Amikor Eric Schmitt, a Google jelenlegi vezetője először a "felhő" kifejezést használta az interneten elosztott számítástechnikai rendszerre való utalásra, alig tudta, hogy ez egyike azoknak a szavaknak, amelyek gyakran szerepelnek a legendákban. A világ népeinek szinte minden mítoszában isteni lények nagyon közel élnek az éghez - a felhőkön. Ennek eredményeként a "felhőalapú számítástechnika" kifejezés nagyon népszerű a marketingszakemberek körében, mivel teret ad a kreativitásnak. Megpróbáljuk ezeket a mítoszokat is verbalizálni, és megérteni, mennyire organikusan kombinálódnak az informatikával.

Merlin halála

Az Arthur királyról és kerekasztaláról szóló legendák ciklusának egyik szereplője a varázsló és varázsló Merlin, aki segített Arthurnak uralkodásában. Jelentős, hogy Merlin végül a felhők börtönébe került. Ő, aki dicsekedni akart a fiatal varázslónővel és megmutatni varázslatos erejét, felhővárat épített, és meghívta szenvedélyét, hogy vizsgálja meg. A varázslónő azonban ravasznak bizonyult, és bebörtönözte a bűvészt a saját felhővárába. Ezt követően senki sem látta Merlin -t, így feltételezik, hogy valahol ott halt meg - a felhővárban, amelyet maga épített.

Most a "mágusok az IT -ből" egy egész mitológiát is felépítettek az elosztott számítástechnika köré, így annak érdekében, hogy ne kerüljenek börtönbe ezekbe a "zárakba", először ki kell derítenie, hogy mik ezek a felhők, vagyis el kell különíteni a marketinget a szeletektől.

Kezdetben csak egy felhő volt - ezzel a szimbólummal hagyományosan kijelölték az internetet. Ez a felhő az összes IP -protokollal összekapcsolt és saját IP -címmel rendelkező számítógép gyűjteményét jelentette. Idővel az Internet elkezdte kiosztani a szolgáltatóknál telepített szerverfarmokat, amelyeken a webes projektek alapultak. Ugyanakkor a nagy terhelés és hibatűrés biztosítása érdekében a legnagyobb webrendszerek többszintűvé és elosztottá váltak.

Egy tipikus ilyen rendszerben a következő szinteket lehet megkülönböztetni: fordított proxy, amely terheléselosztóként és SSL -visszafejtőként is működik, maga a webszerver, majd egy alkalmazáskiszolgáló, egy DBMS és egy tárolórendszer. Ugyanakkor minden szinten több elem is elvégezheti ugyanazokat a funkciókat, ezért nem mindig volt egyértelmű, hogy mely összetevőket használták fel a felhasználói kérések feldolgozására. És ha nem világos, akkor ezek a felhők. Ezért elkezdték azt mondani, hogy a felhasználói kéréseket valahol a "felhőben" hajtják végre nagyszámú szerverről. Így jött létre a "felhőalapú számítástechnika" kifejezés.

Bár kezdetben a felhőalapú számítástechnikát nyilvánosan elérhető webes projektekhez - portálokhoz - társították, az elosztott hibatűrő webrendszerek fejlődésével azonban elkezdték használni őket a belső vállalati problémák megoldására. A nyilvános rendszerekben kifejlesztett webes technológiákon alapuló vállalati portálok fellendülésének ideje volt ez. Ugyanakkor a vállalati rendszerek elkezdtek konszolidálódni adatközpontokká, amelyeket könnyebb és olcsóbb fenntartani.

Azonban nem lenne hatékony külön szervert kiosztani a felhő minden eleméhez - a felhő nem minden eleme egyenlő mértékben van betöltve, így a virtualizációs ipar párhuzamosan fejlődni kezdett. A nyilvános felhőkben meglehetősen népszerűnek bizonyult, mivel lehetővé tette a hozzáférési jogok megkülönböztetését, és biztosította az elosztott rendszer elemeinek gyors átvitelét egy másik hardverhordozóra. Virtualizáció nélkül a felhőalapú számítástechnika kevésbé lenne dinamikus és skálázható, ezért a felhők ma jellemzően virtuális gépekből állnak.

A felhőalapú számítástechnika főként az alkalmazások kölcsönzéséhez kapcsolódik, és három ilyen típusú szolgáltatást határoz meg: IaaS - infrastruktúra szolgáltatásként, PaaS - platform szolgáltatásként és SaaS - szoftver szolgáltatásként. Néha a biztonságot mint szolgáltatást is a SaaS -ra redukálják, azonban annak érdekében, hogy ne keverjük össze a felhőalapú biztonsági szolgáltatásokat a szoftverkölcsönzéssel, jobb, ha ISaaC - Információbiztonság felhőnek nevezzük. Az ilyen szolgáltatásokat is kezdik nyújtani. Ne tévessze össze azonban az alkalmazások kiszervezését és a felhőalapú számítást, mivel a felhők lehetnek házon belüli, nyilvánosak és hibridek. Az ilyen típusú felhők mindegyikének megvannak a sajátosságai a biztonsági rendszer megszervezésekor.

Visnu három lépése

Visnu isten a hindu mitológiában arról ismert, hogy ő hódította meg az emberi élet teret három lépés segítségével: az első a földön készült, a második - a felhőkben és a harmadik - a legmagasabb lakóhely. A Rig Véda szerint ezzel a fellépéssel Vishnu meghódította ezeket a helyeket az emberek számára.

A modern informatika is hasonló "második lépést" tesz - a talajtól a felhőkig. Annak érdekében azonban, hogy ne essünk le ezekről a felhőkről a talajra, érdemes vigyázni a biztonságra. Az első részben ilyen részletesen elemeztem a felhő szerkezetét, hogy megértsem, milyen fenyegetések léteznek a felhőalapú számítástechnika számára. A fentiekből a következő fenyegetési osztályokat kell megkülönböztetni:

Hagyományos támadások a szoftverek ellen... Ezek a hálózati protokollok, operációs rendszerek, moduláris összetevők és mások sebezhetőségével kapcsolatosak. Ezek hagyományos fenyegetések, amelyek védelmére elegendő a víruskereső, tűzfal, IPS és egyéb tárgyalt összetevők telepítése. Csak az a fontos, hogy ezeket a védelmeket a felhő infrastruktúrához igazítsák, és hatékonyan működjenek virtualizált környezetben.

Funkcionális támadások a felhőelemek ellen... Ez a fajta támadás a felhő rétegezéséhez kapcsolódik, amely általános biztonsági elv, hogy a rendszer általános védelme megegyezik a leggyengébb láncszem védelmével. Tehát a sikeres DoS támadás a felhő elé telepített fordított proxy ellen blokkolja a hozzáférést a teljes felhőhöz, annak ellenére, hogy a felhőben lévő összes kommunikáció interferencia nélkül működik. Hasonlóképpen, az alkalmazáskiszolgálón keresztül átadott SQL -injekció hozzáférést biztosít a rendszeradatokhoz, függetlenül az adattároló réteg hozzáférési szabályaitól. A funkcionális támadások elleni védelemhez minden felhőréteg esetében speciális védelmi eszközöket kell használnia: proxy - védelem a DoS támadások ellen, webszerver - oldal integritás -ellenőrzés, alkalmazáskiszolgáló - alkalmazásszintű képernyő, DBMS réteg - SQL befecskendezés elleni védelem, a tárolórendszer számára - biztonsági mentés és hozzáférés -szabályozás. Külön -külön mindegyik védelmi mechanizmus már létrejött, de ezeket nem gyűjtik össze a felhő átfogó védelme érdekében, ezért a felhő létrehozása során meg kell oldani az egységes rendszerbe való integrálásukat.

Ügyfél támadások... Ezt a típusú támadást gyakorolták a webes környezetben, de a felhő szempontjából is releváns, mivel az ügyfelek általában a böngésző segítségével csatlakoznak a felhőhöz. Ez magában foglalja az olyan támadásokat, mint a webhelyek közötti szkriptelés (XSS), a webes munkamenetek eltérítése, a jelszavak ellopása, az "ember a közepén" és mások. Hagyományosan az erős hitelesítés és a titkosított kommunikáció kölcsönös hitelesítéssel védekezést jelentett a támadások ellen, de nem minden felhő -alkotó engedheti meg magának az ilyen pazarló és általában nem túl kényelmes védelmi eszközöket. Ezért az információbiztonság ezen ágazatában még mindig vannak megoldatlan feladatok és terek az új védelmi eszközök létrehozására.

Virtualizációs fenyegetések... Mivel a felhőkomponensek platformja hagyományosan virtualizált környezet, a virtualizációs rendszer elleni támadások a teljes felhőt is veszélyeztetik. Ez a fajta fenyegetés csak a felhőalapú számítástechnikára jellemző, ezért az alábbiakban közelebbről megvizsgáljuk. Néhány virtualizációs fenyegetés megoldása most kezd megjelenni, de ez az iparág egészen új, ezért eddig a meglévő megoldásokat még nem fejlesztették ki. Teljesen lehetséges, hogy az információbiztonsági piac hamarosan kifejleszti az ilyen típusú fenyegetések elleni védekezési eszközöket.

Átfogó felhőfenyegetések... A felhők ellenőrzése és kezelése szintén biztonsági kérdés. Hogyan lehet biztosítani, hogy minden felhőalapú erőforrás számításba kerüljön, és ne legyenek benne ellenőrizetlen virtuális gépek, ne indítsanak el felesleges üzleti folyamatokat, és ne sérüljön a felhő rétegeinek és elemeinek kölcsönös konfigurációja. Ez a fajta fenyegetés a felhő, mint egységes információs rendszer kezelhetőségéhez, valamint a visszaélések vagy más zavarok kereséséhez kapcsolódik a felhő működésében, ami szükségtelen költségekhez vezethet az információs rendszer állapotának megőrzése érdekében. Például, ha van egy felhő, amely lehetővé teszi egy vírus észlelését benne egy benyújtott fájl segítségével, akkor hogyan lehet megakadályozni az ilyen érzékelők ellopását? Ez a fajta fenyegetés a legmagasabb szintű, és gyanítom, hogy nem létezik univerzális védekezési eszköz - minden felhő esetében általános védelmét egyedileg kell felépíteni. Ebben segíthet a legáltalánosabb kockázatkezelési modell, amelyet továbbra is helyesen kell alkalmazni a felhőinfrastruktúrákra.

Az első két típusú fenyegetést már kellőképpen tanulmányozták, és védekezést fejlesztettek ki számukra, de még módosítani kell őket a felhőben való használatra. Például a tűzfalakat úgy tervezték, hogy megvédjék a kerületet, de a felhőben nem könnyű egy kerületet kiosztani az egyes ügyfeleknek, ami sokkal nehezebbé teszi a védelmet. Ezért a tűzfaltechnológiát hozzá kell igazítani a felhő infrastruktúrához. Az ilyen irányú munkát jelenleg aktívan végzi, például a Check Point.

A felhőalapú számítástechnika új típusú veszélye a virtualizációs problémák. A tény az, hogy ennek a technológiának a használatakor további elemek jelennek meg a rendszerben, amelyek támadhatók. Ide tartozik a hipervizor, a virtuális gépek egyik gazdagépről a másikra történő átvitelére szolgáló rendszer és egy virtuális gépkezelő rendszer. Vizsgáljuk meg részletesebben, hogy a felsorolt ​​elemek milyen támadásokat szenvedhetnek el.

Hypervisor támadások... Valójában a virtuális rendszer kulcseleme a hipervizor, amely biztosítja a fizikai számítógép erőforrásainak felosztását a virtuális gépek között. A hipervizor működésének megzavarása azt eredményezheti, hogy az egyik virtuális gép hozzáférhet a másik memóriájához és erőforrásaihoz, elfoghatja hálózati forgalmát, elveheti fizikai erőforrásait, sőt teljesen kiszoríthatja a virtuális gépet a szerverről. Egyelőre kevés hacker érti pontosan, hogyan működik a hipervizor, így gyakorlatilag nincsenek ilyen típusú támadások, de ez nem garantálja, hogy a jövőben sem jelennek meg.

Virtuális gépek migrálása... Meg kell jegyezni, hogy a virtuális gép olyan fájl, amelyet különböző felhőcsomópontokban lehet végrehajtani. A virtuális gépek felügyeleti rendszerei mechanizmusokat biztosítanak a virtuális gépek egyik gazdagépről a másikra történő átvitelére. A virtuális gép fájlja azonban ellopható, és megkísérelhető a felhőn kívül futtatni. Lehetetlen fizikai kiszolgálót kivenni az adatközpontból, de a virtuális gépet el lehet lopni a hálózaton anélkül, hogy fizikailag hozzá kellene férni a kiszolgálókhoz. Igaz, a felhőn kívüli külön virtuális gépnek nincs gyakorlati értéke - minden rétegből el kell lopnia legalább egy virtuális gépet, valamint adatokat a tárolórendszerből egy hasonló felhő helyreállításához, ennek ellenére a virtualizáció meglehetősen lehetővé teszi az alkatrészek ellopását vagy az egész felhőt. Vagyis a virtuális gépek átvitelének mechanizmusaiba való beavatkozás új kockázatokat teremt az információs rendszer számára.

Irányítsa a rendszer támadásait... A felhőkben, különösen a nyilvános felhőkben használt virtuális gépek száma miatt olyan felügyeleti rendszerekre van szükség, amelyek megbízhatóan tudják ellenőrizni a virtuális gépek létrehozását, áttelepítését és megsemmisítését. A vezérlőrendszerekbe való beavatkozás láthatatlan virtuális gépek megjelenéséhez, egyes gépek blokkolásához és jogosulatlan elemek helyettesítéséhez vezethet a felhő rétegekben. Mindez lehetővé teszi a támadók számára, hogy információkat szerezzenek a felhőből, vagy rögzítsék annak egyes részeit vagy a teljes felhőt.

Meg kell jegyezni, hogy eddig minden fentebb felsorolt ​​fenyegetés pusztán hipotetikus, mivel gyakorlatilag nincs információ az ilyen típusú támadásokról. Ugyanakkor, amikor a virtualizáció és a felhő kellően népszerűvé válik, az összes ilyen típusú támadás meglehetősen valós lehet. Ezért ezeket még a felhőrendszerek tervezésének szakaszában is szem előtt kell tartani.

A hetedik mennyországon túl

Pál apostol azt állította, hogy ismert egy embert, akit elért a hetedik mennyország. Azóta a "hetedik mennyország" kifejezés szilárdan meg van erősítve a paradicsom megnevezésére. Azonban nem minden keresztény szent megtiszteltetés volt, hogy meglátogassa még az első mennyországot is, ennek ellenére nincs olyan ember, aki ne álmodna arról, hogy legalább egy szemmel nézzen a hetedik mennyországba.

Talán ez a legenda késztette a Trend Micro alkotóit arra, hogy az egyik felhővédelmi projektjüknek a Cloud Nine nevet adják - a kilencedik felhőt. Ez egyértelműen a hetedik felett van. Most azonban ezt a nevet sokféle dolog kapja: dalok, detektívtörténetek, számítógépes játékok, de nagyon valószínű, hogy ezt a nevet Pál keresztény legendája ihlette.

A Trend Micro cég azonban eddig csak olyan információkat tett közzé, amelyek szerint a Cloud Nine a felhőben lévő adat titkosításhoz lesz társítva. Az adatok titkosítása teszi lehetővé a védelmet a nyilvános felhőben lévő adatok fenyegetései ellen, ezért az ilyen projekteket most aktívan fejlesztik. Képzeljük el, milyen védőeszközök lehetnek még hasznosak a fent leírt kockázatok csökkentésében.

Először is megbízható hitelesítést kell biztosítania mind a felhőfelhasználókról, mind azok összetevőiről. Ehhez nagy valószínűséggel használhat kész egyszeri hitelesítési rendszereket (SSO), amelyek Kerberoson és a kölcsönös hardveres hitelesítési protokollon alapulnak. Ezután személyazonosság-kezelő rendszerekre lesz szüksége, amelyek lehetővé teszik a felhasználói hozzáférési jogosultságok konfigurálását különböző rendszerekhez szerepköralapú felügyelet használatával. Természetesen a szerepek és a minimális jogosultságok meghatározásával kell bánni az egyes szerepekhez, de a rendszer konfigurálása után sokáig használható.

A folyamat minden résztvevőjének és jogainak meghatározásakor figyelemmel kell kísérnie e jogok betartását és az adminisztratív hibák észlelését. Ehhez eseményfeldolgozó rendszerekre van szükség a felhő elemeinek védelmétől és további védőmechanizmusoktól, például tűzfalaktól, víruskeresőktől, IPS -től és másoktól. Igaz, érdemes használni azokat a lehetőségeket, amelyek működhetnek virtualizációs környezetben - ez hatékonyabb lesz.

Ezenkívül használnia kell egyfajta csalási gépet is, amely lehetővé tenné a csalások felderítését a felhők használatában, vagyis csökkenti az üzleti folyamatokba való beavatkozás legnehezebb kockázatát. Igaz, most a piacon valószínűleg nincs csalásgép, amely lehetővé tenné a felhőkkel való munkát, ennek ellenére a csalások és visszaélések felderítésére szolgáló technológiákat már kidolgozták a telefonáláshoz. Mivel a számlázási rendszert a felhőkben kell megvalósítani, a csalógépet hozzá kell kapcsolni. Így legalább felügyelni lehet a felhőalapú üzleti folyamatokat fenyegető veszélyeket.

Milyen egyéb védelmi mechanizmusok használhatók a felhők védelmére? A kérdés még nyitott.

A vállalati informatikai infrastruktúra kiépítésére számos módszer létezik. Az összes erőforrás és szolgáltatás felhőplatformon történő telepítése csak egy közülük. A felhőalapú megoldások biztonságával kapcsolatos előítéletek azonban gyakran akadályokká válnak ilyen módon. Ebben a cikkben megértjük, hogyan van elrendezve a biztonsági rendszer az egyik leghíresebb orosz szolgáltató - a Yandex.

A mese hazugság, de van benne utalás

Ennek a történetnek a kezdete elmondható, mint egy híres mese. Három adminisztrátor volt a társaságban: az idősebb okos ember, a középső ez -ez, a legfiatalabb ... egy enikeys gyakornok. Elindítottam a felhasználókat az Active Directoryban, és a csikót a tsiska -ra csavartam. Eljött az idő, hogy a társaság kibővüljön, és a király, vagyis a főnök felszólította adminhadseregét. Azt mondja, új webszolgáltatásokat kívánok ügyfeleinknek, saját fájlok tárolását, kezelt adatbázisokat és virtuális gépeket a szoftverteszteléshez.

A legfiatalabb azonnal azt javasolta, hogy a semmiből hozzon létre saját infrastruktúrát: szervereket vásároljon, szoftvereket telepítsen és konfiguráljon, bővítse a fő internetcsatornát, és adjon hozzá biztonsági másolatot - a megbízhatóság érdekében. És a társaság nyugodtabb: a hardver mindig kéznél van, bármikor cserélhet vagy konfigurálhat valamit, és ő maga kiváló lehetőséget kap arra, hogy pumpálja adminisztrátori képességeit. Kiszámolták és könnyeket hullattak: a vállalat nem fogja tudni vállalni az ilyen költségeket. A nagyvállalkozások megtehetik ezt, de a közép- és kisvállalkozások számára ez túl drága. Nos, nem csak felszerelést kell vásárolnia, szerverhelyiséget kell felszerelnie, klímaberendezéseket fel kell szerelnie, és tűzjelzőket kell felállítania, hanem műszakórát is kell szerveznie annak érdekében, hogy éjjel -nappal rendet tartson, és elhárítsa a pörgős emberek internetes támadásait. . És valamiért az adminisztrátorok nem akartak éjszaka és hétvégén dolgozni. Ha csak kettős fizetésért.

Az idősebb admin elgondolkodva nézett a terminál ablakára, és azt javasolta, hogy az összes szolgáltatást tegyék a felhőbe. De aztán kollégái rémtörténetekkel ijesztgetni kezdték egymást: azt mondják, hogy a felhőinfrastruktúra védtelen interfészekkel és API -kkal rendelkezik, rosszul kiegyensúlyozza a különböző ügyfelek terhelését, ami károsíthatja a saját erőforrásait, és instabil az adatlopások és a külső támadások szempontjából is. . És általában félelmetes átadni a kritikus adatok és szoftverek feletti ellenőrzést illetéktelen személyeknek, akikkel nem ettél egy font sót és nem ittál egy vödör sört.

A Mediocre adta az ötletet, hogy a teljes informatikai rendszert a szolgáltató adatközpontjában, annak csatornáin helyezze el. Erre és úgy döntött. Hármasunkra azonban több meglepetés is várt, nem mindegyik volt kellemes.

Először is, minden hálózati infrastruktúra megköveteli a kötelező biztonsági és védelmi eszközök elérhetőségét, amelyeket természetesen telepítettek, konfiguráltak és elindítottak. De az általuk használt hardver erőforrások költségeit, mint kiderült, magának az ügyfélnek kell fizetnie. A modern információbiztonsági rendszer pedig jelentős erőforrásokat emészt fel.

Másodszor, az üzlet tovább növekedett, és a kezdetektől kiépített infrastruktúra gyorsan elérte a skálázhatósági plafont. Sőt, a bővítéshez a tarifa egyszerű megváltoztatása sem volt elegendő: ebben az esetben sok szolgáltatást át kell helyezni más szerverre, újra kell konfigurálni, és valamit teljesen újra kell tervezni a semmiből.

Végül egy napon az egyik alkalmazás kritikus sérülékenysége miatt az egész rendszer összeomlott. Az adminisztrátorok gyorsan felvették a biztonsági mentésekből, de nem sikerült gyorsan rájönniük a történtek okaira, mert elfelejtették beállítani a naplózási szolgáltatások biztonsági mentését. Az értékes idő elveszett, és az idő, ahogy a népi bölcsesség mondja, a pénz.

A költségek kiszámítása és az eredmények összegezése kiábrándító következtetésekre vezette a vállalat vezetését: az adminisztrátornak, aki a kezdetektől azt javasolta, hogy az IaaS felhőmodelljét - "infrastruktúrát szolgáltatásként" - használja, igaza volt. Ami az ilyen platformok biztonságát illeti, érdemes külön beszélni róla. És ezt a legnépszerűbb ilyen szolgáltatások - Yandex.Cloud - példáján keresztül fogjuk megtenni.

Biztonság a Yandex.Cloud szolgáltatásban

Kezdjük, ahogy a Cheshire Cat a kezdetektől tanácsolta Alice lánynak. Vagyis a felelősség lehatárolásának kérdésétől. A Yandex.Cloud -ban, mint bármely más hasonló platformon, a szolgáltató felelős a felhasználóknak nyújtott szolgáltatások biztonságáért, míg az ügyfél felelős az általa fejlesztett alkalmazások megfelelő működésének biztosításáért, a dedikált erőforrásokhoz való távoli hozzáférés megszervezéséért és lehatárolásáért. , adatbázisok és virtuális gépek konfigurálása, naplózás vezérlése. Ehhez azonban minden szükséges eszközzel el van látva.

A Yandex felhőinfrastruktúra biztonságának több szintje van, amelyek mindegyike saját védelmi elveit valósítja meg, és külön technológiák arzenálját használja.

Fizikai réteg

Nem titok, hogy a Yandex saját adatközpontokkal rendelkezik, amelyeket saját biztonsági részlegeik szolgálnak ki. Nemcsak a videó megfigyelésről és a beléptető szolgáltatásokról beszélünk, amelyek célja, hogy megakadályozzák a kívülállók belépését a szervertermekbe, hanem a klímaberendezésekről, a tűzoltásról és a szünetmentes tápegységekről is. A Stern biztonsági őröknek kevés haszna van, ha a szerverállványt egyszer elárasztja a víz a sprinklerből, vagy ha túlmelegednek a légkondicionáló meghibásodása után. Ez biztosan nem fog megtörténni velük a Yandex adatközpontokban.

Ezenkívül a Cloud hardverei fizikailag el vannak választva a "nagy Yandex" -től: különböző állványokban helyezkednek el, de ugyanúgy rendszeres karbantartást és alkatrészcserét végeznek. E két infrastruktúra határán hardveres tűzfalakat használnak, és a felhőben - egy szoftveres gazdagép -alapú tűzfalat. Ezenkívül a Top-of-the-rack kapcsolók az Access Control List (ACL) rendszert használják, ami nagymértékben növeli az egész infrastruktúra biztonságát. A Yandex folyamatosan vizsgálja a felhőt kívülről, keresve a nyitott portokat és konfigurációs hibákat, hogy a potenciális sebezhetőséget előre felismerjék és megszüntessék. A Cloud-erőforrásokkal dolgozó alkalmazottak számára SSH-kulcsokat használó központosított hitelesítési rendszert hajtottak végre szerepköralapú hozzáférési modellel, és minden rendszergazdai munkamenet naplózásra kerül. Ez a megközelítés része a Yandex által széles körben használt alapértelmezett Secure modellnek: a biztonságot a tervezés és fejlesztés szakaszában beépítik az informatikai infrastruktúrába, és nem adják hozzá később, amikor már mindent üzembe helyeztek.

Infrastruktúra szint

„Hardver és szoftver logika” szinten a Yandex.Cloud három infrastrukturális szolgáltatást használ: Compute Cloud, Virtual Private Cloud és Yandex Managed Services. És most mindegyikről egy kicsit részletesebben.

Számítási felhő

Ez a szolgáltatás skálázható számítási teljesítményt biztosít különböző feladatokhoz, például webes projektek és nagy terhelésű szolgáltatások tárolásához, teszteléshez és prototípus-készítéshez, vagy az IT-infrastruktúra ideiglenes áttelepítéséhez saját berendezéseinek javítása vagy cseréje idejére. A szolgáltatást a konzolon, a parancssorban (CLI), az SDK -n vagy az API -n keresztül kezelheti.

A Compute Cloud biztonság alapja az a tény, hogy minden kliens virtuális gép legalább két magot használ, és nincs túlzott elkötelezettség a memóriakiosztásban. Mivel ebben az esetben csak a kliens kód fut a kernelen, a rendszer nem érzékeny az olyan sérülékenységekre, mint az L1TF, a Spectre és az Meltdown, vagy az oldalsó csatorna támadásokra.

Ezenkívül a Yandex saját Qemu / KVM összeállítását használja, amelyben minden szükségtelen le van tiltva, csak a minimális kódkészlet és könyvtárak maradnak a hipervizorok működéséhez. Ezzel párhuzamosan a folyamatok az AppArmor-alapú műszerek vezérlése alatt indulnak el, amelyek a biztonsági házirendek segítségével meghatározzák, hogy egy adott alkalmazás mely rendszer erőforrásokhoz és milyen jogosultságokkal férhet hozzá. Az egyes virtuális gépek tetején futó AppArmor csökkenti annak kockázatát, hogy egy ügyfélalkalmazás hozzáférjen a hipervizorhoz a virtuális gépről. A naplók fogadásához és feldolgozásához a Yandex felépített egy folyamatot az adatok AppArmor és homokozó dobozokból saját Splunk -ba történő továbbítására.

Virtuális privát felhő

A Virtual Private Cloud szolgáltatás lehetővé teszi, hogy felhőhálózatokat hozzon létre, amelyeket az információk továbbítására használnak a különböző erőforrások között, és azok internetkapcsolatát. Ezt a szolgáltatást fizikailag három független adatközpont támogatja. Ebben a környezetben a logikai elkülönítést a többprotokollos kommunikáció - MPLS - szintjén hajtják végre. Ugyanakkor a Yandex folyamatosan fújja az SDN és a hipervizor interfészt, vagyis a virtuális gépek oldaláról folyamatosan hibás csomagokat küld a külső környezetbe, hogy választ kapjon az SDN -től, elemezze és zárja be a lehetséges konfigurációs hiányosságok. A DDoS védelem automatikusan engedélyezve van virtuális gépek létrehozásakor.

Yandex felügyelt szolgáltatások

A Yandex Managed Services szoftverkörnyezet különféle szolgáltatások kezelésére: DBMS, Kubernetes -fürtök, virtuális szerverek a Yandex.Cloud infrastruktúrában. Itt veszi át a szolgáltatás a legtöbb biztonsági munkát. A Yandex.Cloud szoftver automatikusan biztosítja az összes biztonsági mentést, a biztonsági mentések titkosítását, a biztonsági rések kezelését és így tovább.

Eseménykezelő eszközök

Ahhoz, hogy időben reagálhassunk az információbiztonsági eseményekre, szükséges időben azonosítani a probléma forrását. Ehhez megbízható felügyeleti eszközöket kell használni, amelyeknek éjjel -nappal és megszakítás nélkül kell működniük. Az ilyen rendszerek elkerülhetetlenül erőforrásokat emésztenek fel, de a Yandex.Cloud nem helyezi át a biztonsági eszközök számítási teljesítményének költségeit a platformfelhasználókra.

Az eszköztár kiválasztásakor a Yandex -et egy másik fontos követelmény vezérelte: a 0 napos biztonsági rés sikeres kihasználása esetén az egyik támadó ne hagyja el az alkalmazás gazdagépét, míg a biztonsági csapatnak azonnal értesülnie kell az esetről, és reagálnia kell szükséges.

Végül, de nem utolsósorban az volt a kívánság, hogy minden eszköz nyílt forráskódú legyen. Ezeket a kritériumokat teljes mértékben teljesíti az AppArmor + Osquery csomag, amelyet úgy döntöttek, hogy a Yandex.Cloud -ban fogják használni.

AppArmor

Az AppArmor -t fentebb említettük: ez egy proaktív védelmi szoftver, amely testreszabható biztonsági profilokon alapul. A profilok a kötelező hozzáférés -vezérlési (MAC) adatvédelmi címkézési technológiát használják, amely az LSM használatával valósul meg közvetlenül a Linux kernelben a 2.6 -os verzió óta. A Yandex fejlesztői az alábbi okok miatt választották az AppArmort:

• könnyű és gyors, mivel az eszköz a Linux kernel egy részén alapul;
• ez egy nyílt forráskódú megoldás;
• Az AppArmor nagyon gyorsan telepíthető Linuxon anélkül, hogy bármilyen kódot írna;
• rugalmas konfiguráció lehetséges konfigurációs fájlok használatával.

Osquery

Az Osquery a Facebook által kifejlesztett rendszerbiztonsági megfigyelő eszköz, amelyet ma már számos IT -iparban sikeresen használnak. Ugyanakkor az eszköz platformok közötti és nyílt forráskódú.

Az Osquery segítségével információkat gyűjthet az operációs rendszer különböző összetevőinek állapotáról, összegyűjtheti, átalakíthatja szabványos JSON formátumba, és elküldheti a kiválasztott címzettnek. Ez az eszköz lehetővé teszi szabványos SQL lekérdezések írását és küldését az alkalmazáshoz, amelyek a rocksdb adatbázisban vannak tárolva. Személyre szabhatja a kérelmek végrehajtásának vagy feldolgozásának gyakoriságát és feltételeit.

A szabványos táblázatok már számos funkciót implementáltak, például beszerezheti a rendszeren futó folyamatok listáját, a telepített csomagokat, az iptables szabályainak aktuális készletét, a crontab entitásokat stb. A rendszerből megvalósult a rendszermag -ellenőrzési rendszer eseményeinek fogadásának és elemzésének támogatása (a Yandex.Cloud alkalmazásban használják az AppArmor események kezelésére).

Maga az Osquery C ++ nyelven van írva, és nyílt forráskóddal terjeszthető, módosíthatja őket, és mindkettő új táblákat adhat hozzá a fő kódbázishoz, és saját kiterjesztéseket hozhat létre a C, Go vagy Python alkalmazásban.

Az Osquery hasznos tulajdonsága az elosztott lekérdezési rendszer jelenléte, amellyel valós időben hajthat végre lekérdezéseket a hálózat összes virtuális gépére. Ez például akkor lehet hasznos, ha egy csomag biztonsági rését találja: egyetlen lekérdezéssel listát kaphat azokról a gépekről, amelyekre ez a csomag telepítve van. Ezt a funkciót széles körben használják bonyolult infrastruktúrájú nagy elosztott rendszerek adminisztrálásakor.

következtetéseket

Ha visszatérünk a cikk elején leírt történethez, látni fogjuk, hogy alaptalannak bizonyultak azok a félelmek, amelyek miatt hőseink megtagadták az infrastruktúra felhőplatformon történő telepítését. Legalábbis ami a Yandex.Cloud -ot illeti. A Yandex által létrehozott felhőinfrastruktúra biztonsága többrétegű, echeloned architektúrával rendelkezik, és ezért magas szintű védelmet nyújt a jelenleg ismert fenyegetések többsége ellen.

Ugyanakkor a hardver rutin karbantartása és a Yandex által vállalt felügyeleti és eseményfigyelmeztető rendszerek által felhasznált erőforrásokért fizetett megtakarítások miatt a Yandex.Cloud használata jelentősen pénzt takarít meg a kis- és középvállalkozások számára. Természetesen az informatikai részleg vagy az információbiztonságért felelős részleg teljes elhagyása (különösen akkor, ha mindkét szerepkör egy csapatba kerül) nem fog működni. A Yandex.Cloud azonban jelentősen csökkenti a munkaerőköltségeket és a rezsiköltségeket.

Mivel a Yandex.Cloud biztonságos infrastruktúrát biztosít ügyfeleinek minden szükséges biztonsági eszközzel, az üzleti folyamatokra összpontosíthatnak, a hardver karbantartását és felügyeletét pedig a szolgáltatóra bízzák. Ez nem szünteti meg a virtuális gépek, adatbázisok és alkalmazások jelenlegi adminisztrációjának szükségességét, de a feladatok ilyen skáláját mindenképpen meg kell oldani. Általánosságban elmondhatjuk, hogy a Yandex.Cloud nemcsak pénzt, hanem időt is megtakarít. A második pedig, ellentétben az elsővel, pótolhatatlan erőforrás.

GRIGORIEV1 Vitalij Robertovics, a műszaki tudományok kandidátusa, docens KUZNETSOV2 Vladimir Sergeevich

A sérülékenység azonosításának problémái egy felhőalapú számítási modellben

A cikk áttekintést nyújt a felhőalapú számítástechnikai koncepcionális modell felépítésének módszereiről, valamint összehasonlítja a meglévő nézeteket az ezen modell alapján épített rendszerekben rejlő biztonsági rések azonosításával kapcsolatban. Kulcsszavak: számítási felhő, sebezhetőség, fenyegetésmag, virtualizáció.

Ennek a cikknek az a célja, hogy áttekintést adjon a NIST Cloud Computing Reference Architecture -ben felvázolt koncepcionális felhőalapú számítási modell felépítésének módszereiről, és összehasonlítsa a vezető szervezetek véleményét e számítási modell sebezhetőségével kapcsolatban, valamint a felhőalapú számítástechnika piacának fő szereplői.

A felhőalapú számítástechnika olyan modell, amely kényelmes, igény szerinti hálózati hozzáférést biztosít a konfigurálható megosztott számítási erőforrásokhoz (hálózatok, kiszolgálók, adattárolók, alkalmazások és szolgáltatások), és minimális kezelési és szolgáltatói beavatkozással gyorsan megvalósítható. Ez a Nemzeti Szabványügyi Intézet (NIST) definíciója széles körben elfogadott az egész iparágban. A felhőalapú számítás meghatározása öt alapvető jellemzőt, három szolgáltatási modellt és négy telepítési modellt tartalmaz.

Öt fő jellemző

Önkiszolgálás igény szerint

A felhasználók a rendszergazdák segítsége nélkül szerezhetnek, irányíthatnak és kezelhetnek számítási erőforrásokat. Széles hálózati hozzáférés - A számítási szolgáltatásokat szabványos hálózatokon és heterogén eszközökön keresztül nyújtják.

Működési rugalmasság - 1T-

az erőforrások szükség esetén gyorsan irányíthatók bármely irányba.

Erőforráskészlet - Az informatikai erőforrásokat a különböző alkalmazások és felhasználók megosztott módban osztják meg.

A szolgáltatás költségének kiszámítása - az 1T erőforrás használatát rendszerint minden alkalmazás és felhasználó esetében nyomon követik, hogy a nyilvános felhő számlázását és a belső felhők használatáért fizetést biztosítsák.

Három szolgáltatási modell

Szoftver szolgáltatásként (SaaS) - Általában az alkalmazásokat a böngészőn keresztül szolgáltatásként szállítják a végfelhasználóknak. Napjainkban több száz SaaS kínálat létezik, a horizontális vállalati alkalmazásoktól az iparágra jellemző ajánlatokon át, valamint a fogyasztói alkalmazásokig, például az e-mailig.

Platform szolgáltatásként (PaaS) - Alkalmazásfejlesztési és -telepítési platform szolgáltatást nyújt a fejlesztőknek SaaS alkalmazások létrehozásához, telepítéséhez és kezeléséhez. Általában a platform adatbázisokat, köztes szoftvereket és fejlesztőeszközöket tartalmaz, amelyek mindegyike szolgáltatást nyújt az interneten keresztül. A PaaS gyakran olyan programozási nyelvet vagy API -t céloz meg, mint a Java vagy a Python. A virtualizált, fürtözött elosztott számítási architektúra gyakran szolgál a rendszerek alapjául

1 - MSTU MIREA, az Információbiztonsági Tanszék docense;

2 - Moszkvai Állami Radioelektronikai és Automatizálási Egyetem (MSTU MIREA), hallgató.

Paradicsom, mivel a hálózati erőforrás rácsszerkezete biztosítja a szükséges rugalmas skálázhatóságot és erőforrás -összevonást. Infrastruktúra mint szolgáltatás (IaaS) - A kiszolgálók, a tároló és a hálózati hardverek szolgáltatásként állnak rendelkezésre. Ez az infrastruktúra hardver gyakran virtualizált, ezért a virtualizáció, a felügyelet és az operációs rendszer szoftvere is a LaaR része.

Négy telepítési modell

Privát felhők - egyetlen szervezet kizárólagos használatára tervezték, és jellemzően privát adatközpontok ellenőrzik, kezelik és tárolják. A privát felhők tárolását és kezelését külső szolgáltatóhoz lehet kiszervezni, de gyakran

Az új felhő egyetlen szervezet kizárólagos használatában marad. Nyilvános felhők - sok szervezet (felhasználó) megosztja, külső szolgáltatók karbantartják és kezelik.

Csoportfelhők - A kapcsolódó szervezetek egy csoportja használja, akik ki akarják használni a megosztott felhőalapú számítástechnikai környezet előnyeit. Például egy csoport a katonaság különböző ágaiból, egy adott régió összes egyeteméből vagy egy nagy gyártó összes beszállítójából állhat.

Hibrid felhők - akkor jelennek meg, ha egy szervezet privát és nyilvános felhőt is használ ugyanahhoz az alkalmazáshoz, hogy kihasználja mindkettőt. Például egy "vihar" forgatókönyvben a szervezet-felhasználó az alkalmazás szabványos terhelése esetén

privát felhőt használ, és amikor a terhelés tetőzik, például negyedév végén vagy az ünnepi időszakban, kihasználja a nyilvános felhő potenciálját, ezt követően visszaadja ezeket az erőforrásokat az általános készlethez, amikor nincs rájuk szükség.

Ábrán. Az 1. ábra a felhőalapú számítás fogalmi modelljét mutatja be a "NIST Cloud Computing Reference Architecture" dokumentum szerint. Ábrán látható módon. A szabvány 1 modellje kiemeli a felhőrendszer fő résztvevőit: felhőfogyasztót, felhőszolgáltatót, felhőauditort, felhőközvetítőt, felhőközvetítőt. Minden résztvevő egy személy vagy szervezet, aki saját feladatait látja el a felhőalapú számítástechnika megvalósításában vagy biztosításában. Felhőfelhasználó - olyan személy vagy szervezet, aki üzleti interakciót folytat másokkal

Felhőfogyasztó

Felhő auditor

C Biztonsági ellenőrzés L I J

I A bizalmas kezelés ellenőrzése I J

(A nyújtott szolgáltatások ellenőrzése |

Felhőszolgáltató

Szintek komplexuma

Egyéni szint

^ Szolgáltatás szolgáltatásként ^ ^ Platform szolgáltatásként ^ Infrastruktúra szolgáltatásként)

Absztrakciós szint

Fizikai réteg

Felhőszolgáltatás

^ J támogatás ^ J testreszabás

Hordozhatóság

Felhőközvetítő

Felhőközvetítő

Rizs. 1. A NIST szakemberei által kifejlesztett koncepcionális modell

tori hálózatra, és felhőalapú szolgáltatók szolgáltatásait használja. Felhőszolgáltató - olyan személy, szervezet vagy bárki, aki felelős az érdeklődő fogyasztóknak nyújtott szolgáltatások elérhetőségéért. Felhőaudit - olyan résztvevő, aki független értékeléseket végezhet a felhőszolgáltatásokról, szolgáltatásokról és a felhőalapú implementáció biztonságáról. A felhőközvetítő olyan résztvevő, aki kezeli a felhőszolgáltatások használatát, teljesítményét és a fogyasztóhoz való eljuttatását, valamint tárgyal a felhőszolgáltatók és a felhőfogyasztók közötti interakciókról. Felhőközvetítő - Közvetítő, amely kommunikációt és felhőszolgáltatásokat biztosít a felhőszolgáltatók és a felhőfelhasználók között.

A felhőalapú számítástechnika előnyei és kihívásai

Az informatikusok közelmúltbeli felmérései azt mutatják, hogy a felhőalapú számítástechnika két fő előnyt kínál az elosztott szolgáltatások szervezése során - a sebességet és a költségeket. A számítástechnikai erőforrások tárházához való autonóm hozzáféréssel a felhasználókat néhány perc alatt bevonhatják az őket érdeklő folyamatokba, és nem hetekben vagy hónapokban, mint a múltban. A rugalmasan méretezhető Grid számítási környezetnek köszönhetően a számítási kapacitás is gyorsan változik. Mivel a felhőalapú számítástechnikában a felhasználók csak azért fizetnek, amit használnak, és a skálázhatóság és az automatizálás magas szintet ér el, a nyújtott szolgáltatások költségének és hatékonyságának aránya is nagyon vonzó tényező a cserefolyamatok minden résztvevője számára.

Ugyanezek a közvélemény -kutatások azt mutatják, hogy számos komoly meggondolás gátolja egyes vállalatokat abban, hogy átálljanak a felhőbe. Ezen megfontolások között a felhőalapú számítástechnika biztonsága messze vezető.

A felhőrendszerek biztonságának megfelelő értékelése érdekében célszerű feltárni a fő piaci szereplők ezen a területen fenyegető nézeteit. Összehasonlítjuk a NIST Cloud Computing Standards Roadmap -ban bemutatott jelenlegi felhőfenyegetési megközelítéseket az IBM, az Oracle és a VmWare által kínált megközelítésekkel.

US National Standards Institute Cloud Computing Security Standard

A NIST által elfogadott NIST Cloud Computing Standards Roadmap kiterjed a felhőalapú számítástechnikai szolgáltatások elleni lehetséges támadások lehetséges típusaira:

♦ veszélyezteti a felhőszolgáltatók által továbbított adatok bizalmasságát és elérhetőségét;

♦ támadások, amelyek a felhőalapú számítástechnikai környezet szerkezeti jellemzőiből és képességeiből fakadnak, hogy fokozzák és növeljék a támadások okozta károkat;

♦ jogosulatlan hozzáférés a fogyasztókhoz (helytelen hitelesítés vagy engedélyezés, vagy rendszeres karbantartás révén bevezetett biztonsági rések révén) a felhőszolgáltatás által felhatalmazott fogyasztó által használt szoftverekhez, adatokhoz és erőforrásokhoz;

♦ a hálózati támadások, például a DoS, szoftverek kihasználása, amelyek fejlesztése során nem vették figyelembe az elosztott internetes erőforrások fenyegetési modelljét, valamint a magánhálózatokról elérhető erőforrások sebezhetőségét;

♦ korlátozott lehetőségek az adatok titkosítására olyan környezetben, ahol nagy a résztvevők száma;

♦ a nem szabványos API-k használatából eredő hordozhatóság, amelyek megnehezítik a felhőfelhasználók számára, hogy új felhőszolgáltatóhoz válasszanak, ha a rendelkezésre állási követelmények nem teljesülnek;

♦ támadások, amelyek kihasználják a felhőforrások fizikai elvonását, és kihasználják az ellenőrzési nyilvántartások és eljárások hibáit;

♦ a nem megfelelően frissített virtuális gépek elleni támadások;

♦ támadások, amelyek kihasználják a globális és magán biztonsági politikák következetlenségeit.

A szabvány kiemeli a felhőalapú számítástechnika fő biztonsági céljait is:

♦ a felhasználói adatok védelme az illetéktelen hozzáférés, nyilvánosságra hozatal, módosítás vagy megtekintés ellen; magában foglalja az azonosító szolgáltatás támogatását oly módon, hogy a fogyasztó képes legyen azonosítási és hozzáférés -ellenőrzési szabályzatokat végrehajtani a felhőszolgáltatásokhoz hozzáférő jogosult felhasználóknál; ez a megközelítés magában foglalja a fogyasztó azon képességét, hogy szelektíven hozzáférést biztosítson adataihoz más felhasználók számára;

♦ védelem az ellátási lánc fenyegetései ellen; magában foglalja a szolgáltató bizalmának és megbízhatóságának megerősítését ugyanolyan mértékben, mint a használt szoftverek és hardverek iránti bizalom mértékét;

♦ a felhőalapú számítási erőforrásokhoz való jogosulatlan hozzáférés megakadályozása; magában foglalja az erőforrásoktól logikailag elkülönített biztonságos tartományok létrehozását (például az ugyanazon fizikai kiszolgálón futó munkaterhelések logikai elválasztását hipervizoron keresztül több bérlői környezetben) és biztonságos alapértelmezett konfigurációk használatát;

♦ a felhőben telepített webes alkalmazások fejlesztése az elosztott internetes erőforrások fenyegetési modellje számára, valamint a biztonsági funkciók integrálása a szoftverfejlesztési folyamatba;

♦ az internetes böngészők védelme a támadásokkal szemben a végfelhasználói biztonsági gyengeségek enyhítése érdekében; magában foglalja a személyi számítógépek internetkapcsolatának védelmét biztosító intézkedések megtételét biztonságos szoftverek, tűzfalak (tűzfalak) és frissítések rendszeres telepítése révén;

♦ beléptető és behatolásjelző technológiák bevezetése

niy egy felhőszolgáltatótól, és független értékelést kell végezni ezek elérhetőségének ellenőrzésére; magában foglalja (de nem kizárólagosan) a hagyományos kerületi biztonsági intézkedéseket egy tartomány biztonsági modelljével kombinálva; A hagyományos kerületbiztonság magában foglalja a hálózathoz és eszközökhöz való fizikai hozzáférés korlátozását, az egyes komponensek védelmét a kizsákmányolástól a frissítések telepítésével, a legtöbb biztonsági beállítás alapértelmezett beállítását, az összes használaton kívüli port és szolgáltatás letiltását, szerepköralapú hozzáférés-vezérlést, ellenőrzési rekordok figyelését, a használt jogosultságok minimalizálását. , víruskereső csomagok és titkosított kapcsolatok használata;

♦ megbízható határok meghatározása a szolgáltató (k) és a fogyasztók között annak biztosítása érdekében, hogy a biztonság biztosításáért felhatalmazott felelősség egyértelmű legyen;

♦ a hordozhatóság támogatása, annak érdekében, hogy a fogyasztónak lehetősége legyen felhőszolgáltatót váltani azokban az esetekben, amikor meg kell felelnie az integritás, a rendelkezésre állás és a bizalmas kezelés követelményeinek; ez magában foglalja azt a lehetőséget, hogy pillanatnyilag bezárja a fiókot, és adatokat másolhat egyik szolgáltatótól a másikhoz.

Így a NIST által elfogadott NIST Cloud Computing Standards Roadmap meghatározza a felhőrendszerek elleni támadások alapvető listáját és az alapvető feladatok listáját, amelyeket

jelentkezéssel kezelik

megfelelő intézkedéseket.

Fogalmazzuk meg a felhőrendszer információbiztonságát fenyegető veszélyeket:

♦ U1 - fenyegetés (kompromisszum, rendelkezésre állás stb.) Az adatokra;

♦ U2 - az architektúra strukturális jellemzői és képességei által generált fenyegetések az elosztott számítástechnika megvalósításához;

♦ U4 - helytelen fenyegetési modellel társított fenyegetések;

♦ U5 - a titkosítás helytelen használatával kapcsolatos fenyegetések (a titkosítást olyan környezetben kell használni, ahol több adatfolyam van);

♦ U6 - fenyegetések, amelyek a nem szabványos API -k használatához kapcsolódnak a fejlesztés során;

♦ U7 - virtualizációs fenyegetések;

♦ U8 - fenyegetések, amelyek kihasználják a globális biztonsági politikák következetlenségeit.

Az IBM perspektívája a felhőalapú számítástechnika biztonságáról

Felhőbiztonsági útmutatás Az IBM ajánlásai a Cloud Security megvalósításához lehetővé teszik számunkra, hogy következtetéseket vonjunk le az IBM biztonsági elképzeléseiről. E dokumentum alapján kibővíthetjük a fenyegetések korábban javasolt listáját, nevezetesen:

♦ U9 - fenyegetések, amelyek harmadik személyek fizikai erőforrásokhoz \ rendszerekhez való hozzáférésével kapcsolatosak;

♦ U10 - a személyes adatok helytelen megsemmisítésével (életciklusával) kapcsolatos fenyegetések;

♦ U11 - a feldolgozott információkra vonatkozó regionális, nemzeti és nemzetközi jogszabályok megsértésével kapcsolatos fenyegetések.

IBM, Oracle és VmWare megközelítések a felhőalapú számítástechnikai biztonsághoz

Ezeknek a vállalatoknak a dokumentációja, amely leírja nézeteiket a saját rendszereik biztonságáról, alapvetően nem tér el a fenti fenyegetésektől.

asztal 1 felsorolja a vállalatok által termékeikben megfogalmazott biztonsági rések fő osztályait. Tab. 1 lehetővé teszi, hogy láthassa a fenyegetések teljes lefedettségének hiányát a vizsgált vállalatokban, és megfogalmazza a vállalatok által a felhőrendszereikben létrehozott "fenyegetések magját":

♦ adatokkal való fenyegetés;

♦ az elosztott számítástechnika szerkezetén és képességein alapuló fenyegetések;

♦ helytelen fenyegetési modellhez kapcsolódó fenyegetések;

♦ virtualizációs fenyegetések.

Következtetés

A felhőplatform sebezhetőségeinek főbb osztályait áttekintve arra a következtetésre juthatunk, hogy jelenleg nincsenek kész megoldások a felhő teljes körű védelmére, mivel ezeket a biztonsági réseket használó támadások sokfélék.

Meg kell jegyezni, hogy a sérülékenységi osztályok felépített táblázata (1. táblázat), amely integrálja a vezető megközelítéseit

1. táblázat: A sérülékenység osztályai

Forrás deklarált veszélyek

U1 U2 U3 U4 U5 U6 U7 U8 U9 U10 U11

NIST + + + + + + + + - - -

IBM + + + + + - + - + + +

Sun / Oracle + + + + - - + - - + -

VmWare + + + + - - + - - - -

a játékosok ezen ágazata nem korlátozódik a benne fenyegetésekre. Például nem tükrözi azokat a fenyegetéseket, amelyek a különböző szintű adatbiztonságú környezetek közötti határok elmosásával, valamint a szolgáltatás fogyasztója és a felhőszolgáltató közötti információbiztonsági felelősség határainak elmosásával járnak.

Nyilvánvalóvá válik, hogy egy összetett felhőrendszer megvalósításához védelmet kell kialakítani egy konkrét megvalósításhoz. A biztonságos számítástechnika virtuális környezetben történő megvalósításában fontos szerepet játszik továbbá az FSTEC és az FSB szabványok hiánya a felhőrendszerek számára. Ésszerű a tanulmány munkájában kiemelt „fenyegetések magját” használni

a sebezhetőségi osztályok egységes modelljének felépítése. Ez a cikk áttekintő jellegű, a jövőben azt tervezik, hogy részletesen elemezni fogják a virtualizációhoz kapcsolódó fenyegetési osztályokat, és olyan megközelítéseket dolgoznak ki egy védelmi rendszer létrehozására, amely potenciálisan megakadályozza ezeknek a veszélyeknek a megvalósítását

Irodalom

1. Felhőbiztonsági útmutató IBM ajánlásai a Cloud Security megvalósításához, ibm.com/redbooks, 2009. november 2.

2.http: //www.vmware.com/technical-resources/security/index.html.

3. NIST felhő. Számítási referenciaépítészet, Nemzeti Szabványügyi Intézet és. Technológia, Különleges kiadvány. 500-292, 2011. szeptember.

4. NIST felhő. Számítási szabványok ütemterve, Nemzeti Szabványügyi Intézet és. Technológia, Különleges kiadvány. 500-291, 2011. július.

5.http: //www.oracle.com/technetwork/indexes/documentation/index.html.

A felhőalapú számítástechnika együttesen a könnyen használható és könnyen elérhető virtualizált erőforrások (például hardverrendszerek, szolgáltatások stb.) Nagy gyűjteményére utal. Ezek az erőforrások dinamikusan átcsoportosíthatók (méretezhetők), hogy alkalmazkodjanak a dinamikusan változó terheléshez, biztosítva az optimális erőforrás -kihasználást. Ezt az erőforráskészletet általában felosztó-kirovó alapon biztosítják. Ugyanakkor a felhő tulajdonosa garantálja a szolgáltatás minőségét a felhasználóval kötött bizonyos megállapodások alapján.

A fentieknek megfelelően a felhőalapú számítástechnika következő fő jellemzői különböztethetők meg:

1) a felhőalapú számítástechnika új paradigma a számítási erőforrások rendelkezésre bocsátására;

2) alapvető infrastrukturális erőforrásokat (hardver erőforrásokat, tárolórendszereket, rendszerszoftvereket) és alkalmazásokat nyújtanak szolgáltatásként;

3) ezeket a szolgáltatásokat független szolgáltató nyújthatja külső felhasználók számára felosztó-kirovó alapon, a felhőalapú számítástechnika fő jellemzői a virtualizáció és a dinamikus skálázhatóság;

4) felhőszolgáltatások nyújthatók a végfelhasználónak webböngészőn vagy egy speciális API -n (Application Programming Interface) keresztül.

Az általános felhőalapú számítási modell egy külső és egy belső részből áll. Ez a két elem hálózaton keresztül kapcsolódik össze, a legtöbb esetben az interneten keresztül. A külső részen keresztül a felhasználó kölcsönhatásba lép a rendszerrel; a belső része valójában maga a felhő. A kezelőfelület egy ügyfélszámítógépből vagy a vállalati számítógépek hálózatából és a felhő eléréséhez használt alkalmazásokból áll. A belső részt olyan alkalmazások, számítógépek, szerverek és adattárak képviselik, amelyek a szolgáltatások felhőjét hozzák létre a virtualizáció révén (1. ábra).

Amikor a meglévő fizikai virtuális gépeket (VM -eket) az adatközpontból (DC) külső felhőkbe helyezik, vagy a magánfelhők biztonságos körzetén kívül nyújtanak informatikai szolgáltatásokat, a hálózati kerület teljesen értelmetlenné válik, és a teljes biztonsági szint meglehetősen alacsony lesz.

Míg a hagyományos adatközpontokban a mérnökök szerverhez való hozzáférését fizikai szinten szigorúan ellenőrzik, míg a felhőalapú számítástechnikában a mérnökök hozzáférése az interneten keresztül történik, ami a megfelelő fenyegetések megjelenéséhez vezet. Ennek megfelelően kritikus fontosságú a rendszergazdák szigorú hozzáférés -ellenőrzése, valamint a változások ellenőrzésének és átláthatóságának biztosítása rendszerszinten.

A virtuális gépek dinamikusak. A virtuális gépek ingadozása nagyon megnehezíti az koherens biztonsági rendszer létrehozását és fenntartását. A sebezhetőségek és a konfigurációs hibák irányítás nélkül terjedhetnek. Ezenkívül nagyon nehéz rögzíteni a védelem állapotát egy adott időpontban a későbbi ellenőrzéshez.

A felhőalapú számítógépes kiszolgálók ugyanazt az operációs rendszert és ugyanazokat a webes alkalmazásokat használják, mint a helyszíni virtuális és fizikai szerverek. Ennek megfelelően a felhőrendszerek esetében a távoli hackelés vagy a rosszindulatú programok fertőzésének veszélye ugyanolyan magas.

Egy másik fenyegetés az adatok integritásának veszélye: kompromisszum és adatlopás. Figyelemmel kell kísérni az operációs rendszer és az alkalmazásfájlok integritását, valamint a belső tevékenységeket.

A több bérlőből álló felhőszolgáltatások használata megnehezíti a szabványok és törvények követelményeinek való megfelelést, beleértve a kriptográfiai eszközök használatára vonatkozó követelményeket, az érzékeny információk, például a hitelkártya tulajdonosára vonatkozó információk és a személy. Ez pedig félelmetes feladatot jelent, hogy megbízható védelmet és biztonságos hozzáférést biztosítson az érzékeny adatokhoz.

A felhőalapú számítástechnika lehetséges fenyegetéseinek elemzése alapján a felhőalapú számítástechnika lehetséges hardver- és szoftverkomplex biztonsági védelmét javasolják, amely 5 technológiát tartalmaz: tűzfal, behatolás -észlelés és -megelőzés, integritás -ellenőrzés, naplóelemzés és kártékony szoftverek elleni védelem.

A felhőalapú számítástechnikai szolgáltatók a virtualizáció segítségével biztosítják ügyfeleik számára az alacsony költségű számítási erőforrásokhoz való hozzáférést. Ugyanakkor az ügyfél virtuális gépek ugyanazokat a hardver erőforrásokat használják, ami a legnagyobb gazdasági hatékonyság eléréséhez szükséges. Azoknak a vállalati ügyfeleknek, akik érdeklődnek a felhőalapú számítástechnika iránt, hogy bővítsék belső informatikai infrastruktúrájukat, figyelembe kell venniük a fenyegetéseket, amelyeket egy ilyen lépés jelent. Az adatfeldolgozó központok hálózati védelmének hagyományos mechanizmusain kívül olyan biztonsági megközelítéseket alkalmazva, mint: él tűzfal, demilitarizált zónák, hálózatok szegmentálása, hálózati állapotfigyelő, behatolásjelző és -megelőző rendszerek, szoftveres adatvédelmi mechanizmusokat is alkalmazni kell a virtualizációs szervereken, ill. VM, mivel a virtuális gépek nyilvános felhőszolgáltatásokba való áthelyezésével a vállalati hálózat kerülete fokozatosan elveszíti értelmét, és a legkevésbé védett csomópontok jelentősen befolyásolják a biztonság általános szintjét. A biztonsági hardver fizikai elválasztásának és a virtuális gépek közötti támadások visszaszorításának lehetetlensége miatt a védelmi mechanizmust a virtualizációs szerverre vagy magukra a virtuális gépekre kell elhelyezni. A leghatékonyabb módja az integritás védelmének, a szabályozási követelményeknek és a biztonsági házirendek, amikor a virtuális erőforrásokat az intranetről a felhőbe helyezi át.

Irodalom:

1. Radcsenko G.I. Elosztott számítási rendszerek // Oktatóanyag. - 2012 .-- S. 146-149.

2. Kondrashin M. Cloud computing biztonsága // Storage News. - 2010. - 1. sz.

Tanfolyam fegyelem szerint

Információbiztonsági szoftver és hardver

"Információbiztonság a felhőalapú számítástechnikában: sebezhetőségek, védelmi módszerek és eszközök, eszközök az ellenőrzéshez és az incidensek kivizsgálásához."

Bevezetés

1. Történet és legfontosabb fejlesztési tényezők

2. A számítási felhő definíciója

3. Referencia architektúra

4. Szolgáltatási szintű megállapodás

5. A felhőalapú számítástechnika védelmi módszerei és eszközei

6. A felhőmodellek biztonsága

7. Biztonsági ellenőrzés

8. A felhőalapú számítástechnikai események és a kriminalisztika vizsgálata

9. Fenyegetési modell

10. Nemzetközi és hazai szabványok

11. Az adatok területi azonossága

12. Állami szabványok

13. Felhőbiztonsági eszközök

14. Gyakorlati rész

Kimenet

Irodalom

Bevezetés

A felhőalapú számítástechnika növekvő sebességét az magyarázza, hogy kevés, általában pénzért az ügyfél a legmegbízhatóbb infrastruktúrához, a szükséges teljesítményhez fér hozzá anélkül, hogy drága számítógépeket kellene vásárolnia, telepítenie és karbantartania. A rendszer eléri a 99,9% -ot , ami számítási erőforrásokat is megtakarít. ... És ami még fontosabb - szinte korlátlan skálázási lehetőségek. Ha rendszeres tárhelyet vásárol, és megpróbál átugrani a fejét (a terhelés éles megugrásával), fennáll annak a veszélye, hogy több órára leesett szolgáltatást kap. A felhőben kérésre további erőforrások állnak rendelkezésre.

A felhőalapú számítástechnika fő problémája a feldolgozott információk nem garantált biztonsági szintje, az erőforrások védelmének mértéke és gyakran a teljesen hiányzó szabályozási keret.

A tanulmány célja az lesz, hogy áttekintést nyújtson a meglévő felhőalapú számítástechnikai piacról és azok biztonságának biztosítására szolgáló eszközökről.

felhőalapú számítástechnikai biztonsági információk

1. Történet és legfontosabb fejlesztési tényezők

Az elképzelést, amit ma felhőalapú számítástechnikának nevezünk, először J. C. R. Licklider hangoztatta 1970 -ben. Ezekben az években ő volt felelős az ARPANET (Advanced Research Projects Agency Network) létrehozásáért. Az elképzelése az volt, hogy a földön minden ember csatlakozik egy hálózathoz, ahonnan nemcsak adatokat, hanem programokat is kap. Egy másik tudós, John McCarthy felvetette azt az elképzelést, hogy a számítási teljesítmény szolgáltatást (szolgáltatást) kap a felhasználók számára. Erre tekintettel a felhőalapú technológiák fejlesztését a 90 -es évekig felfüggesztették, ezt követően számos tényező hozzájárult a fejlődéséhez.

Az internet sávszélességének bővülése a 90 -es években nem tette lehetővé a számottevő ugrást a felhőtechnológia fejlődésében, mivel szinte egyetlen akkori vállalat és technológia sem volt erre kész. Az Internet felgyorsulásának ténye azonban lendületet adott a felhőalapú számítástechnika korai fejlesztésének.

2. Ezen a területen az egyik legjelentősebb fejlemény a Salesforce.com megjelenése volt 1999 -ben. Ez a cég lett az első olyan cég, amely az oldalon keresztül hozzáférést biztosított az alkalmazásához. Valójában ez a vállalat lett az első olyan cég, amely szoftverét szolgáltatásként (SaaS) szolgáltatta.

A következő lépés egy felhőbeli webszolgáltatás fejlesztése volt az Amazon által 2002 -ben. Ez a szolgáltatás lehetővé tette az információk tárolását és a számítások elvégzését.

2006 -ban az Amazon elindította az Elastic Compute cloud (EC2) nevű szolgáltatást webszolgáltatásként, amely lehetővé tette a felhasználók számára, hogy saját alkalmazásaikat futtassák. Az Amazon EC2 és az Amazon S3 voltak az első elérhető számítási felhőszolgáltatások.

A felhőalapú számítástechnika fejlődésének újabb mérföldköve az volt, hogy a Google létrehozta a Google Apps platformot az üzleti szféra webes alkalmazásaihoz.

A virtualizációs technológiák jelentős szerepet játszottak a felhőalapú technológiák fejlesztésében, különösen olyan szoftverek, amelyek lehetővé teszik virtuális infrastruktúra létrehozását.

A hardver fejlesztése nem annyira a felhőalapú technológiák gyors növekedéséhez járult hozzá, hanem ahhoz, hogy ez a technológia elérhető legyen a kisvállalkozások és magánszemélyek számára. Ami a technológiai fejlődést illeti, ebben jelentős szerepet játszott a többmagos processzorok létrehozása és az adattároló eszközök kapacitásának növelése.

2. A számítási felhő definíciója

Az Egyesült Államok Nemzeti Szabványügyi és Technológiai Intézete szerint:

Felhő alapú számítástechnika (Felhő alapú számítástechnika) (angolFelhő - felhő; számítástechnika- számítástechnika) olyan modell, amely szükség esetén mindenütt jelenlévő és kényelmes hálózati hozzáférést biztosít a konfigurálható számítási erőforrások (például hálózatok, szerverek, tárolórendszerek, alkalmazások és szolgáltatások) megosztott készletéhez, amelyek minimális felügyeleti erőfeszítéssel és interakcióval gyorsan létrehozhatók és kiadhatók szolgáltatóval (szolgáltató).

A felhőmodell támogatja a szolgáltatások magas rendelkezésre állását, és öt alapvető jellemző, három szolgáltatás / szolgáltatás modell és négy telepítési modell írja le.

A programok elindulnak, és a munka eredményeit a helyi számítógép szabványos webböngésző ablakában jelenítik meg, míg az összes alkalmazás és a munkájukhoz szükséges adat az internet távoli kiszolgálóján található. A felhőalapú számítógépeket "számítási felhőnek" nevezik. Ebben az esetben a "számítási felhő" -be tartozó számítógépek közötti terhelés automatikusan eloszlik. A felhőalapú számítás legegyszerűbb példája a p2p hálózatok.

A felhőalapú számítástechnika megvalósításához speciális technológiákkal létrehozott köztes szoftvert használnak. Közbenső összeköttetésként szolgálnak a berendezés és a felhasználó között, és nyomon követik a berendezések és programok állapotát, egyenlő terheléselosztást és az erőforrások időben történő rendelkezésre bocsátását egy közös készletből. Az egyik ilyen technológia a virtualizáció a számítástechnikában.

Virtualizáció a számítástechnikában- a számítási erőforrások vagy azok logikai kombinációjának képviseletének folyamata, amely bármilyen előnnyel jár az eredeti konfigurációval szemben. Ez egy új virtuális nézet az alkotóelemek erőforrásairól, nem korlátozva a megvalósításra, a fizikai konfigurációra vagy a földrajzi elhelyezkedésre. Általában a virtualizált erőforrások közé tartozik a számítási teljesítmény és az adattárolás. Tudományos szempontból a virtualizáció a számítási folyamatok és az erőforrások elkülönítése egymástól.

A virtualizáció példája a szimmetrikus többprocesszoros számítógép -architektúrák, amelyek egynél több processzort használnak. Az operációs rendszereket általában úgy konfigurálják, hogy több processzor jelenjen meg egyetlen processzor egységként. Ezért írhatók szoftveralkalmazások egyetlen logikai ( virtuális) számítási modul, amely sokkal könnyebb, mint nagyszámú különböző processzorkonfigurációval dolgozni.

A különösen nagy és erőforrás-igényes számításokhoz rácsszámításokat használnak.

Rácsos számítás (rács - rács, hálózat) az elosztott számítástechnika egy olyan formája, amelyben a "virtuális szuperszámítógép" a hálózatba kötött, lazán csatolt, heterogén számítógépek csoportjaként van ábrázolva, amelyek hatalmas feladatok (műveletek, feladatok) elvégzésére dolgoznak együtt.

Ezt a technológiát olyan tudományos és matematikai problémák megoldására használják, amelyek jelentős számítási erőforrásokat igényelnek. A rácsos számítást a kereskedelmi infrastruktúrában is használják olyan időigényes feladatok megoldására, mint a gazdasági előrejelzés, a szeizmikus elemzés, valamint az új gyógyszerek tulajdonságainak fejlesztése és tanulmányozása.

Hálózati szervezet szempontjából a rács következetes, nyílt és szabványosított környezet, amely rugalmas, biztonságos, összehangolt szétválasztást biztosít a környezet részét képező számítási és tárolási erőforrások egyetlen virtuális szervezeten belül.

Paravirtualizáció Ez egy olyan virtualizációs technika, amely a virtuális gépeket a mögöttes hardverhez hasonló, de nem azonos programozási felülettel látja el. Ennek a módosított felületnek az a célja, hogy csökkentse a vendég operációs rendszer által a virtuális környezetben sokkal nehezebben végrehajtható műveletek elvégzésére fordított időt, mint egy nem virtualizált környezetben.

Vannak speciális horgok, amelyek lehetővé teszik, hogy a vendég és a házigazda kérje és nyugtázza ezeket az összetett feladatokat, amelyeket virtuális környezetben is meg lehet tenni, de sokkal lassabban.

Hipervizor ( vagy Virtuális gép monitor) - számítógépekben olyan program vagy hardver séma, amely lehetővé teszi vagy lehetővé teszi több vagy akár sok operációs rendszer egyidejű, párhuzamos végrehajtását ugyanazon a számítógépen. A hipervizor emellett biztosítja az operációs rendszer egymástól való elszigetelését, védelmét és biztonságát, az erőforrások megosztását a különböző futó operációs rendszerek között és erőforrás -kezelést.

A hipervizor az ugyanazon a számítógépen futó operációs rendszert kommunikációs és interakciós eszközökkel is elláthatja (de nem muszáj), mintha ezek az operációs rendszerek különböző fizikai eszközökön futnának. számítógépek.

Maga a hipervizor valamilyen módon minimális operációs rendszer (mikrokernel vagy nanokernel). Az irányítása alatt futó operációs rendszereket egy virtuális gép szolgáltatással látja el, virtualizálva vagy emulálva egy adott gép valódi (fizikai) hardverét, és kezeli ezeket a virtuális gépeket, kiosztva és felszabadítva az erőforrásokat számukra. A hipervizor lehetővé teszi az adott operációs rendszerrel rendelkező virtuális gépek független "bekapcsolását", újraindítását, "leállítását". A hipervizor irányítása alatt álló virtuális gépen futó operációs rendszer azonban képes, de nem kell "tudnia", hogy virtuális gépen fut, és nem valódi hardveren.

Felhőszolgáltatási modellek

A számítási teljesítmény biztosításának lehetőségei nagyon eltérőek. Mindent, ami a felhőalapú számítástechnikához kapcsolódik, általában aaS -nak hívják - egyszerűen "szolgáltatásként", azaz "szolgáltatásként" vagy "szolgáltatás formájában".

Szoftver szolgáltatásként (SaaS) - a szolgáltató használatra kész alkalmazást biztosít az ügyfélnek. Az alkalmazások számos kliens eszközről vagy vékony kliens felületen, például webböngészőn (például webmail) vagy programfelületeken keresztül érhetők el. Ugyanakkor a fogyasztó nem ellenőrzi a mögöttes felhőinfrastruktúrát, beleértve a hálózatokat, szervereket, operációs rendszereket, tárolórendszereket, sőt egyes felhasználói beállításokat is, néhány felhasználói alkalmazás konfigurációs beállítás kivételével.

A SaaS modellben az ügyfelek nem azért fizetnek, hogy a szoftvert magáévá tegyék, hanem bérelje azt (azaz webes felületen keresztül használja). Így a klasszikus szoftverlicencrendszerrel ellentétben az ügyfélnek viszonylag kis visszatérő költségei vannak, és nem kell jelentős pénzeszközöket befektetnie a szoftver megvásárlásához és annak támogatásához. Az időszakos fizetési rendszer feltételezi, hogy ha a szoftverre ideiglenesen nincs szükség, az ügyfél felfüggesztheti annak használatát, és befagyaszthatja a kifizetéseket a fejlesztőnek.

Fejlesztői szempontból az SaaS modell lehetővé teszi a szoftver engedély nélküli használata (kalózkodás) elleni hatékony küzdelmet, mivel maga a szoftver nem éri el a végfelhasználókat. Ezenkívül a SaaS koncepció gyakran csökkentheti az információs rendszerek telepítésének és bevezetésének költségeit.

Rizs. 1 Tipikus SaaS elrendezés

Platform mint szolgáltatás (PaaS) - a szolgáltató szoftver platformot és eszközöket kínál az ügyfélnek a felhasználói alkalmazások tervezéséhez, fejlesztéséhez, teszteléséhez és telepítéséhez. Ugyanakkor a fogyasztó nem ellenőrzi a mögöttes felhőinfrastruktúrát, beleértve a hálózatokat, szervereket, operációs rendszereket és tárolórendszereket, hanem ellenőrzi a telepített alkalmazásokat és esetleg a tárhelyi környezet egyes konfigurációs paramétereit.

Rizs. 2 Tipikus PaaS elrendezés

Infrastruktúra mint szolgáltatás (IaaS). - a szolgáltató bérleti számítástechnikai erőforrásokat kínál az ügyfélnek: szervereket, tárolórendszereket, hálózati berendezéseket, operációs rendszereket és rendszerszoftvereket, virtualizációs rendszereket, erőforrás -kezelő rendszereket. Ugyanakkor a fogyasztó nem a mögöttes felhőinfrastruktúrát irányítja, hanem az operációs rendszerek, a tárolórendszerek, a telepített alkalmazások felett, és esetleg korlátozott ellenőrzést gyakorol a hálózati összetevők (például egy tűzfalakkal rendelkező gazdagép) kiválasztása felett.

Rizs. 3 Tipikus IaaS elrendezés

Ezenkívül olyan szolgáltatásokat különböztet meg, mint:

Kommunikáció szolgáltatásként (Com -aaS) -érthető, hogy a kommunikációs szolgáltatásokat szolgáltatásként nyújtják; általában IP -telefonálás, levél és azonnali kommunikáció (chat, IM).

Felhőbeli adattárolás- a felhasználó bizonyos mennyiségű helyet biztosít az információk tárolására. Mivel az információkat elosztva és sokszorosítva tárolják, az ilyen tárolók sokkal nagyobb adatbiztonságot nyújtanak, mint a helyi szerverek.

Munkahely szolgáltatásként (WaaS) - a felhasználó, aki rendelkezésére áll egy nem eléggé erős számítógép, megvásárolhat számítási erőforrásokat a szállítótól, és számítógépét terminálként használhatja a szolgáltatás eléréséhez.

Antivírus felhő- az infrastruktúra, amely a felhasználóktól származó információk feldolgozására szolgál az új, korábban ismeretlen fenyegetések időben történő felismerése érdekében. A felhő -víruskereső nem igényel felesleges műveleteket a felhasználótól - egyszerűen elküldi a gyanús program vagy link kérését. A veszély megerősítése után az összes szükséges művelet automatikusan végrehajtódik.

Telepítési modellek

A telepítési modellek között 4 fő típusú infrastruktúra található.

Privát felhő - infrastruktúra, amelyet egy szervezet, köztük több fogyasztó (például egy szervezet divíziója), esetleg a szervezet ügyfelei és vállalkozói is használnak. A privát felhő tulajdonosa, üzemeltetője és üzemeltetője lehet a szervezetnek vagy egy harmadik félnek (vagy ezek kombinációjának), és fizikailag is létezhet a tulajdonos joghatóságán belül és kívül.

Rizs. 4 Privát felhő.

Nyilvános felhő - a nyilvánosság számára ingyenes használatra szánt infrastruktúra. A nyilvános felhő kereskedelmi, tudományos és állami szervezetek (vagy ezek kombinációi) tulajdonában, üzemeltetésében és üzemeltetésében állhat. A nyilvános felhő fizikailag a tulajdonos - a szolgáltató - joghatóságában létezik.

Rizs. 5 Nyilvános felhő.

Hibrid felhő - két vagy több különböző felhőinfrastruktúra (privát, nyilvános vagy nyilvános) kombinációja, amelyek egyedi objektumok maradnak, de szabványosított vagy privát technológiákkal vannak összekapcsolva az adatok és alkalmazások továbbítására (például a nyilvános felhőforrások rövid távú használata az egyensúly érdekében a felhők közötti terhelés).

Rizs. 6 Hibrid felhő.

Nyilvános felhő (közösségi felhő) - egyfajta infrastruktúra, amelyet közös célú szervezetek (pl. küldetés, biztonsági követelmények, irányelvek és különböző követelményeknek való megfelelés) szervezetekből származó fogyasztói közösségének szánnak. A nyilvános felhő egy vagy több közösségi szervezet vagy harmadik fél (vagy ezek kombinációja) tulajdonában, üzemeltetésében és üzemeltetésében lehet, és fizikailag is létezhet a tulajdonos joghatóságán belül és kívül.

Rizs. 7 A felhőtulajdonságok leírása

Alaptulajdonságok

A NIST a "The Cloud Computing NIST Definition" című dokumentumában a felhők következő jellemzőit határozza meg:

Igény szerinti önkiszolgálás. A fogyasztónak lehetősége van egyoldalúan, szükség szerint, automatikusan hozzáférni a biztosított számítási erőforrásokhoz, anélkül, hogy kapcsolatba kellene lépnie az egyes szolgáltatók alkalmazottaival.

Széles hálózati hozzáférés. A biztosított számítási erőforrások a hálózaton keresztül elérhetők különböző platformok, vékony és vastag ügyfelek (mobiltelefonok, táblagépek, laptopok, munkaállomások stb.) Szabványos mechanizmusain keresztül.

Az erőforrások összevonása (Resorts pooling). A szolgáltató számítási erőforrásai összevonva sok fogyasztót szolgálnak ki egy több bérlővel rendelkező modellben. A készletek különféle fizikai és virtuális erőforrásokat tartalmaznak, amelyek dinamikusan hozzárendelhetők és átrendezhetők az ügyfelek igényeinek kielégítésére. A fogyasztónak nem kell ismernie az erőforrások pontos helyét, de lehetőség van magasabb absztrakciós szinten megadni a helyüket (például ország, régió vagy adatközpont). Ilyen típusú erőforrások például a tárolórendszerek, a számítási teljesítmény, a memória és a hálózati sávszélesség.

Gyors rugalmasság. Az erőforrásokat rugalmasan lehet kiosztani és felszabadítani, bizonyos esetekben automatikusan, hogy a keresletnek megfelelően gyorsan méretezhető legyen. A fogyasztó számára az erőforrások biztosításának lehetőségeit korlátlannak látják, vagyis bármilyen mennyiségben és bármikor hozzárendelhetők.

Mért szolgáltatás. A felhőrendszerek automatikusan felügyelik és optimalizálják az erőforrásokat a különböző típusú szolgáltatásokhoz (például a külső memória, a feldolgozás, a sávszélesség vagy az aktív felhasználói munkamenetek kezelése) végrehajtott mérőeszközök segítségével. A felhasznált erőforrások figyelhetők és vezérelhetők, ami átláthatóságot biztosít a szolgáltató és a szolgáltatást igénybe vevő fogyasztó számára.

Rizs. 8 Felhőszerver szerkezeti diagramja

A felhőalapú számítástechnika előnyei és hátrányai

Előnyök

· A számítógép számítási teljesítményére vonatkozó követelmények csökkennek (elengedhetetlen feltétel csak az internet -hozzáférés elérhetősége);

· hibatűrés;

· Biztonság;

· Nagy sebességű adatfeldolgozás;

· Csökkentett hardver- és szoftverköltségek, karbantartás és áram;

· Lemezterület megtakarítása (mind az adatok, mind a programok az interneten vannak tárolva).

· Élő migráció - virtuális gép átvitele egyik fizikai szerverről a másikra a virtuális gép megszakítása és a szolgáltatások leállítása nélkül.

· 2010 végén, a DDoS támadások miatt, amelyek olyan vállalatok ellen támadtak, amelyek nem voltak hajlandók forrásokat biztosítani a WikiLeaks számára, kiderült a felhőalapú számítástechnika másik előnye. A WikiLeaks ellen minden vállalatot megtámadtak, de csak az Amazon bizonyult érzéketlennek ezekre a hatásokra, mivel felhőalapú számítástechnikai eszközöket használt. ("Névtelen: komoly fenyegetés vagy puszta bosszúság", Hálózatbiztonság, N1, 2011).

hátrányai

· A felhasználói adatok biztonságának függősége a számítási felhő szolgáltatásokat nyújtó vállalatoktól;

· Állandó kapcsolat a hálózattal - a „felhő” szolgáltatásaihoz való hozzáféréshez állandó internetkapcsolatra van szükség. Korunkban azonban ez nem olyan nagy hátrány, különösen a 3G és 4G mobil technológiák megjelenésével.

· Szoftver és annak módosítása - korlátozások vonatkoznak a „felhőkön” telepíthető és a felhasználó számára biztosított szoftverekre. A szoftverhasználónak korlátozásai vannak a használt szoftverben, és néha nem tudja személyre szabni azt saját céljaira.

· Titoktartás - a nyilvános „felhőkön” tárolt adatok bizalmassága jelenleg sok vita tárgya, de a legtöbb esetben a szakértők egyetértenek abban, hogy nem ajánlott a vállalat számára legértékesebb dokumentumokat nyilvános „felhőben” tárolni, mivel jelenleg nincs olyan technológia, amely garantálná a tárolt adatok 100% -os bizalmasságát, ezért elengedhetetlen a titkosítás használata a felhőben.

· Megbízhatóság - ami a tárolt információk megbízhatóságát illeti, bátran kijelenthetjük, hogy ha elvesztette a "felhőben" tárolt információkat, akkor örökre.

· Biztonság - maga a „felhő” meglehetősen megbízható rendszer, de amikor behatol rajta, a támadó hozzáfér egy hatalmas adattárolóhoz és másokhoz, ami lehetővé teszi a vírusok használatát.

· A berendezések magas költségei - saját felhő kiépítéséhez a vállalatnak jelentős anyagi erőforrásokat kell kiosztania, ami nem előnyös az újonnan létrehozott és a kisvállalkozások számára.

3. Referencia architektúra

A NIST Cloud Computing Reference Architecture öt fő szereplőt tartalmaz - a szereplőket. Minden színész szerepet játszik, és műveleteket és funkciókat hajt végre. A referencia -architektúrát egymást követő diagramokként mutatják be, egyre részletesebben.

Rizs. 9 Referencia -architektúra fogalmi diagramja

Cloud Consumer- üzleti kapcsolatot fenntartó és felhőalapú szolgáltatásokat igénybe vevő személy vagy szervezet.

A felhőfelhasználókat 3 csoportra osztják:

· SaaS - alkalmazásokat használ az üzleti folyamatok automatizálására.

PaaS - Fejleszti, teszteli, telepíti és kezeli a felhő környezetben telepített alkalmazásokat.

· IaaS - IT infrastruktúra -szolgáltatásokat hoz létre, kezel.

Felhőszolgáltató- az a személy, szervezet vagy szervezet, amely felelős a felhőszolgáltatás felhőfogyasztók számára történő elérhetőségéért.

SaaS - Felhőinfrastruktúrán telepített szoftvereket telepít, kezel, karbantart és szolgáltat.

PaaS - Felhőinfrastruktúrát és köztes szoftvert biztosít és kezel. Fejlesztési és adminisztrációs eszközöket biztosít.

· IaaS - kiszolgálókat, adatbázisokat és számítási erőforrásokat biztosít és karbantart. Felhőstruktúrát biztosít a fogyasztó számára.

A felhőalapú szolgáltatók tevékenységei 5 fő jellemző tevékenységre oszlanak:

Szolgáltatás telepítése:

o Privát felhő - egy szervezet szolgálja. Az infrastruktúrát mind a szervezet, mind egy harmadik fél kezeli, és mind a Szolgáltató (a helyszínen kívül), mind a szervezet (helyben) telepítheti.

o Megosztott felhő - az infrastruktúrát több, hasonló követelményekkel (biztonság, RD -megfelelés) rendelkező szervezet is megosztja.

o Nyilvános felhő - az infrastruktúrát számos szervezet használja, különböző követelményekkel. Csak az előfeltevésen kívül.

o Hibrid felhő - az infrastruktúra különböző technológiákat ötvöz hasonló technológiák alapján.

Szolgáltatás-menedzsment

o Szolgáltatási szint - meghatározza a Szolgáltató által nyújtott alapvető szolgáltatásokat.

§ A SaaS egy olyan alkalmazás, amelyet a Fogyasztó használ a felhő eléréséhez speciális programokból.

§ PaaS - konténerek a fogyasztói alkalmazásokhoz, fejlesztési és adminisztrációs eszközökhöz.

§ IaaS - számítási teljesítmény, adatbázisok, alapvető erőforrások, amelyeken felül a Fogyasztó kiépíti infrastruktúráját.

o Az absztrakció és az erőforrás -ellenőrzés szintje

§ Az infrastruktúra megvalósításához szükséges hipervizor és virtuális összetevők kezelése.

o A fizikai erőforrások szintje

§ Számítógép tartozék

§ Mérnöki infrastruktúra

o Elérhetőség

o Titoktartás

o Azonosítás

o Biztonsági ellenőrzés és eseménykezelés

o Biztonsági irányelvek

Magánélet

o A személyes adatok feldolgozásának, tárolásának és továbbításának védelme.

Felhő auditor- Közreműködő, aki önállóan értékelheti a felhőszolgáltatásokat, az információs rendszerek karbantartását, a felhőalapú implementáció teljesítményét és biztonságát.

A jóváhagyott dokumentumokkal összhangban saját értékelést adhat a biztonságról, a magánéletről, a teljesítményről és egyéb dolgokról.

Rizs. 10 Szolgáltatói tevékenységek

Cloud Broker- az a szervezet, amely irányítja a felhőszolgáltatások használatát, teljesítményét és szállítását, valamint létrehozza a kapcsolatot a szolgáltatók és a fogyasztók között.

A felhőalapú számítástechnika fejlődésével a felhőszolgáltatások integrálása túl nehéz lehet a fogyasztó számára.

o Szolgáltatásközvetítés - a megadott szolgáltatás bővítése és új lehetőségek biztosítása

o Összesítés - különféle szolgáltatások kombinálása a fogyasztó biztosítása érdekében

Felhő kommunikációs operátor- közvetítő, amely összeköttetési szolgáltatásokat és szállítást (kommunikációs szolgáltatásokat) nyújt a felhőszolgáltatások szolgáltatóktól a fogyasztók felé történő szállításához.

Hozzáférést biztosít kommunikációs eszközökön keresztül

Az SLA szerint megfelelő szintű kapcsolatot biztosít.

A bemutatott öt szereplő közül a felhőközvetítő opcionális, hiszen a felhőfelhasználók közvetlenül a felhőszolgáltatótól kaphatnak szolgáltatásokat.

A színészek bemutatkozása annak köszönhető, hogy ki kell dolgozni az alanyok közötti kapcsolatokat.

4. Szolgáltatási szintű megállapodás

Szolgáltatási szintű megállapodás - Olyan dokumentum, amely leírja az ügyfél által a szállítótól elvárt szolgáltatásnyújtás szintjét, az adott szolgáltatásra vonatkozó mutatók alapján, és megállapítja a szállító felelősségét, ha a megbeszélt mutatók nem teljesülnek.

Íme néhány mutató, ilyen vagy olyan formában, amelyek megtalálhatók a kezelői dokumentumokban:

ASR (válasz rohamarány) - paraméter, amely meghatározza a telefonos kapcsolat minőségét egy adott irányban. Az ASR -t a hívások eredményeként létrejött telefonkapcsolatok számának százalékában számítják ki az adott irányba indított hívások teljes számához viszonyítva.

PDD (tárcsázás utáni késleltetés) - paraméter, amely meghatározza a hívás pillanatától a telefonkapcsolat létrejöttéig eltelt időt (másodpercben).

Szolgáltatás elérhetőségi aránya- a szolgáltatásnyújtás megszakításának és a szolgáltatás teljesítésének időtartamához viszonyított aránya.

Csomagveszteség aránya- a helyesen vett adatcsomagok aránya a hálózaton keresztül egy bizonyos ideig továbbított csomagok teljes számához.

Időbeli késések az információs csomagok továbbításában- az információcsomag két hálózati eszköz közötti átviteléhez szükséges időintervallum.

Az információátvitel megbízhatósága- a hibásan továbbított adatcsomagok és az átvitt adatcsomagok teljes számának aránya.

A munka időtartama, az előfizetők értesítési ideje és a szolgáltatások helyreállításának ideje.

Más szóval, a szolgáltatás 99,99% -os rendelkezésre állása azt jelzi, hogy az üzemeltető havonta legfeljebb 4,3 perc kommunikációs leállást garantál, 99,9% - hogy a szolgáltatás 43,2 percig nem nyújtható, és 99% -, hogy a szünet tovább tarthat mint 7 óra. Bizonyos gyakorlatokban a hálózat elérhetősége differenciálódik, és a paraméter alacsonyabb értékét feltételezik - kikapcsolási időben. A különböző típusú szolgáltatásokra (forgalomosztályokra) vonatkozóan különböző mutatók értékei is rendelkezésre állnak. Például a hang számára a legfontosabb a késleltetési arány - ennek minimálisnak kell lennie. A sebesség pedig alacsony, ráadásul egyes csomagok minőségromlás nélkül elveszhetnek (akár 1%-ig, a kodektől függően). Az adatátvitelnél a sebesség az első, és a csomagvesztésnek nullára kell esnie.

5. A felhőalapú számítástechnika védelmi módszerei és eszközei

A titoktartást biztosítani kell az egész láncban, beleértve a felhőszolgáltatót, a fogyasztót és az őket összekötő kommunikációt is.

A Szolgáltató feladata, hogy biztosítsa a harmadik felek támadásaitól származó adatok fizikai és szoftveres integritását. A fogyasztónak megfelelő szabályokat és eljárásokat kell bevezetnie "saját területén" annak érdekében, hogy kizárják az információkhoz való hozzáférési jogok harmadik felekre történő átruházását.

Az információ integritásának biztosításának feladatai külön "felhő" alkalmazások használata esetén megoldhatók - köszönhetően a modern adatbázis -architektúráknak, biztonsági mentési rendszereknek, integritás -ellenőrző algoritmusoknak és más ipari megoldásoknak. De ez még nem minden. Új kihívások merülhetnek fel, amikor a különböző gyártók több felhőalkalmazását kell integrálni.

A közeljövőben a biztonságos virtuális környezetet kereső vállalatok számára az egyetlen lehetőség egy privát felhőrendszer létrehozása. A tény az, hogy a privát felhők a nyilvános vagy a hibrid rendszerektől eltérően leginkább a virtualizált infrastruktúrákhoz hasonlítanak, amelyeket a nagyvállalatok informatikai részlegei már megtanultak megvalósítani, és amelyek felett teljes ellenőrzést tudnak fenntartani. A nyilvános felhőrendszerek információbiztonsági hibái jelentős kihívást jelentenek. A legtöbb betörési esemény nyilvános felhőkben fordul elő.

6. A felhőmodellek biztonsága

A három felhőmodell kockázati szintje nagyon eltérő, és a biztonsági problémák megoldásának módjai is eltérőek az interakció szintjétől függően. A biztonsági követelmények változatlanok, de a biztonsági ellenőrzés szintje változik a különböző modellek, SaaS, PaaS vagy IaaS között. Logikai szempontból semmi sem változik, de a fizikai megvalósítás lehetőségei gyökeresen eltérőek.

Rizs. 11. A legsürgetőbb információbiztonsági fenyegetések

a SaaS modellben az alkalmazás a felhő infrastruktúrán fut, és webböngészőn keresztül érhető el. A kliens nem tudja ellenőrizni a hálózatot, a kiszolgálókat, az operációs rendszereket, a tárolót vagy akár az alkalmazások képességeit. Emiatt a SaaS modellben a biztonságért az elsődleges felelősség szinte teljes egészében az eladókat terheli.

Az 1. számú probléma a jelszókezelés. A SaaS modellben az alkalmazások a felhőben vannak, így a fő kockázat az, hogy több fiókot használnak az alkalmazások eléréséhez. A szervezetek megoldhatják ezt a problémát, ha egyesítik a felhőalapú és helyszíni rendszerek fiókjait. Az egyszeri bejelentkezéssel a felhasználók egyetlen fiók használatával férhetnek hozzá a munkaállomásokhoz és a felhőszolgáltatásokhoz. Ez a megközelítés csökkenti annak valószínűségét, hogy a munkavállalók felmondása után jogosulatlan felhasználásra kerülnek a "beragadt" számlák.

A CSA magyarázata szerint a PaaS feltételezi, hogy az ügyfelek a gyártók által támogatott programozási nyelvek és eszközök segítségével építenek alkalmazásokat, majd telepítik őket a felhőinfrastruktúrába. A SaaS modellhez hasonlóan az ügyfél nem kezelheti vagy irányíthatja az infrastruktúrát - hálózatokat, szervereket, operációs rendszereket vagy tárolórendszereket -, de irányíthatja az alkalmazások telepítését.

A PaaS modellben a felhasználóknak figyelniük kell az alkalmazások biztonságára, valamint az API -kezelési kérdésekre, például az érvényesítésre, az engedélyezésre és az ellenőrzésre.

Az 1. számú probléma az adatok titkosítása. A PaaS modell eredendően biztonságos, de a kockázat a rendszer nem megfelelő teljesítménye. Ennek oka, hogy a PaaS szolgáltatókkal folytatott kommunikáció során titkosítás ajánlott, és ez további feldolgozási teljesítményt igényel. Ennek ellenére bármilyen megoldás esetén a bizalmas felhasználói adatok továbbítását titkosított csatornán kell végrehajtani.

Míg az ügyfelek itt nem tudják felügyelni a felhő alapú infrastruktúrát, az operációs rendszerek, a tárolás és az alkalmazások telepítése felett, esetleg korlátozott a hálózati összetevők kiválasztása.

Ez a modell számos beépített biztonsági képességgel rendelkezik anélkül, hogy magát az infrastruktúrát védené. Ez azt jelenti, hogy a felhasználóknak rendszerint API -n keresztül kell kezelniük és védeniük az operációs rendszereket, alkalmazásokat és tartalmakat.

Ha ezt lefordítják a védelmi módszerek nyelvére, akkor a szolgáltatónak biztosítania kell:

· Magához az infrastruktúrához való hozzáférés megbízható ellenőrzése;

· Infrastruktúra rugalmasság.

Ugyanakkor a felhőfelhasználó sokkal több védelmi funkciót lát el:

· Tűzfal az infrastruktúrán belül;

· Védelem a hálózatba való behatolás ellen;

· Operációs rendszerek és adatbázisok védelme (beléptetés, védelem a biztonsági rések ellen, biztonsági beállítások ellenőrzése);

· Végső alkalmazások védelme (vírusvédelem, hozzáférés-ellenőrzés).

Így a legtöbb védintézkedés a fogyasztó vállára esik. A szolgáltató tipikus ajánlásokat adhat a védelemre vagy kész megoldásokat, amelyek egyszerűsítik a feladatot a végfelhasználók számára.

1. táblázat: A biztonságért való felelősség felosztása az ügyfél és a szolgáltató között. (P - szállító, K - ügyfél)

	Vállalati szerver
Alkalmazás
Adat
Futásidejű környezet
Középprogram
Operációs rendszer
Virtualizáció
szerver
Adattárházak
hálózati hardver

7. Biztonsági ellenőrzés

A Cloud Auditor feladatai lényegében megegyeznek a hagyományos rendszerek könyvvizsgálójával. A felhő biztonsági auditja beszállítói auditra és felhasználói auditra oszlik. A Felhasználó ellenőrzése a Felhasználó kérésére történik, míg a Szállító ellenőrzése az üzleti tevékenység egyik legfontosabb feltétele.

A következőkből áll:

· Az ellenőrzési eljárás megindítása;

· Ellenőrzési információk gyűjtése;

· Az ellenőrzési adatok elemzése;

· Ellenőrzési jelentés elkészítése.

Az ellenőrzési eljárás megindításának szakaszában meg kell oldani a könyvvizsgáló hatáskörének, az ellenőrzés időzítésének kérdéseit. Meg kell határozni az alkalmazottaknak a könyvvizsgálóhoz való kötelező segítségét is.

Általában a könyvvizsgáló ellenőrzést végez a megbízhatóság megállapítása érdekében

· Virtualizációs rendszerek, hipervizor;

· Kiszolgálók;

· Adattárházak;

· Hálózati berendezések.

Ha a szállító az IaaS modellt használja az ellenőrzött kiszolgálón, akkor ez az ellenőrzés elegendő a biztonsági rések azonosításához.

A PaaS modell használatakor további ellenőrzéseket kell végezni

· operációs rendszer,

Középszoftver,

· Futásidejű környezet.

A SaaS modell használatakor a biztonsági réseket is ellenőrzik

Adattároló és -feldolgozó rendszerek,

· Alkalmazások.

A biztonsági auditokat ugyanazokkal a módszerekkel és eszközökkel hajtják végre, mint a hagyományos kiszolgálókat. A felhőalapú technológiák hagyományos szervereivel ellentétben azonban a hipervizor stabilitását is ellenőrzik. A felhőben a hipervizor az egyik alapvető technológia, ezért különös hangsúlyt kell fektetni az auditálásra.

8. A felhőalapú számítástechnikai események és a kriminalisztika vizsgálata

Az információbiztonsági intézkedéseket megelőző (például titkosítási és egyéb hozzáférés -ellenőrzési mechanizmusok) és reaktív (vizsgálatok) csoportokra lehet osztani. A felhőbiztonság proaktív aspektusa az aktív kutatások területe, míg a felhőbiztonság reaktív aspektusa sokkal kevesebb figyelmet kapott.

Az események kivizsgálása (beleértve az információs szférában elkövetett bűncselekmények kivizsgálását is) az információbiztonság jól ismert része. Az ilyen vizsgálatok célja általában:

A bűncselekmény / esemény bekövetkezésének igazolása

Az esemény körüli események helyreállítása

Az elkövetők azonosítása

Az elkövetők bevonásának és felelősségének igazolása

Az elkövetők hűtlen szándékának bizonyítása.

Egy új tudományág - számítógépes és műszaki szakértelem (vagy kriminalisztika) jelent meg, tekintettel a digitális rendszerek igazságügyi elemzésének szükségességére. A számítógépes kriminalisztika célja általában a következő:

Az esetleg törölt adatok helyreállítása

Az eseményhez kapcsolódó digitális rendszereken belül és kívül történt események helyreállítása

A digitális rendszerek felhasználóinak azonosítása

Vírusok és más rosszindulatú szoftverek jelenlétének észlelése

Illegális anyagok és programok jelenlétének felderítése

Jelszavak, titkosítási kulcsok és hozzáférési kódok feltörése

Ideális esetben a számítógépes kriminalisztika egyfajta időgép a nyomozó számára, amely bármikor beutazhat egy digitális eszköz múltjába, és információkat nyújthat a nyomozónak a következőkről:

emberek, akik egy bizonyos ponton használták a készüléket

felhasználói műveletek (például dokumentumok megnyitása, webhelyek elérése, adatok nyomtatása szövegszerkesztőben stb.)

az eszköz által meghatározott időpontban tárolt, létrehozott és feldolgozott adatok.

Az önálló digitális eszközöket felváltó felhőszolgáltatásoknak hasonló szintű kriminalisztikai felkészültséget kell biztosítaniuk. Ehhez azonban le kell küzdeni az erőforrás -összevonással, a többéves bérléssel és a felhőalapú számítástechnikai infrastruktúra rugalmasságával kapcsolatos kihívásokat. Az események kivizsgálásának fő eszköze az ellenőrzési nyomvonal.

Az ellenőrzési nyomvonalak - amelyeket a felhasználói bejelentkezések, az adminisztrációs feladatok és az adatmódosítások nyomon követésére terveztek - a biztonsági rendszer lényeges részét képezik. A felhőben maga az ellenőrzési nyomvonal nemcsak a vizsgálatok eszköze, hanem a kiszolgálók használatának költségeinek kiszámítására szolgáló eszköz is. Bár az ellenőrzési nyomvonal nem foglalkozik a biztonsági résekkel, kritikus szemmel nézi a történéseket, és javaslatokat tesz a helyzet kijavítására.

Az archívumok és biztonsági mentések létrehozása fontos, de nem helyettesítheti a hivatalos ellenőrzési nyomvonalat, amely rögzíti, hogy ki, mikor és mit tett. Az ellenőrzési nyomvonal a biztonsági auditor egyik fő eszköze.

A szolgáltatási szerződés általában megemlíti, hogy mely ellenőrzési naplók kerülnek tárolásra és a felhasználó rendelkezésére.

9. Fenyegetési modell

2010 -ben a CSA elemzést készített a felhőalapú technológiák fő biztonsági veszélyeiről. Munkájuk eredménye a "Top Composing of Cloud Computing v 1.0" dokumentum volt, amely jelenleg a legteljesebb módon írja le a fenyegetési modellt és a betolakodó modelljét. Jelenleg ennek a dokumentumnak a teljesebb, második verziója készül.

A jelenlegi dokumentum három SaaS, PaaS és IaaS szolgáltatási modell támadóit írja le. Hét fő támadási vektort azonosítottak. Többnyire a szóban forgó támadások minden típusa a hagyományos, "nem felhő" szervereken rejlő támadások. A felhőinfrastruktúra bizonyos funkciókat ró rájuk. Például a szerverek szoftveres részének sebezhetőségei elleni támadásokat kiegészítik a hipervizor elleni támadások, amelyek szintén a szoftver részét képezik.

Biztonsági fenyegetés # 1

A felhőalapú technológiák nem megfelelő és tisztességtelen használata.

Leírás:

Az erőforrások felhőalapú IaaS szolgáltatótól való beszerzéséhez a felhasználónak csak hitelkártyával kell rendelkeznie. Az egyszerű regisztráció és az erőforrások allokálása lehetővé teszi a spamküldőket, vírusszerzőket stb. a felhőszolgáltatást saját bűnügyi céljaikra használják. Korábban ezt a fajta támadást csak a PaaS -ban figyelték meg, de a legújabb tanulmányok kimutatták az IaaS használatának lehetőségét DDOS támadásokhoz, rosszindulatú kódok elhelyezéséhez, botnet hálózatok létrehozásához stb.

Szolgáltatások példáit használták fel a "Zeus" trójai programra épülő robothálózat létrehozásához, az "InfoStealer" trójai faló kódjának tárolásához, valamint a különböző MS Office és AdobePDF biztonsági résekkel kapcsolatos információk közzétételéhez.

Ezenkívül a botnet hálózatok IaaS -t használnak társaik kezelésére és spam küldésére. Emiatt egyes IaaS -szolgáltatások feketelistára kerültek, és a levelezőszerverek teljesen figyelmen kívül hagyták felhasználóikat.

A felhasználói regisztrációs eljárások fejlesztése

A hitelkártya -ellenőrzési eljárások javítása és a fizetési eszközök használatának nyomon követése

Átfogó tanulmány a szolgáltatást igénybe vevők hálózati tevékenységéről

· A fő fekete lapok nyomon követése a felhőszolgáltatói hálózat megjelenése érdekében.

Érintett szolgáltatási modellek:

Biztonsági fenyegetés # 2

Bizonytalan programozási interfészek (API)

Leírás:

A felhőinfrastruktúra -szolgáltatók API -készletet biztosítanak a felhasználóknak az erőforrások, virtuális gépek vagy szolgáltatások kezelésére. A teljes rendszer biztonsága ezen interfészek biztonságától függ.

A felülethez való névtelen hozzáférés és a hitelesítő adatok világos szövegben történő továbbítása a nem biztonságos API -k fő jellemzői. Az API használat korlátozott ellenőrzése, a naplózási rendszerek hiánya, valamint a különböző szolgáltatások közötti ismeretlen kapcsolatok csak növelik a hackelés kockázatát.

Elemezze a felhőszolgáltató biztonsági modelljét

Győződjön meg arról, hogy erős titkosítási algoritmusokat használ

Győződjön meg arról, hogy erős hitelesítési és engedélyezési módszereket használ

· A különböző szolgáltatások közötti függőségek teljes láncának megértése.

Érintett szolgáltatási modellek:

Biztonsági fenyegetés # 3

Belső elkövetők

Leírás:

A belülről származó információk illegális hozzáférésének problémája rendkívül veszélyes. Gyakran előfordul, hogy a szolgáltató részéről nem valósul meg az alkalmazottak tevékenységét figyelő rendszer, ami azt jelenti, hogy a támadó hivatalos pozícióját felhasználva hozzáférhet az ügyfél információihoz. Mivel a szolgáltató nem hozza nyilvánosságra toborzási politikáját, a fenyegetés egy amatőr hackertől és egy szervezett bűnözői struktúrától egyaránt származhat, amely beszivárgott a szolgáltató alkalmazottai közé.

Jelenleg nincs példa erre a visszaélésre.

A berendezések beszerzésére vonatkozó szigorú szabályok végrehajtása és az illetéktelen hozzáférés észlelésére alkalmas rendszerek használata

A munkavállalókkal történő közbeszerzési szerződések alkalmazotti szabályainak szabályozása

Egy átlátható biztonsági rendszer létrehozása, valamint a szolgáltató belső rendszereiről szóló biztonsági ellenőrzési jelentések közzététele

Érintett szolgáltatási modellek:

Rizs. 12 Példa bennfentesre

Biztonsági fenyegetés # 4

Sebezhetőségek a felhőalapú technológiákban

Leírás:

Az IaaS szolgáltatók virtualizációs rendszerek segítségével használják fel a hardver erőforrásait. A hardvert azonban meg lehet tervezni a megosztott erőforrások figyelembevétele nélkül. Ennek a tényezőnek a hatásának minimalizálása érdekében a hipervizor vezérli a virtuális gép hardveres erőforrásokhoz való hozzáférését, azonban még a hipervizorokban is komoly biztonsági rések létezhetnek, amelyek használata a privilégiumok fokozódásához vagy a fizikai berendezésekhez való illegális hozzáféréshez vezethet.

Annak érdekében, hogy megvédjük a rendszereket az ilyen problémáktól, szükség van a virtuális környezetek elkülönítésére és a hibák észlelésére szolgáló rendszerekre. A virtuális gépek felhasználói nem férhetnek hozzá a megosztott erőforrásokhoz.

Vannak példák a potenciális sebezhetőségekre, valamint elméleti módszerek az elszigetelés megkerülésére virtuális környezetben.

A virtuális környezetek telepítésének, konfigurálásának és védelmének legfejlettebb módszereinek megvalósítása

Rendszerek használata jogosulatlan hozzáférés észlelésére

Erős hitelesítési és engedélyezési szabályok alkalmazása az adminisztratív munkában

A javítások és frissítések alkalmazási idejére vonatkozó követelmények szigorítása

· Időszerű eljárások végrehajtása a sérülékenységek vizsgálatához és észleléséhez.

Biztonsági fenyegetés # 5

Adatvesztés vagy szivárgás

Leírás:

Az adatvesztés ezer okból történhet. Például a titkosítási kulcs szándékos megsemmisítése azt eredményezi, hogy a titkosított információ nem helyreállítható. Az adatok vagy az adatok egy részének törlése, a fontos információkhoz való jogosulatlan hozzáférés, a rekordok módosítása vagy az adathordozó meghibásodása is példa erre. Egy összetett felhőinfrastruktúrában az egyes események valószínűsége nő az összetevők szoros kölcsönhatása miatt.

A hitelesítési, engedélyezési és ellenőrzési szabályok helytelen alkalmazása, a titkosítási szabályok és módszerek helytelen használata, valamint a berendezés meghibásodása adatvesztéshez vagy szivárgáshoz vezethet.

Megbízható és biztonságos API használata

A továbbított adatok titkosítása és védelme

Az adatvédelmi modell elemzése a rendszer működésének minden szakaszában

Megbízható titkosítási kulcskezelő rendszer bevezetése

Csak a legmegbízhatóbb média kiválasztása és megvásárlása

Időszerű adatmentés biztosítása

Érintett szolgáltatási modellek:

Biztonsági fenyegetés # 6

Személyazonosság -lopás és a szolgáltatáshoz való illegális hozzáférés

Leírás:

Ez a fajta fenyegetés nem új keletű. Naponta több millió felhasználó szembesül vele. A támadók fő célpontja a felhasználónév (bejelentkezés) és jelszava. A felhőrendszerek összefüggésében a jelszó és a felhasználónév ellopása növeli a szolgáltató felhőinfrastruktúrájában tárolt adatok felhasználásának kockázatát. Tehát a támadónak lehetősége van arra, hogy az áldozat hírnevét felhasználja tevékenységéhez.

A számlaátvitel tilalma

Két faktoros hitelesítési módszer alkalmazása

Az illetéktelen hozzáférés proaktív megfigyelésének megvalósítása

· A felhőszolgáltató biztonsági modelljének leírása.

Érintett szolgáltatási modellek:

Biztonsági fenyegetés # 7

Egyéb sérülékenységek

Leírás:

Az üzleti tevékenységhez használt felhőalapú technológiák lehetővé teszik a vállalat számára, hogy üzleti tevékenységére összpontosítson, és az informatikai infrastruktúra és szolgáltatások gondozását a felhőszolgáltatóra bízza. Szolgáltatásuk hirdetésekor a felhőszolgáltató minden lehetőséget meg kíván mutatni, miközben felfedi a megvalósítás részleteit. Ez komoly veszélyt jelenthet, mivel a belső infrastruktúra ismerete lehetővé teszi a támadó számára, hogy megtalálja a javíthatatlan biztonsági rést, és támadást indítson a rendszer ellen. Az ilyen helyzetek elkerülése érdekében előfordulhat, hogy a felhőszolgáltatók nem adnak információt a felhő belső szerkezetéről, azonban ez a megközelítés sem növeli a bizalmat, mivel a potenciális felhasználók nem képesek felmérni az adatbiztonság mértékét. Ezenkívül ez a megközelítés korlátozza a sérülékenységek időben történő megtalálásának és megszüntetésének képességét.

Az Amazon nem hajlandó EC2 felhő biztonsági auditot végezni

A szoftver feldolgozásának sérülékenysége, ami a Hearthland adatközpont biztonsági rendszerének megsértéséhez vezet

A naplóadatok közzététele

A rendszer felépítésével és a telepített szoftverrel kapcsolatos adatok teljes vagy részleges közzététele

· Sebezhetőséget figyelő rendszerek használata.

Érintett szolgáltatási modellek:

1. Jogalap

Szakértők szerint a felhőben felmerülő biztonsági problémák 70% -a elkerülhető, ha helyesen készít egy szolgáltatási szerződést.

Egy ilyen megállapodás alapja lehet a „felhőjogi törvény”

A Cloud Bill of Rights -t még 2008 -ban dolgozta ki James Urquhart. Ezt az anyagot közzétette a blogján, amely akkora érdeklődést és vitát váltott ki, hogy a szerző a valóságnak megfelelően időszakosan frissíti "kéziratát".

1. cikk (részben): Az ügyfelek birtokolják adataikat

· Egyetlen gyártó (vagy beszállító) sem szabad a tervvel az ügyfelekkel folytatott interakció során megbeszélni a feltöltött, létrehozott, generált, módosított adatok jogait, vagy bármely más, az ügyfélhez fűződő jogot.

· A gyártóknak kezdetben minimális hozzáférést kell biztosítaniuk a vevői adatokhoz a megoldások és szolgáltatások fejlesztésének szakaszában.

· Az ügyfelek birtokolják adataikat, ami azt jelenti, hogy felelősek annak biztosításáért, hogy az adatok megfeleljenek a jogszabályoknak és törvényeknek.

· Mivel az adatok betartásával, a biztonsággal és a megfelelőséggel kapcsolatos kérdések kritikusak, elengedhetetlen, hogy az ügyfél megtalálja saját adatait. Ellenkező esetben a gyártóknak minden garanciát kell nyújtaniuk a felhasználóknak, hogy adataikat az összes szabálynak és előírásnak megfelelően tárolják.

2. szakasz: A gyártók és az ügyfelek közösen birtokolják és kezelik a rendszer szolgáltatási szintjeit

· A gyártók tulajdonában vannak, és mindent meg kell tenniük annak érdekében, hogy minden ügyfél egyénileg megfeleljen a szolgáltatás színvonalának. Minden szükséges erőforrásnak és erőfeszítésnek, amely a megfelelő szintű szolgáltatás eléréséhez szükséges az ügyfelekkel való együttműködésben, ingyenesnek kell lennie az ügyfél számára, vagyis nem kell belefoglalni a szolgáltatás költségébe.

· Az ügyfelek pedig felelősek saját belső és külső ügyfeleik számára nyújtott szolgáltatások színvonaláért. Amikor a gyártó megoldásait használja saját szolgáltatásainak nyújtásához, az ügyfél felelőssége és az ilyen szolgáltatás szintje nem függhet teljesen a gyártótól.

· Ha szükség van a gyártó és az ügyfél rendszereinek integrálására, akkor a gyártóknak fel kell ajánlaniuk az ügyfeleknek az integrációs folyamat nyomon követésének lehetőségét. Ha az ügyfél rendelkezik vállalati szabványokkal az információs rendszerek integrálására, akkor a gyártónak meg kell felelnie ezeknek a szabványoknak.

· A gyártók semmilyen körülmények között nem zárhatják le a vevői számlákat a politikai beszéd, a nem megfelelő beszéd, a vallási megjegyzések miatt, kivéve, ha az ellentétes a konkrét jogszabályokkal, nem a gyűlölet kifejezése stb.

3. cikk: A gyártók rendelkeznek interfészeikkel

· A gyártóknak nem kell szabványos vagy nyílt forráskódú interfészeket biztosítaniuk, kivéve, ha az ügyfélszerződések másként rendelkeznek. A gyártóknak joguk van az interfészekhez. Ha a gyártó nem tartja lehetségesnek, hogy lehetőséget biztosítson az ügyfélnek, hogy ismerős programozási nyelven finomítsa a kezelőfelületet, akkor az ügyfél megvásárolhatja a gyártótól vagy külső fejlesztőktől az interfészek saját igényei szerinti véglegesítéséhez szükséges szolgáltatásokat.

· Az ügyfélnek azonban joga van a megvásárolt szolgáltatást saját céljaira használni, valamint bővíteni képességeit, lemásolni és fejleszteni. Ez a záradék nem mentesíti az ügyfeleket szabadalmi és szellemi tulajdonjogok alól.

A fenti három cikk az alapja a felhőben lévő ügyfeleknek és szállítóknak. Teljes szövegük megtalálható az Internet nyilvános területein. Természetesen ez a törvényjavaslat nem teljes jogi dokumentum, még kevésbé hivatalos. Cikkei bármikor megváltoztathatók és bővíthetők, ahogy a törvényjavaslat is kiegészíthető új cikkekkel. Ez egy kísérlet a "tulajdonjog" formalizálására a felhőben annak érdekében, hogy valahogy szabványosítsuk ezt a szabadságot szerető tudás- és technológiaterületet.

A felek közötti kapcsolat

Messze a legjobb felhőbiztonsági szakértő a Cloud Security Alliance (CSA). A szervezet közzétette és nemrég frissítette az útmutatót, amely több száz árnyalatot és bevált gyakorlatot tartalmaz, amelyeket figyelembe kell venni a felhőalapú számítástechnikai kockázatok felmérésekor.

Egy másik szervezet, amely a felhőbiztonság szempontjaival foglalkozik, a Trusted Computing Group (TCG). Számos szabvány szerzője ezen és más területeken, beleértve a ma széles körben használt Trusted Storage, Trusted Network Connect (TNC) és Trusted Platform Module (TPM) rendszereket.

Ezek a szervezetek közösen dolgoztak ki számos kérdést, amelyeket a megrendelőnek és a szolgáltatónak át kell dolgoznia a szerződés megkötésekor. Ezek a kérdések megoldják a legtöbb problémát a felhő, a vis maior használata, a felhőszolgáltató -váltás és más helyzetek használatakor.

1. A tárolt adatok biztonsága. Hogyan biztosítja a szolgáltató a tárolt adatok biztonságát?

Az adattárházban tárolt adatok védelmének legjobb módja a titkosítási technológiák használata. A szolgáltatónak mindig titkosítania kell a szerverein tárolt ügyféladatokat, hogy megakadályozza az illetéktelen hozzáférést. A szolgáltatónak véglegesen törölnie kell az adatokat, amikor már nincs rájuk szükség, és a jövőben sem lesz szükség rájuk.

2. Adatvédelem az átvitel során. Hogyan biztosítja a szolgáltató az adatok biztonságát az átvitel során (a felhőben és a felhőbe vezető úton / felhő felé)?

A továbbított adatokat mindig titkosítani kell, és a felhasználó számára csak hitelesítés után hozzáférhetővé kell tenni. Ez a megközelítés biztosítja, hogy ezeket az adatokat senki ne tudja megváltoztatni vagy olvasni, még akkor sem, ha a hálózat nem megbízható csomópontjain keresztül férnek hozzá. Ezeket a technológiákat "több ezer emberév" alatt fejlesztették ki, és megbízható protokollok és algoritmusok (pl. TLS, IPsec és AES) létrehozásához vezettek. A szolgáltatóknak ezeket a protokollokat kell használniuk, nem pedig a sajátjukat kitalálniuk.

3. Hitelesítés. Honnan tudja a szolgáltató az ügyfél hitelességét?

A leggyakoribb hitelesítési módszer a jelszavas védelem. Azok a szolgáltatók azonban, amelyek nagyobb megbízhatóságot szeretnének nyújtani ügyfeleiknek, hatékonyabb eszközöket, például tanúsítványokat és tokeneket keresnek. A szolgáltatóknak képesnek kell lenniük olyan szabványokkal dolgozni, mint az LDAP és a SAML a biztonságosabb hitelesítési eszközök használata mellett. Erre azért van szükség, hogy a szolgáltató kölcsönhatásba lépjen az ügyfél felhasználói azonosító rendszerével, amikor engedélyezi és meghatározza a felhasználónak adott jogosultságokat. Ennek köszönhetően a szolgáltató mindig naprakész információkkal rendelkezik a jogosult felhasználókról. A legrosszabb eset az, amikor az ügyfél a jogosult felhasználók meghatározott listáját szolgáltatja a szolgáltatónak. Általános szabály, hogy ebben az esetben, amikor a munkavállalót elbocsátják vagy más pozícióba helyezik, nehézségek merülhetnek fel.

4. Felhasználói elszigeteltség. Hogyan különülnek el az egyik ügyfél adatai és alkalmazásai a többi ügyfél adataitól és alkalmazásaitól?

A legjobb megoldás: ha minden ügyfél egyedi virtuális gépet (Virtual Machine - VM) és virtuális hálózatot használ. A virtuális gépek, tehát a felhasználók közötti elkülönítést a hipervizor biztosítja. A virtuális hálózatokat viszont olyan szabványos technológiákkal telepítik, mint a VLAN (Virtual Local Area Network), a VPLS (Virtual Private LAN Service) és a VPN (Virtual Private Network).

Egyes szolgáltatók az összes ügyféladatot egyetlen szoftverkörnyezetbe helyezik, és a kód módosításával megpróbálják elkülöníteni egymástól az ügyfelek adatait. Ez a megközelítés meggondolatlan és megbízhatatlan. Először is, a támadó hibát találhat a nem szabványos kódban, amely lehetővé tenné számára, hogy hozzáférjen azokhoz az adatokhoz, amelyeket nem kellene látnia. Másodszor, a kód hibája ahhoz vezethet, hogy az egyik ügyfél véletlenül "látja" a másik adatait. Az utóbbi időben voltak ilyen és más esetek is. Ezért a felhasználói adatok megkülönböztetéséhez ésszerű lépés a különböző virtuális gépek és virtuális hálózatok használata.

5. Szabályozási kérdések. Mennyire tartja be a szolgáltató a felhőalapú számítástechnikai iparra vonatkozó törvényeket és előírásokat?

A joghatóságtól függően a törvények, rendeletek és minden különleges rendelkezés eltérhet. Például megtilthatják az adatok exportálását, szigorúan meghatározott biztosítékokat írhatnak elő, megfelelnek bizonyos szabványoknak és ellenőrizhetők. Végül megkövetelhetik, hogy a kormányzati szervek és bíróságok szükség esetén hozzáférjenek az információkhoz. A szolgáltató hanyagsága ezekben a pillanatokban jelentős költségekhez vezetheti ügyfeleit a jogi következmények miatt.

A szolgáltatónak szigorú szabályokat kell követnie, és be kell tartania az egységes jogi és szabályozási stratégiát. Ez vonatkozik a felhasználói adatok biztonságára, exportálására, a szabványoknak való megfelelésre, az auditálásra, az adatok biztonságára és törlésére, valamint az információk nyilvánosságra hozatalára (ez utóbbi különösen akkor fontos, ha több ügyfél adatait lehet tárolni egy fizikai szerveren). Ennek kiderítésére az ügyfeleket erősen bátorítjuk, hogy kérjenek segítséget olyan szakemberektől, akik alaposan tanulmányozzák ezt a kérdést.

6. Reagálás az eseményekre. Hogyan reagál a szolgáltató az eseményekre, és milyen mértékben vehetnek részt ügyfelei az incidensben?

Néha nem minden a terv szerint megy. Ezért a szolgáltató előre nem látható körülmények esetén köteles betartani a különleges magatartási szabályokat. Ezeket a szabályokat dokumentálni kell. A szolgáltatóknak feltétlenül azonosítaniuk kell az eseményeket, és minimalizálni kell azok következményeit a felhasználók tájékoztatásával a jelenlegi helyzetről. Ideális esetben rendszeresen tájékoztatniuk kell az ügyfeleket a lehető legrészletesebb információkról. Ezenkívül az ügyfelek feladata, hogy felmérjék a biztonsági probléma valószínűségét, és megtegyék a szükséges lépéseket.

10. Nemzetközi és hazai szabványok

A felhőalapú technológia fejlődése meghaladta a szükséges ipari szabványok megalkotására és módosítására irányuló erőfeszítéseket, amelyek közül sokat évek óta nem frissítettek. Ezért a jogalkotás a felhőtechnológiák területén az egyik legfontosabb lépés a biztonság biztosítása felé.

Az IEEE, a világ egyik legnagyobb szabványfejlesztő szervezete bejelentette egy felhőalapú számítástechnikai kezdeményezés elindítását. Ez az első nemzetközi felhőalapú szabványosítási kezdeményezés - eddig a felhőalapú számítási szabványokat az ipari konzorciumok uralták. A kezdeményezés jelenleg 2 projektet foglal magában: IEEE P2301 (tm), "Útmutató a felhőprofilok hordozhatóságához és interoperabilitásához", és IEEE P2302 (tm) - "Standard -tervezet a felhőrendszerek interoperabilitására és elosztott interoperabilitására (szövetsége").

Az IEEE Szabványfejlesztési Egyesület keretein belül 2 új munkacsoport jött létre az IEEE P2301, illetve az IEEE P2302 projektek kidolgozására. Az IEEE P2301 a meglévő és függőben lévő alkalmazások, hordozhatósági, kezelési és interoperabilitási szabványok profiljait, valamint fájlformátumokat és működési konvenciókat tartalmaz. A dokumentumban szereplő információk logikusan lesznek felépítve a különböző célközönségcsoportok szerint: szállítók, szolgáltatók és más érdekelt piaci szereplők. A befejezés után a szabvány várhatóan használható lesz a szabványos technológiákon alapuló felhőalapú termékek és szolgáltatások beszerzésében, fejlesztésében, építésében és használatában.

Az IEEE P2302 szabvány leírja az alapul szolgáló topológiát, protokollokat, funkciókat és kezelési módszereket, amelyek szükségesek a különböző felhőstruktúrák kölcsönhatásához (például egy privát felhő és egy nyilvános, például EC2) kölcsönhatásához. Ez a szabvány lehetővé teszi, hogy a felhőalapú termékek és szolgáltatások szolgáltatói gazdasági előnyöket élvezhessenek a méretgazdaságosságból, miközben átláthatóságot biztosítanak a szolgáltatások és alkalmazások felhasználói számára.

Az ISO különleges szabványt készít a felhőalapú számítástechnika biztonságára. Az új szabvány fő célja a felhőkkel kapcsolatos szervezeti kérdések kezelése. Az ISO harmonizációs eljárásainak összetettsége miatt azonban a dokumentum végleges változatát csak 2013 -ban szabad kiadni.

A dokumentum értéke az, hogy nem csak kormányzati szervezetek (NIST, ENISA) vesznek részt az elkészítésében, hanem szakértői közösségek és egyesületek, például az ISACA és a CSA képviselői is. Ezenkívül egy dokumentum ajánlásokat tartalmaz mind a felhőszolgáltatók, mind azok fogyasztói - ügyfélszervezetek számára.

E dokumentum fő célja, hogy részletesen leírja a felhőalapú számítástechnika használatával kapcsolatos bevált gyakorlatokat információbiztonsági szempontból. Ugyanakkor a szabvány nem csak a műszaki szempontokra koncentrál, hanem inkább a szervezeti szempontokra, amelyeket nem szabad elfelejteni a felhőalapú számításba való átmenet során. Ez a jogok és felelősségek szétválasztása, valamint a harmadik felekkel kötött megállapodások aláírása, valamint a „felhő” folyamat különböző résztvevői tulajdonában lévő eszközök kezelése, valamint személyzeti menedzsment kérdések stb.

Az új dokumentum nagyrészt az IT -iparban korábban kifejlesztett anyagokat tartalmazza.

Ausztrál kormány

Az ausztrál kormány több hónapos fejtörést követően 2012. február 15-én közzétette a felhőalapú migrációs útmutatók sorozatát az ausztrál kormányzati információkezelési hivatal (AGIMO) blogján.

Annak érdekében, hogy a vállalatok könnyebben átállhassanak a felhőbe, iránymutatásokat adtak a felhőszolgáltatások használatával kapcsolatos bevált gyakorlatokról, hogy megfeleljenek az 1997 -es Pénzügyi Menedzsment és Elszámoltathatósági Törvény 1997 -es előírásainak. Az útmutatók általánosságban foglalkoznak a pénzügyi, jogi és adatvédelmi kérdésekkel.

Az irányelvek arról beszélnek, hogy folyamatosan figyelemmel kell kísérni és ellenőrizni kell a felhőszolgáltatások használatát a számlák és jelentések napi elemzésével. Ez segít elkerülni a rejtett jelöléseket és a felhőszolgáltatóktól való függést.

Az első útmutató címe Adatvédelem és felhőalapú számítás az ausztrál kormányhivatalokhoz (9 oldal). Ez a dokumentum az adatvédelemmel és az adatbiztonsággal foglalkozik.

Ezen útmutató mellett a Negotiating the Cloud - Legal Issues in Cloud Computing Agreement (19 oldal) is elkészült, hogy segítsen megérteni a szerződésben szereplő kikötéseket.

Az utolsó, harmadik kézikönyv, Pénzügyi megfontolások a felhőalapú számítástechnika kormányzati használatához, 6 oldal, azokat a pénzügyi kérdéseket tárgyalja, amelyekre egy vállalatnak oda kell figyelnie, ha úgy dönt, hogy üzleti tevékenységében felhőalapú számítástechnikát alkalmaz.

Az útmutatókban foglaltakon kívül számos más problémával is foglalkozni kell a felhőalapú számítástechnika használatakor, beleértve a kormányzattal, a beszerzéssel és az üzletvezetési politikával kapcsolatos kérdéseket.

E szakpolitikai dokumentum nyilvános vitája lehetőséget biztosít az érdekelt felek számára, hogy megfontolják és véleményezzék a következő aggodalomra okot adó kérdéseket:

· Jogosulatlan hozzáférés a minősített információkhoz;

· Az adatokhoz való hozzáférés elvesztése;

Az adatok integritásának és hitelességének biztosításának elmulasztása, és

· A felhőszolgáltatások nyújtásának gyakorlati szempontjainak megértése.

11. Az adatok területi azonossága

A különböző országokban számos olyan szabályozás létezik, amelyek előírják, hogy az érzékeny adatok az országban maradjanak. Bár az adatok tárolása egy adott területen belül első pillantásra nem tűnik nehéznek, a felhőszolgáltatók gyakran nem tudják garantálni. A nagyfokú virtualizációjú rendszerekben az adatok és a virtuális gépek különböző célokra - terheléselosztás, hibatűrés - mozoghatnak egyik országból a másikba.

A SaaS piac néhány jelentős szereplője (például a Google, a Symantec) garantálja az adatok tárolását az adott országban. De ezek inkább kivételek; általában e követelmények teljesítése még mindig meglehetősen ritka. Még ha az adatok is az országban maradnak, az ügyfeleknek nincs módjuk arra, hogy ellenőrizzék azokat. Ezenkívül nem szabad megfeledkezni a vállalati alkalmazottak mobilitásáról. Ha egy Moszkvában dolgozó szakember New Yorkba utazik, akkor jobb (vagy legalábbis gyorsabb), ha adatokat kap az Egyesült Államok adatközpontjából. Ennek biztosítása már nagyságrenddel nehezebb feladat.

12. Állami szabványok

Jelenleg hazánkban nincs komoly szabályozási keret a felhőalapú technológiák számára, bár a fejlesztések ezen a területen már folyamatban vannak. Tehát az Orosz Föderáció elnökének 2012. 02. 8 -i 146. sz. megállapították, hogy a szuperszámítógépes és hálózati technológiák használatával létrehozott információs rendszerek adatbiztonságának területén engedélyezett szövetségi végrehajtó hatóságok az orosz FSB és az orosz FSTEC.

E rendelet kapcsán ezeknek a szolgáltatásoknak a hatásköre bővült. Az orosz FSZB most kidolgozza és jóváhagyja ezen rendszerek biztonságának biztosítására vonatkozó szabályozási és módszertani dokumentumokat, kutatásokat szervez és végez az információbiztonság területén.

A szolgáltatás szakértői titkosítási, mérnöki-kriptográfiai és speciális tanulmányokat is végez ezekről az információs rendszerekről, és szakértői véleményeket készít a létrehozásukra vonatkozó javaslatokról.

A dokumentum azt is előírja, hogy az orosz FSTEC stratégiát dolgoz ki, és meghatározza a kiemelt területeket az információbiztonság biztosítása érdekében a korlátozott adatokat feldolgozó szuperszámítógépes és rácstechnológiákat használó információs rendszerekben, valamint figyelemmel kíséri a munka állapotát a biztonság biztosítása érdekében.

Az FSTEC tanulmányt rendelt el, amelynek eredményeképpen a "felhőalapú technológiák" területén használt terminológiai rendszer béta verziója született.

Amint megérti, ez az egész terminológiai rendszer két dokumentum adaptált fordítása: "Focus Group on Cloud Computing Technical Report" és "The Cloud Listing of Cloud Computing". Nos, az a tény, hogy ez a két dokumentum nem nagyon áll összhangban egymással, külön kérdés. De vizuálisan még mindig látható: az orosz "Terminosystem" -ben a szerzők egyszerűen nem adtak linkeket ezekhez az angol dokumentumokhoz.

Az a tény, hogy egy ilyen munkához először meg kell vitatnia a megoldás fogalmát, céljait és célkitűzéseit, módszereit. Sok kérdés és megjegyzés van. A fő módszertani megjegyzés: nagyon világosan meg kell fogalmazni, hogy ez a kutatás milyen problémát old meg, mi a célja. Rögtön szeretném leszögezni, hogy a "terminológiai rendszer létrehozása" nem lehet cél, eszköz, hanem annak elérése, ami még nem túl világos.

Arról nem is beszélve, hogy egy normál kutatásnak tartalmaznia kell a status quo szakaszt.

Nehéz megvitatni egy vizsgálat eredményeit anélkül, hogy ismernénk a probléma eredeti megfogalmazását és azt, hogy a szerzők hogyan oldották meg.

A terminológiai rendszer egyik alapvető hibája azonban jól látható: lehetetlen megbeszélni a "felhős témát" a "nem zavaros" -tól elkülönítve. Ki az általános informatikai kontextusból. De ez az összefüggés nem látható a tanulmányban.

Ennek az az eredménye, hogy a gyakorlatban egy ilyen terminológiai rendszert lehetetlen alkalmazni. Ez csak tovább zavarhatja a helyzetet.

13. Felhőbiztonsági eszközök

A felhőalapú kiszolgáló védelmi rendszerének minimális konfigurációjában biztosítania kell a hálózati berendezések, az adattárolás, a szerver és a hipervizor biztonságát. Ezenkívül lehetőség van egy antivírus elhelyezésére egy dedikált magba, hogy megakadályozza a hipervizor fertőzését egy virtuális gépen keresztül, egy adattitkosító rendszert a felhasználói információk titkosított formában történő tárolására, valamint eszközöket a virtuális szerver és az ügyfél közötti titkosított alagút megvalósítására. gép.

Ehhez szükségünk van egy virtualizációt támogató szerverre. Ilyen megoldásokat kínál a Cisco, a Microsoft, a VMWare, a Xen, a KVM.

Az is megengedett, hogy klasszikus szervert használjunk, és virtualizációt biztosítsunk rajta hipervizorral.

Bármely kompatibilis processzorral rendelkező kiszolgáló alkalmas az operációs rendszerek virtualizálására x86-64 platformokon.

Egy ilyen megoldás leegyszerűsíti a számítástechnikai virtualizációra való áttérést anélkül, hogy további pénzügyi befektetéseket eszközölne a hardverfejlesztésekbe.

A munka sémája:

Rizs. 11. Példa egy "felhő" szerverre

Rizs. 12. A szerver válasza a berendezés meghibásodására

Jelenleg a felhőalapú számítástechnikai eszközök piaca még mindig üres. És ez nem meglepő. Szabályozási keret és a jövőbeli szabványokkal kapcsolatos bizonytalanság hiányában a fejlesztőcégek nem tudják, mire összpontosítsák erőfeszítéseiket.

Azonban még ilyen körülmények között is megjelennek speciális szoftver- és hardverrendszerek, amelyek lehetővé teszik a felhőszerkezet védelmét a fenyegetések fő típusaitól.

Az integritás megsértése

Egy hipervizor feltörése

Bennfentesek

Azonosítás

Hitelesítés

Titkosítás

Accord-B

Hardver és szoftver rendszer Accord-B. A VMware vSphere 4.1, a VMware vSphere 4.0 és a VMware Infrastructure 3.5 virtualizációs infrastruktúra védelmére tervezték.

Accord-B. Védelmet nyújt a virtualizációs környezet minden összetevője számára: az ESX szerverek és a virtuális gépek, a vCenter felügyeleti kiszolgálók és a VMware szolgáltatásokat tartalmazó további szerverek (például VMware Consolidated Backup).

Az Accord-V hardver- és szoftverkomplexumban a következő védelmi mechanizmusokat alkalmazzák:

· A hipervizor, a virtuális gépek, a virtuális gépeken belüli fájlok és az infrastruktúra-kezelő szerverek integritásának lépésről lépésre történő ellenőrzése;

· A hozzáférés differenciálása a virtuális infrastruktúra rendszergazdái és a biztonsági rendszergazdák számára;

· A felhasználói hozzáférés differenciálása a virtuális gépeken belül;

· A virtualizációs infrastruktúra összes felhasználójának és rendszergazdájának hardverazonosítása.

INFORMÁCIÓK A BIZONYÍTVÁNYOK ELÉRHETŐSÉGÉRŐL:

Az FSTEC of Russia 2598 számú megfelelőségi tanúsítványa, 2012.03.20., Tanúsítja, hogy az "Accord-V." Illetéktelen hozzáférés elleni információvédelem hardver- és szoftverkomplexuma megfelel a "Számítógépes berendezések. jogosulatlan hozzáférés az információkhoz. Az információ jogosulatlan hozzáférése elleni biztonság indikátorai "(Oroszország Állami Műszaki Bizottsága, 1992) - a 5 biztonsági osztály, "Védelem az információhoz való jogosulatlan hozzáférés ellen. 1. rész: Információvédelmi szoftver. Osztályozás a be nem jelentett képességek hiányának ellenőrzési szintje szerint" (Oroszország Állami Műszaki Bizottsága, 1999) - 4 az ellenőrzési szint és a technikai feltételek TU 4012-028-11443195-2010, valamint felhasználhatók az 1G biztonsági osztályig terjedő automatizált rendszerek létrehozására és a személyes adatok információs rendszereiben lévő információk védelmére is, egészen az 1. osztályig.

vGate R2

A vGate R2 a VMware vSphere 4 és a VMware vSphere 5.S rendszereken alapuló virtuális infrastruktúra információbiztonsági házirendjeinek jogosulatlan hozzáférés elleni védelmének hitelesített eszköze és az információbiztonsági irányelvek végrehajtásának ellenőrzése. az állami vállalatok, amelyek IP -je alkalmazandó, magas szintű tanúsítvánnyal rendelkező információbiztonsági rendszerek használatára vonatkozó követelmények.

Lehetővé teszi a rendszergazdák munkájának automatizálását a biztonsági rendszer konfigurálásában és működtetésében.

Segít ellensúlyozni a hibákat és a visszaéléseket a virtuális infrastruktúra -kezelésben.

Lehetővé teszi a virtuális infrastruktúra összhangba hozását a jogszabályokkal, az ipari szabványokkal és a világ legjobb gyakorlataival.

<#"783809.files/image017.gif"> <#"783809.files/image018.gif"> <#"783809.files/image019.gif"> <#"783809.files/image020.gif"> Rizs. 13 A vGate R2 bejelentette képességeit Összefoglalva, íme a vGate R2 fő eszközei, amelyek megvédik a szolgáltató adatközpontját a saját rendszergazdáitól származó belső fenyegetésekkel szemben: A vSphere rendszergazdák hatáskörének szervezeti és technikai szétválasztása Az IS rendszergazda külön szerepkörének kiosztása, aki a vSphere alapján kezeli az adatközpont erőforrásainak biztonságát A felhő felosztása biztonsági zónákra, amelyeken belül a megfelelő jogosultsággal rendelkező rendszergazdák működnek A virtuális gépek integritásának ellenőrzése Képesség bármikor jelentést kapni a vSphere infrastruktúra biztonságáról, valamint az információbiztonsági események ellenőrzéséről Elvileg csak ennyi szükséges ahhoz, hogy a virtuális adatközpont infrastruktúráját a virtuális infrastruktúra szempontjából megvédjük a belső fenyegetésekkel szemben. Természetesen a hardver, az alkalmazások és a vendég operációs rendszer szintjén is védelemre van szüksége, de ez egy másik probléma, amelyet szintén a vállalat termékeinek biztonsági kódjával oldanak meg<#"783809.files/image021.gif"> Rizs. 14. Szerver felépítése. Az ilyen létesítmény biztonságának biztosítása érdekében gondoskodni kell a biztonságról, a 2. táblázat szerint. Ehhez javaslom a szoftver termék használatát vGate R2. Lehetővé teszi olyan problémák megoldását, mint: · Erősebb hitelesítés a virtuális infrastruktúra rendszergazdái és az információbiztonsági rendszergazdák számára. · A virtuális infrastruktúra -kezelő eszközök védelme a hamisítás ellen. · Az ESX-kiszolgálók védelme a hamisítás ellen. · Kötelező beléptetés. · A virtuális gépek és a megbízható rendszerindítás konfigurációjának integritásának ellenőrzése. · A VI rendszergazdák virtuális gépek adataihoz való hozzáférésének ellenőrzése. · Az információbiztonsággal kapcsolatos események regisztrálása. · Az információbiztonsági rendszer összetevőinek integritásának és védelme a hamisítás ellen. · Központosított irányítás és ellenőrzés. 2. táblázat: A PaaS modell biztonsági igényeinek feltérképezése Orosz FSTEC tanúsítvány (SVT 5, NDV 4) lehetővé teszi a termék használatát az 1G osztályig terjedő biztonsági szintű automatizált rendszerekben és a K1 osztályba tartozó személyi információs rendszerekben (ISPDN). Ennek a megoldásnak a költsége 24 500 rubel lesz 1 fizikai processzor esetén a védett gazdagépen. Ezenkívül a bennfentesek elleni védelem érdekében biztonsági riasztót kell telepítenie. Ezek a megoldások meglehetősen gazdagon állnak rendelkezésre a szervervédelmi piacon. Az ilyen megoldás ára korlátozott hozzáféréssel az ellenőrzött területhez, riasztó- és videó megfigyelő rendszer 200 000 rubeltől Vegyük például a 250 000 rubelt. A virtuális gépek vírusfertőzésektől való védelme érdekében az egyik szervermag futtatni fogja a McAfee Total Protection for virtualizációt. A megoldás költsége 42 200 rubel. A Symantec Netbackup szolgáltatást használják a tárolók adatvesztésének megakadályozására. Lehetővé teszi az információk és a rendszerképek biztonságos mentését. Egy ilyen projekt megvalósításának teljes költsége: Hasonló tervezési megoldás Microsoft-implementációja letölthető innen: http://www.microsoft.com/en-us/download/confirmation. aspx? id = 2494 Kimenet A "felhőalapú technológiák" jelenleg az informatikai piac egyik legaktívabban fejlődő területe. Ha a technológiák növekedési üteme nem csökken, akkor 2015 -re évente több mint 170 millió euróval járulnak hozzá az európai országok kincstárához. Hazánkban a felhőalapú technológiákkal óvatosan bánnak. Ez részben a vezetés elcsontosodott nézeteinek, részben a biztonságba vetett bizalom hiányának tudható be. De ez a fajta technológia, minden előnyével és hátrányával együtt, az informatika fejlődésének új mozdonya. A "felhő másik oldalán" lévő alkalmazásnak egyáltalán nincs jelentősége, hogy kérését x86-os Intel, AMD, VIA processzorú számítógépen adja meg, vagy telefonon vagy okostelefonon, ARM-processzoros Freescale, OMAP, Tegra alapú . Sőt, nagyjából mindegy, hogy Linux operációs rendszert futtat, Google Chrome, OHA Android, Intel Moblin, Windows CE, Windows Mobile Windows XP / Vista / 7, vagy valami még egzotikusabbat használ ehhez. ... Ha csak a kérést állították össze helyesen és érthetően, és a rendszer képes volt "elsajátítani" a kapott választ. A biztonság kérdése a felhőalapú számítástechnika egyik fő kérdése, és megoldása javítani fogja a számítógépes szolgáltatások minőségét. Ebben az irányban azonban még sokat kell tenni. Hazánkban érdemes a teljes informatikai területre vonatkozó egységes szakkifejezésekkel kezdeni. Nemzetközi tapasztalatok alapján dolgozzon ki szabványokat. Állítson elő követelményeket a biztonsági rendszerekre. Irodalom 1. Pénzügyi szempontok a felhőalapú számítástechnika kormányzati használatához - Ausztrál kormány 2010. 2. Adatvédelem és felhőalapú számítástechnika az ausztrál kormányhivatalok számára 2007. Tárgyalás a felhő felett - jogi kérdések a felhőalapú számítási megállapodásokban 2009. Journal "Modern Science: Actual Problems of Theory and Practice" 2012. Hasonló munka - Információbiztonság a felhőalapú számítástechnikában: sebezhetőségek, védelmi módszerek és eszközök, ellenőrzési és incidensvizsgálati eszközök