Když Eric Schmit, nyní šéf Googlu, poprvé použil termín „cloud“ ve vztahu k distribuovanému webovému výpočetnímu systému, sotva věděl, že je to jedno z těch slov, která se často objevují v legendách. Téměř ve všech mýtech národů světa žijí božské bytosti velmi blízko nebe - na oblacích. V důsledku toho se pojem „cloud computing“ stal mezi obchodníky oblíbený, protože dává prostor kreativitě. Pokusíme se také tyto mýty verbalizovat a pochopit, jak organicky se snoubí s IT.

Smrt Merlina

Jednou z postav cyklu legend o králi Artušovi a jeho Kulatém stole je kouzelník a čaroděj Merlin, který Artušovi pomáhal v jeho vládě. Je příznačné, že Merlin skončil uvězněn v oblacích. Ten, který se chtěl předvést mladé čarodějce a ukázat svou magickou moc, postavil hrad z mraků a pozval svou vášeň, aby si jej prohlédla. Čarodějka se však ukázala jako mazaná a kouzelníka uvěznila v jeho vlastním oblačném hradu. Poté už Merlina nikdo neviděl, takže se věří, že zemřel někde tam - v oblačném zámku, který si sám postavil.

Nyní „IT wizards“ také vybudovali celou mytologii kolem distribuovaných počítačů, takže abyste nebyli uvězněni v těchto „hradech“, měli byste nejprve pochopit, co to jsou mraky, tedy oddělit marketing od řízků.

Zpočátku existoval pouze jeden mrak - byl to tento symbol, který tradičně označoval internet. Tento cloud označoval soubor všech počítačů propojených protokolem IP a majících svou vlastní IP adresu. Postupem času se k internetu začaly přidělovat serverové farmy, které instalovali poskytovatelé a na kterých byly založeny webové projekty. Současně, aby byla zajištěna vysoká zátěž a odolnost proti chybám, se největší webové systémy staly víceúrovňovými a distribuovanými.

V typickém systému lze rozlišit následující úrovně: reverzní proxy, která také funguje jako load balancer a SSL decryptor, samotný webový server, dále aplikační server, DBMS a úložný systém. Navíc na každé úrovni mohlo být několik prvků vykonávajících stejné funkce, a proto nebylo vždy jasné, které komponenty byly použity ke zpracování požadavků uživatelů. A když to není jasné, pak jsou to mraky. Začali proto říkat, že požadavky uživatelů jsou vykonávány někde v „cloudu“ z velkého počtu serverů. Tak vznikl pojem „cloud computing“.

Přestože byl cloud computing zpočátku spojován s veřejně dostupnými webovými projekty – portály, jak se vyvíjely distribuované webové systémy odolné proti chybám, začaly být využívány k řešení interních firemních problémů. Byla to doba boomu firemních portálů, které byly založeny na webových technologiích vyvinutých ve veřejných systémech. Ve stejné době se podnikové systémy začaly konsolidovat do datových center, jejichž údržba byla jednodušší a levnější.

Bylo by však neefektivní alokovat pro každý prvek cloudu samostatný server – ne všechny prvky cloudu jsou zatíženy rovnoměrně, a tak se virtualizační průmysl začal vyvíjet paralelně. Ve veřejných cloudech se ukázal být poměrně populární, protože umožňoval odlišit přístupová práva a zajistil rychlý přenos prvku distribuovaného systému na jiné hardwarové médium. Bez virtualizace by byl cloud computing méně dynamický a škálovatelný, a proto se cloudy nyní obvykle skládají z virtuálních strojů.

Cloud computing je spojen především s pronájmem aplikací, přičemž definuje tři typy takových služeb: IaaS – infrastruktura jako služba, PaaS – platforma jako služba a SaaS – software jako služba. Někdy se služby „security as a service“ zkracují také na SaaS, ale aby nedošlo k záměně cloudových bezpečnostních služeb s pronájmem softwaru, je lepší to nazvat ISAAC – Information Security as a Cloud. I takové služby se začínají poskytovat. Outsourcing aplikací by však neměl být zaměňován s cloud computingem, protože cloudy mohou být interní, veřejné a hybridní. Každý z těchto typů cloudů má při organizování bezpečnostního systému své vlastní charakteristiky.

Tři kroky Višnua

Bůh Višnu v hinduistické mytologii je známý tím, že to byl on, kdo dobyl prostor pro lidský život pomocí tří kroků: první byl učiněn na zemi, druhý v oblacích a třetí v nejvyšším příbytku. Podle Rigvédy právě touto akcí získal Višnu pro lidi všechna tato místa.

Moderní IT také dělá podobný „druhý krok“ – ze země do oblak. Abyste však z těchto mraků ještě na zemi nespadli, měli byste dbát na bezpečnost. V první části jsem tak podrobně zkoumal strukturu cloudu, aby bylo jasné, jaké hrozby pro cloud computing existují. Z výše uvedeného je třeba rozlišovat následující třídy hrozeb:

Tradiční útoky na software. Jsou spojeny se zranitelností síťových protokolů, operačních systémů, modulárních komponent a dalších. Jde o tradiční hrozby, k jejichž ochraně stačí nainstalovat antivirus, firewall, IPS a další diskutované komponenty. Je pouze důležité, aby tyto ochranné nástroje byly přizpůsobeny cloudové infrastruktuře a efektivně fungovaly v podmínkách virtualizace.

Funkční útoky na prvky cloudu. Tento typ útoku souvisí s vrstvením cloudu, obecným bezpečnostním principem, že celková ochrana systému se rovná ochraně nejslabšího článku. Úspěšný DoS útok na reverzní proxy nainstalovanou před cloudem tedy zablokuje přístup do celého cloudu, a to i přesto, že veškerá komunikace v rámci cloudu bude fungovat bez rušení. Podobně injekce SQL procházející aplikačním serverem poskytne přístup k systémovým datům bez ohledu na pravidla přístupu ve vrstvě úložiště dat. K ochraně před funkčními útoky musíte pro každou vrstvu cloudu použít specifické nástroje ochrany: pro proxy – ochrana před útoky DoS, pro webový server – kontrola integrity stránky, pro aplikační server – obrazovka na úrovni aplikace, pro vrstvu DBMS - ochrana proti SQL - injekce, pro úložný systém - zálohování a řízení přístupu. Každý z těchto ochranných mechanismů již byl vytvořen jednotlivě, ale nejsou shromažďovány za účelem komplexní ochrany cloudu, takže při vytváření cloudu je třeba vyřešit úkol jejich integrace do jednoho systému.

Útoky na klienta. Tento typ útoku byl vyvinut ve webovém prostředí, ale je relevantní i pro cloud, protože klienti se ke cloudu připojují obvykle pomocí prohlížeče. Zahrnuje útoky jako např Cross Site Skriptování (XSS), zachycování webových relací, krádež hesel, „muž uprostřed“ a další. Ochranou proti těmto útokům je již tradičně silná autentizace a využití šifrovaného spojení se vzájemnou autentizací, ne všichni tvůrci cloudu si však mohou dovolit tak plýtvání a zpravidla nepříliš pohodlné prostředky ochrany. Proto v této oblasti informační bezpečnosti stále existují nevyřešené problémy a prostor pro vytváření nových prostředků ochrany.

Virtualizační hrozby. Protože platformou pro cloudové komponenty jsou tradičně virtuální prostředí, útoky na virtualizační systém ohrožují i ​​celý cloud jako celek. Tento typ hrozby je pro cloud computing jedinečný, proto se na něj níže podíváme podrobně. Nyní se začínají objevovat řešení pro některé virtualizační hrozby, ale toto odvětví je zcela nové, takže dosud nebyla vyvinuta žádná zavedená řešení. Je docela možné, že trh informační bezpečnosti brzy vyvine prostředky ochrany proti tomuto typu hrozby.

Komplexní hrozby pro mraky. Řízení a správa cloudu je také bezpečnostní problém. Jak zajistit, aby se počítaly všechny cloudové zdroje a nebyly tam neřízené virtuální stroje, neběžely zbytečné obchodní procesy a nenarušovala se vzájemná konfigurace cloudových vrstev a prvků. Tento typ ohrožení je spojen s ovladatelností cloudu jako jednoho informačního systému a hledáním zneužití či jiných porušení při provozu cloudu, což může vést ke zbytečným nákladům na údržbu funkčnosti informačního systému. Pokud existuje například cloud, který v něm na základě zaslaného souboru umožňuje detekovat virus, jak pak krádeži takových detektorů zabránit? Tento typ hrozby je na nejvyšší úrovni a mám podezření, že pro ni neexistuje žádný univerzální prostředek ochrany – pro každý cloud musí být jeho celková ochrana postavena individuálně. Pomoci s tím může nejobecnější model řízení rizik, který je ještě potřeba správně aplikovat na cloudové infrastruktury.

První dva typy hrozeb jsou již dostatečně prozkoumány a byla pro ně vyvinuta ochranná opatření, ale je třeba je ještě upravit pro použití v cloudu. Firewally jsou například navrženy tak, aby chránily perimetr, ale v cloudu není snadné přidělit perimetr jednotlivému klientovi, což značně ztěžuje ochranu. Proto je třeba technologii firewallu přizpůsobit cloudové infrastruktuře. V současné době v tomto směru aktivně pracuje například Check Point.

Novým typem hrozby pro cloud computing jsou problémy s virtualizací. Faktem je, že při použití této technologie se v systému objevují další prvky, které mohou být předmětem útoku. Patří mezi ně hypervizor, systém pro přenos virtuálních strojů z jednoho uzlu do druhého a systém správy virtuálních strojů. Podívejme se blíže na to, jakým útokům mohou vyjmenované prvky podléhat.

Útoky na hypervizor. Vlastním klíčovým prvkem virtuálního systému je hypervizor, který zajišťuje rozdělení fyzických počítačových zdrojů mezi virtuální stroje. Zasahování do provozu hypervizoru může vést k tomu, že jeden virtuální stroj může přistupovat k paměti a zdrojům druhého, zachycovat jeho síťový provoz, odebírat jeho fyzické zdroje a dokonce zcela přemístit virtuální stroj ze serveru. Jen málo hackerů zatím přesně rozumí tomu, jak hypervizor funguje, takže k útokům tohoto typu prakticky nedochází, ale to nezaručuje, že se v budoucnu neobjeví.

Přenos virtuálních strojů. Je třeba poznamenat, že virtuální počítač je soubor, který lze spustit pro spuštění na různých cloudových uzlech. Systémy správy virtuálních strojů poskytují mechanismy pro přesun virtuálních strojů z jednoho uzlu do druhého. Můžete však dokonce ukrást soubor virtuálního počítače a pokusit se jej spustit mimo cloud. Je nemožné odebrat fyzický server z datového centra, ale virtuální stroj může být ukraden přes síť bez fyzického přístupu k serverům. Je pravda, že samostatný virtuální stroj mimo cloud nemá žádnou praktickou hodnotu - z každé vrstvy musíte ukrást alespoň jeden virtuální stroj a také data z úložného systému pro obnovu podobného cloudu, nicméně virtualizace zcela umožňuje krádeže dílů nebo celý cloud. To znamená, že zásahy do mechanismů pro přenos virtuálních strojů vytvářejí nová rizika pro informační systém.

Útoky na řídicí systémy. Obrovské množství virtuálních strojů, které se používají v cloudech, zejména ve veřejných cloudech, vyžaduje systémy správy, které dokážou spolehlivě řídit vytváření, migraci a likvidaci virtuálních strojů. Zásahy do řídicích systémů mohou vést ke vzniku neviditelných virtuálních strojů, blokování některých strojů a nahrazování nepovolených prvků do cloudových vrstev. To vše umožňuje útočníkům získat informace z cloudu nebo zachytit jeho části nebo celý cloud.

Je třeba poznamenat, že prozatím jsou všechny výše uvedené hrozby čistě hypotetické, protože o skutečných útocích tohoto typu prakticky neexistují žádné informace. Zároveň, když se virtualizace a cloudy stanou docela populární, všechny tyto typy útoků se mohou stát velmi reálnými. Proto je třeba je mít na paměti ve fázi návrhu cloudových systémů.

Nad sedmým nebem

Apoštol Pavel tvrdil, že zná muže, který byl uchvácen do sedmého nebe. Od té doby se výraz „sedmé nebe“ pevně usadil pro označení nebe. Ne všem křesťanským světcům se však dostalo cti navštívit i první nebe, přesto neexistuje člověk, který by nesnil o tom, že se alespoň jedním okem podívá do sedmého nebe.

Možná právě tato legenda přiměla tvůrce Trend Micro pojmenovat jeden ze svých bezpečnostních projektů mraky Cloud Devět - devátý mrak. To je jasně vyšší než sedmý. Nyní je však tímto jménem pojmenována celá řada věcí: písně, detektivky, počítačové hry, je však možné, že název byl inspirován křesťanskou legendou o Pavlovi.

Trend Micro však zatím zveřejnil pouze informaci, že Cloud Nine bude spojen s šifrováním dat v cloudu. Právě šifrování dat umožňuje chránit před většinou hrozeb pro data ve veřejném cloudu, takže takové projekty budou nyní aktivně vyvíjeny. Pojďme si představit, jaké ochranné nástroje mohou být ještě užitečné pro snížení výše popsaných rizik.

V první řadě je potřeba zajistit spolehlivou autentizaci jak uživatelů cloudu, tak jeho součástí. K tomu lze s největší pravděpodobností použít hotové jednotné autentizační systémy (SSO), které jsou založeny na Kerberos a vzájemném autentizačním protokolu. Dále budete potřebovat systémy správy identit, které vám umožní konfigurovat uživatelská přístupová práva různé systémy pomocí správy rolí. Samozřejmě si budete muset pohrát s definováním rolí a minimálních práv pro každou roli, ale jakmile systém nastavíte, lze jej používat poměrně dlouho.

Když jsou definováni všichni účastníci procesu a jejich práva, je nutné sledovat dodržování těchto práv a odhalovat chyby administrace. To vyžaduje systémy zpracování událostí z nástrojů ochrany cloudových prvků a další bezpečnostní mechanismy, jako jsou firewally, antiviry, IPS a další. Je pravda, že stojí za to použít ty možnosti, které mohou fungovat ve virtualizačním prostředí - bude to efektivnější.

Kromě toho se také vyplatí použít nějaký druh podvodného stroje, který by vám umožnil odhalit podvody při používání cloudů, to znamená snížit nejobtížnější riziko zásahů do obchodních procesů. Pravda, nyní na trhu s největší pravděpodobností není žádný podvodný stroj, který by umožňoval práci s cloudy, nicméně pro telefonování již byly vyvinuty technologie pro odhalování případů podvodů a zneužití. Vzhledem k tomu, že fakturační systém bude muset být implementován v cloudu, měl by být podvodný stroj připojen k němu. Bude tak možné alespoň kontrolovat hrozby pro cloudové obchodní procesy.

Jaké další obranné mechanismy lze použít k ochraně mraků? Otázka zatím zůstává otevřená.

Existuje několik metod pro budování podnikové IT infrastruktury. Nasazení všech zdrojů a služeb na cloudovou platformu je jen jedním z nich. Překážkou na této cestě se však často stávají předsudky ohledně bezpečnosti cloudových řešení. V tomto článku pochopíme, jak funguje bezpečnostní systém v cloudu jednoho z nejznámějších ruských poskytovatelů - Yandex.

Pohádka je lež, ale je v ní náznak

Začátek tohoto příběhu se dá vyprávět jako slavná pohádka. Ve společnosti byli tři admini: nejstarší byl chytrý kluk, prostřední byl ten a ten, nejmladší byl prostě... praktikant Enikey. Přidal jsem uživatele do Active Directory a zkroutil ocasy systémů Cisco. Nastal čas společnosti expandovat a král, tedy šéf, povolal svou admin armádu. Přál bych si, říká, nové webové služby pro naše klienty, vlastní úložiště souborů, spravované databáze a virtuální stroje pro testování softwaru.

Nejmladší okamžitě navrhl vytvoření vlastní infrastruktury od nuly: nákup serverů, instalace a konfigurace softwaru, rozšíření hlavního internetového kanálu a přidání záložního k němu – kvůli spolehlivosti. A společnost je klidnější: hardware je vždy po ruce, kdykoli lze něco vyměnit nebo přenastavit a on sám bude mít vynikající příležitost upgradovat své administrátorské dovednosti. Spočítali to a ronili slzy: společnost nemohla takové výdaje unést. Velké podniky to umí, ale pro střední a malé podniky je to příliš drahé. Není jen nutné nakoupit zařízení, vybavit serverovnu, nainstalovat klimatizaci a nastavit požární poplach, ale také musíte organizovat směny, abyste mohli ve dne v noci sledovat pořádek a odrážet síťové útoky od úskoků lidí na internetu. A z nějakého důvodu správci nechtěli pracovat v noci a o víkendech. Kdyby jen za dvojí platbu.

Senior admin se zamyšleně podíval na okno terminálu a navrhl umístit všechny služby do cloudu. Pak se ale jeho kolegové začali navzájem strašit hororovými historkami: říkají, že cloudová infrastruktura má nezabezpečená rozhraní a API, špatně vyrovnává zatížení různých klientů, což může způsobit utrpení vašich vlastních zdrojů, a je také nestabilní vůči krádeži dat a vnější útoky. A obecně je děsivé přenést kontrolu nad kritickými daty a softwarem na cizí lidi, se kterými jste nesnědli ani slaninu soli nebo nevypili kýbl piva.

Průměrný chlap přišel s nápadem umístit celý IT systém do datového centra poskytovatele, na jeho kanály. Tak se rozhodli. Na naši trojici však čekalo několik překvapení, z nichž ne všechna byla příjemná.

Za prvé, jakákoli síťová infrastruktura vyžaduje povinnou přítomnost ochranných a bezpečnostních nástrojů, které jsou samozřejmě nasazeny, nakonfigurovány a spuštěny. Pouze náklady na hardwarové prostředky, které využívají, jak se ukazuje, musí platit klient sám. A moderní systém informační bezpečnosti spotřebovává značné prostředky.

Za druhé, podnik nadále rostl a původně vybudovaná infrastruktura rychle narazila na strop škálovatelnosti. K jeho rozšíření navíc nestačila pouhá změna tarifu: mnoho služeb by v tomto případě muselo být převedeno na jiné servery, překonfigurováno a některé dokonce zcela přepracovány od nuly.

Nakonec se jednoho dne kvůli kritické zranitelnosti v jedné z aplikací celý systém zhroutil. Admini ji rychle zvedli záložní kopie, ale nebylo možné rychle pochopit důvody toho, co se stalo, protože zapomněli nastavit zálohu pro logovací služby. Ztratil se cenný čas a čas, jak se říká, jsou peníze.

Kalkulace nákladů a sumarizace výsledků vedly vedení společnosti k neuspokojivým závěrům: administrátor, který od samého začátku navrhoval použití cloudového modelu IaaS – „infrastruktura jako služba“ – měl pravdu. Pokud jde o bezpečnost takových platforem, o tom stojí za to mluvit samostatně. A uděláme to na příkladu nejoblíbenější z těchto služeb - Yandex.Cloud.

Zabezpečení v Yandex.Cloud

Začněme, jak dívce Alici poradila Cheshire Cat, od začátku. Tedy z problematiky vymezení odpovědnosti. V Yandex.Cloud, stejně jako v jakékoli jiné podobné platformě, je poskytovatel odpovědný za bezpečnost služeb poskytovaných uživatelům, zatímco odpovědnost samotného klienta zahrnuje zajištění správného provozu aplikací, které vyvíjí, organizaci a vymezení vzdáleného přístupu k přidělené zdroje a konfigurace databází a virtuálních strojů, kontrola nad protokolováním. K tomu má však k dispozici všechny potřebné nástroje.

Zabezpečení cloudové infrastruktury Yandex má několik úrovní, z nichž každá implementuje své vlastní bezpečnostní zásady a používá samostatný arzenál technologií.

Fyzická vrstva

Není žádným tajemstvím, že Yandex má svá vlastní datová centra, která slouží jeho vlastním bezpečnostním oddělením. Hovoříme nejen o službách video dohledu a kontroly přístupu, které mají zabránit cizím osobám ve vstupu do serverových místností, ale také o systémech klimatizace, hašení požárů a nepřerušitelném napájení. Přísní hlídači budou k ničemu, pokud je stojan s vašimi servery jednoho dne zaplaven vodou z hasicích přístrojů nebo pokud se přehřejí po poruše klimatizace. To se jim v datových centrech Yandex rozhodně nestane.

Kromě toho je cloudový hardware fyzicky oddělen od „velkého Yandexu“: jsou umístěny v různých stojanech, ale úplně stejným způsobem procházejí pravidelnou rutinní údržbou a výměnou komponent. Na hranici těchto dvou infrastruktur se používají hardwarové firewally a uvnitř cloudu se používá softwarový Host-based Firewall. Přepínače Top-of-the-rack navíc využívají systém řízení přístupu ACL (Access Control List), který výrazně zlepšuje zabezpečení celé infrastruktury. Yandex pravidelně kontroluje Cloud zvenčí a hledá otevřené porty a chyby konfigurace, takže potenciální zranitelnosti lze rozpoznat a odstranit předem. Pro zaměstnance pracující s cloudovými prostředky byl implementován centralizovaný autentizační systém pomocí klíčů SSH s modelem přístupu na základě rolí a všechny relace administrátorů jsou protokolovány. Tento přístup je součástí modelu Secure by default, který Yandex univerzálně používá: zabezpečení je zabudováno do IT infrastruktury ve fázi jejího návrhu a vývoje a není přidáno později, když je již vše uvedeno do provozu.

Úroveň infrastruktury

Na úrovni „hardwarově-softwarové logiky“ využívá Yandex.Cloud tři služby infrastruktury: Compute Cloud, Virtual Private Cloud a Yandex Managed Services. A nyní o každém z nich trochu podrobněji.

Compute Cloud

Tato služba poskytuje škálovatelný výpočetní výkon pro různé úkoly, jako je hostování webových projektů a služeb s vysokou zátěží, testování a prototypování nebo dočasná migrace IT infrastruktury po dobu opravy nebo výměny vlastního zařízení. Službu můžete spravovat prostřednictvím konzole, příkazového řádku (CLI), SDK nebo API.

Zabezpečení Compute Cloudu je založeno na tom, že všechny klientské virtuální stroje využívají minimálně dvě jádra a při alokaci paměti se nepoužívá overcommitment. Vzhledem k tomu, že v tomto případě je na jádře spouštěn pouze klientský kód, systém není náchylný na zranitelnosti, jako jsou L1TF, Spectre a Meltdown, nebo útoky na postranní kanály.

Kromě toho používá Yandex vlastní montáž Qemu/KVM, ve kterém je deaktivováno vše nepotřebné a ponechá se pouze minimální sada kódu a knihoven nezbytných pro provoz hypervizorů. V tomto případě jsou procesy spouštěny pod kontrolou nástrojů založených na AppArmor, který pomocí bezpečnostních politik určuje, které systémové prostředky a s jakými oprávněními může konkrétní aplikace získat přístup. AppArmor běžící na každém virtuálním počítači snižuje riziko, že klientská aplikace bude moci přistupovat k hypervizoru z virtuálního počítače. Pro příjem a zpracování protokolů vytvořil Yandex proces pro doručování dat z AppArmor a sandboxů do vlastního Splunk.

Virtuální privátní cloud

Služba Virtual Private Cloud umožňuje vytvářet cloudové sítě sloužící k přenosu informací mezi různými zdroji a jejich připojení k internetu. Fyzicky je tato služba podporována třemi nezávislými datovými centry. V tomto prostředí je implementována logická izolace na úrovni multiprotokolového propojení – MPLS. Zároveň Yandex neustále fuzze rozhraní mezi SDN a hypervizorem, to znamená, že ze strany virtuálních strojů je proud nesprávně vytvořených paketů neustále odesílán do vnějšího prostředí, aby přijal odpověď od SDN, analyzoval ji a uzavřít případné mezery v konfiguraci. Ochrana proti DDoS útokům je automaticky povolena při vytváření virtuálních strojů.

Spravované služby Yandex

Yandex Managed Services je softwarové prostředí pro správu různých služeb: DBMS, clustery Kubernetes, virtuální servery v infrastruktuře Yandex.Cloud. Zde služba přebírá většinu práce se zabezpečením. Všechny zálohy, šifrování záloh, správa zranitelnosti a tak dále jsou poskytovány automaticky software Yandex.Cloud.

Nástroje pro reakci na incidenty

Pro včasnou reakci na incidenty informační bezpečnosti je nutné včas identifikovat zdroj problému. Proč je nutné používat spolehlivé monitorovací nástroje, které by měly fungovat nepřetržitě a bez poruch? Takové systémy budou nevyhnutelně spotřebovávat zdroje, ale Yandex.Cloud nepřenáší náklady na výpočetní výkon bezpečnostních nástrojů na uživatele platformy.

Při výběru nástrojů se Yandex řídil dalším důležitým požadavkem: v případě úspěšného zneužití 0denní zranitelnosti v jedné z aplikací by útočník neměl jít za hostitele aplikace, zatímco bezpečnostní tým by se měl o incidentu okamžitě dozvědět a reagovat jako nezbytné.

V neposlední řadě jsme chtěli, aby všechny nástroje byly open source. Tato kritéria plně splňuje kombinace AppArmor + Osquery, kterou bylo rozhodnuto použít v Yandex.Cloud.

AppArmor

AppArmor, již zmíněný výše, je proaktivní bezpečnostní softwarový nástroj založený na přizpůsobitelných bezpečnostních profilech. Profily využívají technologii řízení přístupu založenou na štítcích ochrany soukromí Mandatory Access Control (MAC), implementovanou pomocí LSM přímo v samotném linuxovém jádře počínaje verzí 2.6. Vývojáři Yandex si vybrali AppArmor z následujících důvodů:

• lehkost a rychlost, protože nástroj je založen na části jádra operačního systému Linux;
• je to open source řešení;
• AppArmor lze na Linux nasadit velmi rychle, aniž byste museli psát jakýkoli kód;
• Flexibilní konfigurace je možná pomocí konfiguračních souborů.

Osquery

Osquery je nástroj pro monitorování zabezpečení systému vyvinutý společností Facebook a nyní se úspěšně používá v mnoha odvětvích IT. Navíc je tento nástroj multiplatformní a open source.

Pomocí Osquery můžete shromažďovat informace o stavu různých komponent operační systém, akumulovat ji, přeměnit ji na standardizovanou formát JSON a přeposlat vybranému příjemci. Tento nástroj umožňuje psát a odesílat do aplikace standardní SQL dotazy, které jsou uloženy v databázi rocksdb. Můžete nakonfigurovat frekvenci a podmínky, za kterých jsou tyto požadavky prováděny nebo zpracovávány.

Standardní tabulky již implementují mnoho funkcí, například můžete získat seznam procesů běžících v systému, nainstalované balíčky, aktuální sadu pravidel iptables, entity crontab atd. Po vybalení je implementována podpora pro příjem a analýzu událostí ze systému auditu jádra (používá se v Yandex.Cloud ke zpracování událostí AppArmor).

Osquery samotné je napsáno v C++ a je distribuováno jako open source; můžete je upravovat a buď přidávat nové tabulky do hlavní kódové základny, nebo vytvářet vlastní rozšíření v C, Go nebo Python.

Užitečnou funkcí Osquery je přítomnost distribuovaného dotazovacího systému, pomocí kterého můžete spouštět dotazy v reálném čase proti všem virtuálním strojům umístěným v síti. To může být užitečné například v případě, že je v balíčku objevena zranitelnost: jedním požadavkem můžete získat seznam počítačů, na kterých je tento balíček nainstalován. Tato funkce je široce používána při správě velkých distribuovaných systémů se složitou infrastrukturou.

závěry

Pokud se vrátíme k příběhu vyprávěnému na samém začátku tohoto článku, uvidíme, že obavy, které donutily naše hrdiny opustit nasazení infrastruktury na cloudové platformě, se ukázaly jako neopodstatněné. Alespoň pokud jde o Yandex.Cloud. Zabezpečení cloudové infrastruktury vytvořené Yandexem má víceúrovňovou vrstvenou architekturu, a proto poskytuje vysokou úroveň ochrany proti většině dnes známých hrozeb.

Zároveň díky úsporám na běžné údržbě hardwaru a platbách za zdroje spotřebované systémy monitorování a prevence incidentů, kterých se Yandex ujímá, používání Yandex.Cloud výrazně šetří peníze malým a středním podnikům. Samozřejmě nebude možné zcela opustit IT oddělení nebo oddělení odpovědné za informační bezpečnost (zejména pokud se obě tyto role spojí v jednom týmu). Yandex.Cloud však výrazně sníží mzdové náklady a režijní náklady.

Vzhledem k tomu, že Yandex.Cloud poskytuje svým klientům zabezpečenou infrastrukturu se všemi nezbytnými bezpečnostními nástroji, mohou se soustředit na obchodní procesy a ponechat úkoly údržby a monitorování hardwaru na poskytovateli. Neodpadá tak nutnost průběžné správy VM, databází a aplikací, ale takovou škálu úkolů by bylo nutné řešit v každém případě. Obecně lze říci, že Yandex.Cloud šetří nejen peníze, ale i čas. A druhý, na rozdíl od prvního, je nenahraditelným zdrojem.

Celoroční práce v oboru

Software a hardware pro informační bezpečnost

"Informační bezpečnost v cloud computingu: zranitelnosti, metody a prostředky ochrany, nástroje pro audit a vyšetřování incidentů."

Úvod

1. Historie a klíčové faktory vývoje

2. Definice cloud computingu

3. Referenční architektura

4. Smlouva o úrovni služeb

5. Metody a prostředky ochrany v cloud computingu

6. Zabezpečení cloudových modelů

7. Bezpečnostní audit

8. Vyšetřování incidentů a forenzní práce v cloud computingu

9. Model ohrožení

10. Mezinárodní a domácí normy

11. Územní příslušnost dat

12. Státní normy

13. Bezpečnostní nástroje v cloudových technologiích

14. Praktická část

Závěr

Literatura

Úvod

Rostoucí rychlost šíření cloud computingu se vysvětluje tím, že obecně za málo peněz zákazník získá přístup k nejspolehlivější infrastruktuře s požadovaným výkonem bez nutnosti pořizovat, instalovat a udržovat drahé počítače. 99,9 %, což také umožňuje úsporu výpočetních zdrojů. A co je také důležité, je prakticky neomezená škálovatelnost. Zakoupením běžného hostingu a pokusem o skok přes hlavu (při prudkém nárůstu zátěže) existuje riziko, že služba na několik hodin vypadne. V cloudu jsou na první požadavek poskytovány další zdroje.

Hlavním problémem cloud computingu je nezaručená úroveň zabezpečení zpracovávaných informací, míra zabezpečení zdrojů a často zcela chybějící regulační rámec.

Účelem studie bude přezkoumání stávajícího trhu cloud computingu a nástrojů pro zajištění bezpečnosti na něm.

informace o zabezpečení cloud computingu

1. Historie a klíčové faktory vývoje

Myšlenku toho, co nyní nazýváme cloud computing, poprvé navrhl J. C. R. Licklider v roce 1970. Během těchto let byl zodpovědný za vytvoření sítě ARPANET (Advanced Research Projects Agency Network). Jeho představa byla, že každý člověk na zemi bude připojen k síti, ze které bude přijímat nejen data, ale i programy. Další vědec, John McCarthy, vyjádřil myšlenku, že výpočetní výkon bude uživatelům poskytován jako služba. V tomto okamžiku byl vývoj cloudových technologií pozastaven až do 90. let, poté k jeho rozvoji přispěla řada faktorů.

Rozšíření šířky internetového pásma v 90. letech neumožnilo výrazný skok ve vývoji cloudové technologie, protože na to nebyla připravena prakticky žádná tehdejší společnost ani technologie. Samotná skutečnost zrychlení internetu však dala impuls rychlému rozvoji cloud computingu.

2. Jedním z nejvýznamnějších pokroků v této oblasti byl vznik Salesforce.com v roce 1999. Tato společnost se stala první společností, která poskytla přístup ke své aplikaci prostřednictvím webových stránek. Tato společnost se totiž stala první společností, která svůj software poskytovala na principu software jako služba (SaaS).

Dalším krokem byl vývoj cloudové webové služby Amazonem v roce 2002. Tato služba umožňovala ukládání informací a provádění výpočtů.

V roce 2006 Amazon spustil službu s názvem Elastic Compute cloud (EC2), webovou službu, která svým uživatelům umožňovala spouštět vlastní aplikace. Amazon EC2 a Amazon S3 byly první dostupné cloudové služby.

Dalším milníkem ve vývoji cloud computingu bylo vytvoření platformy Google Apps pro webové aplikace v obchodním sektoru společností Google.

Ve vývoji cloudových technologií sehrály významnou roli virtualizační technologie, zejména software umožňující vytváření virtuální infrastruktury.

Vývoj hardwaru nepřispěl tolik rychlý růst cloudové technologie, jak je tato technologie dostupná pro malé podniky a jednotlivce. Pokud jde o technický pokrok, významnou roli v tom sehrálo vytvoření vícejádrových procesorů a zvýšení kapacity zařízení pro ukládání informací.

2. Definice cloud computingu

Podle definice amerického Národního institutu pro standardy a technologie:

Cloud computing (Cloud computing) (AngličtinaMrak- mrak; výpočetní Computing je model pro poskytování všudypřítomného, ​​pohodlného síťového přístupu na vyžádání ke sdílenému fondu konfigurovatelných výpočetních zdrojů (např. interakce s poskytovatelem služeb (poskytovatelem služeb).

Cloudový model podporuje vysokou dostupnost služeb a je popsán pěti základními charakteristikami, třemi modely služeb a čtyřmi modely nasazení.

Programy se spouštějí a zobrazují výsledky své práce ve standardním okně webového prohlížeče na lokálním PC, přičemž všechny aplikace a jejich data potřebná k provozu jsou umístěna na vzdáleném serveru na internetu. Počítače provádějící cloud computing se nazývají „computing cloud“. V tomto případě je zátěž mezi počítače zařazené do „výpočetního cloudu“ distribuována automaticky. Nejjednodušším příkladem cloud computingu jsou sítě p2p.

K implementaci cloud computingu se používají přechodné softwarové produkty vytvořené pomocí speciálních technologií. Slouží jako mezičlánek mezi zařízením a uživatelem a zajišťují sledování stavu zařízení a programů, rovnoměrné rozložení zátěže a včasnou alokaci zdrojů ze společného fondu. Jednou z takových technologií je virtualizace v oblasti výpočetní techniky.

Virtualizace ve výpočetní technice- proces reprezentace sady výpočetních zdrojů nebo jejich logické kombinace, která poskytuje jakékoli výhody oproti původní konfiguraci. Toto je nový virtuální pohled na zdroje komponenty bez omezení implementací, fyzickou konfigurací nebo geografickou polohou. Mezi virtualizované zdroje obvykle patří výpočetní výkon a úložiště dat. Z vědeckého hlediska je virtualizace izolací výpočetních procesů a zdrojů od sebe navzájem.

Příkladem virtualizace jsou symetrické víceprocesorové počítačové architektury, které využívají více než jeden procesor. Operační systémy jsou obvykle konfigurovány tak, aby vystavovaly více procesorů jako jednu procesorovou jednotku. To je důvod, proč lze softwarové aplikace psát pro jednu logickou ( virtuální) výpočetní modul, což je mnohem jednodušší než práce s velkým množstvím různých konfigurací procesorů.

Pro zvláště velké a na zdroje náročné výpočty se používá grid computing.

Grid Computing (mřížka - mřížka, síť) je forma distribuovaného počítání, ve které je „virtuální superpočítač“ prezentován ve formě shluků síťově propojených, volně propojených, heterogenních počítačů, které spolupracují na provádění velkého množství úkolů (operací, úloh).

Tato technologie se používá k řešení vědeckých a matematických problémů, které vyžadují značné výpočetní zdroje. Grid computing se také používá v komerční infrastruktuře k řešení časově náročných problémů, jako jsou ekonomické prognózy, seismická analýza a vývoj a studium vlastností nových léků.

Z pohledu síťové organizace je grid konzistentní, otevřené a standardizované prostředí, které poskytuje flexibilní, bezpečné, koordinované sdílení výpočetních a úložných zdrojů, které jsou součástí tohoto prostředí, v rámci jedné virtuální organizace.

Paravirtualizace je virtualizační technika, která poskytuje virtuálním strojům softwarové rozhraní podobné, ale ne identické, jako základní hardware. Účelem tohoto upraveného rozhraní je zkrátit čas, který hostující operační systém stráví prováděním operací, které jsou ve virtuálním prostředí mnohem obtížnější než v prostředí nevirtualizovaném.

Existují speciální „háky“, které umožňují hostujícím a hostitelským systémům požadovat a potvrzovat dokončení těchto složitých úkolů, které by bylo možné provádět ve virtuálním prostředí, ale mnohem pomaleji.

Hypervisor ( nebo Monitor virtuálního stroje) - v počítačích program nebo hardwarový obvod, který poskytuje nebo umožňuje současné, paralelní provádění několika nebo dokonce mnoha operačních systémů na stejném hostitelském počítači. Hypervizor také poskytuje vzájemnou izolaci operačních systémů, ochranu a zabezpečení, sdílení zdrojů mezi různými běžícími OS a správu zdrojů.

Hypervizor také může (ale není povinen) poskytnout operačním systémům běžícím pod jeho kontrolou na stejném hostitelském počítači prostředky pro vzájemnou komunikaci a interakci (například prostřednictvím sdílení souborů nebo síťových připojení), jako by tyto operační systémy byly běží na různých fyzických počítačích.

Samotný hypervizor je v některých ohledech minimální operační systém (mikrokernel nebo nanokernel). Operačním systémům běžícím pod jeho kontrolou poskytuje službu virtuálního stroje, virtualizuje nebo emuluje skutečné (fyzické) Hardware konkrétní stroj a spravuje tyto virtuální stroje, přiděluje a uvolňuje pro ně zdroje. Hypervizor umožňuje nezávislé „zapnutí“, restartování, „vypnutí“ kteréhokoli z virtuálních strojů s konkrétním operačním systémem. Operační systém běžící na virtuálním stroji s hypervizorem však může, ale nemusí „vědět“, že běží na virtuálním stroji a ne na skutečném hardwaru.

Modely cloudových služeb

Možnosti poskytování výpočetního výkonu se značně liší. Vše, co souvisí s cloud computingem, se obvykle nazývá slovo aaS, což jednoduše znamená „jako služba“, tedy „jako služba“ nebo „jako služba“.

Software jako služba (SaaS) - Poskytovatel poskytuje klientovi aplikaci připravenou k použití. Aplikace jsou přístupné z různých klientských zařízení nebo prostřednictvím rozhraní tenkého klienta, jako je webový prohlížeč (například webmail) nebo programová rozhraní. Zákazník nespravuje základní cloudovou infrastrukturu, včetně sítí, serverů, operačních systémů, úložných systémů a dokonce i nastavení jednotlivých aplikací, s výjimkou některých uživatelsky definovaných nastavení konfigurace aplikací.

V rámci modelu SaaS zákazníci platí nikoli za to, že vlastní software, ale za jeho pronájem (tedy za jeho používání prostřednictvím webového rozhraní). Na rozdíl od klasického licenčního schématu tak zákazníkovi vznikají relativně malé opakující se náklady a nemusí investovat značné finanční prostředky na nákup softwaru a jeho podporu. Schéma pravidelných plateb předpokládá, že pokud software není dočasně potřeba, zákazník může pozastavit jeho používání a zmrazit platby vývojáři.

Z pohledu vývojáře vám model SaaS umožňuje účinně bojovat proti nelicencovanému používání softwaru (pirátství), protože samotný software se nedostane ke koncovým zákazníkům. Koncept SaaS navíc často snižuje náklady na nasazení a implementaci informačních systémů.

Rýže. 1 Typické schéma SaaS

Platforma jako služba (PaaS) - poskytovatel nabízí klientovi softwarovou platformu a nástroje pro návrh, vývoj, testování a nasazení uživatelských aplikací. Zákazník nespravuje základní cloudovou infrastrukturu, včetně sítí, serverů, operačních systémů a úložných systémů, ale má kontrolu nad nasazenými aplikacemi a možná i nad některými konfiguračními parametry hostitelského prostředí.

Rýže. 2 Typické schéma PaaS

Infrastruktura jako služba (IaaS). - poskytovatel nabízí klientovi k pronájmu výpočetní prostředky: servery, úložné systémy, síťová zařízení, operační systémy a systémový software, virtualizační systémy, systémy pro správu zdrojů. Zákazník nespravuje základní cloudovou infrastrukturu, ale má kontrolu nad operačními systémy, úložnými systémy, nasazenými aplikacemi a možná omezenou kontrolu nad výběrem síťových komponent (například hostitele s firewally).

Rýže. 3 Typické schéma IaaS

dodatečně Existují takové služby jako:

Komunikace jako služba (Com-aaS) – rozumí se, že komunikační služby jsou poskytovány jako služby; Obvykle se jedná o IP telefonii, poštu a okamžitou komunikaci (chat, IM).

Cloudové úložiště dat- uživateli je poskytnut určitý prostor pro ukládání informací. Vzhledem k tomu, že informace jsou uloženy distribuované a duplikované, poskytují taková úložiště mnohem větší stupeň bezpečnosti dat než místní servery.

Pracoviště jako služba (WaaS) - uživatel, který má k dispozici nedostatečné výkonný počítač, může nakupovat výpočetní zdroje od dodavatele a používat jeho PC jako terminál pro přístup ke službě.

Antivirový cloud- infrastruktura, která se používá ke zpracování informací přijatých od uživatelů za účelem rychlého rozpoznání nových, dříve neznámých hrozeb. Cloudový antivirus nevyžaduje od uživatele žádné zbytečné akce – jednoduše odešle požadavek týkající se podezřelého programu nebo odkazu. Po potvrzení nebezpečí se automaticky provedou všechny potřebné akce.

Modely nasazení

Mezi modely nasazení existují 4 hlavní typy infrastruktury

Soukromý cloud - infrastrukturu určenou pro použití jednou organizací, včetně několika spotřebitelů (například divizí jedné organizace), případně i klientů a dodavatelů této organizace. Privátní cloud může být vlastněn, provozován a provozován samotnou organizací nebo třetí stranou (nebo nějakou jejich kombinací) a může fyzicky existovat v rámci nebo mimo jurisdikci vlastníka.

Rýže. 4 Privátní cloud.

Veřejný cloud - infrastruktura určená k bezplatnému užívání širokou veřejností. Veřejný cloud mohou vlastnit, provozovat a provozovat komerční, akademické a vládní organizace (nebo jejich kombinace). Veřejný cloud fyzicky existuje v jurisdikci vlastníka – poskytovatele služby.

Rýže. 5 Veřejný cloud.

Hybridní cloud - jde o kombinaci dvou nebo více různých cloudových infrastruktur (soukromé, veřejné nebo veřejné), které zůstávají jedinečnými entitami, ale jsou vzájemně propojeny standardizovanými nebo proprietárními datovými a aplikačními technologiemi (například krátkodobé využití zdrojů veřejného cloudu k vyrovnání zátěže mezi mraky).

Rýže. 6 Hybridní cloud.

komunitní cloud - typ infrastruktury určený pro použití konkrétní komunitou zákazníků z organizací, které mají společné cíle (například poslání, bezpečnostní požadavky, zásady a soulad s různými požadavky). Komunitní cloud může být kooperativně vlastněn, spravován a provozován jednou nebo více komunitními organizacemi nebo třetí stranou (nebo nějakou jejich kombinací) a může fyzicky existovat v rámci nebo mimo jurisdikci vlastníka.

Rýže. 7 Popis vlastností cloudu

Základní vlastnosti

NIST ve svém dokumentu „The NIST Definition of Cloud Computing“ definuje následující charakteristiky cloudů:

Samoobsluha na vyžádání (On-demand self-service). Spotřebitel má možnost přistupovat k poskytovaným výpočetním zdrojům jednostranně dle potřeby, automaticky, bez nutnosti interakce se zaměstnanci jednotlivých poskytovatelů služeb.

Široký přístup k síti. Poskytované výpočetní zdroje jsou dostupné po síti prostřednictvím standardních mechanismů pro různé platformy, tenké a tlusté klienty ( mobilní telefony, tablety, notebooky, pracovní stanice atd.).

Sdružování zdrojů. Výpočetní zdroje poskytovatele jsou sdruženy, aby sloužily mnoha spotřebitelům pomocí modelu s více nájemci. Fondy zahrnují různé fyzické a virtuální prostředky, které lze dynamicky přiřazovat a znovu přiřazovat podle požadavků spotřebitelů. Není potřeba, aby to spotřebitel věděl přesná poloha zdrojů, ale můžete určit jejich umístění na vyšší úrovni abstrakce (například země, region nebo datové centrum). Příklady tohoto typu zdrojů zahrnují úložné systémy, výpočetní výkon, paměť, propustnost sítí.

Rychlá elasticita. Zdroje lze pružně přidělovat a uvolňovat, v některých případech automaticky, pro rychlé přizpůsobení poptávce. Pro spotřebitele jsou možnosti poskytování zdrojů chápány jako neomezené, to znamená, že si je lze přivlastnit v libovolném množství a kdykoli.

Měřená služba. Cloudové systémy automaticky spravují a optimalizují zdroje pomocí měřicích nástrojů implementovaných na úrovni abstrakce pro různé typy služeb (např externí paměť, zpracování, šířka pásma nebo aktivní uživatelské relace). Použité zdroje lze sledovat a kontrolovat, což poskytuje transparentnost jak pro poskytovatele, tak pro spotřebitele využívající službu.

Rýže. 8 Strukturální schéma cloudový server

Výhody a nevýhody cloud computingu

Výhody

· jsou sníženy nároky na výpočetní výkon PC (nezbytnou podmínkou je pouze přístup k internetu);

· odolnost proti chybám;

· bezpečnost;

· vysoká rychlost zpracování dat;

· snížení nákladů na hardware a software, údržbu a elektřinu;

· úspora místo na disku(data i programy jsou uloženy na internetu).

· Živá migrace – přenos virtuálního stroje z jednoho fyzického serveru na druhý bez zastavení provozu virtuálního stroje a zastavení služeb.

· Koncem roku 2010 se v souvislosti s DDoS útoky proti společnostem, které odmítly poskytnout zdroje WikiLeaks, ukázala další výhoda technologie cloud computingu. Všechny společnosti, které se postavily WikiLeaks, byly napadeny, ale pouze Amazon se ukázal být vůči těmto dopadům necitlivý, protože používal cloud computing. („Anonymní: vážná hrozba nebo pouhé obtěžování“, Network Security, N1, 2011).

Nedostatky

· závislost bezpečnosti uživatelských dat na společnostech poskytujících služby cloud computingu;

· neustálé připojení k síti – pro získání přístupu ke cloudovým službám potřebujete neustálé připojení k internetu. To však v dnešní době není tak velký nedostatek, zvláště s nástupem technologií. mobilní komunikace 3G a 4G.

· software a jeho modifikace – existují omezení softwaru, který lze nasadit na cloudy a poskytnout uživateli. Uživatel softwaru má omezení v používaném softwaru a někdy nemá možnost si jej přizpůsobit pro své vlastní účely.

· důvěrnost – důvěrnost dat uložených na veřejných cloudech v současnosti vyvolává řadu kontroverzí, ale ve většině případů se odborníci shodují, že se nedoporučuje ukládat pro firmu nejcennější dokumenty na veřejný cloud, protože v současné době neexistuje žádná technologie to by zaručovalo 100% důvěrnost uložených dat, a proto je použití šifrování v cloudu povinné.

· spolehlivost - s ohledem na spolehlivost uložených informací můžeme s jistotou říci, že pokud jste ztratili informace uložené v „cloudu“, ztratili jste je navždy.

· bezpečnost - samotný „cloud“ je poměrně spolehlivý systém, po proniknutí však útočník získá přístup k obrovskému datovému úložišti.Další nevýhodou je použití virtualizačních systémů, které využívají standardní jádra OS jako Linux, Windows hypervisor atd., který umožňuje použití virů.

· vysoké náklady na vybavení – pro vybudování vlastního cloudu potřebuje firma alokovat značné materiálové zdroje, což není výhodné pro nově vzniklé a malé firmy.

3. Referenční architektura

NIST Cloud Computing Reference Architecture obsahuje pět hlavních aktérů. Každý aktér hraje roli a vykonává činnosti a funkce. Referenční architektura je reprezentována jako sekvenční diagramy s rostoucí úrovní detailů.

Rýže. 9 Konceptuální schéma referenční architektury

Spotřebitel cloudu- osoba nebo organizace udržující obchodní vztah a využívající služby poskytovatelů cloudu.

Spotřebitelé cloudu jsou rozděleni do 3 skupin:

· SaaS – využívá aplikace k automatizaci obchodních procesů.

· PaaS – vyvíjí, testuje, nasazuje a spravuje aplikace nasazené v cloudovém prostředí.

· IaaS – vytváří a spravuje služby IT infrastruktury.

Poskytovatel cloudu- osoba, organizace nebo subjekt odpovědný za dostupnost cloudové služby pro spotřebitele cloudu.

· SaaS – instaluje, spravuje, udržuje a poskytuje software nasazený na cloudové infrastruktuře.

· PaaS – poskytuje a spravuje cloudovou infrastrukturu a middleware. Poskytuje vývojové a administrační nástroje.

· IaaS – poskytuje a udržuje servery, databáze a výpočetní zdroje. Poskytuje spotřebiteli strukturu cloudu.

Činnosti Cloud Providerů jsou rozděleny do 5 hlavních typických akcí:

Nasazení služeb:

o Privátní cloud – obsluhuje se jedna organizace. Infrastruktura je spravována jak samotnou organizací, tak třetí stranou a může být nasazena buď Poskytovatelem (off premise), nebo organizací (on premise).

o Sdílený cloud – infrastrukturu sdílí několik organizací s podobnými požadavky (zabezpečení, dodržování předpisů).

o Veřejný cloud – infrastrukturu využívá velké množství organizací s různými požadavky. Pouze mimo provozovnu.

o Hybridní cloud – infrastruktura kombinuje různé infrastruktury založené na podobných technologiích.

Správa služeb

o Úroveň služby - definuje základní služby poskytované Poskytovatelem.

§ SaaS – aplikace používaná Spotřebitelem při přístupu ke cloudu ze speciálních programů.

§ PaaS - kontejnery pro spotřebitelské aplikace, vývojové a administrační nástroje.

§ IaaS – výpočetní výkon, databáze, základní zdroje, nad nimiž spotřebitel nasazuje svou infrastrukturu.

o Úroveň abstrakce a kontroly zdrojů

§ Správa hypervizoru a virtuálních komponent nezbytných pro implementaci infrastruktury.

o Úroveň fyzických zdrojů

§ Počítačové vybavení

§ Inženýrská infrastruktura

o Dostupnost

o Důvěrnost

o Identifikace

o Bezpečnostní monitorování a řešení incidentů

o Bezpečnostní zásady

Soukromí

o Ochrana zpracování, uchovávání a předávání osobních údajů.

Cloud Auditor- účastník, který může provádět nezávislé hodnocení cloudových služeb, údržby informačních systémů, výkonu a bezpečnosti cloudových implementací.

Může provést vlastní hodnocení bezpečnosti, soukromí, výkonu atd. v souladu se schválenými dokumenty.

Rýže. 10 Činnost Poskytovatele

Cloudový makléř- subjekt, který řídí používání, výkon a poskytování cloudových služeb, jakož i navazování vztahu mezi Poskytovateli a Spotřebiteli.

S rozvojem cloud computingu může být integrace cloudových služeb pro spotřebitele příliš složitá.

o Zprostředkování služeb - rozšíření dané služby a poskytování nových příležitostí

o Agregace – spojování různých služeb, které poskytuje spotřebiteli

Cloudový telekomunikační operátor- zprostředkovatel poskytující služby připojení a přepravu (komunikační služby) pro dodání cloudových služeb od Poskytovatelů Spotřebitelům.

Poskytuje přístup přes komunikační zařízení

Poskytuje úroveň připojení v souladu se SLA.

Mezi pěti uvedenými aktéry je cloud broker volitelný, protože spotřebitelé cloudu mohou přijímat služby přímo od poskytovatele cloudu.

Představení herců je způsobeno potřebou studovat vztahy mezi subjekty.

4. Smlouva o úrovni služeb

Smlouva o úrovni služeb – dokument popisující úroveň dodávky služeb očekávanou klientem od dodavatele na základě ukazatelů, které se na ni vztahují tuto službu a stanovení odpovědnosti dodavatele v případě nedodržení dohodnutých ukazatelů.

Zde jsou některé indikátory, které se v té či oné podobě objevují v dokumentech operátora:

ASR (Poměr zabavení odpovědi) - parametr, který určuje kvalitu telefonního spojení v daném směru. ASR se vypočítá jako procento počtu telefonních spojení vytvořených v důsledku hovorů k celkovému počtu hovorů uskutečněných v daném směru.

PDD (zpoždění po vytáčení) - parametr, který definuje dobu (v sekundách), která uplynula od okamžiku hovoru do navázání telefonního spojení.

Poměr dostupnosti služby- poměr doby přerušení v poskytování služeb k celkové době, kdy má být služba poskytována.

Míra ztráty paketů- poměr správně přijatých datových paketů k celkovému počtu paketů, které byly přeneseny po síti za určité časové období.

Časová zpoždění při přenosu informačních paketů- doba potřebná k přenosu paketu informací mezi dvěma síťovými zařízeními.

Spolehlivost přenosu informací- poměr počtu chybně přenesených datových paketů k celkovému počtu přenesených datových paketů.

Období práce, čas na upozornění účastníků a čas na obnovení služeb.

Jinými slovy, dostupnost služby 99,99 % znamená, že operátor garantuje maximálně 4,3 minuty výpadku komunikace za měsíc, 99,9 % – že služba nesmí být poskytována po dobu 43,2 minut a 99 % – že přerušení může trvat déle než 7 hodin. V některých praktikách dochází k omezení dostupnosti sítě a předpokládá se nižší hodnota parametru – v mimopracovní době. Různé typy služeb (třídy dopravy) mají také různé hodnoty ukazatelů. Například pro hlas je nejdůležitější indikátor latence – měl by být minimální. Vyžaduje však nízkou rychlost a některé pakety lze ztratit bez ztráty kvality (až asi 1 % v závislosti na kodeku). Pro přenos dat je rychlost na prvním místě a ztráta paketů by měla mít tendenci k nule.

5. Metody a prostředky ochrany v cloud computingu

Důvěrnost musí být zajištěna v celém řetězci, včetně poskytovatele cloudového řešení, spotřebitele a komunikace mezi nimi.

Úkolem Poskytovatele je zajistit fyzickou i softwarovou integritu dat před útoky třetích osob. Spotřebitel musí „na svém vlastním území“ zavést vhodné zásady a postupy, které vylučují převod přístupových práv k informacím na třetí strany.

Problémy zajištění integrity informací v případě použití jednotlivých „cloudových“ aplikací lze řešit – díky moderním databázovým architekturám, systémům Rezervovat kopii, algoritmy kontroly integrity a další průmyslová řešení. Ale to není všechno. Při integraci více cloudových aplikací od různých dodavatelů mohou nastat nové výzvy.

V blízké budoucnosti bude pro společnosti, které potřebují bezpečné virtuální prostředí, jedinou možností vytvoření systému privátního cloudu. Faktem je, že privátní cloudy se na rozdíl od veřejných či hybridních systémů nejvíce podobají virtualizovaným infrastrukturám, které se IT oddělení velkých korporací již naučila implementovat a nad kterými si mohou ponechat plnou kontrolu. Nedostatky zabezpečení informací ve veřejných cloudových systémech představují vážný problém. K většině hackerských incidentů dochází ve veřejných cloudech.

6. Zabezpečení cloudových modelů

Úroveň rizika ve třech cloudových modelech je velmi odlišná a způsob řešení bezpečnostních problémů se také liší v závislosti na úrovni interakce. Požadavky na zabezpečení zůstávají stejné, ale v různých modelech, SaaS, PaaS nebo IaaS, se úroveň kontroly nad zabezpečením mění. Z logického hlediska se nic nemění, ale možnosti fyzické realizace jsou radikálně odlišné.

Rýže. 11. Nejaktuálnější hrozby kybernetické bezpečnosti

v modelu SaaS aplikace běží na cloudové infrastruktuře a je přístupná prostřednictvím webového prohlížeče. Klient neřídí síť, servery, operační systémy, úložiště ani některé funkce aplikací. Z tohoto důvodu leží v modelu SaaS primární odpovědnost za bezpečnost téměř výhradně na dodavatelích.

Problém číslo 1 je správa hesel. V modelu SaaS jsou aplikace umístěny v cloudu, takže hlavním rizikem je používání více účtů pro přístup k aplikacím. Organizace mohou tento problém vyřešit sjednocením účtů napříč cloudovými a místními systémy. Při použití systému jednotného přihlášení uživatelé získají přístup k pracovním stanicím a cloudovým službám pomocí jednoho účtu. Tento přístup snižuje pravděpodobnost uvízlých účtů, které jsou náchylné k neoprávněnému použití poté, co zaměstnanci odejdou.

Jak vysvětlil CSA, PaaS zahrnuje zákazníky, kteří vytvářejí aplikace pomocí programovacích jazyků a nástrojů podporovaných dodavatelem a poté je nasazují na cloudovou infrastrukturu. Stejně jako v modelu SaaS nemůže zákazník spravovat nebo ovládat infrastrukturu – sítě, servery, operační systémy nebo úložné systémy – ale má kontrolu nad nasazením aplikací.

V modelu PaaS musí uživatelé věnovat pozornost zabezpečení aplikací a také problémům souvisejícím se správou API, jako je ověřování oprávnění, autorizace a ověřování.

Problém číslo 1 je šifrování dat. Model PaaS je ze své podstaty bezpečný, ale riziko spočívá v nedostatečném výkonu systému. Důvodem je, že při komunikaci s poskytovateli PaaS se doporučuje šifrování, což vyžaduje další výpočetní výkon. V každém řešení však musí být přenos citlivých uživatelských dat prováděn přes šifrovaný kanál.

Zatímco zde zákazníci neovládají základní cloudovou infrastrukturu, mají kontrolu nad operačními systémy, úložištěm dat a nasazením aplikací a možná mají omezenou kontrolu nad výběrem síťových komponent.

Tento model má několik vestavěných funkcí zabezpečení bez ochrany samotné infrastruktury. To znamená, že uživatelé musí spravovat a zabezpečovat operační systémy, aplikace a obsah, obvykle prostřednictvím rozhraní API.

Pokud je toto přeloženo do jazyka metod zabezpečení, poskytovatel musí poskytnout:

· spolehlivé řízení přístupu k samotné infrastruktuře;

· odolnost proti chybám infrastruktury.

Spotřebitel cloudu zároveň přebírá mnohem více bezpečnostních funkcí:

· firewalling v rámci infrastruktury;

· ochrana proti vniknutí do sítě;

· ochrana operačních systémů a databází (kontrola přístupu, ochrana před zranitelností, kontrola nastavení zabezpečení);

· ochrana koncových aplikací (antivirová ochrana, kontrola přístupu).

Většina ochranných opatření tak leží na bedrech spotřebitele. Poskytovatel může poskytnout standardní doporučení pro ochranu nebo hotová řešení, která zjednoduší úkol pro koncové spotřebitele.

Tabulka 1. Rozdělení odpovědností za bezpečnost mezi klienta a poskytovatele služeb. (P - dodavatel, K - klient)

	Podnikový server
aplikace
Data
Doba běhu
Middleware
operační systém
Virtualizace
servery
Datové sklady
síťový hardware

7. Bezpečnostní audit

Úkoly cloudového auditora se v podstatě neliší od úkolů auditora konvenčních systémů. Audit zabezpečení cloudu se dělí na audit dodavatele a audit uživatele. Audit Uživatele se provádí na žádost Uživatele, přičemž audit Dodavatele je jednou z nejdůležitějších podmínek podnikání.

Skládá se z:

· zahájení procesu auditu;

· shromažďování informací o auditu;

· analýza dat auditu;

· příprava revizní zprávy.

Ve fázi zahájení auditu musí být vyřešeny otázky pravomocí auditora a načasování auditu. Musí být také stanovena povinná asistence zaměstnanců auditorovi.

Obecně platí, že auditor provádí audit, aby zjistil spolehlivost

· virtualizační systémy, hypervizor;

· servery;

· datové sklady;

· síťová zařízení.

Pokud dodavatel používá model IaaS na kontrolovaném serveru, bude tento test stačit k identifikaci zranitelnosti.

Při použití modelu PaaS je třeba provést další kontroly

· operační systém,

middleware,

· runtime prostředí.

Při použití modelu SaaS se kontrolují i ​​zranitelnosti

· systémy pro ukládání a zpracování dat,

· aplikace.

Bezpečnostní audit se provádí pomocí stejných metod a nástrojů jako auditování běžných serverů. Ale na rozdíl od běžného serveru je v cloudových technologiích hypervizor navíc kontrolován z hlediska stability. V cloudových technologiích je hypervizor jednou ze stěžejních technologií, a proto by jeho auditu měl být věnován zvláštní význam.

8. Vyšetřování incidentů a forenzní práce v cloud computingu

Opatření informační bezpečnosti lze rozdělit na preventivní (například šifrování a další mechanismy kontroly přístupu) a reaktivní (vyšetřování). Proaktivní aspekt cloudového zabezpečení je oblastí aktivního výzkumu, zatímco reaktivnímu aspektu cloudového zabezpečení se věnuje mnohem méně pozornosti.

Vyšetřování incidentů (včetně vyšetřování trestných činů v informační sféra) je známá sekce informační bezpečnosti. Cíle takového vyšetřování jsou obvykle:

Důkaz, že k trestnému činu/incidentu došlo

Obnovení událostí kolem incidentu

Identifikace pachatelů

Důkaz o zapojení a odpovědnosti pachatelů

Důkaz o nečestném úmyslu ze strany pachatelů.

Kvůli potřebě forenzní analýzy digitálních systémů se objevila nová disciplína - počítačová forenzní (nebo forenzní) věda. Cíle počítačové technické odbornosti jsou obvykle následující:

Obnova dat, která mohla být smazána

Obnovení událostí, ke kterým došlo uvnitř i vně digitálních systémů souvisejících s incidentem

Identifikace uživatelů digitálního systému

Detekuje přítomnost virů a jiného škodlivého softwaru

Detekce přítomnosti nelegálních materiálů a programů

Hackování hesel, šifrovacích klíčů a přístupových kódů

V ideálním případě je počítačová forenzní věda pro vyšetřovatele jakýmsi strojem času, který může kdykoli cestovat do minulosti digitálního zařízení a poskytnout výzkumníkovi informace o:

lidé, kteří zařízení v určitém okamžiku používali

akce uživatele (například otevírání dokumentů, přístup na webovou stránku, zadávání dat do textového editoru atd.)

data uložená, vytvořená a zpracovaná zařízením v určitý čas.

Cloudové služby nahrazující samostatná digitální zařízení by měly poskytovat podobnou úroveň forenzní připravenosti. To však vyžaduje překonání problémů spojených se sdružováním zdrojů, multi-tenancy a elasticitou infrastruktury cloud computingu. Hlavním nástrojem při vyšetřování incidentů je protokol auditu.

Protokoly auditu – určené ke sledování historie přihlášení uživatelů, administrativních úkolů a změn dat – jsou nezbytnou součástí bezpečnostního systému. V cloudových technologiích je samotný audit trail nejen nástrojem pro provádění šetření, ale také nástrojem pro kalkulaci nákladů na používání serverů. Přestože auditní stopa neodstraňuje bezpečnostní mezery, umožňuje vám podívat se na to, co se děje, kritickým okem a formulovat návrhy na nápravu situace.

Vytváření archivů a záloh je důležité, ale nemůže nahradit formální auditní záznam, který zaznamenává, kdo co udělal a kdy. Audit trail je jedním z primárních nástrojů bezpečnostního auditora.

Smlouva o poskytování služeb obvykle specifikuje, které auditní záznamy budou udržovány a poskytovány Uživateli.

9. Model ohrožení

V roce 2010 ČSA provedly analýzu hlavních bezpečnostních hrozeb v cloudových technologiích. Výsledkem jejich práce byl dokument „Top hrozby Cloud Computing v 1.0“, ve kterém jsou nejúplnější tento moment je popsán model hrozby a model vetřelce. V současné době se připravuje úplnější druhá verze tohoto dokumentu.

Aktuální článek popisuje útočníky pro tři modely služeb: SaaS, PaaS a IaaS. Bylo identifikováno 7 hlavních útočných vektorů. Z velké části jsou všechny typy zvažovaných útoků útoky vlastní běžným „necloudovým“ serverům. Cloudová infrastruktura jim ukládá určité funkce. K útokům na zranitelnosti v softwarové části serverů se například přidávají útoky na hypervizor, který je zároveň jejich softwarovou součástí.

Bezpečnostní hrozba #1

Nezákonné a nečestné používání cloudových technologií.

Popis:

K získání zdrojů od poskytovatele cloudu IaaS potřebuje uživatel pouze kreditní kartu. Snadná registrace a přidělování zdrojů umožňuje spammerům, autorům virů atd. používat cloudovou službu pro své vlastní kriminální účely. Dříve byl tento typ útoku pozorován pouze v PaaS, ale nedávné studie ukázaly možnost použití IaaS pro útoky DDOS, hostování škodlivého kódu, vytváření sítí botnetů a další.

Příklady služeb byly použity k vytvoření sítě botnetů založené na trojském koni „Zeus“, uložení kódu trojského koně „InfoStealer“ a zveřejnění informací o různých zranitelnostech MS Office a AdobePDF.

Sítě botnetů navíc používají IaaS ke správě svých kolegů a rozesílání spamu. Z tohoto důvodu byly některé služby IaaS na černé listině a jejich uživatelé byli poštovními servery zcela ignorováni.

· Vylepšené postupy registrace uživatelů

· Zlepšení postupů ověřování kreditních karet a sledování používání platebních nástrojů

· Komplexní studie síťové aktivity uživatelů služeb

· Sledování hlavních blacklistů, abyste zjistili, zda se tam zobrazuje síť poskytovatele cloudu.

Modely dotčených služeb:

Bezpečnostní hrozba #2

Nezabezpečená aplikační programovací rozhraní (API)

Popis:

Poskytovatelé cloudové infrastruktury poskytují uživatelům sadu softwarových rozhraní pro správu zdrojů, virtuálních strojů nebo služeb. Na bezpečnosti těchto rozhraní závisí bezpečnost celého systému.

Anonymní přístup k rozhraní a přenos přihlašovacích údajů v čistém textu jsou hlavní charakteristiky nezabezpečených softwarových rozhraní. Omezené možnosti monitorování využití API, nedostatek logovacích systémů a neznámé vztahy mezi různými službami jen zvyšují riziko hackingu.

· Proveďte analýzu bezpečnostního modelu poskytovatele cloudu

· Ujistěte se, že jsou používány silné šifrovací algoritmy

· Ujistěte se, že jsou používány silné metody ověřování a autorizace

· Pochopit celý řetězec závislostí mezi různými službami.

Modely dotčených služeb:

Bezpečnostní hrozba #3

Zasvěcenci

Popis:

Problém neoprávněného přístupu k informacím zevnitř je extrémně nebezpečný. Poskytovatel často nemá monitorovací systém pro činnost zaměstnanců, což znamená, že útočník může získat přístup ke klientským informacím pomocí své oficiální pozice. Vzhledem k tomu, že poskytovatel nezveřejňuje svou náborovou politiku, může hrozba pocházet buď od amatérského hackera nebo od organizované zločinecké struktury, která pronikla do řad zaměstnanců poskytovatele.

V současné době neexistují žádné příklady tohoto typu zneužívání.

Implementace přísných pravidel pro nákup vybavení a používání vhodných systémů detekce neoprávněné manipulace

Úprava pravidel přijímání zaměstnanců do veřejných zakázek s uživateli

Vytvoření transparentního bezpečnostního systému spolu se zveřejňováním zpráv o bezpečnostním auditu interních systémů poskytovatele

Modely dotčených služeb:

Rýže. 12 Příklad zasvěcence

Bezpečnostní hrozba #4

Chyby v cloudových technologiích

Popis:

Poskytovatelé služeb IaaS využívají abstrakci hardwarových prostředků pomocí virtualizačních systémů. Hardware však nemusí být navržen s ohledem na sdílené zdroje. Aby se minimalizoval dopad tohoto faktoru, hypervizor kontroluje přístup virtuálního stroje k hardwarovým prostředkům, nicméně i v hypervizorech se mohou vyskytovat závažná zranitelnost, jejichž použití může vést k eskalaci oprávnění nebo získání neoprávněného přístupu k fyzickému zařízení.

Pro ochranu systémů před takovými problémy je nutné zavést mechanismy pro izolaci virtuálních prostředí a systémů detekce poruch. Uživatelé virtuálního počítače by neměli mít přístup ke sdíleným prostředkům.

Existují příklady potenciální zranitelnosti, stejně jako teoretické metody pro obcházení izolace ve virtuálních prostředích.

· Implementace nejpokročilejších metod pro instalaci, konfiguraci a ochranu virtuálních prostředí

· Použití systémů detekce neoprávněné manipulace

· Aplikace spolehlivých autentizačních a autorizačních pravidel pro administrativní práci

· Zpřísnění požadavků na načasování oprav a aktualizací

· Provádění včasných postupů skenování a detekce zranitelnosti.

Bezpečnostní hrozba #5

Ztráta nebo únik dat

Popis:

Ke ztrátě dat může dojít z tisíců důvodů. Například úmyslné zničení šifrovacího klíče bude mít za následek, že šifrované informace budou neobnovitelné. Smazání dat nebo části dat, neoprávněný přístup k důležitá informace, změna záznamů nebo selhání média jsou také příklady takových situací. Ve složité cloudové infrastruktuře se pravděpodobnost každé události zvyšuje díky úzké interakci komponent.

Nesprávná aplikace pravidel ověřování, autorizace a auditu, nesprávné použití pravidel a metod šifrování a selhání zařízení mohou vést ke ztrátě nebo úniku dat.

· Použití spolehlivého a bezpečného API

· Šifrování a ochrana přenášených dat

· Analýza modelu ochrany dat ve všech fázích provozu systému

· Implementace spolehlivého systému správy šifrovacích klíčů

· Výběr a akvizice pouze těch nejspolehlivějších médií

· Zajištění včasného zálohování dat

Modely dotčených služeb:

Bezpečnostní hrozba #6

Krádež osobních údajů a neoprávněný přístup ke službě

Popis:

Tento typ hrozby není nový. Každý den se s ním setkávají miliony uživatelů. Hlavním cílem útočníků je uživatelské jméno (login) a jeho heslo. V kontextu cloudových systémů zvyšuje krádež hesel a uživatelských jmen riziko využívání dat uložených v cloudové infrastruktuře poskytovatele. Útočník tak má možnost využít pověsti oběti pro své aktivity.

· Zákaz převodu účtů

· Použití dvoufaktorových autentizačních metod

· Implementace proaktivního sledování neoprávněného přístupu

· Popis modelu zabezpečení poskytovatele cloudu.

Modely dotčených služeb:

Bezpečnostní hrozba #7

Další zranitelnosti

Popis:

Využití cloudových technologií k podnikání umožňuje společnosti soustředit se na své podnikání a poskytovateli cloudu ponechat péči o IT infrastrukturu a služby. Při propagaci své služby se poskytovatel cloudu snaží ukázat všechny schopnosti a zároveň odhalit detaily implementace. To může představovat vážnou hrozbu, protože znalost vnitřní infrastruktury dává útočníkovi příležitost najít neopravenou zranitelnost a zaútočit na systém. Aby se takovým situacím předešlo, poskytovatelé cloudu nemusí poskytovat informace o vnitřní struktuře cloudu, nicméně ani tento přístup nepřispívá ke zvýšení důvěry, protože potenciální uživatelé nejsou schopni posoudit míru zabezpečení dat. Tento přístup navíc omezuje možnost včasného nalezení a odstranění zranitelnosti.

· Odmítnutí Amazonu provést audit zabezpečení cloudu EC2

· Chyba zabezpečení ve zpracovatelském softwaru, která vedla k narušení bezpečnostního systému datového centra Hearthland

· Zpřístupnění dat protokolu

· Úplné nebo částečné zveřejnění systémové architektury a podrobností o nainstalovaném softwaru

· Používání systémů sledování zranitelnosti.

Modely dotčených služeb:

1. Právní základ

Podle odborníků lze 70 % bezpečnostních problémů v cloudu předejít, pokud správně sepíšete servisní smlouvu.

Základem takové dohody by mohla být Cloudová listina práv.

Cloud Bill of Rights byl vyvinut v roce 2008 Jamesem Urquhartem. Tento materiál publikoval na svém blogu, což vzbudilo takový zájem a kontroverze, že autor pravidelně aktualizuje svůj „rukopis“ v souladu s realitou.

Článek 1 (částečný): Zákazníci vlastní svá data

· Žádný výrobce (ani dodavatel) nesmí v žádné interakci se zákazníky jakéhokoli plánu diskutovat o právech k jakýmkoli nahraným, vytvořeným, generovaným, upraveným nebo jiným datům, ke kterým má zákazník práva.

· Výrobci musí zpočátku poskytnout minimální možnost přístupu k zákaznickým datům i ve fázi vývoje řešení a služeb.

· Zákazníci vlastní svá data, což znamená, že jsou odpovědní za to, že data budou v souladu s předpisy a zákony.

· Protože problémy s dodržováním předpisů týkajících se používání dat, zabezpečení a dodržování předpisů jsou kritické, je nutné, aby zákazník určil geografickou polohu svých vlastních dat. V opačném případě musí výrobci poskytnout uživatelům veškeré záruky, že jejich data budou uložena v souladu se všemi pravidly a předpisy.

Článek 2: Výrobci a zákazníci společně vlastní a spravují úrovně služeb v systému

· Výrobci vlastní a musí udělat vše pro to, aby naplnili úroveň služeb pro každého klienta individuálně. Veškeré potřebné zdroje a úsilí vynaložené k dosažení náležité úrovně služeb při práci s klienty musí být pro klienta bezplatné, to znamená, že nejsou zahrnuty v ceně služby.

· Klienti jsou zase zodpovědní a vlastní úroveň služeb poskytovaných svým vlastním interním a externím klientům. Při používání řešení výrobce k poskytování vlastních služeb by odpovědnost klienta a úroveň takové služby neměla zcela záviset na výrobci.

· Pokud je nutné integrovat systémy výrobce a zákazníka, měli by výrobci nabídnout zákazníkům možnost monitorovat proces integrace. Pokud má klient podnikové standardy pro integraci informačních systémů, musí výrobce tyto standardy dodržovat.

· Výrobci by za žádných okolností neměli uzavírat zákaznické účty kvůli politickým prohlášením, nevhodným projevům, náboženským komentářům, pokud to neporušuje konkrétní zákonná ustanovení, nepředstavuje projev nenávisti atd.

Článek 3: Výrobci vlastní svá rozhraní

· Výrobci nejsou povinni poskytovat standardní rozhraní nebo rozhraní open source, není-li ve smlouvách s klientem uvedeno jinak. Výrobci mají práva na rozhraní. Pokud výrobce nepovažuje za možné poskytnout klientovi možnost úpravy rozhraní ve známém programovacím jazyce, může si klient zakoupit od výrobce nebo vývojářů třetích stran služby pro úpravu rozhraní v souladu s jeho vlastními požadavky.

· Klient má však právo zakoupenou službu využívat pro své účely, rozšiřovat její možnosti, replikovat a vylepšovat. Tento odstavec nezbavuje zákazníky odpovědnosti za patentové právo a práva duševního vlastnictví.

Výše uvedené tři články jsou základy pro zákazníky a výrobce v cloudu. Jejich plné znění si můžete přečíst v otevřený přístup na internetu. Tento návrh zákona samozřejmě není úplným právním dokumentem, tím méně oficiálním. Jeho články lze kdykoli měnit a rozšiřovat, stejně jako lze návrh zákona doplňovat o nové články. Jedná se o pokus formalizovat „vlastnictví“ v cloudu, abychom nějak standardizovali tuto svobodu milující oblast znalostí a technologií.

Vztahy mezi stranami

Nejlepším odborníkem v oblasti cloudové bezpečnosti je dnes Cloud Security Alliance (CSA). Organizace vydala a nedávno aktualizovala pokyny, které zahrnují stovky úvah a úvah, které je třeba vzít v úvahu při posuzování rizik v cloud computingu.

Další organizací, jejíž aktivity se zabývají aspekty bezpečnosti v cloudu, je Trusted Computing Group (TCG). Je autorkou několika standardů v této a dalších oblastech, včetně dnes široce používaných Trusted Storage, Trusted Network Connect (TNC) a Trusted Platform Module (TPM).

Tyto organizace společně vypracovaly řadu problémů, které musí zákazník a poskytovatel vyřešit při uzavírání smlouvy. Tyto otázky vám umožní vyřešit většinu problémů při používání cloudu, okolnostech vyšší moci, změně poskytovatele cloudových služeb a dalších situacích.

1. Zabezpečení uložených dat. Jak poskytovatel služeb zajišťuje bezpečnost uložených dat?

Nejlepším opatřením k ochraně dat umístěných v úložišti je použití šifrovacích technologií. Poskytovatel musí vždy zašifrovat informace o zákaznících uložené na jeho serverech, aby zabránil neoprávněnému přístupu. Poskytovatel musí také trvale smazat data, pokud již nejsou potřeba nebo budou vyžadovány v budoucnu.

2. Ochrana dat při přenosu. Jak poskytovatel zajišťuje bezpečnost dat při přenosu (v rámci cloudu a na cestě z/do cloudu)?

Přenášená data musí být vždy šifrována a přístupná uživateli až po autentizaci. Tento přístup zajišťuje, že tato data nemůže nikdo upravovat nebo číst, i když k nim přistupuje prostřednictvím nedůvěryhodných uzlů v síti. Tyto technologie byly vyvíjeny „tisíce člověkoroků“ a vedly k vytvoření robustních protokolů a algoritmů (např. TLS, IPsec a AES). Poskytovatelé by měli používat tyto protokoly spíše než vymýšlet své vlastní.

3. Autentizace. Jak poskytovatel zná pravost klienta?

Nejběžnější metodou ověřování je ochrana heslem. Poskytovatelé, kteří se snaží svým zákazníkům nabídnout větší zabezpečení, se však obracejí k výkonnějším nástrojům, jako jsou certifikáty a tokeny. Spolu s používáním ověřovacích nástrojů odolnějších proti neoprávněné manipulaci musí být poskytovatelé schopni pracovat se standardy, jako jsou LDAP a SAML. To je nezbytné pro zajištění interakce mezi poskytovatelem a identifikačním systémem uživatele klienta při autorizaci a stanovení oprávnění udělených uživateli. Díky tomu bude mít poskytovatel vždy aktuální informace o oprávněných uživatelích. Nejhorší scénář je, když klient poskytne poskytovateli konkrétní seznam oprávněných uživatelů. V tomto případě mohou zpravidla nastat potíže při propuštění zaměstnance nebo jeho přesunu na jinou pozici.

4. Izolace uživatelů. Jak jsou data a aplikace jednoho zákazníka odděleny od dat a aplikací ostatních zákazníků?

Nejlepší možnost: když každý klient používá samostatný virtuální stroj (VM) a virtuální síť. Oddělení mezi virtuálními počítači a tedy i mezi uživateli zajišťuje hypervizor. Virtuální sítě jsou zase nasazovány pomocí standardních technologií, jako jsou VLAN (Virtual Local Area Network), VPLS (Virtual Private LAN Service) a VPN (Virtual Private Network).

Někteří poskytovatelé umisťují všechna zákaznická data do jediného softwarového prostředí a prostřednictvím změn v jeho kódu se snaží od sebe data zákazníků izolovat. Tento přístup je bezohledný a nespolehlivý. Za prvé by útočník mohl najít díru v nestandardním kódu, která mu umožní získat přístup k datům, která by neměl vidět. Za druhé, chyba v kódu může vést k tomu, že jeden klient náhodně „uvidí“ data jiného klienta. V poslední době se staly oba případy. Proto je pro oddělení uživatelských dat rozumnějším krokem použití různých virtuálních strojů a virtuálních sítí.

5. Regulační otázky. Do jaké míry poskytovatel dodržuje zákony a předpisy platné pro odvětví cloud computingu?

V závislosti na jurisdikci se zákony, předpisy a jakákoli zvláštní ustanovení mohou lišit. Mohou například zakázat export dat, vyžadovat použití přísně definovaných bezpečnostních opatření, kompatibilitu s určitými standardy a možnost auditu. Nakonec mohou požadovat, aby vládní ministerstva a soudy měly v případě potřeby přístup k informacím. Neopatrný přístup poskytovatele k těmto bodům může vést k významným výdajům pro jeho klienty v důsledku právních důsledků.

Poskytovatel je povinen dodržovat přísná pravidla a dodržovat jednotnou strategii v právní a regulační oblasti. To zahrnuje zabezpečení uživatelských dat, export, shodu, audit, uchovávání a mazání dat a zpřístupňování informací (to platí zejména v případě, že na stejném fyzickém serveru mohou být uloženy informace od více klientů). Pro zjištění je klientům důrazně doporučeno vyhledat pomoc u specialistů, kteří tuto problematiku důkladně prostudují.

6. Reakce na incidenty. Jak poskytovatel reaguje na incidenty a jak jsou jeho zákazníci pravděpodobně do incidentu zapojeni?

Někdy nejde všechno podle plánu. Poskytovatel služeb je proto povinen dodržovat konkrétní pravidla chování v případě nepředvídaných okolností. Tato pravidla musí být zdokumentována. Poskytovatelé se musí podílet na identifikaci incidentů a minimalizaci jejich následků informováním uživatelů o aktuální situaci. V ideálním případě by měli pravidelně poskytovat klientům co nejpodrobnější informace o dané problematice. Kromě toho je na zákaznících, aby vyhodnotili pravděpodobnost výskytu bezpečnostních problémů a podnikli příslušná opatření.

10. Mezinárodní a domácí normy

Vývoj cloudových technologií předstihuje snahy o vytvoření a úpravu požadovaných průmyslových standardů, z nichž mnohé nebyly aktualizovány po mnoho let. Legislativa v oblasti cloudových technologií je proto jedním z nejdůležitějších kroků k zajištění bezpečnosti.

IEEE, jedna z největších organizací pro vývoj standardů, oznámila spuštění speciálního projektu v oblasti cloudových technologií, Cloud Computing Initiative. Jedná se o první iniciativu standardizace cloudu, která byla zahájena na mezinárodní úrovni – až dosud byly cloudové standardy primárně zpracovávány průmyslovými konsorcii. Iniciativa v současné době zahrnuje 2 projekty: IEEE P2301 (tm), „Návrh průvodce pro zajištění přenositelnosti a interoperability profilů cloudových technologií“ a IEEE P2302 (tm) – „Návrh standardu pro zajištění interoperability a distribuované interoperability (federace) cloudových systémů “

V rámci IEEE Standards Development Association byly vytvořeny 2 nové pracovní skupiny pro práci na projektech IEEE P2301 a IEEE P2302. IEEE P2301 bude obsahovat profily stávajících a nově vznikajících standardů v oblastech aplikací, přenositelnosti, správy a interoperability rozhraní, stejně jako formáty souborů a provozní konvence. Informace v dokumentu budou logicky strukturovány v souladu s různými cílovými skupinami: prodejci, poskytovatelé služeb a další zainteresovaní účastníci trhu. Očekává se, že po dokončení bude moci být standard použit při nákupu, vývoji, konstrukci a používání cloudových produktů a služeb založených na standardních technologiích.

Standard IEEE P2302 bude popisovat základní topologii, protokoly, funkčnost a techniky správy potřebné k vzájemné spolupráci různých cloudových struktur (například interoperabilita mezi privátním cloudem a veřejným cloudem, jako je EC2). Tento standard umožní poskytovatelům cloudových produktů a služeb těžit z úspor z rozsahu a zároveň poskytovat transparentnost uživatelům služeb a aplikací.

ISO připravuje speciální standard věnovaný bezpečnosti cloud computingu. Hlavním zaměřením nového standardu je řešení organizačních problémů souvisejících s cloudy. Vzhledem ke složitosti schvalovacích postupů ISO by však finální verze dokumentu měla být vydána až v roce 2013.

Hodnota dokumentu spočívá v tom, že se na jeho přípravě podílejí nejen vládní organizace (NIST, ENISA), ale také zástupci odborných komunit a sdružení jako ISACA a CSA. Jeden dokument navíc obsahuje doporučení jak pro poskytovatele cloudových služeb, tak pro jejich spotřebitele – klientské organizace.

Hlavním cílem tohoto dokumentu je podrobně popsat osvědčené postupy spojené s používáním cloud computingu z hlediska bezpečnosti informací. Norma se přitom nesoustředí pouze na technické aspekty, ale spíše na organizační aspekty, na které se při přechodu na cloud computing nesmí zapomínat. To zahrnuje rozdělení práv a odpovědností, podepisování dohod s třetími stranami, správu aktiv vlastněných různými účastníky cloudového procesu, otázky personálního managementu a tak dále.

Nový dokument z velké části zahrnuje materiály vyvinuté dříve v IT průmyslu.

Australská vláda

Po několika měsících brainstormingu vydala australská vláda řadu pokynů pro přechod na cloud computing. 15. února 2012 byly tyto pokyny zveřejněny na blogu australského vládního úřadu pro správu informací (AGIMO).

Pro usnadnění migrace společností do cloudu byla připravena doporučení nejlepší praxe používání cloudových služeb ve světle souladu s požadavky příruček Better Practice Guides for Financial Management and Accountability Act z roku 1997. Směrnice se obecně zabývají finančními, právními problémy a otázkami ochrany soukromí.

Průvodci hovoří o nutnosti průběžně sledovat a kontrolovat využívání cloudových služeb prostřednictvím každodenní analýzy účtů a sestav. To vám pomůže vyhnout se skrytým „cheatům“ a stát se závislými na poskytovatelích cloudových služeb.

První příručka se jmenuje „Cloud Computing a soukromí pro australské vládní agentury“ (Privacy and Cloud Computing for Australian Government Agencies, 9 stran). Tento dokument klade zvláštní důraz na otázky ochrany soukromí a bezpečnosti při ukládání dat.

Kromě této příručky byla připravena také Vyjednávání cloudu – právní problémy ve smlouvách o cloud computingu (19 stran), aby vám pomohla porozumět ustanovením obsaženým ve smlouvách o cloud computingu.

Poslední třetí příručka, Finanční úvahy pro vládní využití cloud computingu (6 stran), zkoumá finanční problémy, které by společnost měla zvážit, pokud se rozhodne využívat cloud computing ve svých obchodních operacích.

Kromě těch, které jsou uvedeny v pokynech, existuje řada dalších problémů, které je třeba řešit při používání cloud computingu, včetně problémů souvisejících se státní správou, nákupem a zásadami řízení podniku.

Veřejná diskuse o tomto analytickém dokumentu poskytuje zúčastněným stranám příležitost zvážit a vyjádřit se k následujícím problematickým otázkám:

· Neoprávněný přístup k utajovaným informacím;

· Ztráta přístupu k datům;

Nezajištění integrity a pravosti dat a

· Pochopení praktických aspektů spojených s poskytováním cloudových služeb.

11. Územní příslušnost dat

Různé země mají řadu předpisů, které vyžadují, aby citlivá data zůstala v zemi. A přestože ukládání dat na určitém území není na první pohled obtížným úkolem, poskytovatelé cloudové službyčasto to nemůže zaručit. V systémech s vysokým stupněm virtualizace lze data a virtuální stroje přesouvat z jedné země do druhé pro různé účely – vyvažování zátěže, zajištění odolnosti proti chybám.

Někteří významní hráči na trhu SaaS (jako Google, Symantec) mohou zaručit, že data budou uložena v příslušné zemi. Jde ale spíše o výjimky, obecně je splnění těchto požadavků stále poměrně vzácné. I když data zůstanou v zemi, zákazníci to nemají jak ověřit. Kromě toho bychom neměli zapomínat na mobilitu zaměstnanců společnosti. Pokud je specialista pracující v Moskvě vyslán do New Yorku, pak je pro něj lepší (nebo alespoň rychlejší) příjem dat z datového centra v USA. Zajistit toto je o řád obtížnější úkol.

12. Státní normy

V tuto chvíli naše země nemá žádný seriózní regulační rámec cloudové technologie, i když vývoj v této oblasti již probíhá. Tedy nařízením prezidenta Ruské federace č. 146 ze dne 8. února 2012. určil, že federální výkonné orgány oprávněné v oblasti zajištění bezpečnosti dat v informační systémy vytvořené pomocí superpočítačových a gridových technologií jsou FSB Ruska a FSTEC Ruska.

V souvislosti s touto vyhláškou došlo k rozšíření působnosti těchto služeb. FSB Ruska nyní vyvíjí a schvaluje regulační a metodické dokumenty k zajištění bezpečnosti těchto systémů, organizuje a provádí výzkum v oblasti informační bezpečnosti.

Služba dále provádí odborné kryptografické, inženýrsko-kryptografické a speciální studie těchto informačních systémů a zpracovává odborná stanoviska k návrhům prací na jejich vytvoření.

Dokument také stanoví, že FSTEC Ruska vypracovává strategii a určuje prioritní oblasti činnosti k zajištění bezpečnosti informací v informačních systémech vytvořených pomocí superpočítačových a gridových technologií, které zpracovávají omezená data, a také sleduje stav prací k zajištění uvedené bezpečnosti.

FSTEC objednal studii, v jejímž důsledku se objevila beta verze „terminálního systému v oblasti cloudových technologií“.

Jak jistě chápete, celý tento Terminologický systém je upraveným překladem dvou dokumentů: „Technická zpráva skupiny zaměřené na cloud computing“ a „Definice cloud computingu NIST“. Fakt, že tyto dva dokumenty spolu ve skutečnosti nesouhlasí, je samostatný problém. Ale vizuálně je to stále jasné: v ruském „Terminosystému“ autoři pro začátek jednoduše neposkytli odkazy na tyto anglické dokumenty.

Faktem je, že pro takovou práci je nutné nejprve prodiskutovat koncept, cíle a záměry a metody jejich řešení. Existuje mnoho otázek a komentářů. Hlavní metodická poznámka: musíte velmi jasně formulovat, jaký problém tento výzkum řeší, jeho účel. Hned podotýkám, že „vytvoření terminologického systému“ nemůže být cílem, je to prostředek, ale dosažení toho, co zatím není příliš jasné.

Nemluvě o tom, že běžná studie by měla obsahovat část „přehled aktuálního stavu věcí“.

Bez znalosti původní formulace problému a toho, jak jej jeho autoři vyřešili, je obtížné diskutovat o výsledcích studie.

Ale jedna zásadní chyba Terminologického systému je jasně viditelná: nelze diskutovat o „cloudových tématech“ odděleně od „necloudových“. Mimo obecný kontext IT. Ale právě tento kontext je ve studii neviditelný.

A výsledkem toho je, že v praxi nebude možné takový terminologický systém aplikovat. Jen to může situaci ještě více zamotat.

13. Bezpečnostní nástroje v cloudových technologiích

Bezpečnostní systém cloudového serveru ve své minimální konfiguraci musí zajistit bezpečnost síťového zařízení, datového úložiště, serveru a hypervizoru. Kromě toho je možné umístit antivirus do vyhrazeného jádra, aby se zabránilo infekci hypervizoru prostřednictvím virtuálního počítače, systému šifrování datového úložiště uživatelské informace v šifrované podobě a nástroje pro implementaci šifrovaného tunelování mezi virtuálním serverem a klientským počítačem.

K tomu potřebujeme server, který podporuje virtualizaci. Řešení tohoto druhu nabízí Cisco, Microsoft, VMWare, Xen, KVM.

Je také přípustné používat klasický server a poskytovat na něm virtualizaci pomocí hypervizoru.

Jakýkoli server s kompatibilními procesory je vhodný pro virtualizaci operačních systémů pro platformy x86-64.

Takové řešení zjednoduší přechod na výpočetní virtualizaci bez dalších finančních investic do upgradů zařízení.

Schéma práce:

Rýže. 11. Příklad cloudového serveru

Rýže. 12. Odezva serveru na selhání hardwaru

V tuto chvíli je trh zabezpečení cloud computingu stále docela prázdný. A není se čemu divit. Při absenci regulačního rámce a neznámých budoucích standardech vývojové společnosti nevědí, kam zaměřit své úsilí.

I v takových podmínkách se však objevují specializované softwarové a hardwarové systémy, které umožňují zabezpečit strukturu cloudu před hlavními typy hrozeb.

· Porušení integrity

Hacknutí hypervizoru

· Zasvěcenci

· Identifikace

Autentizace

· Šifrování

Accord-V

Hardwarový a softwarový systém Accord-V. navržený k ochraně virtualizační infrastruktury VMware vSphere 4.1, VMware vSphere 4.0 a VMware Infrastructure 3.5.

Accord-V. poskytuje ochranu pro všechny součásti virtualizačního prostředí: servery ESX a samotné virtuální stroje, servery pro správu vCenter a další servery se službami VMware (například VMware Consolidated Backup).

Hardwarový a softwarový komplex Accord-V implementuje následující ochranné mechanismy:

· Krok za krokem řízení integrity hypervizoru, virtuálních strojů, souborů uvnitř virtuálních strojů a serverů pro správu infrastruktury;

· Omezení přístupu správce virtuální infrastruktura a bezpečnostní správci;

· Omezení přístupu uživatelů v rámci virtuálních strojů;

· Hardwarová identifikace všech uživatelů a správců virtualizační infrastruktury.

· INFORMACE O DOSTUPNOSTI CERTIFIKÁTŮ:

Certifikát o shodě FSTEC Ruska č. 2598 ze dne 20. března 2012 potvrzuje, že softwarový a hardwarový systém Accord-V pro ochranu informací před neoprávněným přístupem je softwarový a hardwarový prostředek ochrany informací, který neobsahuje informace představující státní tajemství. před neoprávněným přístupem, vyhovuje požadavkům řídících dokumentů "Počítačová zařízení. Ochrana před neoprávněným přístupem k informacím. Ukazatele zabezpečení proti neoprávněnému přístupu k informacím" (Státní technická komise Ruska, 1992) - podle 5 bezpečnostní třídy, "Ochrana před neoprávněným přístupem k informacím. Část 1. Software pro nástroje informační bezpečnosti. Klasifikace podle úrovně kontroly nad absencí nedeklarovaných schopností" (Státní technická komise Ruska, 1999) - podle 4 stupeň kontroly a technické podmínky TU 4012-028-11443195-2010, dále je lze využít k vytváření automatizovaných systémů do bezpečnostní třídy 1G včetně a k ochraně informací v informačních systémech osobních údajů do třídy 1 včetně.

vGate R2

vGate R2 je certifikovaný nástroj pro ochranu informací před neoprávněným přístupem a sledování implementace politik informační bezpečnosti pro virtuální infrastrukturu založenou na systémech VMware vSphere 4 a VMware vSphere 5.S R2 - verze produktu použitelná pro ochranu informací ve virtuálních infrastrukturách veřejných společností, jejichž IP požadavky uplatňují požadavky na používání systémů informační bezpečnosti s vysokou úrovní certifikace.

Umožňuje automatizovat práci administrátorů při konfiguraci a provozu bezpečnostního systému.

Pomáhá bojovat proti chybám a zneužití při správě virtuální infrastruktury.

Umožňuje uvést virtuální infrastrukturu do souladu s legislativou, průmyslovými standardy a nejlepšími globálními postupy.

<#"783809.files/image017.gif"> <#"783809.files/image018.gif"> <#"783809.files/image019.gif"> <#"783809.files/image020.gif"> Rýže. 13 Uvedené schopnosti vGate R2 Abychom to shrnuli, zde jsou hlavní nástroje, které má vGate R2 k ochraně datového centra poskytovatele služeb před interními hrozbami pocházejícími od jeho vlastních správců: · Organizační a technické oddělení pravomocí pro správce vSphere · Přidělení samostatné role pro administrátora informační bezpečnosti, který bude spravovat zabezpečení zdrojů datového centra na bázi vSphere · Rozdělení cloudu do bezpečnostních zón, ve kterých působí správci s příslušnou úrovní oprávnění · Monitorování integrity virtuálních strojů · Možnost kdykoli přijímat zprávy o zabezpečení infrastruktury vSphere a také auditovat události zabezpečení informací V zásadě je to prakticky vše, co je potřeba k ochraně infrastruktury virtuálního datového centra před vnitřními hrozbami z pohledu virtuální infrastruktury. Samozřejmě budete potřebovat i ochranu na úrovni hardwaru, aplikací a hostujících OS, ale to je další problém, který umí vyřešit i produkty společnosti Security Code<#"783809.files/image021.gif"> Rýže. 14. Struktura serveru. Pro zajištění bezpečnosti na takovém zařízení je nutné zajistit bezpečnost podle tabulky 2. K tomu doporučuji použít software vGate R2. Umožní vám řešit problémy jako: · Posílená autentizace správců virtuální infrastruktury a správců informační bezpečnosti. · Ochrana nástrojů pro správu virtuální infrastruktury před neoprávněným přístupem. · Ochrana ESX serverů před neoprávněným přístupem. · Povinná kontrola přístupu. · Monitorování integrity konfigurací virtuálních strojů a důvěryhodného spouštění. · Řízení přístupu správců VI k datům virtuálních strojů. · Evidence událostí souvisejících s informační bezpečností. · Sledování integrity a ochrana proti neoprávněnému přístupu složek informační bezpečnosti. · Centralizované řízení a monitorování. Tabulka 2: Soulad se zabezpečením pro model PaaS Certifikát FSTEC Ruska (SVT 5, NDV 4) umožňuje použití produktu v automatizovaných systémech úrovně zabezpečení do třídy 1G včetně a v informačních systémech osobních údajů (ISPDn) do třídy K1 včetně. Náklady na toto řešení budou 24 500 rublů za 1 fyzický procesor na chráněném hostiteli. Kromě toho, pro ochranu před zasvěcenými osobami, budete muset nainstalovat bezpečnostní alarm. Tato řešení jsou na trhu ochrany serverů poměrně široce dostupná. Cena takového řešení s omezeným přístupem do kontrolované oblasti, poplašným systémem a video dohledem se pohybuje od 200 000 rublů a výše Vezměme například částku 250 000 rublů. Pro ochranu virtuálních strojů před virovými infekcemi bude McAfee Total Protection for Virtualization běžet na jednom jádru serveru. Náklady na řešení jsou od 42 200 rublů. Aby se zabránilo ztrátě dat na úložištích, bude použit systém Symantec Netbackup. Umožňuje vám spolehlivě zálohovat informace a obrazy systému. Celkové náklady na realizaci takového projektu budou: Implementaci takového konstrukčního řešení založeného na Microsoftu lze stáhnout zde: http://www.microsoft.com/en-us/download/confirmation. aspx? id=2494 Závěr „Cloudové technologie“ jsou v současnosti jednou z nejaktivněji se rozvíjejících oblastí IT trhu. Pokud se tempo růstu technologií nesníží, pak do roku 2015 přinesou do pokladen evropských zemí více než 170 milionů eur ročně. U nás se s cloudovými technologiemi zachází opatrně. Částečně je to způsobeno rigiditou názorů managementu, částečně nedostatkem důvěry v bezpečnost. Ale tento typ technologie se všemi svými výhodami a nevýhodami je novou lokomotivou pokroku IT. Aplikaci „z druhé strany cloudu“ vůbec nezajímá, zda svůj požadavek tvoříte na počítači s x86 procesorem Intel, AMD, VIA, nebo jej skládáte na telefonu či smartphonu založeném na ARM procesoru od Freescale. , OMAP, Tegra. Navíc mu bude vcelku jedno, zda používáte operační systémy Linux Google Chrome, OHA Android, Intel Moblin, Windows CE, Windows Mobilní Windows XP/Vista/7, nebo k tomu použijte něco ještě exotičtějšího. Kdyby byl požadavek napsán správně a srozumitelně a váš systém by dokázal „ovládnout“ obdrženou odpověď. Otázka bezpečnosti je jednou z hlavních v cloud computingu a její řešení kvalitativně zlepší úroveň služeb v počítačové oblasti. V tomto směru však zbývá ještě mnoho udělat. U nás se vyplatí začít s jednotným slovníkem pojmů pro celý IT obor. Vyvíjet standardy založené na mezinárodních zkušenostech. Předložte požadavky na ochranné systémy. Literatura 1. Finanční úvahy pro vládní využití cloud computingu – australská vláda 2010. 2. Ochrana osobních údajů a cloud computing pro australské vládní agentury 2007. Vyjednávání cloudu – právní problémy v dohodách o cloud computingu 2009. Časopis "Moderní věda: Současné problémy teorie a praxe" 2012. Podobné práce jako - Informační bezpečnost v cloud computingu: zranitelnosti, metody a prostředky ochrany, nástroje pro audit a vyšetřování incidentů

GRIGORIEV1 Vitaly Robertovich, kandidát technických věd, docent KUZNETSOV2 Vladimir Sergeevich

PROBLÉMY S IDENTIFIKACÍ CHYBNÝCH STRÁNEK V MODELU CLOUD COMPUTING

Článek přináší přehled přístupů k budování koncepčního modelu cloud computingu a také srovnání stávajících pohledů na identifikaci zranitelností, které jsou systémům postaveným na základě tohoto modelu vlastní. Klíčová slova Klíčová slova: cloud computing, zranitelnost, jádro hrozby, virtualizace.

Účelem tohoto článku je zhodnotit přístupy k budování koncepčního modelu cloud computingu, uvedené v dokumentu „NIST Cloud Computing Reference Architecture“, a porovnat názory předních organizací v této oblasti na zranitelnosti v podmínkách tohoto výpočetního modelu, stejně jako hlavní hráči na trhu vytváření cloudových systémů.

Cloud computing je model, který poskytuje pohodlný síťový přístup na vyžádání ke sdíleným, konfigurovatelným výpočetním zdrojům (sítím, serverům, datovým úložištím, aplikacím a službám), který je rychle poskytován s minimálním úsilím o správu a interakci s poskytovatelem služeb. Tato definice National Institute of Standards (NIST) je široce přijímána v celém odvětví. Definice cloud computingu zahrnuje pět hlavních základních charakteristik, tři modely služeb a čtyři modely nasazení.

Pět klíčových funkcí

Samoobsluha na vyžádání

Uživatelé mohou získávat, ovládat a spravovat výpočetní zdroje bez pomoci systémových administrátorů. Široký síťový přístup – výpočetní služby jsou poskytovány prostřednictvím standardních sítí a heterogenních zařízení.

Provozní elasticita - 1T-

zdroje lze podle potřeby rychle škálovat libovolným směrem.

Fond zdrojů – zdroje 1T jsou sdíleny různými aplikacemi a uživateli odděleným způsobem.

Kalkulace nákladů na služby - využití IT zdrojů je sledováno pro každou aplikaci a uživatele, zpravidla pro zajištění fakturace za veřejný cloud a interní kalkulace za využití privátních cloudů.

Tři servisní modely

Software jako služba (SaaS) – Aplikace jsou obvykle poskytovány jako služba koncovým uživatelům prostřednictvím webového prohlížeče. V současnosti jsou k dispozici stovky nabídek SaaS, od horizontálních podnikových aplikací až po nabídky specifické pro odvětví, stejně jako spotřebitelské aplikace, jako je e-mail.

Platform as a Service (PaaS) – Platforma pro vývoj a nasazení aplikací je poskytována jako služba vývojářům pro vytváření, nasazování a správu aplikací SaaS. Platforma obvykle zahrnuje databáze, middleware a vývojové nástroje, které jsou všechny dodávány jako služba přes internet. PaaS se často zaměřuje na programovací jazyk nebo API, jako je Java nebo Python. Virtualizovaná clusterová architektura distribuovaných výpočtů často slouží jako základ systémů

1 - MSTU MIREA, docent katedry informační bezpečnosti;

2 - Moskva Státní univerzita Radioelektronika a automatizace (MSTU MIREA), student.

RaaYa, protože struktura sítě síťového zdroje poskytuje nezbytnou elastickou škálovatelnost a sdružování zdrojů. Infrastructure as a Service (IaaS) – servery, úložiště a síťový hardware jsou poskytovány jako služba. Tento hardware infrastruktury je často virtualizován, takže virtualizace, správa a software operačního systému jsou také prvky IT.

Čtyři modely nasazení

Soukromé cloudy jsou určeny pro výhradní použití jedné organizace a jsou obvykle řízeny, spravovány a hostovány soukromými datovými centry. Hosting a správu privátních cloudů lze zadat externímu poskytovateli služeb, ale často

Nový cloud zůstává výhradním používáním jedné organizace. Veřejné cloudy využívá mnoho organizací (uživatelů) společně, udržují a spravují je externí poskytovatelé služeb.

Skupinové cloudy používá skupina příbuzných organizací, které chtějí sdílet společné cloudové prostředí. Skupinu mohou například tvořit různé složky ozbrojených sil, všechny univerzity v daném regionu nebo všichni dodavatelé velkého výrobce.

K hybridním cloudům dochází, když organizace používá soukromý i veřejný cloud pro stejnou aplikaci, aby využila výhod obou. Například ve scénáři „dešťové bouře“ organizace uživatelů v případě standardního zatížení aplikace

využívá privátní cloud, a když zatížení vrcholí, například na konci čtvrtletí nebo během prázdnin, využívá potenciál veřejného cloudu a následně tyto prostředky vrací do obecného fondu, když nejsou potřeba.

Na Obr. 1 představuje koncepční model cloud computingu podle dokumentu „NIST Cloud Computing Reference Architecture“. Podle toho, který je znázorněn na Obr. Model 1 ve standardu identifikuje hlavní účastníky cloudového systému: cloudový spotřebitel, cloudový poskytovatel, cloudový auditor, cloudový broker, cloudový zprostředkovatel. Každý účastník je osoba nebo organizace vykonávající své funkce při implementaci nebo poskytování cloud computingu. Spotřebitel cloudu je osoba nebo organizace, která udržuje obchodní interakce s jinými subjekty.

Cloudový spotřebitel

Cloud Auditor

C Audit L I Zabezpečení J

I Audit důvěrnosti J

(Audit poskytovaných služeb J

Poskytovatel cloudu

Komplexní úrovně

Uživatelská úroveň

^ Služba jako služba ^ ^ Platforma jako služba ^ Infrastruktura jako služba)

Úroveň abstrakce

Fyzická vrstva

Cloudová služba

^ J Podpora ^ J Nastavení

Přenosnost

Cloud broker

Cloudový zprostředkovatel

Rýže. 1. Koncepční model vyvinutý specialisty NIST

síť toruje a využívá služby cloudových poskytovatelů. Poskytovatel cloudu je osoba, organizace nebo kdokoli odpovědný za dostupnost služeb poskytovaných zainteresovaným spotřebitelům. Cloudový auditor je účastník, který může provádět nezávislá hodnocení cloudových služeb, služeb a bezpečnosti cloudových implementací. Cloud broker je účastník, který spravuje používání, výkon a poskytování cloudových služeb spotřebitelům a vyjednává interakce mezi poskytovateli cloudu a spotřebiteli cloudu. Cloud intermediary je zprostředkovatel, který zajišťuje komunikaci a poskytování cloudových služeb mezi poskytovateli cloudu a spotřebiteli cloudu.

Výhody a výzvy cloud computingu

Nedávné průzkumy mezi specialisty v oblasti IT technologií ukazují, že cloud computing nabízí při organizaci distribuovaných služeb dvě hlavní výhody – rychlost a náklady. Díky offline přístupu k fondu výpočetních zdrojů se uživatelé mohou připojit k procesům, které je zajímají, během několika minut, nikoli týdnů nebo měsíců později, jak tomu bylo dříve. Změna výpočetních schopností je také rychlá díky elasticky škálovatelné gridové architektuře výpočetního prostředí. Protože v cloud computingu uživatelé platí pouze za to, co využívají, a dosahují škálovatelnosti a automatizačních možností vysoká úroveň, poměr nákladů a efektivity poskytovaných služeb je rovněž velmi atraktivním faktorem pro všechny účastníky směnných procesů.

Stejné průzkumy ukazují, že existuje řada vážných důvodů, které některým společnostem brání v přechodu na cloud. Zabezpečení cloud computingu tyto úvahy s velkým náskokem překonává.

Pro adekvátní posouzení bezpečnosti v cloudových systémech má smysl prostudovat si názory hlavních hráčů na trhu na hrozby v této oblasti. Porovnáme stávající přístupy k hrozbám v cloudových systémech, prezentované v NIST Cloud Computing Standards Roadmap, s přístupy nabízenými IBM, Oracle a VmWare.

Standard zabezpečení cloudu USA National Standards Institute

Plán NIST Cloud Computing Standards Roadmap, přijatý NIST, pokrývá možné potenciální typy útoků na služby cloud computingu:

♦ ohrožení důvěrnosti a dostupnosti dat přenášených poskytovateli cloudu;

♦ útoky, které vycházejí ze struktury a schopností prostředí cloud computingu ke zvýšení a zvýšení škod způsobených útoky;

♦ neoprávněný přístup spotřebitelů (v důsledku nesprávné autentizace nebo autorizace, nebo zranitelností zavedených prostřednictvím periodického Údržba) na software, data a zdroje používané oprávněným spotřebitelem cloudové služby;

♦ zvýšení úrovně síťových útoků, jako je DoS, využívající software, při jehož vývoji nebyl zohledněn model ohrožení pro distribuované internetové zdroje, stejně jako zranitelnost zdrojů, které byly dostupné ze soukromých sítí;

♦ omezené možnosti šifrování dat v prostředí s velkým počtem účastníků;

♦ přenositelnost vyplývající z použití nestandardních rozhraní API, která ztěžují cloudovému spotřebiteli migraci k novému cloudovému poskytovateli, když nejsou splněny požadavky na dostupnost;

♦ útoky, které využívají fyzickou abstrakci cloudových zdrojů a využívají chyby v záznamech a auditorských postupech;

♦ útoky na virtuální stroje, které nebyly odpovídajícím způsobem aktualizovány;

♦ útoky využívající nekonzistence v globálních a soukromých bezpečnostních politikách.

Standard také identifikuje hlavní bezpečnostní úkoly pro cloud computing:

♦ ochrana uživatelských dat před neoprávněným přístupem, zveřejněním, úpravou nebo prohlížením; znamená podporu pro službu identifikace takovým způsobem, že spotřebitel má možnost provádět zásady identifikace a řízení přístupu u oprávněných uživatelů, kteří mají přístup ke cloudovým službám; Tento přístup předpokládá schopnost spotřebitele poskytnout přístup ke svým datům selektivně jiným uživatelům;

♦ ochrana před hrozbami dodavatelského řetězce; zahrnuje potvrzení míry důvěry a spolehlivosti poskytovatele služeb ve stejném rozsahu jako míra důvěry používaného softwaru a hardwaru;

♦ zabránění neoprávněnému přístupu ke zdrojům cloud computingu; zahrnuje vytváření zabezpečených domén, které jsou logicky oddělené od zdrojů (například logické oddělení pracovních zátěží běžících na stejném fyzickém serveru prostřednictvím hypervizoru v prostředí s více nájemci) a používání bezpečných výchozích konfigurací;

♦ vývoj webových aplikací nasazených v cloudu pro model ohrožení distribuovaných internetových zdrojů a začlenění bezpečnostních funkcí do procesu vývoje softwaru;

♦ ochrana internetových prohlížečů před útoky s cílem zmírnit bezpečnostní zranitelnosti koncových uživatelů; zahrnuje kroky k zabezpečení vašeho internetového připojení osobní počítače na základě používání zabezpečeného softwaru, firewallů a pravidelné instalace aktualizací;

♦ nasazení technologií řízení přístupu a detekce narušení

vztahy s poskytovatelem cloudu a provedení nezávislého posouzení za účelem ověření jejich dostupnosti; zahrnuje, ale není omezen na, tradiční hraniční bezpečnostní opatření kombinovaná s modelem zabezpečení domény; tradiční zabezpečení perimetru zahrnuje omezení fyzického přístupu k síti a zařízením, ochranu jednotlivých komponent před zneužitím nasazením aktualizací, nastavení většiny bezpečnostních nastavení na výchozí, deaktivaci všech nepoužívaných portů a služeb, používání řízení přístupu na základě rolí, sledování auditních záznamů, minimalizaci použitých oprávnění , používání antivirových balíčků a šifrování spojení;

♦ definování důvěryhodných hranic mezi poskytovatelem (poskytovateli) služeb a spotřebiteli, aby bylo zajištěno, že oprávněné odpovědnosti za poskytování bezpečnosti jsou jasné;

♦ podpora přenositelnosti prováděná tak, aby spotřebitel měl možnost změnit poskytovatele cloudu v případech, kdy potřebuje splnit požadavky na integritu, dostupnost a důvěrnost; to zahrnuje možnost v tuto chvíli uzavřít účet a kopírovat data od jednoho poskytovatele služeb k druhému.

Plán NIST Cloud Computing Standards Roadmap, přijatý NIST, tedy definuje základní seznam útoků na cloudové systémy a seznam hlavních úkolů, které by měly

řešit pomocí aplikace

vhodná opatření.

Pojďme formulovat hrozby pro informační bezpečnost cloudového systému:

♦ U1 - ohrožení dat (kompromis, dostupnost atd.);

♦ U2 – hrozby generované strukturálními vlastnostmi a schopnostmi architektury pro implementaci distribuovaných výpočtů;

♦ U4 - hrozby spojené s nesprávným modelem hrozby;

♦ U5 - hrozby spojené s nesprávným použitím šifrování (použití šifrování je nezbytné v prostředí, kde existuje více datových toků);

♦ U6 - hrozby spojené s používáním nestandardních API během vývoje;

♦ U7 - virtualizační hrozby;

♦ U8 – hrozby využívající nekonzistence v globálních bezpečnostních politikách.

Pohled IBM na otázky zabezpečení cloudu

Průvodce zabezpečením cloudu Doporučení IBM pro implementaci zabezpečení cloudu nám umožňují vyvodit závěry o názorech na zabezpečení vyvinutých specialisty IBM. Na základě tohoto dokumentu můžeme rozšířit dříve navržený seznam hrozeb, a to:

♦ U9 - hrozby spojené s přístupem třetích stran k fyzickým zdrojům/systémům;

♦ U10 - hrozby spojené s nesprávnou likvidací (životní cyklus) osobní informace;

♦ U11 - hrozby spojené s porušováním regionálních, národních a mezinárodních zákonů vztahujících se ke zpracovávaným informacím.

Přístupy IBM, Oracle a VmWare k zabezpečení cloud computingu

Dokumentace poskytnutá těmito společnostmi a popisující jejich pohled na zajištění bezpečnosti v jejich systémech neposkytuje zásadně odlišné hrozby od výše uvedených.

V tabulce Tabulka 1 ukazuje hlavní třídy zranitelnosti formulované společnostmi ve svých produktech. Stůl 1 nám umožňuje vidět nedostatek úplného pokrytí hrozeb mezi studovanými společnostmi a formulovat „jádro hrozeb“ vytvořené společnostmi v jejich cloudových systémech:

♦ ohrožení dat;

♦ hrozby založené na struktuře/schopnostech distribuovaného počítání;

♦ hrozby spojené s nesprávným modelem hrozby;

♦ virtualizační hrozby.

Závěr

Přehled hlavních tříd zranitelností cloudových platforem nám umožňuje dojít k závěru, že v současné době neexistují žádná hotová řešení pro plnou cloudovou ochranu kvůli různým útokům, které tyto zranitelnosti využívají.

Je třeba poznamenat, že vytvořená tabulka tříd zranitelnosti (Tabulka 1), integrující přístupy vedoucích

Tabulka 1. Třídy zranitelnosti

Zdroj Deklarované hrozby

U1 U2 U3 U4 U5 U6 U7 U8 U9 U10 U11

NIST + + + + + + + + - - -

IBM + + + + + - + - + + +

Sun/Oracle + + + + - - + - - + -

VmWare + + + + - - + - - - -

toto odvětví hráčů není omezeno na hrozby, které jsou v něm prezentovány. Nereflektuje například hrozby spojené se stíráním hranic mezi prostředími s různou úrovní důvěrnosti dat, stejně jako stírání hranic odpovědnosti za informační bezpečnost mezi spotřebitelem služby a poskytovatelem cloudu.

Je zřejmé, že pro implementaci komplexního cloudového systému musí být vyvinuta ochrana pro konkrétní implementaci. Pro implementaci bezpečného počítání ve virtuálních prostředích je také důležitý nedostatek standardů FSTEC a FSB pro cloudové systémy. „Jádro hrozeb“ identifikované v práci má smysl používat při studiu

řešení problému konstrukce jednotného modelu tříd zranitelnosti. Tento článek je přehledového charakteru, v budoucnu se plánuje podrobná analýza tříd hrozeb spojených s virtualizací a vývoj přístupů k vytvoření systému ochrany, který potenciálně zabrání implementaci těchto hrozeb.

Literatura

1. Cloud Security Guidance Doporučení IBM pro implementaci Cloud Security, ibm.com/redbooks, 2. listopadu 2009.

2. http://www.vmware.com/technical-resources/security/index.html.

3. NIST Cloud. Computing Reference Architecture, National Institute of Standards and. Technologie, zvláštní publikace. 500-292, září 2011.

4. NIST Cloud. Plán počítačových standardů, National Institute of Standards and. Technologie, zvláštní publikace. 500-291, červenec 2011.

5. http://www.oracle.com/technetwork/indexes/documentation/index.html.

2019

McAfee: 19 osvědčených postupů pro zabezpečení cloudu v roce 2019

Největší starostí firem je bezpečnost externích cloudových služeb. Respondenti se tak obávají, že k incidentům může docházet u dodavatelů, kterým jsou obchodní procesy outsourcovány, u cloudových služeb třetích stran nebo v IT infrastruktuře, kde si společnost pronajímá výpočetní výkon. Navzdory všem těmto obavám však pouze 15 % společností provádí audity shody zabezpečení u třetích stran.

„Navzdory skutečnosti, že v datovém centru nedávno došlo k rozsáhlým hackům, tradiční bezpečnostní systémy se stále zaměřují pouze na ochranu perimetru sítě a kontrolu přístupových práv. Negativní dopad řešení pro ochranu fyzické infrastruktury na výkon virtuálních prostředí se přitom bere v úvahu jen zřídka, vysvětlil Veniamin Levtsov, viceprezident pro firemní prodej a rozvoj podnikání ve společnosti Kaspersky Lab. – Proto je tak důležité používat vhodnou, komplexní ochranu v konvergovaných prostředích k zajištění bezpečnosti virtuální systémy speciálně navržená řešení. Implementujeme přístup, kdy bez ohledu na typ infrastruktury je všem systémům poskytována jednotná úroveň bezpečnostního pokrytí celé firemní síť. A to je místo, kde se naše technologie a moderní vývoj VMware (jako je mikrosegmentace) dokonale doplňují.“

2015: Forrester: Proč jsou zákazníci nespokojeni s poskytovateli cloudu?

Neprůhledný mrak

Nedávná studie Forrester Consulting ukazuje, že mnoho organizací má pocit, že jejich poskytovatelé cloudových služeb neposkytují dostatek informací o jejich zkušenostech s cloudem, což poškozuje jejich podnikání.

Kromě nedostatečné transparentnosti existují další faktory, které snižují nadšení z přechodu do cloudu: úroveň služeb pro zákazníky, dodatečné náklady a přizpůsobení během migrace (on-boarding). Organizace milují cloud, ale ne jeho poskytovatele – alespoň ne tolik.

Studie byla zadána poskytovatelem podnikového cloudového hostingu z Irska a byla provedena během května a zahrnovala odborníky na infrastrukturu a údržbu z 275 organizací v Singapuru a Singapuru.

„Mezi všemi složitostmi dnešního cloudu jsou také nešťastné nedostatky,“ píše Lilac Schoenbeck, viceprezidentka produktové podpory a marketingu v iland. „Taková kritická metadata nejsou sdělována, což výrazně brání přijetí cloudu, přesto organizace zakládají své plány růstu na předpokladu, že cloudové zdroje jsou neomezené.“

Kde je klíč k dosažení harmonie v obchodních vztazích? Zde je to, co VAR potřebují vědět, aby se pokusili vyřešit problémy a přivedli strany k usmíření.

Nedostatek pozornosti ke klientům

Mnoho uživatelů cloudu zjevně nepociťuje stejný osobní přístup.

44 % respondentů tedy uvedlo, že jejich poskytovatel nezná jejich společnost a nerozumí jejich obchodním potřebám, a 43 % se domnívá, že kdyby byla jejich organizace prostě větší, dodavatel by jim pravděpodobně věnoval více pozornosti. Při nákupu cloudových služeb zkrátka pociťují chlad běžné transakce a nelíbí se jim to.

A ještě něco: existuje jedna praxe, na kterou upozornila třetina dotázaných firem, která navíc v transakci vzbuzuje pocit malichernosti – je jim účtován poplatek za sebemenší dotaz nebo nesrozumitelnost.

Příliš mnoho tajemství

Neochota dodavatele poskytnout veškeré informace zákazníky nejen dráždí, ale často je stojí peníze.

Všichni respondenti průzkumu společnosti Forrester uvedli, že zaznamenali určitý finanční a provozní dopad kvůli chybějícím nebo chráněným datům o používání cloudu.

„Nedostatek jasných dat o využití cloudu vede k problémům s výkonem, potížím s hlášením správě skutečných nákladů na používání, poplatkům za zdroje, které uživatelé nikdy nespotřebovávají, a neočekávaným účtům,“ uvádí Forrester.

Kde jsou metadata?

Vedoucí IT oddělení odpovědní za cloudovou infrastrukturu ve svých organizacích chtějí metriky nákladů a výkonu, které poskytují jasnost a transparentnost, ale zjevně mají potíže s tím, jak to sdělit dodavatelům.

Respondenti průzkumu poznamenali, že metadata, která dostávají o cloudových úlohách, jsou obvykle neúplná. Téměř polovina společností odpověděla, že nejsou k dispozici údaje o souladu s předpisy, 44 % uvedlo nedostatek údajů o používání, 43 % nedostatek historických údajů, 39 % nedostatek údajů o bezpečnosti a 33 % nedostatek fakturačních a údaje o nákladech.

Problém transparentnosti

Nedostatek metadat způsobuje nejrůznější problémy, říkají respondenti. Téměř dvě třetiny dotázaných uvedly, že nedostatečná transparentnost jim brání plně porozumět výhodám cloudu.

„Nedostatek transparentnosti vytváří různé problémy, zejména problém parametrů používání a přerušení služeb,“ uvádí zpráva.

Přibližně 40 % se snaží tyto mezery zaplnit sami nákupem dalších nástrojů od svých vlastních poskytovatelů cloudu, zatímco zbývajících 40 % jednoduše nakupuje služby od jiného poskytovatele, kde taková transparentnost existuje.

Soulad s předpisy

Ať už se dá říci cokoli, organizace jsou zodpovědné za všechna svá data, ať už na lokálních úložných systémech nebo odeslaná do cloudu.

Více než 70 % respondentů ve studii uvedlo, že jejich organizace jsou pravidelně kontrolovány a musí prokázat shodu bez ohledu na to, kde jsou jejich data uložena. A to představuje překážku pro přijetí cloudu pro téměř polovinu dotázaných společností.

„Ale váš aspekt dodržování předpisů musí být pro vaše koncové uživatele transparentní. Když poskytovatelé cloudu zadržují nebo nezveřejňují tyto informace, brání vám toho dosáhnout,“ uvádí zpráva.

Problémy s dodržováním předpisů

Více než 60 % dotázaných společností odpovědělo, že problémy s dodržováním předpisů omezují další zavádění cloudu.

Hlavní problémy jsou:

• 55 % společností s takovými požadavky uvedlo, že nejtěžší pro ně je zavést odpovídající kontroly.
• Přibližně polovina uvedla, že má potíže s pochopením úrovně dodržování předpisů poskytovaných jejich poskytovatelem cloudu.
• Další polovina respondentů uvedla, že je pro ně obtížné získat od poskytovatele potřebnou dokumentaci o splnění těchto požadavků, aby prošli auditem. A pro 42 % je obtížné získat dokumentaci o jejich vlastní shodě pro úlohy běžící v cloudu.

Problémy s migrací

Proces onboardingu se zdá být další oblastí obecné nespokojenosti, přičemž jen něco málo přes polovina dotázaných společností uvedla, že nejsou spokojeni s procesy migrace a podpory, které jim jejich cloudoví dodavatelé nabízeli.

Z 51 % nespokojených s procesem migrace 26 % uvedlo, že trval příliš dlouho, a 21 % si stěžovalo na nedostatek praktických informací od zaměstnanců poskytovatele.

Více než polovina byla také nespokojena s procesem podpory: 22 % uvedlo dlouhou dobu čekání na odpověď, 20 % uvedlo nedostatečnou znalost podpůrného personálu, 19 % uvedlo zdlouhavý proces řešení problémů a 18 % obdrželo účty s vyšší než- očekávané náklady na podporu.

Překážky na cestě do oblak

Mnoho společností dotazovaných společností Forrester je nuceno odložit své plány na rozšíření cloudu kvůli problémům, které mají se stávajícími službami.

Nejméně 60 % odpovědělo, že nedostatek transparentnosti v používání, informace o shodě s předpisy a spolehlivá podpora jim brání v širším používání cloudu. Nebýt těchto problémů, přesunuli by více zátěže do cloudu, říkají respondenti.

2014

• Role IT oddělení se postupně mění: stojí před úkolem přizpůsobit se nové realitě cloudového IT. IT oddělení musí vzdělávat zaměstnance v otázkách zabezpečení, vyvíjet komplexní správu dat a zásady dodržování předpisů, vyvíjet pokyny pro přijetí cloudu a nastavit pravidla o tom, jaká data lze a nelze v cloudu ukládat.
• IT oddělení jsou schopna plnit své poslání chránit podniková data a zároveň fungovat jako nástroj při implementaci „Shadow IT“, implementovat opatření k zajištění bezpečnosti dat, například zavést „šifrování jako službu“. "přístup. forma služby"). Tento přístup umožňuje IT oddělením centrálně spravovat ochranu dat v cloudu a poskytuje ostatním oddělením společnosti možnost samostatně vyhledávat a využívat cloudové služby podle potřeby.
• Vzhledem k tomu, že stále více společností ukládá svá data do cloudu a jejich zaměstnanci stále častěji využívají cloudové služby, musí IT oddělení věnovat větší pozornost implementaci efektivnějších mechanismů pro řízení přístupu uživatelů, jako je například vícefaktorové ověřování. To platí zejména pro společnosti, které poskytují třetím stranám a prodejcům přístup ke svým datům v cloudu. Řešení vícefaktorové autentizace lze centrálně spravovat a poskytovat bezpečnější přístup ke všem aplikacím a datům, ať už jsou hostovány v cloudu nebo na vlastním hardwaru společnosti.

Data Ponemon a SafeNet

Většina IT organizací si neuvědomuje, jak jsou podniková data chráněna v cloudu, čímž jsou společnosti ohroženy účty a data. důvěrná informace její uživatelé. To je jen jeden ze závěrů nedávné studie z podzimu 2014, kterou provedl Ponemon Institute a kterou zadal SafeNet. Studie s názvem „Challenges of Information Management in the Cloud: Global Data Security Study“ zkoumala více než 1800 odborníků na informační technologie a bezpečnost IT po celém světě.

Studie mimo jiné zjistila, že zatímco organizace stále více využívají sílu cloud computingu, firemní IT oddělení čelí problémům se správou a zabezpečením dat v cloudu. Průzkum zjistil, že pouze 38 % organizací má jasně definované role a odpovědnosti za zajištění ochrany důvěrných a jiných citlivých informací v cloudu. Aby toho nebylo málo, 44 ​​% podnikových dat uložených v cloudu není kontrolováno ani spravováno IT odděleními. Více než dvě třetiny (71 %) respondentů navíc uvedlo, že při používání tradičních bezpečnostních mechanismů a technik k ochraně citlivých dat v cloudu čelí stále větším výzvám.

S rostoucí popularitou cloudových infrastruktur rostou i rizika úniku důvěrných dat. Přibližně dvě třetiny dotázaných IT profesionálů (71 %) potvrdily, že cloud computing má dnes pro korporace velký význam, a více než dvě třetiny (78 %) věříme, že cloud computing bude i nadále relevantní. Navíc podle odhadů respondentů asi 33 % všech jejich organizací potřebuje informační technologie a infrastrukturu pro zpracování dat lze dnes splnit pomocí cloudových zdrojů a během příštích dvou let se tento podíl zvýší na průměrně 41 %.

Většina respondentů (70 %) však souhlasí s tím, že dodržování požadavků na důvěrnost dat a ochranu dat v cloudovém prostředí je stále obtížnější. Respondenti navíc podotýkají, že úniky jsou nejvíce ohroženy typy podnikových dat uložených v cloudu, jako jsou e-mailové adresy, spotřebitelská a zákaznická data a platební údaje.

V průměru je více než polovina všech nasazení podnikového cloudu prováděna spíše odděleními třetích stran než firemními IT odděleními a v průměru asi 44 % podnikových dat hostovaných v cloudu není kontrolováno ani spravováno IT odděleními. V důsledku toho pouze 19 % respondentů uvedlo, že jsou přesvědčeni, že vědí o všech cloudových aplikacích, platformách nebo infrastrukturních službách, které v současnosti jejich organizace používají.

Spolu s nedostatkem kontroly nad instalací a používáním cloudových služeb nepanovala mezi respondenty shoda v tom, kdo je vlastně zodpovědný za bezpečnost dat uložených v cloudu. 35 procent respondentů uvedlo, že odpovědnost je sdílena mezi uživateli a poskytovateli cloudových služeb, 33 % se domnívá, že odpovědnost leží výhradně na uživatelích a 32 % se domnívá, že za bezpečnost dat je odpovědný poskytovatel cloudových služeb.

Více než dvě třetiny (71 %) respondentů uvádí, že je stále obtížnější chránit citlivá uživatelská data uložená v cloudu pomocí tradičních bezpečnostních nástrojů a metod, a přibližně polovina (48 %) uvádí, že je pro ně stále obtížnější kontrolovat nebo omezit přístup koncových uživatelů ke cloudovým datům. V důsledku toho více než třetina (34 %) dotázaných IT profesionálů uvedla, že jejich organizace již zavedly podnikové zásady, které vyžadují použití bezpečnostních mechanismů, jako je šifrování, jako předpoklad pro práci s určitými cloud computingovými službami. Sedmdesát jedna (71) procent respondentů uvedlo, že schopnost šifrovat nebo tokenizovat důvěrná nebo jinak citlivá data je pro ně důležitá, a 79 % věří, že tyto technologie budou v příštích dvou letech stále důležitější.

Na otázku, co jejich společnosti dělají pro ochranu dat v cloudu, 43 % respondentů uvedlo, že jejich organizace používají k přenosu dat privátní sítě. Zhruba dvě pětiny (39 %) respondentů uvedly, že jejich společnosti používají k ochraně dat v cloudu šifrování, tokenizaci a další kryptografické nástroje. Dalších 33 % respondentů neví, jaká bezpečnostní řešení jejich organizace používají, a 29 % uvedlo, že využívají placené bezpečnostní služby od svých cloudových poskytovatelů.

Respondenti se také domnívají, že správa podnikových šifrovacích klíčů je nezbytná pro zabezpečení dat v cloudu vzhledem k rostoucímu počtu platforem pro správu klíčů a šifrování používaných jejich společnostmi. Konkrétně 54 % respondentů uvedlo, že jejich organizace mají při ukládání dat v cloudu kontrolu nad šifrovacími klíči. 45 % respondentů však uvedlo, že ukládají své šifrovací klíče v softwaru, na stejném místě, kde jsou uložena samotná data, a pouze 27 % ukládá klíče v bezpečnějších prostředích, například na hardwarových zařízeních.

Pokud jde o přístup k datům uloženým v cloudu, 68 (68) procent respondentů uvedlo, že je stále obtížnější spravovat uživatelské účty v cloudovém prostředí, zatímco 62 (62) procent respondentů uvedlo, že jejich organizace mají přístup k cloud je poskytován i pro třetí strany. Zhruba polovina (46 procent) dotázaných uvedla, že jejich společnosti používají vícefaktorové ověřování k ochraně přístupu třetích stran k datům uloženým v cloudu. Přibližně stejný počet (48 procent) respondentů uvedl, že jejich společnosti používají technologie vícefaktorové autentizace, včetně ochrany přístupu svých zaměstnanců ke cloudu.

2013: Studie Cloud Security Alliance

Cloud Security Alliance (CSA), nezisková průmyslová organizace propagující praktiky cloudového zabezpečení, nedávno aktualizovala svůj seznam hlavních hrozeb ve zprávě nazvané „Cloud Evil: 9 hlavních hrozeb v cloudových službách v roce 2013“.

CSA uvádí, že zpráva odráží shodu odborníků na nejvýznamnějších bezpečnostních hrozbách v cloudu a zaměřuje se na hrozby plynoucí ze sdílených cloudových zdrojů sdílených a přístupných více uživatelům na vyžádání.

Takže hlavní hrozby...

Krádež dat

Krádeže důvěrných firemních informací jsou vždy problémem organizací v jakékoli IT infrastruktuře, ale model cloudu otevírá „nové, významné cesty k útokům,“ zdůrazňuje CSA. „Pokud není cloudová databáze s více nájemci správně navržena, chyba v aplikaci jednoho zákazníka by mohla útočníkům umožnit přístup k datům nejen tohoto zákazníka, ale také všech ostatních uživatelů cloudu,“ varuje CSA.

Každý „cloud“ má několik úrovní ochrany, z nichž každá chrání informace před odlišné typy„pokusy“.

Například fyzická ochrana serveru. Zde se ani nebavíme o hackování, ale o krádeži či poškození paměťových médií. Vzít server mimo prostory může být obtížné v pravém slova smyslu. Kromě toho každá seberespektující společnost uchovává informace v datových centrech se zabezpečením, kamerovým dohledem a omezeným přístupem nejen pro osoby zvenčí, ale také pro většinu zaměstnanců společnosti. Takže pravděpodobnost, že útočník prostě přijde a vezme si informace, se blíží nule.

Stejně jako zkušený cestovatel, který se obává loupeže, nedrží všechny své peníze a cennosti na jednom místě,