrojů, ale je možné určit jejich umístění na vyšší úrovni abstrakce (například země, oblast nebo datové centrum). Mezi příklady těchto typů zdrojů patří úložné systémy, výpočetní výkon, paměť, šířka pásma sítě.

Rychlá pružnost. Prostředky lze elasticky přidělovat a uvolňovat, v některých případech automaticky, rychle škálovat podle poptávky. Pro spotřebitele jsou možnosti poskytování zdrojů považovány za neomezené, to znamená, že je lze přiřadit v jakémkoli množství a kdykoli.

Měřená služba. Cloudové systémy automaticky spravují a optimalizují zdroje pomocí měřicích nástrojů implementovaných na úrovni abstrakce pro různé druhy služeb (například správa externí paměti, zpracování, šířky pásma nebo aktivních relací uživatelů). Použité zdroje lze monitorovat a řídit, což zajišťuje transparentnost pro poskytovatele a pro spotřebitele využívajícího službu.

Rýže. 8 Strukturální diagram cloudového serveru

Výhody a nevýhody cloud computingu

Výhody

· Požadavky na výpočetní výkon počítače jsou sníženy (nepostradatelnou podmínkou je pouze dostupnost přístupu k internetu);

· odolnost proti chybám;

· bezpečnostní;

· Vysoká rychlost zpracování dat;

· Snížené náklady na hardware a software, údržbu a elektřinu;

· Úspora místa na disku (data i programy jsou uloženy na internetu).

· Živá migrace - přenos virtuálního počítače z jednoho fyzického serveru na druhý bez přerušení virtuálního počítače a zastavení služeb.

· Koncem roku 2010 byla kvůli DDoS útokům na společnosti, které odmítly poskytnout zdroje WikiLeaks, odhalena další výhoda cloud computingu. Byly napadeny všechny společnosti, které se postavily proti WikiLeaks, ale pouze Amazon se ukázal být vůči těmto vlivům necitlivý, protože využíval prostředky cloud computingu. („Anonymní: vážná hrozba nebo pouhá obtěžování“, Zabezpečení sítě, N1, 2011).

nevýhody

· Závislost bezpečnosti uživatelských dat na společnostech poskytujících služby cloud computingu;

· Trvalé připojení k síti - k získání přístupu ke službám „cloudu“ potřebujete trvalé připojení k internetu. V naší době to však není tak velká nevýhoda, zvláště s příchodem mobilních technologií 3G a 4G.

· Software a jeho modifikace - existují omezení na software, který lze nasadit na „cloudy“ a poskytnout uživateli. Uživatel softwaru má v použitém softwaru omezení a někdy jej nemá možnost přizpůsobit pro své vlastní účely.

· Důvěrnost - důvěrnost údajů uložených na veřejných „cloudech“ je v současné době předmětem hodně kontroverzí, ale ve většině případů se odborníci shodují, že se nedoporučuje ukládat dokumenty nejcennější pro společnost na veřejný „cloud“, protože v současné době neexistuje žádná technologie, která by zaručovala 100% důvěrnost uložených dat, a proto je použití šifrování v cloudu nutností.

· Spolehlivost - pokud jde o spolehlivost uložených informací, můžeme s jistotou říci, že pokud jste ztratili informace uložené v „cloudu“, pak jste je navždy ztratili.

· Zabezpečení - samotný „cloud“ je vcelku spolehlivý systém, ale při průniku do něj útočník získá přístup k obrovskému úložišti dat. A dalším, což umožňuje použití virů.

· Vysoké náklady na vybavení - na vybudování vlastního cloudu potřebuje společnost alokovat značné materiální zdroje, což není pro nově vytvořené a malé firmy výhodné.

3. Referenční architektura

NIST Cloud Computing Reference Architecture obsahuje pět hlavních aktérů - herců. Každý herec hraje roli a vykonává akce a funkce. Referenční architektura je prezentována jako sekvenční diagramy s rostoucí úrovní detailů.

Rýže. 9 Koncepční schéma referenční architektury

Cloudový spotřebitel- osoba nebo organizace udržující obchodní vztah a využívající služby poskytovatelů cloudu.

Cloud Consumers jsou rozděleni do 3 skupin:

· SaaS - používá aplikace k automatizaci obchodních procesů.

PaaS - Vyvíjí, testuje, nasazuje a spravuje aplikace nasazené v cloudovém prostředí.

· IaaS - vytváří, spravuje služby IT infrastruktury.

Poskytovatel cloudu- osoba, organizace nebo subjekt odpovědný za dostupnost cloudové služby cloudovým spotřebitelům.

SaaS - Instaluje, spravuje, udržuje a poskytuje software nasazený na cloudové infrastruktuře.

PaaS - Poskytuje a spravuje cloudovou infrastrukturu a middleware. Poskytuje nástroje pro vývoj a správu.

· IaaS - poskytuje a udržuje servery, databáze, výpočetní prostředky. Poskytuje spotřebiteli cloudovou strukturu.

Činnosti poskytovatelů cloudu jsou rozděleny do 5 hlavních typických akcí:

Nasazení služby:

o Soukromý cloud - obsluhuje jedna organizace. Infrastrukturu spravuje jak samotná organizace, tak třetí strana, a může ji nasadit poskytovatel (mimo provozovnu) i organizace (na místě).

o Sdílený cloud - infrastrukturu sdílí několik organizací s podobnými požadavky (zabezpečení, shoda RD).

o Veřejný cloud - infrastrukturu využívá velké množství organizací s různými požadavky. Pouze mimo provoz.

o Hybridní cloud - infrastruktura kombinuje různé infrastruktury založené na podobných technologiích.

Správa služeb

o Úroveň služby - definuje základní služby poskytované Poskytovatelem.

§ SaaS je aplikace, kterou spotřebitel používá při přístupu ke cloudu ze speciálních programů.

§ PaaS - kontejnery pro spotřebitelské aplikace, vývojové a administrační nástroje.

§ IaaS - výpočetní výkon, databáze, základní zdroje, ke kterým spotřebitel nasazuje svoji infrastrukturu.

o Úroveň abstrakce a řízení zdrojů

§ Správa hypervisoru a virtuálních komponent potřebných k implementaci infrastruktury.

o Úroveň fyzických zdrojů

§ Počítačové vybavení

§ Inženýrská infrastruktura

o Dostupnost

o Důvěrnost

o Identifikace

o Monitorování bezpečnosti a řešení incidentů

o Bezpečnostní zásady

Soukromí

o Ochrana zpracování, ukládání a přenos osobních údajů.

Cloudový auditor- Přispěvatel, který může samostatně hodnotit cloudové služby, údržbu informačních systémů, výkon a zabezpečení cloudové implementace.

Může poskytovat vlastní hodnocení zabezpečení, soukromí, výkonu a dalších věcí v souladu se schválenými dokumenty.

Rýže. 10 Činnosti poskytovatele

Cloudový makléř- subjekt, který spravuje používání, výkon a poskytování cloudových služeb a navazuje vztah mezi poskytovateli a spotřebiteli.

S rozvojem cloud computingu může být integrace cloudových služeb pro spotřebitele příliš obtížná.

o Zprostředkování služby - rozšíření uvedené služby a poskytování nových příležitostí

o Agregace - kombinace různých služeb za účelem poskytnutí Spotřebiteli

Operátor cloudové komunikace- zprostředkovatel poskytující služby připojení a dopravy (komunikační služby) pro poskytování cloudových služeb od poskytovatelů ke spotřebitelům.

Poskytuje přístup prostřednictvím komunikačních zařízení

Poskytuje úroveň připojení podle SLA.

Mezi pěti představenými aktéry je cloudový makléř volitelný, protože spotřebitelé cloudu mohou přijímat služby přímo od poskytovatele cloudu.

Představení herců je dáno potřebou vypracovat vztahy mezi subjekty.

4. Dohoda o úrovni služeb

Dohoda o úrovni služby - dokument popisující úroveň poskytování služeb očekávanou zákazníkem od dodavatele na základě indikátorů platných pro danou službu a stanovení odpovědnosti dodavatele, pokud nejsou dosaženy dohodnuté ukazatele.

Zde jsou některé indikátory, v té či oné formě, nalezené v dokumentech operátora:

ASR (Answer Shizure Ratio) - parametr, který určuje kvalitu telefonního připojení v daném směru. ASR se vypočítá jako procento z počtu telefonních připojení navázaných v důsledku volání na celkový počet hovorů uskutečněných v daném směru.

PDD (Post Dial Delay) - parametr definující časový úsek (v sekundách), který uplynul od okamžiku volání do okamžiku navázání telefonního spojení.

Poměr dostupnosti služby- poměr doby přerušení poskytování služeb k celkovému času, kdy má být služba poskytována.

Poměr ztrát paketů- poměr správně přijatých datových paketů k celkovému počtu paketů, které byly po určitou dobu přeneseny po síti.

Časová zpoždění při přenosu informačních paketů- časový interval potřebný pro přenos paketu informací mezi dvěma síťovými zařízeními.

Spolehlivost přenosu informací- poměr počtu chybně přenesených datových paketů k celkovému počtu přenesených datových paketů.

Období práce, doba upozornění účastníků a doba obnovení služeb.

Jinými slovy, dostupnost služby 99,99% naznačuje, že operátor garantuje maximálně 4,3 minuty výpadku komunikace za měsíc, 99,9% - že služba nemusí být poskytována po dobu 43,2 minut a 99% - že přestávka může trvat déle než 7 hodin. V některých postupech dochází k diferenciaci dostupnosti sítě a předpokládá se nižší hodnota parametru - mimo pracovní dobu. Pro různé typy služeb (třídy provozu) jsou také poskytovány různé hodnoty indikátorů. Například pro hlas je nejdůležitější latence - měla by být minimální. A rychlost pro to potřebuje nízkou a navíc některé z paketů lze ztratit bez ztráty kvality (až asi 1%, v závislosti na kodeku). U přenosu dat je rychlost na prvním místě a ztráta paketů by měla mít tendenci k nule.

5. Metody a prostředky ochrany v cloud computingu

Důvěrnost musí být zajištěna v celém řetězci, včetně poskytovatele cloudu, spotřebitele a komunikace, která je spojuje.

Úkolem Poskytovatele je zajistit fyzickou i softwarovou integritu dat z útoků třetích stran. Spotřebitel musí zavést vhodné zásady a postupy „na svém území“, aby vyloučil převod přístupových práv k informacím na třetí strany.

Úkoly zajištění integrity informací v případě použití samostatných „cloudových“ aplikací lze vyřešit - díky moderním databázovým architekturám, záložním systémům, algoritmům kontroly integrity a dalším průmyslovým řešením. Ale to není vše. Pokud jde o integraci více cloudových aplikací od různých dodavatelů, mohou nastat nové výzvy.

V blízké budoucnosti je pro společnosti, které hledají bezpečné virtuální prostředí, jedinou možností vytvoření soukromého cloudového systému. Faktem je, že soukromé cloudy, na rozdíl od veřejných nebo hybridních systémů, jsou nejvíce podobné virtualizovaným infrastrukturám, které se IT oddělení velkých korporací již naučily implementovat a nad nimiž si mohou udržet úplnou kontrolu. Chyby informační bezpečnosti ve veřejných cloudových systémech představují značnou výzvu. Většina případů vloupání se vyskytuje ve veřejných cloudech.

6. Zabezpečení cloudových modelů

Úroveň rizika ve třech cloudových modelech je velmi odlišná a způsoby řešení bezpečnostních problémů se také liší v závislosti na úrovni interakce. Požadavky na zabezpečení zůstávají stejné, ale úroveň řízení zabezpečení se mění napříč různými modely, SaaS, PaaS nebo IaaS. Z logického hlediska se nic nemění, ale možnosti fyzické implementace jsou radikálně odlišné.

Rýže. 11. Nejnaléhavější hrozby zabezpečení informací

v modelu SaaS aplikace běží na cloudové infrastruktuře a je přístupná prostřednictvím webového prohlížeče. Klient nemá žádnou kontrolu nad sítí, servery, operačními systémy, úložištěm ani nad některými aplikačními schopnostmi. Z tohoto důvodu v modelu SaaS primární odpovědnost za zabezpečení téměř výhradně spočívá na prodejcích.

Problém číslo 1 je správa hesel. V modelu SaaS jsou aplikace v cloudu, takže hlavním rizikem je používání více účtů pro přístup k aplikacím. Organizace mohou tento problém vyřešit sjednocením účtů pro cloudové a místní systémy. Díky jednotnému přihlášení mohou uživatelé přistupovat k pracovním stanicím a cloudovým službám pomocí jediného účtu. Tento přístup snižuje pravděpodobnost „zaseknutí“ účtů podléhajících neoprávněnému použití po ukončení zaměstnanců.

Podle vysvětlení CSA PaaS předpokládá, že zákazníci vytvářejí aplikace pomocí programovacích jazyků a nástrojů podporovaných dodavateli a poté je nasadí do cloudové infrastruktury. Stejně jako v modelu SaaS nemůže zákazník spravovat ani ovládat infrastrukturu - sítě, servery, operační systémy nebo úložné systémy - ale má kontrolu nad nasazením aplikace.

V modelu PaaS musí uživatelé věnovat pozornost zabezpečení aplikací a problémům se správou API, jako je ověřování, autorizace a ověřování.

Problém číslo 1 je šifrování dat. PaaS model je ze své podstaty bezpečný, ale rizikem je nedostatečný výkon systému. Důvodem je to, že při komunikaci s poskytovateli PaaS se doporučuje šifrování a to vyžaduje další výpočetní výkon. V každém řešení však musí být přenos důvěrných uživatelských dat prováděn šifrovaným kanálem.

Zatímco zákazníci zde nemají žádnou kontrolu nad základní cloudovou infrastrukturou, mají kontrolu nad operačními systémy, úložištěm a nasazením aplikací a případně omezenou kontrolu nad výběrem síťových komponent.

Tento model má několik vestavěných funkcí zabezpečení, aniž by chránil samotnou infrastrukturu. To znamená, že uživatelé musí spravovat a zabezpečovat operační systémy, aplikace a obsah, obvykle prostřednictvím rozhraní API.

Pokud je to přeloženo do jazyka metod ochrany, musí poskytovatel poskytnout:

· Spolehlivá kontrola přístupu k samotné infrastruktuře;

· Odolnost infrastruktury.

Současně spotřebitel cloudu přebírá mnohem více ochranných funkcí:

· Firewall v rámci infrastruktury;

· Ochrana proti vniknutí do sítě;

· Ochrana operačních systémů a databází (řízení přístupu, ochrana před zranitelnostmi, kontrola nastavení zabezpečení);

· Ochrana koncových aplikací (antivirová ochrana, kontrola přístupu).

Většina ochranných opatření tedy připadá na bedra spotřebitele. Poskytovatel může poskytnout typická doporučení pro ochranu nebo hotová řešení, která koncovým uživatelům zjednoduší úkol.

Tabulka 1. Vymezení odpovědnosti za bezpečnost mezi klientem a poskytovatelem služeb. (P - dodavatel, K - klient)

	Enterprise Server
aplikace
Data
Běhové prostředí
Middleware
Operační systém
Virtualizace
Server
Datové sklady
síťový hardware

7. Bezpečnostní audit

Úkoly Cloud Auditor jsou v zásadě stejné jako úkoly auditora konvenčních systémů. Audit cloudové bezpečnosti je rozdělen na audit dodavatele a audit uživatelů. Audit uživatele se provádí na žádost uživatele, přičemž audit dodavatele je jednou z nejdůležitějších podmínek podnikání.

Skládá se z:

· Zahájení auditorského postupu;

· Shromažďování informací o auditu;

· Analýza auditních dat;

· Příprava zprávy o auditu.

Ve fázi zahájení auditorského postupu musí být vyřešeny otázky pravomocí auditora a načasování auditu. Rovněž by měla být stanovena povinná pomoc zaměstnanců auditorovi.

Auditor obecně provádí audit za účelem zjištění spolehlivosti

· Virtualizační systémy, hypervisor;

· Servery;

· Datové sklady;

· Síťové vybavení.

Pokud dodavatel používá na kontrolovaném serveru model IaaS, bude tato kontrola stačit k identifikaci zranitelností.

Při použití modelu PaaS by měly být provedeny další kontroly

· operační systém,

Middleware,

· Runtime prostředí.

Při použití modelu SaaS se také kontrolují zranitelnosti

Systémy pro ukládání a zpracování dat,

· Aplikace.

Audity zabezpečení se provádějí pomocí stejných metod a nástrojů jako audit konvenčních serverů. Ale na rozdíl od konvenčního serveru v cloudových technologiích je u hypervisoru dodatečně kontrolována stabilita. V cloudu je hypervisor jednou ze základních technologií, a proto by měl být kladen zvláštní důraz na auditování.

8. Vyšetřování incidentů a kriminalistiky v cloudu

Opatření pro zabezpečení informací lze rozdělit na preventivní (například šifrování a další mechanismy řízení přístupu) a reaktivní (vyšetřování). Proaktivní aspekt cloudového zabezpečení je oblastí aktivního výzkumu, zatímco reaktivnímu aspektu cloudového zabezpečení se věnuje mnohem menší pozornost.

Vyšetřování incidentů (včetně vyšetřování zločinů v informační sféře) je známou sekcí informační bezpečnosti. Cíle těchto vyšetřování jsou obvykle:

Důkaz, že ke zločinu / incidentu došlo

Obnovení událostí kolem incidentu

Identifikace pachatelů

Důkaz o zapojení a odpovědnosti pachatelů

Důkaz nepoctivých úmyslů ze strany pachatelů.

S ohledem na potřebu forenzní analýzy digitálních systémů se objevila nová disciplína - počítačové a technické znalosti (nebo forenzní). Cíle počítačové kriminalistiky jsou obvykle následující:

Obnovení dat, která mohla být odstraněna

Obnova událostí, ke kterým došlo uvnitř i vně digitálních systémů spojených s incidentem

Identifikace uživatelů digitálních systémů

Detekce přítomnosti virů a jiného škodlivého softwaru

Zjišťování přítomnosti nelegálních materiálů a programů

Prolomení hesel, šifrovacích klíčů a přístupových kódů

V ideálním případě je počítačová kriminalistika pro vyšetřovatele jakýmsi strojem času, který může kdykoli cestovat do minulosti digitálního zařízení a poskytnout vyšetřovateli informace o:

lidé, kteří zařízení v určitém bodě používali

akce uživatele (například otevírání dokumentů, přístup na web, tisk dat v textovém procesoru atd.)

data uložená, vytvořená a zpracovaná zařízením v konkrétním čase.

Cloudové služby nahrazující samostatná digitální zařízení by měly poskytovat podobnou úroveň forenzní připravenosti. To však vyžaduje překonání výzev spojených se sdružováním zdrojů, multitenancí a odolností infrastruktury cloud computingu. Hlavním nástrojem při vyšetřování incidentů je audit trail.

Auditní stopy - určené ke sledování historie přihlášení uživatelů, administrativních úkolů a změn dat - jsou nezbytnou součástí bezpečnostního systému. V cloudu není samotný audit trail pouze nástrojem pro vyšetřování, ale také nástrojem pro výpočet nákladů na používání serverů. Přestože audit trail neřeší bezpečnostní díry, poskytuje kritické oko pro to, co se děje, a navrhuje návrhy na nápravu situace.

Vytváření archivů a záloh je důležité, ale nemůže nahradit formální audit trail, který zaznamenává, kdo co udělal, kdy a co. Auditní záznam je jedním z hlavních nástrojů bezpečnostního auditora.

Smlouva o službě obvykle uvádí, které protokoly auditu budou uchovávány a poskytovány uživateli.

9. Model ohrožení

V roce 2010 provedly ČSA analýzu hlavních bezpečnostních hrozeb v cloudových technologiích. Výsledkem jejich práce byl dokument „Top threats of Cloud Computing v 1.0“, který aktuálně nejúplnějším způsobem popisuje model hrozeb a model vetřelce. V tuto chvíli se vyvíjí úplnější, druhá verze tohoto dokumentu.

Aktuální dokument popisuje útočníky pro tři modely služeb SaaS, PaaS a IaaS. Bylo identifikováno sedm hlavních útočných vektorů. Většinou jsou všechny uvažované typy útoků útoky, které jsou vlastní konvenčním serverům „bez cloudu“. Cloudová infrastruktura jim ukládá určité funkce. Například útoky na zranitelnosti v softwarové části serverů jsou doplněny útoky na hypervisor, který je také jejich softwarovou součástí.

Bezpečnostní hrozba č. 1

Nevhodné a nepoctivé používání cloudových technologií.

Popis:

K získání zdrojů od cloudového poskytovatele IaaS potřebuje uživatel pouze kreditní kartu. Snadná registrace a přidělování zdrojů umožňuje spammerům, autorům virů atd. používat cloudovou službu pro své vlastní kriminální účely. Dříve byl tento druh útoku pozorován pouze v PaaS, ale nedávné studie ukázaly možnost použití IaaS pro útoky DDOS, umísťování škodlivého kódu, vytváření sítí botnetů a další.

Příklady služeb byly použity k vytvoření sítě botnetů na základě trojského koně „Zeus“, uložení kódu trojského koně „InfoStealer“ a zasílání informací o různých zranitelnostech MS Office a AdobePDF.

Sítě botnetů navíc pomocí IaaS spravují své vrstevníky a rozesílají spam. Z tohoto důvodu byly některé služby IaaS na černé listině a jejich uživatelé byli poštovními servery zcela ignorováni.

Vylepšení postupů registrace uživatelů

Zlepšení postupů ověřování kreditní karty a monitorování používání platebních prostředků

Komplexní studie síťové aktivity uživatelů služeb

· Sledování hlavních černých listů pro vzhled sítě poskytovatelů cloudových služeb.

Ovlivněné modely služeb:

Bezpečnostní hrozba # 2

Rozhraní nezabezpečeného programování (API)

Popis:

Poskytovatelé cloudové infrastruktury poskytují uživatelům sadu API pro správu zdrojů, virtuálních počítačů nebo služeb. Na zabezpečení těchto rozhraní závisí zabezpečení celého systému.

Anonymní přístup k rozhraní a přenos přihlašovacích údajů v čistém textu jsou hlavními charakteristickými znaky nezabezpečených API. Omezené sledování používání API, nedostatek systémů protokolování a také neznámé vztahy mezi různými službami jen zvyšují rizika hackingu.

Analyzujte model zabezpečení poskytovatele cloudu

Zajistěte, aby byly použity silné šifrovací algoritmy

Zajistěte, aby byly používány silné metody ověřování a autorizace

· Pochopit celý řetězec závislostí mezi různými službami.

Ovlivněné modely služeb:

Bezpečnostní hrozba č. 3

Interní pachatelé

Popis:

Problém nelegálního přístupu k informacím zevnitř je extrémně nebezpečný. Na straně poskytovatele často není implementován systém monitorování činnosti zaměstnanců, což znamená, že útočník může získat přístup k informacím klienta pomocí své oficiální pozice. Protože poskytovatel nezveřejňuje svou náborovou politiku, může hrozba pocházet jak od amatérského hackera, tak od organizované zločinecké struktury, která pronikla do řad zaměstnanců poskytovatele.

V současné době neexistují žádné příklady tohoto druhu zneužívání.

Implementace přísných pravidel pro pořizování vybavení a používání vhodných systémů pro detekci neoprávněného přístupu

Regulace pravidel pro přijímání zaměstnanců do veřejných zakázek s uživateli

Vytvoření transparentního systému zabezpečení spolu se zveřejněním zpráv o auditu zabezpečení ve vnitřních systémech poskytovatele

Ovlivněné modely služeb:

Rýže. 12 Příklad zasvěcených osob

Bezpečnostní hrozba č. 4

Zranitelnosti v cloudových technologiích

Popis:

Poskytovatelé služeb IaaS využívají abstrakci hardwarových prostředků pomocí virtualizačních systémů. Hardware však lze navrhnout bez ohledu na sdílené prostředky. Aby se minimalizoval dopad tohoto faktoru, hypervizor kontroluje přístup virtuálního stroje k hardwarovým prostředkům, nicméně i v hypervisorech mohou existovat závažné chyby zabezpečení, jejichž použití může vést k eskalaci privilegií nebo k získání nelegálního přístupu k fyzickému vybavení.

Aby byly systémy chráněny před takovými problémy, je nutné implementovat mechanismy pro izolaci virtuálních prostředí a systémů pro detekci selhání. Uživatelé virtuálních počítačů by neměli mít přístup ke sdíleným prostředkům.

Existují příklady potenciálních zranitelností a také teoretické metody obcházení izolace ve virtuálních prostředích.

Implementace nejpokročilejších metod instalace, konfigurace a ochrany virtuálních prostředí

Využití systémů pro detekci neoprávněného přístupu

Uplatňování silných pravidel ověřování a autorizace pro administrativní práci

Zpřísnění požadavků na dobu aplikace oprav a aktualizací

· Provádění včasných postupů pro skenování a detekci zranitelností.

Bezpečnostní hrozba # 5

Ztráta nebo únik dat

Popis:

Ke ztrátě dat může dojít z tisíce důvodů. Například záměrné zničení šifrovacího klíče způsobí, že zašifrované informace nebudou obnovitelné. Vymazání dat nebo jejich části, neoprávněný přístup k důležitým informacím, změna záznamů nebo selhání média jsou také příklady takových situací. Ve složité cloudové infrastruktuře se pravděpodobnost každé z událostí zvyšuje díky těsné interakci komponent.

Nesprávná aplikace ověřovacích, autorizačních a auditních pravidel, nesprávné používání šifrovacích pravidel a metod a selhání zařízení může vést ke ztrátě nebo úniku dat.

Používání spolehlivého a zabezpečeného API

Šifrování a ochrana přenášených dat

Analýza modelu ochrany dat ve všech fázích fungování systému

Implementace spolehlivého systému správy šifrovacích klíčů

Výběr a nákup pouze těch nejspolehlivějších médií

Zajištění včasného zálohování dat

Ovlivněné modely služeb:

Bezpečnostní hrozba č. 6

Krádež identity a nezákonný přístup ke službě

Popis:

Tento druh hrozby není novinkou. Každý den se s ním potýkají miliony uživatelů. Hlavním cílem útočníků je uživatelské jméno (přihlašovací jméno) a jeho heslo. V kontextu cloudových systémů krádež hesla a uživatelského jména zvyšuje riziko používání dat uložených v cloudové infrastruktuře poskytovatele. Útočník má tedy možnost využít pro své aktivity pověst oběti.

Zákaz převodu účtů

Pomocí dvou faktorových metod autentizace

Implementace proaktivního monitorování neoprávněného přístupu

· Popis modelu zabezpečení poskytovatele cloudu.

Ovlivněné modely služeb:

Bezpečnostní hrozba # 7

Další zranitelnosti

Popis:

Využití cloudových technologií pro podnikání umožňuje společnosti soustředit se na své podnikání, přičemž péči o infrastrukturu IT a služby přenechává poskytovateli cloudu. Při inzerci své služby se poskytovatel cloudu snaží ukázat všechny možnosti a zároveň prozradit detaily implementace. To může představovat vážnou hrozbu, protože znalost vnitřní infrastruktury dává útočníkovi možnost najít neopravenou chybu zabezpečení a zahájit útok na systém. Aby se předešlo takovým situacím, poskytovatelé cloudu nemusí poskytovat informace o vnitřní struktuře cloudu, tento přístup však také nezvyšuje důvěru, protože potenciální uživatelé nemají schopnost posoudit stupeň zabezpečení dat. Tento přístup navíc omezuje schopnost včas vyhledávat a odstraňovat zranitelná místa.

Amazon odmítá provést audit zabezpečení cloudu EC2

Zranitelnost softwaru pro zpracování vedoucí k narušení bezpečnostního systému datového centra Hearthland

Zveřejnění údajů protokolu

Úplné nebo částečné zpřístupnění údajů o architektuře systému a podrobnostech o nainstalovaném softwaru

· Použití systémů monitorování zranitelnosti.

Ovlivněné modely služeb:

1. Právní základ

Podle odborníků lze 70% bezpečnostních problémů v cloudu předejít, pokud správně sepíšete servisní smlouvu.

Základ pro takovou dohodu může sloužit jako „Listina práv cloudu“

Cloudovou listinu práv vytvořil v roce 2008 James Urquhart. Tento materiál zveřejnil na svém blogu, což vyvolalo tolik zájmu a kontroverzí, že autor pravidelně aktualizuje svůj „rukopis“ v souladu s realitou.

Článek 1 (částečně): Klienti vlastní svá data

· Žádný výrobce (nebo dodavatel) by v procesu interakce se zákazníky jakéhokoli plánu neměl projednávat práva k jakýmkoli datům nahraným, vytvořeným, generovaným, upraveným nebo jakákoli jiná práva, ke kterým má zákazník.

· Výrobci by zpočátku měli poskytovat minimální přístup k zákaznickým údajům ve fázi vývoje řešení a služeb.

· Zákazníci vlastní svá data, což znamená, že jsou zodpovědní za zajištění souladu dat s právními předpisy a zákony.

· Protože problémy s dodržováním dat, zabezpečením a bezpečností jsou zásadní, je nutné, aby zákazník vyhledal svá vlastní data. Jinak musí výrobci poskytnout uživatelům veškeré záruky, že jejich data budou uložena v souladu se všemi pravidly a předpisy.

Kapitola 2: Výrobci a zákazníci společně vlastní a spravují úrovně služeb v systému

· Výrobci vlastní a musí udělat vše pro to, aby uspokojili úroveň služeb pro každého klienta individuálně. Všechny potřebné zdroje a úsilí vynaložené k dosažení správné úrovně služeb při práci s klienty by měly být pro klienta zdarma, to znamená, že nejsou zahrnuty v ceně služby.

· Zákazníci jsou zase zodpovědní za úroveň služeb poskytovaných svým vlastním interním a externím zákazníkům a vlastní ji. Při používání řešení výrobce k poskytování vlastních služeb by odpovědnost klienta a úroveň takové služby neměly zcela záviset na výrobci.

· Pokud je nutné integrovat systémy výrobce a zákazníka, měli by výrobci nabídnout zákazníkům možnost sledovat proces integrace. Pokud má klient podnikové standardy pro integraci informačních systémů, musí výrobce tyto standardy dodržovat.

· Za žádných okolností by výrobci neměli uzavírat zákaznické účty za politické projevy, nevhodné projevy, náboženské komentáře, pokud to není v rozporu s konkrétními právními předpisy, není to projev nenávisti atd.

Článek 3: Výrobci vlastní svá rozhraní

· Výrobci nejsou povinni poskytovat standardní nebo open source rozhraní, pokud není v dohodách se zákazníky uvedeno jinak. Výrobci mají práva na rozhraní. Pokud výrobce nepovažuje za možné poskytnout klientovi možnost upřesnit rozhraní ve známém programovacím jazyce, může si klient u výrobce nebo vývojářů třetích stran zakoupit služby pro finalizaci rozhraní v souladu s jejich vlastními požadavky.

· Klient má však právo využívat zakoupenou službu pro své vlastní účely, jakož i rozšiřovat její možnosti, replikovat a zlepšovat. Toto ustanovení nezbavuje zákazníky patentových práv a práv duševního vlastnictví.

Výše uvedené tři články jsou základem pro zákazníky a dodavatele v cloudu. Jejich plný text najdete ve veřejné doméně na internetu. Tento návrh zákona samozřejmě není úplným právním dokumentem, tím méně oficiálním. Jeho články lze kdykoli změnit a rozšířit, stejně jako lze návrh zákona doplnit o nové články. Toto je pokus o formalizaci „vlastnictví“ v cloudu, aby se nějakým způsobem standardizovala tato svoboda milující oblast znalostí a technologií.

Vztah mezi stranami

Zdaleka nejlepším odborníkem na cloudovou bezpečnost je Cloud Security Alliance (CSA). Organizace vydala a nedávno aktualizovala příručku, která obsahuje stovky nuancí a osvědčených postupů, které je třeba vzít v úvahu při posuzování rizik cloud computingu.

Další organizací, která se zabývá aspekty cloudového zabezpečení, je Trusted Computing Group (TCG). Je autorkou několika standardů v této a dalších oblastech, včetně dnes běžně používaného Trusted Storage, Trusted Network Connect (TNC) a Trusted Platform Module (TPM).

Tyto organizace společně vypracovaly řadu otázek, které musí zákazník a poskytovatel vyřešit při uzavírání smlouvy. Tyto otázky vyřeší většinu problémů při používání cloudu, vyšší moci, změně poskytovatelů cloudových služeb a dalších situacích.

1. Bezpečnost uložených dat. Jak poskytovatel služeb zajišťuje bezpečnost uložených dat?

Nejlepší opatření k ochraně dat uložených v datovém skladu je použití šifrovacích technologií. Poskytovatel musí vždy zašifrovat informace o klientovi uložené na jeho serverech, aby se předešlo případům neoprávněného přístupu. Poskytovatel musí také trvale smazat data, pokud již nejsou potřeba a v budoucnu již nebudou vyžadována.

2. Ochrana dat během přenosu. Jak poskytovatel zajišťuje bezpečnost dat během jejich přenosu (uvnitř cloudu a na cestě z / do cloudu)?

Přenesená data musí být vždy zašifrována a přístupná uživateli až po autentizaci. Tento přístup zajišťuje, že tato data nemůže nikdo měnit ani číst, i když k nim získá přístup prostřednictvím nedůvěryhodných uzlů v síti. Tyto technologie byly vyvinuty v průběhu „tisíců člověk-let“ a vedly k vytvoření spolehlivých protokolů a algoritmů (např. TLS, IPsec a AES). Poskytovatelé by měli používat tyto protokoly, ne vymýšlet vlastní.

3. Ověřování. Jak poskytovatel pozná autenticitu klienta?

Nejběžnější metodou autentizace je ochrana heslem. Poskytovatelé, kteří chtějí svým zákazníkům nabídnout větší spolehlivost, však hledají výkonnější nástroje, jako jsou certifikáty a tokeny. Poskytovatelé by kromě používání bezpečnějších prostředků autentizace měli mít možnost pracovat se standardy, jako jsou LDAP a SAML. To je nezbytné k zajištění toho, aby poskytovatel při autorizaci a definování oprávnění udělených uživateli interagoval se systémem identifikace uživatele klienta. Díky tomu bude mít poskytovatel vždy aktuální informace o autorizovaných uživatelích. Nejhorší scénář je, když klient poskytne poskytovateli konkrétní seznam autorizovaných uživatelů. V tomto případě zpravidla může dojít k potížím, pokud je zaměstnanec propuštěn nebo přesunut na jinou pozici.

4. Izolace uživatele. Jak jsou data a aplikace jednoho zákazníka odděleny od dat a aplikací ostatních zákazníků?

Nejlepší možnost: když každý z klientů používá individuální virtuální počítač (Virtual Machine - VM) a virtuální síť. Oddělení mezi virtuálními počítači, a tedy mezi uživateli, zajišťuje hypervisor. Virtuální sítě jsou zase nasazovány pomocí standardních technologií, jako jsou VLAN (Virtual Local Area Network), VPLS (Virtual Private LAN Service) a VPN (Virtual Private Network).

Někteří poskytovatelé vkládají všechna zákaznická data do jednoho softwarového prostředí a snaží se od sebe izolovat zákaznická data změnami v jeho kódu. Tento přístup je lehkomyslný a nespolehlivý. Za prvé, útočník může najít chybu v nestandardním kódu, která by mu umožnila získat přístup k datům, která by neměl vidět. Za druhé, chyba v kódu může vést k tomu, že jeden klient omylem „uvidí“ data druhého. V poslední době se vyskytly jak tyto, tak další případy. Rozlišit uživatelská data je proto rozumnější krok pomocí různých virtuálních počítačů a virtuálních sítí.

5. Regulační otázky. Jak dobře je poskytovatel v souladu se zákony a předpisy platnými v odvětví cloudových počítačů?

V závislosti na jurisdikci se zákony, předpisy a zvláštní ustanovení mohou lišit. Mohou například zakázat export dat, požadovat přísně definovaná ochranná opatření, dodržovat určité standardy a být auditovatelné. Nakonec mohou požadovat, aby vládní úřady a soudy měly v případě potřeby přístup k informacím. Nedbalost poskytovatele k těmto okamžikům může kvůli právním důsledkům vést jeho zákazníky k významným nákladům.

Poskytovatel musí dodržovat přísná pravidla a dodržovat jednotnou právní a regulační strategii. To se týká zabezpečení uživatelských dat, jejich exportu, dodržování standardů, auditování, bezpečnosti a mazání dat a také zveřejňování informací (to je důležité zejména tehdy, když lze na jeden fyzický server ukládat informace o několika klientech). Abychom to zjistili, klientům se důrazně doporučuje, aby vyhledali pomoc odborníků, kteří tuto problematiku důkladně prostudují.

6. Reakce na incidenty. Jak poskytovatel reaguje na incidenty a do jaké míry mohou být do incidentu zapojeni jeho zákazníci?

Někdy nejde všechno podle plánu. Poskytovatel služeb je proto povinen v případě nepředvídaných okolností dodržovat konkrétní pravidla chování. Tato pravidla by měla být zdokumentována. Je nezbytné, aby poskytovatelé identifikovali incidenty a minimalizovali jejich důsledky informováním uživatelů o aktuální situaci. V ideálním případě by měli pravidelně poskytovat klientům informace, které jsou k problému co nejpodrobnější. Kromě toho je na zákaznících, aby posoudili pravděpodobnost problému se zabezpečením a podnikli nezbytné kroky.

10. Mezinárodní a domácí standardy

Evoluce cloudové technologie předstihla úsilí o vytvoření a úpravu požadovaných průmyslových standardů, z nichž mnohé nebyly roky aktualizovány. Proto je tvorba zákonů v oblasti cloudových technologií jedním z nejdůležitějších kroků k zajištění bezpečnosti.

IEEE, jedna z největších světových organizací pro vývoj standardů, oznámila zahájení specializované iniciativy Cloud Computing. Jedná se o první iniciativu v oblasti standardizace cloudu, která byla zahájena na mezinárodní úrovni - dosud standardům cloud computingu dominovaly průmyslová konsorcia. Iniciativa v současné době zahrnuje 2 projekty: IEEE P2301 (tm), „Draft Guide to Portability and Interoperability of Cloud Profiles“ a IEEE P2302 (tm) - „Draft Standard for Interoperability and Distributed Interoperability (Federation) of Cloud Systems“.

V rámci IEEE Standards Development Association byly vytvořeny 2 nové pracovní skupiny pro práci na projektech IEEE P2301, respektive IEEE P2302. IEEE P2301 bude obsahovat profily stávajících i nevyřízených standardů aplikací, přenositelnosti, správy a interoperability, stejně jako formáty souborů a provozní konvence. Informace v dokumentu budou logicky strukturovány podle různých cílových skupin publika: prodejců, poskytovatelů služeb a dalších zainteresovaných účastníků trhu. Po dokončení se očekává, že bude norma použitelná při nákupu, vývoji, konstrukci a používání cloudových produktů a služeb založených na standardních technologiích.

Standard IEEE P2302 bude popisovat základní topologii, protokoly, funkčnost a metody správy potřebné pro interakci různých cloudových struktur (například pro interakci soukromého cloudu a veřejného, ​​jako je EC2). Tento standard umožní poskytovatelům cloudových produktů a služeb těžit z ekonomických výhod plynoucích z úspor z rozsahu a současně poskytne uživatelům služeb a aplikací transparentnost.

ISO připravuje speciální standard pro zabezpečení cloudových počítačů. Hlavním cílem nového standardu je řešit organizační problémy související s cloudy. Vzhledem ke složitosti harmonizačních postupů ISO by však konečná verze dokumentu měla být vydána až v roce 2013.

Hodnota dokumentu spočívá v tom, že do jeho přípravy jsou zapojeny nejen vládní organizace (NIST, ENISA), ale také zástupci expertních komunit a sdružení, jako jsou ISACA a CSA. Jeden dokument navíc obsahuje doporučení jak pro poskytovatele cloudových služeb, tak pro jejich spotřebitele - klientské organizace.

Hlavním účelem tohoto dokumentu je podrobně popsat osvědčené postupy související s používáním cloud computingu z pohledu bezpečnosti informací. Standard se přitom nesoustředí pouze na technické aspekty, ale spíše na organizační aspekty, na které se při přechodu na cloud computing nesmí zapomínat. Jedná se o oddělení práv a odpovědností a podpis dohod s třetími stranami a správu majetku ve vlastnictví různých účastníků „cloudového“ procesu a otázky personálního řízení atd.

Nový dokument z velké části zahrnuje materiály dříve vyvinuté v IT průmyslu.

Australská vláda

Po měsících brainstormingu vydala australská vláda 15. února 2012 na blogu australské vládní informační kanceláře (AGIMO) sérii příruček migrace založených na cloudu.

Aby se společnostem usnadnila migrace do cloudu, byly poskytnuty pokyny k osvědčeným postupům při používání cloudových služeb ke splnění požadavků zákona o lepších postupech pro finanční řízení a zákon o odpovědnosti z roku 1997. Průvodci se obecně zabývají finančními, právními a ochranou údajů.

Pokyny hovoří o potřebě neustále monitorovat a kontrolovat používání cloudových služeb prostřednictvím každodenní analýzy účtů a sestav. To pomůže vyhnout se skrytým značkám a závislosti na poskytovatelích cloudových služeb.

První příručka se jmenuje Privacy and Cloud Computing for Australian Government Agencies (9 stran). Tento dokument se zaměřuje na problémy s ochranou soukromí a dat.

Kromě této příručky bylo připraveno také vyjednávání o cloudu - právní problémy v dohodách o cloudovém počítači (19 stran), které vám pomohou porozumět klauzulím obsaženým ve smlouvě.

Poslední, třetí příručka, Finanční úvahy pro vládní využití cloud computingu, 6 stran, pojednává o finančních problémech, na které by si společnost měla dát pozor, pokud se rozhodne využívat cloud computing ve svém podnikání.

Kromě těch, které jsou popsány v příručkách, existuje řada dalších problémů, které je třeba při používání cloud computingu řešit, včetně problémů souvisejících s vládou, zadáváním zakázek a zásadami řízení podniku.

Veřejná diskuse o tomto dokumentu o politice poskytuje zúčastněným stranám příležitost zvážit a vyjádřit se k následujícím problémům:

· Neoprávněný přístup k utajovaným informacím;

· Ztráta přístupu k datům;

Nezajištění integrity a pravosti dat a

· Pochopení praktických aspektů poskytování cloudových služeb.

11. Územní identita údajů

V různých zemích existuje řada předpisů, které vyžadují, aby citlivá data zůstala v dané zemi. I když se ukládání dat na daném území nemusí na první pohled zdát obtížné, poskytovatelé cloudových služeb to často nemohou zaručit. V systémech s vysokým stupněm virtualizace se data a virtuální stroje mohou přesouvat z jedné země do druhé pro různé účely - vyvažování zátěže, odolnost proti chybám.

Někteří z hlavních hráčů na trhu SaaS (například Google, Symantec) mohou zaručit ukládání dat v příslušné zemi. Ale to jsou spíše výjimky; obecně je plnění těchto požadavků stále poměrně vzácné. I když data zůstanou v zemi, zákazníci je nemohou nijak ověřit. Kromě toho by se nemělo zapomínat na mobilitu zaměstnanců společnosti. Pokud specialista pracující v Moskvě cestuje do New Yorku, pak je pro něj lepší (nebo alespoň rychlejší) přijímat data z datového centra v USA. Zajistit to je již řádově obtížnější úkol.

12. Státní normy

V současné době u nás neexistuje žádný vážný regulační rámec pro cloudové technologie, i když vývoj v této oblasti již probíhá. Na základě příkazu prezidenta Ruské federace č. 146 ze dne 8.02.2012. bylo zjištěno, že federální výkonné orgány oprávněné v oblasti zabezpečení dat v informačních systémech vytvořených pomocí superpočítačových a gridových technologií jsou FSB Ruska a FSTEC Ruska.

V souvislosti s touto vyhláškou došlo k rozšíření pravomocí těchto služeb. Ruská FSB nyní vyvíjí a schvaluje regulační a metodické dokumenty k zajištění bezpečnosti těchto systémů, organizuje a provádí výzkum v oblasti informační bezpečnosti.

Služba také provádí expertní kryptografické, inženýrsko-kryptografické a speciální studie těchto informačních systémů a zpracovává expertní stanoviska k návrhům prací na jejich tvorbě.

Dokument také stanoví, že FSTEC Ruska vyvíjí strategii a určuje prioritní oblasti pro zajištění bezpečnosti informací v informačních systémech vytvořených pomocí superpočítačových a gridových technologií, které zpracovávají omezená data, a také monitoruje stav práce k zajištění tohoto zabezpečení.

FSTEC objednal studii, jejímž výsledkem byla beta verze „terminologického systému v oblasti„ cloudových technologií “

Jak jste pochopili, celý tento terminologický systém je upraveným překladem dvou dokumentů: „Focus Group on Cloud Computing Technical Report“ a „The NIST Definition of Cloud Computing“. Skutečnost, že tyto dva dokumenty nejsou navzájem příliš konzistentní, je samostatná otázka. Ale vizuálně je to stále viditelné: v ruském „Terminosystému“ autoři jednoduše pro začátek neposkytli odkazy na tyto anglické dokumenty.

Faktem je, že pro takovou práci musíte nejprve diskutovat o konceptu, cílech a cílech, metodách jejich řešení. Otázek a komentářů je mnoho. Hlavní metodická poznámka: je nutné velmi jasně formulovat, jaký problém tento výzkum řeší, jeho účel. Hned bych rád upozornil, že „vytvoření terminologického systému“ nemůže být cílem, je to prostředek, ale dosažení toho, co ještě není příliš jasné.

Nemluvě o tom, že běžný výzkum by měl zahrnovat sekci status quo.

Je obtížné diskutovat o výsledcích studie, aniž bychom znali původní formulaci problému a jak jej autoři vyřešili.

Ale jedna zásadní chyba terminologického systému je jasně viditelná: není možné diskutovat o „zakaleném subjektu“ izolovaně od „nezakaleného“. Vytrženo z obecného kontextu IT. Tento kontext však ve studii není viditelný.

Výsledkem je, že v praxi takový terminologický systém nebude možné použít. Může to situaci jen dále zamotat.

13. Prostředky zabezpečení cloudu

Systém ochrany cloudového serveru ve své minimální konfiguraci by měl zajistit bezpečnost síťového vybavení, úložiště dat, serveru a hypervisoru. Kromě toho je možné umístit antivir do vyhrazeného jádra, aby se zabránilo infekci hypervisoru prostřednictvím virtuálního stroje, systému šifrování dat pro ukládání informací o uživateli v šifrované formě a prostředků pro implementaci šifrovaného tunelování mezi virtuálním serverem a klientem stroj.

K tomu potřebujeme server, který podporuje virtualizaci. Řešení tohoto druhu nabízejí společnosti Cisco, Microsoft, VMWare, Xen, KVM.

Je také povoleno používat klasický server a poskytovat na něm virtualizaci pomocí hypervisoru.

Pro virtualizaci operačních systémů pro platformy x86-64 jsou vhodné jakékoli servery s kompatibilními procesory.

Takové řešení zjednoduší přechod na výpočetní virtualizaci bez dalších finančních investic do upgradů hardwaru.

Schéma práce:

Rýže. 11. Příklad „cloudového“ serveru

Rýže. 12. Reakce serveru na selhání zařízení

V tuto chvíli je trh s nástroji pro zabezpečení cloudových počítačů stále docela prázdný. A to není překvapující. Vzhledem k absenci regulačního rámce a nejistotě ohledně budoucích standardů vývojové společnosti nevědí, na co by měly své úsilí zaměřit.

I za takových podmínek se však objevují specializované softwarové a hardwarové systémy, které umožňují zabezpečit cloudovou strukturu před hlavními typy hrozeb.

Porušení integrity

Hackování hypervisoru

Zasvěcenci

Identifikace

Ověření

Šifrování

Accord-B

Hardwarový a softwarový systém Accord-B. navržený k ochraně virtualizační infrastruktury VMware vSphere 4.1, VMware vSphere 4.0 a VMware Infrastructure 3.5.

Accord-B. Poskytuje ochranu pro všechny součásti virtualizačního prostředí: servery ESX a samotné virtuální počítače, servery pro správu vCenter a další servery se službami VMware (například VMware Consolidated Backup).

V hardwarovém a softwarovém komplexu Accord-V jsou implementovány následující ochranné mechanismy:

· Podrobná kontrola integrity hypervisoru, virtuálních počítačů, souborů uvnitř virtuálních počítačů a serverů pro správu infrastruktury;

· Diferenciace přístupu pro správce virtuální infrastruktury a správce zabezpečení;

· Diferenciace uživatelského přístupu uvnitř virtuálních počítačů;

· Hardwarová identifikace všech uživatelů a správců virtualizační infrastruktury.

INFORMACE O DOSTUPNOSTI CERTIFIKÁTŮ:

Certifikát shody FSTEC Ruska č. 2598 ze dne 20.03.2012 potvrzuje, že hardwarový a softwarový komplex prostředků ochrany informací před neoprávněným přístupem „Accord-V.“ Splňuje požadavky pokynů „Dokumentační zařízení“. neoprávněný přístup k informacím. Indikátory zabezpečení proti neoprávněnému přístupu k informacím “(Státní technická komise Ruska, 1992) - podle 5 bezpečnostní třída „Ochrana před neoprávněným přístupem k informacím. Část 1. Software pro ochranu informací. Klasifikace podle úrovně kontroly nepřítomnosti nedeklarovaných schopností“ (Státní technická komise Ruska, 1999) - do 4 úroveň kontrolních a technických podmínek TU 4012-028-11443195-2010, a lze jej také použít k vytváření automatizovaných systémů až do bezpečnostní třídy 1G včetně a k ochraně informací v informačních systémech osobních údajů až do třídy 1 včetně.

vGate R2

vGate R2 je certifikovaný prostředek ochrany informací před neoprávněným přístupem a kontrolou implementace zásad zabezpečení informací pro virtuální infrastrukturu založenou na systémech VMware vSphere 4 a VMware vSphere 5. S R2 - verze produktu použitelná k ochraně informací ve virtuálních infrastrukturách veřejných společností, na jejichž IP jsou uplatňovány požadavky na používání systémů informační bezpečnosti s vysokou úrovní certifikace.

Umožňuje automatizovat práci správců při konfiguraci a provozu bezpečnostního systému.

Pomáhá předcházet chybám a zneužívání při správě virtuální infrastruktury.

Umožňuje uvést virtuální infrastrukturu do souladu s legislativou, průmyslovými standardy a nejlepšími světovými postupy.

<#"783809.files/image017.gif"> <#"783809.files/image018.gif"> <#"783809.files/image019.gif"> <#"783809.files/image020.gif"> Rýže. 13 Možnosti oznámené vGate R2 Abychom to shrnuli, zde jsou hlavní nástroje, které vGate R2 vlastní k ochraně datového centra poskytovatele služeb před vnitřními hrozbami vycházejícími od jeho vlastních správců: Organizační a technické oddělení pravomocí pro správce vSphere Přidělení samostatné role správce IS, který bude spravovat zabezpečení zdrojů datového centra na základě vSphere Rozdělení cloudu do zón zabezpečení, ve kterých působí správci s příslušnou úrovní oprávnění Kontrola integrity virtuálních počítačů Možnost kdykoli obdržet zprávu o zabezpečení infrastruktury vSphere a také události zabezpečení informací o auditu V zásadě je to téměř vše, co je potřeba k ochraně infrastruktury virtuálního datového centra před vnitřními hrozbami z pohledu virtuální infrastruktury. Samozřejmě také potřebujete ochranu na úrovni hardwaru, aplikací a hostovaného OS, ale to je další problém, který je také vyřešen pomocí produktů společnosti Bezpečnostní kód<#"783809.files/image021.gif"> Rýže. 14. Struktura serveru. K zajištění bezpečnosti v takovém zařízení je nutné zajistit bezpečnost podle tabulky 2. Za tímto účelem doporučuji použít softwarový produkt vGate R2. Umožní vám vyřešit takové problémy, jako jsou: · Silnější autentizace pro správce virtuální infrastruktury a správce zabezpečení informací. · Ochrana nástrojů pro správu virtuální infrastruktury před manipulací. · Ochrana ESX serverů před manipulací. · Povinné řízení přístupu. · Monitorování integrity konfigurace virtuálních počítačů a důvěryhodné spouštění. · Řízení přístupu administrátorů VI k datům virtuálních počítačů. · Registrace událostí souvisejících s bezpečností informací. · Monitorování integrity a ochrany před nedovolenou manipulací součástí systému zabezpečení informací. · Centralizovaná správa a monitorování. Tabulka 2. Mapování potřeb zabezpečení pro model PaaS Certifikát FSTEC Ruska (SVT 5, NDV 4) umožňuje použití produktu v automatizovaných systémech s úrovní zabezpečení až do třídy 1G včetně a v informačních systémech osobních údajů (ISPDN) až do třídy K1 včetně. Náklady na toto řešení budou 24 500 rublů za 1 fyzický procesor na chráněném hostiteli. K ochraně před zasvěcenými osobami budete navíc muset nainstalovat bezpečnostní alarm. Tato řešení jsou na trhu ochrany serverů poměrně bohatě poskytována. Cena takového řešení s omezeným přístupem do kontrolované oblasti, poplašného a video monitorovacího systému se pohybuje od 200 000 rublů a více Vezměme si například částku 250 000 rublů. K ochraně virtuálních počítačů před virovými infekcemi bude na jednom jádru serveru spuštěna McAfee Total Protection for Virtualization. Náklady na řešení jsou od 42 200 rublů. Aby se zabránilo ztrátě dat v úložištích, bude použit Symantec Netbackup. Umožňuje bezpečně zálohovat informace a obrazy systému. Celkové náklady na realizaci takového projektu budou: Implementaci podobného konstrukčního řešení od společnosti Microsoft lze stáhnout zde: http://www.microsoft.com/en-us/download/confirmation. aspx? id = 2494 Výstup „Cloudové technologie“ jsou v současné době jednou z nejaktivněji se rozvíjejících oblastí IT trhu. Pokud se tempo růstu technologií nesníží, pak do roku 2015 přispějí do státní pokladny evropských zemí více než 170 milionů eur ročně. U nás se s cloudovými technologiemi zachází opatrně. Je to částečně způsobeno zkostnatělými názory vedení, částečně nedostatkem důvěry v bezpečnost. Ale tento typ technologie se všemi výhodami a nevýhodami je novou lokomotivou pokroku v IT. Na aplikaci „na druhé straně cloudu“ vůbec nezáleží na tom, zda svůj požadavek vytvoříte na počítači s procesorem x86 Intel, AMD, VIA nebo jej složíte v telefonu nebo smartphonu na základě ARM procesoru Freescale, OMAP, Tegra . Navíc bude celkem jedno, zda používáte operační systémy Linux Google Chrome, OHA Android, Intel Moblin, Windows CE, Windows Mobile Windows XP / Vista / 7, nebo k tomu používáte něco ještě exotičtějšího ... Pokud byl požadavek zkompilován správně a srozumitelně a váš systém byl schopen „zvládnout“ přijatou odpověď. Otázka zabezpečení je jedním z hlavních problémů cloud computingu a jeho řešení zlepší kvalitu služeb v počítačové sféře. V tomto směru je však stále co dělat. V naší zemi stojí za to začít s jednotným slovníkem pojmů pro celý obor IT. Vyvíjejte standardy na základě mezinárodních zkušeností. Předložte požadavky na zabezpečovací systémy. Literatura 1. Finanční aspekty vládního využívání cloudových počítačů - australská vláda 2010. 2. Ochrana osobních údajů a cloud computing pro australské vládní agentury 2007. Vyjednávání v cloudu - právní problémy v dohodách cloud computingu 2009. Časopis „Modern Science: Actual Problems of Theory and Practice“ 2012. Podobná práce jako - Zabezpečení informací v cloud computingu: zranitelnosti, metody a prostředky ochrany, nástroje pro audit a vyšetřování incidentů