Keď Eric Schmit, teraz šéf Google, prvýkrát použil výraz „cloud“ v súvislosti s distribuovaným webovým výpočtovým systémom, sotva vedel, že je to jedno z tých slov, ktoré sa často objavujú v legendách. Takmer vo všetkých mýtoch národov sveta žijú božské bytosti veľmi blízko neba - na oblakoch. V dôsledku toho sa pojem „cloud computing“ stal medzi obchodníkmi obľúbený, pretože dáva priestor pre kreativitu. Pokúsime sa tiež verbalizovať tieto mýty a pochopiť, ako organicky sa spájajú s IT.

Smrť Merlina

Jednou z postáv cyklu legiend o kráľovi Artušovi a jeho okrúhlom stole je kúzelník a čarodejník Merlin, ktorý pomáhal Artušovi v jeho vláde. Je príznačné, že Merlin skončil uväznený v oblakoch. Ten, ktorý sa chcel predviesť mladej čarodejnici a ukázať svoju magickú silu, postavil hrad z oblakov a pozval svoju vášeň, aby si ho prezrela. Čarodejnica sa však ukázala ako prefíkaná a kúzelníka uväznila v jeho vlastnom obláčikovom zámku. Potom už Merlina nikto nevidel, takže sa verí, že zomrel niekde tam - v oblačnom hrade, ktorý si sám postavil.

Teraz „IT wizards“ tiež vybudovali celú mytológiu okolo distribuovaných počítačov, takže aby ste neboli uväznení v týchto „hradoch“, mali by ste najprv pochopiť, čo sú tieto mraky, to znamená oddeliť marketing od kotletiek.

Spočiatku existoval iba jeden oblak - bol to tento symbol, ktorý tradične označoval internet. Tento cloud označoval súbor všetkých počítačov pripojených IP protokolom a majúcich svoju vlastnú IP adresu. Postupom času sa k internetu začali prideľovať serverové farmy, ktoré inštalovali poskytovatelia a na ktorých boli založené webové projekty. Zároveň, aby sa zabezpečila vysoká záťaž a odolnosť voči chybám, najväčšie webové systémy sa stali viacúrovňovými a distribuovanými.

V typickom systéme možno rozlíšiť nasledujúce úrovne: reverzný proxy, ktorý funguje aj ako vyrovnávač záťaže a dešifrovač SSL, samotný webový server, potom aplikačný server, DBMS a úložný systém. Navyše na každej úrovni mohlo byť niekoľko prvkov vykonávajúcich rovnaké funkcie, a preto nebolo vždy jasné, ktoré komponenty sa používajú na spracovanie požiadaviek používateľov. A keď to nie je jasné, potom sú to mraky. Preto začali hovoriť, že požiadavky používateľov sa vykonávajú niekde v „cloude“ z veľkého počtu serverov. Takto vznikol pojem „cloud computing“.

Aj keď sa cloud computing spočiatku spájal s verejne dostupnými webovými projektmi – portálmi, ako sa vyvíjali distribuované webové systémy odolné voči chybám, začali sa využívať na riešenie vnútropodnikových problémov. Bola to doba boomu firemných portálov, ktoré boli založené na webových technológiách vyvinutých vo verejných systémoch. Súčasne sa podnikové systémy začali konsolidovať do dátových centier, ktorých údržba bola jednoduchšia a lacnejšia.

Bolo by však neefektívne vyčleniť samostatný server pre každý prvok cloudu – nie všetky prvky cloudu sú zaťažené rovnako, preto sa virtualizačný priemysel začal rozvíjať paralelne. Vo verejných cloudoch sa ukázal ako pomerne populárny, pretože umožňoval odlíšiť prístupové práva a zabezpečoval rýchly prenos prvku distribuovaného systému na iné hardvérové ​​médium. Bez virtualizácie by bol cloud computing menej dynamický a škálovateľný, a preto sa cloudy teraz zvyčajne skladajú z virtuálnych strojov.

Cloud computing je spojený najmä s prenájmom aplikácií, pričom definuje tri typy takýchto služieb: IaaS – infraštruktúra ako služba, PaaS – platforma ako služba a SaaS – softvér ako služba. Niekedy sa služby „bezpečnosť ako služba“ skrátia aj na SaaS, aby sme si však nemýlili cloudové bezpečnostné služby s prenájmom softvéru, je lepšie to nazvať ISAAC – Information Security as a Cloud. Začínajú sa poskytovať aj takéto služby. Outsourcing aplikácií by sa však nemal zamieňať s cloud computingom, pretože cloudy môžu byť interné, verejné a hybridné. Každý z týchto typov cloudov má pri organizovaní bezpečnostného systému svoje vlastné charakteristiky.

Tri kroky Višnua

Boh Višnu v hinduistickej mytológii je známy tým, že to bol on, kto dobyl priestor pre ľudský život pomocou troch krokov: prvý bol vytvorený na zemi, druhý v oblakoch a tretí v najvyššom sídle. Podľa Rig Veda práve touto akciou získal Višnu pre ľudí všetky tieto priestory.

Moderné IT tiež robí podobný „druhý krok“ – zo zeme do oblakov. Aby ste však z týchto oblakov nespadli ešte na zemi, mali by ste dbať na bezpečnosť. V prvej časti som tak podrobne preskúmal štruktúru cloudu, aby bolo jasné, aké hrozby pre cloud computing existujú. Z vyššie uvedeného by sa mali rozlišovať tieto triedy hrozieb:

Tradičné útoky na softvér. Sú spojené so zraniteľnosťou sieťových protokolov, operačných systémov, modulárnych komponentov a iných. Ide o tradičné hrozby, na ochranu pred ktorými stačí nainštalovať antivírus, firewall, IPS a ďalšie diskutované komponenty. Je len dôležité, aby tieto ochranné nástroje boli prispôsobené cloudovej infraštruktúre a efektívne fungovali v podmienkach virtualizácie.

Funkčné útoky na prvky cloudu. Tento typ útoku súvisí s vrstvením cloudu, všeobecnou bezpečnostnou zásadou, že celková ochrana systému sa rovná ochrane najslabšieho článku. Úspešný DoS útok na reverznú proxy nainštalovanú pred cloudom teda zablokuje prístup do celého cloudu, napriek tomu, že všetka komunikácia v rámci cloudu bude fungovať bez rušenia. Podobne injekcia SQL prenesená cez aplikačný server poskytne prístup k systémovým údajom bez ohľadu na pravidlá prístupu vo vrstve ukladania údajov. Na ochranu pred funkčnými útokmi musíte pre každú vrstvu cloudu použiť špecifické nástroje ochrany: pre proxy - ochrana pred útokmi DoS, pre webový server - kontrola integrity stránky, pre aplikačný server - obrazovka na úrovni aplikácie, pre vrstvu DBMS - ochrana proti SQL - injekcie, pre úložný systém - zálohovanie a riadenie prístupu. Každý z týchto ochranných mechanizmov už bol vytvorený jednotlivo, ale nie sú zhromažďované, aby komplexne chránili cloud, takže pri vytváraní cloudu je potrebné vyriešiť úlohu ich integrácie do jedného systému.

Útoky na klienta. Tento typ útoku bol vyvinutý vo webovom prostredí, ale je relevantný aj pre cloud, keďže klienti sa do cloudu pripájajú zvyčajne pomocou prehliadača. Zahŕňa útoky ako napr Cross Site Skriptovanie (XSS), zachytávanie webových relácií, krádež hesiel, „muž uprostred“ a iné. Ochranou pred týmito útokmi je už tradične silná autentifikácia a používanie šifrovaného spojenia so vzájomnou autentifikáciou, no nie všetci tvorcovia cloudu si môžu dovoliť takéto márnotratné a spravidla nie príliš pohodlné prostriedky ochrany. Preto sú v tejto oblasti informačnej bezpečnosti stále nevyriešené problémy a priestor na vytváranie nových prostriedkov ochrany.

Hrozby virtualizácie. Keďže platformou pre cloudové komponenty sú tradične virtuálne prostredia, útoky na virtualizačný systém ohrozujú aj celý cloud ako celok. Tento typ hrozby je jedinečný pre cloud computing, preto sa naň pozrieme podrobne nižšie. V súčasnosti sa začínajú objavovať riešenia pre niektoré virtualizačné hrozby, ale toto odvetvie je celkom nové, takže ešte neboli vyvinuté žiadne zavedené riešenia. Je celkom možné, že trh informačnej bezpečnosti čoskoro vyvinie prostriedky ochrany pred týmto typom hrozby.

Komplexné hrozby pre oblaky. Kontrola a správa cloudu je tiež otázkou bezpečnosti. Ako zabezpečiť, aby sa počítali všetky cloudové zdroje a neexistovali nekontrolované virtuálne stroje, neprebiehali zbytočné obchodné procesy a nenarušila sa vzájomná konfigurácia cloudových vrstiev a prvkov. Tento typ ohrozenia je spojený s ovládateľnosťou cloudu ako jedného informačného systému a hľadaním zneužitia alebo iných porušení pri prevádzke cloudu, čo môže viesť k zbytočným nákladom na udržiavanie funkčnosti informačného systému. Ak existuje napríklad cloud, ktorý v ňom na základe zaslaného súboru umožňuje odhaliť vírus, ako potom zabrániť krádeži takýchto detektorov? Tento typ hrozby je na najvyššej úrovni a mám podozrenie, že pre ňu neexistuje univerzálny prostriedok ochrany - pre každý cloud musí byť jeho celková ochrana vytvorená individuálne. Pomôcť k tomu môže najvšeobecnejší model riadenia rizík, ktorý je ešte potrebné správne aplikovať na cloudové infraštruktúry.

Prvé dva typy hrozieb sú už dostatočne preštudované a vyvinuté pre ne ochranné opatrenia, no ešte ich treba prispôsobiť na použitie v cloude. Firewally sú napríklad navrhnuté na ochranu perimetra, ale v cloude nie je jednoduché prideliť perimeter jednotlivému klientovi, čo značne sťažuje ochranu. Preto je potrebné prispôsobiť technológiu firewallu cloudovej infraštruktúre. V súčasnosti v tomto smere aktívne pracuje napríklad Check Point.

Novým typom hrozby pre cloud computing sú problémy s virtualizáciou. Faktom je, že pri použití tejto technológie sa v systéme objavujú ďalšie prvky, ktoré môžu byť napadnuté. Patria sem hypervízor, systém na prenos virtuálnych strojov z jedného uzla do druhého a systém správy virtuálnych strojov. Pozrime sa bližšie na to, akým útokom môžu uvedené prvky podliehať.

Útoky na hypervízor. Vlastným kľúčovým prvkom virtuálneho systému je hypervízor, ktorý zabezpečuje rozdelenie fyzických počítačových zdrojov medzi virtuálne stroje. Zasahovanie do činnosti hypervízora môže viesť k tomu, že jeden virtuálny stroj môže pristupovať k pamäti a zdrojom druhého, zachytávať jeho sieťovú prevádzku, odoberať mu fyzické zdroje a dokonca úplne premiestniť virtuálny stroj zo servera. Zatiaľ máloktorý hacker presne chápe, ako hypervízor funguje, takže k útokom tohto typu prakticky nedochádza, no to nezaručuje, že sa v budúcnosti neobjavia.

Prenos virtuálnych strojov. Je potrebné poznamenať, že virtuálny počítač je súbor, ktorý možno spustiť na spustenie na rôznych cloudových uzloch. Systémy správy virtuálnych strojov poskytujú mechanizmy na presun virtuálnych strojov z jedného uzla do druhého. Môžete však dokonca ukradnúť súbor virtuálneho počítača a pokúsiť sa ho spustiť mimo cloud. Nie je možné odstrániť fyzický server z dátového centra, ale virtuálny stroj môže byť ukradnutý cez sieť bez fyzického prístupu k serverom. Je pravda, že samostatný virtuálny stroj mimo cloudu nemá žiadnu praktickú hodnotu - z každej vrstvy musíte ukradnúť aspoň jeden virtuálny stroj, ako aj údaje z úložného systému na obnovenie podobného cloudu, virtualizácia však úplne umožňuje krádež častí alebo celý cloud. To znamená, že zasahovanie do mechanizmov prenosu virtuálnych strojov vytvára nové riziká pre informačný systém.

Útoky na riadiace systémy. Obrovské množstvo virtuálnych strojov, ktoré sa používajú v cloudoch, najmä vo verejných cloudoch, si vyžaduje riadiace systémy, ktoré dokážu spoľahlivo riadiť vytváranie, migráciu a likvidáciu virtuálnych strojov. Zásahy do riadiacich systémov môžu viesť k objaveniu sa neviditeľných virtuálnych strojov, zablokovaniu niektorých strojov a nahradeniu nepovolených prvkov do cloudových vrstiev. To všetko umožňuje útočníkom získať informácie z cloudu alebo zachytiť jeho časti či celý cloud.

Treba poznamenať, že zatiaľ sú všetky vyššie uvedené hrozby čisto hypotetické, pretože o skutočných útokoch tohto typu prakticky neexistujú žiadne informácie. Zároveň, keď sa virtualizácia a cloudy stanú veľmi populárnymi, všetky tieto typy útokov sa môžu stať veľmi reálnymi. Preto ich treba mať na pamäti vo fáze návrhu cloudových systémov.

Nad siedmym nebom

Apoštol Pavol tvrdil, že pozná muža, ktorý bol uchvátený do siedmeho neba. Odvtedy sa výraz „siedme nebo“ pevne ustálil na označenie neba. Nie všetkým kresťanským svätcom sa však dostalo pocty navštíviť aj prvé nebo, napriek tomu neexistuje človek, ktorý by nesníval o tom, že sa aspoň jedným okom pozrie do siedmeho neba.

Možno práve táto legenda podnietila tvorcov Trend Micro pomenovať jeden zo svojich bezpečnostných projektov oblaky Oblak Deviaty - deviaty oblak. To je jednoznačne vyššie ako siedme miesto. Teraz je však týmto názvom pomenovaná široká škála vecí: piesne, detektívky, počítačové hry, je však možné, že názov bol inšpirovaný kresťanskou legendou o Pavlovi.

Trend Micro však zatiaľ zverejnil len informáciu, že Cloud Nine bude spojený so šifrovaním dát v cloude. Práve šifrovanie dát vám umožňuje chrániť sa pred väčšinou hrozieb pre dáta vo verejnom cloude, preto sa takéto projekty budú teraz aktívne rozvíjať. Poďme si predstaviť, aké ochranné nástroje môžu byť ešte užitočné na zníženie vyššie popísaných rizík.

V prvom rade musíte zabezpečiť spoľahlivú autentifikáciu používateľov cloudu aj jeho komponentov. Na to môžete s najväčšou pravdepodobnosťou použiť hotové jednotné autentifikačné systémy (SSO), ktoré sú založené na Kerberose a protokole vzájomného overovania zariadení. Ďalej budete potrebovať systémy správy identity, ktoré vám umožnia konfigurovať prístupové práva používateľov rôzne systémy pomocou správy rolí. Samozrejme, budete si musieť pohrať s definovaním rolí a minimálnych práv pre každú rolu, no akonáhle systém nastavíte, môžete ho používať pomerne dlho.

Pri definovaní všetkých účastníkov procesu a ich práv je potrebné sledovať dodržiavanie týchto práv a odhaľovať chyby administrácie. To si vyžaduje systémy na spracovanie udalostí z nástrojov na ochranu prvkov cloudu a dodatočné bezpečnostné mechanizmy, ako sú firewally, antivírusy, IPS a iné. Je pravda, že stojí za to použiť tie možnosti, ktoré môžu fungovať vo virtualizačnom prostredí - bude to efektívnejšie.

Okrem toho sa oplatí použiť aj nejaký druh podvodného stroja, ktorý by vám umožnil odhaliť podvody pri používaní cloudu, to znamená znížiť najťažšie riziko zasahovania do obchodných procesov. Je pravda, že teraz na trhu s najväčšou pravdepodobnosťou nie je žiadny podvodný automat, ktorý by umožňoval prácu s cloudmi, avšak technológie na odhaľovanie prípadov podvodov a zneužívania už boli vyvinuté pre telefonovanie. Keďže fakturačný systém bude musieť byť implementovaný v cloude, podvodný stroj by mal byť pripojený k nemu. Takto bude možné aspoň kontrolovať hrozby pre cloudové obchodné procesy.

Aké ďalšie obranné mechanizmy možno použiť na ochranu oblakov? Otázka zostáva zatiaľ otvorená.

Existuje niekoľko spôsobov budovania podnikovej IT infraštruktúry. Nasadenie všetkých zdrojov a služieb na cloudovej platforme je len jedným z nich. Prekážkou na tejto ceste sa však často stávajú predsudky ohľadom bezpečnosti cloudových riešení. V tomto článku pochopíme, ako funguje bezpečnostný systém v cloude jedného z najznámejších ruských poskytovateľov - Yandex.

Rozprávka je lož, ale je v nej náznak

Začiatok tohto príbehu možno vyrozprávať ako slávnu rozprávku. V spoločnosti boli traja admini: najstarší bol šikovný chlap, prostredný bol ten a ten, najmladší bol len... praktikant Enikey. Pridal som používateľov do Active Directory a skrútil chvosty systémov Cisco. Prišiel čas firmy expandovať a kráľ, teda šéf, povolal svoju admin armádu. Želám si, hovorí, nové webové služby pre našich klientov, vlastné úložisko súborov, spravované databázy a virtuálne stroje na testovanie softvéru.

Najmladší okamžite navrhol vytvorenie vlastnej infraštruktúry od nuly: nákup serverov, inštalácia a konfigurácia softvéru, rozšírenie hlavného internetového kanála a pridanie záložného k nemu – kvôli spoľahlivosti. A spoločnosť je pokojnejšia: hardvér je vždy po ruke, kedykoľvek sa dá niečo vymeniť alebo prekonfigurovať a on sám bude mať vynikajúcu príležitosť upgradovať svoje administrátorské schopnosti. Vypočítali to a ronili slzy: spoločnosť nemohla znášať také výdavky. Veľké podniky to dokážu, ale pre stredné a malé podniky je to príliš drahé. Nie je potrebné len nakúpiť zariadenie, vybaviť serverovňu, nainštalovať klimatizáciu a nastaviť požiarny poplach, ale aj organizovať smeny, aby ste mohli sledovať poriadok vo dne aj v noci a odraziť sieťové útoky od úskokov ľudí na internete. A z nejakého dôvodu správcovia nechceli pracovať v noci a cez víkendy. Keby len za dvojitú platbu.

Hlavný správca sa zamyslene pozrel na okno terminálu a navrhol umiestniť všetky služby do cloudu. Potom sa však jeho kolegovia začali navzájom strašiť hororovými príbehmi: hovoria, že cloudová infraštruktúra má nezabezpečené rozhrania a API, zle vyrovnáva záťaž rôznych klientov, čo môže spôsobiť utrpenie vašich vlastných zdrojov, a je tiež nestabilná voči krádeži dát a vonkajšie útoky. A vo všeobecnosti je desivé preniesť kontrolu nad dôležitými údajmi a softvérom na cudzích ľudí, s ktorými ste nezjedli ani kúsok soli alebo nevypili vedro piva.

Priemerný chlap prišiel s nápadom umiestniť celý IT systém do dátového centra poskytovateľa, na jeho kanály. Tak sa rozhodli. Na našu trojicu však čakalo viacero prekvapení, nie všetky boli príjemné.

Po prvé, každá sieťová infraštruktúra vyžaduje povinnú prítomnosť ochranných a bezpečnostných nástrojov, ktoré sú, samozrejme, nasadené, nakonfigurované a spustené. Len náklady na hardvérové ​​prostriedky, ktoré používajú, ako sa ukazuje, musí zaplatiť klient sám. A moderný systém informačnej bezpečnosti spotrebúva nemalé prostriedky.

Po druhé, podnik naďalej rástol a pôvodne vybudovaná infraštruktúra rýchlo narazila na strop škálovateľnosti. Navyše na jeho rozšírenie nestačila jednoduchá zmena tarify: mnohé služby by sa v tomto prípade museli preniesť na iné servery, prekonfigurovať a niektoré dokonca úplne prepracovať od začiatku.

Nakoniec jedného dňa kvôli kritickej zraniteľnosti v jednej z aplikácií skolaboval celý systém. Admini ju rýchlo zdvihli z záložné kópie, ale nebolo možné rýchlo pochopiť dôvody toho, čo sa stalo, pretože zabudli nastaviť zálohu pre protokolovacie služby. Stratil sa cenný čas a čas, ako sa hovorí, sú peniaze.

Výpočet nákladov a sumarizácia výsledkov viedli vedenie spoločnosti k neuspokojivým záverom: správca, ktorý od začiatku navrhoval použitie cloudového modelu IaaS – „infraštruktúra ako služba“ – mal pravdu. Pokiaľ ide o bezpečnosť takýchto platforiem, oplatí sa o tom hovoriť samostatne. A urobíme to pomocou príkladu najpopulárnejších takýchto služieb - Yandex.Cloud.

Zabezpečenie v Yandex.Cloud

Začnime, ako poradil Cheshire Cat dievčatku Alice, od začiatku. Teda z problematiky delimitácie zodpovednosti. V Yandex.Cloud, rovnako ako v iných podobných platformách, je poskytovateľ zodpovedný za bezpečnosť služieb poskytovaných používateľom, zatiaľ čo zodpovednosť samotného klienta zahŕňa zabezpečenie správneho fungovania aplikácií, ktoré vyvíja, organizáciu a vymedzenie vzdialeného prístupu k pridelené zdroje a konfigurácia databáz a virtuálnych strojov, kontrola nad protokolovaním. Na to má však k dispozícii všetky potrebné nástroje.

Bezpečnosť cloudovej infraštruktúry Yandex má niekoľko úrovní, z ktorých každá implementuje svoje vlastné bezpečnostné princípy a využíva samostatný arzenál technológií.

Fyzická vrstva

Nie je žiadnym tajomstvom, že Yandex má svoje vlastné dátové centrá, ktoré slúžia jeho vlastným bezpečnostným oddeleniam. Hovoríme nielen o službách video sledovania a kontroly prístupu určených na zabránenie vstupu cudzincov do serverových miestností, ale aj o systémoch klimatizácie, hasení požiarov a neprerušiteľnom napájaní. Prísni ochrankári budú málo užitoční, ak je stojan s vašimi servermi jedného dňa zaplavený vodou z hasiacich zariadení alebo ak sa prehreje po poruche klimatizácie. V dátových centrách Yandex sa im to určite nestane.

Okrem toho je cloudový hardvér fyzicky oddelený od „veľkého Yandexu“: sú umiestnené v rôznych stojanoch, ale presne rovnakým spôsobom podstupujú pravidelnú rutinnú údržbu a výmenu komponentov. Na hranici týchto dvoch infraštruktúr sa používajú hardvérové ​​brány firewall a v rámci cloudu sa používa softvérová hostiteľská brána firewall. Prepínače Top-of-the-rack navyše využívajú systém kontroly prístupu ACL (Access Control List), ktorý výrazne zlepšuje bezpečnosť celej infraštruktúry. Yandex pravidelne skenuje cloud zvonku a hľadá otvorené porty a chyby konfigurácie, takže potenciálne zraniteľné miesta je možné rozpoznať a odstrániť vopred. Pre zamestnancov pracujúcich s cloudovými zdrojmi bol implementovaný centralizovaný autentifikačný systém pomocou kľúčov SSH s modelom prístupu na základe rolí a všetky relácie administrátorov sa zaznamenávajú. Tento prístup je súčasťou štandardného štandardného modelu, ktorý Yandex univerzálne používa: bezpečnosť je zabudovaná do IT infraštruktúry vo fáze jej návrhu a vývoja a nepridáva sa neskôr, keď je už všetko uvedené do prevádzky.

Úroveň infraštruktúry

Na úrovni „hardvérovo-softvérovej logiky“ využíva Yandex.Cloud tri služby infraštruktúry: Compute Cloud, Virtual Private Cloud a Yandex Managed Services. A teraz o každom z nich trochu podrobnejšie.

Compute Cloud

Táto služba poskytuje škálovateľný výpočtový výkon pre rôzne úlohy, ako je hosting webových projektov a vysoko zaťažených služieb, testovanie a prototypovanie alebo dočasná migrácia IT infraštruktúry na dobu opravy alebo výmeny vlastného zariadenia. Službu môžete spravovať cez konzolu, príkazový riadok (CLI), SDK alebo API.

Bezpečnosť Compute Cloud je založená na skutočnosti, že všetky klientske virtuálne stroje využívajú minimálne dve jadrá a pri prideľovaní pamäte sa nepoužíva overcommitment. Keďže v tomto prípade je na jadre spustený iba klientsky kód, systém nie je náchylný na zraniteľnosti ako L1TF, Spectre a Meltdown alebo útoky na bočný kanál.

Okrem toho používa Yandex vlastná montáž Qemu/KVM, v ktorom je deaktivované všetko nepotrebné, pričom zostáva len minimálna sada kódu a knižníc potrebných na fungovanie hypervízorov. V tomto prípade sú procesy spúšťané pod kontrolou nástrojov založených na AppArmor, ktorý pomocou bezpečnostných politík určuje, ktoré systémové prostriedky a s akými privilégiami môže konkrétna aplikácia získať prístup. AppArmor bežiaci na každom virtuálnom stroji znižuje riziko, že klientska aplikácia bude môcť pristupovať k hypervízoru z virtuálneho počítača. Na prijímanie a spracovanie protokolov vytvoril Yandex proces na doručovanie údajov z AppArmor a sandboxov do vlastného Splunk.

Virtuálny súkromný cloud

Služba Virtual Private Cloud umožňuje vytvárať cloudové siete slúžiace na prenos informácií medzi rôznymi zdrojmi a ich pripojenie na internet. Fyzicky túto službu podporujú tri nezávislé dátové centrá. V tomto prostredí je implementovaná logická izolácia na úrovni multiprotokolového prepojenia – MPLS. Yandex zároveň neustále fuzzuje rozhranie medzi SDN a hypervízorom, to znamená, že zo strany virtuálnych strojov sa prúd nesprávne vytvorených paketov nepretržite posiela do externého prostredia, aby dostal odpoveď od SDN, analyzoval ju a zatvorte možné medzery v konfigurácii. Ochrana pred DDoS útokmi je automaticky zapnutá pri vytváraní virtuálnych strojov.

Spravované služby Yandex

Yandex Managed Services je softvérové ​​prostredie na správu rôznych služieb: DBMS, klastre Kubernetes, virtuálne servery v infraštruktúre Yandex.Cloud. Služba tu preberá väčšinu zabezpečovacej práce. Všetky zálohy, šifrovanie záloh, správa zraniteľností atď. sú poskytované automaticky softvér Yandex.Cloud.

Nástroje reakcie na incidenty

Na včasnú reakciu na incidenty informačnej bezpečnosti je potrebné včas identifikovať zdroj problému. Prečo je potrebné používať spoľahlivé monitorovacie nástroje, ktoré by mali fungovať nepretržite a bez porúch? Takéto systémy budú nevyhnutne spotrebovávať zdroje, ale Yandex.Cloud neprenáša náklady na výpočtový výkon bezpečnostných nástrojov na používateľov platformy.

Pri výbere nástrojov sa Yandex riadil ďalšou dôležitou požiadavkou: v prípade úspešného zneužitia 0-dňovej zraniteľnosti v jednej z aplikácií by útočník nemal ísť za hostiteľa aplikácie, zatiaľ čo bezpečnostný tím by sa mal okamžite dozvedieť o incidente a reagovať. ako nevyhnutné.

V neposlednom rade sme chceli, aby všetky nástroje boli open source. Tieto kritériá plne spĺňa kombinácia AppArmor + Osquery, ktorú bolo rozhodnuté použiť v Yandex.Cloud.

AppArmor

AppArmor, už spomenutý vyššie, je proaktívny bezpečnostný softvérový nástroj založený na prispôsobiteľných bezpečnostných profiloch. Profily využívajú technológiu riadenia prístupu založenú na štítkoch ochrany osobných údajov Mandatory Access Control (MAC), implementovanej pomocou LSM priamo v samotnom jadre Linuxu počnúc verziou 2.6. Vývojári Yandex si vybrali AppArmor z nasledujúcich dôvodov:

• ľahkosť a rýchlosť, keďže nástroj je založený na časti jadra OS Linux;
• je to open source riešenie;
• AppArmor je možné na Linuxe nasadiť veľmi rýchlo bez toho, aby ste museli písať akýkoľvek kód;
• Flexibilná konfigurácia je možná pomocou konfiguračných súborov.

Osquery

Osquery je nástroj na monitorovanie bezpečnosti systému vyvinutý spoločnosťou Facebook a v súčasnosti sa úspešne používa v mnohých odvetviach IT. Okrem toho je tento nástroj multiplatformový a má otvorený zdroj.

Pomocou Osquery môžete zhromažďovať informácie o stave rôznych komponentov operačný systém, akumulovať ho, transformovať na štandardizovaný formát JSON a preposlať vybranému príjemcovi. Tento nástroj umožňuje písať a odosielať do aplikácie štandardné SQL dotazy, ktoré sú uložené v databáze rocksdb. Môžete nakonfigurovať frekvenciu a podmienky, za ktorých sa tieto požiadavky vykonávajú alebo spracúvajú.

Štandardné tabuľky už implementujú veľa funkcií, napríklad môžete získať zoznam procesov spustených v systéme, nainštalované balíky, aktuálnu sadu pravidiel iptables, entity crontab atď. Hneď po vybalení je implementovaná podpora pre príjem a analýzu udalostí zo systému auditu jadra (používa sa v Yandex.Cloud na spracovanie udalostí AppArmor).

Osquery samotné je napísané v C++ a je distribuované ako open source; môžete ich upravovať a buď pridávať nové tabuľky do hlavnej kódovej základne, alebo si vytvárať vlastné rozšírenia v C, Go alebo Pythone.

Užitočnou funkciou Osquery je prítomnosť distribuovaného dotazovacieho systému, pomocou ktorého môžete spúšťať dotazy v reálnom čase proti všetkým virtuálnym strojom umiestneným v sieti. To môže byť užitočné napríklad vtedy, ak je v balíku objavená zraniteľnosť: jednou požiadavkou môžete získať zoznam počítačov, na ktorých je tento balík nainštalovaný. Táto funkcia je široko používaná pri správe veľkých distribuovaných systémov s komplexnou infraštruktúrou.

závery

Ak sa vrátime k príbehu vyrozprávanému na samom začiatku tohto článku, uvidíme, že obavy, ktoré prinútili našich hrdinov opustiť nasadenie infraštruktúry na cloudovej platforme, sa ukázali ako neopodstatnené. Aspoň pokiaľ ide o Yandex.Cloud. Zabezpečenie cloudovej infraštruktúry vytvorenej spoločnosťou Yandex má viacúrovňovú vrstvenú architektúru, a preto poskytuje vysokú úroveň ochrany proti väčšine dnes známych hrozieb.

Zároveň vďaka úsporám pri bežnej údržbe hardvéru a platbách za zdroje spotrebované monitorovacími systémami a systémami prevencie incidentov, ktorých sa Yandex zaväzuje, používanie Yandex.Cloud výrazne šetrí peniaze pre malé a stredné podniky. Samozrejme, nebude možné úplne opustiť IT oddelenie alebo oddelenie zodpovedné za informačnú bezpečnosť (najmä ak sa obe tieto roly spoja v jednom tíme). Yandex.Cloud však výrazne zníži mzdové náklady a režijné náklady.

Keďže Yandex.Cloud poskytuje svojim klientom zabezpečenú infraštruktúru so všetkými potrebnými bezpečnostnými nástrojmi, môžu sa sústrediť na obchodné procesy a ponechať úlohy údržby a monitorovania hardvéru na poskytovateľa. Nevylučuje to nutnosť priebežnej administrácie VM, databáz a aplikácií, no takýto rozsah úloh by bolo treba riešiť v každom prípade. Vo všeobecnosti môžeme povedať, že Yandex.Cloud šetrí nielen peniaze, ale aj čas. A druhý, na rozdiel od prvého, je nenahraditeľným zdrojom.

Kurz v disciplíne

Softvér a hardvér pre informačnú bezpečnosť

"Informačná bezpečnosť v cloud computingu: slabé miesta, metódy a prostriedky ochrany, nástroje na auditovanie a vyšetrovanie incidentov."

Úvod

1. História a kľúčové faktory vývoja

2. Definícia cloud computingu

3. Referenčná architektúra

4. Dohoda o úrovni služieb

5. Metódy a prostriedky ochrany v cloud computingu

6. Bezpečnosť cloudových modelov

7. Bezpečnostný audit

8. Vyšetrovanie incidentov a forenzná analýza v cloud computingu

9. Model ohrozenia

10. Medzinárodné a domáce normy

11. Územná príslušnosť údajov

12. Štátne normy

13. Bezpečnostné nástroje v cloudových technológiách

14. Praktická časť

Záver

Literatúra

Úvod

Zvyšujúca sa rýchlosť šírenia cloud computingu sa vysvetľuje tým, že za málo peňazí vo všeobecnosti zákazník získa prístup k najspoľahlivejšej infraštruktúre s požadovaným výkonom bez nutnosti nákupu, inštalácie a údržby drahých počítačov. 99,9 %, čo tiež umožňuje úsporu výpočtových zdrojov. A čo je tiež dôležité, je prakticky neobmedzená škálovateľnosť. Zakúpením bežného hostingu a pokusom o preskočenie (počas prudkého nárastu zaťaženia) existuje riziko, že služba na niekoľko hodín prestane fungovať. V cloude sa na prvú žiadosť poskytujú ďalšie zdroje.

Hlavným problémom cloud computingu je negarantovaná úroveň bezpečnosti spracovávaných informácií, miera bezpečnosti zdrojov a často úplne absentujúci regulačný rámec.

Účelom štúdie bude preskúmať existujúci trh s cloud computingom a nástrojmi na zaistenie bezpečnosti na ňom.

informácie o bezpečnosti cloud computingu

1. História a kľúčové faktory vývoja

Myšlienku toho, čo dnes nazývame cloud computing, prvýkrát navrhol J. C. R. Licklider v roku 1970. Počas týchto rokov bol zodpovedný za vytvorenie siete ARPANET (Advanced Research Projects Agency Network). Jeho predstavou bolo, že každý človek na zemi bude pripojený k sieti, z ktorej bude prijímať nielen dáta, ale aj programy. Ďalší vedec John McCarthy vyjadril myšlienku, že výpočtový výkon by sa používateľom poskytoval ako služba. V tomto momente bol vývoj cloudových technológií pozastavený až do 90. rokov, potom k jeho rozvoju prispelo množstvo faktorov.

Rozšírenie šírky internetového pásma v 90. rokoch neumožnilo výrazný skok vo vývoji cloudových technológií, keďže na to nebola pripravená prakticky žiadna vtedajšia spoločnosť ani technológia. Samotná skutočnosť zrýchlenia internetu však dala impulz rýchlemu rozvoju cloud computingu.

2. Jedným z najvýznamnejších pokrokov v tejto oblasti bol vznik Salesforce.com v roku 1999. Táto spoločnosť sa stala prvou spoločnosťou, ktorá poskytla prístup k svojej aplikácii prostredníctvom webovej stránky. V skutočnosti sa táto spoločnosť stala prvou spoločnosťou, ktorá poskytuje svoj softvér na princípe softvér ako služba (SaaS).

Ďalším krokom bol vývoj cloudovej webovej služby spoločnosťou Amazon v roku 2002. Táto služba umožňovala ukladanie informácií a vykonávanie výpočtov.

V roku 2006 Amazon spustil službu s názvom Elastic Compute cloud (EC2), webovú službu, ktorá svojim používateľom umožňovala spúšťať ich vlastné aplikácie. Amazon EC2 a Amazon S3 boli prvé dostupné služby cloud computingu.

Ďalším míľnikom vo vývoji cloud computingu bolo vytvorenie platformy Google Apps pre webové aplikácie v podnikateľskom sektore spoločnosťou Google.

Pri vývoji cloudových technológií zohrali významnú úlohu virtualizačné technológie, najmä softvér, ktorý umožňuje vytváranie virtuálnej infraštruktúry.

Vývoj hardvéru tak výrazne neprispel rýchly rast cloudové technológie, nakoľko je táto technológia dostupná pre malé podniky a jednotlivcov. Čo sa týka technického pokroku, významnú úlohu v tom zohralo vytvorenie viacjadrových procesorov a zvýšenie kapacity zariadení na ukladanie informácií.

2. Definícia cloud computingu

Podľa definície amerického Národného inštitútu pre štandardy a technológie:

Cloud computing (Cloud computing) (AngličtinaCloud- oblak; výpočtový Computing je model na poskytovanie všadeprítomného, ​​pohodlného sieťového prístupu na požiadanie k zdieľanému fondu konfigurovateľných výpočtových zdrojov (napr. siete, servery, úložiská, aplikácie a služby), ktoré možno rýchlo zabezpečiť a uvoľniť s minimálnym úsilím a potrebou správy. interakcia s poskytovateľom služieb (poskytovateľom služieb).

Cloudový model podporuje vysokú dostupnosť služieb a je opísaný piatimi základnými charakteristikami, tromi modelmi služieb a štyrmi modelmi nasadenia.

Programy sa spúšťajú a zobrazujú výsledky svojej práce v štandardnom okne webového prehliadača na lokálnom PC, pričom všetky aplikácie a ich dáta potrebné na prevádzku sú umiestnené na vzdialenom serveri na internete. Počítače vykonávajúce cloud computing sa nazývajú „computing cloud“. V tomto prípade sa zaťaženie medzi počítačmi zahrnutými do „výpočtového cloudu“ rozdelí automaticky. Najjednoduchším príkladom cloud computingu sú siete p2p.

Na implementáciu cloud computingu sa používajú prechodné softvérové ​​produkty vytvorené pomocou špeciálnych technológií. Slúžia ako medzičlánok medzi zariadením a používateľom a zabezpečujú monitorovanie stavu zariadení a programov, rovnomerné rozloženie záťaže a včasnú alokáciu zdrojov zo spoločného fondu. Jednou z takýchto technológií je virtualizácia vo výpočtovej technike.

Virtualizácia vo výpočtovej technike- proces reprezentácie množiny výpočtových zdrojov, alebo ich logickej kombinácie, ktorý poskytuje akékoľvek výhody oproti pôvodnej konfigurácii. Toto je nový virtuálny pohľad na zdroje komponentov bez obmedzenia implementáciou, fyzickou konfiguráciou alebo geografickou polohou. Virtualizované zdroje zvyčajne zahŕňajú výpočtový výkon a ukladanie údajov. Z vedeckého hľadiska je virtualizácia izoláciou výpočtových procesov a zdrojov od seba.

Príkladom virtualizácie sú symetrické viacprocesorové počítačové architektúry, ktoré využívajú viac ako jeden procesor. Operačné systémy sú zvyčajne nakonfigurované tak, aby obsahovali viacero procesorov ako jednu procesorovú jednotku. To je dôvod, prečo môžu byť softvérové ​​aplikácie napísané pre jednu logickú ( virtuálne) výpočtový modul, čo je oveľa jednoduchšie ako práca s veľkým množstvom rôznych konfigurácií procesorov.

Pre obzvlášť veľké výpočty náročné na zdroje sa používa grid computing.

Grid Computing (mriežka - mriežka, sieť) je forma distribuovaného výpočtového systému, v ktorej je „virtuálny superpočítač“ prezentovaný vo forme zhlukov sieťovo prepojených, voľne prepojených, heterogénnych počítačov, ktoré spolupracujú pri vykonávaní veľkého množstva úloh (operácií, úloh).

Táto technológia sa používa na riešenie vedeckých a matematických problémov, ktoré si vyžadujú značné výpočtové zdroje. Grid computing sa používa aj v komerčnej infraštruktúre na riešenie časovo náročných problémov, ako sú ekonomické prognózy, seizmická analýza a vývoj a štúdium vlastností nových liekov.

Z pohľadu sieťovej organizácie je grid konzistentné, otvorené a štandardizované prostredie, ktoré poskytuje flexibilné, bezpečné, koordinované zdieľanie výpočtových a úložných zdrojov, ktoré sú súčasťou tohto prostredia v rámci jednej virtuálnej organizácie.

Paravirtualizácia je virtualizačná technika, ktorá poskytuje virtuálnym strojom softvérové ​​rozhranie podobné, ale nie identické, so základným hardvérom. Účelom tohto upraveného rozhrania je skrátiť čas, ktorý hosťovský operačný systém strávi vykonávaním operácií, ktoré sa vo virtuálnom prostredí vykonávajú oveľa ťažšie ako v prostredí nevirtualizovanom.

Existujú špeciálne „háky“, ktoré umožňujú hosťom a hostiteľským systémom požadovať a potvrdzovať splnenie týchto zložitých úloh, ktoré by bolo možné vykonávať vo virtuálnom prostredí, ale oveľa pomalšie.

Hypervízor ( alebo Monitor virtuálneho stroja) - v počítačoch program alebo hardvérový obvod, ktorý poskytuje alebo umožňuje súčasné, paralelné vykonávanie niekoľkých alebo dokonca viacerých operačných systémov na tom istom hostiteľskom počítači. Hypervízor tiež poskytuje izoláciu operačných systémov od seba, ochranu a bezpečnosť, zdieľanie zdrojov medzi rôznymi bežiacimi OS a správu zdrojov.

Hypervízor môže tiež (ale nie je povinný) poskytnúť operačným systémom bežiacim pod jeho kontrolou na tom istom hostiteľskom počítači prostriedky na vzájomnú komunikáciu a interakciu (napríklad prostredníctvom zdieľania súborov alebo sieťových pripojení), ako keby tieto operačné systémy boli beží na rôznych fyzických počítačoch.

Samotný hypervízor je istým spôsobom minimálny operačný systém (mikrokernel alebo nanokernel). Operačným systémom bežiacim pod jej kontrolou poskytuje službu virtuálneho stroja, virtualizuje alebo emuluje skutočný (fyzický) Hardvér konkrétneho stroja a spravuje tieto virtuálne stroje, pričom im prideľuje a uvoľňuje zdroje. Hypervízor umožňuje nezávislé „zapnutie“, reštart, „vypnutie“ akéhokoľvek virtuálneho počítača s konkrétnym operačným systémom. Operačný systém spustený vo virtuálnom stroji s hypervízorom však môže, ale nemusí „vedieť“, že beží na virtuálnom stroji a nie na skutočnom hardvéri.

Modely cloudových služieb

Možnosti poskytovania výpočtového výkonu sa značne líšia. Všetko, čo súvisí s cloud computingom, sa zvyčajne nazýva slovo aaS, čo jednoducho znamená „ako služba“, teda „ako služba“ alebo „ako služba“.

Softvér ako služba (SaaS) - Poskytovateľ poskytuje klientovi aplikáciu pripravenú na použitie. Aplikácie sú prístupné z rôznych klientskych zariadení alebo cez rozhrania tenkého klienta, ako je webový prehliadač (napríklad webmail) alebo programové rozhrania. Spotrebiteľ nespravuje základnú cloudovú infraštruktúru vrátane sietí, serverov, operačných systémov, úložných systémov a dokonca ani individuálnych nastavení aplikácií, s výnimkou niektorých užívateľom definovaných nastavení konfigurácie aplikácií.

V rámci modelu SaaS zákazníci platia nie za to, že vlastnia samotný softvér, ale za jeho prenájom (teda používanie cez webové rozhranie). Na rozdiel od klasickej schémy licencovania softvéru tak zákazníkovi vznikajú relatívne malé opakujúce sa náklady a nemusí investovať značné finančné prostriedky na nákup softvéru a jeho podporu. Schéma pravidelných platieb predpokladá, že ak softvér dočasne nie je potrebný, zákazník môže pozastaviť jeho používanie a zmraziť platby vývojárovi.

Z pohľadu vývojára vám model SaaS umožňuje efektívne bojovať proti nelicencovanému používaniu softvéru (pirátstvu), keďže samotný softvér sa nedostane ku koncovým zákazníkom. Koncept SaaS navyše často znižuje náklady na nasadenie a implementáciu informačných systémov.

Ryža. 1 Typická schéma SaaS

Platforma ako služba (PaaS) - poskytovateľ ponúka klientovi softvérovú platformu a nástroje na navrhovanie, vývoj, testovanie a nasadzovanie užívateľských aplikácií. Spotrebiteľ nespravuje základnú cloudovú infraštruktúru vrátane sietí, serverov, operačných systémov a úložných systémov, ale má kontrolu nad nasadenými aplikáciami a možno aj nad niektorými konfiguračnými parametrami hostiteľského prostredia.

Ryža. 2 Typická schéma PaaS

Infraštruktúra ako služba (IaaS). - poskytovateľ ponúka klientovi na prenájom výpočtové zdroje: servery, úložné systémy, sieťové zariadenia, operačné systémy a systémový softvér, virtualizačné systémy, systémy na správu zdrojov. Spotrebiteľ nekontroluje základnú cloudovú infraštruktúru, ale má kontrolu nad operačnými systémami, úložnými systémami, nasadenými aplikáciami a možno aj obmedzenou kontrolou nad výberom sieťových komponentov (napríklad hostiteľa s bránami firewall).

Ryža. 3 Typická schéma IaaS

Okrem toho Existujú také služby ako:

Komunikácia ako služba (Com-aaS) - rozumie sa, že komunikačné služby sa poskytujú ako služby; Zvyčajne ide o IP telefóniu, poštu a okamžitú komunikáciu (chat, IM).

Cloudové úložisko dát- užívateľovi je poskytnutý určitý priestor na ukladanie informácií. Keďže informácie sú uložené distribuované a duplikované, takéto úložné zariadenia poskytujú oveľa vyšší stupeň bezpečnosti údajov ako lokálne servery.

Pracovisko ako služba (WaaS) - používateľa, ktorý má k dispozícii nedostatočné výkonný počítač, môže nakupovať výpočtové zdroje od dodávateľa a používať jeho PC ako terminál na prístup k službe.

Antivírusový cloud- infraštruktúra, ktorá sa používa na spracovanie informácií získaných od používateľov s cieľom rýchlo rozpoznať nové, predtým neznáme hrozby. Cloudový antivírus nevyžaduje od používateľa žiadne zbytočné akcie – jednoducho odošle požiadavku týkajúcu sa podozrivého programu alebo odkazu. Po potvrdení nebezpečenstva sa automaticky vykonajú všetky potrebné akcie.

Modely nasadenia

Medzi modelmi nasadenia sú 4 hlavné typy infraštruktúry

Súkromný cloud - infraštruktúra určená na používanie jednou organizáciou vrátane viacerých spotrebiteľov (napríklad divízií jednej organizácie), prípadne aj klientov a dodávateľov tejto organizácie. Súkromný cloud môže byť vlastnený, prevádzkovaný a prevádzkovaný samotnou organizáciou alebo treťou stranou (alebo nejakou ich kombináciou) a môže fyzicky existovať v rámci alebo mimo jurisdikcie vlastníka.

Ryža. 4 Súkromný cloud.

Verejný cloud - infraštruktúru určenú na bezplatné používanie širokou verejnosťou. Verejný cloud môžu vlastniť, prevádzkovať a prevádzkovať komerčné, akademické a vládne organizácie (alebo nejaká ich kombinácia). Verejný cloud fyzicky existuje v jurisdikcii vlastníka – poskytovateľa služby.

Ryža. 5 Verejný cloud.

Hybridný cloud - ide o kombináciu dvoch alebo viacerých rôznych cloudových infraštruktúr (súkromných, verejných alebo verejných), ktoré zostávajú jedinečnými entitami, ale sú navzájom prepojené štandardizovanými alebo proprietárnymi dátovými a aplikačnými technológiami (napríklad krátkodobé využívanie verejných cloudových zdrojov na vyváženie zaťaženia medzi mraky).

Ryža. 6 Hybridný cloud.

komunitný cloud - typ infraštruktúry určený na použitie špecifickou komunitou zákazníkov z organizácií, ktoré majú spoločné ciele (napríklad poslanie, bezpečnostné požiadavky, politiky a súlad s rôznymi požiadavkami). Komunitný cloud môže kooperatívne vlastniť, spravovať a prevádzkovať jedna alebo viacero komunitných organizácií alebo tretia strana (alebo nejaká ich kombinácia) a môže fyzicky existovať v rámci alebo mimo jurisdikcie vlastníka.

Ryža. 7 Popis vlastností cloudu

Základné vlastnosti

NIST vo svojom dokumente „Definícia cloud computingu NIST“ definuje nasledujúce charakteristiky oblakov:

Samoobsluha na požiadanie (On-demand self-service). Spotrebiteľ má možnosť pristupovať k poskytovaným výpočtovým zdrojom jednostranne podľa potreby, automaticky, bez nutnosti interakcie so zamestnancami každého poskytovateľa služieb.

Široký prístup k sieti. Poskytované výpočtové zdroje sú dostupné cez sieť prostredníctvom štandardných mechanizmov pre rôzne platformy, tenkých a hrubých klientov ( mobilné telefóny, tablety, notebooky, pracovné stanice atď.).

Združovanie zdrojov. Výpočtové zdroje poskytovateľa sú združené, aby slúžili mnohým spotrebiteľom pomocou modelu viacerých nájomníkov. Pool zahŕňa množstvo fyzických a virtuálnych prostriedkov, ktoré možno dynamicky priraďovať a priraďovať podľa požiadaviek spotrebiteľov. Spotrebiteľ o tom nemusí vedieť presné umiestnenie zdrojov, ale ich umiestnenie môžete určiť na vyššej úrovni abstrakcie (napríklad krajina, región alebo dátové centrum). Príklady tohto typu zdrojov zahŕňajú úložné systémy, výpočtový výkon, pamäť, priepustnosť siete.

Rýchla elasticita. Zdroje môžu byť elasticky prideľované a uvoľňované, v niektorých prípadoch automaticky, aby sa rýchlo škálovalo podľa dopytu. Pre spotrebiteľa sú možnosti poskytovania zdrojov považované za neobmedzené, to znamená, že si ich možno privlastniť v akomkoľvek množstve a kedykoľvek.

Meraná služba. Cloudové systémy automaticky riadia a optimalizujú zdroje pomocou meracích nástrojov implementovaných na úrovni abstrakcie pre rôzne typy služieb (napr externá pamäť, spracovanie, šírka pásma alebo aktívne relácie používateľa). Použité zdroje je možné sledovať a kontrolovať, čo poskytuje transparentnosť pre poskytovateľa aj spotrebiteľa využívajúceho službu.

Ryža. 8 Štrukturálna schéma cloud server

Výhody a nevýhody cloud computingu

Výhody

· sú znížené nároky na výpočtový výkon PC (nevyhnutnou podmienkou je len prístup na internet);

· odolnosť proti chybám;

· bezpečnosť;

· vysoká rýchlosť spracovania údajov;

· zníženie nákladov na hardvér a softvér, údržbu a elektrinu;

· šetrenie miesto na disku(údaje aj programy sú uložené na internete).

· Živá migrácia – prenos virtuálneho stroja z jedného fyzického servera na druhý bez zastavenia prevádzky virtuálneho stroja a zastavenia služieb.

· Koncom roka 2010 sa v súvislosti s DDoS útokmi proti spoločnostiam, ktoré odmietli poskytnúť zdroje WikiLeaks, ukázala ďalšia výhoda technológie cloud computingu. Všetky spoločnosti, ktoré boli proti WikiLeaks, boli napadnuté, ale iba Amazon sa ukázal byť necitlivý na tieto vplyvy, pretože používal cloud computing. („Anonymný: vážna hrozba alebo obyčajné obťažovanie“, Network Security, N1, 2011).

Nedostatky

· závislosť bezpečnosti používateľských údajov od spoločností poskytujúcich služby cloud computingu;

· neustále pripojenie k sieti – pre získanie prístupu ku cloudovým službám potrebujete neustále pripojenie na internet. V dnešnej dobe to však nie je až taký veľký nedostatok, najmä s nástupom technológií. mobilné komunikácie 3G a 4G.

· softvér a jeho úprava – existujú obmedzenia na softvér, ktorý je možné nasadiť na cloud a poskytnúť používateľovi. Používateľ softvéru má obmedzenia v používanom softvéri a niekedy nemá možnosť prispôsobiť si ho pre svoje vlastné účely.

· dôvernosť – dôvernosť údajov uložených na verejných cloudoch v súčasnosti vyvoláva množstvo kontroverzií, no vo väčšine prípadov sa odborníci zhodujú na tom, že sa neodporúča uchovávať pre firmu najcennejšie dokumenty na verejnom cloude, keďže v súčasnosti neexistuje žiadna technológia to by zaručilo 100 % dôvernosť uložených údajov, a preto je používanie šifrovania v cloude povinné.

· spoľahlivosť - pokiaľ ide o spoľahlivosť uložených informácií, môžeme s istotou povedať, že ak ste stratili informácie uložené v „cloude“, stratili ste ich navždy.

· bezpečnosť - samotný „cloud“ je pomerne spoľahlivý systém, avšak po prieniku útočník získa prístup k obrovskému dátovému úložisku Ďalšou nevýhodou je použitie virtualizačných systémov, ktoré využívajú štandardné jadrá OS ako Linux, Windows ako napr. hypervízor atď., ktorý umožňuje použitie vírusov.

· vysoké náklady na vybavenie – na vybudovanie vlastného cloudu potrebuje firma alokovať značné materiálne zdroje, čo nie je výhodné pre novovzniknuté a malé firmy.

3. Referenčná architektúra

NIST Cloud Computing Reference Architecture obsahuje päť hlavných aktérov. Každý aktér hrá rolu a vykonáva akcie a funkcie. Referenčná architektúra je reprezentovaná ako sekvenčné diagramy s rastúcimi úrovňami detailov.

Ryža. 9 Koncepčný diagram referenčnej architektúry

Spotrebiteľ cloudu- osoba alebo organizácia udržiavajúca obchodný vzťah a využívajúca služby poskytovateľov cloudu.

Spotrebitelia cloudu sú rozdelení do 3 skupín:

· SaaS – využíva aplikácie na automatizáciu obchodných procesov.

· PaaS – vyvíja, testuje, nasadzuje a spravuje aplikácie nasadené v cloudovom prostredí.

· IaaS – vytvára a spravuje služby IT infraštruktúry.

Cloud Provider- osoba, organizácia alebo subjekt zodpovedný za dostupnosť cloudovej služby pre spotrebiteľov cloudu.

· SaaS – inštaluje, spravuje, udržiava a poskytuje softvér nasadený na cloudovej infraštruktúre.

· PaaS – poskytuje a spravuje cloudovú infraštruktúru a middleware. Poskytuje vývojové a administratívne nástroje.

· IaaS – poskytuje a udržiava servery, databázy a výpočtové zdroje. Poskytuje spotrebiteľovi štruktúru cloudu.

Činnosti poskytovateľov cloudu sú rozdelené do 5 hlavných typických akcií:

Nasadenie služieb:

o Súkromný cloud – obsluhuje sa jedna organizácia. Infraštruktúra je spravovaná samotnou organizáciou aj treťou stranou a môže byť nasadená buď Poskytovateľom (off premise) alebo organizáciou (on premise).

o Zdieľaný cloud – infraštruktúru zdieľa viacero organizácií s podobnými požiadavkami (bezpečnosť, dodržiavanie predpisov).

o Verejný cloud – infraštruktúru využíva veľké množstvo organizácií s rôznymi požiadavkami. Iba mimo prevádzkových priestorov.

o Hybridný cloud – infraštruktúra spája rôzne infraštruktúry založené na podobných technológiách.

Manažment služieb

o Úroveň služby - definuje základné služby poskytované Poskytovateľom.

§ SaaS – aplikácia používaná Spotrebiteľom prístupom do cloudu zo špeciálnych programov.

§ PaaS - kontajnery pre spotrebiteľské aplikácie, vývojové a administračné nástroje.

§ IaaS - výpočtový výkon, databázy, základné zdroje, nad ktorými spotrebiteľ nasadzuje svoju infraštruktúru.

o Úroveň abstrakcie a kontroly zdrojov

§ Správa hypervízora a virtuálnych komponentov potrebných na implementáciu infraštruktúry.

o Úroveň fyzických zdrojov

§ Počítačové vybavenie

§ Inžinierske infraštruktúry

o Dostupnosť

o Dôvernosť

o Identifikácia

o Monitorovanie bezpečnosti a riešenie incidentov

o Bezpečnostné zásady

Ochrana osobných údajov

o Ochrana spracovania, uchovávania a prenosu osobných údajov.

Cloud Auditor- účastník, ktorý môže vykonávať nezávislé hodnotenie cloudových služieb, údržby informačných systémov, výkonu a bezpečnosti cloudových implementácií.

Môže urobiť vlastné hodnotenie bezpečnosti, súkromia, výkonu atď. v súlade so schválenými dokumentmi.

Ryža. 10 Činnosti Poskytovateľa

Cloudový maklér- subjekt, ktorý spravuje používanie, výkon a poskytovanie cloudových služieb, ako aj vytváranie vzťahu medzi Poskytovateľmi a Spotrebiteľmi.

S rozvojom cloud computingu môže byť integrácia cloudových služieb pre spotrebiteľa príliš zložitá.

o Sprostredkovanie služieb - rozšírenie danej služby a poskytovanie nových príležitostí

o Agregácia – kombinovanie rôznych služieb poskytovaných Spotrebiteľovi

Cloudový telekomunikačný operátor- sprostredkovateľ poskytujúci služby pripojenia a dopravy (komunikačné služby) na dodanie cloudových služieb od Poskytovateľov Spotrebiteľom.

Poskytuje prístup cez komunikačné zariadenia

Poskytuje úroveň pripojenia v súlade s SLA.

Spomedzi piatich predstavených aktérov je cloud broker voliteľný, pretože spotrebitelia cloudu môžu prijímať služby priamo od poskytovateľa cloudu.

Predstavenie hercov je spôsobené potrebou študovať vzťahy medzi subjektmi.

4. Dohoda o úrovni služieb

Dohoda o úrovni služieb – dokument popisujúci úroveň poskytovania služieb očakávanú klientom od dodávateľa na základe ukazovateľov, ktoré sa na ne vzťahujú túto službu a stanovenie zodpovednosti dodávateľa, ak sa nedosiahnu dohodnuté ukazovatele.

Tu je niekoľko indikátorov, ktoré sa v tej či onej forme objavujú v dokumentoch operátora:

ASR (Pomer zachytenia odpovede) - parameter, ktorý určuje kvalitu telefonického spojenia v danom smere. ASR sa vypočítava ako percento počtu telefonických spojení vytvorených v dôsledku hovorov k celkovému počtu hovorov uskutočnených v danom smere.

PDD (oneskorenie po vytáčaní) - parameter, ktorý definuje časový úsek (v sekundách), ktorý uplynul od okamihu hovoru do nadviazania telefonického spojenia.

Pomer dostupnosti služby- pomer doby prerušenia poskytovania služieb k celkovému času, kedy má byť služba poskytnutá.

Miera straty paketov- pomer správne prijatých dátových paketov k celkovému počtu paketov, ktoré boli prenesené cez sieť za určité časové obdobie.

Časové oneskorenia pri prenose informačných paketov- čas potrebný na prenos paketu informácií medzi dvoma sieťovými zariadeniami.

Spoľahlivosť prenosu informácií- pomer počtu chybne prenesených dátových paketov k celkovému počtu prenesených dátových paketov.

Obdobia práce, čas na upovedomenie predplatiteľov a čas na obnovenie služieb.

Inými slovami, dostupnosť služby 99,99 % znamená, že operátor garantuje maximálne 4,3 minúty výpadku komunikácie za mesiac, 99,9 % – že služba nemusí byť poskytovaná 43,2 minúty a 99 % – že prerušenie môže trvať dlhšie ako 7 hodín. V niektorých praktikách dochádza k obmedzeniu dostupnosti siete a predpokladá sa nižšia hodnota parametra – v mimopracovnom čase. Rôzne typy služieb (triedy dopravy) majú tiež rôzne hodnoty ukazovateľov. Napríklad pre hlas je najdôležitejší indikátor latencie – mal by byť minimálny. Vyžaduje si to však nízku rýchlosť a niektoré pakety sa môžu stratiť bez straty kvality (až do približne 1 % v závislosti od kodeku). Pri prenose dát je rýchlosť na prvom mieste a strata paketov by mala mať tendenciu k nule.

5. Metódy a prostriedky ochrany v cloud computingu

Dôvernosť musí byť zabezpečená v rámci celého reťazca vrátane poskytovateľa cloudových riešení, spotrebiteľa a komunikácie medzi nimi.

Úlohou Poskytovateľa je zabezpečiť fyzickú aj softvérovú integritu dát pred útokmi tretích osôb. Spotrebiteľ musí „na svojom území“ zaviesť vhodné politiky a postupy, ktoré vylučujú prenos prístupových práv k informáciám na tretie strany.

Problémy zabezpečenia integrity informácií v prípade používania jednotlivých „cloudových“ aplikácií je možné vyriešiť – vďaka moderným databázovým architektúram, systémom Rezervovať kópiu algoritmy na kontrolu integrity a iné priemyselné riešenia. Ale to nie je všetko. Pri integrácii viacerých cloudových aplikácií od rôznych dodávateľov môžu vzniknúť nové výzvy.

V blízkej budúcnosti bude pre spoločnosti, ktoré potrebujú bezpečné virtuálne prostredie, jedinou možnosťou vytvorenie systému privátneho cloudu. Faktom je, že privátne cloudy sa na rozdiel od verejných či hybridných systémov najviac podobajú virtualizovaným infraštruktúram, ktoré sa IT oddelenia veľkých korporácií už naučili implementovať a nad ktorými si môžu udržať plnú kontrolu. Nedostatky informačnej bezpečnosti vo verejných cloudových systémoch predstavujú vážny problém. Väčšina hackerských incidentov sa vyskytuje vo verejných cloudoch.

6. Bezpečnosť cloudových modelov

Úroveň rizika v troch cloudových modeloch je veľmi odlišná a spôsob riešenia bezpečnostných problémov sa tiež líši v závislosti od úrovne interakcie. Bezpečnostné požiadavky zostávajú rovnaké, ale v rôznych modeloch, SaaS, PaaS alebo IaaS, sa úroveň kontroly nad bezpečnosťou mení. Z logického hľadiska sa nič nemení, no možnosti fyzickej realizácie sú radikálne odlišné.

Ryža. 11. Najaktuálnejšie hrozby v oblasti kybernetickej bezpečnosti

v modeli SaaS aplikácia beží na cloudovej infraštruktúre a je prístupná cez webový prehliadač. Klient neovláda sieť, servery, operačné systémy, úložisko ani niektoré funkcie aplikácií. Z tohto dôvodu leží v modeli SaaS primárna zodpovednosť za bezpečnosť takmer výlučne na dodávateľoch.

Problém číslo 1 je správa hesiel. V modeli SaaS sú aplikácie umiestnené v cloude, takže hlavným rizikom je používanie viacerých účtov na prístup k aplikáciám. Organizácie môžu tento problém vyriešiť zjednotením účtov naprieč cloudovými a lokálnymi systémami. Pri používaní systému jednotného prihlásenia získajú používatelia prístup k pracovným staniciam a cloudovým službám pomocou jedného účtu. Tento prístup znižuje pravdepodobnosť uviaznutých účtov, ktoré sú náchylné na neoprávnené použitie po odchode zamestnancov.

Ako vysvetlil CSA, PaaS zahŕňa zákazníkov vytváranie aplikácií pomocou programovacích jazykov a nástrojov podporovaných dodávateľom a ich následné nasadenie v cloudovej infraštruktúre. Rovnako ako v modeli SaaS zákazník nemôže spravovať alebo kontrolovať infraštruktúru – siete, servery, operačné systémy alebo úložné systémy – ale má kontrolu nad nasadením aplikácií.

V modeli PaaS musia používatelia venovať pozornosť bezpečnosti aplikácií, ako aj problémom súvisiacim so správou API, ako je overenie povolení, autorizácia a validácia.

Problém číslo 1 je šifrovanie dát. Model PaaS je vo svojej podstate bezpečný, ale riziko spočíva v nedostatočnom výkone systému. Dôvodom je, že pri komunikácii s poskytovateľmi PaaS sa odporúča šifrovanie, čo si vyžaduje dodatočný výpočtový výkon. V každom riešení sa však prenos citlivých užívateľských údajov musí uskutočniť cez šifrovaný kanál.

Zatiaľ čo zákazníci tu nekontrolujú základnú cloudovú infraštruktúru, majú kontrolu nad operačnými systémami, ukladaním údajov a nasadením aplikácií a možno majú obmedzenú kontrolu nad výberom sieťových komponentov.

Tento model má niekoľko vstavaných bezpečnostných funkcií bez ochrany samotnej infraštruktúry. To znamená, že používatelia musia spravovať a zabezpečovať operačné systémy, aplikácie a obsah, zvyčajne prostredníctvom rozhraní API.

Ak je to preložené do jazyka bezpečnostných metód, poskytovateľ musí poskytnúť:

· spoľahlivá kontrola prístupu k samotnej infraštruktúre;

· odolnosť voči poruchám infraštruktúry.

Spotrebiteľ cloudu zároveň preberá mnoho ďalších bezpečnostných funkcií:

· firewalling v rámci infraštruktúry;

· ochrana pred prienikmi do siete;

· ochrana operačných systémov a databáz (kontrola prístupu, ochrana pred zraniteľnosťami, kontrola bezpečnostných nastavení);

· ochrana koncových aplikácií (antivírusová ochrana, kontrola prístupu).

Väčšina ochranných opatrení teda padá na plecia spotrebiteľa. Poskytovateľ môže poskytnúť štandardné odporúčania na ochranu alebo hotové riešenia, ktoré zjednodušia úlohu koncovým spotrebiteľom.

Tabuľka 1. Rozdelenie bezpečnostných zodpovedností medzi klienta a poskytovateľa služieb. (P - dodávateľ, K - klient)

	Podnikový server
Aplikácia
Údaje
Beh programu
Middleware
operačný systém
Virtualizácia
Servery
Dátové sklady
sieťový hardvér

7. Bezpečnostný audit

Úlohy cloudového audítora sa v podstate nelíšia od úloh audítora konvenčných systémov. Audit zabezpečenia cloudu sa delí na audit dodávateľa a audit používateľa. Audit Užívateľa sa vykonáva na žiadosť Užívateľa, pričom audit Dodávateľa je jednou z najdôležitejších podmienok podnikania.

Skladá sa to z:

· začatie postupu auditu;

· zber audítorských informácií;

· analýza údajov auditu;

· vypracovanie revíznej správy.

Vo fáze začatia postupu auditu sa musia vyriešiť otázky právomocí audítora a načasovanie auditu. Musí byť stanovená aj povinná pomoc zamestnancov audítorovi.

Vo všeobecnosti audítor vykonáva audit na určenie spoľahlivosti

· virtualizačné systémy, hypervízor;

· servery;

· dátové sklady;

· sieťové vybavenie.

Ak Dodávateľ používa model IaaS na kontrolovanom serveri, tento test bude postačovať na identifikáciu zraniteľností.

Pri použití modelu PaaS je potrebné vykonať dodatočné kontroly

· operačný systém,

middleware,

· runtime prostredie.

Pri použití modelu SaaS sa kontrolujú aj zraniteľnosti

· systémy na ukladanie a spracovanie údajov,

· aplikácie.

Bezpečnostný audit sa vykonáva pomocou rovnakých metód a nástrojov ako auditovanie bežných serverov. Na rozdiel od bežného servera sa však v cloudových technológiách hypervízor dodatočne kontroluje na stabilitu. V cloudových technológiách je hypervízor jednou zo základných technológií, a preto by sa jeho auditu mal venovať mimoriadny význam.

8. Vyšetrovanie incidentov a forenzná analýza v cloud computingu

Opatrenia informačnej bezpečnosti možno rozdeliť na preventívne (napríklad šifrovanie a iné mechanizmy kontroly prístupu) a reaktívne (vyšetrovania). Proaktívny aspekt cloudovej bezpečnosti je oblasťou aktívneho výskumu, zatiaľ čo reaktívnemu aspektu cloudovej bezpečnosti sa venuje oveľa menej pozornosti.

Vyšetrovanie incidentov (vrátane vyšetrovania trestných činov v informačnej sfére) je známa sekcia informačnej bezpečnosti. Cieľmi takýchto prieskumov sú zvyčajne:

Dôkaz, že k trestnému činu/incidentu došlo

Obnovenie udalostí okolo incidentu

Identifikácia páchateľov

Dôkaz o účasti a zodpovednosti páchateľov

Dôkazy o nečestnom úmysle zo strany páchateľov.

Nová disciplína - počítačová forenzná (alebo forenzná) sa objavila kvôli potrebe forenznej analýzy digitálnych systémov. Ciele počítačovej technickej expertízy sú zvyčajne nasledovné:

Obnovenie údajov, ktoré mohli byť vymazané

Obnovenie udalostí, ktoré sa vyskytli vo vnútri a mimo digitálnych systémov súvisiacich s incidentom

Identifikácia používateľov digitálneho systému

Zisťuje prítomnosť vírusov a iného škodlivého softvéru

Zisťovanie prítomnosti nelegálnych materiálov a programov

Hackovanie hesiel, šifrovacích kľúčov a prístupových kódov

V ideálnom prípade je počítačová forenzná technika pre vyšetrovateľa akýmsi strojom času, ktorý môže kedykoľvek cestovať do minulosti digitálneho zariadenia a poskytnúť výskumníkovi informácie o:

ľudí, ktorí používali zariadenie v určitom okamihu

akcie používateľa (napríklad otváranie dokumentov, prístup na webovú stránku, zadávanie údajov do textového procesora atď.)

údaje uložené, vytvorené a spracované zariadením v konkrétnom čase.

Cloudové služby nahrádzajúce samostatné digitálne zariadenia by mali poskytovať podobnú úroveň forenznej pripravenosti. Vyžaduje si to však prekonanie problémov spojených so združovaním zdrojov, viacnásobným prenájmom a elasticitou infraštruktúry cloud computingu. Hlavným nástrojom pri vyšetrovaní incidentov je protokol auditu.

Protokoly auditu – určené na sledovanie histórie prihlásenia používateľov, administratívnych úloh a zmien údajov – sú nevyhnutnou súčasťou bezpečnostného systému. V cloudových technológiách samotný audit trail nie je len nástrojom na vedenie vyšetrovania, ale aj nástrojom na výpočet nákladov na používanie serverov. Hoci audit trail neodstraňuje bezpečnostné medzery, umožňuje vám pozrieť sa na to, čo sa deje, kritickým okom a formulovať návrhy na nápravu situácie.

Vytváranie archívov a záloh je dôležité, ale nemôže nahradiť formálny audit trail, ktorý zaznamenáva, kto čo urobil a kedy. Audit trail je jedným z primárnych nástrojov bezpečnostného audítora.

Zmluva o poskytovaní služieb zvyčajne špecifikuje, ktoré záznamy auditu budú udržiavané a poskytované používateľovi.

9. Model ohrozenia

V roku 2010 CSA vykonala analýzu hlavných bezpečnostných hrozieb v cloudových technológiách. Výsledkom ich práce bol dokument „Top hrozby Cloud Computing v 1.0“, v ktorom sú najúplnejšie tento moment je opísaný model hrozby a model narušiteľa. V súčasnosti sa pripravuje úplnejšia druhá verzia tohto dokumentu.

Tento dokument popisuje útočníkov pre tri modely služieb: SaaS, PaaS a IaaS. Identifikovalo sa 7 hlavných vektorov útoku. Z väčšej časti sú všetky typy útokov, ktoré sa zvažujú, útokmi, ktoré sú vlastné bežným „necloudovým“ serverom. Cloudová infraštruktúra im ukladá určité funkcie. K útokom na zraniteľnosti v softvérovej časti serverov sa napríklad pridávajú útoky na hypervízor, ktorý je zároveň aj ich softvérovou súčasťou.

Bezpečnostná hrozba #1

Nezákonné a nečestné používanie cloudových technológií.

Popis:

Na získanie zdrojov od poskytovateľa cloudu IaaS potrebuje používateľ iba kreditnú kartu. Jednoduchosť registrácie a prideľovania zdrojov umožňuje spamerom, autorom vírusov atď. používať cloudovú službu na vlastné kriminálne účely. Predtým bol tento typ útoku pozorovaný iba v PaaS, ale nedávne štúdie ukázali možnosť použitia IaaS pre DDOS útoky, hosťovanie škodlivého kódu, vytváranie botnetových sietí a ďalšie.

Príklady služieb boli použité na vytvorenie botnetovej siete založenej na trójskom koni „Zeus“, uloženie kódu trójskeho koňa „InfoStealer“ a zverejnenie informácií o rôznych zraniteľnostiach MS Office a AdobePDF.

Okrem toho siete botnetov používajú IaaS na správu svojich kolegov a odosielanie spamu. Z tohto dôvodu boli niektoré služby IaaS na čiernej listine a poštové servery ich používateľov úplne ignorovali.

· Vylepšené postupy registrácie používateľov

· Zlepšenie postupov overovania kreditných kariet a monitorovania používania platobných nástrojov

· Komplexné štúdium sieťovej aktivity užívateľov služieb

· Monitorovanie hlavných čiernych zoznamov, aby ste zistili, či sa tam zobrazuje sieť poskytovateľa cloudu.

Ovplyvnené modely služieb:

Bezpečnostná hrozba #2

Nezabezpečené aplikačné programové rozhrania (API)

Popis:

Poskytovatelia cloudovej infraštruktúry poskytujú používateľom sadu softvérových rozhraní na správu zdrojov, virtuálnych strojov alebo služieb. Bezpečnosť celého systému závisí od bezpečnosti týchto rozhraní.

Anonymný prístup k rozhraniu a prenos prihlasovacích údajov vo forme čistého textu sú hlavné charakteristiky nezabezpečených softvérových rozhraní. Obmedzené možnosti monitorovania využitia API, nedostatok logovacích systémov a neznáme vzťahy medzi rôznymi službami len zvyšujú riziko hackingu.

· Vykonajte analýzu bezpečnostného modelu poskytovateľa cloudu

· Uistite sa, že sa používajú silné šifrovacie algoritmy

· Uistite sa, že sa používajú silné metódy autentifikácie a autorizácie

· Pochopte celý reťazec závislostí medzi rôznymi službami.

Ovplyvnené modely služieb:

Bezpečnostná hrozba #3

Insiderov

Popis:

Problém neoprávneného prístupu k informáciám zvnútra je mimoriadne nebezpečný. Poskytovateľ často nemá monitorovací systém pre aktivitu zamestnancov, čo znamená, že útočník môže získať prístup k informáciám o klientovi pomocou svojej oficiálnej pozície. Keďže poskytovateľ nezverejňuje svoju náborovú politiku, hrozba môže pochádzať buď od amatérskeho hackera alebo od organizovanej zločineckej štruktúry, ktorá sa infiltrovala do radov zamestnancov poskytovateľa.

V súčasnosti neexistujú žiadne príklady tohto typu zneužívania.

Implementácia prísnych pravidiel pre obstarávanie zariadení a používanie vhodných systémov na detekciu manipulácie

Úprava pravidiel prijímania zamestnancov do verejných zmlúv s užívateľmi

Vytvorenie transparentného bezpečnostného systému spolu so zverejňovaním správ z bezpečnostného auditu interných systémov poskytovateľa

Ovplyvnené modely služieb:

Ryža. 12 Príklad insidera

Bezpečnostná hrozba #4

Zraniteľnosť v cloudových technológiách

Popis:

Poskytovatelia služieb IaaS využívajú abstrakciu hardvérových prostriedkov pomocou virtualizačných systémov. Hardvér však nemusí byť navrhnutý s ohľadom na zdieľané zdroje. Aby sa minimalizoval vplyv tohto faktora, hypervízor kontroluje prístup virtuálneho stroja k hardvérovým prostriedkom, avšak aj v hypervízoroch sa môžu vyskytovať závažné zraniteľnosti, ktorých použitie môže viesť k eskalácii privilégií alebo získaniu neoprávneného prístupu k fyzickému zariadeniu.

Na ochranu systémov pred takýmito problémami je potrebné zaviesť mechanizmy na izoláciu virtuálnych prostredí a systémov detekcie porúch. Používatelia virtuálneho počítača by nemali mať prístup k zdieľaným prostriedkom.

Existujú príklady potenciálne zraniteľnosti, ako aj teoretické metódy na obídenie izolácie vo virtuálnych prostrediach.

· Implementácia najpokročilejších metód inštalácie, konfigurácie a ochrany virtuálnych prostredí

· Používanie systémov na detekciu manipulácie

· Aplikácia spoľahlivých pravidiel autentifikácie a autorizácie pre administratívnu prácu

· Sprísnenie požiadaviek na načasovanie opráv a aktualizácií

· Vykonávanie včasného skenovania a zisťovania zraniteľnosti.

Bezpečnostná hrozba #5

Strata alebo únik údajov

Popis:

Strata dát môže nastať z tisícok dôvodov. Napríklad úmyselné zničenie šifrovacieho kľúča bude mať za následok, že zašifrovaná informácia bude neobnoviteľná. Vymazanie údajov alebo časti údajov, neoprávnený prístup k dôležitá informácia, zmena záznamov či výpadok média sú tiež príklady takýchto situácií. V komplexnej cloudovej infraštruktúre sa pravdepodobnosť každej udalosti zvyšuje vďaka úzkej interakcii komponentov.

Nesprávna aplikácia pravidiel autentifikácie, autorizácie a auditu, nesprávne používanie pravidiel a metód šifrovania a zlyhanie zariadenia môžu viesť k strate alebo úniku údajov.

· Používanie spoľahlivého a bezpečného API

· Šifrovanie a ochrana prenášaných dát

· Analýza modelu ochrany údajov vo všetkých fázach prevádzky systému

· Implementácia spoľahlivého systému správy šifrovacích kľúčov

· Výber a akvizícia len tých najspoľahlivejších médií

· Zabezpečenie včasného zálohovania údajov

Ovplyvnené modely služieb:

Bezpečnostná hrozba #6

Krádež osobných údajov a neoprávnený prístup k službe

Popis:

Tento typ hrozby nie je nový. Každý deň sa s ním stretávajú milióny používateľov. Hlavným cieľom útočníkov je používateľské meno (login) a jeho heslo. V kontexte cloudových systémov krádež hesla a používateľského mena zvyšuje riziko používania dát uložených v cloudovej infraštruktúre poskytovateľa. Útočník tak má možnosť využiť reputáciu obete na svoje aktivity.

· Zákaz prevodu účtov

· Použitie dvojfaktorových metód autentifikácie

· Implementácia proaktívneho monitorovania neoprávneného prístupu

· Popis modelu zabezpečenia poskytovateľa cloudu.

Ovplyvnené modely služieb:

Bezpečnostná hrozba #7

Iné zraniteľnosti

Popis:

Využitie cloudových technológií na podnikanie umožňuje spoločnosti sústrediť sa na svoje podnikanie, pričom poskytovateľovi cloudu zostáva starostlivosť o IT infraštruktúru a služby. Pri reklame svojej služby sa poskytovateľ cloudu snaží ukázať všetky možnosti a zároveň odhaľovať detaily implementácie. To môže predstavovať vážnu hrozbu, pretože znalosť internej infraštruktúry dáva útočníkovi príležitosť nájsť neopravenú zraniteľnosť a zaútočiť na systém. Aby sa predišlo takýmto situáciám, poskytovatelia cloudu nemusia poskytovať informácie o vnútornej štruktúre cloudu, no ani tento prístup neprispieva k zvýšeniu dôvery, keďže potenciálni používatelia nedokážu posúdiť stupeň bezpečnosti dát. Tento prístup navyše obmedzuje schopnosť včas nájsť a odstrániť zraniteľné miesta.

· Odmietnutie spoločnosti Amazon vykonať audit bezpečnosti cloudu EC2

· Zraniteľnosť v softvéri na spracovanie, ktorá viedla k narušeniu bezpečnostného systému dátového centra Hearthland

· Zverejnenie údajov protokolu

· Úplné alebo čiastočné zverejnenie architektúry systému a podrobností o nainštalovanom softvéri

· Používanie systémov na monitorovanie zraniteľnosti.

Ovplyvnené modely služieb:

1. Právny základ

Podľa odborníkov sa 70 % bezpečnostných problémov v cloude dá vyhnúť, ak správne vypracujete zmluvu o poskytovaní služieb.

Základom takejto dohody by mohla byť cloudová listina práv.

Cloud Bill of Rights bol vyvinutý v roku 2008 Jamesom Urquhartom. Tento materiál zverejnil na svojom blogu, čo vzbudilo taký záujem a polemiku, že autor svoj „rukopis“ pravidelne aktualizuje v súlade s realitou.

Článok 1 (čiastočný): Zákazníci vlastnia svoje údaje

· Žiadny výrobca (alebo dodávateľ) nesmie v žiadnej interakcii so zákazníkmi akéhokoľvek plánu diskutovať o právach na akékoľvek nahrané, vytvorené, generované, upravené alebo inak, na ktoré má zákazník práva.

· Výrobcovia musia na začiatku poskytnúť minimálnu možnosť prístupu k údajom o zákazníkoch aj vo fáze vývoja riešení a služieb.

· Zákazníci vlastnia svoje údaje, čo znamená, že sú zodpovední za zabezpečenie súladu údajov s predpismi a zákonmi.

· Keďže otázky súladu s predpismi týkajúce sa používania údajov, bezpečnosti a súladu sú kritické, je potrebné, aby zákazník určil geografickú polohu svojich vlastných údajov. V opačnom prípade musia výrobcovia poskytnúť používateľom všetky záruky, že ich údaje budú uchovávané v súlade so všetkými pravidlami a predpismi.

Článok 2: Výrobcovia a zákazníci spoločne vlastnia a riadia úrovne služieb v systéme

· Výrobcovia vlastnia a musia urobiť všetko pre to, aby splnili úroveň služieb pre každého klienta individuálne. Všetky potrebné zdroje a úsilie vynaložené na dosiahnutie správnej úrovne služieb pri práci s klientmi musia byť pre klienta bezplatné, to znamená, že nie sú zahrnuté v cene služby.

· Klienti sú zase zodpovední a vlastnia úroveň služieb poskytovaných svojim vlastným interným a externým klientom. Pri používaní riešení od výrobcu na poskytovanie vlastných služieb by zodpovednosť klienta a úroveň takýchto služieb nemala úplne závisieť od výrobcu.

· Ak je potrebné integrovať systémy výrobcu a zákazníka, výrobcovia by mali zákazníkom ponúknuť možnosť monitorovať proces integrácie. Ak má klient firemné štandardy pre integráciu informačných systémov, výrobca musí tieto štandardy dodržiavať.

· Výrobcovia by za žiadnych okolností nemali zatvárať zákaznícke účty pre politické vyhlásenia, nevhodné prejavy, náboženské komentáre, pokiaľ to neporušuje konkrétne zákonné ustanovenia, nepredstavuje prejav nenávisti atď.

Článok 3: Výrobcovia vlastnia svoje rozhrania

· Od výrobcov sa nevyžaduje, aby poskytovali štandardné rozhrania alebo rozhrania open source, ak nie je v dohodách s klientom uvedené inak. Výrobcovia majú práva na rozhrania. Ak výrobca nepovažuje za možné poskytnúť klientovi možnosť úpravy rozhrania v známom programovacom jazyku, klient si môže zakúpiť služby od výrobcu alebo vývojárov tretích strán na úpravu rozhraní podľa vlastných požiadaviek.

· Klient má však právo zakúpenú službu využívať pre vlastné účely, ako aj rozširovať jej možnosti, replikovať a vylepšovať. Tento odsek nezbavuje zákazníkov zodpovednosti za patentové právo a práva duševného vlastníctva.

Vyššie uvedené tri články predstavujú základy pre zákazníkov a výrobcov v cloude. Ich celé znenie si môžete prečítať v otvorený prístup na internete. Samozrejme, tento návrh zákona nie je úplným právnym dokumentom, tým menej oficiálnym. Jeho články je možné kedykoľvek meniť a rozširovať, rovnako ako návrh zákona možno dopĺňať o nové články. Toto je pokus formalizovať „vlastníctvo“ v cloude, aby sa nejako štandardizovala táto oblasť vedomostí a technológií milujúca slobodu.

Vzťahy medzi stranami

Dnes je najlepším odborníkom v oblasti cloudovej bezpečnosti Cloud Security Alliance (CSA). Organizácia vydala a nedávno aktualizovala usmernenia, ktoré zahŕňajú stovky úvah a úvah, ktoré je potrebné vziať do úvahy pri hodnotení rizík v cloud computingu.

Ďalšou organizáciou, ktorej aktivity riešia aspekty bezpečnosti v cloude, je Trusted Computing Group (TCG). Je autorkou niekoľkých štandardov v tejto a ďalších oblastiach, vrátane dnes široko používaného Trusted Storage, Trusted Network Connect (TNC) a Trusted Platform Module (TPM).

Tieto organizácie spoločne vypracovali množstvo problémov, ktoré musí zákazník a poskytovateľ vyriešiť pri uzatváraní zmluvy. Tieto otázky vám umožnia vyriešiť väčšinu problémov pri používaní cloudu, okolnosti vyššej moci, zmenu poskytovateľa cloudových služieb a iné situácie.

1. Bezpečnosť uložených údajov. Ako poskytovateľ služieb zabezpečuje bezpečnosť uložených údajov?

Najlepším opatrením na ochranu údajov umiestnených v úložisku je použitie šifrovacích technológií. Poskytovateľ musí vždy zašifrovať informácie o zákazníkoch uložené na jeho serveroch, aby zabránil neoprávnenému prístupu. Poskytovateľ musí tiež natrvalo vymazať údaje, keď už nie sú potrebné alebo budú potrebné v budúcnosti.

2. Ochrana údajov počas prenosu. Ako poskytovateľ zabezpečuje bezpečnosť dát pri prenose (v rámci cloudu a na ceste z/do cloudu)?

Prenášané dáta musia byť vždy zašifrované a prístupné užívateľovi až po autentifikácii. Tento prístup zabezpečuje, že tieto údaje nemôže nikto upravovať ani čítať, aj keď k nim pristupuje cez nedôveryhodné uzly v sieti. Tieto technológie boli vyvinuté počas „tisícok človekorokov“ a viedli k vytvoreniu robustných protokolov a algoritmov (napr. TLS, IPsec a AES). Poskytovatelia by mali radšej používať tieto protokoly ako vymýšľať svoje vlastné.

3. Autentifikácia. Ako poskytovateľ pozná pravosť klienta?

Najbežnejšou metódou autentifikácie je ochrana heslom. Poskytovatelia, ktorí sa snažia svojim zákazníkom ponúknuť vyššiu bezpečnosť, sa však obracajú na výkonnejšie nástroje, ako sú certifikáty a tokeny. Spolu s používaním autentifikačných nástrojov odolných voči falšovaniu musia byť poskytovatelia schopní pracovať so štandardmi, ako sú LDAP a SAML. Je to nevyhnutné na zabezpečenie interakcie medzi poskytovateľom a identifikačným systémom užívateľa klienta pri autorizácii a určovaní oprávnení udelených užívateľovi. Vďaka tomu bude mať poskytovateľ vždy aktuálne informácie o oprávnených užívateľoch. Najhorší prípad je, keď klient poskytne poskytovateľovi konkrétny zoznam oprávnených používateľov. Spravidla sa v tomto prípade môžu vyskytnúť ťažkosti pri prepustení zamestnanca alebo jeho presune na inú pozíciu.

4. Izolácia používateľov. Ako sú dáta a aplikácie jedného zákazníka oddelené od dát a aplikácií iných zákazníkov?

Najlepšia možnosť: keď každý klient používa individuálny virtuálny stroj (VM) a virtuálnu sieť. Oddelenie medzi VM a teda aj medzi používateľmi zabezpečuje hypervízor. Virtuálne siete sú zasa nasadzované pomocou štandardných technológií, ako sú VLAN (Virtual Local Area Network), VPLS (Virtual Private LAN Service) a VPN (Virtual Private Network).

Niektorí poskytovatelia umiestňujú všetky údaje o zákazníkoch do jedného softvérového prostredia a prostredníctvom zmien v jeho kóde sa snažia údaje o zákazníkoch navzájom izolovať. Tento prístup je bezohľadný a nespoľahlivý. Po prvé, útočník by mohol nájsť dieru v neštandardnom kóde, ktorá mu umožní získať prístup k údajom, ktoré by nemal vidieť. Po druhé, chyba v kóde môže viesť k tomu, že jeden klient náhodne „uvidí“ údaje iného klienta. Nedávno sa vyskytli oba prípady. Preto je na oddelenie používateľských údajov rozumnejším krokom použitie rôznych virtuálnych strojov a virtuálnych sietí.

5. Regulačné otázky. Do akej miery poskytovateľ dodržiava zákony a nariadenia platné pre odvetvie cloud computingu?

V závislosti od jurisdikcie sa zákony, nariadenia a akékoľvek špeciálne ustanovenia môžu líšiť. Môžu napríklad zakázať export údajov, vyžadovať použitie prísne definovaných bezpečnostných opatrení, kompatibilitu s určitými štandardmi a možnosť kontroly. V konečnom dôsledku môžu požadovať, aby v prípade potreby mali vládne ministerstvá a súdy prístup k informáciám. Neopatrný prístup poskytovateľa k týmto bodom môže viesť k značným výdavkom pre jeho klientov v dôsledku právnych následkov.

Poskytovateľ je povinný dodržiavať prísne pravidlá a dodržiavať jednotnú stratégiu v právnej a regulačnej oblasti. To zahŕňa bezpečnosť používateľských údajov, export, súlad, audit, uchovávanie a mazanie údajov a zverejňovanie informácií (toto platí najmä vtedy, keď môžu byť na rovnakom fyzickom serveri uložené informácie od viacerých klientov). Aby to klienti zistili, dôrazne sa odporúča vyhľadať pomoc u špecialistov, ktorí túto problematiku dôkladne preštudujú.

6. Reakcia na incidenty. Ako poskytovateľ reaguje na incidenty a do akej miery sú jeho zákazníci pravdepodobne zapojení do incidentu?

Niekedy nejde všetko podľa plánu. Preto je poskytovateľ služby povinný dodržiavať špecifické pravidlá správania v prípade nepredvídaných okolností. Tieto pravidlá musia byť zdokumentované. Poskytovatelia musia byť zapojení do identifikácie incidentov a minimalizácie ich následkov informovaním používateľov o aktuálnej situácii. Ideálne by bolo, keby pravidelne poskytovali klientom čo najpodrobnejšie informácie o danej problematike. Okrem toho je na zákazníkoch, aby posúdili pravdepodobnosť výskytu bezpečnostných problémov a prijali príslušné opatrenia.

10. Medzinárodné a domáce normy

Vývoj cloudových technológií predbieha úsilie o vytvorenie a úpravu požadovaných priemyselných štandardov, z ktorých mnohé neboli aktualizované už mnoho rokov. Legislatíva v oblasti cloudových technológií je preto jedným z najdôležitejších krokov k zaisteniu bezpečnosti.

IEEE, jedna z najväčších organizácií na vývoj štandardov, oznámila spustenie špeciálneho projektu v oblasti cloudových technológií, Cloud Computing Initiative. Ide o prvú iniciatívu v oblasti štandardizácie cloudu, ktorá bola spustená na medzinárodnej úrovni – doteraz boli cloudové štandardy primárne spravované priemyselnými konzorciami. Iniciatíva v súčasnosti zahŕňa 2 projekty: IEEE P2301 (tm), „Návrh príručky na zabezpečenie prenosnosti a interoperability profilov cloudových technológií“ a IEEE P2302 (tm) – „Návrh štandardu na zabezpečenie interoperability a distribuovanej interoperability (federácie) cloudových systémov “

V rámci IEEE Standards Development Association boli vytvorené 2 nové pracovné skupiny pre prácu na projektoch IEEE P2301 a IEEE P2302. IEEE P2301 bude obsahovať profily existujúcich a nových štandardov v oblasti aplikácií, prenosnosti, správy a interoperabilných rozhraní, ako aj formátov súborov a prevádzkových konvencií. Informácie v dokumente budú logicky štruktúrované podľa rôznych cieľových skupín: predajcov, poskytovateľov služieb a iných zainteresovaných účastníkov trhu. Očakáva sa, že po dokončení bude možné štandard využívať pri obstarávaní, vývoji, výstavbe a využívaní cloudových produktov a služieb založených na štandardných technológiách.

Štandard IEEE P2302 bude popisovať základnú topológiu, protokoly, funkcionalitu a techniky správy potrebné na interoperabilitu rôznych cloudových štruktúr (napríklad interoperabilitu medzi súkromným cloudom a verejným cloudom, ako je EC2). Tento štandard umožní poskytovateľom cloudových produktov a služieb profitovať z úspor z rozsahu a zároveň poskytovať transparentnosť používateľom služieb a aplikácií.

ISO pripravuje špeciálny štandard venovaný bezpečnosti cloud computingu. Hlavným zameraním nového štandardu je riešenie organizačných problémov súvisiacich s cloudmi. Z dôvodu zložitosti schvaľovacích postupov ISO by však konečná verzia dokumentu mala byť zverejnená až v roku 2013.

Hodnotou dokumentu je, že do jeho prípravy sú zapojené nielen vládne organizácie (NIST, ENISA), ale aj zástupcovia odborných komunít a združení ako ISACA a CSA. Jeden dokument navyše obsahuje odporúčania pre poskytovateľov cloudových služieb aj ich spotrebiteľov – organizácie klientov.

Hlavným cieľom tohto dokumentu je podrobne opísať najlepšie postupy spojené s používaním cloud computingu z hľadiska informačnej bezpečnosti. Norma sa zároveň nesústreďuje len na technické aspekty, ale skôr na organizačné aspekty, na ktoré pri prechode na cloud computing netreba zabúdať. To zahŕňa rozdelenie práv a zodpovedností, podpisovanie zmlúv s tretími stranami, správu majetku vo vlastníctve rôznych účastníkov cloudového procesu, otázky personálneho manažmentu atď.

Nový dokument z veľkej časti zahŕňa materiály vyvinuté skôr v IT priemysle.

austrálska vláda

Po niekoľkých mesiacoch brainstormingu austrálska vláda vydala sériu smerníc pre prechod na cloud computing 15. februára 2012 boli tieto usmernenia zverejnené na blogu austrálskeho vládneho úradu pre správu informácií (AGIMO).

Aby sa firmám uľahčila migrácia do cloudu, boli pripravené odporúčania najlepší tréning používanie cloudových služieb vo svetle súladu s požiadavkami príručiek Better Practice Guides for Financial Management and Accountability Act z roku 1997. Smernice sa vo všeobecnosti zaoberajú finančnými, právnymi problémami a otázkami ochrany súkromia.

Sprievodcovia hovoria o potrebe nepretržitého monitorovania a kontroly využívania cloudových služieb prostredníctvom každodennej analýzy účtov a správ. To vám pomôže vyhnúť sa skrytým „podvodom“ a stať sa závislými od poskytovateľov cloudových služieb.

Prvá príručka sa volá „Cloud Computing a súkromie pre austrálske vládne agentúry“ (Privacy and Cloud Computing for Australian Government Agencies, 9 strán). Tento dokument kladie osobitný dôraz na otázky ochrany súkromia a bezpečnosti pri ukladaní údajov.

Okrem tejto príručky bola pripravená aj Negotiating the Cloud – Legal Issues in Cloud Computing Agreements (19 strán), aby vám pomohla pochopiť ustanovenia zahrnuté v dohodách o cloud computingu.

Posledná tretia príručka, Finančné úvahy pri využívaní cloud computingu vládou (6 strán), skúma finančné problémy, ktoré by spoločnosť mala zvážiť, ak sa rozhodne využívať cloud computing vo svojich obchodných operáciách.

Okrem tých, ktoré sú uvedené v usmernení, existuje množstvo ďalších problémov, ktoré je potrebné riešiť pri používaní cloud computingu, vrátane otázok týkajúcich sa vládnej správy, obstarávania a politiky riadenia podniku.

Verejná diskusia o tomto analytickom dokumente poskytuje zainteresovaným stranám príležitosť zvážiť a vyjadriť sa k nasledujúcim problematickým otázkam:

· Neoprávnený prístup k utajovaným skutočnostiam;

· Strata prístupu k údajom;

Nezaistenie integrity a pravosti údajov a

· Pochopenie praktických aspektov spojených s poskytovaním cloudových služieb.

11. Územná príslušnosť údajov

Rôzne krajiny majú množstvo nariadení, ktoré vyžadujú, aby citlivé údaje zostali v krajine. A hoci ukladanie údajov na určitom území na prvý pohľad nie je pre poskytovateľov zložitá úloha cloudové službyčasto to nemôže zaručiť. V systémoch s vysokým stupňom virtualizácie je možné dáta a virtuálne stroje presúvať z jednej krajiny do druhej na rôzne účely – vyrovnávanie záťaže, zabezpečenie odolnosti voči chybám.

Niektorí hlavní hráči na trhu SaaS (ako Google, Symantec) môžu zaručiť, že údaje budú uložené v príslušnej krajine. Ide však skôr o výnimky, vo všeobecnosti je splnenie týchto požiadaviek stále pomerne zriedkavé. Aj keď údaje zostanú v krajine, zákazníci si to nemajú ako overiť. Okrem toho netreba zabúdať ani na mobilitu zamestnancov firiem. Ak je špecialista pracujúci v Moskve vyslaný do New Yorku, potom je pre neho lepšie (alebo aspoň rýchlejšie) prijímať dáta z dátového centra v USA. Zabezpečiť to je rádovo náročnejšia úloha.

12. Štátne normy

V súčasnosti naša krajina nemá žiadny seriózny regulačný rámec cloudové technológie, hoci vývoj v tejto oblasti už prebieha. Teda nariadením prezidenta Ruskej federácie č.146 zo dňa 8.2.2012. určil, že federálne výkonné orgány oprávnené v oblasti zaistenia bezpečnosti údajov v informačné systémy vytvorené pomocou superpočítačových a gridových technológií sú FSB Ruska a FSTEC Ruska.

V súvislosti s touto vyhláškou sa rozšírili právomoci týchto služieb. FSB Ruska teraz vypracúva a schvaľuje regulačné a metodické dokumenty na zaistenie bezpečnosti týchto systémov, organizuje a vykonáva výskum v oblasti informačnej bezpečnosti.

Služba vykonáva aj odborné kryptografické, inžiniersko-kryptografické a špeciálne štúdie týchto informačných systémov a vypracováva odborné posudky k návrhom prác na ich tvorbe.

Dokument tiež stanovuje, že FSTEC Ruska vypracuje stratégiu a určí prioritné oblasti činnosti na zaistenie bezpečnosti informácií v informačných systémoch vytvorených pomocou superpočítačových a gridových technológií, ktoré spracúvajú obmedzené údaje, a tiež monitoruje stav prác na zaistenie uvedenej bezpečnosti.

FSTEC objednal štúdiu, v dôsledku ktorej sa objavila beta verzia „terminálneho systému v oblasti cloudových technológií“.

Ako viete, celý tento Terminologický systém je upraveným prekladom dvoch dokumentov: „Technická správa zameraná na cloud computing“ a „Definícia cloud computingu NIST“. Skutočnosť, že tieto dva dokumenty spolu skutočne nesúhlasia, je samostatný problém. Ale vizuálne je to stále jasné: v ruskom „Terminosystéme“ autori na začiatok jednoducho neposkytli odkazy na tieto anglické dokumenty.

Faktom je, že pre takúto prácu je potrebné najprv prediskutovať koncepciu, ciele a zámery a metódy ich riešenia. Existuje veľa otázok a pripomienok. Hlavná metodologická poznámka: musíte veľmi jasne formulovať, aký problém tento výskum rieši, jeho účel. Dovoľte mi hneď poznamenať, že „vytvorenie terminologického systému“ nemôže byť cieľom, je prostriedkom, ale dosiahnuť to, čo ešte nie je celkom jasné.

Nehovoriac o tom, že normálna štúdia by mala obsahovať časť „prehľad súčasného stavu“.

Je ťažké diskutovať o výsledkoch štúdie bez znalosti pôvodnej formulácie problému a toho, ako ho jeho autori vyriešili.

Jedna zásadná chyba Terminologického systému je však jasne viditeľná: nie je možné diskutovať o „cloudových témach“ oddelene od „necloudových“. Mimo všeobecného kontextu IT. Ale práve tento kontext nie je v štúdii viditeľný.

A výsledkom toho je, že v praxi nebude možné takýto terminologický systém aplikovať. Môže to len ešte viac zamotať situáciu.

13. Bezpečnostné nástroje v cloudových technológiách

Bezpečnostný systém cloudového servera vo svojej minimálnej konfigurácii musí zabezpečiť bezpečnosť sieťového zariadenia, dátového úložiska, servera a hypervízora. Okrem toho je možné umiestniť antivírus do vyhradeného jadra, aby sa zabránilo infekcii hypervízora prostredníctvom virtuálneho stroja, šifrovacieho systému ukladania údajov informácie o používateľovi v šifrovanej forme a nástroje na implementáciu šifrovaného tunelovania medzi virtuálnym serverom a klientskym strojom.

Na to potrebujeme server, ktorý podporuje virtualizáciu. Riešenia tohto druhu ponúkajú spoločnosti Cisco, Microsoft, VMWare, Xen, KVM.

Prípustné je použiť aj klasický server a poskytovať na ňom virtualizáciu pomocou hypervízora.

Akýkoľvek server s kompatibilnými procesormi je vhodný na virtualizáciu operačných systémov pre platformy x86-64.

Takéto riešenie zjednoduší prechod na virtualizáciu výpočtovej techniky bez dodatočných finančných investícií do modernizácie zariadení.

Schéma práce:

Ryža. 11. Príklad cloudového servera

Ryža. 12. Reakcia servera na zlyhanie hardvéru

V súčasnosti je trh zabezpečenia cloud computingu stále celkom prázdny. A to nie je prekvapujúce. Pri absencii regulačného rámca a neznámych budúcich štandardov developerské spoločnosti nevedia, kam zamerať svoje úsilie.

Aj v takýchto podmienkach sa však objavujú špecializované softvérové ​​a hardvérové ​​systémy, ktoré umožňujú zabezpečiť cloudovú štruktúru pred hlavnými typmi hrozieb.

· Porušenie integrity

Hacknutie hypervízora

· Zasvätenci

· Identifikácia

Overenie

· Šifrovanie

Accord-V

Hardvérový a softvérový systém Accord-V. navrhnutý na ochranu virtualizačnej infraštruktúry VMware vSphere 4.1, VMware vSphere 4.0 a VMware Infrastructure 3.5.

Accord-V. poskytuje ochranu pre všetky komponenty virtualizačného prostredia: servery ESX a samotné virtuálne stroje, servery na správu vCenter a ďalšie servery so službami VMware (napríklad VMware Consolidated Backup).

Hardvérový a softvérový komplex Accord-V implementuje nasledujúce ochranné mechanizmy:

· Postupná kontrola integrity hypervízora, virtuálnych strojov, súborov vo virtuálnych strojoch a serverov na správu infraštruktúry;

· Obmedzenia prístupu správcu virtuálna infraštruktúra a bezpečnostných správcov;

· Obmedzenie prístupu používateľov v rámci virtuálnych strojov;

· Hardvérová identifikácia všetkých používateľov a správcov virtualizačnej infraštruktúry.

· INFORMÁCIE O DOSTUPNOSTI CERTIFIKÁTOV:

Certifikát o zhode FSTEC Ruska č. 2598 zo dňa 20. marca 2012 potvrdzuje, že softvérový a hardvérový systém Accord-V na ochranu informácií pred neoprávneným prístupom je softvérový a hardvérový prostriedok na ochranu informácií, ktorý neobsahuje informácie predstavujúce štátne tajomstvo. pred neoprávneným prístupom, vyhovuje požiadavkám riadiacich dokumentov "Počítačové zariadenia. Ochrana pred neoprávneným prístupom k informáciám. Ukazovatele bezpečnosti proti neoprávnenému prístupu k informáciám" (Štátna technická komisia Ruska, 1992) - podľa 5 bezpečnostná trieda, "Ochrana pred neoprávneným prístupom k informáciám. Časť 1. Softvér pre nástroje informačnej bezpečnosti. Klasifikácia podľa úrovne kontroly absencie nedeklarovaných spôsobilostí" (Štátna technická komisia Ruska, 1999) - podľa 4 stupeň kontroly a technické podmienky TU 4012-028-11443195-2010 a je možné ho použiť aj na vytváranie automatizovaných systémov do bezpečnostnej triedy 1G vrátane a na ochranu informácií v informačných systémoch osobných údajov do triedy 1 vrátane.

vGate R2

vGate R2 je certifikovaný prostriedok na ochranu informácií pred neoprávneným prístupom a monitorovanie implementácie politík informačnej bezpečnosti pre virtuálnu infraštruktúru založenú na systémoch VMware vSphere 4 a VMware vSphere 5.S R2 - verzia produktu použiteľná na ochranu informácií vo virtuálnych infraštruktúrach verejných spoločností, ktorých IP požiadavkami sú požiadavky na používanie systémov informačnej bezpečnosti s vysokou úrovňou certifikácie.

Umožňuje automatizovať prácu administrátorov pri konfigurácii a prevádzke bezpečnostného systému.

Pomáha bojovať proti chybám a zneužitiu pri správe virtuálnej infraštruktúry.

Umožňuje vám uviesť virtuálnu infraštruktúru do súladu s legislatívou, priemyselnými štandardmi a najlepšími globálnymi postupmi.

<#"783809.files/image017.gif"> <#"783809.files/image018.gif"> <#"783809.files/image019.gif"> <#"783809.files/image020.gif"> Ryža. 13 Uvedené možnosti vGate R2 Aby sme to zhrnuli, tu sú hlavné nástroje, ktoré má vGate R2 na ochranu dátového centra poskytovateľa služieb pred internými hrozbami pochádzajúcimi od jeho vlastných správcov: · Organizačné a technické oddelenie právomocí pre správcov vSphere · Pridelenie samostatnej role pre správcu informačnej bezpečnosti, ktorý bude riadiť bezpečnosť zdrojov dátového centra na báze vSphere · Rozdelenie cloudu do bezpečnostných zón, v rámci ktorých pôsobia správcovia s príslušnou úrovňou oprávnení · Monitorovanie integrity virtuálnych strojov · Možnosť kedykoľvek prijímať správy o bezpečnosti infraštruktúry vSphere, ako aj auditovať udalosti týkajúce sa bezpečnosti informácií V zásade je to prakticky všetko, čo je potrebné na ochranu infraštruktúry virtuálneho dátového centra pred internými hrozbami z pohľadu virtuálnej infraštruktúry. Samozrejme budete potrebovať aj ochranu na úrovni hardvéru, aplikácií a hosťujúcich OS, ale to je ďalší problém, ktorý dokážu vyriešiť aj produkty spoločnosti Security Code<#"783809.files/image021.gif"> Ryža. 14. Štruktúra servera. Na zaistenie bezpečnosti na takomto zariadení je potrebné zabezpečiť bezpečnosť podľa tabuľky 2. Na to odporúčam použiť softvér vGate R2. Umožní vám vyriešiť problémy, ako sú: · Posilnená autentifikácia správcov virtuálnej infraštruktúry a správcov informačnej bezpečnosti. · Ochrana nástrojov správy virtuálnej infraštruktúry pred neoprávneným prístupom. · Ochrana serverov ESX pred neoprávneným prístupom. · Povinná kontrola prístupu. · Monitorovanie integrity konfigurácií virtuálnych strojov a dôveryhodného zavádzania. · Kontrola prístupu administrátorov VI k údajom virtuálnych strojov. · Registrácia udalostí súvisiacich s informačnou bezpečnosťou. · Monitorovanie integrity a ochrana pred neoprávneným prístupom komponentov informačnej bezpečnosti. · Centralizované riadenie a monitorovanie. Tabuľka 2: Súlad zabezpečenia pre model PaaS Certifikát FSTEC Ruska (SVT 5, NDV 4) umožňuje použitie produktu v automatizovaných systémoch stupňa bezpečnosti do triedy 1G vrátane a v informačných systémoch osobných údajov (ISPDn) do triedy K1 vrátane. Náklady na toto riešenie budú 24 500 rubľov za 1 fyzický procesor na chránenom hostiteľovi. Okrem toho, na ochranu pred zasvätenými osobami, budete musieť nainštalovať bezpečnostný alarm. Tieto riešenia sú pomerne široko dostupné na trhu ochrany serverov. Cena takéhoto riešenia s obmedzeným prístupom do kontrolovaného priestoru, poplašným systémom a kamerovým dohľadom sa pohybuje od 200 000 rubľov a viac Zoberme si napríklad sumu 250 000 rubľov. Na ochranu virtuálnych strojov pred vírusovými infekciami bude McAfee Total Protection for Virtualization bežať na jednom jadre servera. Náklady na riešenie sú od 42 200 rubľov. Aby sa predišlo strate údajov na úložných zariadeniach, použije sa systém Symantec Netbackup. Umožňuje vám spoľahlivo zálohovať informácie a obrazy systému. Celkové náklady na realizáciu takéhoto projektu budú: Implementáciu takéhoto dizajnového riešenia založeného na Microsoft si môžete stiahnuť tu: http://www.microsoft.com/en-us/download/confirmation. aspx? id=2494 Záver „Cloudové technológie“ sú v súčasnosti jednou z najaktívnejšie sa rozvíjajúcich oblastí IT trhu. Ak tempo rastu technológií neklesne, tak do roku 2015 prinesú do pokladníc európskych krajín viac ako 170 miliónov eur ročne. V našej krajine sa s cloudovými technológiami zaobchádza opatrne. Čiastočne je to spôsobené strnulosťou názorov manažmentu, čiastočne nedostatkom dôvery v bezpečnosť. Ale tento typ technológie so všetkými svojimi výhodami a nevýhodami je novou lokomotívou pokroku IT. Aplikácii „z druhej strany cloudu“ je úplne jedno, či svoju požiadavku vytvoríte na počítači s x86 procesorom od Intel, AMD, VIA, alebo ju poskladáte na telefóne či smartfóne založenom na ARM procesore od Freescale. , OMAP, Tegra. Navyše mu bude vo všeobecnosti jedno, či používate operačné systémy Linux Google Chrome, OHA Android, Intel Moblin, Windows CE, Windows Mobilné Windows XP/Vista/7, alebo na to použite niečo ešte exotickejšie. Len keby bola požiadavka napísaná správne a zrozumiteľne a váš systém by „ovládol“ prijatú odpoveď. Otázka bezpečnosti je jednou z hlavných v cloud computingu a jej riešenie kvalitatívne zlepší úroveň služieb v počítačovej oblasti. V tomto smere však treba ešte veľa urobiť. U nás sa oplatí začať s jednotným slovníkom pojmov pre celú IT oblasť. Vypracovať štandardy založené na medzinárodných skúsenostiach. Predložte požiadavky na ochranné systémy. Literatúra 1. Finančné úvahy o vládnom využívaní cloud computingu – Austrálska vláda 2010. 2. Ochrana súkromia a cloud computing pre austrálske vládne agentúry 2007. Vyjednávanie o cloude – právne otázky v dohodách o cloud computingu 2009. Časopis „Moderná veda: Aktuálne problémy teórie a praxe“ 2012. Podobné práce ako - Informačná bezpečnosť v cloud computingu: zraniteľnosti, metódy a prostriedky ochrany, nástroje na audit a vyšetrovanie incidentov

GRIGORIEV1 Vitaly Robertovich, kandidát technických vied, docent KUZNETSOV2 Vladimir Sergeevich

PROBLÉMY S IDENTIFIKÁCIOU ZRANITEĽNOSTÍ V MODELI CLOUD COMPUTING

Článok poskytuje prehľad prístupov k budovaniu koncepčného modelu cloud computingu, ako aj porovnanie existujúcich názorov na identifikáciu zraniteľností, ktoré sú vlastné systémom postaveným na základe tohto modelu. Kľúčové slová Kľúčové slová: cloud computing, zraniteľnosť, jadro hrozby, virtualizácia.

Účelom tohto článku je zhodnotiť prístupy k budovaniu koncepčného modelu cloud computingu, uvedené v dokumente „NIST Cloud Computing Reference Architecture“, a porovnať názory popredných organizácií v tejto oblasti na zraniteľnosti v podmienkach tohto výpočtového modelu, ako aj hlavných hráčov na trhu vytvárania cloudových systémov.

Cloud computing je model, ktorý poskytuje pohodlný sieťový prístup na požiadanie k zdieľaným, konfigurovateľným výpočtovým zdrojom (siete, servery, dátové úložiská, aplikácie a služby), ktorý sa rýchlo poskytuje s minimálnym úsilím o správu a interakciu s poskytovateľom služieb. Táto definícia Národného inštitútu pre normy (NIST) je široko akceptovaná v celom odvetví. Definícia cloud computingu zahŕňa päť hlavných základných charakteristík, tri modely služieb a štyri modely nasadenia.

Päť kľúčových vlastností

Samoobsluha na vyžiadanie

Používatelia môžu získavať, kontrolovať a spravovať výpočtové zdroje bez pomoci systémových administrátorov. Široký sieťový prístup – výpočtové služby sú poskytované prostredníctvom štandardných sietí a heterogénnych zariadení.

Prevádzková elasticita - 1T-

zdroje je možné podľa potreby rýchlo škálovať ľubovoľným smerom.

Zdrojový fond – 1T zdroje zdieľajú rôzne aplikácie a používatelia oddeleným spôsobom.

Kalkulácia servisných nákladov – využitie IT zdrojov sa sleduje spravidla pre každú aplikáciu a používateľa, aby sa zabezpečila fakturácia za verejný cloud a interné kalkulácie za využitie privátnych cloudov.

Tri servisné modely

Softvér ako služba (SaaS) – Aplikácie sa zvyčajne poskytujú ako služba koncovým používateľom prostredníctvom webového prehliadača. V súčasnosti sú k dispozícii stovky ponúk SaaS, od horizontálnych podnikových aplikácií po ponuky špecifické pre jednotlivé odvetvia, ako aj spotrebiteľské aplikácie, ako je e-mail.

Platform as a Service (PaaS) – Platforma pre vývoj a nasadenie aplikácií sa poskytuje vývojárom ako služba na vytváranie, nasadzovanie a správu aplikácií SaaS. Platforma zvyčajne zahŕňa databázy, middleware a vývojové nástroje, ktoré sú všetky poskytované ako služba cez internet. PaaS sa často zameriava na programovací jazyk alebo API, ako je Java alebo Python. Virtualizovaná klastrová architektúra distribuovaných výpočtov často slúži ako základ pre systémy

1 - MSTU MIREA, docent Katedry informačnej bezpečnosti;

2 - Moskva Štátna univerzita Rádioelektronika a automatizácia (MSTU MIREA), študent.

RaaYa, pretože štruktúra siete sieťového zdroja poskytuje potrebnú elastickú škálovateľnosť a združovanie zdrojov. Infrastructure as a Service (IaaS) – servery, úložisko a sieťový hardvér sú poskytované ako služba. Tento hardvér infraštruktúry je často virtualizovaný, takže virtualizácia, správa a softvér operačného systému sú tiež prvkami IT.

Štyri modely nasadenia

Súkromné ​​cloudy sú určené na výhradné použitie jednej organizácie a zvyčajne ich kontrolujú, spravujú a prevádzkujú súkromné ​​dátové centrá. Hosting a správu privátnych cloudov možno zadať externému poskytovateľovi služieb, ale často

Nový cloud zostáva výhradným používaním jednej organizácie. Verejné cloudy používajú mnohé organizácie (používatelia) spoločne, udržiavajú a spravujú ich externí poskytovatelia služieb.

Skupinové cloudy používa skupina príbuzných organizácií, ktoré chcú zdieľať spoločné prostredie cloud computingu. Skupina môže napríklad pozostávať z rôznych odvetví ozbrojených síl, všetkých univerzít v danom regióne alebo všetkých dodávateľov veľkého výrobcu.

Hybridné cloudy sa vyskytujú, keď organizácia používa súkromný aj verejný cloud pre rovnakú aplikáciu, aby využila výhody oboch. Napríklad v scenári „dažďa“ organizácia používateľov v prípade štandardného zaťaženia aplikácie

využíva privátny cloud a keď vyťaženie vrcholí, napríklad na konci štvrťroka alebo počas prázdnin, využíva potenciál verejného cloudu a následne tieto zdroje vracia do všeobecného fondu, keď nie sú potrebné.

Na obr. 1 predstavuje koncepčný model cloud computingu podľa dokumentu „NIST Cloud Computing Reference Architecture“. Podľa toho, ktorý je znázornený na obr. Model 1 v štandarde identifikuje hlavných účastníkov cloudového systému: cloudový spotrebiteľ, cloudový poskytovateľ, cloudový audítor, cloudový maklér, cloudový sprostredkovateľ. Každý účastník je osoba alebo organizácia vykonávajúca svoje funkcie pri implementácii alebo poskytovaní cloud computingu. Spotrebiteľ cloudu je osoba alebo organizácia, ktorá udržiava obchodné interakcie s inými subjektmi.

Cloudový spotrebiteľ

Cloud Auditor

C Audit L I Bezpečnosť J

I Audit dôvernosti J

(Audit poskytovaných služieb J

Poskytovateľ cloudu

Komplexné úrovne

Užívateľská úroveň

^ Služba ako služba ^ ^ Platforma ako služba ^ Infraštruktúra ako služba)

Úroveň abstrakcie

Fyzická vrstva

Cloudová služba

^ J Podpora ^ J Nastavenie

Prenosnosť

Cloud broker

Cloudový sprostredkovateľ

Ryža. 1. Koncepčný model vyvinutý špecialistami NIST

sieť toruje a využíva služby od poskytovateľov cloudu. Poskytovateľ cloudu je osoba, organizácia alebo ktokoľvek zodpovedný za dostupnosť služieb poskytovaných zainteresovaným spotrebiteľom. Cloudový audítor je účastník, ktorý môže vykonávať nezávislé hodnotenia cloudových služieb, služieb a bezpečnosti cloudových implementácií. Cloud broker je účastník, ktorý riadi používanie, výkon a poskytovanie cloudových služieb spotrebiteľom a vyjednáva interakcie medzi poskytovateľmi cloudu a spotrebiteľmi cloudu. Cloudový sprostredkovateľ je sprostredkovateľ, ktorý zabezpečuje komunikáciu a poskytovanie cloudových služieb medzi poskytovateľmi cloudu a spotrebiteľmi cloudu.

Výhody a výzvy cloud computingu

Nedávne prieskumy medzi odborníkmi v oblasti IT technológií ukazujú, že cloud computing ponúka pri organizovaní distribuovaných služieb dve hlavné výhody – rýchlosť a náklady. Vďaka offline prístupu k súboru výpočtových zdrojov sa používatelia môžu pripojiť k procesom, ktoré ich zaujímajú, v priebehu niekoľkých minút, a nie týždňov alebo mesiacov neskôr, ako tomu bolo predtým. Zmena výpočtových možností je rýchla aj vďaka elasticky škálovateľnej mriežkovej architektúre výpočtového prostredia. Pretože v cloud computingu používatelia platia len za to, čo využívajú, a dosahujú možnosti škálovateľnosti a automatizácie vysoký stupeň, pomer nákladov a efektívnosti poskytovaných služieb je tiež veľmi atraktívnym faktorom pre všetkých účastníkov výmenných procesov.

Rovnaké prieskumy ukazujú, že existuje množstvo vážnych úvah, ktoré niektorým spoločnostiam bránia v prechode na cloud. Bezpečnosť cloud computingu tieto úvahy výrazne prevyšuje.

Pre adekvátne posúdenie bezpečnosti v cloudových systémoch má zmysel preštudovať si názory hlavných hráčov na trhu na hrozby v tejto oblasti. Porovnáme existujúce prístupy k hrozbám v cloudových systémoch, prezentované v NIST Cloud Computing Standards Roadmap, s prístupmi, ktoré ponúkajú IBM, Oracle a VmWare.

Štandard zabezpečenia cloudu amerického Národného inštitútu pre štandardy

Plán NIST Cloud Computing Standards Roadmap, ktorý prijala NIST, pokrýva možné potenciálne typy útokov na služby cloud computingu:

♦ ohrozenie dôvernosti a dostupnosti údajov prenášaných poskytovateľmi cloudu;

♦ útoky, ktoré vychádzajú zo štruktúry a schopností prostredia cloud computingu na zlepšenie a zvýšenie škôd spôsobených útokmi;

♦ neoprávnený prístup spotrebiteľa (prostredníctvom nesprávnej autentifikácie alebo autorizácie alebo zraniteľností zavedených prostredníctvom periodického Údržba) na softvér, údaje a zdroje používané oprávneným spotrebiteľom cloudovej služby;

♦ zvýšenie úrovne sieťových útokov, ako je DoS, zneužívanie softvéru, ktorého vývoj nezohľadnil model ohrozenia pre distribuované internetové zdroje, ako aj zraniteľné miesta v zdrojoch, ktoré boli dostupné zo súkromných sietí;

♦ obmedzené možnosti šifrovania údajov v prostredí s veľkým počtom účastníkov;

♦ prenosnosť vyplývajúca z používania neštandardných rozhraní API, ktoré sťažujú spotrebiteľovi cloudu migráciu k novému poskytovateľovi cloudu, keď nie sú splnené požiadavky na dostupnosť;

♦ útoky, ktoré využívajú fyzickú abstrakciu cloudových zdrojov a využívajú nedostatky v záznamoch a audítorských postupoch;

♦ útoky na virtuálne stroje, ktoré neboli zodpovedajúcim spôsobom aktualizované;

♦ útoky, ktoré využívajú nezrovnalosti v globálnych a súkromných bezpečnostných politikách.

Norma tiež identifikuje hlavné bezpečnostné úlohy pre cloud computing:

♦ ochrana užívateľských údajov pred neoprávneným prístupom, zverejnením, úpravou alebo prezeraním; zahŕňa podporu pre službu identifikácie takým spôsobom, že spotrebiteľ má možnosť vykonávať politiku identifikácie a kontroly prístupu na autorizovaných používateľoch, ktorí majú prístup ku cloudovým službám; Tento prístup predpokladá schopnosť spotrebiteľa poskytnúť prístup k svojim údajom selektívne iným používateľom;

♦ ochrana pred hrozbami dodávateľského reťazca; zahŕňa potvrdenie miery dôvery a spoľahlivosti poskytovateľa služieb v rovnakom rozsahu ako stupeň dôvery používaného softvéru a hardvéru;

♦ zabránenie neoprávnenému prístupu k zdrojom cloud computingu; zahŕňa vytváranie bezpečných domén, ktoré sú logicky oddelené od zdrojov (napríklad logické oddelenie pracovných záťaží bežiacich na rovnakom fyzickom serveri prostredníctvom hypervízora v prostredí s viacerými nájomníkmi) a používanie bezpečných predvolených konfigurácií;

♦ vývoj webových aplikácií nasadených v cloude pre model ohrozenia distribuovaných internetových zdrojov a zabudovanie bezpečnostných funkcií do procesu vývoja softvéru;

♦ ochrana internetových prehliadačov pred útokmi na zmiernenie bezpečnostných zraniteľností koncových používateľov; zahŕňa podniknutie krokov na zabezpečenie vášho internetového pripojenia osobné počítače na základe používania bezpečného softvéru, firewallov a pravidelnej inštalácie aktualizácií;

♦ nasadenie technológií riadenia prístupu a detekcie narušenia

vzťahy s poskytovateľom cloudu a vykonávanie nezávislého hodnotenia na overenie ich dostupnosti; zahŕňa, ale nie je obmedzený na, tradičné obvodové bezpečnostné opatrenia kombinované s modelom zabezpečenia domény; tradičné zabezpečenie perimetra zahŕňa obmedzenie fyzického prístupu k sieti a zariadeniam, ochranu jednotlivých komponentov pred zneužitím nasadením aktualizácií, nastavenie väčšiny bezpečnostných nastavení na predvolené, zakázanie všetkých nepoužívaných portov a služieb, používanie riadenia prístupu na základe rolí, monitorovanie záznamov auditu, minimalizáciu použitých privilégií , používanie antivírusových balíkov a šifrovanie spojení;

♦ definovanie dôveryhodných hraníc medzi poskytovateľom (poskytovateľmi) služieb a spotrebiteľmi, aby sa zabezpečilo, že oprávnené zodpovednosti za poskytovanie bezpečnosti sú jasné;

♦ podpora prenosnosti vykonávaná tak, aby mal spotrebiteľ možnosť zmeniť poskytovateľa cloudu v prípadoch, keď potrebuje splniť požiadavky na integritu, dostupnosť a dôvernosť; to zahŕňa možnosť zatvoriť účet v tomto čase a kopírovať údaje od jedného poskytovateľa služieb k druhému.

Plán NIST Cloud Computing Standards Roadmap, prijatý NIST, teda definuje základný zoznam útokov na cloudové systémy a zoznam hlavných úloh, ktoré by mali

vyriešiť prostredníctvom aplikácie

vhodné opatrenia.

Sformulujme hrozby pre informačnú bezpečnosť cloudového systému:

♦ U1 - ohrozenie údajov (kompromis, dostupnosť atď.);

♦ U2 – hrozby generované štrukturálnymi vlastnosťami a schopnosťami architektúry na implementáciu distribuovaných výpočtov;

♦ U4 - hrozby spojené s nesprávnym modelom hrozby;

♦ U5 - hrozby spojené s nesprávnym používaním šifrovania (použitie šifrovania je nevyhnutné v prostredí, kde existuje viacero dátových tokov);

♦ U6 - hrozby spojené s používaním neštandardných API počas vývoja;

♦ U7 - virtualizačné hrozby;

♦ U8 – hrozby, ktoré využívajú nezrovnalosti v globálnych bezpečnostných politikách.

Pohľad IBM na otázky zabezpečenia cloudu

Usmernenie k bezpečnosti cloudu Odporúčania IBM pre implementáciu zabezpečenia cloudu nám umožňujú vyvodiť závery o názoroch na bezpečnosť, ktoré vyvinuli špecialisti IBM. Na základe tohto dokumentu môžeme rozšíriť predtým navrhnutý zoznam hrozieb, a to:

♦ U9 - hrozby spojené s prístupom tretích strán k fyzickým zdrojom/systémom;

♦ U10 - hrozby spojené s nesprávnou likvidáciou (životný cyklus) osobné informácie;

♦ U11 - hrozby spojené s porušením regionálnych, národných a medzinárodných zákonov týkajúcich sa spracúvaných informácií.

Prístupy IBM, Oracle a VmWare k bezpečnosti cloud computingu

Dokumentácia poskytnutá týmito spoločnosťami a popisujúca ich názory na zaistenie bezpečnosti v ich systémoch neposkytuje zásadne odlišné hrozby od vyššie uvedených.

V tabuľke Tabuľka 1 ukazuje hlavné triedy zraniteľností formulované spoločnosťami vo svojich produktoch. Tabuľka 1 nám umožňuje vidieť nedostatok úplného pokrytia hrozieb medzi skúmanými spoločnosťami a formulovať „jadro hrozby“ vytvorené spoločnosťami v ich cloudových systémoch:

♦ ohrozenie údajov;

♦ hrozby založené na štruktúre/možnostiach distribuovaných počítačov;

♦ hrozby spojené s nesprávnym modelom hrozby;

♦ virtualizačné hrozby.

Záver

Preskúmanie hlavných tried zraniteľností cloudových platforiem nám umožňuje dospieť k záveru, že v súčasnosti neexistujú žiadne hotové riešenia na úplnú ochranu pred cloudom kvôli rôznym útokom, ktoré tieto zraniteľnosti využívajú.

Treba poznamenať, že vytvorená tabuľka tried zraniteľnosti (tabuľka 1), integrujúca prístupy vedúcich

Tabuľka 1. Triedy zraniteľnosti

Zdroj Deklarované hrozby

U1 U2 U3 U4 U5 U6 U7 U8 U9 U10 U11

NIST + + + + + + + + - - -

IBM + + + + + - + - + + +

Sun/Oracle + + + + - - + - - + -

VmWare + + + + - - + - - - -

toto odvetvie hráčov sa neobmedzuje len na hrozby, ktoré sú v ňom prezentované. Nereflektuje napríklad hrozby spojené so stieraním hraníc medzi prostrediami s rôznou úrovňou dôvernosti údajov, ako aj stieraním hraníc zodpovednosti za informačnú bezpečnosť medzi spotrebiteľom služby a poskytovateľom cloudu.

Je zrejmé, že na implementáciu komplexného cloudového systému je potrebné vyvinúť ochranu pre konkrétnu implementáciu. Pre implementáciu bezpečných výpočtov vo virtuálnych prostrediach je tiež dôležitý nedostatok štandardov FSTEC a FSB pre cloudové systémy. „Jadro hrozieb“ identifikované v práci má zmysel používať pri štúdiu

riešenie problému konštrukcie jednotného modelu tried zraniteľnosti. Tento článok má charakter prehľadu, v budúcnosti sa plánuje podrobná analýza tried hrozieb spojených s virtualizáciou a vývoj prístupov k vytvoreniu systému ochrany, ktorý potenciálne zabráni implementácii týchto hrozieb.

Literatúra

1. Usmernenie k bezpečnosti cloudu Odporúčania IBM pre implementáciu zabezpečenia cloudu, ibm.com/redbooks, 2. novembra 2009.

2. http://www.vmware.com/technical-resources/security/index.html.

3. NIST Cloud. Computing Reference Architecture, National Institute of Standards and. Technológia, špeciálna publikácia. 500-292, september 2011.

4. NIST Cloud. Plán počítačových štandardov, Národný inštitút pre štandardy a. Technológia, špeciálna publikácia. 500-291, júl 2011.

5. http://www.oracle.com/technetwork/indexes/documentation/index.html.

2019

McAfee: 19 najlepších postupov pre zabezpečenie cloudu v roku 2019

Najväčšou starosťou firiem je bezpečnosť externých cloudových služieb. Respondenti sa teda obávajú, že incidenty môžu nastať u dodávateľov, ktorým sú obchodné procesy outsourcované, v cloudových službách tretích strán alebo v IT infraštruktúre, kde si spoločnosť prenajíma výpočtový výkon. Napriek všetkým týmto obavám však iba 15 % spoločností vykonáva audity zhody bezpečnosti tretích strán.

„Napriek tomu, že vo vnútri dátového centra sa nedávno vyskytli rozsiahle hacky, tradičné bezpečnostné systémy sa stále zameriavajú len na ochranu perimetra siete a kontrolu prístupových práv. Zároveň sa zriedkavo berie do úvahy negatívny vplyv riešení na ochranu fyzickej infraštruktúry na výkon virtuálnych prostredí, vysvetlil Veniamin Levtsov, viceprezident pre firemný predaj a rozvoj podnikania v Kaspersky Lab. - Preto je také dôležité používať vhodnú a komplexnú ochranu v konvergovaných prostrediach na zaistenie bezpečnosti virtuálne systémyšpeciálne navrhnuté riešenia. Implementujeme prístup, pri ktorom bez ohľadu na typ infraštruktúry je všetkým systémom poskytovaná jednotná úroveň bezpečnostného pokrytia celej firemná sieť. A tu sa naše technológie a moderný vývoj VMware (ako je mikrosegmentácia) dokonale dopĺňajú.“

2015: Forrester: Prečo sú zákazníci nespokojní s poskytovateľmi cloudu?

Nepriehľadný oblak

Nedávna štúdia Forrester Consulting ukazuje, že mnohé organizácie majú pocit, že ich poskytovatelia cloudových služieb neposkytujú dostatok informácií o ich skúsenostiach s cloudom, čo poškodzuje ich podnikanie.

Okrem nedostatočnej transparentnosti existujú aj ďalšie faktory, ktoré znižujú nadšenie z prechodu do cloudu: úroveň služieb pre zákazníkov, dodatočné náklady a prispôsobenie sa počas migrácie (on-boarding). Organizácie milujú cloud, ale nie jeho poskytovatelia – aspoň nie toľko.

Štúdia bola zadaná poskytovateľom podnikového cloudového hostingu z Irska a bola vykonaná v máji a zahŕňala odborníkov na infraštruktúru a údržbu z 275 organizácií v Singapure a Singapure.

„Medzi všetkými zložitosťami dnešného cloudu sú aj nešťastné nedostatky,“ píše Lilac Schoenbeck, viceprezidentka pre podporu produktov a marketing v Írsku. „Takéto kritické metadáta sa nekomunikujú, čo výrazne bráni prijatiu cloudu, no organizácie zakladajú svoje plány rastu na predpoklade, že cloudové zdroje sú neobmedzené.“

Kde je kľúč k dosiahnutiu harmónie v obchodných vzťahoch? Tu je to, čo VAR potrebujú vedieť, aby sa pokúsili vyriešiť problémy a priviesť strany k zmiereniu.

Nedostatok pozornosti voči klientom

Zdá sa, že mnohí používatelia cloudu nepociťujú rovnaký osobný prístup.

44 % respondentov teda uviedlo, že ich poskytovateľ nepozná ich spoločnosť a nerozumie ich obchodným potrebám a 43 % sa domnieva, že ak by bola ich organizácia jednoducho väčšia, dodávateľ by im pravdepodobne venoval väčšiu pozornosť. Pri kúpe cloudových služieb skrátka pociťujú chlad bežnej transakcie a nepáči sa im to.

A ešte jedna vec: existuje jedna praktika, na ktorú upozornila tretina opýtaných firiem, čo tiež vzbudzuje pri transakcii pocit malichernosti – účtuje sa im poplatok za najmenšiu otázku či nezrozumiteľnosť.

Príliš veľa tajomstiev

Neochota dodávateľa poskytnúť všetky informácie nielenže dráždi zákazníkov, ale často ich stojí peniaze.

Všetci respondenti prieskumu spoločnosti Forrester uviedli, že zaznamenali určitý finančný a prevádzkový vplyv v dôsledku chýbajúcich alebo chránených údajov o využívaní cloudu.

„Nedostatok jasných údajov o využívaní cloudu vedie k problémom s výkonom, problémom s hlásením skutočných nákladov na používanie, poplatkom za zdroje, ktoré používatelia nikdy nespotrebujú, a neočakávaným účtom,“ uvádza Forrester.

Kde sú metadáta?

IT lídri zodpovední za cloudovú infraštruktúru vo svojich organizáciách požadujú metriky nákladov a výkonu, ktoré poskytujú jasnosť a transparentnosť, ale zjavne majú problémy s informovaním dodávateľov.

Respondenti prieskumu poznamenali, že metaúdaje, ktoré dostávajú o cloudových pracovných zaťaženiach, sú zvyčajne neúplné. Takmer polovica spoločností odpovedala, že údaje o súlade s predpismi nie sú k dispozícii, 44 % uviedlo nedostatok údajov o používaní, 43 % uviedlo nedostatok historických údajov, 39 % uviedlo nedostatok údajov o bezpečnosti a 33 % uviedlo nedostatok fakturačných a údaje o nákladoch.

Problém transparentnosti

Nedostatok metadát spôsobuje najrôznejšie problémy, hovoria respondenti. Takmer dve tretiny opýtaných uviedli, že nedostatok transparentnosti im bráni plne pochopiť výhody cloudu.

„Nedostatok transparentnosti vytvára rôzne problémy, najmä problém parametrov používania a prerušenia služieb,“ uvádza sa v správe.

Približne 40 % sa snaží tieto medzery vyplniť sami nákupom dodatočných nástrojov od svojich vlastných poskytovateľov cloudu, zatiaľ čo ďalších 40 % jednoducho nakupuje služby od iného poskytovateľa, kde takáto transparentnosť existuje.

Súlad s predpismi

Čokoľvek sa dá povedať, organizácie sú zodpovedné za všetky svoje údaje, či už na lokálnych úložných systémoch alebo odoslané do cloudu.

Viac ako 70 % respondentov v štúdii uviedlo, že ich organizácie sú pravidelne kontrolované a musia preukázať súlad bez ohľadu na to, kde sa ich údaje nachádzajú. A to predstavuje prekážku prijatia cloudu pre takmer polovicu opýtaných spoločností.

„Aspekt zhody s vašimi predpismi však musí byť pre vašich koncových používateľov transparentný. Keď poskytovatelia cloudu zadržia alebo nezverejnia tieto informácie, bránia vám to dosiahnuť,“ uvádza sa v správe.

Problémy s dodržiavaním predpisov

Viac ako 60 % opýtaných spoločností odpovedalo, že problémy s dodržiavaním predpisov obmedzujú ďalšie zavádzanie cloudu.

Hlavné problémy sú:

• 55 % spoločností s takýmito požiadavkami uviedlo, že najťažšie je pre nich implementovať primerané kontroly.
• Približne polovica uviedla, že má problém porozumieť úrovni súladu, ktorú poskytuje ich poskytovateľ cloudu.
• Ďalšia polovica respondentov uviedla, že na úspešné absolvovanie auditu je pre nich ťažké získať od poskytovateľa potrebnú dokumentáciu o splnení týchto požiadaviek. A pre 42 % je ťažké získať dokumentáciu o svojom vlastnom súlade s pracovnými záťažami bežiacimi v cloude.

Problémy s migráciou

Zdá sa, že proces integrácie je ďalšou oblasťou všeobecnej nespokojnosti, pričom o niečo viac ako polovica opýtaných spoločností uviedla, že nie sú spokojní s procesmi migrácie a podpory, ktoré im ponúkali ich cloudoví predajcovia.

Z 51 % nespokojných s procesom migrácie 26 % uviedlo, že trval príliš dlho a 21 % sa sťažovalo na nedostatok praktických informácií od personálu poskytovateľa.

Viac ako polovica bola tiež nespokojná s procesom podpory: 22 % uviedlo dlhé čakacie doby na odpoveď, 20 % uviedlo nedostatočné znalosti podporného personálu, 19 % uviedlo zdĺhavý proces riešenia problémov a 18 % dostalo faktúry s vyššou hodnotou očakávané náklady na podporu.

Prekážky na ceste do oblaku

Mnohé zo spoločností, ktoré sa zúčastnili prieskumu spoločnosti Forrester, sú nútené odložiť svoje plány na rozšírenie cloudu kvôli problémom, s ktorými sa stretávajú s existujúcimi službami.

Najmenej 60 % odpovedalo, že nedostatočná transparentnosť pri používaní, informácie o súlade s predpismi a spoľahlivá podpora im bráni vo väčšom využívaní cloudu. Nebyť týchto problémov, presunuli by viac pracovných záťaží do cloudu, tvrdia respondenti.

2014

• Úloha IT oddelení sa postupne mení: stoja pred úlohou prispôsobiť sa novej realite cloudového IT. Oddelenia IT musia vzdelávať zamestnancov o otázkach bezpečnosti, vypracovať komplexnú správu údajov a zásady dodržiavania predpisov, vypracovať usmernenia pre prijatie do cloudu a nastaviť pravidlá o tom, aké údaje možno a ktoré nemožno uložiť v cloude.
• IT oddelenia dokážu naplniť svoje poslanie chrániť firemné dáta a zároveň pôsobiť ako nástroj pri implementácii „Shadow IT“, pričom implementujú opatrenia na zaistenie bezpečnosti dát, napríklad zavádzajú „šifrovanie ako službu“. "prístup. forma služby"). Tento prístup umožňuje IT oddeleniam centrálne spravovať ochranu dát v cloude, čím poskytuje ostatným oddeleniam spoločnosti možnosť samostatne vyhľadávať a využívať cloudové služby podľa potreby.
• Keďže stále viac spoločností ukladá svoje dáta do cloudu a ich zamestnanci čoraz viac využívajú cloudové služby, musia IT oddelenia venovať väčšiu pozornosť implementácii efektívnejších mechanizmov kontroly prístupu používateľov, ako je napríklad viacfaktorová autentifikácia. Platí to najmä pre spoločnosti, ktoré poskytujú tretím stranám a predajcom prístup k ich údajom v cloude. Riešenia viacfaktorovej autentifikácie možno centrálne spravovať a poskytujú bezpečnejší prístup ku všetkým aplikáciám a údajom, či už sú hosťované v cloude alebo na vlastnom hardvéri spoločnosti.

Údaje Ponemon a SafeNet

Väčšina IT organizácií si neuvedomuje, ako sú firemné dáta chránené v cloude, čím sú účty a dáta firiem ohrozené. dôverné informácie jej užívateľov. Toto je len jeden zo záverov nedávnej štúdie z jesene 2014, ktorú vykonal Ponemon Institute a ktorú si objednal SafeNet. Štúdia s názvom „Challenges of Information Management in the Cloud: Global Data Security Study“ skúmala viac ako 1 800 odborníkov na informačné technológie a bezpečnosť IT na celom svete.

Štúdia okrem iných zistení zistila, že zatiaľ čo organizácie čoraz viac využívajú silu cloud computingu, firemné IT oddelenia čelia problémom so správou a zabezpečením údajov v cloude. Prieskum zistil, že iba 38 % organizácií má jasne definované úlohy a zodpovednosti za zabezpečenie ochrany dôverných a iných citlivých informácií v cloude. Aby toho nebolo málo, 44 ​​% podnikových dát uložených v cloude nekontrolujú ani nespravujú IT oddelenia. Okrem toho viac ako dve tretiny (71 %) respondentov uviedli, že čelia čoraz väčším problémom pri používaní tradičných bezpečnostných mechanizmov a techník na ochranu citlivých údajov v cloude.

S rastúcou popularitou cloudových infraštruktúr rastú aj riziká úniku dôverných údajov. Približne dve tretiny opýtaných odborníkov v oblasti IT (71 %) potvrdili, že cloud computing má dnes pre korporácie veľký význam, a viac ako dve tretiny (78 %) veríme, že cloud computing bude aj naďalej relevantný. Okrem toho, podľa odhadov respondentov, asi 33% všetkých ich organizácií potrebuje informačné technológie a infraštruktúru na spracovanie údajov možno dnes splniť pomocou cloudových zdrojov a v priebehu nasledujúcich dvoch rokov sa tento podiel zvýši v priemere na 41 %.

Väčšina respondentov (70 %) však súhlasí s tým, že dodržiavanie požiadaviek na dôvernosť údajov a ochranu údajov v cloudovom prostredí je čoraz ťažšie. Respondenti navyše poznamenávajú, že únikom sú najviac ohrozené typy podnikových údajov uložených v cloude, ako sú e-mailové adresy, údaje o spotrebiteľoch a zákazníkoch a platobné informácie.

V priemere viac ako polovicu všetkých nasadení podnikového cloudu vykonávajú oddelenia tretích strán, a nie oddelenia podnikových IT, a v priemere asi 44 % podnikových údajov hostených v cloude nekontrolujú ani nespravujú oddelenia IT. Výsledkom bolo, že iba 19 % respondentov uviedlo, že sú si istí, že vedia o všetkých cloudových aplikáciách, platformách alebo infraštruktúrnych službách, ktoré v súčasnosti využívajú ich organizácie.

Spolu s nedostatočnou kontrolou nad inštaláciou a používaním cloudových služieb nepanoval medzi respondentmi ani konsenzus, kto je vlastne zodpovedný za bezpečnosť dát uložených v cloude. Tridsaťpäť percent respondentov uviedlo, že zodpovednosť je zdieľaná medzi používateľmi a poskytovateľmi cloudových služieb, 33 % sa domnieva, že zodpovednosť je výlučne na používateľoch a 32 % sa domnieva, že za bezpečnosť údajov je zodpovedný poskytovateľ cloudových služieb.

Viac ako dve tretiny (71 %) respondentov uviedlo, že je čoraz ťažšie chrániť citlivé údaje používateľov uložené v cloude pomocou tradičných bezpečnostných nástrojov a metód a približne polovica (48 %) tvrdí, že je pre nich čoraz ťažšie kontrolovať alebo obmedziť prístup koncových používateľov k údajom v cloude. Výsledkom je, že viac ako tretina (34 %) opýtaných IT profesionálov uviedla, že ich organizácie už zaviedli podnikové politiky, ktoré vyžadujú použitie bezpečnostných mechanizmov, ako je šifrovanie, ako predpoklad pre prácu s určitými službami cloud computingu. Sedemdesiatjeden (71) percent respondentov uviedlo, že schopnosť šifrovať alebo tokenizovať dôverné alebo inak citlivé údaje je pre nich dôležitá a 79 % verí, že tieto technológie budú v priebehu nasledujúcich dvoch rokov čoraz dôležitejšie.

Na otázku, čo ich spoločnosti robia na ochranu údajov v cloude, 43 % respondentov uviedlo, že ich organizácie používajú na prenos údajov súkromné ​​siete. Zhruba dve pätiny (39 %) respondentov uviedli, že ich spoločnosti používajú na ochranu údajov v cloude šifrovanie, tokenizáciu a ďalšie kryptografické nástroje. Ďalších 33 % respondentov nevie, aké bezpečnostné riešenia majú ich organizácie zavedené, a 29 % uviedlo, že využívajú platené bezpečnostné služby od svojich poskytovateľov cloudu.

Respondenti sa tiež domnievajú, že správa podnikových šifrovacích kľúčov je nevyhnutná na zabezpečenie údajov v cloude vzhľadom na rastúci počet platforiem na správu kľúčov a šifrovania, ktoré ich spoločnosti používajú. Konkrétne 54 % respondentov uviedlo, že ich organizácie majú pri ukladaní údajov v cloude kontrolu nad šifrovacími kľúčmi. 45 % opýtaných však uviedlo, že svoje šifrovacie kľúče uchovávajú v softvéri, na rovnakom mieste, kde sú uložené samotné údaje, a iba 27 % ukladá kľúče v bezpečnejších prostrediach, ako napríklad na hardvérových zariadeniach.

Pokiaľ ide o prístup k údajom uloženým v cloude, šesťdesiatosem (68) percent respondentov tvrdí, že je ťažšie spravovať používateľské účty v cloudovom prostredí, zatiaľ čo šesťdesiatdva (62) percent respondentov uviedlo, že ich organizácie majú prístup k cloud je poskytovaný aj pre tretie strany. Zhruba polovica (46 percent) opýtaných uviedla, že ich spoločnosti používajú viacfaktorovú autentifikáciu na ochranu prístupu tretích strán k údajom uloženým v cloude. Približne rovnaký počet (48 percent) respondentov uviedol, že ich spoločnosti používajú technológie viacfaktorovej autentifikácie vrátane ochrany prístupu svojich zamestnancov ku cloudu.

2013: Štúdia Cloud Security Alliance

Cloud Security Alliance (CSA), nezisková odvetvová organizácia propagujúca praktiky cloudovej bezpečnosti, nedávno aktualizovala svoj zoznam hlavných hrozieb v správe s názvom „Cloud Evil: Top 9 Threats in Cloud Services in 2013“.

CSA uvádza, že správa odráža expertný konsenzus o najvýznamnejších bezpečnostných hrozbách v cloude a zameriava sa na hrozby vyplývajúce zo zdieľaných cloudových zdrojov, ktoré zdieľajú a ku ktorým majú prístup viacerí používatelia na požiadanie.

Takže hlavné hrozby...

Krádež údajov

Krádež dôverných firemných informácií je vždy problémom pre organizácie v akejkoľvek IT infraštruktúre, ale cloudový model otvára „nové, významné cesty útokov“, zdôrazňuje CSA. „Ak cloudová databáza s viacerými nájomcami nie je správne navrhnutá, chyba v aplikácii jedného zákazníka by mohla útočníkom umožniť prístup k údajom nielen tohto zákazníka, ale aj všetkých ostatných používateľov cloudu,“ varuje CSA.

Každý „cloud“ má niekoľko úrovní ochrany, z ktorých každá chráni informácie odlišné typy„pokusy“.

Napríklad fyzická ochrana servera. Tu ani nehovoríme o hackovaní, ale o krádeži či poškodení pamäťových médií. Vyniesť server z priestorov môže byť ťažké v pravom slova zmysle. Okrem toho každá spoločnosť, ktorá rešpektuje seba, ukladá informácie v dátových centrách so zabezpečením, kamerovým dohľadom a obmedzeným prístupom nielen pre cudzincov, ale aj pre väčšinu zamestnancov spoločnosti. Pravdepodobnosť, že útočník jednoducho príde a vezme si informácie, sa teda blíži k nule.

Rovnako ako skúsený cestovateľ, ktorý sa obáva lúpeže, nedrží všetky svoje peniaze a cennosti na jednom mieste,