Источник: pcweek
Облачные технологии становятся все более востребованными крупными компаниями со сложнораспределенной инфраструктурой, стремящимися перейти к более эффективному предоставлению ИТ-услуг. Есть три классические категории облаков: инфраструктура как сервис (IaaS), платформа как сервис (PaaS), приложение как сервис (SaaS). Причем в крупных компаниях, оптимизирующих использование аппаратных ресурсов, сегодня наиболее уверенно растет интерес именно к IaaS. О том, как подготовить инфраструктуру к созданию облака и обеспечить необходимый уровень безопасности в облачной архитектуре рассказывает Юрий Сергеев, системный архитектор Центра информационной безопасности компании “Инфосистемы Джет”.
Сформулируйте, пожалуйста, основные причины повышения роли ИБ в облачных средах.
Облачные сервисы, безусловно, приносят ряд положительных эффектов. Например, позволяют значительно повысить плотность размещения систем или упростить их масштабируемость. Но облачные сервисы строятся по принципам, отличным от классических, с использованием большого числа взаимосвязанного с точки зрения ИБ программного обеспечения. Добавление компонентов приводит к тому, что возникают новые проблемы. Обычно большая часть этих компонентов имеет широкие полномочия в создаваемой системе. В случае успешной реализации атак на них защищенность информации, обрабатываемой в облаке, может оказаться под угрозой. Но кроме неопределённого внешнего злоумышленника нужно оценивать провайдера услуги и других её пользователей, которые работают на базе тех же вычислительных ресурсов и потенциально имеют большие возможности для несанкционированного доступа к доверенной оператору информации.
Какие компоненты IaaS-облака являются наиболее уязвимыми и требуют первоочередного внимания с целью обеспечения ИБ?
Однозначного ответа на этот вопрос пока не существует. Традиционно большей уязвимостью отличаются те сервисы, доступ к которым возможен из внешних сетей. Также под угрозой могут оказаться сервисы, которые обеспечивают изоляцию между данными подписчиков услуг облака. Применительно к IaaS это гипервизор и другие компоненты виртуальной инфраструктуры. Так, добавление элемента в систему управления виртуальными инфраструктурами приведёт к тому, что, взломав эту систему, злоумышленник получит доступ ко всей циркулирующей в виртуальной среде информации. Кроме того, взлом конкретного сетевого узла одного подписчика может привести не только к его компрометации. Последствием могут стать локальные escape-атаки на другие узлы прочих пользователей облака, направленные на преодоление изоляции гипервизора. Таким образом, не стоит забывать о безопасности самой платформы виртуализации (т. е. гипервизора), которая также не идеальна. И наконец, нельзя забывать о системах, обеспечивающих работу в инфраструктуре: коммутаторах, системах хранения данных, средствах управления. Все эти компоненты таят в себе угрозы нарушения конфиденциальности доверенной оператору информации, от которых, безусловно, необходимо защищаться.
Если говорить о community-облаках, какие из обозначенных вами уязвимостей сохраняют свою актуальность?
Зачастую в community-облаке доверие к оператору несколько выше, чем в публичном, так как за его реализацию обычно отвечает родственная специализированная компания. Например, головная структура или выделенная под ИТ-задачи организация, обслуживающая все компании холдинга, позволяя последним концентрироваться на выполнении бизнес-задач без оглядки на поддержку инфраструктуры. Аналогичным образом строятся и отношения с “соседями” по облаку — субъективно их редко воспринимают как нарушителей. Тем не менее построение системы защиты, в которой во главу угла ставится субъективное отношение к нарушителю, выглядит опрометчивым шагом. Обязательно нужно учитывать его потенциальные возможности в случае отсутствия ограничительных контрмер. В любом случае сложность и взаимосвязанность компонентов IaaS-облака порождает большое количество ошибок не только на этапе установки и конфигурирования, но иногда и на этапе их разработки. Поэтому главная наша задача — создать такую прозрачную защиту, которая работает незаметно для пользователя, обеспечивает изоляцию между подписчиками услуги и удобна для последних. И в этом случае особенно актуальной становится специализация на сервисной модели обеспечения информационной безопасности.
Каким образом строится защита в community-облаке с учетом обозначенных вами уязвимостей?
Мы всегда рекомендуем комплексный подход к защите, в том числе и для community-облаков. В первую очередь необходимо продумать модель разделения ответственности. Дело в том, что число администраторов может быть значительным. Более того — они могут быть территориально разобщены и действовать независимо, обладая разными мотивациями. Эта модель должна быть донесена до лица, принимающего решения о подключении к облаку, что повышает прозрачность и увеличивает доверие к поставщику услуги. И вне зависимости от места нахождения каждого конкретного администратора нужно обеспечивать контроль его действий: соответствуют ли действия политике, могут ли администраторы получить доступ к защищаемым сведениям, содержащимся в виртуальной среде. Сейчас, например, для виртуальных сред на базе VMware есть решения, позволяющие обеспечить разделение обязанностей (separation of duties) в виртуальной среде и исключить ситуацию, когда кто-либо наделяется правами суперпользователя и получает все полномочия на управление виртуальной инфраструктурой. Эта задача выглядит актуальной, особенно с учетом того, что построение community-облаков IaaS часто реализуется с применением решений VMware.
Следующим шагом становится рассмотрение каналов возможных атак. Наиболее специфичными угрозами для облачной архитектуры являются DoS-атаки из-за зависимости от сетевой инфраструктуры между облаком и подписчиком услуг и перехват аутентификационных данных для доступа к облаку через его API, а также перехват данных, отправляемых и получаемых из облака, нарушение изоляции среды, переданной подписчику в рамках облачной среды, и атаки на браузеры и другие средства доступа к облаку.
Какие средства целесообразно выбрать для защиты облачной среды?
Сегодня рынок средств защиты облачных инфраструктур бурно развивается, а его лидеры создают новые продукты и адаптируют уже имеющиеся. Уже сейчас на рынке представлены успешные продукты для защиты облачных сред компаний Symantec, Trend Micro, VMware, HyTrust, Cisco, StoneSoft и др.
Защита виртуальных сред включает две основные задачи: контроль внешнего и внутреннего периметров. А в качестве ключевых можно выделить такие направления, как управление доступом к среде виртуализации, двухфакторная аутентификация пользователей, мониторинг действий администраторов и контроль изменения конфигурации. Также к ключевым задачам следует отнести обеспечение базовых сервисов защиты виртуальных машин, погружаемых в среду с использованием специализированных средств защиты: межсетевого экранирования, антивирусной защиты, обнаружения вторжений, контроля целостности и др.
Как вы оцениваете готовность enterprise-сектора к переходу на community-облака?
Мы видим, что некоторые наши заказчики уже начали реализовывать эту концепцию у себя. И понимаем, что операционные выгоды от такой трансформации предоставления услуг сильно перевешивают все препятствия для начала этой большой работы. В свою очередь, для реализации community-облаков существует ряд решений по ИБ, позволяющих не только обеспечить уровень защиты, адекватный текущему способу оказания ИТ-услуг, но и повысить его за счет новых технических возможностей. Думаю, что после нескольких реализаций и накопления “историй успеха” первопроходцами будет наблюдаться бурный рост активности enterprise-сектора в этом направлении.
Комментариев нет:
Отправить комментарий