Каннер А. М.
Росія, Москва, ЗАТ «ОКБ САПР»
Захист типових послуг дата-центру та інфраструктури «хмарних» сервісів
Під поняттям Cloud Computing ( «хмарні обчислення») мається на увазі досить багато різних систем і сервісів, що надаються, наприклад, просто кілька серверів в стійці, системи розробки будь-яких продуктів, різноманітні online-сервіси.
Що ж таке Cloud Computing - інфраструктура, платформа або якесь додаток? Щоб зрозуміти це, потрібно зупинитися на характеристиках і типі виконання процесів тією чи іншою системою або сервісом (тобто на формі застосування системи або сервісу):
1. IaaS (Infrastructure as a Service) - надання клієнту необхідної інфраструктури для побудови своїх рішень, додатків або сервісів;
2. PaaS (Platform as a Service) - надання клієнту готової інфраструктури і оточення - тобто додаткового набору інструментів для необхідних робіт;
3. SaaS (Software as a Service) - надання клієнту готового додатка або готовий сервіс для вирішення конкретних завдань
Різного роду системи або сервіси можуть надаватися кінцевому користувачеві в двох виконаннях:
- Private - приватні системи хмарних обчислень, які використовуються для вирішення певних завдань в рамках конкретної компанії або групи осіб (наприклад внутрішній масив серверів для обробки відео)
- Public - громадські організації хмарних обчислень, які передбачають доступ широкого кола осіб, доступні для будь-якого охочого (пошукові системи, web-пошта та інші системи).
Системи хмарних обчислень позиціонуються як єдиний портал послуг для покриття всіх потреб конкретної аудиторії або компанії. Ключовими характеристиками систем хмарних обчислень є:
1. Гнучка масштабованість або можливість вільного зміни потужності і розмірів системи (підключення нового обладнання, розширення дискових сховищ);
2. Міцні та стабільність роботи;
3. Мережева доступність;
4. Конфіденційність введеної в систему інформації;
5. Прозорість роботи для кінцевого користувача.
У концепції Cloud Computing кінцевий користувач має доступ до власних даних, але не може управляти інфраструктурою (ОС, ПО), з якої він працює.
На даний момент практично всі користувачі мережі Інтернет так чи інакше працюють з хмарними системами і сервісами (Google, Amazon, різноманітні сервіси web-пошти та ін.), Навіть не підозрюючи, що це так називається.
Системи хмарних обчислень зазвичай будуються і функціонують на дорогому обладнанні, тому далеко не завжди реалізуються на базі тих компаній або підрозділів, де потрібно їх використання.
Велика частина роботи даних систем припадає на обчислення без безпосередньої участі клієнта. При цьому сама система може розташовуватися в деякому центрі зберігання і обробки даних (ЦОД, ЦХОД, дата-центр) в будь-якій точці світу. Причому одна і та ж система обробки даних в залежності від завдань може за короткий час міняти свій статус: від обробки документів і медіа-даних до побудови та обслуговування всієї IT-інфраструктури зовнішньої організації і створення систем документообігу всередині ЦОД.
ЦОД або дата-центр - спеціалізований майданчик для розміщення серверного і комунікаційного устаткування і підключення до каналів глобальної мережі Інтернет. Саме якість і ширина каналів впливають на рівень послуг, що надаються, так як основним критерієм оцінки якості роботи будь-якого дата-центру є час доступності сервера (uptime).
Типовий дата-центр складається з:
- інформаційної інфраструктури (серверне обладнання);
- телекомунікаційної інфраструктури, що забезпечує взаємозв'язок елементів дата-центру, а також передачу даних між дата-центром і користувачами;
- інженерної інфраструктури, що забезпечує нормальне функціонування основних систем дата-центру (системи кондиціонування, безперебійне електропостачання, охоронно-пожежна сигналізація, системи управління живленням, системи контролю доступу, фізичний захист приміщень дата-центру, системи резервування).
Типовий ЦОД може пропонувати такі послуги:
1) оренда наявного обладнання та обчислювальних потужностей;
2) надання послуг віртуальних серверів (архітектура VDI та ін.);
3) надання послуг з аутсорсингу IT-інфраструктури компанії;
4) різні сервіси для клієнтів.
Для блокування загроз інформаційній безпеці ЦОД існує необхідність впроваджувати сертифіковані криптографічні рішення, а також системи захисту від несанкціонованого доступу, вирішальні різні завдання.
Зупинимося на типових послуги, що надаються ЦОД, а також варіанти захисту від найбільш ймовірних атак при наданні (отриманні) цих послуг кінцевим користувачем.
1. Організація захищеного доступу до обладнання (IaaS, PaaS)
Розглянемо схему організації захищеного доступу для клієнтів, чиї сервери розміщені в ЦОД. В даному випадку ЦОД надає клієнтам послуги IaaS і PaaS, на основі яких в подальшому клієнт сам будує свої рішення (тобто фактично орендуються виробничі потужності ЦОД і здійснюються гарантії відмовостійкості послуг, що надаються).
Малюнок 1. Організація захищеного доступу до обладнання на стороні ЦОД
Організація захищеного з'єднання між клієнтами і серверами відбувається наступним чином (рис. 1):
1) фізично сервера підключаються до маршрутизатора (сертифікований програмний або програмно-апаратний кріптомаршрутізатор), розташованому в ЦОД;
2) маршрутизатор підключається до мережі ЦОД, що має доступ в Інтернет;
3) на стороні клієнта встановлюється аналогічний маршрутизатор, підключений з одного боку до мережевої інфраструктури клієнта, з іншого до мережі Інтернет;
4) маршрутизатори встановлюють між собою захищене з'єднання з використанням російських криптографічних алгоритмів.
Даний підхід дозволяє організувати довірену мережу між серверами в ЦОД і мережевою інфраструктурою клієнта.
При такій схемі організації з'єднання виключені будь-які атаки ззовні, а модель порушника зводиться до осіб, які мають безпосередній доступ до мережевої інфраструктури клієнта.
2. Організація захищених web-ресурсів
В даний час гостро стоїть проблема захисту корпоративних web-ресурсів.
Розглянемо основні завдання клієнтів щодо захисту web-ресурсів і способи їх вирішення:
1) захист ОС сервера, налаштувань web-сервера і деяких сторінок від модифікації;
2) надання захищеного доступу до певних розділів сайту з використанням засобів сильної аутентифікації (в тому числі, до інтерфейсу адміністрування або панелі адміністратора web-ресурсу).
Одним з напрямків захисту web-сервера є забезпечення цілісності ОС і додатків, що забезпечують обробку вмісту ресурсів. Пропонована архітектура може включати в себе контроль цілісності файлів web-сервера, вмісту сторінок (статичного вмісту) і забезпечення довіреної завантаження ОС. Даний вид контролю реалізується апаратно із застосуванням ПАК СЗІ НСД сімейства «Акорд» та установкою на контроль необхідних файлів. Їх модифікація можлива тільки користувачами, які пройшли аутентифікацію за допомогою ПСКЗІ «ШИПКА».
Другим напрямком є застосування сильної аутентифікації для забезпечення доступу до захищених web-ресурсів. При реалізації даного підходу на сервер встановлюється контролер Акорд, клієнти отримують доступ по SSL, при цьому виконується апаратна аутентифікація між ПСКЗІ клієнта і пристроєм Акорд, встановленому на сервері (рис. 2). Даний підхід дозволяє відмовитися від паролів і забезпечити максимальний рівень захисту при аутентифікації.
Малюнок 2. Схема отримання доступу до web-ресурсу за допомогою сильної двосторонньої аутентифікації
3. Захист SaaS рішень
Найбільший інтерес з точки зору забезпечення ІБ являє послуга ЦОД з аутсорсингу всієї IT-інфраструктури компанії або якоїсь частини інфраструктури. Дана послуга дозволяє значно знизити витрати компанії на закупівлю необхідного обладнання і забезпечення роботи IT-відділу (IT-департаменту). При використанні подібних рішень всі дані знаходяться в ЦОД і завантажуються по мережі на вимогу. Однак багато компаній часто виносять на аутсорсинг не всю IT-інфраструктуру, а лише невелику частину, наприклад:
- Засоби автоматизації документообігу;
- Електронні інформаційні архіви;
- Системи постановки та контролю завдань для персоналу;
- Рішення для організації комунікацій між співробітниками і підрозділами;
- Інші програми та системи, що мають конкретну область застосування.
В даному випадку необхідно організувати доступ до інфраструктури ЦОД, що дозволяє організувати захист каналу даних між користувачем і системою / сервісом / додатком (наприклад, c віртуальної робочої станцією в архітектурі VDI - Virtual Desktop Infrastructure).
У разі використання апаратних терміналів на стороні клієнта, доставка і завантаження ОС на термінал проводитися по мережі. Більшість сучасних методів віддаленого завантаження ніяких механізмів захисту не включають, і гарантії, що ОС завантажується з надійного джерела і в справному стані, а також що це взагалі саме ОС, а не щось інше - ні. Значить, друга функція, яка абсолютно необхідна підсистемі захисту інформації в системі термінального доступу, - це захищена завантаження ОС по мережі.
Для розмежування доступу до ресурсів (термінального) сервера необхідна аутентифікація користувача на сервері. З огляду на, що користувач вже був аутентифікований на терміналі, має сенс, щоб дані аутентифікації передавалися на сервер автоматично. Система розмежування доступу повинна давати можливість адміністратору безпеки інформації описувати політику безпеки інформації за допомогою не тільки дискреційного, а й мандатної методу розмежування доступу, оскільки тільки мандатний механізм дає можливість контролювати потоки інформації, що в цілому ряді випадків абсолютно необхідно. Бази даних користувачів і їх прав повинні зберігатися в незалежній від процесора сервера пам'яті СЗІ, і доступ до неї повинен бути строго регламентований. Те ж стосується журналів подій безпеки інформації.
Ще одна дуже важлива функція підсистеми захисту інформації в системі термінального доступу - це взаємна аутентифікація (термінального) сервера і терміналу. Термінал має працювати з «правильним» (термінальним) сервером, а термінальний сервер повинен допускати роботу не тільки виключно зареєстрованих користувачів, але і виключно з зареєстрованих терміналів. Більш того, тільки в зареєстрованому поєднанні (тобто легальний користувач з покладеного саме йому терміналу, а не з будь-якого зареєстрованого в системі). Як це можна забезпечити, якщо в терміналі абсолютно нічого немає, - теж добре зрозуміло - аутентифікація повинна проводитися на рівні апаратних засобів захисту інформації, що мають власний активний процесор з програмним забезпеченням, захищеним від модифікацій, які мають криптографічні функції, оскільки процес взаємної аутентифікації передбачає обмін пакетами , підписаними ЕЦП обмінюються пристроїв і, відповідно, перевірки цих підписів.
СПИСОК ЛІТЕРАТУРИ:
1. Дата-центр H1 (ТОВ «H1»). URL: http://h1host.ru .
2. Дата-центр // Вікіпедія Вільна енциклопедія. URL: http://ru.wikipedia.org/wiki/ЦОД .
3. Конявская С. В. Онтологія термінальних систем і захист інформації в них // Information Security / Інформаційна безпека. 2008. № 4 (червень). С. 46-47.
4. Муха М. Д. Система контролю цілісності та автентичності образів операційних систем, що завантажуються через мережу // Комплексний захист інформації. Збірник матеріалів XII Міжнародної конференції (13-16 травня 2008 р Ярославль (Росія)). М., 2008. С. 139-140.
5. Муха М. Д. Віддалене завантаження операційної системи Windows CE на тонкі клієнти в термінальних системах // Комплексний захист інформації. Збірник матеріалів XII Міжнародної конференції (13-16 травня 2008 р Ярославль (Росія)). М., 2008. С. 141-142.
Що ж таке Cloud Computing - інфраструктура, платформа або якесь додаток?
