Keď Eric Schmitt, teraz vedúci spoločnosti Google, prvýkrát použil výraz „cloud“ na označenie distribuovaného počítačového systému na webe, sotva vedel, že je to jedno z tých slov, ktoré sa často objavujú v legendách. Takmer vo všetkých mýtoch o národoch sveta žijú božské bytosti veľmi blízko oblohy - na oblakoch. Výsledkom je, že termín „cloud computing“ je medzi obchodníkmi veľmi obľúbený, pretože poskytuje priestor pre kreativitu. Pokúsime sa tiež verbalizovať tieto mýty a pochopiť, ako sú organicky kombinované s IT.

Smrť Merlina

Jednou z postáv v cykle legiend o kráľovi Artušovi a jeho okrúhlom stole je kúzelník a čarodejník Merlin, ktorý pomáhal Arturovi za jeho vlády. Je príznačné, že Merlin skončil uväznený v oblakoch. Chcel sa pochváliť mladej čarodejnici a ukázať svoju magickú moc. Postavil hrad z mrakov a pozval svoju vášeň na jeho kontrolu. Čarodejnica sa však ukázala byť prefíkanou a uväznila kúzelníka vo vlastnom mrakovom hrade. Potom nikto Merlina nevidel, takže sa verí, že niekde tam zomrel - v oblakovom hrade, ktorý sám postavil.

Teraz „kúzelníci z IT“ taktiež vybudovali celú mytológiu okolo distribuovaného výpočtovej techniky, aby ste neboli uväznení v týchto „zámkoch“, mali by ste najskôr zistiť, čo sú tieto oblaky, teda oddeliť marketing od kotletiek.

Spočiatku existoval iba jeden cloud - práve s týmto symbolom bol tradične označovaný internet. Tento cloud znamenal zhromažďovanie všetkých počítačov pripojených k protokolu IP a s vlastnou adresou IP. Internet postupom času začal prideľovať serverové farmy, ktoré boli nainštalované u poskytovateľov a na ktorých boli založené webové projekty. Na zaistenie vysokej odolnosti voči zaťaženiu a poruchám sa zároveň najväčšie webové systémy stali viacúrovňovými a distribuovanými.

V typickom takom systéme je možné rozlíšiť nasledujúce úrovne: reverzný server proxy, ktorý funguje aj ako nástroj na vyrovnávanie zaťaženia a dešifrátor SSL, samotný webový server, potom aplikačný server, DBMS a úložný systém. Zároveň na každej úrovni mohlo byť niekoľko prvkov vykonávajúcich rovnaké funkcie, a preto nebolo vždy jasné, ktoré komponenty boli použité na spracovanie požiadaviek používateľov. A keď nie je jasné, potom sú to mraky. Preto začali hovoriť, že požiadavky používateľov sa vykonávajú niekde v „cloude“ z veľkého počtu serverov. Tak vznikol termín „cloud computing“.

Napriek tomu, že spočiatku bol cloud computing spojený s verejne dostupnými webovými projektmi - portálmi, s vývojom distribuovaných webových systémov odolných voči chybám sa však začali používať na riešenie vnútropodnikových problémov. Bolo to obdobie rozmachu podnikových portálov, ktoré boli založené na webových technológiách vyvinutých vo verejných systémoch. Podnikové systémy sa zároveň začali konsolidovať do dátových centier, ktorých údržba bola jednoduchšia a lacnejšia.

Bolo by však neefektívne alokovať samostatný server pre každý prvok cloudu - nie všetky prvky cloudu sú načítané rovnako, takže sa virtualizačný priemysel začal vyvíjať súbežne. Vo verejných cloudoch sa ukázalo, že je celkom populárny, pretože umožňoval rozlíšenie prístupových práv a poskytoval rýchly prenos prvku distribuovaného systému na iný hardvér. Bez virtualizácie by bol cloud computing menej dynamický a škálovateľný, a preto sa dnes cloudy zvyčajne skladajú z virtuálnych počítačov.

Cloud computing je spojený predovšetkým s prenájmom aplikácií, pričom sa definujú tri typy takýchto služieb: IaaS - infraštruktúra ako služba, PaaS - platforma ako služba a SaaS - softvér ako služba. Niekedy sa zabezpečenie ako služba zníži aj na SaaS, aby sa však nezamieňali služby cloudového zabezpečenia s prenájmom softvéru, je lepšie ho nazvať ISaaC - informačná bezpečnosť ako cloud. Začínajú sa poskytovať aj takéto služby. Nezamieňajte si však outsourcing aplikácií a cloud computing, pretože cloudy môžu byť interné, verejné a hybridné. Každý z týchto typov cloudov má pri organizácii bezpečnostného systému svoje vlastné charakteristiky.

Tri kroky Višnua

Boh Višnu v hinduistickej mytológii je známy tým, že to bol on, kto dobyl priestor pre ľudský život pomocou troch krokov: prvý bol vyrobený na Zemi, druhý - v oblakoch a tretí - v najvyššom príbytok. V súlade s Rig Veda práve touto akciou Vishnu dobyl všetky tieto priestory pre ľudí.

Moderné IT robí tiež podobný „druhý krok“ - od zeme k oblakom. Aby ste však z týchto mrakov nespadli na zem, stojí za to dbať na bezpečnosť. V prvej časti som podrobne analyzoval štruktúru cloudu, aby som pochopil, aké hrozby existujú pre cloud computing. Z vyššie uvedeného je potrebné rozlišovať nasledujúce triedy hrozieb:

Tradičné útoky na softvér... Súvisia so zraniteľnosťou sieťových protokolov, operačných systémov, modulárnych komponentov a ďalších. Ide o tradičné hrozby, na ochranu pred ktorými stačí nainštalovať antivírus, firewall, IPS a ďalšie diskutované komponenty. Je len dôležité, aby boli tieto ochrany prispôsobené cloudovej infraštruktúre a aby efektívne fungovali vo virtualizovanom prostredí.

Funkčné útoky na cloudové prvky... Tento typ útoku je spojený s vrstvením cloudu, čo je všeobecný bezpečnostný princíp, že celková ochrana systému je rovnaká ako ochrana najslabšieho článku. Takže úspešný útok DoS na reverzný server proxy nainštalovaný pred cloudom zablokuje prístup k celému cloudu, aj keď všetka komunikácia v cloude bude fungovať bez rušenia. Podobne injekcia SQL, ktorá prešla aplikačným serverom, umožní prístup k systémovým údajom bez ohľadu na pravidlá prístupu vo vrstve ukladania údajov. Na ochranu pred funkčnými útokmi musíte pre každú vrstvu cloudu použiť konkrétne ochranné prostriedky: pre server proxy - ochrana pred útokmi DoS, pre webový server - kontrola integrity stránky, pre aplikačný server - obrazovka na úrovni aplikácie, pre DBMS vrstva - ochrana pred injekciami SQL, pre úložný systém - zálohovanie a kontrola prístupu. Každý z týchto obranných mechanizmov už bol vytvorený, ale nie sú zhromaždené spoločne na komplexnú ochranu cloudu, takže pri ich vytváraní je potrebné vyriešiť úlohu ich integrácie do jedného systému.

Útoky klientov... Tento typ útoku bol praktizovaný vo webovom prostredí, ale je relevantný aj pre cloud, pretože klienti sa pripájajú k cloudu, zvyčajne pomocou prehliadača. Zahŕňa také útoky ako Cross Site Scripting (XSS), únos webových relácií, krádež hesiel, „muž uprostred“ a ďalšie. Silnou autentifikáciou a šifrovanou komunikáciou so vzájomnou autentifikáciou bola tradične obrana pred týmito útokmi, ale nie všetci tvorcovia cloudu si môžu dovoliť taký nehospodárny a spravidla nie príliš pohodlný spôsob ochrany. Preto v tomto odvetví informačnej bezpečnosti stále existujú nevyriešené úlohy a priestor na vytváranie nových spôsobov ochrany.

Virtualizačné hrozby... Pretože platformou pre cloudové komponenty boli tradične virtualizované prostredia, útoky na virtualizačný systém ohrozujú aj celý cloud ako celok. Tento typ hrozby je jedinečný iba pre cloud computing, preto sa naň podrobnejšie pozrieme nižšie. Teraz sa začínajú objavovať riešenia pre niektoré virtualizačné hrozby, ale toto odvetvie je celkom nové, takže doterajšie riešenia ešte neboli vyvinuté. Je celkom možné, že trh s informačnou bezpečnosťou čoskoro vyvinie prostriedky ochrany pred týmto typom hrozby.

Komplexné cloudové hrozby... Riadenie a správa cloudov je tiež bezpečnostný problém. Ako zaistiť, aby boli spočítané všetky cloudové zdroje a aby v ňom neboli žiadne nekontrolované virtuálne stroje, aby neboli spustené zbytočné obchodné procesy a aby nebola porušená vzájomná konfigurácia vrstiev a prvkov cloudu. Tento typ hrozby je spojený so zvládnuteľnosťou cloudu ako jednotného informačného systému a hľadaním zneužívania alebo iných narušení prevádzky cloudu, čo môže viesť k zbytočným výdavkom na udržanie zdravia informačného systému. Ak napríklad existuje cloud, ktorý vám v ňom umožňuje detegovať vírus pomocou odoslaného súboru, ako potom zabrániť krádeži takýchto detektorov? Tento typ hrozby je najvyššej úrovne a mám podozrenie, že preň neexistuje univerzálny spôsob ochrany - pre každý cloud musí byť jeho celková ochrana vytvorená individuálne. Pomôcť tomu môže najobecnejší model riadenia rizík, ktorý je stále potrebné správne aplikovať na cloudové infraštruktúry.

Prvé dva typy hrozieb už boli dostatočne preštudované a boli pre ne vyvinuté obrany, ale stále ich treba prispôsobiť použitiu v cloude. Napríklad brány firewall sú navrhnuté tak, aby chránili obvod, ale v cloude nie je ľahké priradiť obvod jednotlivému klientovi, čo ochranu značne sťažuje. Technológiu brány firewall je preto potrebné prispôsobiť cloudovej infraštruktúre. Prácu v tomto smere teraz aktívne vykonáva napríklad spoločnosť Check Point.

Novým typom hrozby pre cloud computing sú problémy s virtualizáciou. Faktom je, že keď sa používa táto technológia, v systéme sa objavia ďalšie prvky, na ktoré je možné zaútočiť. Patrí sem hypervisor, systém na prenos virtuálnych počítačov z jedného hostiteľa na druhého a systém správy virtuálnych počítačov. Pozrime sa podrobnejšie na to, akým útokom môžu byť uvedené prvky vystavené.

Útoky hypervisora... V skutočnosti je kľúčovým prvkom virtuálneho systému hypervisor, ktorý zabezpečuje rozdelenie zdrojov fyzického počítača medzi virtuálne stroje. Zasahovanie do prevádzky hypervisora ​​môže viesť k tomu, že jeden virtuálny počítač môže pristupovať k pamäti a zdrojom iného, ​​zachytávať jeho sieťový prenos, odoberať jeho fyzické zdroje a dokonca úplne vytlačiť virtuálny počítač zo servera. Zatiaľ málo hackerov presne rozumie tomu, ako hypervisor funguje, takže prakticky nedochádza k útokom tohto typu, ale to nezaručuje, že sa v budúcnosti neobjavia.

Migrujte virtuálne počítače... Je potrebné poznamenať, že virtuálny počítač je súbor, ktorý je možné spustiť na vykonanie v rôznych cloudových uzloch. Systémy správy virtuálnych počítačov poskytujú mechanizmy na prenos virtuálnych počítačov z jedného hostiteľa na druhého. Súbor virtuálneho počítača však môže byť ukradnutý a pokúsený sa spustiť mimo cloud. Vytiahnutie fyzického servera z dátového centra je nemožné, ale virtuálny počítač je možné ukradnúť prostredníctvom siete bez fyzického prístupu k serverom. Je pravda, že samostatný virtuálny stroj mimo cloud nemá praktickú hodnotu - na obnovu podobného cloudu je potrebné ukradnúť najmenej jeden virtuálny počítač z každej vrstvy, ako aj údaje z úložného systému, napriek tomu virtualizácia celkom umožňuje krádež častí alebo celý oblak. To znamená, že zasahovanie do mechanizmov prenosu virtuálnych počítačov vytvára pre informačný systém nové riziká.

Útoky na riadiaci systém... Veľký počet virtuálnych počítačov, ktoré sa používajú v cloudoch, najmä vo verejných cloudoch, vyžaduje systémy riadenia, ktoré môžu spoľahlivo ovládať vytváranie, migráciu a likvidáciu virtuálnych počítačov. Intervencia v riadiacich systémoch môže viesť k vzniku neviditeľných virtuálnych počítačov, blokovaniu niektorých počítačov a substitúcii nepovolených prvkov v cloudových vrstvách. To všetko umožňuje útočníkom získať informácie z cloudu alebo zachytiť jeho časti alebo celý cloud.

Je potrebné poznamenať, že všetky vyššie uvedené hrozby sú zatiaľ čisto hypotetické, pretože o skutočných útokoch tohto typu neexistujú prakticky žiadne informácie. Keď sa virtualizácia a cloud stanú dostatočne populárnymi, všetky tieto typy útokov môžu byť celkom skutočné. Preto by ste ich mali mať na pamäti aj vo fáze navrhovania cloudových systémov.

Za siedmym nebom

Apoštol Pavol tvrdil, že poznal muža, ktorý bol chytený až do siedmeho neba. Od tej doby je veta „siedme nebo“ pevne zakorenená pre označenie raja. Nie všetci kresťanskí svätí však mali tú česť navštíviť dokonca aj prvé nebo, napriek tomu neexistuje taký človek, ktorý by nesníval o pohľade na siedme nebo aspoň jedným okom.

Možno práve táto legenda prinútila tvorcov Trend Micro pomenovať jeden zo svojich projektov ochrany pred cloudom Cloud Nine - deviaty cloud. To je jasne nad sedmičkou. Teraz je však tomuto názvu priradená široká škála vecí: piesne, detektívne príbehy, počítačové hry, ale je celkom možné, že toto meno bolo inšpirované kresťanskou legendou o Paulovi.

Spoločnosť Trend Micro však zatiaľ zverejnila iba informácie, že Cloud Nine bude spojený so šifrovaním údajov v cloude. Práve šifrovanie údajov umožňuje ochranu pred väčšinou hrozieb pre údaje vo verejnom cloude, preto sa teraz budú tieto projekty aktívne vyvíjať. Predstavme si, aké ochranné nástroje môžu byť stále užitočné na zmiernenie vyššie popísaných rizík.

V prvom rade musíte poskytnúť spoľahlivú autentifikáciu, a to ako používateľom cloudu, tak aj jeho komponentov. Na tento účel môžete s najväčšou pravdepodobnosťou použiť pripravené jednotné autentifikačné systémy (SSO), ktoré sú založené na protokole Kerberos a na protokole vzájomnej autentifikácie hardvéru. Ďalej budete potrebovať systémy správy identít, ktoré vám umožnia konfigurovať prístupové práva užívateľov k rôznym systémom pomocou správy na základe rolí. Samozrejme, musíte sa pohrať s definíciou rolí a minimálnymi právami pre každú rolu, ale akonáhle nakonfigurujete systém, môžete ho používať dlho.

Keď sú definovaní všetci účastníci procesu a ich práva, musíte monitorovať dodržiavanie týchto práv a zisťovanie administratívnych chýb. To vyžaduje, aby systémy spracovania udalostí používali prostriedky na ochranu prvkov cloudu a ďalšie ochranné mechanizmy, ako sú brány firewall, antivírusy, IPS a ďalšie. Je pravda, že stojí za to použiť tie možnosti, ktoré môžu fungovať vo virtualizačnom prostredí - bude to efektívnejšie.

Okrem toho by ste mali používať aj nejaký druh podvodného zariadenia, ktoré by vám umožnilo odhaliť podvody pri používaní cloudov, to znamená, aby sa znížilo najťažšie riziko zasahovania do podnikových procesov. Je pravda, že teraz na trhu s najväčšou pravdepodobnosťou neexistuje žiadny podvodný stroj, ktorý by umožňoval prácu s cloudmi, avšak technológie na zisťovanie prípadov podvodov a zneužívania už boli pre telefónovanie vyvinuté. Pretože fakturačný systém bude musieť byť implementovaný v oblakoch, mal by byť k nemu pripojený podvodný stroj. Bude teda možné aspoň kontrolovať hrozby pre cloudové obchodné procesy.

Aké ďalšie obranné mechanizmy je možné použiť na ochranu oblakov? Otázka je stále otvorená.

Existuje niekoľko spôsobov budovania podnikovej IT infraštruktúry. Nasadenie všetkých zdrojov a služieb na cloudovú platformu je len jedným z nich. Predsudky o bezpečnosti cloudových riešení sa však často stávajú týmto spôsobom prekážkou. V tomto článku pochopíme, ako je bezpečnostný systém usporiadaný v cloude jedného z najznámejších ruských poskytovateľov - Yandex.

Rozprávka je lož, ale je v nej náznak

Začiatok tohto príbehu možno povedať ako známu rozprávku. V spoločnosti boli traja správcovia: senior bol šikovný chlapík, stredný bol ten a ten, najmladší bol ... skúsený praktikant. Dostal som používateľov do služby Active Directory a skrútil som chvosty na tsiska. Nastal čas, aby sa spoločnosť rozšírila a kráľ, to znamená šéf, zavolal svoju administratívnu armádu. Želám si, hovorí, nové webové služby pre našich klientov, vlastné úložisko súborov, spravované databázy a virtuálne stroje na testovanie softvéru.

Najmladší okamžite navrhol vytvorenie vlastnej infraštruktúry od začiatku: nákup serverov, inštalácia a konfigurácia softvéru, rozšírenie hlavného internetového kanála a pridanie k nemu záložného - kvôli spoľahlivosti. A spoločnosť je pokojnejšia: hardvér je vždy po ruke, kedykoľvek môžete niečo vymeniť alebo prekonfigurovať a on sám bude mať vynikajúcu príležitosť načerpať svoje administratívne schopnosti. Počítali a ronili slzy: spoločnosť si takéto náklady nebude môcť dovoliť. Môžu to robiť veľké podniky, ale pre stredné a malé podniky je to príliš drahé. Nie je potrebné len kupovať vybavenie, vybavovať serverovňu, inštalovať klimatizačné zariadenia a nastavovať požiarne hlásiče, musíte tiež zorganizovať službu na smeny, aby ste udržali poriadok vo dne v noci a odrážali sieťové útoky temperamentných ľudí z internetu. A z nejakého dôvodu správcovia nechceli pracovať v noci a cez víkendy. Keby len za dvojité platby.

Starší administrátor sa zamyslene pozrel cez okno terminálu a navrhol vložiť všetky služby do cloudu. Potom sa však jeho kolegovia začali navzájom desiť hororovými príbehmi: hovoria, že cloudová infraštruktúra má nechránené rozhrania a rozhrania API, zle vyrovnáva záťaž rôznych klientov, čo môže poškodiť vaše vlastné zdroje, a je tiež nestabilná voči krádeži údajov a externým útokom . A vo všeobecnosti je desivé prenášať kontrolu nad kritickými údajmi a softvérom na neoprávnené osoby, s ktorými ste nejedli pol kila soli a vypili vedro piva.

Priemerný nápad bol umiestniť celý IT systém do dátového centra poskytovateľa, na jeho kanály. Na to a rozhodol sa. Na našu trojicu však čakalo niekoľko prekvapení, nie všetky boli príjemné.

Po prvé, akákoľvek sieťová infraštruktúra vyžaduje povinnú dostupnosť nástrojov zabezpečenia a ochrany, ktoré boli, samozrejme, nasadené, nakonfigurované a spustené. Ako sa ukázalo, náklady na hardvérové ​​zdroje, ktoré používajú, si však musí zaplatiť klient sám. A moderný systém informačnej bezpečnosti spotrebúva značné zdroje.

Za druhé, podnikanie naďalej rástlo a infraštruktúra vybudovaná od začiatku rýchlo dosiahla strop škálovateľnosti. Na jeho rozšírenie navyše nestačila jednoduchá zmena tarify: v tomto prípade by bolo mnoho služieb potrebné preniesť na iné servery, prekonfigurovať a niečo úplne od začiatku prepracovať.

Nakoniec jedného dňa kvôli kritickej zraniteľnosti jednej z aplikácií zlyhal celý systém. Správcovia to rýchlo vybrali zo záloh, ale nemohli rýchlo zistiť dôvody toho, čo sa stalo, pretože zabudli nastaviť zálohu pre služby protokolovania. Stratil sa drahocenný čas a čas, ako hovorí ľudová múdrosť, sú peniaze.

Výpočet nákladov a zhrnutie výsledkov viedli vedenie spoločnosti k sklamaným záverom: správca, ktorý od samého začiatku navrhoval používať cloudový model IaaS - „infraštruktúra ako služba“, mal pravdu. Pokiaľ ide o bezpečnosť takýchto platforiem, stojí za to hovoriť o tom oddelene. A urobíme to na príklade najobľúbenejších z týchto služieb - Yandex.Cloud.

Zabezpečenie v službe Yandex.Cloud

Začnime, ako poradila Cheshire Cat dievčaťu Alice, od začiatku. Teda z otázky vymedzenia zodpovednosti. V Yandex.Cloud, rovnako ako na iných podobných platformách, je poskytovateľ zodpovedný za bezpečnosť služieb poskytovaných používateľom, zatiaľ čo klient je zodpovedný za zabezpečenie správneho fungovania aplikácií, ktoré vyvíja, za organizáciu a vymedzenie vzdialeného prístupu k vyhradeným zdrojom. , konfigurácia databáz a virtuálnych počítačov, kontrola nad protokolovaním. Na tento účel má však k dispozícii všetky potrebné nástroje.

Zabezpečenie cloudovej infraštruktúry Yandex má niekoľko úrovní, z ktorých každá implementuje svoje vlastné zásady ochrany a používa samostatný arzenál technológií.

Fyzická vrstva

Nie je žiadnym tajomstvom, že Yandex má svoje vlastné dátové centrá, ktoré obsluhujú ich vlastné bezpečnostné oddelenia. Hovoríme nielen o službách video dohľadu a riadenia prístupu, ktoré majú zabrániť vstupu cudzích osôb do serverovní, ale aj o systémoch klimatizácie, hasení požiarov a zdrojoch neprerušiteľného napájania. Sternove ochranné kryty sú málo použiteľné, ak je váš serverový server raz zaplavený vodou z protipožiarnych postrekovačov alebo sa prehrieva po poruche klimatizácie. To sa im v dátových centrách Yandex rozhodne nestane.

Hardvér Cloud je navyše fyzicky oddelený od „veľkého Yandexu“: nachádzajú sa v rôznych stojanoch, ale úplne rovnakým spôsobom podliehajú pravidelnej bežnej údržbe a výmene komponentov. Na hranici týchto dvoch infraštruktúr sa používajú hardvérové ​​brány firewall a v cloude je softvérový hostiteľský firewall. Prepínače na vrchole stojana navyše používajú systém ACL (Access Control List), ktorý výrazne zvyšuje bezpečnosť celej infraštruktúry. Yandex priebežne skenuje cloud zvonku pri hľadaní otvorených portov a chýb konfigurácie, aby bolo možné potenciálnu zraniteľnosť vopred rozpoznať a odstrániť. Pre zamestnancov pracujúcich s cloudovými prostriedkami bol implementovaný centralizovaný autentifikačný systém pomocou kľúčov SSH s prístupovým modelom založeným na rolách a všetky relácie správcu sú zaznamenávané. Tento prístup je súčasťou modelu Secure by default, ktorý Yandex bežne používa: bezpečnosť je začlenená do IT infraštruktúry vo fáze jej návrhu a vývoja a nie je pridaná neskôr, keď je už všetko funkčné.

Úroveň infraštruktúry

Na úrovni „hardvérovej a softvérovej logiky“ Yandex.Cloud používa tri služby infraštruktúry: Compute Cloud, Virtual Private Cloud a Yandex Managed Services. A teraz o každom z nich trochu podrobnejšie.

Compute Cloud

Táto služba poskytuje škálovateľný výpočtový výkon pre rôzne úlohy, ako je hostovanie webových projektov a služieb s vysokou záťažou, testovanie a prototypovanie alebo dočasná migrácia IT infraštruktúry na dobu opravy alebo výmeny vlastného zariadenia. Službu môžete spravovať prostredníctvom konzoly, príkazového riadka (CLI), súpravy SDK alebo API.

Zabezpečenie Compute Cloud je založené na skutočnosti, že všetky klientske virtuálne počítače používajú najmenej dve jadrá a pri prideľovaní pamäte nedochádza k preťaženiu. Pretože v tomto prípade je v jadre spustený iba klientsky kód, systém nie je náchylný na chyby zabezpečenia ako L1TF, Spectre a Meltdown alebo útoky na bočný kanál.

Yandex okrem toho používa vlastnú zostavu Qemu / KVM, v ktorej je deaktivované všetko nepotrebné a zostáva len minimálna sada kódu a knižníc potrebných na prevádzku hypervisorov. Procesy sa zároveň spúšťajú pod kontrolou inštrumentácie založenej na AppArmor, ktorá pomocou bezpečnostných politík určuje, ku ktorým systémovým prostriedkom a s akými privilégiami má konkrétna aplikácia prístup. Aplikácia AppArmor spustená na každom virtuálnom počítači znižuje riziko, že klientska aplikácia bude mať prístup k hypervisoru z virtuálneho počítača. Aby bolo možné prijímať a spracovávať denníky, Yandex vybudoval proces na doručovanie údajov z AppArmor a sandboxov do vlastného Splunku.

Virtuálny súkromný cloud

Služba Virtual Private Cloud vám umožňuje vytvárať cloudové siete slúžiace na prenos informácií medzi rôznymi zdrojmi a ich pripojenie na internet. Fyzicky túto službu podporujú tri nezávislé dátové centrá. V tomto prostredí sa logická izolácia vykonáva na úrovni viacprotokolovej komunikácie - MPLS. Yandex zároveň neustále fúzuje s rozhraním SDN a hypervisorom, to znamená, že zo strany virtuálnych počítačov je prúd chybne tvarovaných paketov nepretržite odosielaný do externého prostredia, aby prijal odpoveď od spoločnosti SDN, analyzoval ju a zavrel. konfiguračné medzery. Ochrana DDoS je automaticky povolená pri vytváraní virtuálnych počítačov.

Spravované služby Yandex

Yandex Managed Services je softvérové ​​prostredie na správu rôznych služieb: DBMS, klastre Kubernetes, virtuálne servery v infraštruktúre Yandex.Cloud. Tu služba preberá väčšinu bezpečnostných prác. Všetky zálohy, šifrovanie záloh, správa zraniteľnosti atď. Sú automaticky poskytované softvérom Yandex.Cloud.

Nástroje reakcie na incidenty

Aby bolo možné včas reagovať na incidenty súvisiace s bezpečnosťou informácií, je potrebné včas identifikovať zdroj problému. Na to je potrebné použiť spoľahlivé monitorovacie nástroje, ktoré by mali fungovať nepretržite a bez prerušenia. Takéto systémy budú nevyhnutne spotrebovávať zdroje, ale Yandex.Cloud nepresúva náklady na výpočtový výkon bezpečnostných nástrojov na používateľov platforiem.

Pri výbere súpravy nástrojov sa Yandex riadil ďalšou dôležitou požiadavkou: v prípade úspešného zneužitia zraniteľnosti 0 dní v jednej z aplikácií by útočník nemal opustiť hostiteľa aplikácie, zatiaľ čo tím zabezpečenia by sa mal o incidente okamžite dozvedieť a reagovať ako na potrebné.

V neposlednom rade bolo želaním, aby všetky nástroje boli open source. Tieto kritériá úplne spĺňa balík AppArmor + Osquery, o ktorom bolo rozhodnuté, že ho použije v službe Yandex.Cloud.

AppArmor

AppArmor bol spomenutý vyššie: je to softvérový nástroj proaktívnej ochrany založený na prispôsobiteľných bezpečnostných profiloch. Profily používajú technológiu označovania súkromia Mandatory Access Control (MAC) implementovanú pomocou LSM priamo v samotnom jadre Linuxu od verzie 2.6. Vývojári Yandex si vybrali AppArmor z nasledujúcich dôvodov:

• ľahkosť a rýchlosť, pretože nástroj sa spolieha na časť jadra Linuxu;
• je to riešenie s otvoreným zdrojovým kódom;
• Aplikáciu AppArmor je možné veľmi rýchlo nasadiť v systéme Linux bez písania akéhokoľvek kódu;
• flexibilná konfigurácia je možná pomocou konfiguračných súborov.

Osquery

Osquery je nástroj na monitorovanie zabezpečenia systému vyvinutý spoločnosťou Facebook a teraz sa úspešne používa v mnohých odvetviach IT. Tento nástroj je zároveň multiplatformový a open source.

S Osquery môžete zbierať informácie o stave rôznych komponentov operačného systému, akumulovať ich, transformovať do štandardizovaného formátu JSON a odosielať zvolenému príjemcovi. Tento nástroj vám umožňuje písať a odosielať štandardné dotazy SQL do vašej aplikácie, ktoré sú uložené v databáze rocksdb. Frekvenciu a podmienky vykonávania alebo spracovania týchto požiadaviek môžete prispôsobiť.

V štandardných tabuľkách je už mnoho funkcií implementovaných, napríklad môžete získať zoznam procesov spustených v systéme, nainštalovaných balíkov, aktuálnu sadu pravidiel iptables, entity crontab atď. Po vybalení bola implementovaná podpora pre príjem a analýzu udalostí zo systému auditu jadra (používa sa v Yandex.Cloud na spracovanie udalostí AppArmor).

Samotný Osquery je napísaný v C ++ a distribuovaný s otvoreným zdrojovým kódom, môžete ich upravovať a pridávať nové tabuľky do hlavného kódu, ako aj vytvárať vlastné rozšírenia v jazykoch C, Go alebo Python.

Užitočnou funkciou Osquery je prítomnosť distribuovaného systému dotazov, pomocou ktorého môžete vykonávať dotazy v reálnom čase na všetky virtuálne počítače v sieti. To môže byť užitočné napríklad vtedy, ak je v balíku zistená zraniteľnosť: pomocou jedného dotazu môžete získať zoznam počítačov, na ktorých je tento balík nainštalovaný. Táto funkcia je široko používaná pri správe veľkých distribuovaných systémov s komplexnou infraštruktúrou.

závery

Ak sa vrátime k príbehu rozprávanému úplne na začiatku tohto článku, uvidíme, že obavy, kvôli ktorým naši hrdinovia odmietli nasadiť infraštruktúru na cloudovú platformu, sa ukázali ako neopodstatnené. Minimálne pokiaľ ide o Yandex.Cloud. Zabezpečenie cloudovej infraštruktúry vytvorenej spoločnosťou Yandex má viacvrstvovú architektúru Echeloned, a preto poskytuje vysokú úroveň ochrany pred väčšinou v súčasnosti známych hrozieb.

Vďaka úsporám na bežnej údržbe hardvéru a platbám za zdroje spotrebované monitorovacími systémami a systémami varovania pred incidentmi, ktoré spoločnosť Yandex realizuje, zároveň používanie Yandex.Cloud výrazne šetrí peniaze malým a stredným podnikom. Úplné opustenie IT oddelenia alebo oddelenia zodpovedného za informačnú bezpečnosť (najmä ak sú obe tieto roly spojené do jedného tímu) samozrejme nebude fungovať. Yandex.Cloud však výrazne zníži mzdové náklady a režijné náklady.

Keďže Yandex.Cloud poskytuje svojim zákazníkom zabezpečenú infraštruktúru so všetkými potrebnými bezpečnostnými nástrojmi, môžu sa zamerať na obchodné procesy a úlohy súvisiace so servisom a monitorovaním hardvéru prenechajú poskytovateľovi. Nevylučuje to potrebu súčasnej správy virtuálnych počítačov, databáz a aplikácií, ale taký rozsah úloh by bolo v každom prípade potrebné vyriešiť. Vo všeobecnosti môžeme povedať, že Yandex.Cloud šetrí nielen peniaze, ale aj čas. A druhý, na rozdiel od prvého, je nenahraditeľným zdrojom.

GRIGORIEV1 Vitaly Robertovich, kandidát technických vied, docent KUZNETSOV2 Vladimir Sergeevich

PROBLÉMY IDENTIFIKÁCIE ZRANITEĽNOSTÍ V OBLASTI OBLASTI CLOUD

Tento článok prináša prehľad prístupov k budovaniu koncepčného modelu cloud computingu, ako aj porovnanie existujúcich pohľadov na identifikáciu zraniteľností, ktoré sú vlastné systémom vybudovaným na základe tohto modelu. Kľúčové slová: cloud computing, zraniteľnosť, jadro hrozby, virtualizácia.

Cieľom tohto článku je poskytnúť prehľad prístupov k budovaniu koncepčného modelu cloud computingu načrtnutého v referenčnej architektúre NIST Cloud Computing Reference a porovnať názory vedúcich organizácií v tejto oblasti na zraniteľné miesta v tomto výpočtovom modeli, ako aj hlavných hráčov na trhu cloud computingu.

Cloud computing je model, ktorý poskytuje pohodlný sieťový prístup na požiadanie ku konfigurovateľným zdieľaným počítačovým zdrojom (siete, servery, dátové obchody, aplikácie a služby), ktorý sa rýchlo dodáva s minimálnym úsilím o správu a interakciu poskytovateľa služieb. Táto definícia Národného inštitútu pre normalizáciu (NIST) je široko akceptovaná v celom odvetví. Definícia cloud computingu obsahuje päť základných charakteristík, tri modely služieb a štyri modely nasadenia.

Päť hlavných charakteristík

Samoobsluha na požiadanie

Používatelia môžu získavať, ovládať a spravovať počítačové prostriedky bez pomoci správcov systému. Široký prístup k sieti - Výpočtové služby sú poskytované prostredníctvom štandardných sietí a heterogénnych zariadení.

Operatívna elasticita - 1T-

zdroje je možné podľa potreby rýchlo škálovať v ľubovoľnom smere.

Pool zdrojov - zdroje IT zdieľajú rôzne aplikácie a používatelia v odpojenom režime.

Výpočet nákladov na službu - využitie 1T zdroja sa sleduje pre každú aplikáciu a používateľa spravidla na účely fakturácie za verejný cloud a interných platieb za používanie súkromných cloudov.

Tri servisné modely

Softvér ako služba (SaaS) - Aplikácie sú koncovým používateľom spravidla dodávané ako služba prostredníctvom webového prehliadača. V súčasnosti existujú stovky ponúk SaaS, od horizontálnych podnikových aplikácií až po ponuky špecifické pre dané odvetvie, ako aj spotrebiteľské aplikácie, ako napríklad e-mail.

Platform as a Service (PaaS) - Platforma na vývoj a nasadenie aplikácií je poskytovaná ako služba vývojárom na vytváranie, nasadzovanie a správu aplikácií SaaS. Platforma spravidla obsahuje databázy, middleware a vývojové nástroje, ktoré sú všetky poskytované ako služba cez internet. PaaS sa často zameriava na programovací jazyk alebo API ako Java alebo Python. Virtualizovaná klastrová distribuovaná počítačová architektúra často slúži ako základ pre systémy

1 - MSTU MIREA, docent katedry informačnej bezpečnosti;

2 - Moskovská štátna univerzita rádioelektroniky a automatizácie (MSTU MIREA), študent.

Raj, pretože štruktúra siete sieťového zdroja poskytuje potrebnú pružnú škálovateľnosť a združovanie zdrojov. Infraštruktúra ako služba (IaaS) - servery, úložný a sieťový hardvér sú poskytované ako služba. Tento hardvér infraštruktúry je často virtualizovaný, takže súčasťou LaaR je aj virtualizácia, správa a softvér operačného systému.

Štyri modely nasadenia

Súkromné ​​cloudy - navrhnuté výhradne pre použitie jednej organizácie a sú spravidla riadené, spravované a hostované súkromnými dátovými centrami. Hosting a správu súkromných cloudov je možné zadávať externému poskytovateľovi služieb, ale často

Nový cloud zostáva vo výhradnom používaní jednej organizácie. Verejné cloudy - zdieľané mnohými organizáciami (používateľmi), udržiavané a spravované externými poskytovateľmi služieb.

Skupinové cloudy - používa ich skupina príbuzných organizácií, ktoré chcú využiť výhody zdieľaného cloudového výpočtového prostredia. Skupina môže byť napríklad zložená z rôznych armádnych odvetví, všetkých univerzít v danom regióne alebo všetkých dodávateľov významného výrobcu.

Hybridné cloudy - zobrazujú sa, keď organizácia používa pre rovnakú aplikáciu súkromný aj verejný cloud, aby využila výhody oboch. Napríklad v prípade „búrky“ ide o organizáciu-používateľa v prípade štandardného zaťaženia aplikácie

používa súkromný cloud a keď je záťaž špičková, napríklad na konci štvrťroka alebo počas prázdnin, využíva potenciál verejného cloudu a následne tieto zdroje vráti do všeobecného fondu, keď nie sú potrebné.

Na obr. 1 ukazuje koncepčný model cloud computingu podľa dokumentu „NIST Cloud Computing Reference Architecture“. Ako je znázornené na obr. 1 model v štandarde vyzdvihuje hlavných účastníkov cloudového systému: spotrebiteľ cloudu, poskytovateľ cloudu, cloudový audítor, cloud broker, cloudový sprostredkovateľ. Každý účastník je osoba alebo organizácia, ktorá vykonáva svoje vlastné funkcie implementácie alebo poskytovania cloud computingu. Cloudový spotrebiteľ - osoba alebo organizácia, ktorá udržiava obchodné interakcie s inými

Cloudový spotrebiteľ

Cloudový audítor

C Bezpečnostný audit L I J

I Audit dôvernosti I J

(Audit poskytovaných služieb | J

Poskytovateľ cloudu

Komplex úrovní

Vlastná úroveň

^ Služba ako služba ^ ^ Platforma ako služba ^ Infraštruktúra ako služba)

Úroveň abstrakcie

Fyzická vrstva

Cloudová služba

^ J podpora ^ J prispôsobenie

Prenosnosť

Cloudový maklér

Cloudový sprostredkovateľ

Ryža. 1. Koncepčný model vyvinutý špecialistami NIST

tori network a využíva služby od cloudových poskytovateľov. Poskytovateľ cloudu - osoba, organizácia alebo ktokoľvek, kto je zodpovedný za dostupnosť služieb poskytovaných spotrebiteľom, ktorí prejavia záujem. Cloud auditor - účastník, ktorý môže vykonávať nezávislé hodnotenia cloudových služieb, služieb a zabezpečenia cloudovej implementácie. Cloudový maklér je účastník, ktorý spravuje používanie, výkon a dodávanie cloudových služieb spotrebiteľovi a vyjednáva o interakciách medzi poskytovateľmi cloudu a spotrebiteľmi cloudu. Cloudový sprostredkovateľ - sprostredkovateľ, ktorý poskytuje komunikáciu a poskytovanie cloudových služieb medzi poskytovateľmi cloudu a spotrebiteľmi cloudu.

Výhody a výzvy cloud computingu

Nedávne prieskumy IT špecialistov ukazujú, že cloud computing ponúka dve hlavné výhody pri organizovaní distribuovaných služieb - rýchlosť a náklady. Vďaka offline prístupu k fondu počítačových zdrojov môžu byť používatelia zaradení do procesov, ktoré ich zaujímajú, v priebehu niekoľkých minút, a nie týždňov alebo mesiacov, ako tomu bolo v minulosti. Výpočtová kapacita sa tiež rýchlo mení vďaka elasticky škálovateľnému výpočtovému prostrediu Grid. Keďže v oblasti cloud computingu používatelia platia iba za to, čo používajú, a škálovateľnosť a automatizácia dosahujú vysokú úroveň, pomer nákladov a efektivity poskytovaných služieb je tiež veľmi atraktívnym faktorom pre všetkých účastníkov výmenných procesov.

Tie isté prieskumy verejnej mienky ukazujú, že niektorým spoločnostiam bráni v prechode do cloudu niekoľko vážnych dôvodov. Medzi týmito úvahami zďaleka vedie bezpečnosť cloudových počítačov.

Aby bolo možné adekvátne vyhodnotiť bezpečnosť v cloudových systémoch, má zmysel preskúmať názory na hrozby v tejto oblasti hlavných hráčov na trhu. Porovnáme súčasné prístupy k cloudovým hrozbám uvedené v pláne štandardov NIST Cloud Computing Standards s prístupmi, ktoré ponúkajú spoločnosti IBM, Oracle a VmWare.

Americký národný inštitút pre normalizáciu Bezpečnostný štandard pre cloudové počítače

Plán NIST Cloud Computing Standards, prijatý NIST, pokrýva možné potenciálne typy útokov na služby cloud computingu:

♦ ohrozenie dôvernosti a dostupnosti údajov prenášaných poskytovateľmi cloudu;

♦ útoky, ktoré vychádzajú zo štrukturálnych vlastností a schopností prostredia cloud computingu s cieľom zosilniť a zvýšiť škody spôsobené útokmi;

♦ neoprávnený prístup spotrebiteľa (prostredníctvom nesprávnej autentifikácie alebo autorizácie alebo zraniteľnosti spôsobené pravidelnou údržbou) k softvéru, údajom a zdrojom používaným autorizovaným spotrebiteľom cloudových služieb;

♦ zvýšenie úrovne sieťových útokov, ako napríklad DoS, využívania softvéru, ktorého vývoj nebral do úvahy model hrozby pre distribuované internetové zdroje, ako aj zraniteľnosť zdrojov, ktoré boli prístupné zo súkromných sietí;

♦ obmedzené možnosti šifrovania údajov v prostredí s veľkým počtom účastníkov;

♦ prenosnosť vyplývajúca z používania neštandardných rozhraní API, ktoré spotrebiteľom cloudu sťažujú migráciu na nového poskytovateľa cloudu, ak nie sú splnené požiadavky na dostupnosť;

♦ útoky, ktoré využívajú fyzickú abstrakciu cloudových zdrojov a zneužívajú nedostatky v záznamoch a postupoch auditu;

♦ útoky na virtuálne počítače, ktoré neboli zodpovedajúcim spôsobom aktualizované;

♦ útoky využívajúce nezrovnalosti v globálnych a súkromných bezpečnostných politikách.

Norma tiež zdôrazňuje hlavné ciele zabezpečenia pre cloud computing:

♦ ochrana užívateľských údajov pred neoprávneným prístupom, zverejnením, úpravou alebo prezeraním; znamená podporu identifikačnej služby takým spôsobom, aby mal spotrebiteľ možnosť vykonávať politiky identifikácie a riadenia prístupu autorizovaných používateľov, ktorí majú prístup ku cloudovým službám; tento prístup znamená schopnosť spotrebiteľa poskytovať prístup k svojim údajom selektívne iným používateľom;

♦ ochrana pred hrozbami dodávateľského reťazca; zahŕňa potvrdenie stupňa dôveryhodnosti a spoľahlivosti poskytovateľa služieb v rovnakom rozsahu ako stupeň dôveryhodnosti v použitý softvér a hardvér;

♦ prevencia neoprávneného prístupu k zdrojom cloudových počítačov; zahŕňa vytváranie bezpečných domén, ktoré sú logicky oddelené od zdrojov (napríklad logické oddelenie pracovného zaťaženia bežiaceho na tom istom fyzickom serveri prostredníctvom hypervisora ​​v multitenantnom prostredí) a používanie bezpečných predvolených konfigurácií;

♦ vývoj webových aplikácií nasadených v cloude pre model hrozby distribuovaných internetových zdrojov a integráciu bezpečnostných funkcií do procesu vývoja softvéru;

♦ ochrana internetových prehliadačov pred útokmi s cieľom zmierniť slabé stránky v oblasti bezpečnosti koncových používateľov; zahŕňa prijatie opatrení na ochranu internetového pripojenia osobných počítačov na základe používania zabezpečeného softvéru, firewallov (firewallov) a pravidelnej inštalácie aktualizácií;

♦ nasadenie technológií riadenia prístupu a detekcie narušenia

od poskytovateľa cloudových služieb a vykonaním nezávislého hodnotenia na overenie ich dostupnosti; zahŕňa (ale nielen) tradičné opatrenia perimetrickej bezpečnosti kombinované s modelom zabezpečenia domény; tradičné zabezpečenie perimetra zahŕňa obmedzenie fyzického prístupu k sieti a zariadeniam, ochranu jednotlivých komponentov pred zneužitím nasadením aktualizácií, predvolené nastavenie väčšiny nastavení zabezpečenia, zakázanie všetkých nepoužívaných portov a služieb, používanie riadenia prístupu na základe rolí, monitorovanie záznamov auditu, minimalizovanie používaných oprávnení , pomocou antivírusových balíkov a šifrovaných pripojení;

♦ definovanie dôveryhodných hraníc medzi poskytovateľmi (poskytovateľmi) služieb a spotrebiteľmi, aby sa zabezpečilo, že oprávnená zodpovednosť za poskytovanie bezpečnosti je jasná;

♦ podpora prenosnosti vykonávaná tak, aby mal spotrebiteľ možnosť zmeniť poskytovateľa cloudu v prípadoch, keď potrebuje splniť požiadavky na integritu, dostupnosť a dôvernosť; to zahŕňa možnosť momentálne zrušiť účet a kopírovať údaje od jedného poskytovateľa služieb k druhému.

Plán cestovných štandardov NIST pre cloudové výpočty, prijatý NIST, definuje základný zoznam útokov na cloudové systémy a zoznam základných úloh, ktoré musia

riešiť uplatnením

vhodné opatrenia.

Sformulujme hrozby pre informačnú bezpečnosť cloudového systému:

♦ U1 - ohrozenie (kompromitácia, dostupnosť atď.) Údajov;

♦ U2 - hrozby generované štrukturálnymi vlastnosťami a schopnosťami architektúry na implementáciu distribuovaných počítačov;

♦ U4 - hrozby súvisiace s nesprávnym modelom hrozby;

♦ U5 - hrozby súvisiace s nesprávnym použitím šifrovania (šifrovanie je potrebné používať v prostredí, kde existuje niekoľko dátových tokov);

♦ U6 - hrozby súvisiace s používaním neštandardných rozhraní API počas vývoja;

♦ U7 - virtualizačné hrozby;

♦ U8 - hrozby využívajúce nezrovnalosti v globálnych bezpečnostných politikách.

Pohľad spoločnosti IBM na bezpečnosť cloudových počítačov

Pokyny pre zabezpečenie cloudu Odporúčania IBM na implementáciu zabezpečenia cloudu nám umožňujú vyvodiť závery o vízii zabezpečenia IBM. Na základe tohto dokumentu môžeme rozšíriť predtým navrhovaný zoznam hrozieb, konkrétne:

♦ U9 - hrozby súvisiace s prístupom tretích strán k fyzickým zdrojom \ systémom;

♦ U10 - hrozby súvisiace s nesprávnym zneškodnením (životným cyklom) osobných informácií;

♦ U11 - hrozby súvisiace s porušovaním regionálnych, národných a medzinárodných zákonov týkajúcich sa spracovávaných informácií.

IBM, Oracle a VmWare pristupujú k zabezpečeniu cloudových počítačov

Dokumentácia poskytnutá týmito spoločnosťami popisujúca ich názory na bezpečnosť v ich systémoch sa zásadne nelíši od vyššie uvedených hrozieb.

Tabuľka 1 uvádza hlavné triedy zraniteľností, ktoré formulovali spoločnosti vo svojich produktoch. Tab. 1 vám umožňuje vidieť nedostatok úplného pokrytia hrozieb zo skúmaných spoločností a formulovať „jadro hrozieb“, ktoré vytvorili spoločnosti vo svojich cloudových systémoch:

♦ ohrozenie údajov;

♦ hrozby založené na štruktúre \ schopnostiach distribuovaných počítačov;

♦ hrozby súvisiace s nesprávnym modelom hrozby;

♦ virtualizačné hrozby.

Záver

Prehľad hlavných tried zraniteľností na cloudovej platforme nám umožňuje dospieť k záveru, že v súčasnosti neexistujú žiadne hotové riešenia na úplnú ochranu cloudu kvôli rôznym útokom, ktoré tieto zraniteľnosti používajú.

Je potrebné poznamenať, že zostrojená tabuľka tried zraniteľnosti (tabuľka 1), ktorá integruje prístupy vedúcich

Tabuľka 1. Triedy zraniteľnosti

Zdroj vyhlasoval hrozby

U1 U2 U3 U4 U5 U6 U7 U8 U9 U10 U11

NIST + + + + + + + + + - - -

IBM + + + + + - + - + + +

Sun / Oracle + + + + - - + + - - + -

VmWare + + + + - - + - - - -

toto odvetvie hráčov sa neobmedzuje iba na hrozby, ktoré sú v ňom uvedené. Neodráža napríklad hrozby súvisiace s prekračovaním hraníc medzi prostrediami s rôznymi úrovňami dôvernosti údajov, ako aj s odstraňovaním hraníc zodpovednosti za bezpečnosť informácií medzi spotrebiteľom služby a poskytovateľom cloudu.

Je zrejmé, že na implementáciu komplexného cloudového systému je potrebné vyvinúť ochranu pre konkrétnu implementáciu. Dôležitú úlohu pri implementácii bezpečných počítačov vo virtuálnych prostrediach zohráva aj nedostatok štandardov FSTEC a FSB pre cloudové systémy. Má zmysel použiť „jadro hrozieb“ zdôraznené v práci v štúdii

Úlohou je vytvoriť jednotný model tried zraniteľnosti. Tento článok má prehľad, v budúcnosti sa plánuje podrobná analýza tried hrozieb spojených s virtualizáciou a vývoj prístupov k vytváraniu systému ochrany, ktorý potenciálne bráni implementácii týchto hrozieb.

Literatúra

1. Pokyny pre zabezpečenie cloudu Odporúčania spoločnosti IBM pre implementáciu cloudového zabezpečenia, ibm.com/redbooks, 2. novembra 2009.

2. http://www.vmware.com/technical-resources/security/index.html.

3. Cloud NIST. Výpočtová referenčná architektúra, Národný inštitút pre štandardy a. Technológia, špeciálna publikácia. 500-292, september 2011.

4. Cloud NIST. Plán počítačových štandardov, Národný inštitút pre štandardy a. Technológia, špeciálna publikácia. 500-291, júl 2011.

5. http://www.oracle.com/technetwork/indexes/documentation/index.html.

Cloud computing spoločne označuje veľkú skupinu ľahko použiteľných a pohotovo dostupných virtualizovaných zdrojov (ako sú hardvérové ​​systémy, služby atď.). Tieto zdroje je možné dynamicky realokovať (škálovať) tak, aby sa prispôsobili dynamicky sa meniacim pracovným zaťaženiam, čím sa zabezpečí optimálne využitie zdrojov. Tento fond zdrojov je zvyčajne poskytovaný na základe priebežných platieb. Majiteľ cloudu zároveň zaručuje kvalitu služby na základe určitých dohôd s používateľom.

V súlade so všetkým vyššie uvedeným je možné rozlíšiť nasledujúce hlavné vlastnosti cloud computingu:

1) cloud computing je nová paradigma poskytovania výpočtových zdrojov;

2) základné služby infraštruktúry (hardvérové ​​zdroje, systémy na ukladanie údajov, systémový softvér) a aplikácie sa poskytujú ako služby;

3) tieto služby môže poskytovať nezávislý poskytovateľ pre externých používateľov na základe priebežných platieb, hlavnými funkciami cloud computingu sú virtualizácia a dynamická škálovateľnosť;

4) cloudové služby je možné poskytovať koncovému používateľovi prostredníctvom webového prehliadača alebo prostredníctvom konkrétneho rozhrania API (Application Programming Interface).

Všeobecný model cloudových výpočtov pozostáva z externej a internej časti. Tieto dva prvky sú prepojené prostredníctvom siete, vo väčšine prípadov prostredníctvom internetu. Prostredníctvom externej časti používateľ interaguje so systémom; vnútorná časť je vlastne samotný oblak. Front -end sa skladá z klientskeho počítača alebo siete podnikových počítačov a aplikácií používaných na prístup do cloudu. Vnútornú časť predstavujú aplikácie, počítače, servery a dátové úložiská, ktoré prostredníctvom virtualizácie vytvárajú oblak služieb (obr. 1).

Keď sa existujúce fyzické virtuálne počítače (VM) presunú z dátového centra (DC) do externých cloudov alebo poskytovania služieb IT mimo zabezpečeného perimetra v súkromných cloudoch, obvod siete úplne stratí význam a celková úroveň zabezpečenia sa zníži.

Zatiaľ čo v tradičných dátových centrách je prístup inžinierov k serverom prísne kontrolovaný na fyzickej úrovni, v prípade cloud computingu je prístup inžinierov k dispozícii prostredníctvom internetu, čo vedie k vzniku zodpovedajúcich hrozieb. Preto je prísna kontrola prístupu pre správcov kritická a tiež zabezpečenie kontroly a transparentnosti zmien na systémovej úrovni.

Virtuálne stroje sú dynamické. Nestálosť virtuálnych počítačov veľmi sťažuje vytváranie a udržiavanie koherentného systému zabezpečenia. Chyby zabezpečenia a chyby konfigurácie sa môžu vymknúť spod kontroly. Okrem toho je veľmi ťažké zaznamenať stav ochrany v konkrétnom časovom okamihu pre následný audit.

Servery cloudových počítačov používajú rovnaký operačný systém a rovnaké webové aplikácie ako lokálne virtuálne a fyzické servery. Preto je v prípade cloudových systémov hrozba vzdialeného hackovania alebo napadnutia škodlivým softvérom rovnako vysoká.

Ďalšou hrozbou je ohrozenie integrity údajov: kompromisy a krádež údajov. Je potrebné monitorovať integritu operačného systému a súborov aplikácií, ako aj internú aktivitu.

Používanie cloudových služieb pre viacerých nájomcov sťažuje dodržiavanie požiadaviek noriem a zákonov vrátane požiadaviek na používanie kryptografických nástrojov na ochranu citlivých informácií, ako sú informácie o majiteľovi kreditnej karty a informácie, ktoré identifikujú osoba. To zase predstavuje neľahkú úlohu poskytnúť spoľahlivú ochranu a bezpečný prístup k citlivým údajom.

Na základe analýzy možných hrozieb v cloud computingu je navrhnutá možná hardvérová a softvérová komplexná bezpečnostná ochrana pre cloud computing, ktorá zahŕňa 5 technológií: firewall, detekcia a prevencia narušenia, kontrola integrity, analýza protokolov a ochrana pred škodlivým softvérom.

Poskytovatelia cloud computingu používajú virtualizáciu na to, aby svojim zákazníkom poskytli prístup k lacným výpočtovým prostriedkom. Klientske virtuálne počítače zároveň zdieľajú rovnaké hardvérové ​​prostriedky, ktoré sú nevyhnutné na dosiahnutie najvyššej ekonomickej účinnosti. Firemní zákazníci, ktorí sa zaujímajú o cloud computing o rozšírenie svojej internej IT infraštruktúry, musia zvážiť hrozby, ktoré takýto krok predstavuje. Okrem tradičných mechanizmov na ochranu siete centier na spracovanie údajov, využívajúcich také bezpečnostné prístupy, akými sú: okrajový firewall, demilitarizované zóny, segmentácia siete, nástroje na monitorovanie siete, systémy detekcie a prevencie narušenia, by sa na virtualizačných serveroch alebo na samotných serveroch. VM, pretože s prechodom virtuálnych počítačov na verejné cloudové služby obvod firemnej siete postupne stráca zmysel a najmenej chránené uzly začínajú výrazne ovplyvňovať celkovú úroveň zabezpečenia. Je to nemožnosť fyzického oddelenia a používanie bezpečnostného hardvéru na odrazenie útokov medzi virtuálnymi počítačmi, čo vedie k potrebe umiestniť ochranný mechanizmus na virtualizačný server alebo na samotné virtuálne počítače. Implementácia komplexnej metódy ochrany na virtuálnom počítači, vrátane softvérovej implementácie brány firewall, detekcie a prevencie narušenia, kontroly integrity, analýzy protokolov a ochrany pred škodlivým kódom, je najúčinnejší spôsob ochrany integrity, súladu s regulačnými požiadavkami a súladu s zásady zabezpečenia pri presune virtuálnych zdrojov z intranetu do cloudu.

Literatúra:

1. Radchenko G.I. Distribuované počítačové systémy // Výučba. - 2012.- S. 146-149.

2. Kondrashin M. Zabezpečenie cloud computingu // Správy o úložisku. - 2010. - č. 1.

Kurzy podľa disciplíny

Softvér a hardvér na zabezpečenie informácií

„Zabezpečenie informácií v cloud computingu: zraniteľné miesta, metódy a prostriedky ochrany, nástroje na auditovanie a vyšetrovanie incidentov.“

Úvod

1. História a kľúčové vývojové faktory

2. Definícia cloud computingu

3. Referenčná architektúra

4. Dohoda o úrovni služieb

5. Metódy a prostriedky ochrany v cloud computingu

6. Zabezpečenie cloudových modelov

7. Bezpečnostný audit

8. Vyšetrovanie incidentov a kriminalistiky v oblasti cloud computingu

9. Model hrozby

10. Medzinárodné a domáce normy

11. Územná identita údajov

12. Štátne normy

13. Prostriedky zabezpečenia v cloude

14. Praktická časť

Výkon

Literatúra

Úvod

Rastúca rýchlosť cloud computingu je vysvetlená skutočnosťou, že za málo peňazí, vo všeobecnosti, zákazník získa prístup k najspoľahlivejšej infraštruktúre s požadovaným výkonom bez potreby nákupu, inštalácie a údržby drahých počítačov. Systém dosahuje 99,9% , čo tiež šetrí na výpočtových prostriedkoch .... A čo je dôležitejšie - takmer neobmedzené možnosti škálovateľnosti. Kúpou pravidelného hostingu a pokusom preskočiť si hlavu (s prudkým nárastom záťaže) existuje riziko získania služby, ktorá už niekoľko hodín klesá. V cloude sú na požiadanie k dispozícii ďalšie zdroje.

Hlavným problémom cloud computingu je nezaručená úroveň bezpečnosti spracovávaných informácií, stupeň ochrany zdrojov a často úplne chýba regulačný rámec.

Cieľom štúdie bude poskytnúť prehľad o existujúcom trhu s cloudovými počítačmi a prostriedkoch na zaistenie bezpečnosti na nich.

informácie o zabezpečení cloud computingu

1. História a kľúčové vývojové faktory

Myšlienku toho, čo dnes nazývame cloud computing, vyslovil J. C. R. Licklider v roku 1970. Počas týchto rokov bol zodpovedný za vytvorenie siete ARPANET (Advanced Research Projects Agency Network). Jeho predstava bola, že každý človek na Zemi bude pripojený k sieti, z ktorej bude dostávať nielen dáta, ale aj programy. Ďalší vedec John McCarthy predložil myšlienku, že výpočtový výkon bude používateľom poskytovaný ako služba (služba). V tejto súvislosti bol vývoj cloudových technológií pozastavený až do 90. rokov, potom k jeho rozvoju prispelo množstvo faktorov.

Rozšírenie šírky pásma internetu v 90. rokoch neumožnilo výrazný skok vo vývoji v oblasti cloudovej technológie, pretože na to nebola pripravená takmer žiadna vtedajšia spoločnosť a technológia. Samotná skutočnosť zrýchlenia internetu však dala impulz k skorému rozvoju cloud computingu.

2. Jedným z najdôležitejších udalostí v tejto oblasti bolo zavedenie portálu Salesforce.com v roku 1999. Táto spoločnosť sa stala prvou spoločnosťou, ktorá prostredníctvom tejto stránky poskytla prístup k svojej aplikácii. V skutočnosti sa táto spoločnosť stala prvou spoločnosťou, ktorá poskytovala svoj softvér na základe softvéru ako služby (SaaS).

Ďalším krokom bol vývoj cloudovej webovej služby spoločnosťou Amazon v roku 2002. Táto služba umožnila ukladať informácie a vykonávať výpočty.

V roku 2006 Amazon uviedol na trh službu s názvom Elastic Compute cloud (EC2) ako webovú službu, ktorá svojim používateľom umožňovala prevádzkovať vlastné aplikácie. Amazon EC2 a Amazon S3 boli prvými dostupnými službami cloud computingu.

Ďalší míľnik vo vývoji cloud computingu prišiel s vytvorením platformy Google Apps pre webové aplikácie v podnikateľskom sektore spoločnosťou Google.

Virtualizačné technológie zohrali významnú úlohu vo vývoji cloudových technológií, najmä softvéru, ktorý vám umožňuje vytvoriť virtuálnu infraštruktúru.

Vývoj hardvéru neprispel ani tak k rýchlemu rastu cloudových technológií, ale k dostupnosti tejto technológie pre malé podniky a jednotlivcov. Pokiaľ ide o technologický pokrok, významnú úlohu v tom zohralo vytváranie viacjadrových procesorov a zvýšenie kapacity zariadení na ukladanie informácií.

2. Definícia cloud computingu

Podľa definície Národného inštitútu pre štandardy a technológie USA:

Cloud computing (Cloud computing) (AngličtinaCloud - oblak; výpočtový- computing) je model poskytovania všadeprítomného a pohodlného sieťového prístupu podľa potreby do zdieľanej oblasti konfigurovateľných výpočtových zdrojov (napr. siete, servery, úložné systémy, aplikácie a služby), ktoré je možné rýchlo poskytnúť a uvoľniť s minimálnym úsilím správy a vyžadujúcim interakciu s poskytovateľom služieb (poskytovateľom služieb).

Cloudový model podporuje vysokú dostupnosť služieb a je charakterizovaný piatimi základnými charakteristikami, tromi modelmi služba / služba a štyrmi modelmi nasadenia.

Programy sa spúšťajú a zobrazujú výsledky práce v štandardnom okne webového prehliadača na lokálnom počítači, pričom všetky aplikácie a ich údaje potrebné na prácu sú umiestnené na vzdialenom serveri na internete. Počítače typu cloud computing sa nazývajú „cloud computing“. V takom prípade sa zaťaženie medzi počítačmi zahrnutými v „výpočtovom cloude“ rozloží automaticky. Najjednoduchším príkladom cloud computingu sú siete p2p.

Na implementáciu cloud computingu sa používajú middleware produkty vytvorené pomocou špeciálnych technológií. Slúžia ako medzičlánok medzi zariadením a používateľom a poskytujú monitorovanie stavu zariadení a programov, rovnomerné rozloženie záťaže a včasné poskytovanie zdrojov zo spoločného fondu. Jednou z týchto technológií je virtualizácia v oblasti výpočtovej techniky.

Virtualizácia v práci na počítači- proces reprezentujúci súbor počítačových zdrojov alebo ich logickú kombináciu, ktorý poskytuje akékoľvek výhody oproti pôvodnej konfigurácii. Toto je nový virtuálny pohľad na zdroje jednotlivých častí, ktoré nie sú obmedzené implementáciou, fyzickou konfiguráciou alebo geografickou polohou. Virtualizované zdroje spravidla zahrnujú výpočtový výkon a ukladanie údajov. Z vedeckého hľadiska je virtualizácia vzájomnou izoláciou výpočtových procesov a zdrojov.

Príkladom virtualizácie sú symetrické viacprocesorové počítačové architektúry, ktoré používajú viac ako jeden procesor. Operačné systémy sú zvyčajne nakonfigurované tak, aby sa viac procesorov javilo ako jedna procesorová jednotka. Preto môžu byť softvérové ​​aplikácie napísané pre jednu logickú ( virtuálne) výpočtový modul, ktorý je oveľa jednoduchší ako pracovať s veľkým počtom rôznych konfigurácií procesorov.

Na obzvlášť veľké a na zdroje náročné výpočty sa používajú výpočty v mriežke.

Grid computing (mriežka - mriežka, sieť) je forma distribuovaných počítačov, v ktorej je „virtuálny superpočítač“ reprezentovaný ako zhluky sieťových, voľne spojených, heterogénnych počítačov spolupracujúcich na vykonaní veľkého počtu úloh (operácií, úloh).

Táto technológia sa používa na riešenie vedeckých a matematických problémov, ktoré vyžadujú značné výpočtové prostriedky. Grid computing sa používa aj v komerčnej infraštruktúre na riešenie časovo náročných úloh, ako sú ekonomické prognózy, seizmická analýza a vývoj a štúdium vlastností nových liekov.

Z pohľadu sieťovej organizácie je sieť konzistentným, otvoreným a štandardizovaným prostredím, ktoré poskytuje flexibilné, bezpečné a koordinované oddelenie výpočtových a úložných zdrojov, ktoré sú súčasťou tohto prostredia v rámci jednej virtuálnej organizácie.

Paravirtualizácia Je to virtualizačná technika, ktorá poskytuje virtuálnym počítačom programovacie rozhranie podobné, ale nie totožné so základným hardvérom. Cieľom tohto upraveného rozhrania je skrátiť čas, ktorý hostujúci operačný systém trávi vykonávaním operácií, ktoré je oveľa ťažšie vykonávať vo virtuálnom prostredí ako v nevirtualizovanom.

Existujú špeciálne „háčiky“, ktoré umožňujú hosťovi a hostiteľovi požiadať o tieto komplexné úlohy a potvrdiť ich, čo je možné vykonať vo virtuálnom prostredí, ale oveľa pomalšie.

Hypervisor ( alebo Monitor virtuálnych strojov) - v počítačoch program alebo hardvérová schéma, ktorá poskytuje alebo umožňuje simultánne, paralelné spustenie niekoľkých alebo dokonca viacerých operačných systémov na rovnakom hostiteľskom počítači. Hypervisor tiež poskytuje vzájomnú izoláciu operačného systému, ochranu a zabezpečenie, zdieľanie zdrojov medzi rôznymi bežiacimi operačnými systémami a správu zdrojov.

Hypervisor môže (ale nemusí) poskytovať operačnému systému bežiacemu na rovnakom hostiteľskom počítači prostriedky vzájomnej komunikácie a interakcie (napríklad prostredníctvom výmeny súborov alebo sieťového pripojenia), ako keby tieto operačné systémy bežali na rôznych fyzických počítačoch. počítače.

Samotný hypervisor je určitým spôsobom minimálny operačný systém (mikrojadro alebo nanokernel). Poskytuje operačným systémom bežiacim pod jeho kontrolou službu virtuálnych počítačov, virtualizujúcich alebo napodobňujúcich skutočný (fyzický) hardvér konkrétneho počítača, a spravuje tieto virtuálne počítače, alokuje a uvoľňuje pre ne zdroje. Hypervisor umožňuje nezávislé „zapnutie“, reštart, „vypnutie“ ktoréhokoľvek z virtuálnych počítačov s konkrétnym OS. Operačný systém bežiaci na virtuálnom počítači pod kontrolou hypervisora ​​však môže, ale nemusí, „vedieť“, že beží na virtuálnom počítači a nie na skutočnom hardvéri.

Modely cloudových služieb

Možnosti poskytovania výpočtového výkonu sú veľmi odlišné. Všetko, čo súvisí s cloud computingom, sa zvyčajne nazýva aaS - znamená to jednoducho „ako služba“, to znamená „ako služba“ alebo „vo forme služby“.

Softvér ako služba (SaaS) - poskytovateľ poskytne klientovi aplikáciu pripravenú na použitie. Aplikácie sú dostupné z rôznych klientskych zariadení alebo prostredníctvom rozhraní tenkého klienta, ako je napríklad webový prehliadač (napríklad webmail) alebo programové rozhrania. Spotrebiteľ zároveň nekontroluje základnú cloudovú infraštruktúru vrátane sietí, serverov, operačných systémov, úložných systémov a dokonca ani jednotlivých nastavení aplikácie, s výnimkou niektorých nastavení konfigurácie používateľských aplikácií.

V modeli SaaS zákazníci platia za to, aby softvér ako taký nevlastnili, ale aby si ho požičiavali (tj. Používali ho prostredníctvom webového rozhrania). Na rozdiel od klasickej schémy licencovania softvéru teda zákazníkovi vznikajú relatívne malé opakujúce sa náklady a na nákup softvéru a jeho podporu nepotrebuje investovať značné finančné prostriedky. Schéma pravidelných platieb predpokladá, že ak dočasne chýba potreba softvéru, zákazník môže pozastaviť jeho používanie a zmraziť platby vývojárovi.

Z pohľadu vývojára vám model SaaS umožňuje efektívne bojovať proti nelicencovanému používaniu softvéru (pirátstvo), pretože samotný softvér sa nedostáva ku koncovým zákazníkom. Koncept SaaS môže navyše často znížiť náklady na nasadenie a implementáciu informačných systémov.

Ryža. 1 Typické rozloženie SaaS

Platforma ako služba (PaaS) - poskytovateľ ponúka klientovi softvérovú platformu a nástroje na navrhovanie, vývoj, testovanie a nasadzovanie používateľských aplikácií. Spotrebiteľ zároveň nekontroluje základnú cloudovú infraštruktúru vrátane sietí, serverov, operačných systémov a úložných systémov, ale má kontrolu nad nasadenými aplikáciami a prípadne nad niektorými konfiguračnými parametrami hostiteľského prostredia.

Ryža. 2 Typické rozloženie PaaS

Infraštruktúra ako služba (IaaS). - poskytovateľ ponúka klientovi na prenájom výpočtové prostriedky: servery, úložné systémy, sieťové zariadenia, operačné systémy a systémový softvér, virtualizačné systémy, systémy správy zdrojov. Spotrebiteľ zároveň nekontroluje základnú cloudovú infraštruktúru, ale má kontrolu nad operačnými systémami, úložnými systémami, nasadenými aplikáciami a prípadne má obmedzenú kontrolu nad výberom sieťových komponentov (napríklad hostiteľ s bránami firewall).

Ryža. 3 Typické rozloženie IaaS

Navyše rozlišovať služby ako:

Komunikácia ako služba (Com -aaS) - Rozumie sa, že komunikačné služby sa poskytujú ako služby; zvyčajne je to IP telefónia, pošta a okamžitá komunikácia (chaty, IM).

Cloudové ukladanie dát- používateľovi je k dispozícii určitý priestor na ukladanie informácií. Pretože sú informácie uložené distribuované a duplikované, poskytujú tieto úložiská oveľa vyšší stupeň bezpečnosti údajov ako miestne servery.

Pracovisko ako služba (WaaS) - používateľ, ktorý má k dispozícii nedostatočne výkonný počítač, si môže kúpiť výpočtové prostriedky od dodávateľa a použiť svoj počítač ako terminál na prístup k službe.

Antivírusový cloud- infraštruktúra, ktorá sa používa na spracovanie informácií od používateľov s cieľom včas rozpoznať nové, predtým neznáme hrozby. Cloudový antivírus nevyžaduje od používateľa žiadne zbytočné akcie - jednoducho pošle žiadosť o podozrivý program alebo odkaz. Keď je nebezpečenstvo potvrdené, všetky potrebné činnosti sa vykonajú automaticky.

Modely nasadenia

Medzi modelmi nasadenia existujú 4 hlavné typy infraštruktúry.

Súkromný cloud - infraštruktúra určená na použitie jednou organizáciou vrátane niekoľkých spotrebiteľov (napríklad divízií jednej organizácie), prípadne aj klientov a dodávateľov tejto organizácie. Súkromný cloud môže vlastniť, spravovať a prevádzkovať samotná organizácia alebo tretia strana (alebo ich kombinácia) a môže fyzicky existovať v jurisdikcii vlastníka aj mimo neho.

Ryža. 4 Súkromný cloud.

Verejný cloud - infraštruktúra určená na bezplatné používanie širokou verejnosťou. Verejný cloud môžu vlastniť, prevádzkovať a prevádzkovať komerčné, akademické a vládne organizácie (alebo ich ľubovoľná kombinácia). Verejný cloud fyzicky existuje v jurisdikcii vlastníka - poskytovateľa služieb.

Ryža. 5 Verejný cloud.

Hybridný cloud - Ide o kombináciu dvoch alebo viacerých rôznych cloudových infraštruktúr (súkromných, verejných alebo verejných), ktoré zostávajú jedinečnými objektmi, ale sú prepojené štandardizovanými alebo súkromnými technológiami na prenos údajov a aplikácií (napríklad krátkodobé využitie verejných cloudových zdrojov na vyváženie zaťaženie medzi mrakmi).

Ryža. 6 Hybridný cloud.

Verejný cloud (komunitný cloud) - typ infraštruktúry určený na použitie konkrétnou komunitou spotrebiteľov z organizácií so spoločnými cieľmi (napr. poslanie, bezpečnostné požiadavky, politiky a súlad s rôznymi požiadavkami). Verejný cloud môže byť spoluvlastníkom, prevádzkovaný a prevádzkovaný jednou alebo viacerými komunitnými organizáciami alebo treťou stranou (alebo akoukoľvek ich kombináciou) a môže fyzicky existovať v jurisdikcii vlastníka aj mimo neho.

Ryža. 7 Popis vlastností cloudu

Základné vlastnosti

NIST vo svojom dokumente „The NIST Definition of Cloud Computing“ definuje nasledujúce charakteristiky cloudov:

Samoobsluha na požiadanie. Spotrebiteľ má možnosť prístupu k poskytnutým výpočtovým zdrojom jednostranne podľa potreby, automaticky, bez potreby interakcie so zamestnancami každého poskytovateľa služieb.

Široký prístup k sieti. Poskytnuté výpočtové zdroje sú k dispozícii v sieti prostredníctvom štandardných mechanizmov pre rôzne platformy, tenkých a hrubých klientov (mobilné telefóny, tablety, prenosné počítače, pracovné stanice atď.).

Zdieľanie zdrojov (združovanie zdrojov). Výpočtové zdroje poskytovateľa sú združené tak, aby slúžili mnohým spotrebiteľom v modeli s viacerými nájomníkmi. Fondy obsahujú množstvo fyzických a virtuálnych zdrojov, ktoré je možné dynamicky priradiť a znova priradiť tak, aby vyhovovali potrebám zákazníkov. Spotrebiteľ nemusí poznať presnú polohu zdrojov, ale je možné ich lokalizovať na vyššej úrovni abstrakcie (napríklad krajina, región alebo dátové centrum). Medzi príklady tohto druhu zdrojov patria úložné systémy, výpočtový výkon, pamäť a šírka pásma siete.

Rýchla elasticita. Zdroje je možné elasticky prideľovať a v niektorých prípadoch automaticky uvoľňovať, aby sa rýchlo škálovali v súlade s dopytom. Pre spotrebiteľa sa možnosti poskytovania zdrojov považujú za neobmedzené, to znamená, že môžu byť priradené v akomkoľvek množstve a kedykoľvek.

Meraná služba. Cloudové systémy automaticky spravujú a optimalizujú zdroje pomocou nástrojov na meranie implementovaných na úrovni abstrakcie pre rôzne druhy služieb (napríklad správa externej pamäte, spracovanie, šírka pásma alebo aktívne relácie používateľov). Použité zdroje je možné monitorovať a ovládať, čo poskytuje transparentnosť pre poskytovateľa a pre spotrebiteľa využívajúceho službu.

Ryža. 8 Štrukturálny diagram cloudového servera

Výhody a nevýhody cloud computingu

Dôstojnosť

· Požiadavky na výpočtový výkon PC sú znížené (nepostrádateľnou podmienkou je iba dostupnosť prístupu na internet);

· odolnosť proti chybám;

· Bezpečnosť;

· Vysoká rýchlosť spracovania údajov;

· Znížené náklady na hardvér a softvér, údržbu a elektrickú energiu;

· Úspora miesta na disku (údaje aj programy sú uložené na internete).

· Živá migrácia - prenos virtuálneho počítača z jedného fyzického servera na druhý bez prerušenia virtuálneho počítača a zastavenia služieb.

· Koncom roku 2010 bola kvôli útokom DDoS na spoločnosti, ktoré odmietli poskytnúť zdroje WikiLeaks, odhalená ďalšia výhoda cloud computingu. Všetky spoločnosti, ktoré boli proti WikiLeaks, boli napadnuté, ale iba Amazon sa ukázal byť necitlivý na tieto vplyvy, pretože používal prostriedky cloud computingu. („Anonymné: vážna hrozba alebo obyčajné obťažovanie“, Zabezpečenie siete, N1, 2011).

nevýhody

· Závislosť bezpečnosti užívateľských údajov od spoločností poskytujúcich služby cloud computingu;

· Trvalé pripojenie k sieti - na získanie prístupu k službám „cloudu“ potrebujete trvalé pripojenie na internet. V našej dobe to však nie je taká veľká nevýhoda, najmä s príchodom mobilných technológií 3G a 4G.

· Softvér a jeho modifikácia - na softvér, ktorý je možné nasadiť na „cloudy“ a poskytnúť ho používateľovi, existujú obmedzenia. Užívateľ softvéru má v použitom softvéri obmedzenia a niekedy ho nemôže prispôsobiť pre svoje vlastné účely.

· Dôvernosť - dôvernosť údajov uložených vo verejných „cloudoch“ je v súčasnosti predmetom mnohých kontroverzií, ale vo väčšine prípadov sa odborníci zhodujú, že sa neodporúča uchovávať dokumenty, ktoré sú pre spoločnosť najcennejšie, vo verejnom „cloude“, pretože v súčasnosti neexistuje žiadna technológia, ktorá by zaručovala 100% dôvernosť uložených údajov, a preto je používanie šifrovania v cloude nevyhnutné.

· Spoľahlivosť - pokiaľ ide o spoľahlivosť uložených informácií, môžeme s istotou povedať, že ak ste stratili informácie uložené v „cloude“, potom ste ich stratili navždy.

· Zabezpečenie - samotný „cloud“ je vcelku spoľahlivý systém, ale prienikom do neho útočník získa prístup k obrovskému úložisku dát. Ďalšou nevýhodou je použitie virtualizačných systémov, ktoré ako hypervisor používajú štandardné jadrá OS, ako napríklad Linux , Windows a ďalšie, ktoré umožňujú používanie vírusov.

· Vysoké náklady na vybavenie - na vybudovanie vlastného cloudu spoločnosti je potrebné alokovať značné materiálne zdroje, čo nie je výhodné pre novovytvorené a malé firmy.

3. Referenčná architektúra

Cloudová počítačová referenčná architektúra NIST obsahuje päť hlavných aktérov - hercov. Každý herec hrá svoju rolu a vykonáva akcie a funkcie. Referenčná architektúra je prezentovaná ako sekvenčné diagramy so zvyšujúcou sa úrovňou podrobností.

Ryža. 9 Koncepčný diagram referenčnej architektúry

Cloudový spotrebiteľ- osoba alebo organizácia udržujúca obchodný vzťah a využívajúca služby poskytovateľov cloudu.

Cloudoví spotrebitelia sú rozdelení do 3 skupín:

· SaaS - používa aplikácie na automatizáciu podnikových procesov.

PaaS - Vyvíja, testuje, nasadzuje a spravuje aplikácie nasadené v cloudovom prostredí.

· IaaS - vytvára, spravuje služby IT infraštruktúry.

Poskytovateľ cloudu- osoba, organizácia alebo subjekt zodpovedný za dostupnosť cloudovej služby spotrebiteľom v cloude.

SaaS - Inštaluje, spravuje, udržiava a poskytuje softvér nasadený v cloudovej infraštruktúre.

PaaS - Poskytuje a spravuje cloudovú infraštruktúru a middleware. Poskytuje nástroje pre vývoj a správu.

· IaaS - poskytuje a spravuje servery, databázy, počítačové zdroje. Poskytuje spotrebiteľovi cloudovú štruktúru.

Činnosti poskytovateľov cloudu sú rozdelené do 5 hlavných typických akcií:

Nasadenie služby:

o Súkromný cloud - obsluhuje jedna organizácia. Infraštruktúru spravuje samotná organizácia aj tretia strana a môže ju nasadiť poskytovateľ (mimo prevádzky) aj organizácia (na mieste).

o Zdieľaný cloud - infraštruktúru zdieľa niekoľko organizácií s podobnými požiadavkami (bezpečnosť, súlad s RD).

o Verejný cloud - infraštruktúru používa veľký počet organizácií s rôznymi požiadavkami. Iba mimo prevádzky.

o Hybridný cloud - infraštruktúra kombinuje rôzne infraštruktúry založené na podobných technológiách.

Správa služieb

o Úroveň služby - definuje základné služby poskytované Poskytovateľom.

§ SaaS je aplikácia, ktorú Spotrebiteľ používa na prístup do cloudu zo špeciálnych programov.

PaaS - kontajnery pre spotrebiteľské aplikácie, vývojové a administračné nástroje.

§ IaaS - výpočtový výkon, databázy, základné zdroje, ku ktorým navyše spotrebiteľ využíva svoju infraštruktúru.

o Úroveň abstrakcie a kontroly zdrojov

§ Správa hypervisora ​​a virtuálnych komponentov potrebných na implementáciu infraštruktúry.

o Úroveň fyzických zdrojov

§ počítačové vybavenie

§ Inžinierska infraštruktúra

o Dostupnosť

o Dôvernosť

o Identifikácia

o Monitorovanie bezpečnosti a riešenie incidentov

o Bezpečnostné zásady

Ochrana osobných údajov

o Ochrana spracúvania, uchovávania a prenosu osobných údajov.

Cloudový audítor- Prispievateľ, ktorý dokáže nezávisle hodnotiť cloudové služby, údržbu informačných systémov, výkon a bezpečnosť cloudovej implementácie.

V súlade so schválenými dokumentmi môže poskytnúť vlastné hodnotenie bezpečnosti, súkromia, výkonu a ďalších vecí.

Ryža. 10 Aktivity poskytovateľa

Cloudový maklér- subjekt, ktorý riadi používanie, výkon a poskytovanie cloudových služieb a nadväzuje vzťah medzi poskytovateľmi a spotrebiteľmi.

S rozvojom cloud computingu môže byť integrácia cloudových služieb pre spotrebiteľa príliš ťažká.

o Sprostredkovanie služby - rozšírenie uvedenej služby a poskytnutie nových príležitostí

o Agregácia - kombinovanie rôznych služieb za účelom poskytnutia Spotrebiteľa

Operátor cloudovej komunikácie- sprostredkovateľ poskytujúci služby pripojenia a dopravy (komunikačné služby) na poskytovanie cloudových služieb od poskytovateľov k spotrebiteľom.

Poskytuje prístup prostredníctvom komunikačných zariadení

Poskytuje úroveň pripojenia podľa SLA.

Medzi piatimi predstavenými hercami je cloudový maklér voliteľný, pretože spotrebitelia cloudu môžu prijímať služby priamo od poskytovateľa cloudu.

Predstavenie hercov je spôsobené potrebou vypracovať vzťahy medzi subjektmi.

4. Dohoda o úrovni služieb

Dohoda o úrovni služby je dokument opisujúci úroveň dodania služby očakávanú zákazníkom od dodávateľa na základe metrík platných pre danú službu a stanovujúca zodpovednosť poskytovateľa v prípade nedodržania dohodnutých metrík.

Tu je niekoľko ukazovateľov, v tej či onej forme, nachádzajúcich sa v dokumentoch operátora:

ASR (pomer zachytenia odpovedí) - parameter, ktorý určuje kvalitu telefónneho spojenia v danom smere. ASR sa vypočíta ako percento z počtu telefónnych pripojení vytvorených v dôsledku hovorov z celkového počtu hovorov uskutočnených v danom smere.

PDD (Post Dial Delay) - parameter definujúci časový úsek (v sekundách), ktorý uplynul od okamihu hovoru do okamihu nadviazania telefónneho spojenia.

Pomer dostupnosti služby- pomer času prerušenia poskytovania služieb k celkovému času, kedy sa má služba poskytovať.

Pomer straty paketov- pomer správne prijatých dátových paketov k celkovému počtu paketov, ktoré boli prenesené po sieti za určité časové obdobie.

Časové oneskorenia pri prenose informačných paketov- časový interval potrebný na prenos paketu informácií medzi dvoma sieťovými zariadeniami.

Spoľahlivosť prenosu informácií- pomer počtu chybne prenášaných dátových paketov k celkovému počtu prenesených dátových paketov.

Obdobia práce, čas oznámenia predplatiteľom a čas obnovenia služieb.

Inými slovami, dostupnosť služby 99,99% naznačuje, že operátor garantuje maximálne 4,3 minúty výpadku komunikácie za mesiac, 99,9% - že služba nemôže byť poskytovaná 43,2 minúty a 99% - že prestávka môže trvať viac viac ako 7 hodín. V niektorých postupoch dochádza k diferenciácii dostupnosti siete a predpokladá sa nižšia hodnota parametra - mimo prevádzkových hodín. Pre rôzne typy služieb (triedy návštevnosti) sú uvedené aj rôzne hodnoty ukazovateľov. Napríklad pre hlas je najdôležitejšia latencia - mala by byť minimálna. A rýchlosť je nízka, plus niektoré pakety je možné stratiť bez straty kvality (až do 1%, v závislosti od kodeku). Pri prenose dát je rýchlosť na prvom mieste a strata paketov by mala mať tendenciu k nule.

5. Metódy a prostriedky ochrany v cloud computingu

Dôvernosť musí byť zaistená v celom reťazci vrátane poskytovateľa cloudu, spotrebiteľa a komunikácie, ktorá ich spája.

Úlohou Poskytovateľa je zabezpečiť fyzickú aj softvérovú integritu údajov z útokov tretích strán. Spotrebiteľ musí zaviesť vhodné zásady a postupy „na svojom území“, aby vylúčil prevod prístupových práv k informáciám na tretie strany.

Úlohy zaistenia integrity informácií v prípade použitia samostatných „cloudových“ aplikácií je možné vyriešiť - vďaka moderným databázovým architektúram, záložným systémom, algoritmom kontroly integrity a iným priemyselným riešeniam. Ale to nie je všetko. Pokiaľ ide o integráciu viacerých cloudových aplikácií od rôznych dodávateľov, môžu nastať nové výzvy.

V blízkej budúcnosti bude pre spoločnosti, ktoré hľadajú bezpečné virtuálne prostredie, jedinou možnosťou vytvorenie súkromného cloudového systému. Faktom je, že súkromné ​​cloudy, na rozdiel od verejných alebo hybridných systémov, sa najviac podobajú virtualizovaným infraštruktúram, ktoré sa IT oddelenia veľkých korporácií už naučili implementovať a nad ktorými môžu mať úplnú kontrolu. Chyby informačnej bezpečnosti vo verejných cloudových systémoch predstavujú značnú výzvu. Väčšina prípadov vlámania sa odohráva vo verejných oblakoch.

6. Zabezpečenie cloudových modelov

Úroveň rizika v troch cloudových modeloch je veľmi odlišná a spôsoby riešenia bezpečnostných problémov sa tiež líšia v závislosti od úrovne interakcie. Požiadavky na zabezpečenie zostávajú rovnaké, ale úroveň kontroly zabezpečenia sa mení v rôznych modeloch, SaaS, PaaS alebo IaaS. Z logického hľadiska sa nič nemení, ale možnosti fyzickej implementácie sú radikálne odlišné.

Ryža. 11. Najaktuálnejšie hrozby informačnej bezpečnosti

v modeli SaaS aplikácia beží na cloudovej infraštruktúre a je prístupná prostredníctvom webového prehliadača. Klient nemá žiadnu kontrolu nad sieťou, servermi, operačnými systémami, úložiskom ani nad niektorými možnosťami aplikácie. Z tohto dôvodu v modeli SaaS primárna zodpovednosť za bezpečnosť padá takmer výlučne na predajcov.

Problém číslo 1 je správa hesiel. V modeli SaaS sú aplikácie v cloude, takže hlavným rizikom je používanie viacerých účtov na prístup k aplikáciám. Organizácie môžu tento problém vyriešiť zjednotením účtov pre cloudové a lokálne systémy. Vďaka jednotnému prihláseniu majú používatelia prístup k pracovným staniciam a cloudovým službám pomocou jedného účtu. Tento prístup znižuje pravdepodobnosť „zablokovania“ účtov, ktoré by mohli byť predmetom neoprávneného použitia po ukončení zamestnancov.

Podľa vysvetlenia CSA PaaS predpokladá, že zákazníci zostavujú aplikácie pomocou programovacích jazykov a nástrojov podporovaných výrobcom a potom ich nasadia do cloudovej infraštruktúry. Rovnako ako v modeli SaaS, zákazník nemôže spravovať alebo ovládať infraštruktúru - siete, servery, operačné systémy alebo úložné systémy - ale má kontrolu nad nasadením aplikácií.

V modeli PaaS musia užívatelia venovať pozornosť bezpečnosti aplikácií a problémom so správou API, ako je validácia, autorizácia a overovanie.

Problém číslo 1 je šifrovanie údajov. PaaS model je vo svojej podstate bezpečný, ale rizikom je nedostatočný výkon systému. Dôvodom je to, že pri komunikácii s poskytovateľmi PaaS sa odporúča šifrovanie a to si vyžaduje ďalší výpočtový výkon. Napriek tomu v každom riešení musí byť prenos dôverných užívateľských údajov vykonávaný prostredníctvom šifrovaného kanála.

Aj keď zákazníci tu nemajú žiadnu kontrolu nad základnou cloudovou infraštruktúrou, majú kontrolu nad operačnými systémami, ukladaním a nasadením aplikácií a možno aj obmedzenú kontrolu nad výberom sieťových komponentov.

Tento model má niekoľko vstavaných funkcií zabezpečenia bez ochrany samotnej infraštruktúry. To znamená, že používatelia musia spravovať a zabezpečovať operačné systémy, aplikácie a obsah, zvyčajne prostredníctvom rozhraní API.

Ak je to preložené do jazyka metód ochrany, poskytovateľ musí poskytnúť:

· Spoľahlivá kontrola prístupu k samotnej infraštruktúre;

· Odolnosť voči infraštruktúre.

Zákazník cloudu zároveň preberá oveľa viac ochranných funkcií:

· Firewall v rámci infraštruktúry;

· Ochrana pred prienikmi do siete;

· Ochrana operačných systémov a databáz (kontrola prístupu, ochrana pred zraniteľnosťami, kontrola nastavení zabezpečenia);

· Ochrana koncových aplikácií (antivírusová ochrana, kontrola prístupu).

Väčšina ochranných opatrení teda spočíva na pleciach spotrebiteľa. Poskytovateľ môže poskytnúť typické odporúčania pre ochranu alebo hotové riešenia, ktoré koncovým používateľom zjednodušia úlohu.

Tabuľka 1. Vymedzenie zodpovednosti za bezpečnosť medzi klientom a poskytovateľom služieb. (P - dodávateľ, K - klient)

	Enterprise Server
Aplikácia
Údaje
Prevádzkové prostredie
Middleware
Operačný systém
Virtualizácia
Server
Dátové sklady
sieťový hardvér

7. Bezpečnostný audit

Úlohy Cloud Auditor sú v zásade rovnaké ako úlohy audítora konvenčných systémov. Audit cloudovej bezpečnosti je rozdelený na audit dodávateľa a audit používateľov. Audit Užívateľa sa vykonáva na žiadosť Užívateľa, pričom audit Dodávateľa je jednou z najdôležitejších podmienok podnikania.

Skladá sa to z:

· Začatie postupu auditu;

· Zhromažďovanie informácií o audite;

· Analýza audítorských údajov;

· Príprava audítorskej správy.

Vo fáze začatia postupu auditu je potrebné vyriešiť otázky právomocí audítora a načasovanie auditu. Tiež by mala byť stanovená povinná pomoc zamestnancov audítorovi.

Audítor vo všeobecnosti vykonáva audit s cieľom určiť spoľahlivosť

· Virtualizačné systémy, hypervisor;

· Servery;

· Dátové sklady;

· Sieťové zariadenie.

Ak dodávateľ používa na kontrolovanom serveri model IaaS, bude táto kontrola stačiť na identifikáciu zraniteľností.

Pri použití modelu PaaS by mali byť vykonané ďalšie kontroly

· operačný systém,

Stredný riad,

· Prevádzkové prostredie.

Pri použití modelu SaaS sa kontrolujú aj zraniteľnosti

Systémy na ukladanie a spracovanie údajov,

· Aplikácie.

Bezpečnostné audity sa vykonávajú pomocou rovnakých metód a nástrojov ako audit bežných serverov. Na rozdiel od konvenčného servera v cloudových technológiách sa však u hypervisora ​​dodatočne kontroluje stabilita. V cloud computingu je hypervisor jednou zo základných technológií, a preto by sa mu mal klásť osobitný dôraz na auditovanie.

8. Vyšetrovanie incidentov a kriminalistiky v oblasti cloud computingu

Opatrenia na zabezpečenie informácií možno rozdeliť na preventívne (napríklad šifrovanie a iné mechanizmy riadenia prístupu) a reaktívne (vyšetrovania). Proaktívny aspekt cloudovej bezpečnosti je oblasťou aktívneho výskumu, zatiaľ čo reaktívnemu aspektu cloudovej bezpečnosti sa venuje oveľa menšia pozornosť.

Vyšetrovanie incidentov (vrátane vyšetrovania zločinov v informačnej sfére) je známou sekciou informačnej bezpečnosti. Ciele týchto vyšetrovaní sú spravidla:

Dôkaz, že sa zločin / incident stal

Obnovenie udalostí spojených s incidentom

Identifikácia páchateľov

Dôkaz o účasti a zodpovednosti páchateľov

Dôkaz o nečestných úmysloch zo strany páchateľov.

Vzhľadom na potrebu forenznej analýzy digitálnych systémov sa objavila nová disciplína - počítačové a technické znalosti (alebo forenzné). Ciele počítačovej kriminalistiky sú spravidla tieto:

Obnova údajov, ktoré mohli byť odstránené

Obnovenie udalostí, ktoré sa stali v digitálnych systémoch a mimo nich, spojených s incidentom

Identifikácia používateľov digitálnych systémov

Detekcia prítomnosti vírusov a iného škodlivého softvéru

Zistenie prítomnosti nezákonných materiálov a programov

Prelomenie hesiel, šifrovacích kľúčov a prístupových kódov

V ideálnom prípade je počítačová forenzná služba akýmsi strojom času pre vyšetrovateľa, ktorý môže kedykoľvek cestovať do minulosti digitálneho zariadenia a poskytnúť vyšetrovateľovi informácie o:

ľudia, ktorí zariadenie v určitom bode používali

akcie používateľov (napríklad otváranie dokumentov, prístup na webovú stránku, tlač údajov v textovom procesore atď.)

údaje uložené, vytvorené a spracované zariadením v konkrétnom čase.

Cloudové služby nahrádzajúce samostatné digitálne zariadenia by mali poskytovať podobnú úroveň forenznej pripravenosti. To si však vyžaduje prekonanie výziev spojených so združovaním zdrojov, viacnásobným poradenstvom a odolnosťou infraštruktúry cloud computingu. Hlavným nástrojom vyšetrovania incidentov je audit trail.

Audítorské záznamy - určené na monitorovanie histórie prihlásení používateľov, administratívnych úloh a zmien údajov - sú základnou súčasťou bezpečnostného systému. V cloude samotný audit trail nie je len nástrojom na vyšetrovanie, ale aj nástrojom na výpočet nákladov na používanie serverov. Hoci audit trail nerieši bezpečnostné medzery, poskytuje kritické oko pre to, čo sa deje, a navrhuje návrhy na nápravu situácie.

Vytváranie archívov a záloh je dôležité, ale nemôže nahradiť formálny audit trail, ktorý zaznamenáva, kto čo urobil, kedy a čo. Audítorský záznam je jedným z hlavných nástrojov bezpečnostného audítora.

V servisnej zmluve sa zvyčajne uvádza, ktoré denníky auditu sa budú uchovávať a poskytovať používateľovi.

9. Model hrozby

V roku 2010 CSA vykonali analýzu hlavných bezpečnostných hrozieb v cloudových technológiách. Výsledkom ich práce bol dokument „Top threats of Cloud Computing v 1.0“, ktorý v súčasnosti najkompletnejším spôsobom popisuje model hrozby a model votrelca. V súčasnosti sa vyvíja úplnejšia, druhá verzia tohto dokumentu.

Tento dokument popisuje útočníkov pre tri modely služieb SaaS, PaaS a IaaS. Bolo identifikovaných sedem hlavných útočných vektorov. Väčšinou sú všetky zvažované typy útokov útokmi bežnými na konvenčných „ne cloudových“ serveroch. Cloudová infraštruktúra im ukladá určité funkcie. Útoky na zraniteľné miesta v softvérovej časti serverov sa napríklad pridávajú k útokom na hypervisor, ktorý je tiež ich softvérovou súčasťou.

Bezpečnostná hrozba # 1

Nevhodné a nečestné používanie cloudových technológií.

Popis:

Na získanie zdrojov od cloudového poskytovateľa IaaS potrebuje používateľ iba kreditnú kartu. Jednoduchá registrácia a alokácia zdrojov umožňuje spammerom, autorom vírusov atď. používať cloudovú službu na vlastné trestné účely. Predtým bol tento druh útoku pozorovaný iba v PaaS, ale nedávne štúdie ukázali možnosť použitia IaaS na útoky DDOS, umiestnenie škodlivého kódu, vytváranie sietí botnetov a ďalšie.

Príklady služieb boli použité na vytvorenie siete botnetov na základe trójskeho koňa „Zeus“, uloženie kódu trójskeho koňa „InfoStealer“ a zverejnenie informácií o rôznych zraniteľnostiach MS Office a AdobePDF.

Sieť botnetov navyše používa IaaS na správu svojich rovesníkov a odosielanie nevyžiadanej pošty. Z tohto dôvodu boli niektoré služby IaaS na čiernej listine a ich používatelia poštové servery úplne ignorovali.

Vylepšenia v postupoch registrácie používateľov

Zlepšenie postupov overovania kreditných kariet a monitorovania používania platobných prostriedkov

Komplexná štúdia sieťovej aktivity používateľov služieb

· Sledovanie hlavných čiernych listov kvôli vzhľadu siete poskytovateľov cloudových služieb.

Ovplyvnené modely služby:

Bezpečnostná hrozba # 2

Rozhrania nezabezpečeného programovania (API)

Popis:

Poskytovatelia cloudovej infraštruktúry poskytujú používateľom sadu rozhraní API na správu zdrojov, virtuálnych počítačov alebo služieb. Zabezpečenie celého systému závisí od zabezpečenia týchto rozhraní.

Anonymný prístup k rozhraniu a prenos poverení vo formáte čistého textu sú hlavnými znakmi nezabezpečených rozhraní API. Obmedzené monitorovanie používania API, nedostatok protokolovacích systémov a tiež neznáme vzťahy medzi rôznymi službami iba zvyšujú riziko hackingu.

Analyzujte model zabezpečenia poskytovateľa cloudu

Zaistite, aby boli používané silné šifrovacie algoritmy

Zaistite, aby sa používali silné metódy autentifikácie a autorizácie

· Pochopiť celý reťazec závislostí medzi rôznymi službami.

Ovplyvnené modely služieb:

Bezpečnostná hrozba # 3

Interní páchatelia

Popis:

Problém nelegálneho prístupu k informáciám zvnútra je mimoriadne nebezpečný. Na strane poskytovateľa často nie je implementovaný systém monitorovania činnosti zamestnancov, čo znamená, že útočník môže získať prístup k informáciám o klientoch pomocou svojej oficiálnej pozície. Pretože poskytovateľ nezverejňuje svoju náborovú politiku, hrozba môže pochádzať od amatérskeho hackera aj od organizovanej zločineckej štruktúry, ktorá prenikla do radov zamestnancov poskytovateľa.

V súčasnosti neexistujú žiadne príklady tohto druhu zneužívania.

Implementácia prísnych pravidiel pre obstarávanie zariadení a používanie vhodných systémov na zisťovanie neoprávneného prístupu

Úprava pravidiel prijímania zamestnancov do verejných zákaziek s užívateľmi

Vytvorenie transparentného systému zabezpečenia spolu so zverejňovaním správ o bezpečnostnom audite vo vnútorných systémoch poskytovateľa

Ovplyvnené modely služieb:

Ryža. 12 Príklad zasvätených osôb

Bezpečnostná hrozba č. 4

Zraniteľné miesta v cloudových technológiách

Popis:

Poskytovatelia služieb IaaS používajú abstrakciu hardvérových zdrojov pomocou virtualizačných systémov. Hardvér však môže byť navrhnutý bez ohľadu na zdieľané zdroje. Aby sa minimalizoval vplyv tohto faktora, hypervízor kontroluje prístup virtuálneho počítača k hardvérovým prostriedkom, avšak aj v hypervisoroch môžu existovať vážne zraniteľnosti, ktorých použitie môže viesť k eskalácii oprávnení alebo k získaniu nelegálneho prístupu k fyzickému zariadeniu.

Aby boli systémy chránené pred takýmito problémami, je potrebné implementovať mechanizmy na izoláciu virtuálnych prostredí a systémov na zisťovanie porúch. Používatelia virtuálnych počítačov by nemali mať prístup k zdieľaným zdrojom.

Existujú príklady potenciálnych zraniteľností a teoretické metódy obchádzania izolácie vo virtuálnych prostrediach.

Implementácia najpokročilejších spôsobov inštalácie, konfigurácie a ochrany virtuálnych prostredí

Použitie systémov na detekciu neoprávneného prístupu

Uplatňovanie silných autentifikačných a autorizačných pravidiel pre administratívnu prácu

Sprísnenie požiadaviek na čas aplikácie opráv a aktualizácií

· Vykonávanie včasných postupov na skenovanie a zisťovanie zraniteľností.

Bezpečnostná hrozba # 5

Strata alebo únik údajov

Popis:

K strate údajov môže dôjsť z tisíc dôvodov. Napríklad úmyselné zničenie šifrovacieho kľúča spôsobí, že zašifrované informácie budú neobnoviteľné. Vymazanie údajov alebo ich časti, neoprávnený prístup k dôležitým informáciám, zmena záznamov alebo zlyhanie média sú tiež príkladmi takýchto situácií. V komplexnej cloudovej infraštruktúre sa pravdepodobnosť každej z udalostí zvyšuje v dôsledku úzkej interakcie komponentov.

Nesprávna aplikácia autentifikačných, autorizačných a audítorských pravidiel, nesprávne používanie pravidiel a metód šifrovania a zlyhanie zariadenia môže viesť k strate alebo úniku údajov.

· Používanie spoľahlivého a bezpečného rozhrania API

Šifrovanie a ochrana prenášaných údajov

Analýza modelu ochrany údajov vo všetkých fázach fungovania systému

Implementácia spoľahlivého systému správy šifrovacích kľúčov

Výber a nákup iba najspoľahlivejších médií

Zabezpečenie včasného zálohovania údajov

Ovplyvnené modely služieb:

Bezpečnostná hrozba # 6

Krádež identity a nezákonný prístup k službe

Popis:

Tento druh hrozby nie je nový. Každý deň sa s ním stretávajú milióny používateľov. Hlavným cieľom útočníkov je používateľské meno (prihlasovacie meno) a jeho heslo. V kontexte cloudových systémov krádež hesla a používateľského mena zvyšuje riziko použitia údajov uložených v cloudovej infraštruktúre poskytovateľa. Útočník má teda možnosť využiť povesť obete na svoje činnosti.

Zákaz prevodu účtov

Použitie dvoch faktorov autentifikačných metód

Implementácia proaktívneho monitorovania neoprávneného prístupu

· Popis modelu zabezpečenia poskytovateľa cloudu.

Ovplyvnené modely služieb:

Bezpečnostná hrozba # 7

Ďalšie zraniteľnosti

Popis:

Využívanie cloudových technológií na podnikanie umožňuje spoločnosti zamerať sa na svoje podnikanie a starostlivosť o IT infraštruktúru a služby prenecháva poskytovateľovi cloudu. Poskytovateľ cloudu sa prostredníctvom reklamy na svoje služby snaží ukázať všetky možnosti a zároveň odhaliť detaily implementácie. To môže predstavovať vážnu hrozbu, pretože znalosť vnútornej infraštruktúry dáva útočníkovi možnosť nájsť neopravenú zraniteľnosť a začať útok na systém. Aby sa predišlo takýmto situáciám, poskytovatelia cloudu nemusia poskytovať informácie o vnútornej štruktúre cloudu, tento prístup však tiež nezvyšuje dôveru, pretože potenciálni používatelia nemajú schopnosť posúdiť stupeň zabezpečenia údajov. Tento prístup navyše obmedzuje schopnosť včas nájsť a odstrániť zraniteľné miesta.

Amazon odmieta vykonať audit zabezpečenia cloudu EC2

Zraniteľnosť pri spracovaní softvéru, ktorá vedie k narušeniu bezpečnostného systému dátového centra Hearthland

Zverejnenie údajov denníka

Úplné alebo čiastočné zverejnenie údajov o architektúre systému a podrobnostiach o nainštalovanom softvéri

· Použitie systémov monitorovania zraniteľnosti.

Ovplyvnené modely služieb:

1. Právny základ

Podľa odborníkov sa 70% problémov s bezpečnosťou v cloude dá vyhnúť, ak správne zostavíte zmluvu o poskytovaní služieb.

Základ takejto dohody môže slúžiť ako „Listina práv cloudu“

Cloudovu listinu práv vyvinul v roku 2008 James Urquhart. Tento materiál uverejnil na svojom blogu, čo vyvolalo taký záujem a kontroverzie, že autor pravidelne aktualizuje svoj „rukopis“ v súlade s realitou.

Článok 1 (čiastočne): Klienti vlastnia svoje údaje

· Žiadny výrobca (alebo dodávateľ) by nemal v procese interakcie so zákazníkmi akéhokoľvek plánu diskutovať o právach na akékoľvek nahrané, vytvorené, generované, upravené alebo upravené údaje alebo akékoľvek iné práva, na ktoré má zákazník.

· Výrobcovia by mali spočiatku poskytovať minimálny prístup k údajom zákazníkov vo fáze vývoja riešení a služieb.

· Zákazníci vlastnia svoje údaje, čo znamená, že sú zodpovední za zaistenie súladu údajov s právnymi predpismi a zákonmi.

· Pretože súlad s údajmi, bezpečnosť a súlad s bezpečnosťou sú zásadné, je nevyhnutné, aby si zákazník vyhľadal svoje vlastné údaje. V opačnom prípade musia výrobcovia poskytnúť užívateľom všetky záruky, že ich údaje budú uložené v súlade so všetkými pravidlami a predpismi.

Kapitola 2: Výrobcovia a zákazníci spoločne vlastnia a spravujú úrovne služieb v systéme

· Výrobcovia vlastnia a musia urobiť všetko pre to, aby uspokojili úroveň služieb pre každého klienta individuálne. Všetky potrebné zdroje a úsilie vynaložené na dosiahnutie náležitej úrovne služieb pri práci s klientmi by mali byť pre klienta bezplatné, to znamená, že nie sú zahrnuté v cene služby.

· Zákazníci sú zase zodpovední za úroveň služieb poskytovaných svojim vlastným interným a externým zákazníkom a vlastnia ich. Pri použití riešení výrobcu na poskytovanie vlastných služieb by zodpovednosť klienta a úroveň takejto služby nemali úplne závisieť od výrobcu.

· Ak je potrebné integrovať systémy výrobcu a zákazníka, výrobcovia by mali zákazníkom ponúknuť možnosť monitorovať proces integrácie. Pokiaľ má klient podnikové štandardy pre integráciu informačných systémov, musí výrobca tieto normy dodržiavať.

· Za žiadnych okolností by výrobcovia nemali zatvárať zákaznícke účty za politické vyhlásenia, nevhodné prejavy, náboženské komentáre, pokiaľ to nie je v rozpore s konkrétnymi právnymi predpismi, nie je prejavom nenávisti atď.

Článok 3: Výrobcovia vlastnia svoje rozhrania

· Výrobcovia nie sú povinní poskytovať štandardné alebo open source rozhrania, pokiaľ nie je v zmluvách so zákazníkmi uvedené inak. Výrobcovia majú práva na rozhrania. Ak výrobca nepovažuje za možné poskytnúť klientovi možnosť vylepšiť rozhranie v známom programovacom jazyku, klient si môže u výrobcu alebo vývojárov tretích strán kúpiť služby na finalizáciu rozhraní v súlade s jeho vlastnými požiadavkami.

· Klient má však právo využívať zakúpenú službu na vlastné účely, ako aj rozširovať svoje možnosti, replikovať a zlepšovať. Toto ustanovenie nezbavuje zákazníkov patentových práv a práv duševného vlastníctva.

Vyššie uvedené tri články sú základom pre zákazníkov a predajcov v cloude. Ich plný text nájdete vo verejnej doméne na internete. Tento návrh zákona samozrejme nie je úplným právnym dokumentom, tým menej oficiálnym. Jeho články je možné kedykoľvek zmeniť a rozšíriť, rovnako ako je možné návrh zákona doplniť o nové články. Toto je pokus o formalizáciu „vlastníctva“ v cloude, aby sa nejakým spôsobom štandardizovala táto oblasť znalostí a technológie milujúca slobodu.

Vzťah medzi stranami

Jednoznačne najlepším odborníkom na cloudovú bezpečnosť je Cloud Security Alliance (CSA). Organizácia vydala a nedávno aktualizovala príručku, ktorá obsahuje stovky nuans a osvedčených postupov, ktoré je potrebné vziať do úvahy pri hodnotení rizík cloud computingu.

Ďalšou organizáciou, ktorá sa zaoberá aspektmi cloudového zabezpečenia, je Trusted Computing Group (TCG). Je autorkou niekoľkých štandardov v tejto a ďalších oblastiach, vrátane dnes široko používaného Trusted Storage, Trusted Network Connect (TNC) a Trusted Platform Module (TPM).

Tieto organizácie spoločne vypracovali niekoľko otázok, ktoré musí zákazník a poskytovateľ pri uzatváraní zmluvy vyriešiť. Tieto otázky vyriešia väčšinu problémov pri používaní cloudu, vyššej moci, zmene poskytovateľov cloudových služieb a ďalších situáciách.

1. Bezpečnosť uložených údajov. Ako poskytovateľ služieb zaisťuje bezpečnosť uložených údajov?

Najlepším opatrením na ochranu údajov uložených v dátovom sklade je použitie šifrovacích technológií. Poskytovateľ musí vždy šifrovať informácie o klientoch uložené na jeho serveroch, aby sa zabránilo prípadom neoprávneného prístupu. Poskytovateľ musí tiež natrvalo odstrániť údaje, ak už nie sú potrebné a v budúcnosti nebudú potrebné.

2. Ochrana údajov počas prenosu. Ako poskytovateľ zaisťuje bezpečnosť údajov počas ich prenosu (vo vnútri cloudu a na ceste z / do cloudu)?

Prenesené údaje musia byť vždy šifrované a prístupné používateľovi až po autentifikácii. Tento prístup zaisťuje, že tieto údaje nemôže nikto meniť ani čítať, aj keď k nim získa prístup prostredníctvom nedôveryhodných uzlov v sieti. Tieto technológie boli vyvinuté počas „tisíc človeko-rokov“ a viedli k vytvoreniu spoľahlivých protokolov a algoritmov (napr. TLS, IPsec a AES). Poskytovatelia by mali používať tieto protokoly, nie vymýšľať svoje vlastné.

3. Autentifikácia. Ako poskytovateľ pozná autenticitu klienta?

Najbežnejšou metódou autentifikácie je ochrana heslom. ISP, ktorí chcú svojim zákazníkom ponúknuť väčšiu spoľahlivosť, však používajú výkonnejšie nástroje, ako sú certifikáty a tokeny. Poskytovatelia by okrem používania bezpečnejších autentifikačných prostriedkov mali byť schopní pracovať aj so štandardmi, ako sú LDAP a SAML. Je to nevyhnutné na zaistenie interakcie poskytovateľa s autorizačným systémom klienta pri autorizácii a definovaní autorizácií, ktoré sa majú udeliť používateľovi. Vďaka tomu bude mať poskytovateľ vždy aktuálne informácie o autorizovaných užívateľoch. Najhorší scenár je, keď klient poskytne poskytovateľovi konkrétny zoznam autorizovaných používateľov. V tomto prípade spravidla môžu nastať ťažkosti, keď je zamestnanec prepustený alebo presunutý na iné miesto.

4. Izolácia používateľa. Ako sú údaje a aplikácie jedného zákazníka oddelené od údajov a aplikácií ostatných zákazníkov?

Najlepšia možnosť: keď každý z klientov používa individuálny virtuálny počítač (Virtual Machine - VM) a virtuálnu sieť. Oddelenie medzi virtuálnymi počítačmi, a teda medzi používateľmi, zabezpečuje hypervisor. Virtuálne siete sú zasa nasadzované pomocou štandardných technológií, ako sú VLAN (Virtual Local Area Network), VPLS (Virtual Private LAN Service) a VPN (Virtual Private Network).

Niektorí poskytovatelia umiestňujú všetky údaje o zákazníkoch do jedného softvérového prostredia a pokúšajú sa navzájom izolovať údaje o zákazníkoch zmenami v jeho kóde. Tento prístup je bezohľadný a nespoľahlivý. Po prvé, útočník môže nájsť chybu v neštandardnom kóde, ktorá by mu umožnila získať prístup k údajom, ktoré by nemal vidieť. Za druhé, chyba v kóde môže viesť k tomu, že jeden klient omylom „uvidí“ údaje druhého. V poslednej dobe sa vyskytujú tieto aj ďalšie prípady. Rozlíšenie používateľských údajov je preto rozumnejším krokom pomocou rôznych virtuálnych počítačov a virtuálnych sietí.

5. Regulačné otázky. Ako dobre je poskytovateľ v súlade so zákonmi a predpismi uplatniteľnými na priemysel cloud computingu?

V závislosti od jurisdikcie sa zákony, nariadenia a akékoľvek špeciálne ustanovenia môžu líšiť. Môžu napríklad zakázať vývoz údajov, požadovať prísne definované záruky, byť v súlade s určitými normami a byť kontrolovateľné. V konečnom dôsledku môžu požadovať, aby vládne odbory a súdy mali v prípade potreby prístup k informáciám. Nedbalosť poskytovateľa v týchto chvíľach môže v dôsledku právnych dôsledkov viesť jeho zákazníkov k značným nákladom.

Poskytovateľ je povinný dodržiavať prísne pravidlá a jednotnú stratégiu v právnej a regulačnej oblasti. Týka sa to bezpečnosti údajov používateľov, ich exportu, dodržiavania noriem, auditu, bezpečnosti a vymazávania údajov, ako aj zverejňovania informácií (to je obzvlášť dôležité vtedy, ak je možné na jednom fyzickom serveri uložiť informácie o viacerých klientoch). Aby to zistili, klientom sa dôrazne odporúča, aby vyhľadali pomoc špecialistov, ktorí túto problematiku dôkladne preštudujú.

6. Reakcia na incidenty. Ako reaguje poskytovateľ na incidenty a do akej miery môžu byť do incidentu zapojení jeho zákazníci?

Niekedy nie všetko ide podľa plánu. Preto je poskytovateľ služieb povinný v prípade nepredvídaných okolností dodržiavať konkrétne pravidlá správania. Tieto pravidlá by mali byť zdokumentované. Je nevyhnutné, aby poskytovatelia informovali používateľov o aktuálnej situácii a identifikovali incidenty a minimalizovali ich dôsledky. V ideálnom prípade by mali pravidelne poskytovať klientom informácie, ktoré sú k danej problematike čo najpodrobnejšie. Okrem toho je na zákazníkovi, aby posúdil pravdepodobnosť bezpečnostného problému a vykonal potrebné opatrenia.

10. Medzinárodné a domáce normy

Evolúcia cloudovej technológie prekonáva úsilie o vytvorenie a úpravu požadovaných priemyselných štandardov, z ktorých mnohé neboli roky aktualizované. Tvorba zákonov v oblasti cloudových technológií je preto jedným z najdôležitejších krokov k zaisteniu bezpečnosti.

IEEE, jedna z najväčších svetových organizácií pre vývoj štandardov, oznámila spustenie špecializovanej iniciatívy cloud computingu. Ide o prvú iniciatívu v oblasti štandardizácie cloudu, ktorá bola spustená na medzinárodnej úrovni - doteraz v štandardoch cloud computingu dominovali priemyselné konzorciá. Iniciatíva v súčasnosti zahŕňa 2 projekty: IEEE P2301 (tm), „Návrh sprievodcu prenosnosťou a interoperabilitou profilov cloudu“ a IEEE P2302 (tm) - „Návrh normy pre interoperabilitu a distribuovanú interoperabilitu (federácia) cloudových systémov“.

V rámci asociácie IEEE Standards Development Association boli vytvorené 2 nové pracovné skupiny pre prácu na projektoch IEEE P2301, respektíve IEEE P2302. IEEE P2301 bude obsahovať profily existujúcich a čakajúcich štandardov aplikácií, prenosné, riadiace a interoperabilné rozhrania, ako aj formáty súborov a prevádzkové zmluvy. Informácie v dokumente budú logicky štruktúrované podľa rôznych cieľových skupín zákazníkov: predajcov, poskytovateľov služieb a ďalších zainteresovaných účastníkov trhu. Po dokončení sa očakáva, že bude štandard použiteľný pri obstarávaní, vývoji, konštrukcii a používaní cloudových produktov a služieb založených na štandardných technológiách.

Štandard IEEE P2302 bude popisovať základnú topológiu, protokoly, funkčnosť a metódy riadenia potrebné pre interakciu rôznych cloudových štruktúr (napríklad pre interakciu medzi súkromným cloudom a verejným cloudom, ako je EC2). Tento štandard umožní poskytovateľom cloudových produktov a služieb využívať ekonomické výhody z úspor z rozsahu a zároveň zaistí transparentnosť pre používateľov služieb a aplikácií.

ISO pripravuje špeciálny štandard pre bezpečnosť cloudových počítačov. Hlavným cieľom nového štandardu je riešiť organizačné problémy súvisiace s cloudom. Vzhľadom na zložitosť harmonizačných postupov ISO by však konečná verzia dokumentu mala byť vydaná až v roku 2013.

Hodnota dokumentu je, že do jeho prípravy sú zapojené nielen vládne organizácie (NIST, ENISA), ale aj zástupcovia expertných komunít a združení ako ISACA a CSA. Jeden dokument navyše obsahuje odporúčania pre poskytovateľov cloudových služieb aj pre ich spotrebiteľov - klientske organizácie.

Hlavným účelom tohto dokumentu je podrobne popísať najlepšie postupy súvisiace s používaním cloud computingu z pohľadu bezpečnosti informácií. Štandard sa zároveň nesústreďuje iba na technické aspekty, ale skôr na organizačné aspekty, na ktoré sa nesmie pri prechode na cloud computing zabúdať. Ide o oddelenie práv a povinností, podpisovanie dohôd s tretími stranami a správu majetku vo vlastníctve rôznych účastníkov „cloudového“ procesu a otázky personálneho manažmentu atď.

Nový dokument do značnej miery zahŕňa materiály, ktoré boli predtým vyvinuté v IT odvetví.

Austrálska vláda

Po mesiacoch brainstormingu zverejnila austrálska vláda 15. februára 2012 na blogu Austrálskeho vládneho úradu pre správu informácií (AGIMO) sériu sprievodcov migráciou v cloude.

Aby sa spoločnostiam uľahčila migrácia do cloudu, boli poskytnuté usmernenia o osvedčených postupoch pri používaní cloudových služieb na splnenie požiadaviek zákona o lepších postupoch pre finančné riadenie a zodpovednosť z roku 1997 z roku 1997. Príručky sa vo všeobecnosti zaoberajú finančnými, právnymi a otázkami ochrany údajov.

Pokyny hovoria o potrebe neustále monitorovať a kontrolovať používanie cloudových služieb prostredníctvom dennej analýzy účtov a správ. Pomôže to vyhnúť sa skrytým značkám a závislosti od poskytovateľov cloudových služieb.

Prvá príručka má názov Ochrana osobných údajov a cloud computing pre austrálske vládne agentúry (9 strán). Tento dokument sa zameriava na otázky ochrany súkromia a údajov.

Okrem tejto príručky bolo pripravené aj vyjednávanie v cloude - právne problémy v zmluvách o cloudovom počítači (19 strán), ktoré vám pomôžu porozumieť klauzulám zahrnutým v zmluve.

Posledná, tretia príručka, Finančné úvahy o vládnom využívaní cloud computingu, 6 strán, pojednáva o finančných problémoch, na ktoré by si mala spoločnosť dať pozor, ak sa rozhodne využívať cloud computing vo svojom podnikaní.

Okrem tých, ktoré sú uvedené v príručkách, existuje niekoľko ďalších problémov, ktoré je potrebné vyriešiť pri používaní cloud computingu, vrátane problémov spojených s vládou, obstarávaním a politikou riadenia podniku.

Verejná diskusia o tomto dokumente o politike poskytuje zainteresovaným stranám príležitosť zvážiť a vyjadriť sa k nasledujúcim problémom, ktoré sú predmetom záujmu:

· Neoprávnený prístup k utajovaným skutočnostiam;

· Strata prístupu k údajom;

Nezabezpečenie integrity a pravosti údajov a

· Pochopenie praktických aspektov poskytovania cloudových služieb.

11. Územná identita údajov

V rôznych krajinách existuje množstvo nariadení, ktoré vyžadujú, aby citlivé údaje zostali v danej krajine. Aj keď sa ukladanie údajov na danom území nemusí na prvý pohľad zdať náročné, poskytovatelia cloudových služieb ich často nedokážu zaručiť. V systémoch s vysokým stupňom virtualizácie sa údaje a virtuálne stroje môžu presúvať z jednej krajiny do druhej na rôzne účely - vyvažovanie záťaže, odolnosť voči chybám.

Niektorí z hlavných hráčov na trhu SaaS (napríklad Google, Symantec) môžu zaručiť ukladanie údajov v príslušnej krajine. Ide však skôr o výnimky; vo všeobecnosti je splnenie týchto požiadaviek dosť zriedkavé. Aj keď údaje zostanú v krajine, zákazníci ich nemôžu nijako overiť. Okrem toho by sme nemali zabúdať na mobilitu zamestnancov spoločnosti. Ak špecialista pracujúci v Moskve cestuje do New Yorku, je pre neho lepšie (alebo aspoň rýchlejšie) prijímať údaje z dátového centra v USA. Zabezpečiť to je už o niečo náročnejšia úloha.

12. Štátne normy

V súčasnej dobe u nás neexistuje žiadny vážny regulačný rámec pre cloudové technológie, aj keď vývoj v tejto oblasti už prebieha. Na základe príkazu prezidenta Ruskej federácie č. 146 zo dňa 8.02.2012. bolo určené, že federálnymi výkonnými orgánmi autorizovanými v oblasti bezpečnosti údajov v informačných systémoch vytvorených pomocou superpočítačových a sieťových technológií sú FSB Ruska a FSTEC Ruska.

V súvislosti s touto vyhláškou sa rozšírili právomoci týchto služieb. Ruská FSB teraz vyvíja a schvaľuje regulačné a metodické dokumenty o zaistení bezpečnosti týchto systémov, organizuje a vykonáva výskum v oblasti informačnej bezpečnosti.

Služba vykonáva aj odborné kryptografické, inžiniersko-kryptografické a špeciálne štúdie týchto informačných systémov a vypracúva odborné stanoviská k návrhom práce na ich tvorbe.

Dokument tiež stanovuje, že FSTEC Ruska vyvíja stratégiu a určuje prioritné oblasti na zaistenie bezpečnosti informácií v informačných systémoch vytvorených pomocou superpočítačových a sieťových technológií, ktoré spracúvajú obmedzené údaje, a tiež monitoruje stav práce na zaistení tejto bezpečnosti.

FSTEC si objednal štúdiu, ktorej výsledkom bola beta verzia „terminologického systému v oblasti„ cloudových technológií “

Ako iste chápete, celý tento terminologický systém je upraveným prekladom dvoch dokumentov: „Technická správa o zameranej skupine o cloudových počítačoch“ a „Definícia NIST o cloudovom počítači“. Skutočnosť, že tieto dva dokumenty nie sú navzájom veľmi konzistentné, je samostatná otázka. Vizuálne je to však stále viditeľné: v ruskom „Terminosysteme“ autori jednoducho na začiatku neposkytli odkazy na tieto anglické dokumenty.

Faktom je, že pre takúto prácu musíte najskôr prediskutovať koncept, ciele a ciele, metódy ich riešenia. Existuje veľa otázok a pripomienok. Hlavná metodická poznámka: je potrebné veľmi jasne formulovať, aký problém tento výskum rieši, jeho účel. Hneď by som rád poukázal na to, že „vytvorenie systému pojmov“ nemôže byť cieľom, je to prostriedok, ale dosiahnutie toho, čo ešte nie je celkom jasné.

Nehovoriac o tom, že normálny výskum by mal zahŕňať sekciu status quo.

Je ťažké diskutovať o výsledkoch štúdie bez znalosti pôvodnej formulácie problému a toho, ako ho autori vyriešili.

Ale jedna zásadná chyba terminologického systému je jasne viditeľná: nie je možné diskutovať o „zakalenom predmete“ izolovane od „nemračného“. Vytrhnuté zo všeobecného kontextu IT. Tento kontext však v štúdii nie je viditeľný.

Výsledkom je, že v praxi takýto terminologický systém nebude možné použiť. Môže to situáciu len ďalej zamotať.

13. Prostriedky zabezpečenia v cloude

Systém ochrany cloudového servera v jeho minimálnej konfigurácii by mal zaistiť bezpečnosť sieťového zariadenia, úložiska dát, servera a hypervisora. Okrem toho je možné do vyhradeného jadra umiestniť antivírus, aby sa zabránilo infekcii hypervisora ​​prostredníctvom virtuálneho počítača, systému šifrovania údajov na ukladanie informácií o používateľovi v šifrovanej forme a prostriedkov na implementáciu šifrovaného tunelovania medzi virtuálnym serverom a klientom. stroj.

Na to potrebujeme server, ktorý podporuje virtualizáciu. Riešenia tohto druhu ponúkajú spoločnosti Cisco, Microsoft, VMWare, Xen, KVM.

Je tiež dovolené používať klasický server a poskytovať na ňom virtualizáciu pomocou hypervisora.

Akékoľvek servery s kompatibilnými procesormi sú vhodné na virtualizáciu operačných systémov pre platformy x86-64.

Takéto riešenie zjednoduší prechod na výpočtovú virtualizáciu bez ďalších finančných investícií do inovácií hardvéru.

Schéma práce:

Ryža. 11. Príklad „cloudového“ servera

Ryža. 12. Reakcia servera na zlyhanie zariadenia

V súčasnej dobe je trh s nástrojmi zabezpečenia cloud computingu stále dosť prázdny. A to nie je prekvapujúce. Pri absencii regulačného rámca a neistote ohľadom budúcich noriem vývojové spoločnosti nevedia, na čo by mali zamerať svoje úsilie.

Aj v takýchto podmienkach sa však objavujú špecializované softvérové ​​a hardvérové ​​systémy, ktoré umožňujú zabezpečiť cloudovú štruktúru pred hlavnými druhmi hrozieb.

Porušenie integrity

Hackovanie hypervisora

Zasvätení

Identifikácia

Overenie

Šifrovanie

Accord-B

Hardvérový a softvérový systém Accord-B. navrhnuté na ochranu virtualizačnej infraštruktúry VMware vSphere 4.1, VMware vSphere 4.0 a VMware Infrastructure 3.5.

Accord-B. Poskytuje ochranu pre všetky súčasti virtualizačného prostredia: servery ESX a samotné virtuálne počítače, servery pre správu vCenter a ďalšie servery so službami VMware (napríklad VMware Consolidated Backup).

V hardvérovom a softvérovom komplexe Accord-V sú implementované nasledujúce ochranné mechanizmy:

· Podrobná kontrola integrity hypervisora, virtuálnych počítačov, súborov vo virtuálnych počítačoch a serverov pre správu infraštruktúry;

· Diferenciácia prístupu pre správcov virtuálnej infraštruktúry a správcov zabezpečenia;

· Diferenciácia prístupu používateľov vo virtuálnych počítačoch;

· Hardvérová identifikácia všetkých používateľov a správcov virtualizačnej infraštruktúry.

INFORMÁCIE O DOSTUPNOSTI CERTIFIKÁTOV:

Certifikát zhody FSTEC Ruska č. 2598 zo dňa 20.03.2012 osvedčuje, že hardvérový a softvérový komplex prostriedkov na ochranu informácií pred neoprávneným prístupom „Accord-V.“ Vyhovuje požiadavkám dokumentu s pokynmi „Počítačové vybavenie. Ochrana pred neoprávneným prístupom k informáciám. Ukazovatele zabezpečenia pred neoprávneným prístupom k informáciám “(Štátna technická komisia Ruska, 1992) - podľa 5 bezpečnostná trieda „Ochrana pred neoprávneným prístupom k informáciám. Časť 1. Softvér na ochranu informácií. Klasifikácia podľa úrovne kontroly absencie nedeklarovaných schopností“ (Štátna technická komisia Ruska, 1999) - do 4 úroveň kontrolných a technických podmienok TU 4012-028-11443195-2010, a môže byť tiež použitý na vytváranie automatizovaných systémov až do bezpečnostnej triedy 1G vrátane a na ochranu informácií v informačných systémoch osobných údajov až do triedy 1 vrátane.

vGate R2

vGate R2 je certifikovaný spôsob ochrany informácií pred neoprávneným prístupom a kontrolou implementácie politík informačnej bezpečnosti pre virtuálnu infraštruktúru založenú na systémoch VMware vSphere 4 a VMware vSphere 5.S R2 - verzia produktu použiteľná na ochranu informácií vo virtuálnych infraštruktúrach verejných spoločností, na ktorých IP sa aplikujú požiadavky na používanie systémov informačnej bezpečnosti s vysokou úrovňou certifikácie.

Umožňuje vám zautomatizovať prácu správcov pri konfigurácii a prevádzke bezpečnostného systému.

Pomáha predchádzať chybám a zneužívaniu pri správe virtuálnej infraštruktúry.

Umožňuje vám zosúladiť virtuálnu infraštruktúru s legislatívou, priemyselnými štandardmi a svetovými osvedčenými postupmi.

<#"783809.files/image017.gif"> <#"783809.files/image018.gif"> <#"783809.files/image019.gif"> <#"783809.files/image020.gif"> Ryža. 13 Možnosti oznámené vGate R2 Aby sme to zhrnuli, tu sú hlavné nástroje, ktoré vGate R2 vlastní na ochranu dátového centra poskytovateľa služieb pred vnútornými hrozbami, ktoré pochádzajú od jeho vlastných správcov: Organizačné a technické oddelenie právomocí pre správcov vSphere Pridelenie samostatnej roly správcu IS, ktorý bude riadiť bezpečnosť zdrojov dátového centra na základe vSphere Rozdelenie cloudu do zón zabezpečenia, v rámci ktorých pôsobia správcovia s príslušnou úrovňou oprávnenia Kontrola integrity virtuálnych počítačov Schopnosť kedykoľvek prijímať správy o zabezpečení infraštruktúry vSphere, ako aj udalosti zabezpečenia informácií o audite V zásade je to takmer všetko, čo je potrebné na ochranu infraštruktúry virtuálneho dátového centra pred vnútornými hrozbami z pohľadu virtuálnej infraštruktúry. Samozrejme, potrebujete aj ochranu na úrovni hardvéru, aplikácií a hosťujúceho OS, ale to je ďalší problém, ktorý je riešený aj pomocou produktov spoločnosti Bezpečnostný kód<#"783809.files/image021.gif"> Ryža. 14. Štruktúra servera. Na zaistenie bezpečnosti v takom zariadení je potrebné zaistiť bezpečnosť podľa tabuľky 2. Na tento účel navrhujem použiť softvérový produkt vGate R2. Umožní vám to vyriešiť také problémy, ako sú: · Silnejšia autentifikácia pre správcov virtuálnej infraštruktúry a správcov bezpečnosti informácií. · Ochrana nástrojov správy virtuálnej infraštruktúry pred neoprávnenou manipuláciou. · Ochrana serverov ESX pred falšovaním. · Povinná kontrola prístupu. · Monitorovanie integrity konfigurácie virtuálnych počítačov a dôveryhodného spustenia. · Kontrola prístupu správcov VI k údajom virtuálnych počítačov. · Registrácia udalostí spojených s bezpečnosťou informácií. · Kontrola integrity a ochrana pred neoprávnenou manipuláciou s komponentmi informačnej bezpečnosti. · Centralizované riadenie a monitorovanie. Tabuľka 2. Mapovanie potrieb zabezpečenia pre model PaaS Certifikát FSTEC Ruska (SVT 5, NDV 4) umožňuje použitie produktu v automatizovaných systémoch úrovne zabezpečenia až do triedy 1G vrátane a v informačných systémoch osobných údajov (ISPDN) až do triedy K1 vrátane. Náklady na toto riešenie budú 24 500 rubľov za 1 fyzický procesor na chránenom hostiteľovi. Okrem toho budete na ochranu pred zasvätenými osobami musieť nainštalovať bezpečnostný alarm. Tieto riešenia sú na trhu s ochranou serverov pomerne bohato poskytované. Cena takéhoto riešenia s obmedzeným prístupom do kontrolovanej oblasti, poplachového a video monitorovacieho systému sa pohybuje od 200 000 rubľov a viac Zoberme si napríklad sumu 250 000 rubľov. Na ochranu virtuálnych počítačov pred vírusovými infekciami bude v jednom jadre servera fungovať McAfee Total Protection for Virtualization. Náklady na riešenie sú od 42 200 rubľov. Na zabránenie strate údajov v úložiskách sa použije aplikácia Symantec Netbackup. Umožňuje vám bezpečne zálohovať informácie a obrazy systému. Celkové náklady na implementáciu takéhoto projektu budú: Implementáciu podobného konštrukčného riešenia od spoločnosti Microsoft si môžete stiahnuť tu: http://www.microsoft.com/en-us/download/confirmation. aspx? id = 2494 Výkon „Cloudové technológie“ sú v súčasnej dobe jednou z najaktívnejšie sa rozvíjajúcich oblastí IT trhu. Ak sa tempo rastu technológií nezníži, potom do roku 2015 prispejú do pokladnice európskych krajín viac ako 170 miliónov eur ročne. S cloudovými technológiami sa u nás zaobchádza opatrne. Je to čiastočne kvôli skostnateným názorom vedenia, čiastočne kvôli nedostatku dôvery v bezpečnosť. Ale tento typ technológie so všetkými svojimi výhodami a nevýhodami je novou lokomotívou pokroku v oblasti IT. Na aplikácii „na druhej strane cloudu“ vôbec nezáleží na tom, či svoju požiadavku vytvoríte na počítači s procesorom x86 Intel, AMD, VIA alebo ho napíšete v telefóne alebo smartfóne na základe procesora ARM Freescale, OMAP, Tegra . Navyše bude úplne jedno, či používate operačné systémy Linux Google Chrome, OHA Android, Intel Moblin, Windows CE, Windows Mobile Windows XP / Vista / 7, alebo na to používate niečo ešte exotickejšie. ... Ak by bola požiadavka zostavená správne a zrozumiteľne a váš systém by mohol „zvládnuť“ prijatú odpoveď. Problematika bezpečnosti je jednou z hlavných otázok cloud computingu a jej riešenie zlepší kvalitu služieb v počítačovej sfére. V tomto smere je však stále čo robiť. V našej krajine stojí za to začať s jednotným slovníkom pojmov pre celú oblasť IT. Vypracujte štandardy založené na medzinárodných skúsenostiach. Predložte požiadavky na bezpečnostné systémy. Literatúra 1. Finančné úvahy o vládnom využívaní cloud computingu - austrálska vláda 2010. 2. Ochrana osobných údajov a cloud computing pre austrálske vládne agentúry 2007. Vyjednávanie v cloude - právne problémy v zmluvách o cloud computingu 2009. Časopis „Moderná veda: aktuálne problémy teórie a praxe“ 2012. Podobná práca ako - Informačná bezpečnosť v cloud computingu: zraniteľné miesta, metódy a prostriedky ochrany, nástroje na auditovanie a vyšetrovanie incidentov