Kad Ēriks Šmits, tagad Google vadītājs, pirmo reizi lietoja terminu “mākonis”, lai apzīmētu tīmeklī izplatītu skaitļošanas sistēmu, viņš diez vai zināja, ka tas ir viens no tiem vārdiem, kas bieži parādās leģendās. Gandrīz visos pasaules tautu mītos dievišķās būtnes dzīvo ļoti tuvu debesīm - uz mākoņiem. Rezultātā jēdziens "mākoņdatošana" ir ļoti populārs tirgotāju vidū, jo tas dod iespēju radošumam. Mēs arī centīsimies šos mītus verbalizēt un saprast, cik organiski tie ir apvienoti ar IT.

Merlinas nāve

Viens no leģendu cikla varoņiem par karali Artūru un viņa apaļo galdu ir burvis un burvis Merlins, kurš palīdzēja Artūram viņa valdīšanas laikā. Zīmīgi, ka Merlins galu galā tika ieslodzīts mākoņos. Viņš, vēloties lepoties ar jauno burvi un parādīt savu maģisko spēku, uzcēla mākoņu pili un aicināja savu aizraušanos to pārbaudīt. Tomēr burve izrādījās viltīga un ieslodzīja burvi savā mākoņu pilī. Pēc tam Merlinu neviens neredzēja, tāpēc tiek uzskatīts, ka viņš nomira kaut kur tur - paša uzceltajā mākoņu pilī.

Tagad "burvji no IT" arī ir izveidojuši veselu mitoloģiju ap izkliedēto skaitļošanu, tāpēc, lai netiktu ieslodzīts šajās "slēdzenēs", vispirms vajadzētu izdomāt, kas ir šie mākoņi, tas ir, nošķirt mārketingu no kotletēm.

Sākotnēji bija tikai viens mākonis - tradicionāli ar šo simbolu tika apzīmēts internets. Šis mākonis nozīmēja visu to datoru kolekciju, kas savienoti ar IP protokolu un kuriem ir sava IP adrese. Laika gaitā internets sāka piešķirt serveru saimniecības, kas tika uzstādītas pie pakalpojumu sniedzējiem un uz kurām balstījās tīmekļa projekti. Tajā pašā laikā, lai nodrošinātu augstu slodzes un kļūdu toleranci, lielākās tīmekļa sistēmas kļuva daudzlīmeņu un izplatītas.

Tipiskā šādā sistēmā varētu izšķirt šādus līmeņus: reversais starpniekserveris, kas darbojas arī kā slodzes līdzsvarotājs un SSL atšifrētājs, pats tīmekļa serveris, pēc tam lietojumprogrammu serveris, DBVS un krātuves sistēma. Tajā pašā laikā katrā līmenī var būt vairāki elementi, kas veic vienādas funkcijas, un tāpēc ne vienmēr bija skaidrs, kuri komponenti tika izmantoti lietotāju pieprasījumu apstrādei. Un, kad nav skaidrs, tad tie ir mākoņi. Tāpēc viņi sāka teikt, ka lietotāju pieprasījumi tiek izpildīti kaut kur "mākonī" no liela skaita serveru. Tā radās termins "mākoņdatošana".

Lai gan sākotnēji mākoņdatošana bija saistīta ar publiski pieejamiem tīmekļa projektiem - portāliem, tomēr, attīstoties izplatītām kļūdām izturīgām tīmekļa sistēmām, tās sāka izmantot iekšējo korporatīvo problēmu risināšanai. Tas bija uzplaukuma laiks korporatīvajos portālos, kuru pamatā bija publiskās sistēmās izstrādātas tīmekļa tehnoloģijas. Tajā pašā laikā korporatīvās sistēmas sāka apvienoties datu centros, kurus bija vieglāk un lētāk uzturēt.

Tomēr piešķirt atsevišķu serveri katram mākoņa elementam būtu neefektīvi - ne visi mākoņa elementi tiek ielādēti vienādi, tāpēc virtualizācijas nozare sāka attīstīties paralēli. Publiskajos mākoņos tas izrādījās diezgan populārs, jo tas ļāva diferencēt piekļuves tiesības un nodrošināt izplatītas sistēmas elementa ātru pārsūtīšanu citam aparatūras nesējam. Bez virtualizācijas mākoņdatošana būtu mazāk dinamiska un mērogojama, tāpēc mākoņus parasti veido virtuālās mašīnas.

Mākoņdatošana galvenokārt ir saistīta ar lietojumprogrammu nomu, definējot trīs šādu pakalpojumu veidus: IaaS - infrastruktūra kā pakalpojums, PaaS - platforma kā pakalpojums un SaaS - programmatūra kā pakalpojums. Dažreiz drošība kā pakalpojums tiek samazināta arī līdz SaaS, tomēr, lai nesajauktu mākoņa drošības pakalpojumus ar programmatūras nomu, labāk to saukt par ISaaC - informācijas drošību kā mākoni. Šādi pakalpojumi arī tiek sniegti. Tomēr nejauciet lietojumprogrammu ārpakalpojumus un mākoņdatošanu, jo mākoņi var būt iekšēji, publiski un hibrīdi. Katram no šiem mākoņu veidiem, organizējot drošības sistēmu, ir savas īpatnības.

Trīs Višnu soļi

Dievs Višnu hinduistu mitoloģijā ir pazīstams ar to, ka tieši viņš iekaroja telpu cilvēka dzīvībai ar trīs soļu palīdzību: pirmais tika izgatavots uz zemes, otrais - mākoņos, bet trešais - augstākajā mājvieta. Saskaņā ar Rigvēdu Višnu ar šo darbību iekaroja visas šīs telpas cilvēkiem.

Arī mūsdienu IT sper līdzīgu "otro soli" - no zemes līdz mākoņiem. Tomēr, lai nenokristu no šiem mākoņiem uz zemes, ir vērts parūpēties par drošību. Pirmajā daļā es tik detalizēti analizēju mākoņa struktūru, lai saprastu, kādi draudi pastāv mākoņdatošanai. No iepriekš minētā ir jānošķir šādas draudu klases:

Tradicionāli uzbrukumi programmatūrai... Tie ir saistīti ar tīkla protokolu, operētājsistēmu, moduļu komponentu un citu ievainojamību. Tie ir tradicionāli draudi, kuru aizsardzībai pietiek ar antivīrusu, ugunsmūra, IPS un citu apspriesto komponentu instalēšanu. Ir tikai svarīgi, lai šīs aizsardzības būtu pielāgotas mākoņu infrastruktūrai un efektīvi darbotos virtualizētā vidē.

Funkcionāli uzbrukumi mākoņa elementiem... Šis uzbrukuma veids ir saistīts ar mākoņa slāņošanu - vispārēju drošības principu, ka sistēmas vispārējā aizsardzība ir vienāda ar vājākā posma aizsardzību. Tātad veiksmīgs DoS uzbrukums reversajam starpniekserverim, kas uzstādīts mākoņa priekšā, bloķēs piekļuvi visam mākonim, lai gan visa komunikācija mākonī darbosies bez traucējumiem. Līdzīgi SQL injekcija, kas tiek izlaista caur lietojumprogrammu serveri, dos piekļuvi sistēmas datiem neatkarīgi no piekļuves noteikumiem datu glabāšanas slānī. Lai aizsargātu pret funkcionāliem uzbrukumiem, katram mākoņa slānim jāizmanto īpaši aizsardzības līdzekļi: starpniekserverim - aizsardzība pret DoS uzbrukumiem, tīmekļa serverim - lapas integritātes kontrole, lietojumprogrammu serverim - lietojumprogrammas līmeņa ekrāns, DBVS slānis - aizsardzība pret SQL injekcijām, uzglabāšanas sistēmai - dublēšana un piekļuves kontrole. Atsevišķi katrs no šiem aizsardzības mehānismiem jau ir izveidots, taču tie netiek savākti kopā visaptverošai mākoņa aizsardzībai, tāpēc uzdevums tos integrēt vienotā sistēmā ir jāatrisina mākoņa izveides laikā.

Klientu uzbrukumi... Šāda veida uzbrukums ir praktizēts tīmekļa vidē, taču tas attiecas arī uz mākoni, jo klienti izveido savienojumu ar mākoni, parasti izmantojot pārlūkprogrammu. Tas ietver tādus uzbrukumus kā Cross Site Scripting (XSS), tīmekļa sesiju nolaupīšana, paroļu zagšana, “cilvēks vidū” un citi. Tradicionāli spēcīga autentifikācija un šifrēta saziņa ar savstarpēju autentifikāciju ir bijusi aizsardzība pret šiem uzbrukumiem, taču ne visi mākoņu radītāji var atļauties tik izšķērdīgus un parasti ne pārāk ērtus aizsardzības līdzekļus. Tāpēc šajā informācijas drošības nozarē joprojām ir neatrisināti uzdevumi un vieta jaunu aizsardzības līdzekļu radīšanai.

Virtualizācijas draudi... Tā kā mākoņa komponentu platforma tradicionāli ir bijusi virtualizēta vide, uzbrukumi virtualizācijas sistēmai apdraud arī visu mākoni kopumā. Šis draudu veids ir raksturīgs tikai mākoņdatošanai, tāpēc mēs to sīkāk aplūkosim tālāk. Tagad sāk parādīties risinājumi dažiem virtualizācijas draudiem, taču šī nozare ir diezgan jauna, tāpēc līdz šim esošie risinājumi vēl nav izstrādāti. Pilnīgi iespējams, ka informācijas drošības tirgū tuvākajā laikā tiks izstrādāti aizsardzības līdzekļi pret šāda veida draudiem.

Visaptveroši mākoņu draudi... Mākoņu kontrole un pārvaldība ir arī drošības jautājums. Kā nodrošināt, ka tiek uzskaitīti visi mākoņa resursi un vai tajā nav nekontrolētu virtuālo mašīnu, netiek palaisti nevajadzīgi biznesa procesi, kā arī netiek pārkāpta mākoņa slāņu un elementu savstarpējā konfigurācija. Šāda veida draudi ir saistīti ar mākoņa kā vienotas informācijas sistēmas pārvaldāmību un ļaunprātīgas izmantošanas vai citu mākoņa darbības traucējumu meklēšanu, kas var radīt nevajadzīgas izmaksas informācijas sistēmas veselības uzturēšanai. Piemēram, ja ir kāds mākonis, kas ļauj tajā atklāt vīrusu, izmantojot iesniegto failu, tad kā novērst šādu detektoru zādzību? Šis apdraudējuma veids ir visaugstākā līmeņa un, man ir aizdomas, ka tam nav universālas aizsardzības - katram mākonim tā kopējā aizsardzība ir jāveido individuāli. Tam var palīdzēt visplašākais riska pārvaldības modelis, kas joprojām ir pareizi jāpiemēro mākoņu infrastruktūrām.

Pirmie divi draudu veidi jau ir pietiekami izpētīti un tiem ir izstrādāta aizsardzība, taču tie joprojām ir jāpielāgo lietošanai mākonī. Piemēram, ugunsmūri ir paredzēti, lai aizsargātu perimetru, bet mākonī nav viegli piešķirt perimetru atsevišķam klientam, kas padara aizsardzību daudz grūtāku. Tāpēc ugunsmūra tehnoloģija ir jāpielāgo mākoņu infrastruktūrai. Darbu šajā virzienā tagad aktīvi veic, piemēram, kontrolpunkts.

Jauns mākoņdatošanas draudu veids ir virtualizācijas problēmas. Fakts ir tāds, ka, izmantojot šo tehnoloģiju, sistēmā parādās papildu elementi, kuriem var uzbrukt. Tie ietver hipervizoru, sistēmu virtuālo mašīnu pārsūtīšanai no viena resursdatora uz citu un virtuālās mašīnas pārvaldības sistēmu. Ļaujiet mums sīkāk apsvērt, kādus uzbrukumus uzskaitītie elementi var piedzīvot.

Hipervizora uzbrukumi... Faktiski virtuālās sistēmas galvenais elements ir hipervizors, kas nodrošina fiziskā datora resursu sadalījumu starp virtuālajām mašīnām. Ja tiek traucēta hipervizora darbība, viena virtuālā mašīna var piekļūt citas atmiņai un resursiem, pārtvert tās tīkla trafiku, atņemt tās fiziskos resursus un pat pilnībā izspiest virtuālo mašīnu no servera. Līdz šim daži hakeri precīzi saprot, kā darbojas hipervizors, tāpēc šāda veida uzbrukumu praktiski nav, taču tas negarantē, ka nākotnē tie neparādīsies.

Migrējiet virtuālās mašīnas... Jāatzīmē, ka virtuālā mašīna ir fails, kuru var palaist izpildei dažādos mākoņa mezglos. Virtuālo mašīnu pārvaldības sistēmas nodrošina mehānismus virtuālo mašīnu pārsūtīšanai no viena resursdatora uz citu. Tomēr virtuālās mašīnas failu var nozagt un mēģināt palaist ārpus mākoņa. Nav iespējams izņemt fizisko serveri no datu centra, bet virtuālo mašīnu var nozagt tīklā bez fiziskas piekļuves serveriem. Taisnība, atsevišķai virtuālajai mašīnai ārpus mākoņa nav praktiskas vērtības - jums ir jāzog vismaz viena virtuālā mašīna no katra slāņa, kā arī dati no uzglabāšanas sistēmas, lai atjaunotu līdzīgu mākoni; tomēr virtualizācija diezgan pieļauj detaļu vai zādzību. visu mākoni. Tas ir, iejaukšanās virtuālo mašīnu pārsūtīšanas mehānismos rada jaunus riskus informācijas sistēmai.

Kontroles sistēmas uzbrukumi... Lielajam virtuālo mašīnu skaitam, kas tiek izmantots mākoņos, īpaši publiskos mākoņos, ir nepieciešamas pārvaldības sistēmas, kas var droši kontrolēt virtuālo mašīnu izveidi, migrāciju un iznīcināšanu. Iejaukšanās vadības sistēmās var izraisīt neredzamu virtuālo mašīnu parādīšanos, dažu mašīnu bloķēšanu un neatļautu elementu aizvietošanu mākoņu slāņos. Tas viss ļauj uzbrucējiem iegūt informāciju no mākoņa vai uztvert tā daļas vai visu mākoni.

Jāatzīmē, ka līdz šim visi iepriekš uzskaitītie draudi ir tikai hipotētiski, jo praktiski nav informācijas par reāliem šāda veida uzbrukumiem. Tajā pašā laikā, kad virtualizācija un mākonis kļūst pietiekami populāri, visi šāda veida uzbrukumi varētu būt diezgan reāli. Tāpēc tie jāpatur prātā pat mākoņu sistēmu projektēšanas stadijā.

Aiz septītajām debesīm

Apustulis Pāvils apgalvoja, ka pazina kādu cilvēku, kurš tika aizrauts līdz septītajām debesīm. Kopš tā laika frāze "septītās debesis" ir stingri nostiprinājusies paradīzes apzīmēšanai. Tomēr ne visi kristiešu svētie bija pagodināti apmeklēt pat pirmās debesis, tomēr nav tādas personas, kas nesapņotu vismaz ar vienu aci paskatīties uz septītajām debesīm.

Varbūt tieši šī leģenda pamudināja Trend Micro veidotājus nosaukt vienu no saviem mākoņu aizsardzības projektiem Cloud Nine - devīto mākoni. Tas nepārprotami ir virs septītā. Tomēr tagad šis nosaukums tiek dots visdažādākajām lietām: dziesmām, detektīvstāstiem, datorspēlēm, taču pilnīgi iespējams, ka šo nosaukumu iedvesmojusi Pāvila kristīgā leģenda.

Tomēr līdz šim uzņēmums Trend Micro publicējis tikai informāciju, ka Cloud Nine būs saistīts ar datu šifrēšanu mākonī. Tieši datu šifrēšana ļauj aizsargāties pret lielāko daļu publiskajā mākonī esošo datu apdraudējumu, tāpēc šādi projekti tagad tiks aktīvi attīstīti. Iedomāsimies, kādi aizsardzības līdzekļi joprojām var būt noderīgi, lai mazinātu iepriekš aprakstītos riskus.

Pirmkārt, jums ir jānodrošina uzticama gan mākoņa lietotāju, gan tā sastāvdaļu autentifikācija. Lai to izdarītu, visticamāk, varat izmantot gatavas vienas autentifikācijas sistēmas (SSO), kuru pamatā ir Kerberos un savstarpējais aparatūras autentifikācijas protokols. Tālāk jums būs nepieciešamas identitātes pārvaldības sistēmas, kas ļauj konfigurēt lietotāju piekļuves tiesības dažādām sistēmām, izmantojot lomu pārvaldību. Protams, jums ir jāpielāgojas lomu definīcijai un minimālajām tiesībām katrai lomai, taču, tiklīdz esat konfigurējis sistēmu, varat to izmantot ilgu laiku.

Kad ir definēti visi procesa dalībnieki un viņu tiesības, jums jāuzrauga šo tiesību ievērošana un administratīvo kļūdu atklāšana. Tas prasa notikumu apstrādes sistēmas no līdzekļiem, kas aizsargā mākoņa elementus, un papildu aizsardzības mehānismus, piemēram, ugunsmūrus, antivīrusus, IPS un citus. Tiesa, ir vērts izmantot tās iespējas, kas var darboties virtualizācijas vidē - tas būs efektīvāk.

Turklāt jums jāizmanto arī kāda veida krāpšanas mašīna, kas ļautu atklāt krāpšanos mākoņu izmantošanā, tas ir, lai samazinātu visgrūtāko risku iejaukties biznesa procesos. Tiesa, tagad tirgū, visticamāk, nav krāpšanas mašīnas, kas ļautu strādāt ar mākoņiem, tomēr telefonijai jau ir izstrādātas tehnoloģijas krāpšanas un ļaunprātīgas izmantošanas atklāšanai. Tā kā norēķinu sistēma būs jāievieš mākoņos, tai būtu jāpievieno arī krāpšanas mašīna. Tādējādi būs iespējams vismaz kontrolēt mākoņa biznesa procesu draudus.

Kādus citus aizsardzības mehānismus var izmantot mākoņu aizsardzībai? Jautājums joprojām ir atklāts.

Korporatīvās IT infrastruktūras izveidošanai ir vairākas metodes. Visu resursu un pakalpojumu izvietošana mākoņa platformā ir tikai viens no tiem. Tomēr aizspriedumi par mākoņu risinājumu drošību šādā veidā bieži kļūst par šķērsli. Šajā rakstā mēs sapratīsim, kā drošības sistēma ir sakārtota viena no slavenākajiem Krievijas pakalpojumu sniedzējiem - Yandex.

Pasaka ir meli, bet tajā ir mājiens

Šī stāsta sākumu var izstāstīt kā slavenu pasaku. Uzņēmumā bija trīs administratori: vecākais bija gudrs puisis, vidējais bija tas un tas, jaunākais bija ... enikeys praktikants. Es ievedu lietotājus Active Directory un pagriezu astes uz tsiska. Ir pienācis laiks uzņēmumam paplašināties, un karalis, tas ir, priekšnieks, aicināja savu administratora armiju. Es vēlos, viņš saka, mūsu klientiem jaunus tīmekļa pakalpojumus, savu failu krātuvi, pārvaldītas datu bāzes un virtuālās mašīnas programmatūras testēšanai.

Jaunākais nekavējoties ieteica izveidot savu infrastruktūru no nulles: iegādāties serverus, instalēt un konfigurēt programmatūru, paplašināt galveno interneta kanālu un pievienot tam rezerves kopiju - drošībai. Un uzņēmums ir mierīgāks: aparatūra vienmēr ir pie rokas, jebkurā laikā jūs varat kaut ko nomainīt vai pārkonfigurēt, un viņam pašam būs lieliska iespēja apgūt savas administratora prasmes. Viņi aprēķināja un lēja asaras: uzņēmums nevarēs atļauties šādas izmaksas. Lielie uzņēmumi to var izdarīt, bet vidējiem un maziem uzņēmumiem tas ir pārāk dārgi. Jums ir ne tikai jāiegādājas aprīkojums, jāaprīko serveru telpa, jāinstalē gaisa kondicionieri un jāiestata ugunsgrēka signalizācija, bet arī jāorganizē dežūras, lai dienu un nakti uzturētu kārtību un atvairītu trauslo cilvēku tīkla uzbrukumus no interneta. Un nez kāpēc administratori negribēja strādāt naktīs un brīvdienās. Ja nu vienīgi par dubultu samaksu.

Vecākais administrators domīgi paskatījās caur termināļa logu un ieteica visus pakalpojumus ievietot mākonī. Bet tad viņa kolēģi sāka biedēt viens otru ar šausmu stāstiem: viņi saka, ka mākoņu infrastruktūrai ir neaizsargātas saskarnes un API, slikti līdzsvarojot dažādu klientu slodzi, kas var sabojāt jūsu pašu resursus, kā arī ir nestabila datu zādzībām un ārējiem uzbrukumiem . Un vispār ir biedējoši nodot kontroli pār kritiskajiem datiem un programmatūru nepiederošām personām, ar kurām kopā neesat apēdis mārciņu sāls un izdzēris spaini alus.

Mediocre deva ideju izvietot visu IT sistēmu pakalpojumu sniedzēja datu centrā, tā kanālos. Par to un nolēma. Tomēr mūsu trio gaidīja vairāki pārsteigumi, ne visi bija patīkami.

Pirmkārt, jebkura tīkla infrastruktūra prasa obligātu drošības un aizsardzības rīku pieejamību, kas, protams, ir izvietoti, konfigurēti un palaisti. Bet to izmantoto aparatūras resursu izmaksas, kā izrādījās, ir jāsedz pašam klientam. Un mūsdienu informācijas drošības sistēma patērē ievērojamus resursus.

Otrkārt, bizness turpināja augt, un no sākuma izveidotā infrastruktūra ātri sasniedza mērogojamības griestus. Turklāt, lai to paplašinātu, nepietiek ar vienkāršu tarifa maiņu: šajā gadījumā daudzi pakalpojumi būtu jāpārnes uz citiem serveriem, jāpārkonfigurē un kaut kas jāpārveido no jauna.

Visbeidzot, kādu dienu, kritiskas ievainojamības dēļ vienā no lietojumprogrammām, visa sistēma avarēja. Administratori to ātri paņēma no dublējumkopijām, taču viņi nevarēja ātri noskaidrot notikušā iemeslus, jo aizmirsa iestatīt mežizstrādes pakalpojumu rezerves kopiju. Vērtīgais laiks tika zaudēts, un laiks, kā saka tautas gudrība, ir nauda.

Izmaksu aprēķināšana un rezultātu apkopošana lika uzņēmuma vadībai izdarīt neapmierinošus secinājumus: administratoram, kurš jau no paša sākuma ieteica izmantot IaaS mākoņa modeli - "infrastruktūra kā pakalpojums", bija taisnība. Runājot par šādu platformu drošību, ir vērts par to runāt atsevišķi. Un mēs to darīsim, izmantojot populārāko šādu pakalpojumu piemēru - Yandex.Cloud.

Drošība Yandex.Cloud

Sāksim, kā Češīras kaķis ieteica meitenei Alisei no paša sākuma. Tas ir, no atbildības norobežošanas jautājuma. Vietnē Yandex.Cloud, tāpat kā citās līdzīgās platformās, pakalpojumu sniedzējs ir atbildīgs par lietotājiem sniegto pakalpojumu drošību, savukārt klients ir atbildīgs par viņa izstrādāto lietojumprogrammu pareizas darbības nodrošināšanu, attālinātas piekļuves organizēšanu un norobežošanu īpašiem resursiem. , datu bāzu un virtuālo mašīnu konfigurēšana, reģistrēšanas kontrole. Tomēr šim nolūkam viņam tiek nodrošināti visi nepieciešamie rīki.

Yandex mākoņu infrastruktūras drošībai ir vairāki līmeņi, no kuriem katrs īsteno savus aizsardzības principus un izmanto atsevišķu tehnoloģiju arsenālu.

Fiziskais slānis

Nav noslēpums, ka Yandex ir savi datu centri, kurus apkalpo savas drošības nodaļas. Mēs runājam ne tikai par videonovērošanas un piekļuves kontroles pakalpojumiem, kas paredzēti, lai novērstu nepiederošu personu iekļūšanu serveru telpās, bet arī par klimata kontroles sistēmām, ugunsdzēšanas un nepārtrauktās barošanas avotiem. Stern apsardzei nav lielas nozīmes, ja jūsu servera plaukts reiz ir pārpludināts ar ūdeni no ugunsdzēsības smidzinātājiem vai ja tie pārkarst pēc gaisa kondicionētāja atteices. Tas noteikti nenotiks ar viņiem Yandex datu centros.

Turklāt Cloud aparatūra ir fiziski atdalīta no "lielā Yandex": tie atrodas dažādos plauktos, taču tieši tādā pašā veidā tiem tiek veikta regulāra apkope un komponentu nomaiņa. Uz šo divu infrastruktūru robežas tiek izmantoti aparatūras ugunsmūri, bet mākoņa iekšpusē - programmatūras resursdatora ugunsmūris. Turklāt augstākās klases slēdžos tiek izmantota piekļuves kontroles saraksta (ACL) sistēma, kas ievērojami uzlabo visas infrastruktūras drošību. Yandex pastāvīgi skenē mākoni no ārpuses, meklējot atvērtos portus un konfigurācijas kļūdas, lai iespējamo ievainojamību varētu atpazīt un novērst iepriekš. Darbiniekiem, kas strādā ar mākoņa resursiem, ir ieviesta centralizēta autentifikācijas sistēma, kurā tiek izmantotas SSH atslēgas ar lomu pieejas modeli, un tiek reģistrētas visas administratora sesijas. Šī pieeja ir daļa no Yandex plaši izmantotā drošā noklusējuma modeļa: drošība tiek iekļauta IT infrastruktūrā tās izstrādes un izstrādes stadijā, un tā netiek pievienota vēlāk, kad viss jau darbojas.

Infrastruktūras līmenis

“Aparatūras un programmatūras loģikas” līmenī Yandex.Cloud izmanto trīs infrastruktūras pakalpojumus: Compute Cloud, Virtual Private Cloud un Yandex Managed Services. Un tagad par katru no tiem nedaudz sīkāk.

Aprēķināt mākoni

Šis pakalpojums nodrošina mērogojamu skaitļošanas jaudu dažādiem uzdevumiem, piemēram, tīmekļa projektu un lielas slodzes pakalpojumu mitināšanai, testēšanai un prototipu izveidei vai IT infrastruktūras pagaidu migrācijai uz sava aprīkojuma remonta vai nomaiņas laiku. Pakalpojumu varat pārvaldīt, izmantojot konsoli, komandrindu (CLI), SDK vai API.

Aprēķināt mākoņa drošību pamato fakts, ka visas klientu virtuālās mašīnas izmanto vismaz divus kodolus, un atmiņas piešķiršanā nav pārmērīgu saistību. Tā kā šajā gadījumā kodolā tiek izpildīts tikai klienta kods, sistēma nav uzņēmīga pret tādām ievainojamībām kā L1TF, Spectre un Meltdown vai sānu kanālu uzbrukumiem.

Turklāt Yandex izmanto savu Qemu / KVM komplektu, kurā tiek atspējots viss nevajadzīgais, atstājot tikai minimālo kodu komplektu un bibliotēkas, kas nepieciešamas hipervizoru darbībai. Tajā pašā laikā procesi tiek uzsākti uz AppArmor balstītu instrumentāciju kontrolē, kas, izmantojot drošības politikas, nosaka, kuriem sistēmas resursiem un ar kādām privilēģijām var piekļūt konkrēta lietojumprogramma. AppArmor, kas darbojas virs katras virtuālās mašīnas, samazina risku, ka klienta lietojumprogramma varēs piekļūt hipervizoram no VM. Lai saņemtu un apstrādātu žurnālus, Yandex ir izveidojis procesu datu piegādei no AppArmor un smilškastēm uz savu Splunk.

Virtuāls privāts mākonis

Pakalpojums Virtual Private Cloud ļauj izveidot mākoņtīklus, ko izmanto informācijas pārsūtīšanai starp dažādiem resursiem un to savienojumu ar internetu. Fiziski šo pakalpojumu atbalsta trīs neatkarīgi datu centri. Šajā vidē loģiskā izolācija tiek veikta daudzprotokolu komunikācijas - MPLS - līmenī. Tajā pašā laikā Yandex pastāvīgi izjauc SDN un hipervizora saskarni, tas ir, no virtuālo mašīnu puses, nepareizi veidotu pakešu plūsma nepārtraukti tiek nosūtīta uz ārējo vidi, lai saņemtu atbildi no SDN, analizētu to un aizvērtu iespējamo konfigurācijas nepilnības. Izveidojot virtuālās mašīnas, DDoS aizsardzība tiek automātiski iespējota.

Yandex pārvaldītie pakalpojumi

Yandex Managed Services ir programmatūras vide dažādu pakalpojumu pārvaldībai: DBVS, Kubernetes kopas, virtuālie serveri Yandex.Cloud infrastruktūrā. Šeit dienests pārņem lielāko daļu drošības darbu. Yandex.Cloud programmatūra automātiski nodrošina visas dublējumkopijas, dublējumu šifrēšanu, ievainojamības pārvaldību un tā tālāk.

Rīki reaģēšanai uz negadījumiem

Lai savlaicīgi reaģētu uz informācijas drošības incidentiem, savlaicīgi jānosaka problēmas avots. Šim nolūkam ir jāizmanto uzticami uzraudzības rīki, kuriem vajadzētu strādāt visu diennakti un bez pārtraukumiem. Šādas sistēmas neizbēgami patērēs resursus, taču Yandex.Cloud nepārvieto drošības rīku skaitļošanas jaudas izmaksas uz platformas lietotājiem.

Izvēloties rīku komplektu, Yandex vadījās pēc vēl vienas svarīgas prasības: ja veiksmīgi tiek izmantota 0 dienu ievainojamība kādā no lietojumprogrammām, uzbrucējam nevajadzētu pamest lietojumprogrammas saimniekdatoru, savukārt drošības komandai nekavējoties jāuzzina par notikušo un jāreaģē nepieciešams.

Visbeidzot, vēlme bija, lai visi rīki būtu atvērtā koda. Šiem kritērijiem pilnībā atbilst AppArmor + Osquery pakete, kuru tika nolemts izmantot vietnē Yandex.Cloud.

AppArmor

AppArmor tika minēts iepriekš: tas ir proaktīvs aizsardzības programmatūras rīks, kura pamatā ir pielāgojami drošības profili. Profilos tiek izmantota obligātās piekļuves kontroles (MAC) privātuma marķēšanas tehnoloģija, kas ieviesta, izmantojot LSM tieši pašā Linux kodolā kopš versijas 2.6. Yandex izstrādātāji izvēlējās AppArmor šādu iemeslu dēļ:

• vieglums un ātrums, jo rīks balstās uz daļu no Linux kodola;
• tas ir atvērtā koda risinājums;
• AppArmor var ļoti ātri izvietot Linux, nerakstot nekādu kodu;
• elastīga konfigurācija ir iespējama, izmantojot konfigurācijas failus.

Osquery

Osquery ir sistēmas drošības uzraudzības rīks, ko izstrādājis Facebook un tagad veiksmīgi tiek izmantots daudzās IT nozarēs. Tajā pašā laikā rīks ir starpplatformu un atvērtā koda.

Izmantojot Osquery, jūs varat apkopot informāciju par dažādu operētājsistēmas komponentu stāvokli, uzkrāt to, pārveidot to standartizētā JSON formātā un nosūtīt izvēlētajam adresātam. Šis rīks ļauj rakstīt un nosūtīt uz jūsu lietojumprogrammu standarta SQL vaicājumus, kas tiek glabāti rocksdb datu bāzē. Jūs varat pielāgot šo pieprasījumu izpildes vai apstrādes biežumu un nosacījumus.

Standarta tabulās daudzas funkcijas jau ir ieviestas, piemēram, jūs varat iegūt sistēmā esošo procesu sarakstu, instalētās pakotnes, pašreizējo iptables noteikumu kopumu, crontab entītijas utt. Ārpus kastes ir ieviests atbalsts notikumu saņemšanai un parsēšanai no kodola audita sistēmas (tiek izmantots vietnē Yandex.Cloud, lai apstrādātu AppArmor notikumus).

Pati Osquery ir rakstīta C ++ valodā un tiek izplatīta ar atvērtā pirmkoda palīdzību, jūs varat tos modificēt un abas pievienot jaunas tabulas galvenajai koda bāzei, kā arī izveidot savus paplašinājumus C, Go vai Python.

Noderīga Osquery iezīme ir izplatītas vaicājumu sistēmas klātbūtne, ar kuras palīdzību jūs varat izpildīt vaicājumus reālā laikā visām tīkla virtuālajām mašīnām. Tas var būt noderīgi, piemēram, ja pakotnē tiek konstatēta ievainojamība: ar vienu vaicājumu varat iegūt sarakstu ar mašīnām, kurās šī pakotne ir instalēta. Šo funkciju plaši izmanto, administrējot lielas izplatītas sistēmas ar sarežģītu infrastruktūru.

secinājumus

Ja mēs atgriezīsimies pie šī raksta sākumā stāstītā, tad redzēsim, ka bailes, kuru dēļ mūsu varoņi atteicās izvietot infrastruktūru mākoņu platformā, izrādījās nepamatotas. Vismaz, ja runa ir par Yandex.Cloud. Yandex radītajai mākoņu infrastruktūras drošībai ir daudzslāņu ešelonēta arhitektūra, un tāpēc tā nodrošina augstu aizsardzības līmeni pret lielāko daļu pašlaik zināmo draudu.

Tajā pašā laikā, pateicoties ietaupījumiem, veicot regulāru aparatūras apkopi un samaksu par resursiem, ko patērē Yandex veiktās uzraudzības un brīdinājuma sistēmas, Yandex.Cloud izmantošana ievērojami ietaupa naudu maziem un vidējiem uzņēmumiem. Protams, pilnīga atteikšanās no IT nodaļas vai par informācijas drošību atbildīgās nodaļas (īpaši, ja abas šīs lomas ir apvienotas vienā komandā) nedarbosies. Bet Yandex.Cloud ievērojami samazinās darbaspēka izmaksas un pieskaitāmās izmaksas.

Tā kā Yandex.Cloud saviem klientiem nodrošina drošu infrastruktūru ar visiem nepieciešamajiem drošības rīkiem, viņi var koncentrēties uz biznesa procesiem, atstājot aparatūras apkalpošanas un uzraudzības uzdevumus pakalpojumu sniedzēja ziņā. Tas neizslēdz nepieciešamību pēc pašreizējās VM, datu bāzu un lietojumprogrammu administrēšanas, taču šāds uzdevumu klāsts jebkurā gadījumā būtu jāatrisina. Kopumā mēs varam teikt, ka Yandex.Cloud ietaupa ne tikai naudu, bet arī laiku. Un otrais, atšķirībā no pirmā, ir neaizstājams resurss.

GRIGORIEV1 Vitālijs Robertovičs, tehnisko zinātņu kandidāts, asociētais profesors KUZNETSOV2 Vladimirs Sergejevičs

IEVADĪTĪBU IDENTIFIKĀCIJAS PROBLĒMAS MELNO DATORA MODELĪ

Rakstā sniegts pārskats par pieejām mākoņdatošanas konceptuālā modeļa veidošanai, kā arī esošo viedokļu salīdzinājums par to ievainojamību noteikšanu, kas raksturīgas sistēmām, kas veidotas, pamatojoties uz šo modeli. Atslēgvārdi: mākoņdatošana, ievainojamība, draudu kodols, virtualizācija.

Šī raksta mērķis ir sniegt pārskatu par pieejām konceptuāla mākoņdatošanas modeļa izveidošanai, kas izklāstīts NIST mākoņdatošanas atsauces arhitektūrā, un salīdzināt vadošo organizāciju viedokļus šajā jomā par šī skaitļošanas modeļa ievainojamībām, kā arī galvenie mākoņdatošanas tirgus dalībnieki.

Mākoņdatošana ir modelis, kas nodrošina ērtu piekļuvi tīklam pēc pieprasījuma konfigurējamiem koplietotiem skaitļošanas resursiem (tīkliem, serveriem, datu krātuvēm, lietojumprogrammām un pakalpojumiem), un tas tiek ātri piegādāts ar minimāliem pārvaldības un pakalpojumu sniedzēju mijiedarbības centieniem. Šī Nacionālā standartu institūta (NIST) definīcija ir plaši pieņemta visā nozarē. Mākoņdatošanas definīcija ietver piecas pamatīpašības, trīs pakalpojumu modeļus un četrus izvietošanas modeļus.

Piecas galvenās iezīmes

Pašapkalpošanās pēc pieprasījuma

Lietotāji var iegūt, kontrolēt un pārvaldīt skaitļošanas resursus bez sistēmas administratoru palīdzības. Plaša tīkla piekļuve - skaitļošanas pakalpojumi tiek nodrošināti, izmantojot standarta tīklus un neviendabīgas ierīces.

Operatīvā elastība - 1T-

resursus var ātri pielāgot jebkurā virzienā pēc vajadzības.

Resursu kopums - IT resursi tiek koplietoti dažādās lietojumprogrammās un lietotājiem atvienotā režīmā.

Pakalpojuma izmaksu aprēķins - 1T resursa izmantošana tiek izsekota katrai lietojumprogrammai un lietotājam, lai nodrošinātu norēķinus par publisko mākoni un iekšējos maksājumus par privāto mākoņu izmantošanu.

Trīs pakalpojumu modeļi

Programmatūra kā pakalpojums (SaaS) - parasti lietojumprogrammas galalietotājiem tiek piegādātas kā pakalpojums, izmantojot tīmekļa pārlūkprogrammu. Mūsdienās ir simtiem SaaS piedāvājumu, sākot no horizontālām uzņēmumu lietojumprogrammām līdz nozarei raksturīgiem piedāvājumiem, kā arī patērētāju lietojumprogrammām, piemēram, e-pastam.

Platforma kā pakalpojums (PaaS) - lietojumprogrammu izstrādes un izvietošanas platforma tiek piedāvāta kā pakalpojums izstrādātājiem, lai izveidotu, izvietotu un pārvaldītu SaaS lietojumprogrammas. Parasti platforma ietver datu bāzes, starpprogrammatūru un izstrādes rīkus, kas visi tiek sniegti kā pakalpojums internetā. PaaS bieži mērķē uz programmēšanas valodu vai API, piemēram, Java vai Python. Virtualizēta, grupēta sadalīta skaitļošanas arhitektūra bieži kalpo par pamatu sistēmām

1 - MSTU MIREA, Informācijas drošības katedras asociētais profesors;

2 - Maskavas Valsts radioelektronikas un automatizācijas universitāte (MSTU MIREA), students.

Paradīze, jo tīkla resursu tīkla struktūra nodrošina nepieciešamo elastīgo mērogojamību un resursu apvienošanu. Infrastruktūra kā pakalpojums (IaaS) - kā pakalpojums tiek nodrošināti serveri, krātuve un tīkla aparatūra. Šī infrastruktūras aparatūra bieži tiek virtualizēta, tāpēc arī virtualizācija, pārvaldība un operētājsistēmas programmatūra ir daļa no LaaR.

Četri izvietošanas modeļi

Privāti mākoņi - paredzēti tikai vienas organizācijas izmantošanai, un tos parasti kontrolē, pārvalda un mitina privāti datu centri. Privātu mākoņu mitināšanu un pārvaldību var uzticēt ārpakalpojumu sniedzējam, bet bieži

Jaunais mākonis paliek tikai vienas organizācijas lietojumā. Publiski mākoņi - kopīgi daudzām organizācijām (lietotājiem), tos uztur un pārvalda ārēji pakalpojumu sniedzēji.

Grupu mākoņi - izmanto saistītu organizāciju grupa, kas vēlas izmantot kopīgas mākoņdatošanas vides priekšrocības. Piemēram, grupu var veidot dažādas militārās nozares, visas universitātes noteiktā reģionā vai visi galvenā ražotāja piegādātāji.

Hibrīdie mākoņi - parādās, ja organizācija izmanto gan privātu, gan publisku mākoni vienai un tai pašai lietojumprogrammai, lai izmantotu abus. Piemēram, "vētras" scenārijā organizācija-lietotājs standarta slodzes gadījumā uz lietojumprogrammu

izmanto privātu mākoni, un, ja slodze ir visaugstākā, piemēram, ceturkšņa beigās vai brīvdienu sezonā, tā izmanto publiskā mākoņa potenciālu, pēc tam atgriežot šos resursus vispārējā baseinā, kad tie nav vajadzīgi.

Att. 1 parādīts mākoņdatošanas konceptuālais modelis saskaņā ar dokumentu "NIST Cloud Computing Reference Architecture". Kā parādīts attēlā. Standarta 1 modelis izceļ galvenos mākoņsistēmas dalībniekus: mākoņa patērētāju, mākoņpakalpojumu sniedzēju, mākoņa revidentu, mākoņa starpnieku, mākoņa starpnieku. Katrs dalībnieks ir persona vai organizācija, kas veic savas mākoņdatošanas ieviešanas vai nodrošināšanas funkcijas. Mākoņu patērētājs - persona vai organizācija, kas uztur biznesa mijiedarbību ar citiem

Mākoņu patērētājs

Mākoņauditors

C Drošības audits L I J

I Revīzijas konfidencialitāte I J

(Sniegto pakalpojumu audits | J

Mākoņu nodrošinātājs

Līmeņu komplekss

Pielāgots līmenis

^ Pakalpojums kā pakalpojums ^ ^ Platforma kā pakalpojums ^ Infrastruktūra kā pakalpojums)

Abstrakcijas līmenis

Fiziskais slānis

Mākoņpakalpojums

^ J atbalsts ^ J pielāgošana

Pārnesamība

Mākoņu brokeris

Mākoņu starpnieks

Rīsi. 1. Konceptuālais modelis, ko izstrādājuši NIST speciālisti

tori tīklā un izmanto mākoņpakalpojumu sniedzēju pakalpojumus. Mākoņpakalpojumu sniedzējs - persona, organizācija vai ikviens, kas ir atbildīgs par ieinteresētajiem patērētājiem sniegto pakalpojumu pieejamību. Mākoņauditors - dalībnieks, kurš var veikt neatkarīgus mākoņa pakalpojumu, pakalpojumu un mākoņa ieviešanas drošības novērtējumus. Mākoņu brokeris ir dalībnieks, kas pārvalda mākoņpakalpojumu izmantošanu, veiktspēju un piegādi patērētājam un apspriež mijiedarbību starp mākoņpakalpojumu sniedzējiem un mākoņa patērētājiem. Mākoņu starpnieks - starpnieks, kas nodrošina komunikāciju un mākoņpakalpojumu piegādi starp mākoņa pakalpojumu sniedzējiem un mākoņa patērētājiem.

Mākoņdatošanas priekšrocības un izaicinājumi

Jaunākās IT speciālistu aptaujas liecina, ka mākoņdatošana, organizējot izplatītos pakalpojumus, piedāvā divas galvenās priekšrocības - ātrumu un izmaksas. Pateicoties bezsaistes piekļuvei skaitļošanas resursu kopumam, lietotājus var iekļaut viņus interesējošos procesos dažu minūšu laikā, nevis nedēļās vai mēnešos, kā tas bija agrāk. Pateicoties elastīgi pielāgojamajai Grid skaitļošanas videi, strauji mainās arī skaitļošanas jauda. Tā kā mākoņdatošanā lietotāji maksā tikai par to, ko izmanto, un mērogojamība un automatizācija sasniedz augstu līmeni, sniegto pakalpojumu izmaksu un efektivitātes attiecība ir arī ļoti pievilcīgs faktors visiem apmaiņas procesu dalībniekiem.

Tās pašas aptaujas liecina, ka ir vairāki nopietni apsvērumi, kas kavē dažu uzņēmumu pāreju uz mākoni. Starp šiem apsvērumiem mākoņdatošanas drošība ir neapšaubāmi vadošā.

Lai pienācīgi novērtētu mākoņu sistēmu drošību, ir lietderīgi izpētīt galveno tirgus dalībnieku viedokli par draudiem šajā jomā. Mēs salīdzināsim pašreizējās mākoņa draudu pieejas, kas parādītas NIST mākoņdatošanas standartu ceļvedī, ar IBM, Oracle un VmWare piedāvātajām pieejām.

ASV Nacionālais standartu institūts Mākoņdatošanas drošības standarts

NIST pieņemtais mākoņdatošanas standartu ceļvedis aptver iespējamos iespējamos uzbrukumu veidus mākoņdatošanas pakalpojumiem:

♦ apdraudot mākoņpakalpojumu sniedzēju nosūtīto datu konfidencialitāti un pieejamību;

♦ uzbrukumi, kas izriet no mākoņdatošanas vides strukturālajām iezīmēm un iespējām, lai pastiprinātu un palielinātu uzbrukumu radīto kaitējumu;

♦ patērētāja nesankcionēta piekļuve (izmantojot nepareizu autentifikāciju vai autorizāciju vai ievainojamības, kas ieviestas, veicot periodisku apkopi) programmatūrai, datiem un resursiem, ko izmanto pilnvarots mākoņpakalpojumu patērētājs;

♦ tīkla uzbrukumu līmeņa paaugstināšanās, piemēram, DoS, programmatūras izmantošana, kuras izstrādē netika ņemts vērā izplatīto interneta resursu draudu modelis, kā arī ievainojamība resursos, kas bija pieejami no privātiem tīkliem;

♦ ierobežotas datu šifrēšanas iespējas vidē ar lielu dalībnieku skaitu;

♦ pārnesamība, kas rodas, izmantojot nestandarta API, kas mākoņa patērētājam apgrūtina pāreju uz jaunu mākoņpakalpojumu sniedzēju, ja nav izpildītas pieejamības prasības;

♦ uzbrukumi, kuros tiek izmantota mākoņresursu fiziska ieguve un tiek izmantoti revīzijas ierakstu un procedūru trūkumi;

♦ uzbrukumi virtuālajām mašīnām, kas nav atbilstoši atjaunināti;

♦ uzbrukumi, izmantojot neatbilstības globālajā un privātajā drošības politikā.

Standarts arī izceļ galvenos mākoņdatošanas drošības mērķus:

♦ lietotāju datu aizsardzība pret neatļautu piekļuvi, izpaušanu, pārveidošanu vai apskati; nozīmē identifikācijas pakalpojuma atbalstu tādā veidā, lai patērētājam būtu iespēja veikt identifikācijas un piekļuves kontroles politikas tiem pilnvarotajiem lietotājiem, kuriem ir piekļuve mākoņpakalpojumiem; šī pieeja nozīmē patērētāja spēju citiem lietotājiem selektīvi nodrošināt piekļuvi saviem datiem;

♦ aizsardzība pret piegādes ķēdes draudiem; ietver pakalpojumu sniedzēja uzticamības un uzticamības pakāpes apstiprinājumu tādā pašā mērā kā uzticamības pakāpe izmantotajai programmatūrai un aparatūrai;

♦ novērst nesankcionētu piekļuvi mākoņdatošanas resursiem; ietver drošu domēnu izveidi, kas loģiski ir nošķirti no resursiem (piemēram, loģiski atdalot darba slodzes, kas darbojas tajā pašā fiziskajā serverī, izmantojot hipervizoru daudznodrošinājuma vidē), un izmantojot drošas noklusējuma konfigurācijas;

♦ mākonī izvietotu tīmekļa lietojumprogrammu izstrāde izplatītu interneta resursu draudu modelim un drošības funkciju integrēšana programmatūras izstrādes procesā;

♦ interneta pārlūkprogrammu aizsardzība pret uzbrukumiem, lai mazinātu galalietotāju drošības trūkumus; ietver pasākumu veikšanu, lai aizsargātu personālo datoru interneta savienojumu, pamatojoties uz drošu programmatūru, ugunsmūri (ugunsmūri) un periodisku atjauninājumu instalēšanu;

♦ piekļuves kontroles un ielaušanās atklāšanas tehnoloģiju ieviešana

no mākoņpakalpojumu sniedzēja un veicot neatkarīgu novērtējumu, lai pārbaudītu to pieejamību; ietver (bet ne tikai) tradicionālos perimetra drošības pasākumus apvienojumā ar domēna drošības modeli; tradicionālā perimetra drošība ietver fiziskas piekļuves tīklam un ierīcēm ierobežošanu, atsevišķu komponentu aizsardzību no izmantošanas, izvietojot atjauninājumus, pēc noklusējuma iestatot lielāko daļu drošības iestatījumu, atspējojot visas neizmantotās ostas un pakalpojumus, izmantojot uz lomu balstītu piekļuves kontroli, pārraugot audita ierakstus, samazinot izmantotās privilēģijas , izmantojot pretvīrusu paketes un šifrētus savienojumus;

♦ uzticamu robežu noteikšana starp pakalpojumu sniedzēju (-iem) un patērētājiem, lai nodrošinātu, ka ir skaidri noteikta atļautā atbildība par drošības nodrošināšanu;

♦ atbalsts pārnesamībai, ko veic, lai patērētājam būtu iespēja mainīt mākoņpakalpojumu sniedzēju gadījumos, kad viņam jāatbilst integritātes, pieejamības un konfidencialitātes prasībām; tas ietver iespēju šobrīd slēgt kontu un kopēt datus no viena pakalpojumu sniedzēja uz citu.

Tādējādi NIST pieņemtajā mākoņdatošanas standartu ceļvedī ir definēts pamata uzbrukumu saraksts mākoņu sistēmām un saraksts ar pamatuzdevumiem, kas

tiek risināts, piesakoties

piemērotus pasākumus.

Formulēsim draudus mākoņu sistēmas informācijas drošībai:

♦ U1 - datu apdraudējums (kompromiss, pieejamība utt.);

♦ U2 - draudi, ko rada arhitektūras strukturālās iezīmes un iespējas izplatītās skaitļošanas ieviešanai;

♦ U4 - draudi, kas saistīti ar nepareizu draudu modeli;

♦ U5 - draudi, kas saistīti ar nepareizu šifrēšanas izmantošanu (šifrēšana ir jāizmanto vidē, kurā ir vairākas datu plūsmas);

♦ U6 - draudi, kas saistīti ar nestandarta API izmantošanu izstrādes laikā;

♦ U7 - virtualizācijas draudi;

♦ U8 - draudi, kas izmanto neatbilstības globālajā drošības politikā.

IBM perspektīva par mākoņdatošanas drošību

Mākoņdrošības vadlīnijas IBM ieteikumi mākoņdrošības ieviešanai ļauj izdarīt secinājumus par IBM drošības redzējumu. Pamatojoties uz šo dokumentu, mēs varam paplašināt iepriekš piedāvāto draudu sarakstu, proti:

♦ U9 - draudi, kas saistīti ar trešo pušu piekļuvi fiziskajiem resursiem \ sistēmām;

♦ U10 - draudi, kas saistīti ar nepareizu personas informācijas iznīcināšanu (dzīves ciklu);

♦ U11 - draudi, kas saistīti ar reģionālo, nacionālo un starptautisko tiesību aktu pārkāpumiem attiecībā uz apstrādāto informāciju.

IBM, Oracle un VmWare pieejas mākoņdatošanas drošībai

Šo uzņēmumu sniegtā dokumentācija, kurā aprakstīts viņu viedoklis par drošību savās sistēmās, būtiski neatšķiras no iepriekš minētajiem draudiem.

Tabula 1 ir uzskaitītas galvenās ievainojamības klases, ko uzņēmumi ir formulējuši savos produktos. Tab. 1 ļauj jums redzēt, ka trūkst pilnīgu apdraudējumu no pētītajiem uzņēmumiem un formulēt "draudu kodolu", ko uzņēmumi rada savās mākoņu sistēmās:

♦ datu apdraudējums;

♦ draudi, kuru pamatā ir sadalītās skaitļošanas struktūra un iespējas;

♦ draudi, kas saistīti ar nepareizu draudu modeli;

♦ virtualizācijas draudi.

Secinājums

Pārskats par galvenajām mākoņu platformas ievainojamību klasēm ļauj secināt, ka pašlaik nav gatavu risinājumu, lai pilnībā aizsargātu mākoņus, jo dažādi uzbrukumi izmanto šīs ievainojamības.

Jāatzīmē, ka izveidotā neaizsargātības klašu tabula (1. tabula), kurā ir integrētas vadošo pieejas

1. tabula. Neaizsargātības klases

Avots Deklarētie draudi

U1 U2 U3 U4 U5 U6 U7 U8 U9 U10 U11

NIST + + + + + + + + - - -

IBM + + + + + - + - + + +

Saule / Oracle + + + + - - + - - + -

VmWare + + + + - - + - - - -

šī spēlētāju nozare neaprobežojas tikai ar tajā izklāstītajiem draudiem. Piemēram, tas neatspoguļo draudus, kas saistīti ar robežu aizmiglošanu starp vidēm ar dažādiem datu konfidencialitātes līmeņiem, kā arī atbildības par informācijas drošību robežu miglošanu starp pakalpojuma patērētāju un mākoņa pakalpojumu sniedzēju.

Kļūst skaidrs, ka, lai ieviestu sarežģītu mākoņu sistēmu, ir jāizstrādā aizsardzība konkrētai ieviešanai. Tāpat svarīga loma drošas skaitļošanas ieviešanā virtuālajā vidē ir FSTEC un FSB standartu trūkums mākoņsistēmām. Ir jēga izmantot pētījuma darbā izcelto "draudu kodolu"

uzdevums izveidot vienotu ievainojamības klašu modeli. Šim rakstam ir kopsavilkuma raksturs, nākotnē plānots detalizēti analizēt ar virtualizāciju saistīto draudu klases, izstrādāt pieejas, lai izveidotu aizsardzības sistēmu, kas, iespējams, kavē šo draudu ieviešanu

Literatūra

1. Mākoņu drošības vadlīnijas IBM ieteikumi mākoņdrošības ieviešanai, ibm.com/redbooks, 2009. gada 2. novembris.

2.http: //www.vmware.com/technical-resources/security/index.html.

3. NIST Mākonis. Datoru atsauces arhitektūra, Nacionālais standartu institūts un. Tehnoloģija, īpaša publikācija. 500-292, 2011. gada septembris.

4. NIST Mākonis. Skaitļošanas standartu ceļvedis, Nacionālais standartu institūts un. Tehnoloģija, īpaša publikācija. 500-291, 2011. gada jūlijs.

5.http: //www.oracle.com/technetwork/indexes/documentation/index.html.

Mākoņdatošana kopā attiecas uz lielu viegli lietojamu un viegli pieejamu virtualizētu resursu kopu (piemēram, aparatūras sistēmas, pakalpojumi utt.). Šos resursus var dinamiski pārdalīt (pielāgot), lai pielāgotos dinamiski mainīgajai slodzei, nodrošinot optimālu resursu izmantošanu. Šis resursu fonds parasti tiek nodrošināts pēc dalīšanas principa. Tajā pašā laikā mākoņa īpašnieks garantē pakalpojuma kvalitāti, pamatojoties uz noteiktiem līgumiem ar lietotāju.

Saskaņā ar visu iepriekš minēto var atšķirt šādas mākoņdatošanas galvenās iezīmes:

1) mākoņdatošana ir jauna paradigma skaitļošanas resursu nodrošināšanai;

2) pamata infrastruktūras resursi (aparatūras resursi, datu glabāšanas sistēmas, sistēmas programmatūra) un lietojumprogrammas tiek sniegti kā pakalpojumi;

3) šos pakalpojumus var nodrošināt neatkarīgs pakalpojumu sniedzējs ārējiem lietotājiem, pamatojoties uz izmaksu principu, mākoņdatošanas galvenās iezīmes ir virtualizācija un dinamiska mērogojamība;

4) mākoņpakalpojumus galalietotājam var nodrošināt, izmantojot tīmekļa pārlūkprogrammu vai īpašu API (lietojumprogrammu saskarni).

Vispārējais mākoņdatošanas modelis sastāv no ārējās un iekšējās daļas. Šie divi elementi ir savienoti tīklā, vairumā gadījumu izmantojot internetu. Izmantojot ārējo daļu, lietotājs mijiedarbojas ar sistēmu; iekšējā daļa patiesībā ir pats mākonis. Priekšpuse sastāv no klienta datora vai uzņēmuma datoru tīkla un lietojumprogrammām, ko izmanto, lai piekļūtu mākonim. Iekšējo daļu attēlo lietojumprogrammas, datori, serveri un datu krātuves, kas, izmantojot virtualizāciju, rada pakalpojumu mākoni (1. att.).

Kad esošās fiziskās virtuālās mašīnas (VM) tiek pārvietotas no datu centra (DC) uz ārējiem mākoņiem vai IT pakalpojumu sniegšana ārpus drošā perimetra privātajos mākoņos, tīkla perimetrs kļūst pilnīgi bezjēdzīgs, un vispārējais drošības līmenis kļūst diezgan zems.

Tā kā tradicionālajos datu centros inženieru piekļuve serveriem tiek stingri kontrolēta fiziskā līmenī, savukārt mākoņdatošanā inženieru piekļuve notiek caur internetu, kas noved pie atbilstošu draudu parādīšanās. Attiecīgi stingra administratoru piekļuves kontrole ir kritiska, kā arī jānodrošina izmaiņu kontrole un pārredzamība sistēmas līmenī.

Virtuālās mašīnas ir dinamiskas. VM nepastāvība ļoti apgrūtina saskaņotas drošības sistēmas izveidi un uzturēšanu. Neaizsargātības un konfigurācijas kļūdas var izplatīties ārpus kontroles. Turklāt ir ļoti grūti reģistrēt aizsardzības stāvokli jebkurā konkrētā brīdī, lai veiktu turpmāku revīziju.

Mākoņdatošanas serveri izmanto to pašu OS un tādas pašas tīmekļa lietojumprogrammas kā lokālie virtuālie un fiziskie serveri. Attiecīgi mākoņu sistēmām attālinātas uzlaušanas vai ļaunprātīgas programmatūras infekcijas draudi ir tikpat lieli.

Vēl viens drauds ir datu integritātes draudi: kompromiss un datu zādzība. Ir jāuzrauga operētājsistēmas un lietojumprogrammu failu integritāte, kā arī iekšējā darbība.

Vairāku nomnieku mākoņpakalpojumu izmantošana apgrūtina atbilstību standartu un likumu prasībām, tostarp prasībām par kriptogrāfijas rīku izmantošanu, lai aizsargātu sensitīvu informāciju, piemēram, informāciju par kredītkartes īpašnieku un informāciju, kas identificē persona. Tas savukārt rada grūto uzdevumu - nodrošināt drošu aizsardzību un drošu piekļuvi sensitīviem datiem.

Balstoties uz iespējamo mākoņdatošanas draudu analīzi, tiek piedāvāta iespējamā mākoņdatošanas aparatūras un programmatūras kompleksa drošības aizsardzība, kas ietver 5 tehnoloģijas: ugunsmūri, ielaušanās noteikšanu un novēršanu, integritātes kontroli, žurnālu analīzi un aizsardzību pret ļaunprātīgu programmatūru.

Mākoņdatošanas pakalpojumu sniedzēji izmanto virtualizāciju, lai saviem klientiem nodrošinātu piekļuvi lētiem skaitļošanas resursiem. Tajā pašā laikā klientu VM ir vienādi aparatūras resursi, kas ir nepieciešams, lai sasniegtu vislielāko ekonomisko efektivitāti. Uzņēmumu klientiem, kuri ir ieinteresēti mākoņdatošanā, lai paplašinātu savu iekšējo IT infrastruktūru, jāņem vērā draudi, ko rada šāds solis. Papildus tradicionālajiem datu apstrādes centru tīkla aizsardzības mehānismiem, izmantojot tādas drošības pieejas kā: malu ugunsmūris, demilitarizētās zonas, tīkla segmentācija, tīkla statusa uzraudzība, ielaušanās atklāšanas un novēršanas sistēmas, programmatūras datu aizsardzības mehānismi būtu jāizmanto arī virtualizācijas serveros vai VM, tā kā līdz ar virtuālo mašīnu nodošanu publiskajiem mākoņpakalpojumiem, korporatīvā tīkla perimetrs pakāpeniski zaudē savu nozīmi un vismazāk aizsargātie mezgli sāk būtiski ietekmēt vispārējo drošības līmeni. Tieši fiziskās atdalīšanas neiespējamība un drošības aparatūras izmantošana, lai atvairītu uzbrukumus starp VM, noved pie nepieciešamības izvietot aizsardzības mehānismu virtualizācijas serverī vai pašos VM. Visaptverošas aizsardzības metodes ieviešana pašā virtuālajā mašīnā, ieskaitot ugunsmūra programmatūras ieviešanu, ielaušanās noteikšanu un novēršanu, integritātes kontroli, žurnālu analīzi un aizsardzību pret ļaunprātīgu kodu, ir visefektīvākais veids, kā aizsargāt integritāti, ievērot normatīvās prasības un ievērot drošības politikas, pārvietojot virtuālos resursus no iekštīkla uz mākoni.

Literatūra:

1. Radčenko G.I. Sadalītās skaitļošanas sistēmas // Apmācība. - 2012.- S. 146-149.

2. Kondrašins M. Mākoņdatošanas drošība // Storage News. - 2010. - Nr.1.

Kursa darbs pēc disciplīnas

Informācijas drošības programmatūra un aparatūra

"Informācijas drošība mākoņdatošanā: ievainojamības, aizsardzības metodes un līdzekļi, rīki revīzijai un incidentu izmeklēšanai."

Ievads

1. Vēsture un galvenie attīstības faktori

2. Mākoņdatošanas definīcija

3. Atsauces arhitektūra

4. Pakalpojuma līmeņa līgums

5. Aizsardzības metodes un līdzekļi mākoņdatošanā

6. Mākoņu modeļu drošība

7. Drošības audits

8. Incidentu un kriminālistikas izmeklēšana mākoņdatošanā

9. Draudžu modelis

10. Starptautiskie un vietējie standarti

11. Datu teritoriālā identitāte

12. Valsts standarti

13. Mākoņu drošības līdzekļi

14. Praktiskā daļa

Izeja

Literatūra

Ievads

Pieaugošais mākoņdatošanas ātrums ir izskaidrojams ar to, ka par nelielu, kopumā naudu, klients iegūst piekļuvi visdrošākajai infrastruktūrai ar nepieciešamo veiktspēju bez nepieciešamības iegādāties, instalēt un uzturēt dārgus datorus. Sistēma sasniedz 99,9% , kas ietaupa arī skaitļošanas resursus. ... Un kas ir vēl svarīgāk - gandrīz neierobežota mērogojamība. Iegādājoties regulāru mitināšanu un mēģinot pārlēkt pār galvu (strauji pieaugot slodzei), pastāv risks iegūt pakalpojumu, kas ir krities vairākas stundas. Mākoņos papildu resursi ir pieejami pēc pieprasījuma.

Mākoņdatošanas galvenā problēma ir neapdrošinātais apstrādātās informācijas drošības līmenis, resursu aizsardzības pakāpe un bieži vien pilnīgi neesošs tiesiskais regulējums.

Pētījuma mērķis būs sniegt pārskatu par esošo mākoņdatošanas tirgu un līdzekļiem, lai nodrošinātu drošību tajos.

informācija par mākoņdatošanas drošību

1. Vēsture un galvenie attīstības faktori

Ideju par to, ko mēs šodien saucam par mākoņdatošanu, pirmo reizi izteica J. C. R. Licklider 1970. gadā. Šajos gados viņš bija atbildīgs par ARPANET (Advanced Research Projects Agency Network) izveidi. Viņa ideja bija tāda, ka katrs cilvēks uz zemes būtu savienots ar tīklu, no kura viņš saņemtu ne tikai datus, bet arī programmas. Cits zinātnieks Džons Makartijs izvirzīja ideju, ka skaitļošanas jauda lietotājiem tiks sniegta kā pakalpojums (pakalpojums). Tāpēc mākoņtehnoloģiju izstrāde tika apturēta līdz 90. gadiem, pēc tam tās attīstību veicināja vairāki faktori.

Interneta joslas platuma palielināšanās 90. gados neļāva ievērojami palielināties mākoņu tehnoloģiju attīstībā, jo gandrīz neviens tā laika uzņēmums un tehnoloģija nebija tam gatava. Tomēr pats interneta paātrinājuma fakts deva impulsu agrīnai mākoņdatošanas attīstībai.

2. Viens no nozīmīgākajiem notikumiem šajā jomā bija Salesforce.com parādīšanās 1999. gadā. Šis uzņēmums kļuva par pirmo uzņēmumu, kas vietnē nodrošināja piekļuvi savai lietojumprogrammai. Faktiski šis uzņēmums kļuva par pirmo uzņēmumu, kas sniedza savu programmatūru, pamatojoties uz programmatūru kā pakalpojumu (SaaS).

Nākamais solis bija mākoņa tīmekļa pakalpojuma izstrāde, ko Amazon veica 2002. gadā. Šis pakalpojums ļāva saglabāt informāciju un veikt aprēķinus.

2006. gadā Amazon uzsāka pakalpojumu ar nosaukumu Elastic Compute mākonis (EC2) kā tīmekļa pakalpojums, kas ļāva saviem lietotājiem palaist savas lietojumprogrammas. Amazon EC2 un Amazon S3 bija pirmie pieejamie mākoņdatošanas pakalpojumi.

Vēl viens pagrieziena punkts mākoņdatošanas attīstībā bija tas, ka Google izveidoja Google Apps platformu tīmekļa lietojumprogrammām biznesa nozarē.

Virtualizācijas tehnoloģijām ir bijusi nozīmīga loma mākoņtehnoloģiju, jo īpaši programmatūras, kas ļauj izveidot virtuālu infrastruktūru, attīstībā.

Aparatūras attīstība ir veicinājusi ne tik daudz mākoņtehnoloģiju straujo izaugsmi, bet gan šīs tehnoloģijas pieejamību mazajiem uzņēmumiem un privātpersonām. Attiecībā uz tehnoloģisko progresu šajā ziņā nozīmīga loma bija daudzkodolu procesoru izveidei un informācijas uzglabāšanas ierīču jaudas palielināšanai.

2. Mākoņdatošanas definīcija

Kā definējis ASV Nacionālais standartu un tehnoloģiju institūts:

Mākoņdatošana (Mākoņdatošana) (AngļuMākonis - mākonis; skaitļošana- skaitļošana) ir modelis, lai pēc vajadzības nodrošinātu visuresošu un ērtu piekļuvi tīklam koplietojamā konfigurējamo skaitļošanas resursu kopā (piemēram, tīkli, serveri, uzglabāšanas sistēmas, lietojumprogrammas un pakalpojumi), ko var ātri nodrošināt un atbrīvot ar minimālu pārvaldības piepūli un nepieciešamību mijiedarboties ar pakalpojumu sniedzēju (pakalpojumu sniedzēju).

Mākoņu modelis atbalsta augstu pakalpojumu pieejamību, un to raksturo pieci būtiski raksturlielumi, trīs pakalpojumu / pakalpojumu modeļi un četri izvietošanas modeļi.

Programmas tiek palaistas un parāda darba rezultātus standarta tīmekļa pārlūkprogrammas logā vietējā datorā, savukārt visas darbam nepieciešamās lietojumprogrammas un to dati atrodas interneta attālajā serverī. Mākoņdatošanas datorus sauc par "mākoņdatošanu". Šajā gadījumā slodze starp "skaitļošanas mākonī" iekļautajiem datoriem tiek sadalīta automātiski. Vienkāršākais mākoņdatošanas piemērs ir p2p tīkli.

Lai ieviestu mākoņdatošanu, tiek izmantoti starpprogrammatūras produkti, kas izveidoti, izmantojot īpašas tehnoloģijas. Tie kalpo kā starpposma saikne starp iekārtu un lietotāju un nodrošina iekārtu un programmu statusa uzraudzību, vienādu slodzes sadalījumu un savlaicīgu resursu nodrošināšanu no kopējā rezerves. Viena no šīm tehnoloģijām ir virtualizācija skaitļošanas jomā.

Virtualizācija skaitļošanas jomā- skaitļošanas resursu kopas vai to loģiskās kombinācijas attēlošanas process, kas dod jebkādas priekšrocības salīdzinājumā ar sākotnējo konfigurāciju. Šis ir jauns virtuāls skatījums uz sastāvdaļu resursiem, ko neierobežo ieviešana, fiziskā konfigurācija vai ģeogrāfiskā atrašanās vieta. Parasti virtualizētie resursi ietver skaitļošanas jaudu un datu glabāšanu. Zinātniski virtualizācija ir skaitļošanas procesu un resursu izolācija viens no otra.

Virtualizācijas piemērs ir simetriskas daudzprocesoru datoru arhitektūras, kurās tiek izmantots vairāk nekā viens procesors. Operētājsistēmas parasti ir konfigurētas tā, ka vairāki procesori parādās kā viena procesora vienība. Tāpēc programmatūras lietojumprogrammas var rakstīt vienam loģiskam ( virtuāls) skaitļošanas modulis, kas ir daudz vieglāk nekā strādāt ar lielu skaitu dažādu procesoru konfigurāciju.

Īpaši lieliem un resursu ietilpīgiem aprēķiniem tiek izmantoti režģa aprēķini.

Režģa skaitļošana (režģis - režģis, tīkls) ir izplatītas skaitļošanas veids, kurā "virtuālais superdators" tiek attēlots kā tīklā savienotu, brīvi savienotu, neviendabīgu datoru kopas, kas strādā kopā, lai veiktu milzīgu uzdevumu skaitu (operācijas, darbus).

Šo tehnoloģiju izmanto, lai atrisinātu zinātniskas un matemātiskas problēmas, kurām nepieciešami ievērojami skaitļošanas resursi. Tīkla skaitļošanu izmanto arī komerciālā infrastruktūrā, lai atrisinātu laikietilpīgus uzdevumus, piemēram, ekonomiskās prognozes, seismisko analīzi, kā arī jaunu zāļu īpašību izstrādi un izpēti.

No tīkla organizācijas viedokļa tīkls ir konsekventa, atvērta un standartizēta vide, kas nodrošina elastīgu, drošu, koordinētu skaitļošanas un uzglabāšanas resursu, kas ir daļa no šīs vides, nodalīšanu vienā virtuālā organizācijā.

Paravirtualizācija Tā ir virtualizācijas tehnika, kas nodrošina virtuālās mašīnas ar programmēšanas saskarni, kas ir līdzīga aparatūrai, bet nav identiska tai. Šīs modificētās saskarnes mērķis ir samazināt viesu operētājsistēmas pavadīto laiku, lai veiktu darbības, kuras virtuālajā vidē ir daudz grūtāk veikt nekā nevirtualizētā.

Ir īpaši "āķi" (āķi), kas ļauj viesu un saimniekdatora sistēmām pieprasīt un apstiprināt šo sarežģīto uzdevumu izpildi, ko varētu veikt virtuālā vidē, bet daudz lēnāk.

Hipervizors ( vai Virtuālās mašīnas monitors) - datoros programma vai aparatūras shēma, kas nodrošina vai ļauj vienlaikus vai paralēli izpildīt vairākas vai pat daudzas operētājsistēmas vienā saimniekdatorā. Hipervizors nodrošina arī OS izolāciju viens no otra, aizsardzību un drošību, resursu koplietošanu starp dažādām darbojošām OS un resursu pārvaldību.

Hipervizors var arī (bet tas nav jādara) nodrošināt OS, kas darbojas tajā pašā saimniekdatorā, ar saziņas un mijiedarbības līdzekļiem (piemēram, izmantojot failu apmaiņu vai tīkla savienojumus) tā, it kā šīs OS darbotos ar dažādiem fiziskiem datori.

Pats hipervizors savā ziņā ir minimāla operētājsistēma (mikrokodols vai nanokodelis). Tā nodrošina operētājsistēmas, kas darbojas tās kontrolē, ar virtuālās mašīnas pakalpojumu, virtualizējot vai atdarinot konkrētas mašīnas reālo (fizisko) aparatūru, un pārvalda šīs virtuālās mašīnas, piešķirot un atbrīvojot tām resursus. Hipervizors ļauj neatkarīgi "ieslēgt", pārstartēt, "izslēgt" jebkuru virtuālo mašīnu ar noteiktu OS. Tomēr operētājsistēma, kas darbojas virtuālā mašīnā hipervizora kontrolē, bet tai nav obligāti "jāzina", ka tā darbojas virtuālajā mašīnā, nevis reālā aparatūrā.

Mākoņpakalpojumu modeļi

Skaitļošanas jaudas nodrošināšanas iespējas ir ļoti dažādas. Visu, kas saistīts ar mākoņdatošanu, parasti sauc par vārdu aaS - tas nozīmē vienkārši "kā pakalpojums", tas ir, "kā pakalpojums" vai "pakalpojuma veidā".

Programmatūra kā pakalpojums (SaaS) - pakalpojumu sniedzējs nodrošina klientu ar lietošanai gatavu lietojumprogrammu. Lietojumprogrammām var piekļūt no dažādām klientu ierīcēm vai caur plānām klientu saskarnēm, piemēram, tīmekļa pārlūkprogrammu (piemēram, tīmekļa pastu) vai programmu saskarnēm. Tajā pašā laikā patērētājs nekontrolē pamatā esošo mākoņa infrastruktūru, tostarp tīklus, serverus, operētājsistēmas, uzglabāšanas sistēmas un pat atsevišķus lietojumprogrammu iestatījumus, izņemot dažus lietotņu lietojumprogrammu konfigurācijas iestatījumus.

SaaS modelī klienti maksā nevis par programmatūras īpašumtiesībām, bet gan par tās īri (tas ir, to izmantot, izmantojot tīmekļa saskarni). Tādējādi, atšķirībā no klasiskās programmatūras licencēšanas shēmas, klientam rodas salīdzinoši nelielas periodiskas izmaksas, un viņam nav jāiegulda ievērojami līdzekļi programmatūras iegādei un tās atbalstam. Periodisko maksājumu shēmā tiek pieņemts, ka, ja īslaicīgi nav nepieciešamības pēc programmatūras, klients var apturēt tās izmantošanu un iesaldēt maksājumus izstrādātājam.

No izstrādātāja viedokļa SaaS modelis ļauj efektīvi apkarot nelicencētu programmatūras izmantošanu (pirātismu), jo pati programmatūra nesasniedz gala klientus. Turklāt SaaS koncepcija bieži vien var samazināt informācijas sistēmu izvietošanas un ieviešanas izmaksas.

Rīsi. 1 Tipisks SaaS izkārtojums

Platforma kā pakalpojums (PaaS) - pakalpojumu sniedzējs piedāvā klientam programmatūras platformu un rīkus lietotāju lietojumprogrammu projektēšanai, izstrādei, testēšanai un izvietošanai. Tajā pašā laikā patērētājs nekontrolē pamatā esošo mākoņu infrastruktūru, tostarp tīklus, serverus, operētājsistēmas un uzglabāšanas sistēmas, bet kontrolē izvietotās lietojumprogrammas un, iespējams, dažus mitināšanas vides konfigurācijas parametrus.

Rīsi. 2 Tipisks PaaS izkārtojums

Infrastruktūra kā pakalpojums (IaaS). - pakalpojumu sniedzējs piedāvā klientam nomāt skaitļošanas resursus: serverus, uzglabāšanas sistēmas, tīkla iekārtas, operētājsistēmas un sistēmas programmatūru, virtualizācijas sistēmas, resursu pārvaldības sistēmas. Tajā pašā laikā patērētājs nekontrolē pamatā esošo mākoņu infrastruktūru, bet var kontrolēt operētājsistēmas, uzglabāšanas sistēmas, izvietotās lietojumprogrammas un, iespējams, ierobežotu kontroli pār tīkla komponentu izvēli (piemēram, resursdatoru ar ugunsmūriem).

Rīsi. 3 Tipisks IaaS izkārtojums

Papildus atšķirt tādus pakalpojumus kā:

Komunikācijas kā pakalpojums (Com -aaS) - tiek saprasts, ka sakaru pakalpojumi tiek sniegti kā pakalpojumi; parasti tā ir IP telefonija, pasts un tūlītēja saziņa (tērzēšana, tērzēšana).

Mākoņu datu krātuve- lietotājam tiek nodrošināta noteikta vieta informācijas glabāšanai. Tā kā informācija tiek glabāta izplatīta un dublēta, šādas krātuves nodrošina daudz lielāku datu drošības pakāpi nekā vietējie serveri.

Darba vieta kā pakalpojums (WaaS) - lietotājs, kura rīcībā ir nepietiekami jaudīgs dators, var iegādāties piegādātāja skaitļošanas resursus un izmantot savu datoru kā termināli, lai piekļūtu pakalpojumam.

Pretvīrusu mākonis- infrastruktūru, ko izmanto, lai apstrādātu informāciju, kas nāk no lietotājiem, lai savlaicīgi atpazītu jaunus, iepriekš nezināmus draudus. Mākoņu antivīruss no lietotāja neprasa nevajadzīgas darbības - tas vienkārši nosūta aizdomīgas programmas vai saites pieprasījumu. Kad briesmas ir apstiprinātas, visas nepieciešamās darbības tiek veiktas automātiski.

Izvietošanas modeļi

Starp izvietošanas modeļiem ir 4 galvenie infrastruktūras veidi.

Privāts mākonis - infrastruktūra, ko paredzēts izmantot vienai organizācijai, kurā ietilpst vairāki patērētāji (piemēram, vienas organizācijas nodaļas), iespējams, arī organizācijas klienti un darbuzņēmēji. Privāts mākonis var piederēt, to pārvaldīt un pārvaldīt pati organizācija vai trešā puse (vai kāda to kombinācija), un tas fiziski var pastāvēt gan īpašnieka jurisdikcijā, gan ārpus tās.

Rīsi. 4 Privāts mākonis.

Publiskais mākonis - infrastruktūra, kas paredzēta plašai sabiedrībai brīvai lietošanai. Publiskais mākonis var piederēt, darboties un darboties komerciālām, akadēmiskām un valdības organizācijām (vai jebkurai to kombinācijai). Publiskais mākonis fiziski pastāv īpašnieka - pakalpojumu sniedzēja - jurisdikcijā.

Rīsi. 5 Publiskais mākonis.

Hibrīds mākonis - tā ir divu vai vairāku dažādu mākoņu infrastruktūru kombinācija (privāta, publiska vai publiska), kas paliek unikāli objekti, bet ir savstarpēji savienotas ar standartizētām vai privātām datu un lietojumprogrammu pārsūtīšanas tehnoloģijām (piemēram, publisku mākoņu resursu īstermiņa izmantošana līdzsvarošanai) slodze starp mākoņiem).

Rīsi. 6 Hibrīds mākonis.

Publiskais mākonis (kopienas mākonis) - infrastruktūras veids, ko paredzēts izmantot noteiktai patērētāju kopienai no organizācijām ar kopīgiem mērķiem (piemēram, misija, drošības prasības, politika un atbilstība dažādām prasībām). Publiskais mākonis var piederēt vienai vai vairākām kopienas organizācijām vai trešajai pusei (vai kādai no šīm kombinācijām), kopīgi to pārvaldīt un pārvaldīt, un tas fiziski var pastāvēt gan īpašnieka jurisdikcijā, gan ārpus tās.

Rīsi. 7 Mākoņu īpašību apraksts

Pamata īpašības

NIST savā dokumentā "Mākoņdatošanas definīcija NIST" nosaka šādas mākoņu īpašības:

Pašapkalpošanās pēc pieprasījuma. Patērētājam ir iespēja vienpusēji piekļūt sniegtajiem skaitļošanas resursiem pēc nepieciešamības, automātiski, bez nepieciešamības mijiedarboties ar katra pakalpojumu sniedzēja darbiniekiem.

Plaša piekļuve tīklam. Nodrošinātie skaitļošanas resursi ir pieejami tīklā, izmantojot standarta mehānismus dažādām platformām, plāniem un bieziem klientiem (mobilie tālruņi, planšetdatori, klēpjdatori, darbstacijas utt.).

Resursu apvienošana (Resorts pooling). Pakalpojumu sniedzēja skaitļošanas resursi ir apkopoti, lai apkalpotu daudzus patērētājus vairāku nomnieku modelī. Pūli ietver dažādus fiziskus un virtuālus resursus, kurus var dinamiski piešķirt un pārdalīt atbilstoši klientu vajadzībām. Patērētājam nav jāzina precīza resursu atrašanās vieta, taču ir iespējams tos atrast augstākā abstrakcijas līmenī (piemēram, valsts, reģions vai datu centrs). Šāda veida resursu piemēri ir uzglabāšanas sistēmas, skaitļošanas jauda, ​​atmiņa, tīkla joslas platums.

Ātra elastība. Resursus var elastīgi sadalīt un atbrīvot, dažos gadījumos automātiski, lai ātri pielāgotos pieprasījumam. Patērētājam resursu nodrošināšanas iespējas tiek uzskatītas par neierobežotām, tas ir, tās var piešķirt jebkurā daudzumā un jebkurā laikā.

Izmērīts pakalpojums. Mākoņu sistēmas automātiski pārvalda un optimizē resursus, izmantojot mērīšanas rīkus, kas ieviesti abstrakcijas līmenī dažādiem pakalpojumu veidiem (piemēram, ārējās atmiņas, apstrādes, joslas platuma vai aktīvu lietotāju sesiju pārvaldība). Izmantotos resursus var izsekot un kontrolēt, kas nodrošina pārredzamību pakalpojumu sniedzējam un patērētājam, kurš izmanto pakalpojumu.

Rīsi. 8 Mākoņu servera strukturālā shēma

Mākoņdatošanas plusi un mīnusi

Cieņa

· Tiek samazinātas prasības datora skaitļošanas jaudai (obligāts nosacījums ir tikai interneta pieejamība);

· Kļūdu tolerance;

· Drošība;

· Liels datu apstrādes ātrums;

· Samazinātas aparatūras un programmatūras, uzturēšanas un elektrības izmaksas;

· Diska vietas taupīšana (gan dati, gan programmas tiek glabātas internetā).

· Tiešā migrācija - virtuālās mašīnas pārsūtīšana no viena fiziskā servera uz citu, nepārtraucot virtuālās mašīnas darbību un neapturot pakalpojumus.

· 2010. gada beigās, pateicoties DDoS uzbrukumiem uzņēmumiem, kuri atteicās nodrošināt WikiLeaks resursus, tika atklāta vēl viena mākoņdatošanas tehnoloģijas priekšrocība. Uzbruka visiem uzņēmumiem, kas iebilda pret WikiLeaks, bet tikai Amazon izrādījās nejutīgs pret šīm ietekmēm, jo ​​izmantoja mākoņdatošanas līdzekļus. ("Anonīms: nopietni draudi vai tikai kaitinājums", Tīkla drošība, N1, 2011).

trūkumi

· Lietotāju datu drošības atkarība no uzņēmumiem, kas sniedz mākoņdatošanas pakalpojumus;

· Pastāvīgs savienojums ar tīklu - lai piekļūtu "mākoņa" pakalpojumiem, nepieciešams pastāvīgs savienojums ar internetu. Tomēr mūsu laikā tas nav tik liels trūkums, it īpaši ar 3G un 4G šūnu tehnoloģiju parādīšanos.

· Programmatūra un tās modifikācija - pastāv ierobežojumi attiecībā uz programmatūru, ko var izvietot „mākoņos” un nodrošināt lietotājam. Programmatūras lietotājam ir ierobežota izmantotā programmatūra, un dažreiz viņam nav iespējas to pielāgot saviem mērķiem.

· Konfidencialitāte - publiskos "mākoņos" glabāto datu konfidencialitāte pašlaik rada daudz strīdu, taču vairumā gadījumu eksperti piekrīt, ka nav ieteicams uzņēmumam visvērtīgākos dokumentus glabāt publiskajā "mākonī", jo pašlaik nav tehnoloģijas, kas garantētu saglabāto datu 100% konfidencialitāti, tāpēc šifrēšanas izmantošana mākonī ir obligāta.

· Uzticamība - attiecībā uz uzglabātās informācijas ticamību mēs varam ar pārliecību teikt, ka, ja esat pazaudējis "mākonī" saglabāto informāciju, tad esat to pazaudējis uz visiem laikiem.

· Drošība - pats "mākonis" ir diezgan uzticama sistēma, taču, iekļūstot tajā, uzbrucējs iegūst piekļuvi milzīgai datu krātuvei. Vēl viens trūkums ir virtualizācijas sistēmu izmantošana, kurās kā hipervizors tiek izmantoti standarta OS kodoli, piemēram, Linux , Windows un citi, kas ļauj izmantot vīrusus.

· Augstas aprīkojuma izmaksas - lai izveidotu savu uzņēmuma mākoni, nepieciešams piešķirt ievērojamus materiālos resursus, kas nav izdevīgi jaunizveidotiem un maziem uzņēmumiem.

3. Atsauces arhitektūra

NIST mākoņdatošanas atsauces arhitektūrā ir pieci galvenie dalībnieki - aktieri. Katrs aktieris spēlē lomu un veic darbības un funkcijas. Atsauces arhitektūra tiek parādīta kā secīgas diagrammas ar arvien lielāku detalizāciju.

Rīsi. 9 Atsauces arhitektūras konceptuālā diagramma

Mākoņu patērētājs- persona vai organizācija, kas uztur biznesa attiecības un izmanto mākoņpakalpojumu sniedzēju pakalpojumus.

Mākoņu patērētāji ir sadalīti 3 grupās:

· SaaS - izmanto lietojumprogrammas biznesa procesu automatizēšanai.

PaaS - izstrādā, testē, izvieto un pārvalda lietojumprogrammas, kas izvietotas mākoņa vidē.

· IaaS - izveido, pārvalda IT infrastruktūras pakalpojumus.

Mākoņu nodrošinātājs- persona, organizācija vai vienība, kas ir atbildīga par mākoņpakalpojuma pieejamību mākoņa patērētājiem.

SaaS - instalē, pārvalda, uztur un piegādā mākoņa infrastruktūrā izvietotu programmatūru.

PaaS - nodrošina un pārvalda mākoņu infrastruktūru un starpprogrammatūru. Nodrošina izstrādes un administrēšanas rīkus.

· IaaS - nodrošina un uztur serverus, datu bāzes, skaitļošanas resursus. Nodrošina patērētājam mākoņa struktūru.

Mākoņu pakalpojumu sniedzēju darbības ir sadalītas 5 galvenajās tipiskajās darbībās:

Pakalpojuma izvietošana:

o Privāts mākonis - apkalpo viena organizācija. Infrastruktūru pārvalda gan pati organizācija, gan trešā puse, un to var izvietot gan pakalpojumu sniedzējs (ārpus telpas), gan organizācija (uz vietas).

o Shared mākonis - infrastruktūru koplieto vairākas organizācijas ar līdzīgām prasībām (drošība, RD atbilstība).

o Publiskais mākonis - infrastruktūru izmanto liels skaits organizāciju ar dažādām prasībām. Tikai ārpus telpas.

o hibrīdmākonis - infrastruktūra apvieno dažādas infrastruktūras, kuru pamatā ir līdzīgas tehnoloģijas.

Pakalpojumu vadība

o Pakalpojuma līmenis - nosaka pakalpojumu sniedzēja sniegtos pamatpakalpojumus.

§ SaaS ir lietojumprogramma, ko patērētājs izmanto, piekļūstot mākonim no īpašām programmām.

§ PaaS - konteineri patērētāju lietojumprogrammām, izstrādes un administrēšanas rīkiem.

§ IaaS - skaitļošanas jauda, ​​datu bāzes, pamata resursi, uz kuriem papildus Patērētājs izmanto savu infrastruktūru.

o ieguves un resursu kontroles līmenis

§ Infrastruktūras ieviešanai nepieciešamo hipervizora un virtuālo komponentu pārvaldība.

o fizisko resursu līmenis

§ Datortehnika

§ Inženiertehniskā infrastruktūra

o Pieejamība

o Konfidencialitāte

o identifikācija

o Drošības uzraudzība un incidentu novēršana

o Drošības politika

Privātums

o Personas datu apstrādes, uzglabāšanas un pārsūtīšanas aizsardzība.

Mākoņu auditors- Līdzstrādnieks, kurš var patstāvīgi novērtēt mākoņpakalpojumus, informācijas sistēmu uzturēšanu, veiktspēju un mākoņa ieviešanas drošību.

Tā var sniegt savu drošības, privātuma, veiktspējas un citu lietu novērtējumu saskaņā ar apstiprinātajiem dokumentiem.

Rīsi. 10 Pakalpojumu sniedzēja darbības

Mākoņu brokeris- vienība, kas pārvalda mākoņpakalpojumu izmantošanu, veiktspēju un piegādi, kā arī izveido attiecības starp pakalpojumu sniedzējiem un patērētājiem.

Attīstoties mākoņdatošanai, mākoņpakalpojumu integrācija patērētājam var būt pārāk sarežģīta.

o Pakalpojumu starpniecība - norādītā pakalpojuma paplašināšana un jaunu iespēju nodrošināšana

o Apkopošana - dažādu pakalpojumu apvienošana patērētāja nodrošināšanai

Mākoņu sakaru operators- starpnieks, kas nodrošina savienojuma pakalpojumus un transportu (sakaru pakalpojumus) mākoņpakalpojumu sniegšanai no pakalpojumu sniedzējiem patērētājiem.

Nodrošina piekļuvi, izmantojot sakaru ierīces

Nodrošina savienojuma līmeni saskaņā ar SLA.

Starp pieciem prezentētajiem dalībniekiem mākoņa starpnieks nav obligāts, jo mākonis patērētāji var saņemt pakalpojumus tieši no mākoņa nodrošinātāja.

Aktieru ievads ir saistīts ar nepieciešamību izstrādāt attiecības starp priekšmetiem.

4. Pakalpojuma līmeņa līgums

Pakalpojuma līmeņa līgums - dokuments, kurā aprakstīts pakalpojuma sniegšanas līmenis, ko klients sagaida no piegādātāja, pamatojoties uz attiecīgajam pakalpojumam piemērojamiem rādītājiem, un noteikta piegādātāja atbildība, ja nav sasniegti saskaņotie rādītāji.

Šeit ir daži rādītāji, vienā vai otrā veidā, kas atrodami operatora dokumentos:

ASR (atbildes krampju attiecība) - parametrs, kas nosaka telefona savienojuma kvalitāti noteiktā virzienā. ASR tiek aprēķināts procentos no zvanu rezultātā izveidoto tālruņa savienojumu skaita pret kopējo zvanu skaitu, kas veikts noteiktā virzienā.

PDD (pēczvanīšanas aizkave) - parametrs, kas nosaka laika periodu (sekundēs), kas pagājis no zvana brīža līdz telefona savienojuma izveides brīdim.

Pakalpojumu pieejamības attiecība- pakalpojumu sniegšanas pārtraukuma laika attiecība pret kopējo pakalpojumu sniegšanas laiku.

Pakešu zuduma attiecība- pareizi saņemtu datu pakešu attiecība pret kopējo pakešu skaitu, kas noteiktā laika posmā tika pārraidītas tīklā.

Laika kavēšanās informācijas pakešu pārsūtīšanā- laika intervāls, kas nepieciešams informācijas paketes pārsūtīšanai starp divām tīkla ierīcēm.

Informācijas pārsūtīšanas uzticamība- kļūdaini nosūtīto datu pakešu skaita attiecība pret kopējo nosūtīto datu pakešu skaitu.

Darba periodi, abonentu paziņošanas laiks un pakalpojumu atjaunošanas laiks.

Citiem vārdiem sakot, pakalpojuma pieejamība 99,99% norāda, ka operators garantē ne vairāk kā 4,3 minūtes sakaru dīkstāves mēnesī, 99,9% - ka pakalpojums var netikt sniegts 43,2 minūtes un 99% - ka pārtraukums var ilgt ilgāk nekā 7 stundas. Dažās praksēs tiek noteikta tīkla pieejamības norobežošana, un tiek pieņemta zemāka parametra vērtība - ārpus darba laika. Dažādiem pakalpojumu veidiem (trafika klasēm) ir paredzētas arī dažādas rādītāju vērtības. Piemēram, balsij vissvarīgākais ir latentuma līmenis - tam jābūt minimālam. Un ātrums tam ir zems, turklāt dažas paketes var tikt zaudētas, nezaudējot kvalitāti (līdz aptuveni 1%, atkarībā no kodeka). Datu pārraidei pirmajā vietā ir ātrums, un pakešu zudumam vajadzētu būt līdz nullei.

5. Aizsardzības metodes un līdzekļi mākoņdatošanā

Visā ķēdē ir jānodrošina konfidencialitāte, ieskaitot mākoņa pakalpojumu sniedzēju, patērētāju un sakarus, kas tos saista.

Piegādātāja uzdevums ir nodrošināt gan fizisko, gan programmatūras integritāti, kas iegūta no trešo pušu uzbrukumiem. Patērētājam "savā teritorijā" jāievieš atbilstoša politika un procedūras, lai izslēgtu piekļuves tiesību nodošanu informācijai trešajām personām.

Uzdevumus nodrošināt informācijas integritāti atsevišķu "mākoņa" lietojumprogrammu izmantošanas gadījumā var atrisināt - pateicoties mūsdienīgām datu bāzes arhitektūrām, rezerves sistēmām, integritātes pārbaudes algoritmiem un citiem rūpnieciskiem risinājumiem. Bet tas vēl nav viss. Var rasties jaunas problēmas, integrējot vairākas mākoņa lietojumprogrammas no dažādiem piegādātājiem.

Tuvākajā laikā uzņēmumiem, kas meklē drošu virtuālo vidi, vienīgā iespēja ir izveidot privātu mākoņu sistēmu. Fakts ir tāds, ka privātie mākoņi, atšķirībā no publiskajām vai hibrīda sistēmām, visvairāk līdzinās virtualizētām infrastruktūrām, kuras lielo korporāciju IT nodaļas jau ir iemācījušās ieviest un pār kurām tās var pilnībā kontrolēt. Informācijas drošības trūkumi publiskajās mākoņu sistēmās rada lielu izaicinājumu. Lielākā daļa zādzību notiek publiskos mākoņos.

6. Mākoņu modeļu drošība

Riska līmenis trijos mākoņu modeļos ir ļoti atšķirīgs, un arī drošības problēmu risināšanas veidi atšķiras atkarībā no mijiedarbības līmeņa. Drošības prasības paliek nemainīgas, bet drošības kontroles līmenis mainās dažādos modeļos - SaaS, PaaS vai IaaS. No loģiskā viedokļa nekas nemainās, bet fiziskās īstenošanas iespējas ir radikāli atšķirīgas.

Rīsi. 11. Steidzamākie informācijas drošības draudi

SaaS modelī lietojumprogramma darbojas mākoņa infrastruktūrā un ir pieejama, izmantojot tīmekļa pārlūkprogrammu. Klients nekontrolē tīklu, serverus, operētājsistēmas, krātuvi vai pat dažas lietojumprogrammu iespējas. Šī iemesla dēļ SaaS modelī galvenā atbildība par drošību gandrīz pilnībā gulstas uz pārdevējiem.

1. problēma ir paroļu pārvaldība. SaaS modelī lietojumprogrammas atrodas mākonī, tāpēc galvenais risks ir izmantot vairākus kontus, lai piekļūtu lietojumprogrammām. Organizācijas var atrisināt šo problēmu, apvienojot mākoņa un lokālo sistēmu kontus. Izmantojot vienu pierakstīšanos, lietotāji var piekļūt darbstacijām un mākoņa pakalpojumiem, izmantojot vienu kontu. Šī pieeja samazina "iestrēgušu" kontu iespējamību, ka tie tiks neatļauti izmantoti pēc darbinieku pārtraukšanas.

Kā paskaidro CSA, PaaS pieņem, ka klienti veido lietojumprogrammas, izmantojot piegādātāja atbalstītas programmēšanas valodas un rīkus, un pēc tam izvieto tos mākoņa infrastruktūrā. Tāpat kā SaaS modelī, klients nevar pārvaldīt vai kontrolēt infrastruktūru - tīklus, serverus, operētājsistēmas vai uzglabāšanas sistēmas -, bet viņš var kontrolēt lietojumprogrammu izvietošanu.

PaaS modelī lietotājiem jāpievērš uzmanība lietojumprogrammu drošībai, kā arī API pārvaldības jautājumiem, piemēram, validācijai, autorizācijai un verifikācijai.

1. problēma ir datu šifrēšana. PaaS modelis pēc būtības ir drošs, bet risks ir nepietiekama sistēmas veiktspēja. Tas notiek tāpēc, ka, sazinoties ar PaaS pakalpojumu sniedzējiem, ir ieteicama šifrēšana, un tam nepieciešama papildu apstrādes jauda. Tomēr jebkurā risinājumā konfidenciālu lietotāju datu pārraide jāveic šifrētā kanālā.

Lai gan klienti šeit nekontrolē mākoņu infrastruktūru, viņiem ir kontrole pār operētājsistēmām, krātuvi un lietojumprogrammu izvietošanu, un, iespējams, ierobežota kontrole pār tīkla komponentu izvēli.

Šim modelim ir vairākas iebūvētas drošības iespējas, neaizsargājot pašu infrastruktūru. Tas nozīmē, ka lietotājiem ir jāpārvalda un jāaizsargā operētājsistēmas, lietojumprogrammas un saturs, parasti izmantojot API.

Ja tas ir tulkots aizsardzības metožu valodā, pakalpojumu sniedzējam ir jāsniedz:

· Uzticama piekļuves kontrole pašai infrastruktūrai;

· Infrastruktūras noturība.

Tajā pašā laikā mākoņa patērētājs uzņemas daudz vairāk aizsardzības funkciju:

· Ugunsmūrēšana infrastruktūrā;

· Aizsardzība pret ielaušanos tīklā;

· Operētājsistēmu un datu bāzu aizsardzība (piekļuves kontrole, aizsardzība pret ievainojamībām, drošības iestatījumu kontrole);

· Gala lietojumprogrammu aizsardzība (pretvīrusu aizsardzība, piekļuves kontrole).

Tādējādi lielākā daļa aizsardzības pasākumu gulstas uz patērētāja pleciem. Pakalpojumu sniedzējs var sniegt standarta ieteikumus aizsardzībai vai gatavus risinājumus, kas vienkāršos uzdevumu galalietotājiem.

1. tabula. Atbildības par drošību noteikšana starp klientu un pakalpojumu sniedzēju. (P - piegādātājs, K - klients)

	Uzņēmuma serveris
Pieteikums
Dati
Izpildlaika vide
Starpprogrammatūra
Operētājsistēma
Virtualizācija
Serveris
Datu noliktavas
tīkla aparatūra

7. Drošības audits

Mākoņauditora uzdevumi būtībā ir tādi paši kā parasto sistēmu revidenta uzdevumi. Mākoņu drošības audits ir sadalīts piegādātāju revīzijā un lietotāju auditā. Lietotāja revīzija tiek veikta pēc Lietotāja pieprasījuma, savukārt Piegādātāja audits ir viens no svarīgākajiem nosacījumiem uzņēmējdarbības veikšanai.

Tas sastāv no:

· Revīzijas procedūras uzsākšana;

· Revīzijas informācijas vākšana;

· Revīzijas datu analīze;

· Revīzijas ziņojuma sagatavošana.

Revīzijas procedūras uzsākšanas stadijā ir jāatrisina jautājumi par revidenta pilnvarām, revīzijas laiku. Būtu jānosaka arī darbinieku obligātā palīdzība revidentam.

Parasti revidents veic revīziju, lai noteiktu uzticamību

· Virtualizācijas sistēmas, hipervizors;

· Serveri;

· Datu noliktavas;

· Tīkla aprīkojums.

Ja piegādātājs pārbaudītajā serverī izmanto IaaS modeli, tad ar šo pārbaudi pietiks, lai identificētu ievainojamības.

Izmantojot PaaS modeli, jāveic papildu pārbaudes

· operētājsistēma,

Starpprogrammatūra,

· Izpildlaika vide.

Izmantojot SaaS modeli, tiek pārbaudītas arī ievainojamības

Datu glabāšanas un apstrādes sistēmas,

· Lietojumprogrammas.

Drošības auditi tiek veikti, izmantojot tādas pašas metodes un rīkus kā parastie serveri. Bet atšķirībā no parastā servera mākoņtehnoloģijās, hipervizora stabilitāte tiek papildus pārbaudīta. Mākoņdatošanā hipervizors ir viena no pamattehnoloģijām, un tāpēc tam jāpievērš īpaša uzmanība revīzijai.

8. Incidentu un kriminālistikas izmeklēšana mākoņdatošanā

Informācijas drošības pasākumus var iedalīt preventīvos (piemēram, šifrēšanas un citos piekļuves kontroles mehānismos) un reaģējošos (izmeklēšanā). Mākoņu drošības proaktīvais aspekts ir aktīvu pētījumu joma, savukārt mākoņu drošības reaktīvais aspekts ir saņēmis daudz mazāk uzmanības.

Incidentu izmeklēšana (ieskaitot noziegumu izmeklēšanu informācijas jomā) ir plaši pazīstama informācijas drošības sadaļa. Šādas izmeklēšanas mērķi parasti ir:

Pierādījums, ka noziegums / incidents noticis

Atgūstot notikumus ap šo incidentu

Pārkāpēju identificēšana

Pierādījums likumpārkāpēju iesaistīšanai un atbildībai

Pierādījums par pārkāpēju negodīgiem nodomiem.

Parādījās jauna disciplīna - datoru un tehniskās zināšanas (vai kriminālistika), ņemot vērā nepieciešamību veikt digitālo sistēmu tiesu ekspertīzi. Datoru kriminālistikas mērķi parasti ir šādi:

Atgūt datus, kas, iespējams, ir izdzēsti

Notikumu atkopšana, kas notika ar incidentu saistītajās digitālajās sistēmās un ārpus tām

Digitālo sistēmu lietotāju identifikācija

Vīrusu un citas ļaunprātīgas programmatūras klātbūtnes noteikšana

Nelegālu materiālu un programmu klātbūtnes noteikšana

Paroļu, šifrēšanas atslēgu un piekļuves kodu uzlaušana

Ideālā gadījumā datoru kriminālistika ir sava veida laika mašīna izmeklētājam, kas jebkurā brīdī var doties digitālās ierīces pagātnē un sniegt izmeklētājam informāciju par:

cilvēki, kuri ierīci izmantoja noteiktā brīdī

lietotāja darbības (piemēram, dokumentu atvēršana, piekļuve vietnei, datu drukāšana tekstapstrādes programmā utt.)

dati, ko ierīce glabā, izveido un apstrādā noteiktā laikā.

Mākoņpakalpojumiem, kas aizstāj atsevišķas digitālās ierīces, būtu jānodrošina līdzīgs tiesu medicīnas gatavības līmenis. Tomēr tas prasa pārvarēt problēmas, kas saistītas ar resursu apvienošanu, daudznodarbinātību un mākoņdatošanas infrastruktūras noturību. Galvenais incidenta izmeklēšanas instruments ir revīzijas taka.

Audita takas - paredzētas, lai pārraudzītu lietotāju pieteikšanās vēsturi, administratīvos uzdevumus un datu izmaiņas - ir būtiska drošības sistēmas sastāvdaļa. Mākonī pati revīzijas taka ir ne tikai izmeklēšanas līdzeklis, bet arī rīks serveru izmantošanas izmaksu aprēķināšanai. Lai gan revīzijas liecība neattiecas uz drošības trūkumiem, tā ļauj kritiski apskatīt notiekošo un formulēt ieteikumus situācijas labošanai.

Arhīvu un dublējumu izveide ir svarīga, taču tā nevar aizstāt formālu revīzijas izsekojamību, kurā tiek ierakstīts, kas, kad un ko darīja. Revīzijas taka ir viens no galvenajiem drošības revidenta rīkiem.

Pakalpojuma līgumā parasti ir minēts, kuri audita žurnāli tiks saglabāti un nodoti lietotājam.

9. Draudžu modelis

2010. gadā CSA veica mākoņu tehnoloģiju galveno drošības draudu analīzi. Viņu darba rezultāts bija dokuments "Top draudi Cloud Computing v 1.0", kas šobrīd vispilnīgāk raksturo draudu modeli un iebrucēja modeli. Šobrīd tiek izstrādāta pilnīgāka, otrā šī dokumenta versija.

Pašreizējais dokuments apraksta uzbrucējus trim pakalpojumu modeļiem SaaS, PaaS un IaaS. Ir identificēti septiņi galvenie uzbrukumu vektori. Lielākoties visi apskatāmie uzbrukumu veidi ir uzbrukumi, kas raksturīgi parastajiem serveriem, kas nav mākoņi. Mākoņu infrastruktūra viņiem uzliek noteiktas funkcijas. Tā, piemēram, uzbrukumi ievainojamībām serveru programmatūras daļā tiek pievienoti uzbrukumiem hipervizoram, kas arī ir viņu programmatūras daļa.

Drošības draudi # 1

Nepiemērota un negodīga mākoņu tehnoloģiju izmantošana.

Apraksts:

Lai iegūtu resursus no mākoņa bāzes IaaS pakalpojumu sniedzēja, lietotājam ir nepieciešama tikai kredītkarte. Vienkārša reģistrācija un resursu piešķiršana ļauj surogātpasta izplatītājiem, vīrusu autoriem utt. izmantot mākoņpakalpojumu saviem noziedzīgiem mērķiem. Iepriekš šāda veida uzbrukums tika novērots tikai PaaS, taču jaunākie pētījumi ir parādījuši iespēju izmantot IaaS DDOS uzbrukumiem, ļaunprātīga koda ievietošanai, robottīklu izveidošanai u.c.

Pakalpojumu piemēri tika izmantoti, lai izveidotu robottīklu tīklu, pamatojoties uz "Zeus" Trojas zirgu, saglabātu Trojas zirga "InfoStealer" kodu un publicētu informāciju par dažādām MS Office un AdobePDF ievainojamībām.

Turklāt robottīklu tīkli izmanto IaaS, lai pārvaldītu savus vienaudžus un nosūtītu surogātpastu. Šī iemesla dēļ daži IaaS pakalpojumi tika iekļauti melnajā sarakstā, un pasta serveri to lietotājus pilnībā ignorēja.

Lietotāju reģistrācijas procedūru uzlabojumi

Kredītkaršu pārbaudes procedūru uzlabošana un maksāšanas līdzekļu izmantošanas uzraudzība

Visaptverošs pakalpojuma lietotāju tīkla darbības pētījums

· Galveno melno lapu izsekošana, lai tur parādītos mākoņu pakalpojumu sniedzēju tīkls.

Ietekmētie pakalpojumu modeļi:

Drošības draudi # 2

Nedrošas programmēšanas saskarnes (API)

Apraksts:

Mākoņu infrastruktūras nodrošinātāji nodrošina lietotājiem API kopumu resursu, virtuālo mašīnu vai pakalpojumu pārvaldībai. Visas sistēmas drošība ir atkarīga no šo saskarņu drošības.

Anonīma piekļuve saskarnei un akreditācijas datu pārsūtīšana skaidrā tekstā ir nedrošu API galvenās iezīmes. Ierobežota API lietošanas uzraudzība, reģistrēšanas sistēmu trūkums, kā arī nezināmas attiecības starp dažādiem pakalpojumiem tikai palielina uzlaušanas risku.

Analizējiet mākoņa nodrošinātāja drošības modeli

Pārliecinieties, ka tiek izmantoti spēcīgi šifrēšanas algoritmi

Pārliecinieties, ka tiek izmantotas spēcīgas autentifikācijas un autorizācijas metodes

· Izprast visu atkarību ķēdi starp dažādiem pakalpojumiem.

Ietekmētie pakalpojumu modeļi:

Drošības draudi # 3

Iekšējie likumpārkāpēji

Apraksts:

Problēma ar nelikumīgu piekļuvi informācijai no iekšpuses ir ārkārtīgi bīstama. Bieži vien pakalpojumu sniedzēja pusē netiek ieviesta darbinieku darbības uzraudzības sistēma, kas nozīmē, ka uzbrucējs var piekļūt klienta informācijai, izmantojot viņa oficiālo stāvokli. Tā kā pakalpojumu sniedzējs neatklāj savu darbā pieņemšanas politiku, draudus var radīt gan hakeris amatieris, gan organizēta noziedzīga struktūra, kas iekļuvusi pakalpojumu sniedzēja darbinieku rindās.

Šobrīd šāda veida ļaunprātīgas izmantošanas piemēru nav.

Stingru noteikumu ieviešana iekārtu iegādei un atbilstošu sistēmu izmantošana neatļautas piekļuves noteikšanai

Noteikumi par darbinieku pieņemšanu darbā valsts līgumos ar lietotājiem

Pārredzamas drošības sistēmas izveide, kā arī drošības audita ziņojumu publicēšana par pakalpojumu sniedzēja iekšējām sistēmām

Ietekmētie pakalpojumu modeļi:

Rīsi. 12 Iekšējās informācijas piemērs

Drošības draudi # 4

Mākoņu tehnoloģiju ievainojamība

Apraksts:

IaaS pakalpojumu sniedzēji izmanto aparatūras resursu ieguvi, izmantojot virtualizācijas sistēmas. Tomēr aparatūru var izstrādāt, neņemot vērā kopīgos resursus. Lai samazinātu šī faktora ietekmi, hipervizors kontrolē virtuālās mašīnas piekļuvi aparatūras resursiem, tomēr pat hipervizoros var pastāvēt nopietnas ievainojamības, kuru izmantošana var izraisīt privilēģiju eskalāciju vai nelegālu piekļuvi fiziskajam aprīkojumam.

Lai aizsargātu sistēmas no šādām problēmām, ir jāievieš mehānismi virtuālās vides izolēšanai un sistēmas kļūmju atklāšanai. Virtuālo mašīnu lietotājiem nevajadzētu piekļūt koplietojamiem resursiem.

Ir iespējamo ievainojamību piemēri, kā arī teorētiskas metodes, kā apiet izolāciju virtuālajā vidē.

Vismodernāko virtuālās vides uzstādīšanas, konfigurēšanas un aizsardzības metožu ieviešana

Sistēmu izmantošana neatļautas piekļuves noteikšanai

Stingru autentifikācijas un autorizācijas noteikumu piemērošana administratīvajam darbam

Pastiprinot prasības attiecībā uz ielāpu un atjauninājumu lietošanas laiku

· Savlaicīgu procedūru veikšana, lai skenētu un atklātu ievainojamības.

Drošības draudi # 5

Datu zudums vai noplūde

Apraksts:

Datu zudums var notikt tūkstoš iemeslu dēļ. Piemēram, apzināta šifrēšanas atslēgas iznīcināšana novedīs pie tā, ka šifrētā informācija nebūs atgūstama. Šādu situāciju piemēri ir arī datu vai datu daļas dzēšana, nelikumīga piekļuve svarīgai informācijai, ierakstu izmaiņas vai datu nesēja kļūme. Sarežģītā mākoņu infrastruktūrā komponentu ciešas mijiedarbības dēļ palielinās katra notikuma iespējamība.

Nepareiza autentifikācijas, autorizācijas un audita noteikumu piemērošana, nepareiza šifrēšanas noteikumu un metožu izmantošana, kā arī iekārtas kļūme var izraisīt datu zudumu vai noplūdi.

· Izmantojot uzticamu un drošu API

Pārsūtīto datu šifrēšana un aizsardzība

Datu aizsardzības modeļa analīze visos sistēmas darbības posmos

Uzticamas šifrēšanas atslēgu pārvaldības sistēmas ieviešana

Tikai uzticamāko datu nesēju izvēle un iegāde

Nodrošināt savlaicīgu datu dublēšanu

Ietekmētie pakalpojumu modeļi:

Drošības draudi # 6

Identitātes zādzība un nelikumīga piekļuve pakalpojumam

Apraksts:

Šāda veida draudi nav jauni. Katru dienu ar to saskaras miljoniem lietotāju. Uzbrucēju galvenais mērķis ir lietotājvārds (pieteikšanās) un viņa parole. Mākoņu sistēmu kontekstā paroles un lietotājvārda zagšana palielina pakalpojumu sniedzēja mākoņa infrastruktūrā saglabāto datu izmantošanas risku. Tātad uzbrucējam ir iespēja izmantot upura reputāciju savām darbībām.

Aizliegums pārskaitīt kontus

Izmantojot divu faktoru autentifikācijas metodes

Neatļautas piekļuves proaktīvas uzraudzības īstenošana

· Mākoņpakalpojumu sniedzēja drošības modeļa apraksts.

Ietekmētie pakalpojumu modeļi:

Drošības draudi # 7

Citas ievainojamības

Apraksts:

Mākoņtehnoloģiju izmantošana uzņēmējdarbībai ļauj uzņēmumam koncentrēties uz savu biznesu, atstājot rūpes par IT infrastruktūru un pakalpojumiem mākoņa pakalpojumu sniedzēja ziņā. Reklamējot savu pakalpojumu, mākoņpakalpojumu sniedzējs cenšas parādīt visas iespējas, vienlaikus atklājot ieviešanas detaļas. Tas var radīt nopietnus draudus, jo zināšanas par iekšējo infrastruktūru dod uzbrucējam iespēju atrast neaizsargātu ievainojamību un sākt uzbrukumu sistēmai. Lai izvairītos no šādām situācijām, mākoņpakalpojumu sniedzēji var nesniegt informāciju par mākoņa iekšējo struktūru, tomēr šī pieeja arī nepalielina uzticību, jo potenciālie lietotāji nespēj novērtēt datu drošības pakāpi. Turklāt šī pieeja ierobežo iespēju savlaicīgi atrast un novērst ievainojamības.

Amazon atsakās veikt EC2 mākoņa drošības auditu

Programmatūras apstrādes ievainojamība, kas noved pie Hearthland datu centra drošības sistēmas pārkāpuma

Žurnāla datu izpaušana

Pilnīga vai daļēja informācijas atklāšana par sistēmas arhitektūru un informācija par instalēto programmatūru

· Ievainojamības uzraudzības sistēmu izmantošana.

Ietekmētie pakalpojumu modeļi:

1. Juridiskais pamats

Pēc ekspertu domām, pareizi sastādot pakalpojumu līgumu, var izvairīties no 70% drošības problēmu mākonī.

Pamats šādam līgumam var kalpot kā "Mākoņa tiesību likumprojekts"

Mākoņa tiesību likumu 2008. gadā izstrādāja Džeimss Urkharts. Šo materiālu viņš publicēja savā emuārā, kas izraisīja tik lielu interesi un strīdus, ka autors periodiski atjaunina savu "rokrakstu" atbilstoši realitātei.

1. pants (daļēji): Klientiem pieder viņu dati

· Neviens ražotājs (vai piegādātājs), sadarbojoties ar jebkura plāna klientiem, nedrīkst apspriest tiesības uz jebkādiem augšupielādētiem, izveidotiem, ģenerētiem, pārveidotiem datiem vai citām tiesībām, uz kurām klientam ir tiesības.

· Ražotājiem sākotnēji būtu jānodrošina minimāla piekļuve klientu datiem risinājumu un pakalpojumu izstrādes stadijā.

· Klientiem pieder viņu dati, kas nozīmē, ka viņi ir atbildīgi par to, lai dati atbilstu juridiskajiem noteikumiem un likumiem.

· Tā kā datu atbilstības, drošības un drošības ievērošanas jautājumi ir ļoti svarīgi, klientam ir obligāti jāatrod savi dati. Pretējā gadījumā ražotājiem ir jāsniedz lietotājiem visas garantijas, ka viņu dati tiks uzglabāti saskaņā ar visiem noteikumiem un noteikumiem.

2. klauzula. Ražotājiem un klientiem kopīgi pieder un tiek pārvaldīti sistēmas pakalpojumu līmeņi

· Ražotājiem pieder un viņiem ir jādara viss, lai apmierinātu katra klienta individuālo pakalpojumu līmeni. Visiem nepieciešamajiem resursiem un centieniem, lai sasniegtu pienācīgu pakalpojumu līmeni darbā ar klientiem, klientam vajadzētu būt bez maksas, tas ir, neiekļaut pakalpojuma izmaksās.

· Klienti savukārt ir atbildīgi par saviem iekšējiem un ārējiem klientiem sniegto pakalpojumu līmeni. Izmantojot ražotāja risinājumus, lai sniegtu savus pakalpojumus, klienta atbildībai un šāda pakalpojuma līmenim nevajadzētu pilnībā būt atkarīgam no ražotāja.

· Ja nepieciešams integrēt ražotāja un klienta sistēmas, ražotājiem vajadzētu piedāvāt klientiem iespēju uzraudzīt integrācijas procesu. Ja klientam ir korporatīvi informācijas sistēmu integrācijas standarti, ražotājam ir jāievēro šie standarti.

· Ražotāji nekādā gadījumā nedrīkst slēgt klientu kontus par politisku runu, neatbilstošu runu, reliģiskiem komentāriem, ja vien tas nav pretrunā ar īpašiem tiesību aktiem, nav naida izpausme utt.

3. pants. Ražotājiem pieder savas saskarnes

· Ražotājiem nav jānodrošina standarta vai atvērtā pirmkoda saskarnes, ja vien klientu līgumos nav noteikts citādi. Ražotājiem ir tiesības uz saskarnēm. Ja ražotājs neuzskata par iespējamu nodrošināt klientam iespēju pilnveidot saskarni pazīstamā programmēšanas valodā, klients var iegādāties no ražotāja vai trešo pušu izstrādātāju pakalpojumus saskarņu pabeigšanai atbilstoši savām prasībām.

· Klientam tomēr ir tiesības izmantot iegādāto pakalpojumu saviem mērķiem, kā arī paplašināt tā iespējas, atkārtot un uzlabot. Šī klauzula neatbrīvo klientus no patenta un intelektuālā īpašuma tiesībām.

Iepriekš minētie trīs raksti ir pamats klientiem un pārdevējiem mākonī. To pilnu tekstu varat atrast publiski pieejamā internetā. Protams, šis likumprojekts nav pilnīgs juridisks dokuments, vēl jo vairāk oficiāls. Tās pantus var mainīt un paplašināt jebkurā laikā, tāpat kā likumprojektu var papildināt ar jauniem pantiem. Tas ir mēģinājums formalizēt "īpašumtiesības" mākonī, lai kaut kā standartizētu šo brīvību mīlošo zināšanu un tehnoloģiju zonu.

Attiecības starp pusēm

Līdz šim labākais mākoņu drošības eksperts ir Cloud Security Alliance (CSA). Organizācija ir izlaidusi un nesen atjauninājusi rokasgrāmatu, kas ietver simtiem nianšu un paraugprakses, kas jāņem vērā, novērtējot mākoņdatošanas riskus.

Vēl viena organizācija, kas nodarbojas ar mākoņa drošības aspektiem, ir Trusted Computing Group (TCG). Viņa ir vairāku standartu autore šajā un citās jomās, ieskaitot mūsdienās plaši izmantoto uzticamo krātuvi, uzticamo tīkla savienojumu (TNC) un uzticamās platformas moduli (TPM).

Šīs organizācijas ir kopīgi izstrādājušas vairākus jautājumus, kas klientam un pakalpojumu sniedzējam jārisina, slēdzot līgumu. Šie jautājumi atrisinās lielāko daļu problēmu, lietojot mākoni, nepārvaramas varas apstākļus, mainot mākoņa pakalpojumu sniedzējus un citās situācijās.

1. Saglabāto datu drošība. Kā pakalpojumu sniedzējs nodrošina saglabāto datu drošību?

Labākais pasākums datu noliktavā saglabāto datu aizsardzībai ir šifrēšanas tehnoloģiju izmantošana. Pakalpojuma sniedzējam vienmēr ir jāšifrē tā serveros saglabātā klienta informācija, lai novērstu neatļautas piekļuves gadījumus. Pakalpojumu sniedzējam ir arī neatgriezeniski jāizdzēš dati, kad tie vairs nav vajadzīgi un nebūs nepieciešami arī turpmāk.

2. Datu aizsardzība pārraides laikā. Kā pakalpojumu sniedzējs nodrošina datu drošību to pārsūtīšanas laikā (mākoņa iekšienē un ceļā no / uz mākoni)?

Pārsūtītajiem datiem vienmēr jābūt šifrētiem un pieejamiem lietotājam tikai pēc autentifikācijas. Šī pieeja nodrošina, ka neviens nevar mainīt vai nolasīt šos datus, pat ja viņi tiem piekļūst, izmantojot neuzticamus tīkla mezglus. Šīs tehnoloģijas ir izstrādātas "tūkstošiem cilvēku gadu" un ir radījušas uzticamus protokolus un algoritmus (piemēram, TLS, IPsec un AES). Pakalpojumu sniedzējiem vajadzētu izmantot šos protokolus, nevis izgudrot savus.

3. Autentifikācija. Kā pakalpojumu sniedzējs zina klienta autentiskumu?

Visizplatītākā autentifikācijas metode ir aizsardzība ar paroli. Tomēr interneta pakalpojumu sniedzēji, kas vēlas piedāvāt saviem klientiem lielāku uzticamību, izmanto jaudīgākus rīkus, piemēram, sertifikātus un žetonus. Pakalpojumu sniedzējiem jāspēj strādāt ar tādiem standartiem kā LDAP un SAML papildus drošāku autentifikācijas līdzekļu izmantošanai. Tas ir nepieciešams, lai nodrošinātu, ka pakalpojumu sniedzējs, autorizējot un definējot lietotājam piešķirtās atļaujas, mijiedarbojas ar klienta lietotāja identifikācijas sistēmu. Pateicoties tam, pakalpojumu sniedzējam vienmēr būs aktuāla informācija par autorizētajiem lietotājiem. Sliktākajā gadījumā klients sniedz pakalpojumu sniedzējam konkrētu autorizēto lietotāju sarakstu. Parasti šajā gadījumā, kad darbinieks tiek atlaists vai pārcelts uz citu amatu, var rasties grūtības.

4. Lietotāja izolācija. Kā viena klienta dati un lietojumprogrammas tiek atdalītas no citu klientu datiem un lietojumprogrammām?

Labākais risinājums: ja katrs no klientiem izmanto atsevišķu virtuālo mašīnu (virtuālo mašīnu - VM) un virtuālo tīklu. Atdalīšanu starp VM un līdz ar to arī starp lietotājiem nodrošina hipervizors. Savukārt virtuālie tīkli tiek izvietoti, izmantojot tādas standarta tehnoloģijas kā VLAN (virtuālais lokālais tīkls), VPLS (virtuālais privātais LAN pakalpojums) un VPN (virtuālais privātais tīkls).

Daži pakalpojumu sniedzēji visus klientu datus ievieto vienā programmatūras vidē un cenšas izolēt klientu datus viens no otra, mainot tā kodu. Šī pieeja ir neapdomīga un neuzticama. Pirmkārt, uzbrucējs varētu atrast trūkumu nestandarta kodā, kas ļautu viņam piekļūt datiem, kurus viņam nevajadzētu redzēt. Otrkārt, koda kļūda var novest pie tā, ka viens klients nejauši "redz" cita datus. Pēdējā laikā ir bijuši gan tie, gan citi gadījumi. Tāpēc, lai diferencētu lietotāju datus, dažādu virtuālo mašīnu un virtuālo tīklu izmantošana ir saprātīgāks solis.

5. Normatīvie jautājumi. Cik labi pakalpojumu sniedzējs ievēro likumus un noteikumus, kas attiecas uz mākoņdatošanas nozari?

Atkarībā no jurisdikcijas likumi, noteikumi un visi īpaši noteikumi var atšķirties. Piemēram, tie var aizliegt datu eksportēšanu, pieprasīt stingri noteiktus aizsardzības pasākumus, ievērot noteiktus standartus un būt pārbaudāmiem. Galu galā viņi var pieprasīt, lai valdības departamenti un tiesas vajadzības gadījumā piekļūtu informācijai. Pakalpojumu sniedzēja nolaidība šajos brīžos var novest pie saviem klientiem ievērojamas izmaksas juridisku seku dēļ.

Pakalpojumu sniedzējam ir pienākums ievērot stingrus noteikumus un ievērot vienotu stratēģiju juridiskajās un regulatīvajās jomās. Tas attiecas uz lietotāju datu drošību, to eksportēšanu, atbilstību standartiem, revīziju, datu drošību un dzēšanu, kā arī informācijas izpaušanu (pēdējā ir īpaši svarīga, ja vienā fiziskā serverī var saglabāt vairāku klientu informāciju). Lai to noskaidrotu, klienti ir ļoti aicināti meklēt palīdzību pie speciālistiem, kuri rūpīgi izpētīs šo jautājumu.

6. Reaģēšana uz incidentiem. Kā pakalpojumu sniedzējs reaģē uz incidentiem un cik lielā mērā tā klienti var būt iesaistīti incidentā?

Dažreiz ne viss notiek pēc plāna. Tāpēc pakalpojumu sniedzējam ir pienākums neparedzētu apstākļu gadījumā ievērot īpašus uzvedības noteikumus. Šie noteikumi ir jādokumentē. Pakalpojumu sniedzējiem ir obligāti jāidentificē incidenti un jāsamazina to sekas, informējot lietotājus par pašreizējo situāciju. Ideālā gadījumā viņiem regulāri jāsniedz klientiem informācija, kas par šo jautājumu ir pēc iespējas detalizētāka. Turklāt klientiem ir jānovērtē drošības problēmas iespējamība un jāveic nepieciešamās darbības.

10. Starptautiskie un vietējie standarti

Mākoņu tehnoloģiju attīstība pārsniedz centienus izveidot un modificēt nepieciešamos nozares standartus, no kuriem daudzi nav atjaunināti gadiem ilgi. Tāpēc likumdošana mākoņtehnoloģiju jomā ir viens no vissvarīgākajiem soļiem, lai nodrošinātu drošību.

IEEE, viena no pasaules lielākajām standartu izstrādes organizācijām, ir paziņojusi par īpašas mākoņdatošanas iniciatīvas uzsākšanu. Šī ir pirmā starptautiskā mākoņu standartizācijas iniciatīva - līdz šim mākoņdatošanas standartos dominēja nozares konsorciji. Pašlaik iniciatīvā ir iekļauti 2 projekti: IEEE P2301 (tm), "Mākoņprofilu pārnesamības un savstarpējas izmantojamības rokasgrāmatas projekts" un IEEE P2302 (tm) - "Mākoņu sistēmu sadarbspējas un sadalītās savietojamības (federācijas) standarta projekts".

IEEE standartu izstrādes asociācijas ietvaros ir izveidotas 2 jaunas darba grupas, lai strādātu pie projektiem IEEE P2301 un IEEE P2302. IEEE P2301 saturēs esošo un vēl gaidāmo lietojumprogrammu, pārnesamības, pārvaldības un savietojamības standartu profilus, kā arī failu formātus un darbības līgumus. Dokumenta informācija tiks loģiski strukturēta atbilstoši dažādām mērķauditorijas grupām: pārdevējiem, pakalpojumu sniedzējiem un citiem ieinteresētiem tirgus dalībniekiem. Paredzams, ka pēc pabeigšanas standarts būs izmantojams mākoņa produktu un pakalpojumu, kas balstīti uz standarta tehnoloģijām, iepirkumā, izstrādē, būvniecībā un izmantošanā.

IEEE P2302 standartā tiks aprakstīta topoloģija, protokoli, funkcionalitāte un pārvaldības metodes, kas nepieciešamas dažādu mākoņu struktūru mijiedarbībai (piemēram, privāta un publiska, piemēram, EC2) mijiedarbībai. Šis standarts ļaus mākoņdatošanas produktu un pakalpojumu sniedzējiem gūt ekonomisku labumu no apjomradītiem ietaupījumiem, vienlaikus nodrošinot pakalpojumu un lietojumprogrammu lietotājiem pārredzamību.

ISO gatavo īpašu standartu mākoņdatošanas drošībai. Jaunā standarta galvenais mērķis ir organizēt ar mākoņiem saistītus jautājumus. Tomēr, ņemot vērā ISO saskaņošanas procedūru sarežģītību, dokumenta galīgo versiju nevajadzētu izdot līdz 2013. gadam.

Dokumenta vērtība ir tāda, ka tā sagatavošanā ir iesaistītas ne tikai valdības organizācijas (NIST, ENISA), bet arī ekspertu kopienu un asociāciju, piemēram, ISACA un CSA, pārstāvji. Turklāt vienā dokumentā ir ieteikumi gan mākoņpakalpojumu sniedzējiem, gan to patērētājiem - klientu organizācijām.

Šī dokumenta galvenais mērķis ir detalizēti aprakstīt labāko praksi, kas saistīta ar mākoņdatošanas izmantošanu no informācijas drošības viedokļa. Tajā pašā laikā standarts nav vērsts tikai uz tehniskiem aspektiem, bet drīzāk uz organizatoriskiem aspektiem, kurus nedrīkst aizmirst, pārejot uz mākoņdatošanu. Tā ir tiesību un pienākumu nošķiršana, un līgumu parakstīšana ar trešajām pusēm, un aktīvu pārvaldība, kas pieder dažādiem "mākoņa" procesa dalībniekiem, un personāla vadības jautājumi utt.

Jaunais dokuments lielā mērā ietver materiālus, kas iepriekš izstrādāti IT nozarē.

Austrālijas valdība

Pēc vairāku mēnešu prāta vētras Austrālijas valdība 2012. gada 15. februārī Austrālijas valdības informācijas pārvaldības biroja (AGIMO) emuārā publicēja virkni mākoņdatošanas vadlīniju.

Lai uzņēmumiem būtu vieglāk pāriet uz mākoni, ir sniegtas vadlīnijas par mākoņpakalpojumu izmantošanas paraugpraksi, lai izpildītu 1997. gada Finanšu pārvaldības un pārskatatbildības likuma labākās prakses rokasgrāmatu prasības. Ceļveži vispārīgi izskata finanšu, juridiskos un datu aizsardzības jautājumus.

Vadlīnijas runā par nepieciešamību pastāvīgi uzraudzīt un kontrolēt mākoņpakalpojumu izmantošanu, katru dienu analizējot rēķinus un pārskatus. Tas palīdzēs izvairīties no slēptiem marķējumiem un atkarības no mākoņpakalpojumu sniedzējiem.

Pirmās rokasgrāmatas nosaukums ir Privātums un mākoņdatošana Austrālijas valdības aģentūrām (9 lappuses). Šis dokuments koncentrējas uz privātuma un datu drošības jautājumiem.

Papildus šai rokasgrāmatai ir sagatavotas arī sarunas par mākoni - juridiski jautājumi mākoņdatošanas līgumos (19 lappuses), lai palīdzētu jums izprast līgumā iekļautos noteikumus.

Pēdējā, trešajā rokasgrāmatā “Finanšu apsvērumi valdības lietošanai mākoņdatošanā”, 6 lappuses, tiek apspriesti finanšu jautājumi, kas uzņēmumam būtu jāpievērš uzmanība, ja tas nolemj savā uzņēmējdarbībā izmantot mākoņdatošanu.

Papildus tiem, kas aprakstīti ceļvežos, ir vairāki citi jautājumi, kas jārisina, izmantojot mākoņdatošanu, tostarp jautājumi, kas saistīti ar valdību, iepirkumu un uzņēmējdarbības vadības politiku.

Šī politikas dokumenta publiskā apspriešana sniedz iespēju ieinteresētajām personām apsvērt un komentēt šādus satraucošus jautājumus:

· Neatļauta piekļuve klasificētai informācijai;

· Piekļuves datiem zaudēšana;

Nespēja nodrošināt datu integritāti un autentiskumu, un

· Izpratne par mākoņpakalpojumu sniegšanas praktiskajiem aspektiem.

11. Datu teritoriālā identitāte

Dažādās valstīs ir vairāki noteikumi, kas nosaka, ka slepenie dati jāpaliek valstī. Lai gan datu glabāšana noteiktā teritorijā no pirmā acu uzmetiena nešķiet grūta, mākoņpakalpojumu sniedzēji to bieži nevar garantēt. Sistēmās ar augstu virtualizācijas pakāpi dati un virtuālās mašīnas var pārvietoties no vienas valsts uz citu dažādiem mērķiem - slodzes līdzsvarošanai, kļūdu tolerancei.

Daži no galvenajiem SaaS tirgus dalībniekiem (piemēram, Google, Symantec) var garantēt datu glabāšanu attiecīgajā valstī. Bet tie drīzāk ir izņēmumi, kopumā šo prasību izpilde joprojām ir diezgan reta. Pat ja dati paliek valstī, klientiem nav iespējas tos pārbaudīt. Turklāt nevajadzētu aizmirst par uzņēmuma darbinieku mobilitāti. Ja Maskavā strādājošs speciālists dodas uz Ņujorku, tad viņam ir labāk (vai vismaz ātrāk) saņemt datus no datu centra ASV. Lai to nodrošinātu, tas jau ir par kārtu grūtāks uzdevums.

12. Valsts standarti

Pašlaik mūsu valstī nav nopietnu normatīvo pamatu mākoņtehnoloģijām, lai gan attīstība šajā jomā jau notiek. Tātad, ar Krievijas Federācijas prezidenta rīkojumu Nr.146 8.02.2012. tika noteikts, ka federālās izpildvaras iestādes, kas pilnvarotas datu drošības jomā informācijas sistēmās, kas izveidotas, izmantojot superdatoru un tīkla tehnoloģijas, ir Krievijas FSB un Krievijas FSTEC.

Saistībā ar šo dekrētu šo dienestu pilnvaras ir paplašinātas. Krievijas FDD tagad izstrādā un apstiprina normatīvos un metodiskos dokumentus par šo sistēmu drošības nodrošināšanu, organizē un veic pētījumus informācijas drošības jomā.

Dienests arī veic ekspertu kriptogrāfijas, inženiertehniskās kriptogrāfijas un īpašos šo informācijas sistēmu pētījumus un sagatavo ekspertu atzinumus par priekšlikumiem to izveidei.

Dokuments arī nosaka, ka Krievijas FSTEC izstrādā stratēģiju un nosaka prioritārās jomas informācijas drošības nodrošināšanai informācijas sistēmās, kas izveidotas, izmantojot superdatoru un tīkla tehnoloģijas, kas apstrādā ierobežotos datus, kā arī uzrauga darba stāvokli, lai nodrošinātu šo drošību.

FSTEC pasūtīja pētījumu, kura rezultātā tika izveidota "terminoloģijas sistēmas" mākoņtehnoloģiju "beta versija.

Kā jūs saprotat, visa šī terminoloģijas sistēma ir pielāgots divu dokumentu tulkojums: "Mākoņdatošanas tehniskā ziņojuma fokusa grupa" un "Mākoņdatošanas definīcija NIST". Nu, tas, ka šie divi dokumenti nav ļoti saskanīgi viens ar otru, ir atsevišķs jautājums. Bet vizuāli tas joprojām ir redzams: krievu "Terminosistēmā" autori iesākumam vienkārši nesniedza saites uz šiem angļu valodas dokumentiem.

Fakts ir tāds, ka šādam darbam vispirms jāapspriež jēdziens, mērķi un uzdevumi, to risinājuma metodes. Ir daudz jautājumu un komentāru. Galvenā metodiskā piezīme: ir ļoti skaidri jāformulē, kādu problēmu šis pētījums atrisina, tās mērķis. Uzreiz gribu norādīt, ka "terminu sistēmas izveide" nevar būt mērķis, tas ir līdzeklis, bet sasniegšana, kas vēl nav ļoti skaidrs.

Nemaz nerunājot par to, ka parastam pētījumam jāietver status quo sadaļa.

Ir grūti apspriest pētījuma rezultātus, nezinot problēmas sākotnējo formulējumu un to, kā autori to atrisināja.

Bet viena terminoloģijas sistēmas būtiska kļūda ir skaidri redzama: nav iespējams apspriest "mākoņaino tēmu" izolēti no "neskaidra". Ārpus vispārējā IT konteksta. Bet šis konteksts pētījumā nav redzams.

Tā rezultātā praksē šādu terminoloģijas sistēmu būs neiespējami piemērot. Tas var tikai vēl vairāk sajaukt situāciju.

13. Mākoņu drošības līdzekļi

Mākoņu servera aizsardzības sistēmai minimālajā konfigurācijā būtu jānodrošina tīkla iekārtu, datu glabāšanas, servera un hipervizora drošība. Turklāt ir iespējams ievietot pretvīrusu speciālā kodolā, lai novērstu hipervizora inficēšanos caur virtuālo mašīnu, datu šifrēšanas sistēmu lietotāja informācijas glabāšanai šifrētā veidā un līdzekļus šifrētas tunelēšanas ieviešanai starp virtuālo serveri un klientu mašīna.

Šim nolūkam mums ir nepieciešams serveris, kas atbalsta virtualizāciju. Šāda veida risinājumus piedāvā Cisco, Microsoft, VMWare, Xen, KVM.

Ir atļauts izmantot arī klasisku serveri un nodrošināt tajā virtualizāciju, izmantojot hipervizoru.

Visi serveri ar saderīgiem procesoriem ir piemēroti operētājsistēmu virtualizācijai x86-64 platformām.

Šāds risinājums vienkāršos pāreju uz skaitļošanas virtualizāciju, neveicot papildu finanšu ieguldījumus aparatūras jauninājumos.

Darba shēma:

Rīsi. 11. "Mākoņa" servera piemērs

Rīsi. 12. Servera reakcija uz iekārtas kļūmi

Šobrīd mākoņdatošanas drošības rīku tirgus joprojām ir diezgan tukšs. Un tas nav pārsteidzoši. Ja nav normatīvā regulējuma un nav skaidrības par nākotnes standartiem, attīstības uzņēmumi nezina, uz ko koncentrēt savus centienus.

Tomēr pat šādos apstākļos parādās specializētas programmatūras un aparatūras sistēmas, kas ļauj nodrošināt mākoņa struktūru no galvenajiem draudu veidiem.

Integritātes pārkāpums

Uzlauž hipervizoru

Iekšējās personas

Identifikācija

Autentifikācija

Šifrēšana

Saskaņa-B

Aparatūras un programmatūras sistēma Saskaņa-B. paredzēts virtualizācijas infrastruktūras VMware vSphere 4.1, VMware vSphere 4.0 un VMware Infrastructure 3.5 aizsardzībai.

Saskaņa-B. Nodrošina aizsardzību visiem virtualizācijas vides komponentiem: ESX serveriem un pašām virtuālajām mašīnām, vCenter pārvaldības serveriem un papildu serveriem ar VMware pakalpojumiem (piemēram, VMware Consolidated Backup).

Aparatūras un programmatūras kompleksā Accord-V ir ieviesti šādi aizsardzības mehānismi:

· Pakāpeniska hipervizora, virtuālo mašīnu, virtuālo mašīnu un infrastruktūras pārvaldības serveru integritātes kontrole;

· Virtuālās infrastruktūras administratoru un drošības administratoru piekļuves diferencēšana;

· Lietotāju piekļuves diferencēšana virtuālajās mašīnās;

· Visu virtualizācijas infrastruktūras lietotāju un administratoru aparatūras identifikācija.

INFORMĀCIJA PAR SERTIFIKĀTU PIEEJAMĪBU:

Krievijas FSTEC atbilstības sertifikāts Nr. 2598, datēts ar 20.03.2012., Apliecina, ka informācijas aizsardzības līdzekļu aparatūras un programmatūras komplekss no nesankcionētas piekļuves "Accord-V." Atbilst vadlīniju dokumentu "Datoru iekārtas. Aizsardzība pret nesankcionētu piekļuvi" prasībām. informācijai. Drošības rādītāji pret neatļautu piekļuvi informācijai "(Krievijas Valsts tehniskā komisija, 1992) - saskaņā ar 5 drošības klase, "Aizsardzība pret neatļautu piekļuvi informācijai. 1. daļa. Programmatūra informācijas aizsardzībai. Klasifikācija pēc nedeklarēto spēju neesamības kontroles līmeņa" (Krievijas Valsts tehniskā komisija, 1999) - līdz 4 kontroles līmenis un tehniskie nosacījumi TU 4012-028-11443195-2010, un to var izmantot arī, lai izveidotu automatizētas sistēmas līdz 1G drošības klasei ieskaitot un lai aizsargātu informāciju personas datu informācijas sistēmās līdz 1. klasei ieskaitot.

vGate R2

vGate R2 ir sertificēts informācijas aizsardzības līdzeklis pret nesankcionētu piekļuvi un informācijas drošības politikas ieviešanas kontrole virtuālai infrastruktūrai, kuras pamatā ir VMware vSphere 4 un VMware vSphere 5.S R2 sistēmas - produkta versija, kas piemērota informācijas aizsardzībai virtuālajās infrastruktūrās. valsts uzņēmumiem, kuru IP ir piemērotas prasības informācijas drošības sistēmu izmantošanai ar augstu sertifikācijas līmeni.

Ļauj automatizēt administratoru darbu, lai konfigurētu un darbinātu drošības sistēmu.

Palīdz novērst kļūdas un ļaunprātīgu izmantošanu virtuālās infrastruktūras pārvaldībā.

Ļauj virtuālo infrastruktūru saskaņot ar likumdošanu, nozares standartiem un pasaules labāko praksi.

<#"783809.files/image017.gif"> <#"783809.files/image018.gif"> <#"783809.files/image019.gif"> <#"783809.files/image020.gif"> Rīsi. 13 vGate R2 paziņoja par iespējām Tātad, apkopojot, šeit ir galvenie rīki, kas pieejami vGate R2, lai aizsargātu pakalpojumu sniedzēja datu centru no iekšējiem draudiem, ko rada tā administratori: VSphere administratoru pilnvaru organizatoriskā un tehniskā sadalīšana Atsevišķas IS administratora lomas piešķiršana, kas pārvaldīs datu centra resursu drošību, pamatojoties uz vSphere Mākoņa sadalīšana drošības zonās, kurās darbojas administratori ar atbilstošu pilnvaru līmeni Virtuālo mašīnu integritātes kontrole Iespēja jebkurā laikā saņemt pārskatu par vSphere infrastruktūras drošību, kā arī audita informācijas drošības notikumus Principā tas ir gandrīz viss, kas nepieciešams, lai virtuālās datu centra infrastruktūru aizsargātu no iekšējiem draudiem no virtuālās infrastruktūras viedokļa. Protams, jums ir nepieciešama aizsardzība arī aparatūras, lietojumprogrammu un viesu OS līmenī, taču šī ir vēl viena problēma, kas arī tiek atrisināta, izmantojot uzņēmuma drošības kodeksa produktus<#"783809.files/image021.gif"> Rīsi. 14. Servera struktūra. Lai nodrošinātu drošību šādā objektā, ir jānodrošina drošība saskaņā ar 2. tabulu. Šim nolūkam es iesaku izmantot programmatūras produktu vGate R2. Tas ļaus jums atrisināt tādas problēmas kā: · Spēcīgāka autentifikācija virtuālās infrastruktūras administratoriem un informācijas drošības administratoriem. · Virtuālās infrastruktūras pārvaldības rīku aizsardzība pret viltošanu. · ESX serveru aizsardzība pret manipulācijām. · Obligāta piekļuves kontrole. · Virtuālo mašīnu un uzticamās sāknēšanas konfigurācijas integritātes uzraudzība. · VI administratoru piekļuves kontrole virtuālo mašīnu datiem. · Ar informācijas drošību saistītu notikumu reģistrācija. · Uzraudzīt informācijas drošības sistēmas sastāvdaļu integritāti un aizsardzību pret viltojumiem. · Centralizēta vadība un uzraudzība. 2. tabula. PaaS modeļa drošības vajadzību kartēšana Krievijas FSTEC sertifikāts (SVT 5, NDV 4) ļauj produktu izmantot automatizētās drošības līmeņa sistēmās līdz 1G ieskaitot un personas datu informācijas sistēmās (ISPDN) līdz K1 klasei ieskaitot. Šī risinājuma izmaksas būs 24 500 rubļu par 1 fizisko procesoru aizsargātajā resursdatorā. Turklāt, lai pasargātu sevi no iekšējās informācijas, jums būs jāinstalē drošības signalizācija. Šie risinājumi ir diezgan bagātīgi nodrošināti serveru aizsardzības tirgū. Šāda risinājuma cena ar ierobežotu piekļuvi kontrolētajai zonai, signalizācijai un videonovērošanas sistēmai svārstās no 200 000 rubļu un vairāk Piemēram, ņemsim summu 250 000 rubļu. Lai aizsargātu virtuālās mašīnas no vīrusu infekcijām, vienā servera kodolā darbosies McAfee Total Protection for virtualization. Risinājuma izmaksas ir no 42 200 rubļu. Symantec Netbackup tiks izmantots, lai novērstu datu zudumus krātuvēs. Tas ļauj droši dublēt informāciju un sistēmas attēlus. Šāda projekta īstenošanas kopējās izmaksas būs: Līdzīga dizaina risinājuma Microsoft ieviešanu var lejupielādēt šeit: http://www.microsoft.com/en-us/download/confirmation. aspx? id = 2494 Izeja "Mākoņtehnoloģijas" šobrīd ir viena no visaktīvāk attīstošajām IT tirgus jomām. Ja tehnoloģiju pieauguma temps nesamazināsies, tad līdz 2015. gadam tās dos ieguldījumu Eiropas valstu kasē vairāk nekā 170 miljonu eiro gadā. Mūsu valstī pret mākoņtehnoloģijām attiecas piesardzīgi. Daļēji tas ir saistīts ar vadības pārkaulojušajiem uzskatiem, daļēji par uzticības trūkumu drošībai. Bet šāda veida tehnoloģijas ar visām priekšrocībām un trūkumiem ir jauna IT progresa lokomotīve. Lietojumprogrammai "mākoņa otrā pusē" nav nozīmes tam, vai veidojat pieprasījumu datorā ar x86 procesoru Intel, AMD, VIA vai rakstāt to tālrunī vai viedtālrunī, pamatojoties uz ARM procesoru Freescale, OMAP, Tegra . Turklāt kopumā nav nozīmes tam, vai izmantojat Linux operētājsistēmas Google Chrome, OHA Android, Intel Moblin, Windows CE, Windows Mobile Windows XP / Vista / 7 vai izmantojat kaut ko vēl eksotiskāku. ... Ja tikai pieprasījums tika apkopots pareizi un saprotami, un jūsu sistēma spēja "apgūt" saņemto atbildi. Drošības jautājums ir viens no galvenajiem mākoņdatošanas jautājumiem, un tā risinājums uzlabos pakalpojumu kvalitāti datoru jomā. Tomēr šajā virzienā vēl ir daudz darāmā. Mūsu valstī ir vērts sākt ar vienotu terminu vārdnīcu visai IT jomai. Izstrādāt standartus, pamatojoties uz starptautisko pieredzi. Izvirziet prasības drošības sistēmām. Literatūra 1. Finanšu apsvērumi valdības mākoņdatošanas izmantošanai - Austrālijas valdība 2010. 2. Privātums un mākoņdatošana Austrālijas valdības aģentūrām 2007. Sarunas par mākoni - juridiski jautājumi mākoņdatošanas līgumos 2009. Žurnāls "Mūsdienu zinātne: teorijas un prakses aktuālās problēmas" 2012. Līdzīgs darbs - Informācijas drošība mākoņdatošanā: ievainojamības, aizsardzības metodes un līdzekļi, revīzijas un incidentu izmeklēšanas rīki