Ketika Eric Schmitt, sekarang kepala Google, pertama kali menggunakan istilah "cloud" untuk merujuk pada sistem komputasi terdistribusi di web, dia hampir tidak tahu bahwa itu adalah salah satu kata yang sering muncul dalam legenda. Di hampir semua mitos orang-orang di dunia, makhluk ilahi hidup sangat dekat dengan langit - di atas awan. Akibatnya, istilah "komputasi awan" sangat populer di kalangan pemasar karena memberikan ruang untuk kreativitas. Kami juga akan mencoba untuk mengungkapkan mitos-mitos ini dan memahami bagaimana mereka digabungkan secara organik dengan TI.

Kematian Merlin

Salah satu karakter dalam siklus legenda tentang Raja Arthur dan Meja Bundarnya adalah pesulap dan penyihir Merlin, yang membantu Arthur di masa pemerintahannya. Sangat penting bahwa Merlin akhirnya dipenjara di awan. Dia, ingin menyombongkan diri kepada penyihir muda dan menunjukkan kekuatan magisnya, membangun kastil awan dan mengundang hasratnya untuk memeriksanya. Namun, penyihir itu ternyata licik dan memenjarakan penyihir itu di kastil awannya sendiri. Setelah itu, tidak ada yang melihat Merlin, jadi diyakini bahwa dia meninggal di suatu tempat di sana - di kastil awan yang dia bangun sendiri.

Sekarang "penyihir dari TI" juga telah membangun seluruh mitologi seputar komputasi terdistribusi, jadi agar tidak terpenjara dalam "kunci" ini, Anda harus terlebih dahulu mencari tahu apa awan ini, yaitu, untuk memisahkan pemasaran dari irisan daging.

Awalnya, hanya ada satu awan - dengan simbol inilah Internet secara tradisional ditunjuk. Awan ini berdiri untuk kumpulan semua komputer yang terhubung oleh protokol IP dan memiliki alamat IP mereka sendiri. Seiring waktu, Internet mulai mengalokasikan kumpulan server yang dipasang di penyedia dan di mana proyek web didasarkan. Pada saat yang sama, untuk memastikan beban tinggi dan toleransi kesalahan, sistem web terbesar menjadi multi-tingkat dan terdistribusi.

Dalam sistem seperti itu, level berikut dapat dibedakan: proxy terbalik, yang juga bertindak sebagai penyeimbang beban dan dekripsi SSL, server web itu sendiri, kemudian server aplikasi, DBMS, dan sistem penyimpanan. Pada saat yang sama, pada setiap level mungkin ada beberapa elemen yang menjalankan fungsi yang sama, dan oleh karena itu tidak selalu jelas komponen mana yang digunakan untuk memproses permintaan pengguna. Dan ketika tidak jelas, maka ini adalah awan. Oleh karena itu, mereka mulai mengatakan bahwa permintaan pengguna dieksekusi di suatu tempat di "cloud" dari sejumlah besar server. Inilah bagaimana istilah "komputasi awan" muncul.

Meskipun awalnya komputasi awan dikaitkan dengan proyek web yang tersedia untuk umum - portal, namun, seiring berkembangnya sistem web toleransi kesalahan terdistribusi, mereka mulai digunakan untuk memecahkan masalah internal perusahaan. Itu adalah masa booming portal perusahaan yang didasarkan pada teknologi web yang telah dikembangkan dalam sistem publik. Pada saat yang sama, sistem perusahaan mulai berkonsolidasi menjadi pusat data yang lebih mudah dan lebih murah untuk dipelihara.

Namun, akan tidak efisien untuk mengalokasikan server terpisah untuk setiap elemen cloud - tidak semua elemen cloud dimuat secara merata, sehingga industri virtualisasi mulai berkembang secara paralel. Di cloud publik, ternyata cukup populer, karena memungkinkan membedakan hak akses dan menyediakan transfer cepat elemen sistem terdistribusi ke operator perangkat keras lain. Tanpa virtualisasi, komputasi awan akan menjadi kurang dinamis dan terukur, itulah sebabnya awan sekarang cenderung terdiri dari mesin virtual.

Komputasi awan terutama terkait dengan penyewaan aplikasi, mendefinisikan tiga jenis layanan tersebut: IaaS - infrastruktur sebagai layanan, PaaS - platform sebagai layanan dan SaaS - perangkat lunak sebagai layanan. Terkadang keamanan sebagai layanan juga dikurangi menjadi SaaS, namun, agar tidak membingungkan layanan keamanan cloud dengan penyewaan perangkat lunak, lebih baik menyebutnya ISaaC - Keamanan Informasi sebagai Cloud. Layanan seperti itu juga mulai disediakan. Namun, jangan bingung antara outsourcing aplikasi dan komputasi awan, karena awan dapat bersifat in-house, publik, dan hybrid. Masing-masing jenis cloud ini memiliki karakteristik tersendiri saat mengatur sistem keamanan.

Tiga langkah Wisnu

Dewa Wisnu dalam mitologi Hindu dikenal karena fakta bahwa dialah yang menaklukkan ruang untuk kehidupan manusia dengan bantuan tiga langkah: yang pertama dibuat di bumi, yang kedua - di awan, dan yang ketiga - di tempat tertinggi. tinggal. Sesuai dengan Rig Veda, dengan tindakan inilah Wisnu menaklukkan semua ruang ini untuk orang-orang.

TI modern juga mengambil "langkah kedua" yang serupa - dari bawah ke awan. Namun, agar tidak jatuh dari awan ini ke tanah, ada baiknya menjaga keselamatan. Pada bagian pertama, saya menganalisis struktur cloud dengan sangat rinci untuk memahami ancaman apa yang ada untuk cloud computing. Dari hal di atas, kelas ancaman berikut harus dibedakan:

Serangan tradisional pada perangkat lunak... Mereka terkait dengan kerentanan protokol jaringan, sistem operasi, komponen modular, dan lainnya. Ini adalah ancaman tradisional, untuk perlindungan yang cukup untuk menginstal antivirus, firewall, IPS, dan komponen lain yang dibahas. Penting bahwa perlindungan ini disesuaikan dengan infrastruktur cloud dan bekerja secara efektif dalam lingkungan virtual.

Serangan fungsional pada elemen cloud... Jenis serangan ini dikaitkan dengan pelapisan awan, prinsip keamanan umum bahwa perlindungan keseluruhan sistem sama dengan tautan terlemah. Jadi serangan DoS yang berhasil pada proxy terbalik yang dipasang di depan cloud akan memblokir akses ke seluruh cloud, meskipun semua komunikasi di dalam cloud akan bekerja tanpa gangguan. Demikian pula, injeksi SQL yang melewati server aplikasi akan memberikan akses ke data sistem, terlepas dari aturan akses di lapisan penyimpanan data. Untuk melindungi dari serangan fungsional, untuk setiap lapisan cloud, Anda perlu menggunakan sarana perlindungan khusus: untuk proxy - perlindungan terhadap serangan DoS, untuk server web - kontrol integritas halaman, untuk server aplikasi - layar level aplikasi, untuk DBMS lapisan - perlindungan terhadap SQL -suntikan, untuk sistem penyimpanan - cadangan dan kontrol akses. Secara terpisah, masing-masing mekanisme pertahanan ini telah dibuat, tetapi mereka tidak dikumpulkan bersama untuk perlindungan cloud yang komprehensif, sehingga tugas mengintegrasikannya ke dalam satu sistem harus diselesaikan selama pembuatan cloud.

Serangan klien... Jenis serangan ini telah dipraktikkan di lingkungan web, tetapi juga relevan untuk cloud, karena klien terhubung ke cloud, biasanya menggunakan browser. Ini termasuk serangan seperti Cross Site Scripting (XSS), pembajakan sesi web, mencuri password, "man in the middle" dan lain-lain. Secara tradisional, otentikasi yang kuat dan komunikasi terenkripsi dengan otentikasi timbal balik telah menjadi pertahanan terhadap serangan-serangan ini, tetapi tidak semua pembuat cloud mampu membeli sarana perlindungan yang boros dan biasanya tidak terlalu nyaman. Oleh karena itu, dalam industri keamanan informasi ini masih ada tugas dan ruang yang belum terselesaikan untuk menciptakan sarana perlindungan baru.

Ancaman virtualisasi... Karena platform untuk komponen cloud secara tradisional merupakan lingkungan virtual, serangan terhadap sistem virtualisasi juga mengancam seluruh cloud secara keseluruhan. Jenis ancaman ini unik untuk komputasi awan, jadi kita akan melihatnya lebih dekat di bawah ini. Solusi untuk beberapa ancaman virtualisasi kini mulai bermunculan, namun industri ini tergolong baru, sehingga sejauh ini solusi yang ada belum dikembangkan. Sangat mungkin bahwa pasar keamanan informasi akan mengembangkan sarana perlindungan terhadap jenis ancaman ini dalam waktu dekat.

Ancaman Cloud Komprehensif... Mengontrol dan mengelola cloud juga merupakan masalah keamanan. Bagaimana memastikan bahwa semua sumber daya cloud dihitung dan tidak ada mesin virtual yang tidak terkendali di dalamnya, proses bisnis yang tidak perlu tidak diluncurkan, dan konfigurasi bersama lapisan dan elemen cloud tidak dilanggar. Jenis ancaman ini dikaitkan dengan pengelolaan cloud sebagai sistem informasi terpadu dan pencarian penyalahgunaan atau gangguan lain dalam pengoperasian cloud, yang dapat menyebabkan biaya yang tidak perlu untuk menjaga kesehatan sistem informasi. Misalnya, jika ada cloud yang memungkinkan pendeteksian virus di dalamnya menggunakan file, lalu bagaimana cara mencegah pencurian detektor tersebut? Jenis ancaman ini adalah yang paling tinggi dan, saya curiga, bahwa tidak ada perlindungan universal untuknya - untuk setiap cloud, perlindungan keseluruhannya harus dibangun secara individual. Ini dapat dibantu oleh model manajemen risiko paling umum, yang masih perlu diterapkan dengan benar ke infrastruktur cloud.

Dua jenis ancaman pertama telah cukup dipelajari dan pertahanan telah dikembangkan untuk mereka, tetapi mereka masih perlu diadaptasi untuk digunakan di cloud. Misalnya, firewall dirancang untuk melindungi perimeter, tetapi di cloud tidak mudah untuk mengalokasikan perimeter ke klien individu, yang membuat perlindungan jauh lebih sulit. Oleh karena itu, teknologi firewall perlu disesuaikan dengan infrastruktur cloud. Pekerjaan ke arah ini sekarang dilakukan secara aktif, misalnya, oleh Check Point.

Jenis ancaman baru untuk komputasi awan adalah masalah virtualisasi. Faktanya adalah ketika teknologi ini digunakan, elemen tambahan muncul di sistem yang dapat diserang. Ini termasuk hypervisor, sistem untuk mentransfer mesin virtual dari satu host ke host lain, dan sistem manajemen mesin virtual. Mari kita pertimbangkan secara lebih rinci jenis serangan apa yang dapat dialami oleh elemen-elemen yang terdaftar.

Serangan hypervisor... Sebenarnya, elemen kunci dari sistem virtual adalah hypervisor, yang memastikan pembagian sumber daya komputer fisik antara mesin virtual. Mengganggu pengoperasian hypervisor dapat menyebabkan fakta bahwa satu mesin virtual dapat mengakses memori dan sumber daya yang lain, mencegat lalu lintas jaringannya, mengambil sumber daya fisiknya, dan bahkan sepenuhnya memindahkan mesin virtual dari server. Sejauh ini, hanya sedikit peretas yang benar-benar memahami cara kerja hypervisor, sehingga hampir tidak ada serangan jenis ini, tetapi ini tidak menjamin bahwa mereka tidak akan muncul di masa depan.

Migrasi mesin virtual... Perlu dicatat bahwa mesin virtual adalah file yang dapat diluncurkan untuk dieksekusi di node cloud yang berbeda. Sistem manajemen mesin virtual menyediakan mekanisme untuk mentransfer mesin virtual dari satu host ke host lainnya. Namun, file mesin virtual dapat dicuri dan berusaha dijalankan di luar cloud. Tidak mungkin untuk mengeluarkan server fisik dari pusat data, tetapi mesin virtual dapat dicuri melalui jaringan tanpa memiliki akses fisik ke server. Benar, mesin virtual terpisah di luar cloud tidak memiliki nilai praktis - Anda perlu mencuri setidaknya satu mesin virtual dari setiap lapisan, serta data dari sistem penyimpanan untuk memulihkan cloud yang serupa, namun, virtualisasi cukup memungkinkan pencurian bagian atau seluruh awan. Artinya, gangguan pada mekanisme untuk mentransfer mesin virtual menciptakan risiko baru untuk sistem informasi.

Kontrol serangan sistem... Banyaknya mesin virtual yang digunakan di cloud, terutama di cloud publik, memerlukan sistem manajemen yang dapat mengontrol pembuatan, migrasi, dan pembuangan mesin virtual dengan andal. Intervensi dalam sistem kontrol dapat menyebabkan munculnya mesin virtual yang tidak terlihat, pemblokiran beberapa mesin dan penggantian elemen yang tidak sah di lapisan cloud. Semua ini memungkinkan penyerang memperoleh informasi dari cloud atau menangkap sebagian atau seluruh cloud.

Perlu dicatat bahwa sejauh ini semua ancaman yang tercantum di atas adalah murni hipotetis, karena praktis tidak ada informasi tentang serangan nyata dari jenis ini. Pada saat yang sama, ketika virtualisasi dan cloud menjadi cukup populer, semua jenis serangan ini bisa sangat nyata. Oleh karena itu, mereka harus diingat bahkan pada tahap merancang sistem cloud.

Melampaui langit ketujuh

Rasul Paulus mengaku telah mengenal seorang pria yang diangkat ke langit ketujuh. Sejak itu, frasa "surga ketujuh" telah mengakar kuat untuk sebutan surga. Namun, tidak semua orang kudus Kristen merasa terhormat untuk mengunjungi bahkan surga pertama, namun, tidak ada orang seperti itu yang tidak bermimpi melihat langit ketujuh dengan setidaknya satu mata.

Mungkin legenda inilah yang mendorong pencipta Trend Micro untuk menamai salah satu proyek perlindungan cloud mereka Cloud Nine - cloud kesembilan. Ini jelas di atas yang ketujuh. Namun, sekarang nama ini diberikan untuk berbagai hal: lagu, cerita detektif, permainan komputer, tetapi sangat mungkin bahwa nama ini terinspirasi oleh legenda Kristen Paul.

Namun, sejauh ini perusahaan Trend Micro hanya mempublikasikan informasi bahwa Cloud Nine akan dikaitkan dengan enkripsi data di cloud. Enkripsi datalah yang memungkinkan perlindungan terhadap sebagian besar ancaman terhadap data di cloud publik, sehingga proyek semacam itu sekarang akan dikembangkan secara aktif. Mari kita bayangkan alat perlindungan apa yang masih berguna untuk mengurangi risiko yang dijelaskan di atas.

Pertama-tama, Anda perlu menyediakan otentikasi yang andal, baik pengguna cloud maupun komponennya. Untuk melakukan ini, kemungkinan besar Anda dapat menggunakan sistem otentikasi tunggal (SSO) siap pakai, yang didasarkan pada Kerberos dan protokol otentikasi perangkat keras bersama. Selanjutnya, Anda memerlukan sistem manajemen identitas yang memungkinkan Anda mengonfigurasi hak akses pengguna ke sistem yang berbeda menggunakan manajemen berbasis peran. Tentu saja, Anda harus mengotak-atik definisi peran dan hak minimum untuk setiap peran, tetapi begitu Anda mengonfigurasi sistem, Anda dapat menggunakannya untuk waktu yang lama.

Ketika semua peserta dalam proses dan hak-hak mereka ditentukan, Anda perlu memantau kepatuhan terhadap hak-hak ini dan deteksi kesalahan administratif. Ini memerlukan sistem pemrosesan peristiwa dari sarana untuk melindungi elemen cloud dan mekanisme perlindungan tambahan, seperti firewall, antivirus, IPS, dan lainnya. Benar, ada baiknya menggunakan opsi yang dapat bekerja di lingkungan virtualisasi - ini akan lebih efektif.

Selain itu, Anda juga harus menggunakan beberapa jenis mesin penipuan yang memungkinkan Anda mendeteksi penipuan dalam penggunaan cloud, yaitu, untuk mengurangi risiko paling sulit untuk mengganggu proses bisnis. Benar, sekarang di pasar, kemungkinan besar, tidak ada mesin penipuan yang memungkinkan bekerja dengan awan, namun, teknologi untuk mendeteksi kasus penipuan dan penyalahgunaan telah dibuat untuk telepon. Karena sistem penagihan harus diterapkan di cloud, mesin penipuan juga harus terhubung dengannya. Dengan demikian, setidaknya akan mungkin untuk mengendalikan ancaman terhadap proses bisnis cloud.

Mekanisme pertahanan apa lagi yang dapat digunakan untuk melindungi awan? Pertanyaannya masih terbuka.

Ada beberapa metode untuk membangun infrastruktur TI perusahaan. Menyebarkan semua sumber daya dan layanan pada platform cloud hanyalah salah satunya. Namun, prasangka tentang keamanan solusi cloud sering menjadi kendala dengan cara ini. Pada artikel ini, kita akan memahami bagaimana sistem keamanan diatur di cloud salah satu penyedia Rusia paling terkenal - Yandex.

Dongeng adalah kebohongan, tetapi ada petunjuk di dalamnya

Awal cerita ini bisa diceritakan seperti dongeng terkenal. Ada tiga administrator di firma itu: yang senior adalah orang yang cerdas, yang di tengah adalah ini dan itu, yang termuda adalah ... seorang trainee-enikeyschik. Saya memulai pengguna di Active Directory dan memutar ekor ke tsiska. Waktunya telah tiba bagi perusahaan untuk berkembang, dan raja, yaitu bos, memanggil pasukan adminnya. Saya berharap, katanya, layanan web baru untuk klien kami, penyimpanan file kami sendiri, database terkelola, dan mesin virtual untuk pengujian perangkat lunak.

Yang termuda segera menyarankan untuk membuat infrastrukturnya sendiri dari awal: membeli server, menginstal dan mengonfigurasi perangkat lunak, memperluas saluran Internet utama dan menambahkan cadangan - untuk keandalan. Dan perusahaan lebih tenang: perangkat keras selalu ada, kapan saja Anda dapat mengganti atau mengkonfigurasi ulang sesuatu, dan dia sendiri akan memiliki peluang bagus untuk memompa keterampilan adminnya. Mereka menghitung dan meneteskan air mata: perusahaan tidak akan mampu membayar biaya seperti itu. Bisnis besar bisa melakukan ini, tetapi untuk bisnis menengah dan kecil ternyata terlalu mahal. Nah, Anda tidak hanya perlu membeli peralatan, melengkapi ruang server, menggantung AC dan memasang alarm kebakaran, Anda juga perlu mengatur tugas shift untuk menjaga ketertiban siang dan malam dan mengusir serangan jaringan dari orang-orang gagah dari Internet. Dan untuk beberapa alasan, administrator tidak ingin bekerja di malam hari dan di akhir pekan. Jika hanya untuk pembayaran ganda.

Admin senior melihat dengan serius melalui jendela terminal dan menyarankan untuk meletakkan semua layanan di cloud. Tetapi kemudian rekan-rekannya mulai menakut-nakuti satu sama lain dengan cerita-cerita horor: mereka mengatakan, infrastruktur cloud memiliki antarmuka dan API yang tidak terlindungi, menyeimbangkan beban klien yang berbeda dengan buruk, yang dapat merusak sumber daya Anda sendiri, dan juga tidak stabil terhadap pencurian data dan serangan eksternal. . Dan secara umum, menakutkan untuk mentransfer kendali atas data dan perangkat lunak penting kepada orang yang tidak berwenang yang dengannya Anda belum makan satu pon garam dan minum seember bir.

Biasa-biasa saja memberi ide untuk menempatkan seluruh sistem TI di pusat data penyedia, di salurannya. Pada itu dan memutuskan. Namun, ada beberapa kejutan yang menunggu trio kami, tidak semuanya menyenangkan.

Pertama, setiap infrastruktur jaringan memerlukan ketersediaan wajib alat keamanan dan perlindungan, yang, tentu saja, telah diterapkan, dikonfigurasi, dan diluncurkan. Tetapi biaya sumber daya perangkat keras yang mereka gunakan, ternyata, harus dibayar oleh klien sendiri. Dan sistem keamanan informasi modern menghabiskan banyak sumber daya.

Kedua, bisnis terus tumbuh dan infrastruktur yang dibangun dari awal dengan cepat mencapai batas skalabilitas. Selain itu, untuk perluasannya, perubahan tarif yang sederhana saja tidak cukup: dalam hal ini, banyak layanan harus ditransfer ke server lain, dikonfigurasi ulang, dan sesuatu yang sepenuhnya didesain ulang dari awal.

Akhirnya, suatu hari, karena kerentanan kritis di salah satu aplikasi, seluruh sistem macet. Admin dengan cepat mengambilnya dari cadangan, tetapi mereka tidak berhasil dengan cepat mengetahui alasan apa yang terjadi, karena mereka lupa menyiapkan cadangan untuk layanan logging. Waktu yang berharga telah hilang, dan waktu, seperti kata kebijaksanaan populer, adalah uang.

Menghitung biaya dan menyimpulkan hasilnya membawa manajemen perusahaan ke kesimpulan yang mengecewakan: admin yang sejak awal menyarankan menggunakan model cloud IaaS - "infrastruktur sebagai layanan", benar. Adapun keamanan platform semacam itu, ada baiknya membicarakannya secara terpisah. Dan kami akan melakukan ini menggunakan contoh layanan yang paling populer - Yandex.Cloud.

Keamanan di Yandex.Cloud

Mari kita mulai, seperti yang disarankan oleh Kucing Cheshire kepada gadis Alice, dari awal. Artinya, dari masalah penggambaran tanggung jawab. Di Yandex.Cloud, seperti di platform serupa lainnya, penyedia bertanggung jawab atas keamanan layanan yang diberikan kepada pengguna, sementara klien sendiri bertanggung jawab untuk memastikan operasi yang benar dari aplikasi yang ia kembangkan, atur, dan batasi akses jarak jauh ke dedicated sumber daya, konfigurasi database dan mesin virtual, kontrol atas logging. Namun, untuk ini ia dilengkapi dengan semua alat yang diperlukan.

Keamanan infrastruktur cloud Yandex memiliki beberapa tingkat, yang masing-masing menerapkan prinsip perlindungannya sendiri dan menggunakan gudang teknologi yang terpisah.

Lapisan fisik

Bukan rahasia lagi bahwa Yandex memiliki pusat data sendiri, yang dilayani oleh departemen keamanan mereka sendiri. Kami berbicara tidak hanya tentang pengawasan video dan layanan kontrol akses yang dirancang untuk mencegah orang luar memasuki ruang server, tetapi juga tentang sistem kontrol iklim, pemadam kebakaran, dan catu daya yang tidak pernah terputus. Penjaga keamanan yang keras tidak banyak berguna jika rak server Anda pernah dibanjiri air dari alat penyiram api, atau jika terlalu panas setelah AC rusak. Ini pasti tidak akan terjadi pada mereka di pusat data Yandex.

Selain itu, perangkat keras Cloud secara fisik terpisah dari "Yandex besar": mereka berada di rak yang berbeda, tetapi dengan cara yang persis sama mereka menjalani perawatan rutin rutin dan penggantian komponen. Di perbatasan kedua infrastruktur ini, firewall perangkat keras digunakan, dan di dalam Cloud - Firewall berbasis Host perangkat lunak. Selain itu, sakelar Top-of-the-rack menggunakan sistem Access Control List (ACL), yang sangat meningkatkan keamanan seluruh infrastruktur. Yandex secara berkelanjutan memindai Cloud dari luar untuk mencari port terbuka dan kesalahan konfigurasi, sehingga potensi kerentanan dapat dikenali dan dihilangkan terlebih dahulu. Untuk karyawan yang bekerja dengan sumber daya Cloud, sistem otentikasi terpusat menggunakan kunci SSH dengan model akses berbasis peran telah diterapkan, dan semua sesi administrator dicatat. Pendekatan ini adalah bagian dari model Secure by default, yang banyak digunakan oleh Yandex: keamanan dimasukkan ke dalam infrastruktur TI pada tahap desain dan pengembangannya, dan tidak ditambahkan kemudian, ketika semuanya telah dioperasikan.

Tingkat infrastruktur

Pada tingkat “logika perangkat keras dan perangkat lunak”, Yandex.Cloud menggunakan tiga layanan infrastruktur: Compute Cloud, Virtual Private Cloud, dan Yandex Managed Services. Dan sekarang tentang masing-masing dengan sedikit lebih detail.

komputasi awan

Layanan ini menyediakan daya komputasi yang dapat diskalakan untuk berbagai tugas, seperti hosting proyek web dan layanan beban tinggi, pengujian dan pembuatan prototipe, atau migrasi sementara infrastruktur TI untuk periode perbaikan atau penggantian peralatannya sendiri. Anda dapat mengelola layanan melalui konsol, baris perintah (CLI), SDK, atau API.

Keamanan Compute Cloud didasarkan pada fakta bahwa semua mesin virtual klien menggunakan setidaknya dua inti, dan tidak ada komitmen berlebihan dalam alokasi memori. Karena dalam kasus ini hanya kode klien yang dieksekusi pada kernel, sistem tidak rentan terhadap kerentanan seperti L1TF, Spectre dan Meltdown atau serangan saluran samping.

Selain itu, Yandex menggunakan rakitan Qemu / KVM-nya sendiri, di mana semua yang tidak perlu dinonaktifkan, hanya menyisakan set kode dan pustaka minimum yang diperlukan untuk pengoperasian hypervisor. Pada saat yang sama, proses diluncurkan di bawah kendali instrumentasi berbasis AppArmor, yang, dengan menggunakan kebijakan keamanan, menentukan sumber daya sistem mana dan dengan hak istimewa mana yang dapat diakses oleh aplikasi tertentu. AppArmor yang berjalan di atas setiap mesin virtual mengurangi risiko aplikasi klien dapat mengakses hypervisor dari VM. Untuk menerima dan memproses log, Yandex telah membangun proses untuk mengirimkan data dari AppArmor dan kotak pasir ke Splunknya sendiri.

Awan pribadi virtual

Layanan Virtual Private Cloud memungkinkan Anda membuat jaringan cloud yang digunakan untuk mentransfer informasi antara sumber daya yang berbeda dan koneksinya ke Internet. Layanan ini secara fisik didukung oleh tiga pusat data independen. Dalam lingkungan ini, isolasi logis dilakukan pada tingkat komunikasi multi-protokol - MPLS. Pada saat yang sama, Yandex terus-menerus mengaburkan antarmuka SDN dan hypervisor, yaitu, dari sisi mesin virtual, aliran paket yang salah terus dikirim ke lingkungan eksternal untuk menerima respons dari SDN, menganalisisnya, dan menutup kemungkinan kesenjangan konfigurasi. Perlindungan DDoS secara otomatis diaktifkan ketika mesin virtual dibuat.

Layanan Terkelola Yandex

Yandex Managed Services adalah lingkungan perangkat lunak untuk mengelola berbagai layanan: DBMS, cluster Kubernetes, server virtual di infrastruktur Yandex.Cloud. Di sinilah layanan mengambil alih sebagian besar pekerjaan keamanan. Semua cadangan, enkripsi cadangan, manajemen Kerentanan, dan sebagainya disediakan secara otomatis oleh perangkat lunak Yandex.Cloud.

Alat respons insiden

Untuk merespons insiden keamanan informasi secara tepat waktu, perlu untuk mengidentifikasi sumber masalah tepat waktu. Untuk ini, perlu menggunakan alat pemantauan yang andal yang harus bekerja sepanjang waktu dan tanpa gangguan. Sistem seperti itu pasti akan menghabiskan sumber daya, tetapi Yandex.Cloud tidak mengalihkan biaya daya komputasi alat keamanan ke pengguna platform.

Saat memilih toolkit, Yandex dipandu oleh persyaratan penting lainnya: jika eksploitasi kerentanan 0day yang berhasil di salah satu aplikasi, penyerang tidak boleh meninggalkan host aplikasi, sementara tim keamanan harus segera mempelajari insiden tersebut dan bereaksi sebagai diperlukan.

Last but not least, keinginannya adalah semua alat harus open source. Kriteria ini sepenuhnya dipenuhi oleh bundel AppArmor + Osquery, yang diputuskan untuk digunakan di Yandex.Cloud.

AppArmor

AppArmor disebutkan di atas: ini adalah alat perangkat lunak perlindungan proaktif berdasarkan profil keamanan yang dapat disesuaikan. Profil menggunakan teknologi pelabelan privasi Mandatory Access Control (MAC) yang diimplementasikan menggunakan LSM langsung di kernel Linux itu sendiri sejak versi 2.6. Pengembang Yandex memilih AppArmor karena alasan berikut:

• ringan dan cepat, karena alat ini bergantung pada bagian dari kernel Linux;
• ini adalah solusi open source;
• AppArmor dapat digunakan dengan sangat cepat di Linux tanpa menulis kode apa pun;
• konfigurasi fleksibel dimungkinkan menggunakan file konfigurasi.

Osquery

Osquery adalah alat pemantauan keamanan sistem yang dikembangkan oleh Facebook dan sekarang berhasil digunakan di banyak industri TI. Pada saat yang sama, alat ini lintas platform dan sumber terbuka.

Dengan bantuan Osquery, Anda dapat mengumpulkan informasi tentang keadaan berbagai komponen sistem operasi, mengakumulasikannya, mengubahnya menjadi format JSON standar dan mengirimkannya ke penerima yang dipilih. Alat ini memungkinkan Anda untuk menulis dan mengirim kueri SQL standar ke aplikasi Anda, yang disimpan dalam database rockdb. Anda dapat menyesuaikan frekuensi dan kondisi permintaan ini untuk dieksekusi atau diproses.

Tabel standar telah menerapkan banyak fitur, misalnya, Anda bisa mendapatkan daftar proses yang berjalan di sistem, paket yang diinstal, kumpulan aturan iptables saat ini, entitas crontab, dan sebagainya. Di luar kotak, dukungan untuk menerima dan menguraikan peristiwa dari sistem audit kernel telah diterapkan (digunakan di Yandex.Cloud untuk menangani peristiwa AppArmor).

Osquery sendiri ditulis dalam C ++ dan didistribusikan dengan open source, Anda dapat memodifikasinya dan keduanya menambahkan tabel baru ke basis kode utama, dan membuat ekstensi Anda sendiri dalam C, Go atau Python.

Fitur yang berguna dari Osquery adalah adanya sistem kueri terdistribusi, yang dengannya Anda dapat menanyakan semua mesin virtual di jaringan secara real time. Ini bisa berguna, misalnya, jika kerentanan ditemukan dalam sebuah paket: dengan satu kueri, Anda bisa mendapatkan daftar mesin tempat paket ini diinstal. Fitur ini banyak digunakan ketika mengelola sistem terdistribusi besar dengan infrastruktur yang kompleks.

kesimpulan

Jika kita kembali ke cerita yang diceritakan di awal artikel ini, kita akan melihat bahwa ketakutan yang membuat para pahlawan kita menolak untuk menyebarkan infrastruktur di platform cloud ternyata tidak berdasar. Setidaknya ketika datang ke Yandex.Cloud. Keamanan infrastruktur cloud yang dibuat oleh Yandex memiliki arsitektur eselon berlapis-lapis dan karenanya memberikan perlindungan tingkat tinggi terhadap sebagian besar ancaman yang diketahui saat ini.

Pada saat yang sama, karena penghematan pemeliharaan rutin perangkat keras dan pembayaran sumber daya yang digunakan oleh sistem pemantauan dan pencegahan insiden yang dilakukan Yandex, menggunakan Yandex.Cloud secara signifikan menghemat uang untuk usaha kecil dan menengah. Tentu saja, sepenuhnya mengabaikan departemen TI atau departemen yang bertanggung jawab atas keamanan informasi (terutama jika kedua peran ini digabungkan menjadi satu tim) tidak akan berhasil. Tetapi Yandex.Cloud akan secara signifikan mengurangi biaya tenaga kerja dan biaya overhead.

Karena Yandex.Cloud memberi pelanggannya infrastruktur yang aman dengan semua alat keamanan yang diperlukan, mereka dapat fokus pada proses bisnis, menyerahkan tugas pemeliharaan layanan dan pemantauan perangkat keras kepada penyedia. Ini tidak menghilangkan kebutuhan untuk administrasi VM, database, dan aplikasi saat ini, tetapi berbagai tugas seperti itu harus diselesaikan dalam hal apa pun. Secara umum, kita dapat mengatakan bahwa Yandex.Cloud tidak hanya menghemat uang, tetapi juga waktu. Dan yang kedua, tidak seperti yang pertama, adalah sumber daya yang tak tergantikan.

GRIGORIEV1 Vitaly Robertovich, Kandidat Ilmu Teknis, Associate Professor KUZNETSOV2 Vladimir Sergeevich

MASALAH IDENTIFIKASI KERENTANAN PADA MODEL CLOUD COMPUTING

Artikel ini memberikan gambaran umum tentang pendekatan untuk membangun model konseptual komputasi awan, serta perbandingan pandangan yang ada tentang mengidentifikasi kerentanan yang melekat dalam sistem yang dibangun berdasarkan model ini. Kata kunci: komputasi awan, kerentanan, inti ancaman, virtualisasi.

Tujuan artikel ini adalah untuk memberikan gambaran tentang pendekatan untuk membangun model komputasi awan konseptual yang diuraikan dalam Arsitektur Referensi Komputasi Awan NIST, dan untuk membandingkan pandangan organisasi terkemuka di bidang ini tentang kerentanan dalam model komputasi ini, serta pemain utama di pasar komputasi awan.

Komputasi awan adalah model yang menyediakan akses jaringan sesuai permintaan yang nyaman ke sumber daya komputasi bersama yang dapat dikonfigurasi (jaringan, server, penyimpanan data, aplikasi, dan layanan) yang dikirimkan dengan cepat dengan manajemen minimal dan interaksi penyedia layanan. Definisi National Standards Institute (NIST) ini diterima secara luas di seluruh industri. Definisi komputasi awan mencakup lima karakteristik dasar, tiga model layanan, dan empat model penyebaran.

Lima karakteristik utama

Layanan mandiri sesuai permintaan

Pengguna dapat memperoleh, mengontrol, dan mengelola sumber daya komputasi tanpa bantuan administrator sistem. Akses jaringan luas - Layanan komputasi disediakan melalui jaringan standar dan perangkat heterogen.

Elastisitas operasi - 1T-

sumber daya dapat dengan cepat ditingkatkan ke segala arah sesuai kebutuhan.

Kumpulan sumber daya - Sumber daya TI digunakan bersama oleh aplikasi dan pengguna yang berbeda dalam mode terputus.

Perhitungan biaya layanan - penggunaan sumber daya 1T dilacak untuk setiap aplikasi dan pengguna, sebagai aturan, untuk menyediakan penagihan untuk cloud publik dan pembayaran internal untuk penggunaan cloud pribadi.

Tiga model layanan

Software as a Service (SaaS) - Biasanya, aplikasi dikirimkan ke pengguna akhir sebagai layanan melalui browser web. Ada ratusan penawaran SaaS saat ini, dari aplikasi perusahaan horizontal hingga penawaran khusus industri, serta aplikasi konsumen seperti email.

Platform as a Service (PaaS) - Platform pengembangan dan penerapan aplikasi disediakan sebagai layanan bagi pengembang untuk membangun, menyebarkan, dan mengelola aplikasi SaaS. Biasanya, sebuah platform mencakup database, middleware, dan alat pengembangan, yang semuanya disediakan sebagai layanan melalui Internet. PaaS sering menargetkan bahasa pemrograman atau API seperti Java atau Python. Virtualized Grid Computing Clustered Architecture sering menjadi dasar untuk sistem

1 - MSTU MIREA, Associate Professor Departemen Keamanan Informasi;

2 - Universitas Radioelektronik dan Otomasi Negeri Moskow (MSTU MIREA), mahasiswa.

Surga, karena struktur jaringan sumber daya jaringan menyediakan skalabilitas elastis yang diperlukan dan penyatuan sumber daya. Infrastruktur sebagai Layanan (IaaS) - Server, penyimpanan, dan perangkat keras jaringan disediakan sebagai layanan. Perangkat keras infrastruktur ini sering divirtualisasikan, sehingga virtualisasi, manajemen, dan perangkat lunak sistem operasi juga merupakan bagian dari LaaRa.

Empat model penyebaran

Awan pribadi - Dirancang untuk penggunaan eksklusif satu organisasi dan biasanya dikontrol, dikelola, dan dihosting oleh pusat data pribadi. Hosting dan pengelolaan cloud pribadi dapat dialihdayakan ke penyedia layanan eksternal, tetapi seringkali

Cloud baru tetap digunakan secara eksklusif oleh satu organisasi. Awan publik - dibagikan oleh banyak organisasi (pengguna), dipelihara dan dikelola oleh penyedia layanan eksternal.

Awan grup - Digunakan oleh sekelompok organisasi terkait yang ingin memanfaatkan lingkungan komputasi awan bersama. Misalnya, sebuah kelompok dapat terdiri dari berbagai cabang angkatan bersenjata, semua universitas di wilayah tertentu, atau semua pemasok dari pabrikan besar.

Awan hibrid - muncul saat organisasi menggunakan cloud pribadi dan publik untuk aplikasi yang sama guna memanfaatkan keduanya. Misalnya, dalam skenario "badai", pengguna organisasi dalam kasus beban standar pada aplikasi

menggunakan awan pribadi, dan ketika beban puncak, misalnya, pada akhir kuartal atau selama musim liburan, ia menggunakan potensi awan publik, kemudian mengembalikan sumber daya ini ke kumpulan umum saat tidak diperlukan.

dalam gambar. 1 menunjukkan model konseptual komputasi awan menurut dokumen "NIST Cloud Computing Reference Architecture". Seperti yang ditunjukkan pada Gambar. Model 1 dalam standar menyoroti peserta utama sistem cloud: konsumen cloud, penyedia cloud, auditor cloud, broker cloud, perantara cloud. Setiap peserta adalah orang atau organisasi yang menjalankan fungsinya masing-masing dalam mengimplementasikan atau menyediakan komputasi awan. Konsumen cloud - orang atau organisasi yang memelihara interaksi bisnis dengan lainnya

Konsumen awan

Auditor awan

C Audit keamanan L I J

I Audit kerahasiaan I J

(Audit atas layanan yang diberikan | J

Penyedia awan

Kompleks level

Tingkat kustom

^ Layanan sebagai Layanan ^ ^ Platform sebagai Layanan ^ Infrastruktur sebagai Layanan)

Tingkat abstraksi

Lapisan fisik

Layanan awan

^ J dukungan ^ J kustomisasi

Portabilitas

Pialang awan

Perantara awan

Beras. 1. Model konseptual yang dikembangkan oleh spesialis NIST

jaringan tori dan menggunakan layanan dari penyedia cloud. Penyedia cloud - seseorang, organisasi, atau siapa saja yang bertanggung jawab atas ketersediaan layanan yang diberikan kepada konsumen yang berminat. Auditor cloud - peserta yang dapat melakukan evaluasi independen atas layanan cloud, layanan, dan keamanan implementasi cloud. Pialang cloud adalah peserta yang mengelola penggunaan, kinerja, dan pengiriman layanan cloud kepada konsumen, dan menegosiasikan interaksi antara penyedia cloud dan konsumen cloud. Perantara cloud - Perantara yang menyediakan komunikasi dan pengiriman layanan cloud antara penyedia cloud dan konsumen cloud.

Keuntungan dan Tantangan Cloud Computing

Survei terbaru dari spesialis TI menunjukkan bahwa komputasi awan menawarkan dua keuntungan utama ketika mengatur layanan terdistribusi - kecepatan dan biaya. Berkat akses offline ke kumpulan sumber daya komputasi, pengguna dapat disertakan dalam proses yang menarik bagi mereka dalam hitungan menit, dan bukan dalam beberapa minggu atau bulan, seperti yang terjadi di masa lalu. Kapasitas komputasi juga berubah dengan cepat berkat lingkungan komputasi Grid yang dapat diskalakan secara elastis. Karena dalam komputasi awan, pengguna hanya membayar untuk apa yang mereka gunakan, dan skalabilitas dan otomatisasi mencapai tingkat tinggi, rasio biaya dan efisiensi layanan yang diberikan juga merupakan faktor yang sangat menarik bagi semua peserta dalam proses pertukaran.

Jajak pendapat yang sama menunjukkan bahwa ada sejumlah pertimbangan serius yang menahan beberapa perusahaan untuk pindah ke cloud. Di antara pertimbangan ini, keamanan komputasi awan sejauh ini memimpin.

Untuk penilaian keamanan yang memadai dalam sistem cloud, masuk akal untuk mengeksplorasi pandangan ancaman di area para pemain pasar utama ini. Kami akan membandingkan pendekatan ancaman cloud saat ini yang disajikan dalam Peta Jalan Standar Komputasi Awan NIST dengan yang ditawarkan oleh IBM, Oracle, dan VmWare.

Standar Keamanan Komputasi Awan Institut Standar Nasional AS

Peta Jalan Standar Komputasi Awan NIST, yang diadopsi oleh NIST, mencakup kemungkinan jenis serangan pada layanan komputasi awan:

mengorbankan kerahasiaan dan ketersediaan data yang dikirimkan oleh penyedia cloud;

serangan yang berasal dari fitur struktural dan kemampuan lingkungan komputasi awan untuk memperkuat dan meningkatkan kerusakan akibat serangan;

akses konsumen yang tidak sah (melalui otentikasi atau otorisasi yang salah, atau kerentanan yang diperkenalkan melalui pemeliharaan berkala) ke perangkat lunak, data, dan sumber daya yang digunakan oleh konsumen layanan cloud resmi;

peningkatan tingkat serangan jaringan, seperti DoS, mengeksploitasi perangkat lunak, yang pengembangannya tidak memperhitungkan model ancaman untuk sumber daya Internet terdistribusi, serta kerentanan sumber daya yang dapat diakses dari jaringan pribadi;

kemungkinan terbatas untuk enkripsi data di lingkungan dengan sejumlah besar peserta;

portabilitas yang dihasilkan dari penggunaan API non-standar yang mempersulit konsumen cloud untuk bermigrasi ke penyedia cloud baru ketika persyaratan ketersediaan tidak terpenuhi;

serangan yang mengeksploitasi abstraksi fisik sumber daya cloud dan mengeksploitasi kelemahan dalam catatan dan prosedur audit;

serangan pada mesin virtual yang belum diperbarui;

serangan mengeksploitasi inkonsistensi dalam kebijakan keamanan global dan swasta.

Standar ini juga menyoroti tujuan keamanan utama untuk komputasi awan:

perlindungan data pengguna dari akses, pengungkapan, modifikasi, atau penayangan yang tidak sah; menyiratkan dukungan layanan identifikasi sedemikian rupa sehingga konsumen memiliki kemampuan untuk melakukan identifikasi dan kebijakan kontrol akses pada pengguna resmi yang memiliki akses ke layanan cloud; pendekatan ini menyiratkan kemampuan konsumen untuk menyediakan akses ke datanya secara selektif kepada pengguna lain;

perlindungan terhadap ancaman rantai pasokan; termasuk konfirmasi tingkat kepercayaan dan keandalan penyedia layanan pada tingkat yang sama dengan tingkat kepercayaan pada perangkat lunak dan perangkat keras yang digunakan;

pencegahan akses tidak sah ke sumber daya komputasi awan; termasuk membuat domain aman yang secara logis terpisah dari sumber daya (misalnya, secara logis memisahkan beban kerja yang berjalan di server fisik yang sama melalui hypervisor di lingkungan multipenyewa) dan menggunakan konfigurasi default yang aman;

pengembangan aplikasi web yang digunakan di awan untuk model ancaman sumber daya Internet terdistribusi dan integrasi fungsi keamanan ke dalam proses pengembangan perangkat lunak;

perlindungan browser Internet dari serangan untuk mengurangi kelemahan keamanan pengguna akhir; termasuk mengambil tindakan untuk melindungi koneksi Internet komputer pribadi berdasarkan penggunaan perangkat lunak yang aman, firewall (firewall) dan pemasangan pembaruan secara berkala;

penyebaran kontrol akses dan teknologi deteksi intrusi

niy dari penyedia cloud dan melakukan penilaian independen untuk memverifikasi ketersediaannya; termasuk (namun tidak terbatas pada) langkah-langkah keamanan perimeter tradisional yang dikombinasikan dengan model keamanan domain; keamanan perimeter tradisional termasuk membatasi akses fisik ke jaringan dan perangkat, melindungi komponen individu dari eksploitasi dengan menyebarkan pembaruan, mengatur sebagian besar pengaturan keamanan secara default, menonaktifkan semua port dan layanan yang tidak digunakan, menggunakan kontrol akses berbasis peran, memantau catatan audit, meminimalkan hak istimewa yang digunakan , menggunakan paket anti-virus dan koneksi terenkripsi;

menentukan batasan tepercaya antara penyedia layanan dan konsumen untuk memastikan bahwa tanggung jawab resmi untuk menyediakan keamanan jelas;

dukungan untuk portabilitas, dilakukan agar konsumen memiliki kesempatan untuk mengubah penyedia cloud dalam kasus di mana ia perlu memenuhi persyaratan untuk integritas, ketersediaan, kerahasiaan; ini termasuk kemampuan untuk menutup akun saat ini dan menyalin data dari satu penyedia layanan ke penyedia layanan lainnya.

Dengan demikian, Peta Jalan Standar Komputasi Awan NIST, yang diadopsi oleh NIST, mendefinisikan daftar dasar serangan pada sistem cloud dan daftar tugas dasar yang harus

diatasi dengan menerapkan

langkah-langkah yang tepat.

Mari kita merumuskan ancaman terhadap keamanan informasi sistem cloud:

U1 - ancaman (kompromi, ketersediaan, dll ...) terhadap data;

U2 - ancaman yang dihasilkan oleh fitur struktural dan kemampuan arsitektur untuk implementasi komputasi terdistribusi;

U4 - ancaman yang terkait dengan model ancaman yang salah;

U5 - ancaman yang terkait dengan penggunaan enkripsi yang salah (perlu menggunakan enkripsi di lingkungan di mana terdapat beberapa aliran data);

U6 - ancaman yang terkait dengan penggunaan API non-standar selama pengembangan;

U7 - ancaman virtualisasi;

U8 - ancaman yang mengeksploitasi inkonsistensi dalam kebijakan keamanan global.

Perspektif IBM tentang keamanan komputasi awan

Panduan Keamanan Cloud IBM Recommendations for the Implementation of Cloud Security memungkinkan kami untuk menarik kesimpulan tentang visi keamanan IBM. Berdasarkan dokumen ini, kami dapat memperluas daftar ancaman yang diusulkan sebelumnya, yaitu:

U9 - ancaman yang terkait dengan akses pihak ketiga ke sumber daya fisik \ sistem;

U10 - ancaman yang terkait dengan pembuangan (siklus hidup) informasi pribadi yang salah;

U11 - ancaman yang terkait dengan pelanggaran hukum regional, nasional dan internasional mengenai informasi yang diproses.

Pendekatan IBM, Oracle, dan VmWare untuk Keamanan Komputasi Awan

Dokumentasi yang disediakan oleh perusahaan-perusahaan ini menjelaskan pandangan mereka tentang keamanan dalam sistem mereka pada dasarnya tidak berbeda dari ancaman di atas.

Meja 1 daftar kelas utama kerentanan yang dirumuskan oleh perusahaan dalam produk mereka. tab. 1 memungkinkan Anda untuk melihat kurangnya cakupan penuh ancaman di perusahaan yang diteliti dan untuk merumuskan "inti ancaman" yang dibuat oleh perusahaan di sistem cloud mereka:

ancaman terhadap data;

ancaman berdasarkan struktur \ kemampuan komputasi terdistribusi;

ancaman yang terkait dengan model ancaman yang salah;

ancaman virtualisasi.

Kesimpulan

Ikhtisar kelas utama kerentanan di platform cloud memungkinkan kami untuk menyimpulkan bahwa saat ini tidak ada solusi siap pakai untuk sepenuhnya melindungi cloud karena berbagai serangan yang menggunakan kerentanan ini.

Perlu dicatat bahwa tabel kelas kerentanan yang dibangun (Tabel 1), yang mengintegrasikan pendekatan terkemuka

Tabel 1. Kelas kerentanan

Sumber Ancaman yang Dideklarasikan

U1 U2 U3 U4 U5 U6 U7 U8 U9 U10 U11

NIST + + + + + + + + - - -

IBM + + + + + - + - + + +

Matahari / Oracle + + + + - - + - - + -

VmWare + + + + - - + - - - -

industri pemain ini tidak terbatas pada ancaman yang dihadirkan di dalamnya. Misalnya, tidak mencerminkan ancaman yang terkait dengan mengaburkan batas antara lingkungan dengan tingkat kerahasiaan data yang berbeda, serta mengaburkan batas tanggung jawab untuk keamanan informasi antara konsumen layanan dan penyedia cloud.

Menjadi jelas bahwa untuk mengimplementasikan sistem cloud yang kompleks, perlindungan harus dikembangkan untuk implementasi tertentu. Juga, peran penting untuk implementasi komputasi aman di lingkungan virtual dimainkan oleh kurangnya standar FSTEC dan FSB untuk sistem cloud. Masuk akal untuk menggunakan "inti ancaman" yang disorot dalam pekerjaan dalam penelitian ini

tugas membangun model kelas kerentanan terpadu. Artikel ini bersifat ikhtisar, di masa depan direncanakan untuk menganalisis secara rinci kelas ancaman yang terkait dengan virtualisasi, untuk mengembangkan pendekatan untuk menciptakan sistem perlindungan yang berpotensi mencegah penerapan ancaman ini

literatur

1. Panduan Keamanan Cloud Rekomendasi IBM untuk Penerapan Keamanan Cloud, ibm.com/redbooks, 2 November 2009.

2.http: //www.vmware.com/technical-resources/security/index.html.

3. Awan NIST. Arsitektur Referensi Komputasi, Institut Standar Nasional dan. Teknologi, Publikasi Khusus. 500-292, September 2011.

4. Awan NIST. Computing Standards Roadmap, Institut Standar Nasional dan. Teknologi, Publikasi Khusus. 500-291, Juli 2011.

5.http: //www.Oracle.com/technetwork/indexes/documentation/index.html.

Komputasi awan secara kolektif mengacu pada kumpulan besar sumber daya virtual yang mudah digunakan dan tersedia (seperti sistem perangkat keras, layanan, dll.). Sumber daya ini dapat dialokasi ulang secara dinamis (skala) untuk beradaptasi dengan beban yang berubah secara dinamis, memastikan pemanfaatan sumber daya yang optimal. Kumpulan sumber daya ini biasanya disediakan berdasarkan pembayaran sesuai pemakaian. Pada saat yang sama, pemilik cloud menjamin kualitas layanan berdasarkan perjanjian tertentu dengan pengguna.

Sesuai dengan semua hal di atas, fitur utama komputasi awan berikut dapat dibedakan:

1) komputasi awan adalah paradigma baru untuk menyediakan sumber daya komputasi;

2) sumber daya infrastruktur dasar (sumber daya perangkat keras, sistem penyimpanan, perangkat lunak sistem) dan aplikasi disediakan sebagai layanan;

3) layanan ini dapat disediakan oleh penyedia independen untuk pengguna eksternal berdasarkan pembayaran sesuai penggunaan, fitur utama komputasi awan adalah virtualisasi dan skalabilitas dinamis;

4) layanan cloud dapat diberikan kepada pengguna akhir melalui browser web atau melalui API (Application Programming Interface) tertentu.

Model komputasi awan umum terdiri dari bagian eksternal dan internal. Kedua elemen ini terhubung melalui jaringan, dalam banyak kasus melalui Internet. Melalui bagian eksternal, pengguna berinteraksi dengan sistem; bagian dalam sebenarnya adalah awan itu sendiri. Ujung depan terdiri dari komputer klien atau jaringan komputer perusahaan dan aplikasi yang digunakan untuk mengakses cloud. Bagian dalam diwakili oleh aplikasi, komputer, server, dan penyimpanan data yang membuat cloud layanan melalui virtualisasi (Gbr. 1).

Ketika mesin virtual fisik (VM) yang ada dipindahkan dari pusat data (DC) ke awan eksternal atau penyediaan layanan TI di luar batas aman di awan pribadi, batas jaringan menjadi sama sekali tidak berarti, dan tingkat keamanan keseluruhan menjadi agak rendah.

Sedangkan di pusat data tradisional, akses insinyur ke server dikontrol secara ketat di tingkat fisik, sementara di komputasi awan, akses insinyur terjadi melalui Internet, yang mengarah pada munculnya ancaman yang sesuai. Oleh karena itu, kontrol akses yang ketat untuk administrator sangat penting, serta memastikan kontrol dan transparansi perubahan di tingkat sistem.

Mesin virtual bersifat dinamis. Volatilitas VM membuat sangat sulit untuk membuat dan memelihara sistem keamanan yang koheren. Kerentanan dan kesalahan konfigurasi dapat menyebar di luar kendali. Selain itu, sangat sulit untuk mencatat status perlindungan pada titik waktu tertentu untuk audit berikutnya.

Server komputasi awan menggunakan OS yang sama dan aplikasi web yang sama dengan server virtual dan fisik lokal. Oleh karena itu, untuk sistem cloud, ancaman peretasan jarak jauh atau infeksi malware sama tingginya.

Ancaman lainnya adalah ancaman integritas data: kompromi dan pencurian data. Integritas sistem operasi dan file aplikasi, serta aktivitas internal, harus dipantau.

Penggunaan layanan cloud multi-penyewa menyulitkan untuk mematuhi persyaratan standar dan undang-undang, termasuk persyaratan penggunaan alat kriptografi, untuk melindungi informasi sensitif, seperti informasi tentang pemilik kartu kredit dan informasi yang mengidentifikasi seseorang. Ini, pada gilirannya, menimbulkan tugas yang menakutkan untuk memberikan perlindungan yang andal dan akses yang aman ke data sensitif.

Berdasarkan analisis kemungkinan ancaman dalam komputasi awan, kemungkinan perangkat keras dan perangkat lunak perlindungan komprehensif keamanan komputasi awan diusulkan, yang mencakup 5 teknologi: firewall, deteksi dan pencegahan intrusi, kontrol integritas, analisis log, dan perlindungan terhadap perangkat lunak berbahaya.

Penyedia komputasi awan menggunakan virtualisasi untuk memberi pelanggan mereka akses ke sumber daya komputasi berbiaya rendah. Pada saat yang sama, VM klien berbagi sumber daya perangkat keras yang sama, yang diperlukan untuk mencapai efisiensi ekonomi terbesar. Pelanggan perusahaan yang tertarik dengan komputasi awan untuk memperluas infrastruktur TI internal mereka harus mempertimbangkan ancaman yang ditimbulkan oleh langkah tersebut. Selain mekanisme tradisional untuk perlindungan jaringan pusat pemrosesan data, menggunakan pendekatan keamanan seperti: firewall tepi, zona demiliterisasi, segmentasi jaringan, pemantauan status jaringan, deteksi intrusi dan sistem pencegahan, mekanisme perlindungan data perangkat lunak juga harus digunakan pada server virtualisasi atau di server itu sendiri VM, karena dengan transfer VM ke layanan cloud publik, perimeter jaringan perusahaan secara bertahap kehilangan maknanya dan node yang paling tidak terlindungi mulai secara signifikan memengaruhi tingkat keamanan keseluruhan. Ketidakmungkinan memisahkan secara fisik dan menggunakan perangkat keras keamanan untuk menolak serangan antara VM yang mengarah pada kebutuhan untuk menempatkan mekanisme perlindungan pada server virtualisasi atau pada VM itu sendiri. Menerapkan metode perlindungan komprehensif pada mesin virtual itu sendiri, termasuk implementasi perangkat lunak firewall, deteksi dan pencegahan intrusi, kontrol integritas, analisis log, dan perlindungan terhadap kode berbahaya, adalah cara paling efektif untuk melindungi integritas, mematuhi persyaratan peraturan, dan mematuhi kebijakan keamanan saat memindahkan sumber daya virtual dari intranet ke cloud.

Literatur:

1. Radchenko G.I. Sistem komputasi terdistribusi // Tutorial. - 2012 .-- S. 146-149.

2. Kondrashin M. Keamanan komputasi awan // Berita Penyimpanan. - 2010. - No. 1.

Kursus dengan disiplin

Perangkat lunak dan perangkat keras keamanan informasi

"Keamanan informasi dalam komputasi awan: kerentanan, metode dan sarana perlindungan, alat untuk audit dan investigasi insiden."

pengantar

1. Sejarah dan faktor perkembangan utama

2. Definisi komputasi awan

3. Arsitektur referensi

4. Perjanjian Tingkat Layanan

5. Metode dan sarana perlindungan dalam komputasi awan

6. Keamanan model cloud

7. Audit keamanan

8. Investigasi insiden dan forensik dalam komputasi awan

9. Model ancaman

10. Standar internasional dan domestik

11. Identitas teritorial data

12. Standar negara

13. Sarana Keamanan Cloud

14. Bagian praktis

Keluaran

literatur

pengantar

Pertumbuhan kecepatan komputasi awan dijelaskan oleh fakta bahwa untuk sedikit, secara umum, uang, pelanggan mendapatkan akses ke infrastruktur yang paling dapat diandalkan dengan kinerja yang dibutuhkan tanpa perlu membeli, menginstal dan memelihara komputer yang mahal.Sistem mencapai 99,9% , yang juga menghemat sumber daya komputasi. ... Dan yang lebih penting - skalabilitas yang hampir tidak terbatas. Dengan membeli hosting biasa dan mencoba melompati kepala Anda (dengan lonjakan beban yang tajam), ada risiko mendapatkan layanan yang turun selama beberapa jam. Di cloud, sumber daya tambahan tersedia berdasarkan permintaan.

Masalah utama komputasi awan adalah tingkat keamanan yang tidak dijamin dari informasi yang diproses, tingkat perlindungan sumber daya dan, seringkali, kerangka peraturan yang sama sekali tidak ada.

Tujuan dari penelitian ini adalah untuk memberikan gambaran tentang pasar komputasi awan yang ada dan sarana untuk memastikan keamanan di dalamnya.

informasi keamanan komputasi awan

1. Sejarah dan faktor perkembangan utama

Gagasan tentang apa yang kita sebut komputasi awan saat ini pertama kali disuarakan oleh J. C. R. Licklider pada tahun 1970. Selama tahun-tahun ini dia bertanggung jawab atas pembuatan ARPANET (Advanced Research Projects Agency Network). Idenya adalah bahwa setiap orang di bumi akan terhubung ke jaringan dari mana dia tidak hanya menerima data tetapi juga program. Ilmuwan lain John McCarthy mengemukakan gagasan bahwa daya komputasi akan diberikan kepada pengguna sebagai layanan (service). Tentang ini, pengembangan teknologi cloud ditangguhkan hingga tahun 90-an, setelah itu sejumlah faktor berkontribusi pada perkembangannya.

Perluasan bandwidth Internet di tahun 90-an tidak memungkinkan lompatan signifikan dalam pengembangan teknologi cloud, karena hampir tidak ada perusahaan dan teknologi saat itu yang siap untuk ini. Namun, fakta percepatan Internet memberi dorongan pada perkembangan awal komputasi awan.

2. Salah satu perkembangan paling signifikan di bidang ini adalah pengenalan Salesforce.com pada tahun 1999. Perusahaan ini menjadi perusahaan pertama yang menyediakan akses aplikasinya melalui situs. Bahkan, perusahaan ini menjadi perusahaan pertama yang menyediakan perangkat lunaknya berdasarkan perangkat lunak sebagai layanan (SaaS).

Langkah selanjutnya adalah pengembangan layanan web cloud oleh Amazon pada tahun 2002. Layanan ini memungkinkan untuk menyimpan informasi dan melakukan perhitungan.

Pada tahun 2006, Amazon meluncurkan layanan yang disebut Elastic Compute cloud (EC2) sebagai layanan web yang memungkinkan penggunanya untuk menjalankan aplikasi mereka sendiri. Amazon EC2 dan Amazon S3 adalah layanan komputasi awan pertama yang tersedia.

Tonggak lain dalam pengembangan komputasi awan datang dengan penciptaan oleh Google dari platform Google Apps untuk aplikasi web di sektor bisnis.

Teknologi virtualisasi telah memainkan peran penting dalam pengembangan teknologi cloud, khususnya, perangkat lunak yang memungkinkan Anda membuat infrastruktur virtual.

Perkembangan perangkat keras telah berkontribusi tidak begitu banyak pada pertumbuhan pesat teknologi cloud, tetapi pada ketersediaan teknologi ini untuk usaha kecil dan individu. Berkenaan dengan kemajuan teknologi, penciptaan prosesor multi-core dan peningkatan kapasitas penyimpanan informasi telah memainkan peran penting dalam hal ini.

2. Definisi komputasi awan

Seperti yang didefinisikan oleh Institut Standar dan Teknologi Nasional AS:

Komputasi awan (Komputasi awan) (bahasa InggrisAwan - awan; komputasi- komputasi) adalah model untuk menyediakan akses jaringan di mana-mana dan nyaman sesuai kebutuhan ke kumpulan sumber daya komputasi yang dapat dikonfigurasi (misalnya jaringan, server, sistem penyimpanan, aplikasi, dan layanan) yang dapat dengan cepat disediakan dan dirilis dengan upaya manajemen minimal dan interaksi yang dibutuhkan dengan penyedia layanan (service provider).

Model cloud mendukung ketersediaan layanan yang tinggi dan dijelaskan oleh lima karakteristik penting, tiga model layanan/layanan, dan empat model penerapan.

Program diluncurkan dan menampilkan hasil kerja di jendela browser web standar pada PC lokal, sementara semua aplikasi dan datanya yang diperlukan untuk bekerja terletak di server jarak jauh di Internet. Komputasi awan disebut "komputasi awan". Dalam hal ini, beban antar komputer yang termasuk dalam "cloud komputasi" didistribusikan secara otomatis. Contoh paling sederhana dari komputasi awan adalah jaringan p2p.

Untuk mengimplementasikan komputasi awan, produk middleware yang dibuat menggunakan teknologi khusus digunakan. Mereka berfungsi sebagai penghubung antara peralatan dan pengguna dan menyediakan pemantauan status peralatan dan program, distribusi beban yang sama dan penyediaan sumber daya yang tepat waktu dari kumpulan umum. Salah satu teknologi tersebut adalah virtualisasi dalam komputasi.

Virtualisasi dalam Komputasi- proses mewakili satu set sumber daya komputasi, atau kombinasi logisnya, yang memberikan keuntungan apa pun dibandingkan konfigurasi aslinya. Ini adalah tampilan virtual baru dari sumber daya dari bagian-bagian penyusunnya, tidak dibatasi oleh implementasi, konfigurasi fisik, atau lokasi geografis. Biasanya, sumber daya virtual mencakup daya komputasi dan penyimpanan data. Secara ilmiah, virtualisasi adalah isolasi proses komputasi dan sumber daya dari satu sama lain.

Contoh virtualisasi adalah arsitektur komputer multiprosesor simetris yang menggunakan lebih dari satu prosesor. Sistem operasi biasanya dikonfigurasi sehingga beberapa prosesor muncul sebagai satu unit prosesor. Inilah sebabnya mengapa aplikasi perangkat lunak dapat ditulis untuk satu logika ( Maya) modul komputasi, yang jauh lebih mudah daripada bekerja dengan sejumlah besar konfigurasi prosesor yang berbeda.

Untuk perhitungan yang sangat besar dan intensif sumber daya, perhitungan grid digunakan.

Komputasi jaringan (kisi - lattice, network) adalah bentuk komputasi terdistribusi di mana "superkomputer virtual" direpresentasikan sebagai kelompok komputer heterogen yang terhubung secara longgar, bekerja sama untuk melakukan sejumlah besar tugas (operasi, pekerjaan).

Teknologi ini digunakan untuk memecahkan masalah ilmiah dan matematika yang membutuhkan sumber daya komputasi yang signifikan. Komputasi grid juga digunakan dalam infrastruktur komersial untuk menyelesaikan tugas-tugas yang memakan waktu seperti peramalan ekonomi, analisis seismik, dan pengembangan serta studi sifat obat baru.

Dari perspektif organisasi jaringan, grid adalah lingkungan yang konsisten, terbuka dan standar yang menyediakan pemisahan yang fleksibel, aman, terkoordinasi dari komputasi dan sumber daya penyimpanan yang merupakan bagian dari lingkungan ini dalam satu organisasi virtual.

Paravirtualisasi Adalah teknik virtualisasi yang menyediakan mesin virtual dengan antarmuka pemrograman yang mirip dengan, tetapi tidak identik dengan, perangkat keras yang mendasarinya. Tujuan dari antarmuka yang dimodifikasi ini adalah untuk mengurangi waktu yang dihabiskan oleh sistem operasi tamu untuk melakukan operasi yang jauh lebih sulit di lingkungan virtual daripada di lingkungan non-virtual.

Ada kait khusus yang memungkinkan tamu dan tuan rumah untuk meminta dan mengakui tugas-tugas kompleks ini, yang dapat dilakukan di lingkungan virtual, tetapi dengan kecepatan yang jauh lebih lambat.

Hypervisor ( atau Monitor Mesin Virtual) - di komputer, skema program atau perangkat keras yang menyediakan atau memungkinkan eksekusi paralel dan simultan dari beberapa atau bahkan banyak sistem operasi pada komputer host yang sama. Hypervisor juga menyediakan isolasi OS satu sama lain, perlindungan dan keamanan, berbagi sumber daya antara OS yang berjalan berbeda, dan manajemen sumber daya.

Sebuah hypervisor juga dapat (tetapi tidak harus) menyediakan OS yang berjalan pada komputer host yang sama dengan sarana komunikasi dan interaksi satu sama lain (misalnya, melalui pertukaran file atau koneksi jaringan) seolah-olah OS ini berjalan pada fisik yang berbeda. komputer.

Hypervisor itu sendiri dalam beberapa hal merupakan sistem operasi minimal (mikrokernel atau nanokernel). Ini menyediakan sistem operasi yang berjalan di bawah kendalinya dengan layanan mesin virtual, memvirtualisasikan atau meniru perangkat keras (fisik) nyata dari mesin tertentu, dan mengelola mesin virtual ini, mengalokasikan dan membebaskan sumber daya untuk mereka. Hypervisor memungkinkan "power on", reboot, "shutdown" independen dari salah satu mesin virtual dengan OS tertentu. Namun, sistem operasi yang berjalan di mesin virtual di bawah kendali hypervisor dapat, tetapi tidak harus, "mengetahui" bahwa itu berjalan di mesin virtual dan bukan pada perangkat keras nyata.

Model layanan cloud

Pilihan untuk menyediakan daya komputasi sangat berbeda. Segala sesuatu yang berhubungan dengan Cloud Computing biasanya disebut aaS - singkatan dari "sebagai Layanan", yaitu, "sebagai layanan", atau "dalam bentuk layanan".

Perangkat Lunak sebagai Layanan (SaaS) - penyedia menyediakan klien dengan aplikasi siap pakai. Aplikasi dapat diakses dari berbagai perangkat klien atau melalui antarmuka klien tipis seperti browser web (seperti webmail) atau antarmuka program. Pada saat yang sama, konsumen tidak mengontrol infrastruktur cloud yang mendasarinya, termasuk jaringan, server, sistem operasi, sistem penyimpanan, dan bahkan pengaturan aplikasi individual dengan pengecualian beberapa pengaturan konfigurasi aplikasi pengguna.

Dalam model SaaS, pelanggan tidak membayar untuk memiliki perangkat lunak tersebut, tetapi untuk menyewanya (yaitu, menggunakannya melalui antarmuka web). Jadi, berbeda dengan skema lisensi perangkat lunak klasik, pelanggan mengeluarkan biaya berulang yang relatif kecil, dan dia tidak perlu menginvestasikan dana yang signifikan untuk pembelian perangkat lunak dan dukungannya. Skema pembayaran berkala mengasumsikan bahwa jika kebutuhan akan perangkat lunak untuk sementara tidak ada, pelanggan dapat menangguhkan penggunaannya dan membekukan pembayaran kepada pengembang.

Dari sudut pandang pengembang, model SaaS memungkinkan Anda untuk secara efektif memerangi penggunaan perangkat lunak tanpa izin (pembajakan), karena perangkat lunak itu sendiri tidak menjangkau pelanggan akhir. Selain itu, konsep SaaS seringkali dapat mengurangi biaya penggelaran dan penerapan sistem informasi.

Beras. 1 Tata Letak SaaS Khas

Platform sebagai Layanan (PaaS) - penyedia menawarkan klien platform perangkat lunak dan alat untuk merancang, mengembangkan, menguji dan menyebarkan aplikasi pengguna. Pada saat yang sama, konsumen tidak mengontrol infrastruktur cloud yang mendasarinya, termasuk jaringan, server, sistem operasi, dan sistem penyimpanan, tetapi memiliki kontrol atas aplikasi yang digunakan dan, mungkin, beberapa parameter konfigurasi lingkungan hosting.

Beras. 2 Tata Letak PaaS Khas

Infrastruktur sebagai Layanan (IaaS). - penyedia menawarkan sumber daya komputasi klien untuk disewakan: server, sistem penyimpanan, peralatan jaringan, sistem operasi dan perangkat lunak sistem, sistem virtualisasi, sistem manajemen sumber daya. Pada saat yang sama, konsumen tidak mengontrol infrastruktur cloud yang mendasarinya, tetapi memiliki kontrol atas sistem operasi, sistem penyimpanan, aplikasi yang digunakan, dan, mungkin, kontrol terbatas atas pilihan komponen jaringan (misalnya, host dengan firewall).

Beras. 3 Tata Letak IaaS Khas

Selain itu membedakan layanan seperti:

Komunikasi sebagai Layanan (Com-aaS) - dipahami bahwa layanan komunikasi disediakan sebagai layanan; biasanya itu adalah telepon IP, surat dan komunikasi instan (obrolan, IM).

Penyimpanan data awan- pengguna diberikan sejumlah ruang untuk menyimpan informasi. Karena informasi disimpan didistribusikan dan diduplikasi, penyimpanan tersebut memberikan tingkat keamanan data yang jauh lebih besar daripada server lokal.

Tempat Kerja sebagai Layanan (WaaS) - pengguna, yang memiliki komputer yang tidak cukup kuat, dapat membeli sumber daya komputasi dari pemasok dan menggunakan PC-nya sebagai terminal untuk mengakses layanan.

Awan antivirus- infrastruktur yang digunakan untuk memproses informasi yang datang dari pengguna untuk mengenali ancaman baru yang sebelumnya tidak diketahui secara tepat waktu. Antivirus cloud tidak memerlukan tindakan yang tidak perlu dari pengguna - ia hanya mengirimkan permintaan untuk program atau tautan yang mencurigakan. Ketika bahaya dikonfirmasi, semua tindakan yang diperlukan dilakukan secara otomatis.

Model penyebaran

Di antara model penyebaran, ada 4 jenis infrastruktur utama.

Awan pribadi - infrastruktur yang dimaksudkan untuk digunakan oleh satu organisasi, termasuk beberapa konsumen (misalnya, divisi dari satu organisasi), mungkin juga oleh klien dan kontraktor organisasi ini. Awan pribadi dapat dimiliki, dikelola, dan dioperasikan oleh organisasi itu sendiri atau oleh pihak ketiga (atau kombinasi dari semuanya), dan secara fisik dapat ada di dalam dan di luar yurisdiksi pemilik.

Beras. 4 Awan pribadi.

Awan publik - infrastruktur yang dimaksudkan untuk digunakan secara gratis oleh masyarakat umum. Awan publik dapat dimiliki, dioperasikan, dan dioperasikan oleh organisasi komersial, akademik, dan pemerintah (atau kombinasi dari semuanya). Awan publik secara fisik ada di yurisdiksi pemilik - penyedia layanan.

Beras. 5 Awan publik.

Awan hibrida - itu adalah kombinasi dari dua atau lebih infrastruktur cloud yang berbeda (swasta, publik atau publik) yang tetap menjadi objek unik, tetapi saling terhubung oleh teknologi standar atau pribadi untuk mentransfer data dan aplikasi (misalnya, penggunaan jangka pendek sumber daya cloud publik untuk menyeimbangkan beban antara awan).

Beras. 6 Awan hibrida.

Awan publik (cloud komunitas) - jenis infrastruktur yang dimaksudkan untuk digunakan oleh komunitas konsumen tertentu dari organisasi dengan tujuan yang sama (mis. misi, persyaratan keamanan, kebijakan, dan kepatuhan terhadap berbagai persyaratan). Awan publik dapat dimiliki bersama, dioperasikan, dan dioperasikan oleh satu atau lebih organisasi komunitas atau pihak ketiga (atau kombinasi dari semuanya), dan secara fisik dapat ada baik di dalam maupun di luar yurisdiksi pemilik.

Beras. 7 Deskripsi properti cloud

Sifat dasar

NIST dalam dokumennya `The NIST Definition of Cloud Computing` mendefinisikan karakteristik awan berikut:

Layanan mandiri sesuai permintaan. Konsumen memiliki kemampuan untuk mengakses sumber daya komputasi yang disediakan secara sepihak sesuai kebutuhan, secara otomatis, tanpa perlu berinteraksi dengan karyawan masing-masing penyedia layanan.

Akses jaringan yang luas. Sumber daya komputasi yang disediakan tersedia melalui jaringan melalui mekanisme standar untuk berbagai platform, klien tipis dan tebal (ponsel, tablet, laptop, workstation, dll.).

Penyatuan sumber daya (Resorce pooling). Sumber daya komputasi penyedia dikumpulkan untuk melayani banyak konsumen dalam model multi-penyewa. Kumpulan mencakup berbagai sumber daya fisik dan virtual yang dapat ditetapkan dan dipindahkan secara dinamis untuk memenuhi kebutuhan pelanggan. Konsumen tidak perlu mengetahui lokasi yang tepat dari sumber daya, tetapi dimungkinkan untuk menempatkannya pada tingkat abstraksi yang lebih tinggi (misalnya, negara, wilayah, atau pusat data). Contoh sumber daya semacam ini termasuk sistem penyimpanan, daya komputasi, memori, bandwidth jaringan.

Elastisitas yang cepat. Sumber daya dapat dialokasikan dan dilepaskan secara fleksibel, dalam beberapa kasus secara otomatis, untuk disesuaikan dengan cepat sesuai permintaan. Bagi konsumen, kemungkinan penyediaan sumber daya dipandang tidak terbatas, yaitu dapat diberikan dalam jumlah berapa pun dan kapan pun.

Layanan terukur. Sistem cloud secara otomatis mengelola dan mengoptimalkan sumber daya menggunakan alat pengukuran yang diimplementasikan pada tingkat abstraksi untuk berbagai jenis layanan (misalnya, mengelola memori eksternal, pemrosesan, bandwidth, atau sesi pengguna aktif). Sumber daya yang digunakan dapat dilacak dan dikontrol, yang memberikan transparansi untuk penyedia dan untuk konsumen yang menggunakan layanan.

Beras. 8 Diagram struktural dari server cloud

Pro dan kontra dari komputasi awan

Keuntungan

· Persyaratan untuk daya komputasi PC berkurang (kondisi yang sangat diperlukan hanya ketersediaan akses Internet);

· toleransi kesalahan;

· keamanan;

· Pemrosesan data berkecepatan tinggi;

· Pengurangan biaya untuk perangkat keras dan perangkat lunak, pemeliharaan dan listrik;

· Menghemat ruang disk (data dan program disimpan di Internet).

· Migrasi langsung - transfer mesin virtual dari satu server fisik ke server lain tanpa mengganggu mesin virtual dan menghentikan layanan.

· Pada akhir 2010, karena serangan DDoS terhadap perusahaan yang menolak menyediakan sumber daya WikiLeaks, keuntungan lain dari teknologi komputasi awan terungkap. Semua perusahaan yang menentang WikiLeaks diserang, tetapi hanya Amazon yang ternyata tidak peka terhadap pengaruh ini, karena menggunakan sarana komputasi awan. ("Anonim: ancaman serius atau gangguan belaka", Keamanan Jaringan, N1, 2011).

kekurangan

· Ketergantungan keamanan data pengguna pada perusahaan yang menyediakan layanan komputasi awan;

· Koneksi permanen ke jaringan - untuk mendapatkan akses ke layanan "cloud" Anda memerlukan koneksi permanen ke Internet. Namun, di zaman kita, ini bukan kelemahan besar, terutama dengan munculnya teknologi seluler 3G dan 4G.

· Perangkat lunak dan modifikasinya - ada batasan pada perangkat lunak yang dapat digunakan di "awan" dan diberikan kepada pengguna. Pengguna perangkat lunak memiliki keterbatasan dalam perangkat lunak yang digunakan dan terkadang tidak memiliki kemampuan untuk menyesuaikannya untuk keperluannya sendiri.

· Kerahasiaan - kerahasiaan data yang disimpan di "cloud" publik saat ini menjadi kontroversi, tetapi dalam banyak kasus para ahli setuju bahwa tidak disarankan untuk menyimpan dokumen yang paling berharga bagi perusahaan di "cloud" publik, karena saat ini tidak ada teknologi yang menjamin 100% kerahasiaan data yang disimpan, itulah sebabnya penggunaan enkripsi di cloud adalah suatu keharusan.

· Keandalan - untuk keandalan informasi yang disimpan, kami dapat mengatakan dengan yakin bahwa jika Anda kehilangan informasi yang disimpan di "cloud", maka Anda telah kehilangannya selamanya.

· Keamanan - "cloud" itu sendiri adalah sistem yang cukup andal, tetapi ketika menembusnya, penyerang mendapatkan akses ke penyimpanan data yang sangat besar. Kerugian lain adalah penggunaan sistem virtualisasi, yang menggunakan kernel OS standar sebagai hypervisor, seperti Linux , Windows dan lainnya, yang memungkinkan penggunaan virus.

· Biaya peralatan yang tinggi - untuk membangun cloud perusahaan sendiri, perlu mengalokasikan sumber daya material yang signifikan, yang tidak bermanfaat bagi perusahaan yang baru dibuat dan perusahaan kecil.

3. Arsitektur referensi

Arsitektur Referensi Cloud Computing NIST berisi lima aktor utama – aktor. Setiap aktor memainkan peran dan melakukan tindakan dan fungsi. Arsitektur referensi disajikan sebagai diagram sekuensial dengan tingkat detail yang meningkat.

Beras. 9 Diagram konseptual dari arsitektur referensi

Konsumen Awan- orang atau organisasi yang memelihara hubungan bisnis dan menggunakan layanan dari Penyedia Cloud.

Konsumen Cloud dibagi menjadi 3 kelompok:

· SaaS - menggunakan aplikasi untuk mengotomatisasi proses bisnis.

PaaS - Mengembangkan, menguji, menyebarkan, dan mengelola aplikasi yang digunakan di lingkungan cloud.

· IaaS - membuat, mengelola layanan infrastruktur TI.

Penyedia Cloud- orang, organisasi, atau entitas yang bertanggung jawab atas ketersediaan layanan cloud untuk Konsumen Cloud.

SaaS - Menginstal, mengelola, memelihara, dan mengirimkan perangkat lunak yang digunakan pada infrastruktur cloud.

PaaS - Menyediakan dan mengelola infrastruktur cloud dan middleware. Menyediakan alat pengembangan dan administrasi.

· IaaS - menyediakan dan memelihara server, database, sumber daya komputasi. Menyediakan struktur cloud kepada konsumen.

Aktivitas Penyedia Cloud dibagi menjadi 5 tindakan umum utama:

Penerapan Layanan:

o Private cloud - Dilayani oleh satu organisasi. Infrastruktur dikelola baik oleh organisasi itu sendiri maupun oleh pihak ketiga dan dapat digunakan baik oleh Penyedia (off premise) dan oleh organisasi (on premise).

o Cloud bersama - infrastruktur digunakan bersama oleh beberapa organisasi dengan persyaratan serupa (keamanan, kepatuhan terhadap RD).

o Public cloud - infrastruktur digunakan oleh sejumlah besar organisasi dengan persyaratan yang berbeda. Hanya di luar premis.

o Hybrid cloud - infrastruktur menggabungkan infrastruktur yang berbeda berdasarkan teknologi serupa.

Manajemen Pelayanan

o Tingkat layanan - mendefinisikan layanan dasar yang disediakan oleh Penyedia.

SaaS adalah aplikasi yang digunakan oleh Konsumen dengan mengakses cloud dari program khusus.

PaaS - wadah untuk aplikasi konsumen, alat pengembangan dan administrasi.

IaaS - daya komputasi, basis data, sumber daya fundamental, di atasnya Konsumen menyebarkan infrastrukturnya.

o Tingkat abstraksi dan kontrol sumber daya

Manajemen hypervisor dan komponen virtual yang diperlukan untuk mengimplementasikan infrastruktur.

o Tingkat sumber daya fisik

§ Perangkat komputer

Infrastruktur teknik

o Ketersediaan

o Kerahasiaan

o Identifikasi

o Pemantauan keamanan dan penanganan insiden

o Kebijakan keamanan

Pribadi

o Perlindungan pemrosesan, penyimpanan, dan transfer data pribadi.

Auditor Awan- Kontributor yang dapat mengevaluasi layanan cloud, pemeliharaan sistem informasi, kinerja, dan keamanan implementasi cloud secara mandiri.

Dapat memberikan penilaian tersendiri terhadap keamanan, privasi, kinerja dan lain-lain sesuai dengan dokumen yang disetujui.

Beras. 10 Aktivitas Penyedia

Pialang Awan- entitas yang mengelola penggunaan, kinerja, dan penyampaian layanan cloud, serta menjalin hubungan antara Penyedia dan Konsumen.

Dengan perkembangan komputasi awan, integrasi layanan awan mungkin terlalu sulit bagi konsumen.

o Mediasi layanan - memperluas layanan yang ditentukan dan memberikan peluang baru

o Agregasi - menggabungkan berbagai layanan untuk menyediakan Konsumen

Operator Komunikasi Cloud- perantara yang menyediakan layanan koneksi dan transportasi (layanan komunikasi) untuk pengiriman layanan cloud dari Penyedia ke Konsumen.

Menyediakan akses melalui perangkat komunikasi

Menyediakan tingkat koneksi, menurut SLA.

Di antara lima aktor yang disajikan, broker cloud adalah opsional, karena konsumen cloud dapat menerima layanan langsung dari penyedia cloud.

Pengenalan aktor adalah karena kebutuhan untuk bekerja di luar hubungan antara subjek.

4. Perjanjian Tingkat Layanan

Perjanjian tingkat layanan adalah dokumen yang menjelaskan tingkat penyampaian layanan yang diharapkan oleh pelanggan dari pemasok, berdasarkan metrik yang berlaku untuk layanan yang diberikan, dan menetapkan tanggung jawab penyedia jika metrik yang disepakati tidak terpenuhi.

Berikut adalah beberapa indikator, dalam satu atau lain bentuk, ditemukan dalam dokumen operator:

ASR (Rasio Kejang Jawaban) - parameter yang menentukan kualitas sambungan telepon dalam arah tertentu. ASR dihitung sebagai persentase dari jumlah koneksi telepon yang dibuat sebagai hasil panggilan ke jumlah total panggilan yang dilakukan ke arah tertentu.

PDD (Post Dial Delay) - parameter yang menentukan periode waktu (dalam detik) yang berlalu dari saat panggilan hingga saat membuat sambungan telepon.

Rasio ketersediaan layanan- rasio waktu gangguan dalam penyediaan layanan dengan total waktu saat layanan akan diberikan.

Rasio kehilangan paket- rasio paket data yang diterima dengan benar dengan jumlah total paket yang ditransmisikan melalui jaringan untuk jangka waktu tertentu.

Waktu tunda dalam transmisi paket informasi- interval waktu yang diperlukan untuk transmisi paket informasi antara dua perangkat jaringan.

Keandalan transfer informasi- rasio jumlah paket data yang ditransmisikan secara salah dengan jumlah total paket data yang ditransmisikan.

Periode kerja, waktu pemberitahuan pelanggan dan waktu pemulihan layanan.

Dengan kata lain, ketersediaan layanan sebesar 99,99% menunjukkan bahwa operator menjamin tidak lebih dari 4,3 menit waktu henti komunikasi per bulan, 99,9% - bahwa layanan tidak dapat diberikan selama 43,2 menit, dan 99% - bahwa jeda dapat berlangsung lebih lama. dari 7 jam. Dalam beberapa praktik, ada perbedaan ketersediaan jaringan dan diasumsikan nilai parameter yang lebih rendah - selama jam kerja. Nilai indikator yang berbeda juga disediakan untuk berbagai jenis layanan (kelas lalu lintas). Misalnya, hal terpenting untuk suara adalah tingkat latensi - itu harus minimal. Dan kecepatan untuk itu perlu rendah, ditambah beberapa paket dapat hilang tanpa kehilangan kualitas (hingga sekitar 1%, tergantung pada codec). Untuk transmisi data, kecepatan didahulukan, dan packet loss harus cenderung nol.

5. Metode dan sarana perlindungan dalam komputasi awan

Kerahasiaan harus dipastikan di seluruh rantai, termasuk penyedia cloud, konsumen, dan komunikasi yang menghubungkan mereka.

Tugas Penyedia adalah memastikan integritas fisik dan perangkat lunak data dari serangan pihak ketiga. Konsumen harus menerapkan kebijakan dan prosedur yang sesuai "di wilayah mereka" untuk mengecualikan pengalihan hak akses ke informasi kepada pihak ketiga.

Tugas memastikan integritas informasi dalam kasus penggunaan aplikasi "cloud" individual dapat diselesaikan - berkat arsitektur basis data modern, sistem pencadangan, algoritme pemeriksaan integritas, dan solusi industri lainnya. Tapi itu tidak semua. Tantangan baru dapat muncul saat mengintegrasikan beberapa aplikasi cloud dari vendor yang berbeda.

Dalam waktu dekat, bagi perusahaan yang mencari lingkungan virtual yang aman, satu-satunya pilihan adalah membuat sistem cloud pribadi. Faktanya adalah bahwa awan pribadi, tidak seperti sistem publik atau hibrida, paling mirip dengan infrastruktur virtual yang telah dipelajari oleh departemen TI perusahaan besar untuk diterapkan dan di mana mereka dapat mempertahankan kendali penuh. Kelemahan keamanan informasi dalam sistem cloud publik menimbulkan tantangan yang signifikan. Sebagian besar insiden perampokan terjadi di awan publik.

6. Keamanan model cloud

Tingkat risiko dalam ketiga model cloud sangat berbeda, dan cara mengatasi masalah keamanan juga berbeda tergantung pada tingkat interaksi. Persyaratan keamanan tetap sama, tetapi tingkat kontrol keamanan berubah di berbagai model, SaaS, PaaS, atau IaaS. Dari sudut pandang logis, tidak ada yang berubah, tetapi kemungkinan implementasi fisik sangat berbeda.

Beras. 11. Ancaman keamanan informasi yang paling mendesak

dalam model SaaS, aplikasi berjalan pada infrastruktur cloud dan dapat diakses melalui browser web. Klien tidak memiliki kendali atas jaringan, server, sistem operasi, penyimpanan, atau bahkan beberapa kemampuan aplikasi. Untuk alasan ini, dalam model SaaS, tanggung jawab utama untuk keamanan hampir seluruhnya jatuh pada vendor.

Masalah nomor 1 adalah manajemen kata sandi. Dalam model SaaS, aplikasi berada di cloud, jadi risiko utamanya adalah menggunakan banyak akun untuk mengakses aplikasi. Organisasi dapat mengatasi masalah ini dengan menyatukan akun untuk cloud dan sistem lokal. Dengan sistem masuk tunggal, pengguna dapat mengakses stasiun kerja dan layanan cloud menggunakan satu akun. Pendekatan ini mengurangi kemungkinan akun "macet" yang digunakan secara tidak sah setelah pemutusan hubungan kerja karyawan.

Menurut penjelasan CSA, PaaS mengasumsikan bahwa pelanggan membangun aplikasi menggunakan bahasa dan alat pemrograman yang didukung vendor dan kemudian menyebarkannya ke infrastruktur cloud. Seperti dalam model SaaS, pelanggan tidak dapat mengelola atau mengontrol infrastruktur — jaringan, server, sistem operasi, atau sistem penyimpanan — tetapi memiliki kendali atas penerapan aplikasi.

Dalam model PaaS, pengguna harus memperhatikan keamanan aplikasi serta masalah manajemen API seperti validasi, otorisasi, dan verifikasi.

Masalah nomor 1 adalah enkripsi data. Model PaaS secara inheren aman, tetapi risikonya adalah kinerja sistem yang tidak memadai. Ini karena enkripsi disarankan saat berkomunikasi dengan penyedia PaaS, dan ini membutuhkan kekuatan pemrosesan tambahan. Namun demikian, dalam solusi apa pun, transmisi data pengguna rahasia harus dilakukan melalui saluran terenkripsi.

Sementara pelanggan di sini tidak memiliki kendali atas infrastruktur cloud yang mendasarinya, mereka memiliki kendali atas sistem operasi, penyimpanan dan penerapan aplikasi, dan mungkin kendali terbatas atas pilihan komponen jaringan.

Model ini memiliki beberapa kemampuan keamanan bawaan tanpa melindungi infrastruktur itu sendiri. Ini berarti bahwa pengguna harus mengelola dan mengamankan sistem operasi, aplikasi, dan konten, biasanya melalui API.

Jika ini diterjemahkan ke dalam bahasa metode perlindungan, maka penyedia harus menyediakan:

· Kontrol akses yang andal terhadap infrastruktur itu sendiri;

· Ketahanan infrastruktur.

Pada saat yang sama, konsumen cloud mengambil lebih banyak fungsi perlindungan:

· Firewall dalam infrastruktur;

· Perlindungan terhadap penyusupan ke dalam jaringan;

· Perlindungan sistem operasi dan database (kontrol akses, perlindungan terhadap kerentanan, kontrol pengaturan keamanan);

· Perlindungan aplikasi akhir (perlindungan anti-virus, kontrol akses).

Dengan demikian, sebagian besar tindakan perlindungan berada di pundak konsumen. Penyedia dapat memberikan rekomendasi tipikal untuk perlindungan atau solusi siap pakai, yang akan menyederhanakan tugas bagi pengguna akhir.

Tabel 1. Penggambaran tanggung jawab untuk keamanan antara klien dan penyedia layanan. (P - pemasok, K - klien)

	Server Perusahaan
Aplikasi
Data
Lingkungan waktu proses
Middleware
Sistem operasi
Virtualisasi
Server
Gudang data
perangkat keras jaringan

7. Audit keamanan

Tugas Auditor Cloud pada dasarnya sama dengan tugas auditor sistem konvensional. Audit keamanan cloud dibagi lagi menjadi audit Pemasok dan audit Pengguna. Audit Pengguna dilakukan atas permintaan Pengguna, sedangkan audit Pemasok adalah salah satu syarat terpenting untuk berbisnis.

Terdiri dari:

· Inisiasi prosedur audit;

· Pengumpulan informasi audit;

· Analisis data audit;

· Penyusunan laporan audit.

Pada tahap memulai prosedur audit, masalah wewenang auditor, waktu audit harus diselesaikan. Bantuan wajib karyawan kepada auditor juga harus ditetapkan.

Secara umum, auditor melakukan audit untuk menentukan keandalan

· Sistem virtualisasi, hypervisor;

· Server;

· Gudang data;

· Peralatan jaringan.

Jika Pemasok menggunakan model IaaS pada server yang diperiksa, maka pemeriksaan ini akan cukup untuk mengidentifikasi kerentanan.

Saat menggunakan model PaaS, pemeriksaan tambahan harus dilakukan

· sistem operasi,

perangkat tengah,

· Lingkungan waktu proses.

Saat menggunakan model SaaS, kerentanan juga diperiksa

Sistem penyimpanan dan pemrosesan data,

· Aplikasi.

Audit keamanan dilakukan dengan menggunakan metode dan alat yang sama seperti mengaudit server konvensional. Namun tidak seperti server konvensional dalam teknologi cloud, hypervisor juga diperiksa stabilitasnya. Di cloud, hypervisor adalah salah satu teknologi inti dan oleh karena itu harus diberikan penekanan khusus pada audit.

8. Investigasi insiden dan forensik dalam komputasi awan

Tindakan keamanan informasi dapat dibagi menjadi preventif (misalnya, enkripsi dan mekanisme kontrol akses lainnya), dan reaktif (investigasi). Aspek proaktif dari keamanan cloud adalah area penelitian aktif, sedangkan aspek reaktif dari keamanan cloud kurang mendapat perhatian.

Investigasi insiden (termasuk investigasi kejahatan di bidang informasi) adalah bagian keamanan informasi yang terkenal. Tujuan dari investigasi tersebut biasanya:

Bukti bahwa kejahatan/insiden terjadi

Memulihkan peristiwa seputar insiden itu

Identifikasi pelanggar

Bukti keterlibatan dan tanggung jawab pelaku

Bukti adanya niat tidak jujur ​​dari pihak pelaku.

Sebuah disiplin baru - keahlian komputer dan teknis (atau forensik) muncul, mengingat kebutuhan akan analisis forensik sistem digital. Tujuan dari komputer forensik biasanya sebagai berikut:

Memulihkan data yang mungkin telah dihapus

Pemulihan peristiwa yang terjadi di dalam dan di luar sistem digital yang terkait dengan insiden tersebut

Identifikasi pengguna sistem digital

Deteksi keberadaan virus dan perangkat lunak berbahaya lainnya

Deteksi keberadaan materi dan program ilegal

Meretas kata sandi, kunci enkripsi, dan kode akses

Idealnya, forensik komputer adalah sejenis mesin waktu untuk penyelidik, yang dapat melakukan perjalanan kapan saja ke masa lalu perangkat digital dan memberi penyelidik informasi tentang:

orang yang menggunakan perangkat pada titik tertentu

tindakan pengguna (misalnya, membuka dokumen, mengakses situs web, mencetak data dalam pengolah kata, dll.)

data yang disimpan, dibuat, dan diproses oleh perangkat pada waktu tertentu.

Layanan cloud yang menggantikan perangkat digital yang berdiri sendiri harus menyediakan tingkat kesiapan forensik yang serupa. Namun, ini membutuhkan mengatasi tantangan yang terkait dengan penyatuan sumber daya, multitenancy, dan ketahanan infrastruktur komputasi awan. Alat utama dalam investigasi insiden adalah jejak audit.

Jejak audit — dirancang untuk memantau riwayat login pengguna, tugas administratif, dan perubahan data — merupakan bagian penting dari sistem keamanan. Di cloud, jejak audit itu sendiri bukan hanya alat untuk investigasi, tetapi juga alat untuk menghitung biaya penggunaan server. Sementara jejak audit tidak mengatasi lubang keamanan, itu memberikan pandangan kritis terhadap apa yang terjadi dan memberikan saran untuk memperbaiki situasi.

Membuat arsip dan cadangan itu penting, tetapi tidak dapat menggantikan jejak audit formal yang mencatat siapa melakukan apa, kapan dan. Jejak audit adalah salah satu alat utama auditor keamanan.

Perjanjian layanan biasanya menyebutkan log audit mana yang akan disimpan dan diberikan kepada Pengguna.

9. Model ancaman

Pada tahun 2010, CSA melakukan analisis ancaman keamanan utama dalam teknologi cloud. Hasil pekerjaan mereka adalah dokumen "Ancaman teratas Cloud Computing v 1.0", yang saat ini menggambarkan model ancaman dan model penyusup dengan cara yang paling lengkap. Saat ini, versi kedua yang lebih lengkap dari dokumen ini sedang dikembangkan.

Dokumen saat ini menjelaskan penyerang untuk tiga model layanan SaaS, PaaS dan IaaS. Tujuh vektor serangan utama telah diidentifikasi. Sebagian besar, semua jenis serangan yang dipertimbangkan adalah serangan yang melekat pada server "non-cloud" konvensional. Infrastruktur cloud memberlakukan fitur tertentu pada mereka. Jadi, misalnya, serangan terhadap kerentanan di bagian perangkat lunak server ditambahkan ke serangan pada hypervisor, yang juga merupakan bagian perangkat lunak mereka.

Ancaman keamanan #1

Penggunaan teknologi cloud yang tidak tepat dan tidak jujur.

Keterangan:

Untuk mendapatkan resource dari penyedia IaaS berbasis cloud, pengguna hanya perlu memiliki kartu kredit. Kemudahan pendaftaran dan alokasi sumber daya memungkinkan spammer, pembuat virus, dll. menggunakan layanan cloud untuk tujuan kriminal mereka sendiri. Sebelumnya, serangan semacam ini hanya diamati di PaaS, tetapi penelitian terbaru menunjukkan kemungkinan menggunakan IaaS untuk serangan DDOS, menempatkan kode berbahaya, membuat jaringan botnet, dan banyak lagi.

Contoh layanan yang digunakan untuk membuat jaringan botnet berdasarkan program Trojan "Zeus", menyimpan kode kuda Trojan "InfoStealer" dan memposting informasi tentang berbagai kerentanan MS Office dan AdobePDF.

Selain itu, jaringan botnet menggunakan IaaS untuk mengelola rekan-rekan mereka dan mengirim spam. Karena itu, beberapa layanan IaaS dimasukkan dalam daftar hitam, dan penggunanya benar-benar diabaikan oleh server email.

Perbaikan prosedur pendaftaran pengguna

Penyempurnaan prosedur verifikasi kartu kredit dan pemantauan penggunaan alat pembayaran

Studi komprehensif tentang aktivitas jaringan pengguna layanan

· Melacak lembaran hitam utama untuk munculnya jaringan penyedia cloud di sana.

Model Layanan yang Terkena Dampak:

Ancaman keamanan # 2

Antarmuka Pemrograman Tidak Aman (API)

Keterangan:

Penyedia infrastruktur cloud memberi pengguna satu set API untuk mengelola sumber daya, mesin virtual, atau layanan. Keamanan seluruh sistem tergantung pada keamanan antarmuka ini.

Akses anonim ke antarmuka dan transmisi kredensial dalam teks yang jelas adalah ciri utama dari API yang tidak aman. Pemantauan penggunaan API yang terbatas, kurangnya sistem logging, serta hubungan yang tidak diketahui antara berbagai layanan hanya meningkatkan risiko peretasan.

Analisis model keamanan penyedia cloud

Pastikan algoritma enkripsi yang kuat digunakan

Pastikan bahwa metode otentikasi dan otorisasi yang kuat digunakan

· Memahami seluruh rantai ketergantungan antara layanan yang berbeda.

Model layanan yang terpengaruh:

Ancaman keamanan # 3

Pelanggar internal

Keterangan:

Masalah akses ilegal ke informasi dari dalam sangat berbahaya. Seringkali, di pihak penyedia, sistem untuk memantau aktivitas karyawan tidak diterapkan, yang berarti penyerang dapat memperoleh akses ke informasi klien menggunakan posisi resminya. Karena penyedia tidak mengungkapkan kebijakan rekrutmennya, ancaman dapat datang dari peretas amatir dan struktur kriminal terorganisir yang telah menyusup ke jajaran karyawan penyedia.

Saat ini, tidak ada contoh penyalahgunaan semacam ini.

Penerapan aturan ketat untuk pengadaan peralatan dan penggunaan sistem yang sesuai untuk mendeteksi akses yang tidak sah

Mengatur aturan untuk mempekerjakan karyawan dalam kontrak publik dengan pengguna

Pembuatan sistem keamanan yang transparan, bersama dengan publikasi laporan audit keamanan pada sistem internal penyedia

Model layanan yang terpengaruh:

Beras. 12 Contoh orang dalam

Ancaman keamanan # 4

Kerentanan dalam teknologi cloud

Keterangan:

Penyedia layanan IaaS menggunakan abstraksi sumber daya perangkat keras menggunakan sistem virtualisasi. Namun, perangkat keras dapat dirancang tanpa mempertimbangkan sumber daya bersama. Untuk meminimalkan pengaruh faktor ini, hypervisor mengontrol akses mesin virtual ke sumber daya perangkat keras, namun, bahkan di hypervisor, kerentanan serius dapat terjadi, yang penggunaannya dapat menyebabkan eskalasi hak istimewa atau mendapatkan akses ilegal ke peralatan fisik.

Untuk melindungi sistem dari masalah seperti itu, perlu untuk menerapkan mekanisme untuk mengisolasi lingkungan virtual dan sistem untuk mendeteksi kegagalan. Pengguna mesin virtual tidak boleh memiliki akses ke sumber daya bersama.

Ada contoh kerentanan potensial, serta metode teoretis untuk melewati isolasi di lingkungan virtual.

Implementasi metode instalasi, konfigurasi, dan perlindungan lingkungan virtual yang paling canggih

Penggunaan sistem untuk mendeteksi akses yang tidak sah

Menerapkan aturan otentikasi dan otorisasi yang kuat untuk pekerjaan administratif

Memperketat persyaratan untuk waktu aplikasi tambalan dan pembaruan

· Melakukan prosedur tepat waktu untuk memindai dan mendeteksi kerentanan.

Ancaman keamanan # 5

Kehilangan atau kebocoran data

Keterangan:

Kehilangan data dapat terjadi karena seribu alasan. Misalnya, penghancuran kunci enkripsi yang disengaja akan mengakibatkan informasi terenkripsi tidak dapat dipulihkan. Penghapusan data atau sebagian data, akses ilegal ke informasi penting, perubahan catatan atau kegagalan media juga merupakan contoh situasi seperti itu. Dalam infrastruktur cloud yang kompleks, kemungkinan setiap peristiwa meningkat karena interaksi komponen yang erat.

Penerapan aturan otentikasi, otorisasi dan audit yang salah, penggunaan aturan dan metode enkripsi yang salah, dan kegagalan peralatan dapat menyebabkan kehilangan atau kebocoran data.

Menggunakan API yang andal dan aman

Enkripsi dan perlindungan data yang dikirimkan

Analisis model perlindungan data di semua tahap fungsi sistem

Implementasi sistem manajemen kunci enkripsi yang andal

Memilih dan membeli hanya media yang paling andal

Memastikan pencadangan data tepat waktu

Model layanan yang terpengaruh:

Ancaman keamanan # 6

Pencurian identitas dan akses ilegal ke layanan

Keterangan:

Ancaman semacam ini bukanlah hal baru. Itu dihadapi oleh jutaan pengguna setiap hari. Target utama para penyerang adalah username (login) dan password-nya. Dalam konteks sistem cloud, mencuri kata sandi dan nama pengguna meningkatkan risiko penggunaan data yang disimpan di infrastruktur cloud penyedia. Jadi penyerang memiliki kesempatan untuk menggunakan reputasi korban untuk kegiatannya.

Larangan transfer akun

Menggunakan metode otentikasi dua faktor

Implementasi pemantauan proaktif terhadap akses yang tidak sah

· Deskripsi model keamanan penyedia cloud.

Model layanan yang terpengaruh:

Ancaman keamanan # 7

Kerentanan lainnya

Keterangan:

Penggunaan teknologi cloud untuk melakukan bisnis memungkinkan perusahaan untuk fokus pada bisnisnya, menyerahkan perawatan infrastruktur dan layanan TI kepada penyedia cloud. Saat mengiklankan layanan mereka, penyedia cloud berusaha menunjukkan semua kemungkinan, sambil mengungkapkan detail implementasinya. Ini dapat menimbulkan ancaman serius, karena pengetahuan tentang infrastruktur internal memberi penyerang kemampuan untuk menemukan kerentanan yang belum ditambal dan meluncurkan serangan ke sistem. Untuk menghindari situasi seperti itu, penyedia cloud mungkin tidak memberikan informasi tentang struktur internal cloud, namun, pendekatan ini juga tidak meningkatkan kepercayaan, karena calon pengguna tidak memiliki kemampuan untuk menilai tingkat keamanan data. Selain itu, pendekatan ini membatasi kemampuan untuk menemukan dan menghilangkan kerentanan secara tepat waktu.

Amazon menolak untuk melakukan audit keamanan cloud EC2

Kerentanan dalam memproses perangkat lunak, yang mengarah pada pelanggaran sistem keamanan pusat data Hearthland

Pengungkapan data log

Pengungkapan data secara penuh atau sebagian tentang arsitektur sistem dan detail tentang perangkat lunak yang diinstal

· Penggunaan sistem pemantauan kerentanan.

Model layanan yang terpengaruh:

1. Dasar hukum

Menurut para ahli, 70% masalah keamanan di cloud dapat dihindari jika Anda membuat perjanjian layanan dengan benar.

Dasar untuk perjanjian semacam itu dapat berfungsi sebagai "Bill of Rights of the cloud"

Bill of Rights Cloud dikembangkan kembali pada tahun 2008 oleh James Urquhart. Dia menerbitkan materi ini di blognya, yang menyebabkan begitu banyak minat dan kontroversi sehingga penulis secara berkala memperbarui "naskahnya" sesuai dengan kenyataan.

Pasal 1 (sebagian): Klien memiliki datanya

· Produsen (atau pemasok) tidak boleh, dalam proses berinteraksi dengan pelanggan dari rencana apa pun, mendiskusikan hak atas data apa pun yang diunggah, dibuat, dibuat, diubah, atau hak lain apa pun yang menjadi hak pelanggan.

· Produsen pada awalnya harus menyediakan akses minimal ke data pelanggan pada tahap pengembangan solusi dan layanan.

· Pelanggan memiliki data mereka sendiri, yang berarti bahwa mereka bertanggung jawab untuk memastikan bahwa data tersebut mematuhi peraturan dan undang-undang hukum.

· Karena kepatuhan data, masalah kepatuhan keamanan dan keselamatan sangat penting, sangat penting bagi pelanggan untuk menemukan data mereka sendiri. Jika tidak, produsen harus memberikan semua jaminan kepada pengguna bahwa data mereka akan disimpan sesuai dengan semua aturan dan peraturan.

Klausul 2: Produsen dan Pelanggan bersama-sama memiliki dan mengelola tingkat layanan dalam sistem

· Produsen memiliki dan harus melakukan segalanya untuk memenuhi tingkat layanan untuk setiap klien secara individual. Semua sumber daya dan upaya yang diperlukan untuk mencapai tingkat layanan yang tepat dalam bekerja dengan klien harus gratis untuk klien, yaitu, tidak termasuk dalam biaya layanan.

· Pelanggan, pada gilirannya, bertanggung jawab atas dan memiliki tingkat layanan yang diberikan kepada pelanggan internal dan eksternal mereka sendiri. Saat menggunakan solusi pabrikan untuk menyediakan layanan mereka sendiri, tanggung jawab klien dan tingkat layanan tersebut tidak boleh sepenuhnya bergantung pada pabrikan.

· Jika perlu untuk mengintegrasikan sistem pabrikan dan pelanggan, pabrikan harus menawarkan pelanggan kemungkinan untuk memantau proses integrasi. Jika klien memiliki standar perusahaan untuk integrasi sistem informasi, pabrikan harus mematuhi standar ini.

· Dalam situasi apa pun produsen tidak boleh menutup akun pelanggan untuk pernyataan politik, ucapan yang tidak pantas, komentar agama, kecuali jika bertentangan dengan peraturan hukum tertentu, bukan merupakan ekspresi kebencian, dll.

Pasal 3: Produsen Memiliki Antarmukanya

· Produsen tidak diharuskan untuk menyediakan antarmuka standar atau open source kecuali ditentukan lain dalam perjanjian pelanggan. Produsen memiliki hak untuk antarmuka. Jika pabrikan tidak menganggap mungkin untuk memberi klien kesempatan untuk menyempurnakan antarmuka dalam bahasa pemrograman yang sudah dikenal, klien dapat membeli dari pabrikan atau layanan pengembang pihak ketiga untuk menyelesaikan antarmuka sesuai dengan kebutuhannya sendiri.

· Klien, bagaimanapun, memiliki hak untuk menggunakan layanan yang dibeli untuk tujuannya sendiri, serta memperluas kemampuannya, mereplikasi, dan meningkatkan. Klausul ini tidak membebaskan pelanggan dari hak paten dan kekayaan intelektual.

Tiga artikel di atas adalah dasar bagi pelanggan dan vendor di cloud. Anda dapat menemukan teks lengkap mereka di domain publik di Internet. Tentu saja, RUU ini bukanlah dokumen hukum yang lengkap, apalagi yang resmi. Pasal-pasalnya dapat diubah dan diperluas setiap saat, seperti halnya RUU dapat dilengkapi dengan pasal-pasal baru. Ini adalah upaya untuk meresmikan "kepemilikan" di cloud untuk menstandarkan bidang pengetahuan dan teknologi yang mencintai kebebasan ini.

Hubungan antar pihak

Sejauh ini pakar keamanan cloud terbaik adalah Cloud Security Alliance (CSA). Organisasi tersebut telah merilis dan baru-baru ini memperbarui panduan yang mencakup ratusan nuansa dan praktik terbaik untuk dipertimbangkan saat menilai risiko komputasi awan.

Organisasi lain yang menangani aspek keamanan cloud adalah Trusted Computing Group (TCG). Dia adalah penulis beberapa standar di bidang ini dan lainnya, termasuk Trusted Storage, Trusted Network Connect (TNC), dan Trusted Platform Module (TPM) yang banyak digunakan saat ini.

Organisasi-organisasi ini telah bersama-sama menyelesaikan sejumlah masalah yang harus diselesaikan oleh pelanggan dan penyedia saat membuat kontrak. Pertanyaan-pertanyaan ini akan menyelesaikan sebagian besar masalah saat menggunakan cloud, force majeure, mengubah penyedia layanan cloud, dan situasi lainnya.

1. Keamanan data yang disimpan. Bagaimana penyedia layanan memastikan keamanan data yang disimpan?

Ukuran terbaik untuk melindungi data yang disimpan di gudang data adalah dengan menggunakan teknologi enkripsi. Penyedia harus selalu mengenkripsi informasi klien yang disimpan di servernya untuk mencegah kasus akses yang tidak sah. Penyedia juga harus menghapus data secara permanen ketika tidak lagi diperlukan dan tidak akan diperlukan di masa mendatang.

2. Perlindungan data selama transmisi. Bagaimana penyedia memastikan keamanan data selama transfernya (di dalam cloud dan dalam perjalanan dari / ke cloud)?

Data yang dikirimkan harus selalu dienkripsi dan dapat diakses oleh pengguna hanya setelah otentikasi. Pendekatan ini memastikan bahwa data ini tidak dapat diubah atau dibaca oleh siapa pun, bahkan jika mereka mendapatkan akses ke data tersebut melalui node yang tidak tepercaya di jaringan. Teknologi ini telah dikembangkan selama "ribuan tahun" dan telah mengarah pada pembuatan protokol dan algoritma yang andal (misalnya TLS, IPsec, dan AES). Penyedia harus menggunakan protokol ini, bukan menciptakannya sendiri.

3. Otentikasi. Bagaimana penyedia mengetahui keaslian klien?

Metode otentikasi yang paling umum adalah perlindungan kata sandi. Namun, ISP yang ingin menawarkan keandalan yang lebih besar kepada pelanggan mereka menggunakan alat yang lebih canggih seperti sertifikat dan token. Penyedia harus dapat bekerja dengan standar seperti LDAP dan SAML selain menggunakan sarana autentikasi yang lebih aman. Hal ini diperlukan untuk memastikan bahwa penyedia berinteraksi dengan sistem identifikasi pengguna klien saat mengotorisasi dan menentukan otorisasi yang akan diberikan kepada pengguna. Berkat ini, penyedia akan selalu memiliki informasi terkini tentang pengguna yang berwenang. Skenario kasus terburuk adalah ketika klien menyediakan penyedia dengan daftar pengguna resmi yang spesifik. Sebagai aturan, dalam hal ini, ketika seorang karyawan dipecat atau dipindahkan ke posisi lain, kesulitan mungkin timbul.

4. Isolasi pengguna. Bagaimana data dan aplikasi satu pelanggan dipisahkan dari data dan aplikasi pelanggan lain?

Pilihan terbaik: ketika masing-masing klien menggunakan mesin virtual individu (Mesin Virtual - VM) dan jaringan virtual. Pemisahan antara VM, dan karena itu antara pengguna, disediakan oleh hypervisor. Jaringan virtual, pada gilirannya, digunakan menggunakan teknologi standar seperti VLAN (Virtual Local Area Network), VPLS (Virtual Private LAN Service) dan VPN (Virtual Private Network).

Beberapa penyedia menempatkan semua data pelanggan dalam satu lingkungan perangkat lunak dan mencoba mengisolasi data pelanggan satu sama lain dengan mengubah kodenya. Pendekatan ini sembrono dan tidak dapat diandalkan. Pertama, penyerang dapat menemukan cacat dalam kode non-standar yang memungkinkannya mendapatkan akses ke data yang seharusnya tidak dilihatnya. Kedua, kesalahan dalam kode dapat menyebabkan fakta bahwa satu klien secara tidak sengaja "melihat" data klien lainnya. Baru-baru ini, ada kasus-kasus itu dan lainnya. Oleh karena itu, untuk membedakan data pengguna, menggunakan mesin virtual dan jaringan virtual yang berbeda adalah langkah yang lebih masuk akal.

5. Masalah regulasi. Seberapa baik penyedia mematuhi hukum dan peraturan yang berlaku untuk industri komputasi awan?

Tergantung pada yurisdiksi, undang-undang, peraturan, dan ketentuan khusus apa pun dapat bervariasi. Misalnya, mereka dapat melarang ekspor data, mewajibkan pengamanan yang ditetapkan secara ketat, mematuhi standar tertentu, dan dapat diaudit. Pada akhirnya, mereka dapat menuntut agar departemen pemerintah dan pengadilan dapat mengakses informasi bila diperlukan. Kelalaian penyedia pada saat-saat ini dapat menyebabkan pelanggannya mengeluarkan biaya yang signifikan karena konsekuensi hukum.

Penyedia harus mengikuti aturan ketat dan mematuhi strategi hukum dan peraturan terpadu. Ini menyangkut keamanan data pengguna, ekspornya, kepatuhan terhadap standar, audit, keamanan dan penghapusan data, serta pengungkapan informasi (yang terakhir ini sangat penting ketika informasi beberapa klien dapat disimpan di satu server fisik). Untuk mengetahuinya, klien sangat dianjurkan untuk mencari bantuan dari spesialis yang akan mempelajari masalah ini secara menyeluruh.

6. Reaksi terhadap insiden. Bagaimana penyedia menanggapi insiden, dan sejauh mana pelanggannya mungkin terlibat dalam insiden tersebut?

Terkadang tidak semuanya berjalan sesuai rencana. Oleh karena itu, penyedia layanan berkewajiban untuk mematuhi aturan perilaku tertentu jika terjadi keadaan yang tidak terduga. Aturan-aturan ini harus didokumentasikan. Sangat penting bagi penyedia untuk mengidentifikasi insiden dan meminimalkan konsekuensinya dengan memberi tahu pengguna tentang situasi saat ini. Idealnya, mereka harus secara teratur memberi klien informasi yang sedetail mungkin tentang masalah tersebut. Selain itu, terserah kepada pelanggan untuk menilai kemungkinan masalah keamanan dan mengambil tindakan yang diperlukan.

10. Standar internasional dan domestik

Evolusi teknologi cloud telah melampaui upaya untuk membuat dan memodifikasi standar industri yang diperlukan, banyak di antaranya belum diperbarui selama bertahun-tahun. Oleh karena itu, pembuatan undang-undang di bidang teknologi cloud adalah salah satu langkah terpenting untuk memastikan keamanan.

IEEE, salah satu organisasi pengembangan standar terbesar di dunia, telah mengumumkan peluncuran Inisiatif Komputasi Awan khusus. Ini adalah inisiatif standarisasi cloud internasional pertama - hingga saat ini, standar komputasi awan telah didominasi oleh konsorsium industri. Inisiatif tersebut saat ini mencakup 2 proyek: IEEE P2301 (tm), "Draft Guide to Portability and Interoperability of Cloud Profiles", dan IEEE P2302 (tm) - "Draft Standard for Interoperability and Distributed Interoperability (Federation) of Cloud Systems ”.

Dalam kerangka Asosiasi Pengembangan Standar IEEE, 2 kelompok kerja baru telah dibuat untuk masing-masing mengerjakan proyek IEEE P2301 dan IEEE P2302. IEEE P2301 akan berisi profil aplikasi yang ada dan yang tertunda, portabilitas, manajemen, dan standar interoperabilitas, serta format file dan perjanjian operasi. Informasi dalam dokumen akan terstruktur secara logis menurut kelompok target audiens yang berbeda: vendor, penyedia layanan, dan pelaku pasar lain yang tertarik. Setelah selesai, standar diharapkan dapat digunakan dalam pengadaan, pengembangan, konstruksi, dan penggunaan produk dan layanan cloud berdasarkan teknologi standar.

Standar IEEE P2302 akan menjelaskan topologi, protokol, fungsionalitas, dan metode manajemen yang mendasari yang diperlukan untuk interaksi berbagai struktur cloud (misalnya, untuk interaksi antara cloud pribadi dan publik seperti EC2). Standar ini akan memungkinkan penyedia produk dan layanan cloud untuk menuai manfaat ekonomi dari skala ekonomi, sambil memberikan transparansi kepada pengguna layanan dan aplikasi.

ISO sedang mempersiapkan standar khusus untuk keamanan komputasi awan. Fokus utama dari standar baru ini adalah untuk mengatasi masalah organisasi yang terkait dengan cloud. Namun, karena rumitnya prosedur harmonisasi ISO, versi final dokumen tersebut tidak boleh dirilis hingga 2013.

Nilai dari dokumen ini adalah bahwa tidak hanya organisasi pemerintah (NIST, ENISA) yang terlibat dalam persiapannya, tetapi juga perwakilan dari komunitas ahli dan asosiasi seperti ISACA dan CSA. Selain itu, satu dokumen berisi rekomendasi untuk penyedia layanan cloud dan konsumennya - organisasi klien.

Tujuan utama dari dokumen ini adalah untuk menjelaskan secara rinci praktik terbaik yang terkait dengan penggunaan komputasi awan dari sudut pandang keamanan informasi. Pada saat yang sama, standar tidak hanya berkonsentrasi pada aspek teknis, tetapi lebih pada aspek organisasi yang tidak boleh dilupakan dalam transisi ke komputasi awan. Ini adalah pemisahan hak dan tanggung jawab, dan penandatanganan perjanjian dengan pihak ketiga, dan pengelolaan aset yang dimiliki oleh peserta yang berbeda dalam proses "cloud", dan masalah manajemen personalia, dan sebagainya.

Dokumen baru sebagian besar menggabungkan materi yang sebelumnya dikembangkan di industri TI.

pemerintah Australia

Setelah berbulan-bulan melakukan brainstorming, pemerintah Australia merilis serangkaian panduan migrasi berbasis cloud pada 15 Februari 2012, di blog Australian Government Information Management Office (AGIMO).

Untuk memudahkan perusahaan bermigrasi ke cloud, rekomendasi telah disiapkan tentang praktik terbaik untuk menggunakan layanan cloud untuk memenuhi persyaratan Better Practice Guides for Financial Management and Accountability Act 1997. Panduan ini menangani masalah keuangan, hukum, dan perlindungan data secara umum.

Pedoman berbicara tentang kebutuhan untuk terus memantau dan mengontrol penggunaan layanan cloud melalui analisis harian tagihan dan laporan. Ini akan membantu menghindari markup tersembunyi dan ketergantungan pada penyedia layanan cloud.

Panduan pertama berjudul Privasi dan Komputasi Awan untuk Instansi Pemerintah Australia (9 halaman). Dokumen ini berfokus pada masalah privasi dan keamanan data.

Selain panduan ini, Negosiasi Cloud - Masalah Hukum dalam Perjanjian Cloud Computing (19 halaman) juga telah disiapkan untuk membantu Anda memahami klausul yang termasuk dalam kontrak.

Buku pegangan ketiga yang terakhir, Pertimbangan Keuangan untuk penggunaan Cloud Computing oleh Pemerintah, 6 halaman, membahas masalah keuangan yang harus diwaspadai oleh perusahaan jika memutuskan untuk menggunakan komputasi awan dalam bisnisnya.

Selain yang tercakup dalam panduan, ada sejumlah masalah lain yang perlu ditangani saat menggunakan komputasi awan, termasuk masalah yang terkait dengan kebijakan pemerintah, pengadaan, dan manajemen bisnis.

Diskusi publik atas makalah kebijakan ini memberikan kesempatan bagi para pemangku kepentingan untuk mempertimbangkan dan mengomentari isu-isu berikut yang menjadi perhatian:

· Akses tidak sah ke informasi rahasia;

· Hilangnya akses ke data;

Kegagalan untuk memastikan integritas dan keaslian data, dan

· Memahami aspek praktis dalam menyediakan layanan cloud.

11. Identitas teritorial data

Ada sejumlah peraturan di berbagai negara yang mengharuskan data sensitif tetap berada di dalam negara. Meskipun menyimpan data dalam wilayah tertentu mungkin tidak tampak sulit pada pandangan pertama, penyedia layanan cloud sering kali tidak dapat menjaminnya. Dalam sistem dengan virtualisasi tingkat tinggi, data dan mesin virtual dapat berpindah dari satu negara ke negara lain untuk berbagai tujuan - penyeimbangan beban, toleransi kesalahan.

Beberapa pemain utama di pasar SaaS (seperti Google, Symantec) dapat menjamin penyimpanan data di negara masing-masing. Tetapi ini adalah pengecualian, secara umum, pemenuhan persyaratan ini masih sangat jarang. Bahkan jika datanya tetap di dalam negeri, tidak ada cara bagi pelanggan untuk memverifikasinya. Selain itu, orang tidak boleh melupakan mobilitas karyawan perusahaan. Jika seorang spesialis yang bekerja di Moskow melakukan perjalanan ke New York, maka lebih baik (atau setidaknya lebih cepat) baginya untuk menerima data dari pusat data di Amerika Serikat. Menyediakan ini sudah merupakan tugas yang lebih sulit.

12. Standar negara

Saat ini, tidak ada kerangka peraturan yang serius untuk teknologi cloud di negara kita, meskipun perkembangan di bidang ini sudah berlangsung. Jadi, atas perintah Presiden Federasi Rusia No. 146 tanggal 8.02.2012. ditetapkan bahwa otoritas eksekutif federal yang berwenang di bidang keamanan data dalam sistem informasi yang dibuat menggunakan teknologi superkomputer dan jaringan adalah FSB Rusia dan FSTEC Rusia.

Sehubungan dengan keputusan ini, kekuasaan layanan ini telah diperluas. FSB Rusia sekarang mengembangkan dan menyetujui dokumen peraturan dan metodologi untuk memastikan keamanan sistem ini, mengatur dan melakukan penelitian di bidang keamanan informasi.

Layanan ini juga melakukan studi ahli kriptografi, kriptografi rekayasa, dan khusus dari sistem informasi ini dan menyiapkan pendapat ahli tentang proposal untuk mengerjakan pembuatannya.

Dokumen tersebut juga menetapkan bahwa FSTEC Rusia mengembangkan strategi dan menentukan area prioritas untuk memastikan keamanan informasi dalam sistem informasi yang dibuat menggunakan teknologi superkomputer dan jaringan yang memproses data terbatas, dan juga memantau keadaan kerja untuk memastikan keamanan ini.

FSTEC memerintahkan penelitian, yang menghasilkan versi beta dari "sistem terminologi di bidang" teknologi cloud "

Seperti yang dapat Anda pahami, seluruh sistem Terminologi ini merupakan terjemahan yang diadaptasi dari dua dokumen: "Focus Group on Cloud Computing Technical Report" dan "The NIST Definition of Cloud Computing". Nah, fakta bahwa kedua dokumen ini tidak terlalu konsisten satu sama lain adalah masalah yang terpisah. Tetapi secara visual masih terlihat: di "Terminosystem" Rusia, penulis, sebagai permulaan, tidak memberikan tautan ke dokumen-dokumen bahasa Inggris ini.

Faktanya adalah bahwa untuk pekerjaan seperti itu, Anda harus terlebih dahulu mendiskusikan konsep, tujuan dan sasaran, metode penyelesaiannya. Ada banyak pertanyaan dan komentar. Catatan metodologis utama: perlu dirumuskan dengan sangat jelas masalah apa yang dipecahkan oleh penelitian ini, tujuannya. Saya ingin segera menunjukkan bahwa "pembuatan sistem istilah" tidak dapat menjadi tujuan, itu adalah sarana, tetapi pencapaian apa yang belum terlalu jelas.

Belum lagi bahwa penelitian normal harus menyertakan bagian status quo.

Sulit untuk membahas hasil suatu penelitian tanpa mengetahui rumusan masalah yang asli dan bagaimana penulis menyelesaikannya.

Tetapi satu kesalahan mendasar dari Sistem Terminologi terlihat jelas: tidak mungkin membahas "subjek berawan" secara terpisah dari yang "tidak berawan". Di luar konteks TI umum. Namun konteks ini tidak terlihat dalam penelitian.

Dan hasilnya adalah bahwa dalam praktiknya Sistem Terminologi seperti itu tidak mungkin diterapkan. Itu hanya dapat membingungkan situasi lebih lanjut.

13. Sarana Keamanan Cloud

Sistem perlindungan server cloud dalam konfigurasi minimumnya harus memastikan keamanan peralatan jaringan, penyimpanan data, server, dan hypervisor. Selain itu, dimungkinkan untuk menempatkan anti-virus di inti khusus untuk mencegah infeksi hypervisor melalui mesin virtual, sistem enkripsi data untuk menyimpan informasi pengguna dalam bentuk terenkripsi dan sarana untuk menerapkan tunneling terenkripsi antara server virtual dan klien mesin.

Untuk ini kita membutuhkan server yang mendukung virtualisasi. Solusi semacam ini ditawarkan oleh Cisco, Microsoft, VMWare, Xen, KVM.

Juga diperbolehkan menggunakan server klasik, dan menyediakan virtualisasi di atasnya menggunakan hypervisor.

Setiap server dengan prosesor yang kompatibel cocok untuk virtualisasi sistem operasi untuk platform x86-64.

Solusi semacam itu akan menyederhanakan transisi ke virtualisasi komputasi tanpa melakukan investasi finansial tambahan dalam peningkatan perangkat keras.

Skema kerja:

Beras. 11. Contoh server "cloud"

Beras. 12. Respons server terhadap kegagalan peralatan

Saat ini, pasar alat keamanan komputasi awan masih cukup kosong. Dan ini tidak mengejutkan. Dengan tidak adanya kerangka peraturan dan ketidakpastian tentang standar masa depan, perusahaan pengembangan tidak tahu apa yang harus difokuskan pada upaya mereka.

Namun, bahkan dalam kondisi seperti itu, perangkat lunak dan sistem perangkat keras khusus muncul yang memungkinkan untuk mengamankan struktur cloud dari jenis ancaman utama.

Pelanggaran integritas

Meretas hypervisor

Orang dalam

Identifikasi

Autentikasi

Enkripsi

Kesepakatan-B

Sistem perangkat keras dan perangkat lunak Kesepakatan-B. dirancang untuk melindungi infrastruktur virtualisasi VMware vSphere 4.1, VMware vSphere 4.0 dan VMware Infrastructure 3.5.

Kesepakatan-B. Memberikan perlindungan untuk semua komponen lingkungan virtualisasi: server ESX dan mesin virtual itu sendiri, server manajemen vCenter, dan server tambahan dengan layanan VMware (misalnya, VMware Consolidated Backup).

Mekanisme perlindungan berikut diimplementasikan dalam kompleks perangkat keras dan perangkat lunak Accord-V:

· Kontrol langkah demi langkah integritas hypervisor, mesin virtual, file di dalam mesin virtual dan server manajemen infrastruktur;

· Diferensiasi akses untuk administrator infrastruktur virtual dan administrator keamanan;

· Diferensiasi akses pengguna di dalam mesin virtual;

· Identifikasi perangkat keras dari semua pengguna dan administrator infrastruktur virtualisasi.

INFORMASI TENTANG KETERSEDIAAN SERTIFIKAT:

Sertifikat kesesuaian FSTEC Rusia No. 2598 tanggal 20/03/2012 menyatakan bahwa perangkat keras dan perangkat lunak perlindungan informasi berarti dari akses tidak sah "Accord-V." mematuhi persyaratan pedoman "Fasilitas komputer. Perlindungan terhadap yang tidak sah akses ke informasi. Indikator keamanan terhadap akses tidak sah ke informasi" (Komisi Teknis Negara Rusia, 1992) - menurut 5 kelas keamanan, "Perlindungan terhadap akses tidak sah ke informasi. Bagian 1. Perangkat lunak untuk perlindungan informasi. Klasifikasi berdasarkan tingkat kontrol dari tidak adanya kemampuan yang tidak dideklarasikan" (Komisi Teknis Negara Rusia, 1999) - oleh 4 tingkat kontrol dan kondisi teknis TU 4012-028-11443195-2010, dan juga dapat digunakan untuk membuat sistem otomatis hingga keamanan kelas 1G inklusif dan untuk melindungi informasi dalam sistem informasi data pribadi hingga kelas 1 inklusif.

vGate R2

vGate R2 adalah sarana perlindungan informasi bersertifikat terhadap akses tidak sah dan kontrol penerapan kebijakan keamanan informasi untuk infrastruktur virtual berdasarkan sistem VMware vSphere 4 dan VMware vSphere 5.S R2 - versi produk yang berlaku untuk melindungi informasi dalam infrastruktur virtual perusahaan publik, yang IP-nya diterapkan persyaratan untuk penggunaan sistem keamanan informasi dengan sertifikasi tingkat tinggi.

Memungkinkan Anda mengotomatiskan pekerjaan administrator untuk mengonfigurasi dan mengoperasikan sistem keamanan.

Membantu mengatasi kesalahan dan penyalahgunaan dalam manajemen infrastruktur virtual.

Memungkinkan Anda menghadirkan infrastruktur virtual sesuai dengan undang-undang, standar industri, dan praktik terbaik dunia.

<#"783809.files/image017.gif"> <#"783809.files/image018.gif"> <#"783809.files/image019.gif"> <#"783809.files/image020.gif"> Beras. 13 vGate R2 mengumumkan kemampuan Jadi, untuk meringkas, berikut adalah alat utama yang dimiliki vGate R2 untuk melindungi pusat data penyedia layanan dari ancaman internal yang berasal dari administratornya sendiri: Pemisahan kekuasaan organisasi dan teknis untuk administrator vSphere Alokasi peran terpisah dari administrator IS yang akan mengelola keamanan sumber daya pusat data berdasarkan vSphere Membagi cloud ke dalam zona keamanan, di mana administrator dengan tingkat otoritas yang sesuai beroperasi Kontrol integritas mesin virtual Kemampuan untuk menerima laporan tentang keamanan infrastruktur vSphere kapan saja, serta mengaudit peristiwa keamanan informasi Pada prinsipnya, ini hampir semua yang diperlukan untuk melindungi infrastruktur pusat data virtual dari ancaman internal dari sudut pandang infrastruktur virtual. Tentu saja, Anda juga memerlukan perlindungan di tingkat perangkat keras, aplikasi, dan OS tamu, tetapi ini adalah masalah lain, yang juga diselesaikan melalui produk Kode Keamanan perusahaan<#"783809.files/image021.gif"> Beras. 14. Struktur server. Untuk menjamin keamanan pada fasilitas tersebut, perlu untuk memastikan keamanan, sesuai Tabel 2. Untuk ini, saya sarankan menggunakan produk perangkat lunak vGate R2. Ini akan memungkinkan Anda untuk memecahkan masalah seperti: · Otentikasi yang lebih kuat untuk administrator infrastruktur virtual dan administrator keamanan informasi. · Perlindungan alat manajemen infrastruktur virtual dari gangguan. · Perlindungan server ESX dari gangguan. · Kontrol akses wajib. · Memantau integritas konfigurasi mesin virtual dan boot terpercaya. · Kontrol akses administrator VI ke data mesin virtual. · Pendaftaran acara yang berkaitan dengan keamanan informasi. · Pemantauan integritas dan perlindungan terhadap gangguan komponen sistem keamanan informasi. · Manajemen dan pemantauan terpusat. Tabel 2. Pemetaan Kebutuhan Keamanan untuk Model PaaS Sertifikat FSTEC Rusia (SVT 5, NDV 4) memungkinkan produk untuk digunakan dalam sistem otomatis dengan tingkat keamanan hingga inklusif kelas 1G dan dalam sistem informasi data pribadi (ISPDN) hingga inklusif kelas K1. Biaya solusi ini akan menjadi 24.500 rubel untuk 1 prosesor fisik pada host yang dilindungi. Selain itu, untuk melindungi dari orang dalam, Anda perlu memasang alarm keamanan. Solusi ini cukup kaya disediakan di pasar perlindungan server. Harga solusi semacam itu dengan akses terbatas ke area yang dikendalikan, sistem alarm dan pengawasan video berkisar dari 200.000 rubel dan lebih banyak lagi Misalnya, mari kita ambil jumlah 250.000 rubel. Untuk melindungi mesin virtual dari infeksi virus, satu inti server akan menjalankan McAfee Total Protection for Virtualization. Biaya solusinya adalah dari 42.200 rubel. Symantec Netbackup akan digunakan untuk mencegah kehilangan data pada penyimpanan. Ini memungkinkan Anda untuk mencadangkan informasi dan gambar sistem dengan aman. Total biaya pelaksanaan proyek semacam itu adalah: Implementasi Microsoft dari solusi desain serupa dapat diunduh dari sini: http://www.microsoft.com/en-us/download/confirmation. aspx? nomor = 2494 Keluaran "Teknologi cloud" adalah salah satu area pasar TI yang paling aktif berkembang saat ini. Jika tingkat pertumbuhan teknologi tidak menurun, maka pada 2015 mereka akan berkontribusi pada perbendaharaan negara-negara Eropa lebih dari 170 juta euro per tahun. Di negara kita, teknologi cloud diperlakukan dengan hati-hati. Hal ini sebagian disebabkan oleh pandangan kepemimpinan yang kaku, sebagian karena kurangnya kepercayaan pada keamanan. Namun jenis teknologi ini, dengan segala kelebihan dan kekurangannya, merupakan lokomotif baru kemajuan TI. Aplikasi "di sisi lain cloud" sama sekali tidak masalah apakah Anda membuat permintaan di komputer dengan prosesor x86 Intel, AMD, VIA atau menulisnya di ponsel atau ponsel cerdas berdasarkan prosesor ARM Freescale, OMAP, Tegra . Selain itu, pada umumnya tidak masalah apakah Anda menjalankan sistem operasi Linux Google Chrome, OHA Android, Intel Moblin, Windows CE, Windows Mobile Windows XP / Vista / 7, atau menggunakan sesuatu yang lebih eksotis untuk ini. ... Jika saja permintaan disusun dengan benar dan dapat dimengerti, dan sistem Anda dapat "menguasai" jawaban yang diterima. Masalah keamanan merupakan salah satu masalah utama dalam komputasi awan dan solusinya akan meningkatkan kualitas layanan di bidang komputer. Namun, masih banyak yang harus dilakukan ke arah ini. Di negara kita, ada baiknya memulai dengan kosakata istilah terpadu untuk seluruh bidang TI. Mengembangkan standar berdasarkan pengalaman internasional. Mengajukan persyaratan untuk sistem keamanan. literatur 1. Pertimbangan Keuangan untuk Penggunaan Komputasi Awan oleh Pemerintah - Pemerintah Australia 2010. 2. Privasi dan Komputasi Awan untuk Instansi Pemerintah Australia 2007. Negosiasi awan - masalah hukum dalam perjanjian komputasi awan 2009. Jurnal “Ilmu Modern: Masalah Aktual Teori dan Praktik” 2012. Pekerjaan serupa dengan - Keamanan informasi dalam komputasi awan: kerentanan, metode dan sarana perlindungan, alat untuk audit dan investigasi insiden