Andmetöötluskeskus (DPC) on ühel saidil paiknevate serverite kogum, mille eesmärk on suurendada tõhusust ja turvalisust. Andmekeskuse turvalisus hõlmab võrgu- ja füüsilist turvalisust, samuti vastupidavust ja toitekindlust. Praegu pakub turg laias valikus lahendusi serverite ja andmekeskuste kaitsmiseks erinevate ohtude eest. Neid ühendab keskendumine kitsale hulgale lahendatavatele ülesannetele. Nende ülesannete ulatus on siiski mõnevõrra laienenud, kuna klassikalised riistvarasüsteemid on järk-järgult nihkunud virtuaalsetele platvormidele. TO tuntud tüübidähvardused ( võrgurünnakud, haavatavused operatsioonisüsteemi rakendustes, ründetarkvara) lisasid raskusi, mis on seotud keskkonna jälgimisega (hüperviisor), külalismasinate vahelise liikluse ja juurdepääsuõiguste piiritlemisega. Laiendatud sisemised probleemid ja andmekeskuse kaitsepoliitikad, nõuded välised regulaatorid. Kaasaegsete andmekeskuste toimimine paljudes tööstusharudes nõuab tehniliste probleemide, aga ka nende turvalisusega seotud probleemide sulgemist. Finantsasutustele (pangad, töötlemiskeskused) kehtivad mitmed standardid, mille rakendamine on sätestatud tasemel tehnilisi lahendusi. Virtualiseerimisplatvormide levik on jõudnud tasemele, kus peaaegu kõik neid süsteeme kasutavad ettevõtted on väga tõsiselt mures nende turvalisuse suurendamise pärast. Märkigem, et sõna otseses mõttes aasta tagasi oli huvi pigem teoreetiline.
IN kaasaegsed tingimusedÄrikriitiliste süsteemide ja rakenduste kaitsmine muutub järjest keerulisemaks.
Virtualiseerimise esilekerkimisest on saanud pakiline põhjus enamiku süsteemide laiaulatuslikuks migratsiooniks VM-idele, kuid rakenduste käitamisega seotud turvaprobleemide lahendamine uues keskkonnas nõuab eriline lähenemine. Paljusid ohutüüpe on hästi uuritud ja nende jaoks on välja töötatud kaitsed, kuid pilves kasutamiseks tuleb neid siiski kohandada.
Olemasolevad ohud pilvandmetöötlus
Pilve juhtimine ja haldamine on turvaprobleem. Puuduvad garantiid, et kõik pilveressursid on loendatud ja kontrollimata virtuaalmasinaid ei tööta. ebavajalikud protsessid ja pilveelementide vastastikune konfiguratsioon ei ole häiritud. See kõrgetasemeline tüüpähvardused, sest see on seotud pilve kui ühtse infosüsteemi juhitavusega ja selle jaoks tuleb üldine kaitse ehitada individuaalselt. Selleks on vaja kasutada pilveinfrastruktuuride riskijuhtimise mudelit.Füüsiline turvalisus põhineb rangel kontrollil füüsilise juurdepääsu üle serveritele ja võrgu infrastruktuur. Erinevalt füüsilisest turvalisusest seisneb võrguturvalisus peamiselt tugeva ohumudeli loomises, mis sisaldab sissetungikaitset ja tulemüüri. Tulemüüri kasutamine hõlmab filtri kasutamist, mis eraldab sisemised andmekeskuse võrgud erineva usaldustasemega alamvõrkudeks. Need võivad olla eraldi serverid, millele on juurdepääs Internetist või serverid sisevõrkudest.
Pilvandmetöötluses elutähtsat rolli Platvormi rakendab virtualiseerimistehnoloogia. Andmete terviklikkuse säilitamiseks ja kaitse tagamiseks vaatleme peamisi teadaolevaid pilvandmetöötluse ohte.
1. Liikumisraskused tavalised serverid arvutipilvesse
Pilvandmetöötluse turvanõuded ei erine andmekeskuste turvanõuetest. Andmekeskuste virtualiseerimine ja pilvekeskkondadele üleminek toovad aga kaasa uute ohtude esilekerkimise.Juurdepääs Interneti kaudu arvutivõimsuse juhtimiseks on üks võtmeomadused pilvandmetöötlus. Enamikus traditsioonilistes andmekeskustes kontrollivad inseneride juurdepääsu serveritele füüsiline tase,pilvekeskkondades tegutsevad nad Interneti kaudu. Juurdepääsukontrolli diferentseerimine ja muudatuste läbipaistvuse tagamine süsteemi tasandil on üks peamisi kaitsekriteeriume.
2. Virtuaalsete masinate dünaamika
Virtuaalmasinad on dünaamilised. Loo uus auto, saab selle töö peatada ja uuesti käivitada lühikese aja jooksul. Need on kloonitud ja neid saab teisaldada füüsilised serverid. Sellel varieeruvusel on turbe terviklikkuse kujundamisele raske mõju. Virtuaalkeskkonnas operatsioonisüsteemi või rakenduste haavatavused levivad aga kontrollimatult ja ilmuvad sageli suvalise aja möödudes (näiteks varukoopiast taastades). Pilvandmetöötluse keskkondades on oluline süsteemi turvaseisundi usaldusväärne jäädvustamine ning see ei tohiks sõltuda selle olekust ja asukohast.3. Virtuaalkeskkonna haavatavused
Pilvandmetöötluse serverid ja kohalikud serverid kasutada samu operatsioonisüsteeme ja rakendusi. Sest pilvesüsteemid kaughäkkimise või pahavaraga nakatumise oht on suur. Virtuaalsete süsteemide risk on samuti suur. Paralleelselt virtuaalsed masinad suurendab "ründepinda". Sissetungi tuvastamise ja ennetamise süsteem peab suutma tuvastada pahatahtlik tegevus virtuaalmasina tasemel, olenemata nende asukohast pilvekeskkond.4. Kaitske jõudeolevaid virtuaalmasinaid
Kui virtuaalmasin on välja lülitatud, on see nakatumisoht. Juurdepääs virtuaalmasina pildisalvestusele võrgu kaudu on piisav. Suletud virtuaalmasinas on turvatarkvara käivitamine täiesti võimatu. Sel juhul tuleb kaitset rakendada mitte ainult iga virtuaalmasina sees, vaid ka hüperviisori tasemel.5. Perimeetri kaitse ja võrgu piiritlemine
Pilvandmetöötluse kasutamisel võrgu perimeeter häguneb või kaob. Selle tulemuseks on võrgu vähem turvalise osa kaitse, mis määrab üldise turbetaseme. Segmentide piiritlemiseks erinevatel tasanditel usaldus pilve vastu, peavad virtuaalmasinad end liikudes kaitsma võrgu perimeeter virtuaalmasinale endale (joonis 1.). Ettevõtte tulemüür on IT-turvapoliitika rakendamise ja võrgusegmentide piiritlemise põhikomponent, mis ei suuda mõjutada pilvekeskkondades asuvaid servereid.Rünnakud pilvede vastu ja lahendused nende kõrvaldamiseks
1. Traditsioonilised rünnakud tarkvara vastu
Operatsioonisüsteemide haavatavused, moodulkomponendid, võrguprotokollid ja teised - traditsioonilised ohud, mille kaitseks piisab tulemüüri, tulemüüri, viirusetõrje, IPS-i ja muude otsustavate komponentide installimisest. see probleem. On oluline, et need kaitsevahendid töötaksid virtualiseerimistingimustes tõhusalt.2. Funktsionaalsed rünnakud pilveelementide vastu
Seda tüüpi rünnak on seotud pilve mitmekihilisusega, üldpõhimõte turvalisus. Pilvede ohtusid käsitlevas artiklis pakuti välja järgmine lahendus: Funktsionaalsete rünnakute eest kaitsmiseks tuleb pilve iga osa puhul kasutada järgmisi kaitsevahendeid: puhverserverite puhul - tõhus kaitse DoS rünnakute vastu, veebiserveri jaoks - lehe terviklikkuse kontroll, rakendusserveri jaoks - rakenduse tasemel ekraan, DBMS jaoks - kaitse SQL-i süstide eest, andmesalvestussüsteemi jaoks - õiged varukoopiad(varundus), juurdepääsu kontroll. Igaüks neist kaitsemehhanismidest on eraldi juba loodud, kuid neid ei ole kokku pandud terviklik kaitse pilved, seega on ülesanne need integreerida ühtne süsteem tuleb pilve loomise ajal otsustada.3. Rünnakud kliendi vastu
Enamik kasutajaid loob pilvega ühenduse brauseri abil. See hõlmab ründeid, nagu saidiülene skriptimine, paroolikaaperdamine, veebiseansi kaaperdamine, rünnakud keskel ja paljud teised. Ainus kaitse Seda tüüpi rünnak on kaitstud õige autentimise ja vastastikuse autentimisega krüpteeritud ühenduse (SSL) kasutamise eest. Need kaitsed pole aga pilveloojate jaoks kuigi mugavad ja väga raiskavad. Selles tööstuses infoturve on veel palju lahendamata probleeme.4. Rünnakud hüperviisorile
Hüperviisor on üks võtmeelemendid virtuaalne süsteem. Selle peamine ülesanne on jagada ressursse virtuaalmasinate vahel. Rünnak hüperviisori vastu võib põhjustada selle, et üks virtuaalmasin pääseb juurde teise seadme mälule ja ressurssidele. Ta suudab ka pealtkuulamist võrguliiklust, võtavad ära füüsilised ressursid ja tõstavad isegi virtuaalmasina serverist välja. Standardsete kaitsemeetoditena on soovitatav kasutada spetsiaalseid tooteid virtuaalse keskkonna jaoks, hostiserverite integreerimist teenusega Aktiivne kataloog Kataloog, paroolide keerukuse ja vananemispoliitika kasutamine ning hostiserveri haldustööriistadele juurdepääsu protseduuride standardimine kasutavad virtualiseerimishosti sisseehitatud tulemüüri. Selliseid on võimalik ka sageli keelata kasutamata teenused näiteks veebijuurdepääs virtualiseerimisserverile.5. Rünnakud juhtimissüsteemidele
Pilvedes kasutatavate virtuaalmasinate suur hulk nõuab haldussüsteeme, mis suudavad usaldusväärselt juhtida virtuaalmasinate loomist, migreerimist ja utiliseerimist. Juhtimissüsteemi sekkumine võib viia virtuaalsete masinate ilmumiseni - nähtamatud, mis on võimelised mõnda virtuaalset masinat blokeerima ja teisi paljastama.Cloud Security Alliance'i (CSA) turvaohtude kaitse lahendused
Cloud Security Alliance (CSA) on avaldanud kõige tõhusamad pilveturbe parimad tavad. Pärast ettevõtte avaldatud teabe analüüsimist pakuti välja järgmised lahendused.1. Andmete turvalisus. Krüpteerimine
Krüpteerimine on üks tõhusamaid viise andmete kaitsmiseks. Andmetele juurdepääsu võimaldav pakkuja peab andmekeskuses salvestatud klienditeabe krüpteerima ja vajaduse korral selle ka jäädavalt kustutama.2. Andmekaitse edastamise ajal
Edastatavad krüptitud andmed peaksid olema juurdepääsetavad alles pärast autentimist. Andmeid ei saa lugeda ega muuta, isegi kui neile pääsete juurde ebausaldusväärsete sõlmede kaudu. Sellised tehnoloogiad on üsna hästi tuntud algoritmid ja usaldusväärsed protokollid AES, TLS, IPsec on pakkujate poolt kasutatud juba pikka aega.3. Autentimine
Autentimine – paroolikaitse. Suurema töökindluse tagamiseks kasutavad nad sageli selliseid vahendeid nagu märgid ja sertifikaadid. Pakkuja ja identifitseerimissüsteemi vaheliseks läbipaistvaks suhtluseks autoriseerimise ajal on soovitatav kasutada ka LDAP-i (Lightweight Directory Access Protocol) ja SAML-i (turvakinnitus). Märgistuskeel).4. Kasutaja isoleerimine
Individuaalse virtuaalmasina ja virtuaalse võrgu kasutamine. Virtuaalsed võrgud tuleb juurutada selliste tehnoloogiate abil nagu VPN (virtuaalne privaatvõrk), VLAN (virtuaalne kohalik). Piirkonnavõrk) ja VPLS (virtuaalne privaatvõrguteenus). Sageli eraldavad pakkujad kasutajaandmeid üksteisest, muutes koodiandmeid ühes tarkvarakeskkond. See lähenemine sisaldab riske, mis on seotud augu leidmise ohuga mittestandardne kood, mis võimaldab teil andmetele juurde pääseda. Juhtudel võimalik viga koodis saab kasutaja teise andmed. Viimasel ajal on selliseid juhtumeid sageli ette tulnud.Järeldus
Kirjeldatud lahendusi pilvandmetöötluse turvaohtude eest kaitsmiseks on süsteemiintegraatorid privaatpilvede loomise projektides korduvalt kasutanud. Pärast nende lahenduste rakendamist vähenes juhtunud juhtumite arv oluliselt. Kuid paljud virtualiseerimise kaitsmisega seotud probleemid nõuavad siiski hoolikat analüüsi ja hästi väljatöötatud lahendusi. Vaatleme neid üksikasjalikumalt järgmises artiklis. IT-GRAD
Täna räägime ähvardustest pilve turvalisus, võttes arvesse TOP 12, mida teatud organisatsioonid kasutavad pilveteenused. Pilverände arv teatavasti kasvab iga aastaga ning turvalisuse teema on endiselt tõsine teema.
Esimene samm pilveriski minimeerimiseks on peamiste turvaohtude ennetamine. Tänavu märtsis toimunud RSA konverentsil esitas CSA (Cloud Security Alliance) nimekirja 12 pilveturbeohust, millega organisatsioonid silmitsi seisavad. Vaatame neid üksikasjalikumalt.
1. oht: andmete leke
Pilve ohustavad samad ohud kui traditsioonilistele infrastruktuuridele. Tänapäeval sageli pilvedesse edastatava suure andmehulga tõttu muutuvad pilvemajutuse pakkujate saidid atraktiivne eesmärk sissetungijate jaoks. Lisaks sõltub potentsiaalsete ohtude tõsidus otseselt salvestatavate andmete tähtsusest ja olulisusest.
Isikliku kasutajateabe avaldamine on üldiselt vähem avalikustatud kui meditsiiniliste aruannete avaldamine, ärisaladused, intellektuaalomand, mis kahjustab oluliselt üksiku ettevõtte mainet. Andmelekke korral ähvardavad organisatsiooni trahvid, kohtuasjad või kriminaalsüüdistused, aga ka kaudsed komponendid kaubamärgi kahjustamise ja ärikahju näol, mis toovad kaasa pöördumatuid tagajärgi ja pikaajalisi protseduure ettevõtte maine taastamiseks. Seetõttu püüavad pilveteenuse pakkujad tagada pilvekeskkonnas andmete korraliku kontrolli ja kaitse. Andmelekke riskide ja ohtude minimeerimiseks soovitab CSA kasutada mitmefaktorilist autentimist ja krüptimist.
Oht 2: konto rikkumine ja autentimisest möödasõit
Andmerikkumised on sageli tingitud lõdvatest autentimismehhanismidest, nõrkadest paroolidest ning krüpteerimisvõtmete ja sertifikaatide halvast haldamisest. Lisaks seisavad organisatsioonid silmitsi õiguste ja lubade haldamisega seotud probleemidega lõppkasutajatele määratakse palju rohkem O suuremad volitused, kui tegelikult vaja on. Probleem ilmneb ka siis, kui kasutaja viiakse teisele ametikohale või lahkub. Vähesed inimesed kiirustavad lubade värskendamisega vastavalt uutele kasutajarollidele. Selle tulemusena sisaldab konto palju rohkem O nõutavast suuremad võimalused. Ja see on kitsaskoht turvalisuse mõttes.
CSA soovitab kasutada mitmefaktorilisi autentimismehhanisme, sealhulgas ühekordseid paroole, märke, kiipkaarte ja USB-võtmeid. See kaitseb pilveteenuseid, kuna väljakuulutatud meetodite kasutamine muudab paroolide ohustamise protsessi keerulisemaks.
3. oht: häkkimise liidesed ja API-d
Tänapäeval on pilveteenused ja -rakendused mõeldamatud ilma mugavateta kasutajaliides. Pilveteenuste turvalisus ja saadavus sõltub sellest, kui hästi on API juurdepääsukontrolli ja krüpteerimismehhanismid arenenud. Kui suhtlete kolmanda osapoolega, kasutades nende oma API-d, suurenevad riskid märkimisväärselt. Miks? Sest seda on vaja pakkuda lisateavet, kuni kasutajanime ja paroolini. Nõrgad turvaliidesed muutuvad kättesaadavuse, konfidentsiaalsuse, terviklikkuse ja turvalisuse osas kitsaskohtadeks.
CSA soovitab korraldada piisava juurdepääsu kontrolli, kasutades turvalisuse ja varajase ohutuvastuse tööriistu. Oskus ohte modelleerida ja nende tõrjumiseks lahendusi leida on väärt ennetus häkkimise vastu. Lisaks soovitab CSA teha koodi turvaülevaateid ja läbida läbitungimisteste.
Oht 4: kasutatavate süsteemide haavatavus
Kasutatavate süsteemide haavatavus on probleem, mis ilmneb mitme rentnikuga pilvekeskkondades. Õnneks on see õigesti valitud IT-haldusmeetoditega minimeeritud, märgib CSA. Parimad tavad sisaldab regulaarset turvaaukude otsimist, uusimate paikade rakendamist ja kiiret reageerimist turvaohtude teadetele. CSA aruannete kohaselt on süsteemi haavatavuste leevendamiseks kulutatud kulud teiste IT-kuludega võrreldes väiksemad.
Levinud viga pilvelahenduste kasutamisel IaaS mudelis on see, et ettevõtted ei pööra piisavalt tähelepanu oma rakenduste turvalisusele, mis on majutatud pilvepakkuja turvalises infrastruktuuris. Ja rakenduste endi haavatavus muutub ettevõtte infrastruktuuri turvalisuse kitsaskohaks.
5. oht: konto vargus
Pilves esineb ka andmepüüki, pettusi ja ärakasutusi. Ohud lisanduvad siia tehingutega manipuleerimise ja andmete muutmise katsete näol. Ründajad peavad pilveplatvorme rünnakute läbiviimiseks. Ja isegi "sügava kaitse" strateegia järgimisest ei pruugi piisata.
Vajalik on keelata kasutajakontode ja teenuste omavaheline “jagamine” ning pöörata tähelepanu ka mitmefaktorilistele autentimismehhanismidele. Teenusekontod ja kasutajakontosid tuleb jälgida tehtud tehingute üksikasjaliku jälgimisega. Peamine on tagada, et teie kontod on varguse eest kaitstud, soovitab CSA.
6. oht: pahatahtlikud siseringid
Siseringi oht võib tulla praegustelt või endistelt töötajatelt, süsteemiadministraatorid, töövõtjad või äripartnerid. Pahatahtlikel insaideridel on erinevad eesmärgid, alates andmete vargusest kuni lihtsalt kättemaksu otsimiseni. Pilve puhul võib eesmärgiks olla infrastruktuuri täielik või osaline hävitamine, andmetele ligipääsu saamine jne. Suureks riskiks on süsteemid, mis sõltuvad otseselt pilveteenuse pakkuja turvalisusest. CSA soovitab krüpteerimismehhanismide eest hoolitseda ja krüpteerimisvõtme haldamist enda kätte võtta. Ärge unustage üksikkontode sündmuste logimist, jälgimist ja auditeerimist.
7. oht: sihitud küberrünnakud
Täiustatud püsiv oht või sihitud küberrünnak pole tänapäeval haruldane. Piisavate teadmiste ja sobivate tööriistade komplektiga saate tulemusi saavutada. Ründajat, kes kavatseb sihtinfrastruktuuris oma kohalolekut luua ja kehtestada, pole nii lihtne tuvastada. Riskide minimeerimiseks ja selliste ohtude ennetamiseks kasutavad pilveteenuse pakkujad täiustatud turbetööriistu. Kuid lisaks kaasaegsetele lahendustele on vaja mõista seda tüüpi rünnaku olemust ja olemust.
CSA soovitab töötajatele spetsiaalset koolitust, et nad tunneksid ära ründaja tehnikaid, kasutaksid täiustatud turbetööriistu, oskaksid õigesti hallata protsesse, oleksid teadlikud planeeritud intsidentidele reageerimisest ja rakendaksid ennetavaid meetodeid, mis tõstavad infrastruktuuri turvalisuse taset.
Oht 8: andmete püsiv kadu
Kuna pilved on küpseks saanud, on teenusepakkuja tõttu püsiva andmekao juhtumid äärmiselt haruldased. Samal ajal püüavad ründajad, teades andmete püsiva kustutamise tagajärgi, sooritada selliseid hävitavaid toiminguid. Turvameetmete järgimiseks soovitavad pilvemajutusteenuse pakkujad eraldada kasutajaandmed rakendusandmetest ja salvestada need erinevatesse kohtadesse. Ärge unustage tõhusad meetodid varukoopia. Igapäevased varukoopiad ja varukoopiate salvestamine välistele alternatiivsetele turvalistele saitidele on eriti olulised pilvekeskkondade jaoks.
Lisaks, kui klient krüpteerib andmed enne pilve paigutamist, tasub eelnevalt hoolitseda krüpteerimisvõtmete hoidmise turvalisuse eest. Niipea, kui need ründaja kätte satuvad, muutuvad nendega kättesaadavaks andmed ise, mille kadumine võib põhjustada tõsiseid tagajärgi.
9. oht: teadlikkuse puudumine
Organisatsioonid, mis liiguvad pilve ilma pilvevõimalustest aru saamata, seisavad silmitsi riskidega. Kui näiteks kliendi arendusmeeskond ei ole piisavalt kursis pilvetehnoloogiate omaduste ja pilverakenduste juurutamise põhimõtetega, tekivad talitlus- ja arhitektuuriprobleemid.
CSA tuletab teile meelde, et peate mõistma teie teenusepakkuja pakutavate pilveteenuste toimimist. See aitab vastata küsimusele, milliseid riske võtab ettevõte hostingu pakkujaga lepingut sõlmides.
10. oht: pilveteenuste kuritarvitamine
Pilvi võivad kasutada legitiimsed ja ebaseaduslikud organisatsioonid. Viimase eesmärk on kasutada pilveressursse pahatahtlike toimingute sooritamiseks: DDoS-i rünnakute käivitamiseks, rämpsposti saatmiseks, pahatahtliku sisu levitamiseks jne. On äärmiselt oluline, et teenusepakkujad suudaksid selliseid osalejaid ära tunda, mille kohta on soovitatav uurida. liiklust üksikasjalikult ja kasutada pilve jälgimise tööriistu.
Oht 11: DDoS-i rünnakud
Kuigi DoS rünnakud on pikk ajalugu, on pilvetehnoloogiate areng muutnud need levinumaks. DoS rünnakute tulemusena võib ettevõtte äritegevuse jaoks oluliste teenuste toimimine oluliselt aeglustada või täielikult seiskuda. On teada, et DoS rünnakud tarbivad suur hulk arvutusvõimsus, mille kasutamise eest klient maksab. Hoolimata asjaolust, et DoS-rünnakute põhimõtted on esmapilgul lihtsad, on vaja mõista nende spetsiifilisi omadusi. rakenduse tase: need sihivad veebiserveri ja andmebaasi turvaauke. Pilveteenuse pakkujad oskavad DoS-i rünnakutega kindlasti paremini toime tulla kui üksikud kliendid. Peamine on omada plaan rünnaku leevendamiseks enne, kui see juhtub.
Oht 12: koostöötehnoloogiad, üldised riskid
Kasutatavate tehnoloogiate haavatavused on pilvele piisavaks ohuks. Pilveteenuste pakkujad pakuvad virtuaalset infrastruktuuri, pilverakendused, kuid kui haavatavus esineb ühel tasandil, mõjutab see kogu keskkonda. CSA soovitab kasutada turvalisuse põhjalikku strateegiat, rakendada mitmefaktorilisi autentimismehhanisme, sissetungimise tuvastamise süsteeme, järgida võrgu segmenteerimise kontseptsiooni ja vähimate privileegide põhimõtet.
San Franciscos avatud traditsioonilise iga-aastase turvaprobleemidele pühendatud RSA konverentsi esimesel päeval esitlesid Cloud Security Alliance (CSA) ja Hewlett-Packard Corporation dokumenti „Top Threats to Pilvandmetöötlus V1.0” (“Peamised ohud pilvandmetöötluse arengule”). See on koostatud uuringute tulemuste põhjal ja on suunatud nii pilveteenuse pakkujatele kui ka nende kasutajatele. Samuti märgime, et selle ettevalmistamisse aitasid kaasa mitmete tuntud ettevõtete esindajad, sealhulgas Bank of America, CloudSecurity.org, HP, Microsoft, Rackspace, Oracle, Trend Micro, Verizon Business jne, seega pole vaja rääkida kellegi erilisest huvist antud juhul.
Dokumendi pealkirjas olev V1.0 indeks rõhutab, et välja on antud esimene versioon, mida aja jooksul täiendatakse. Nagu autorid märgivad, vaieldi päris palju selle üle, mida esimeses versioonis käsitleda, kuid lõpuks otsustati keskenduda pilvandmetöötlusele omastele ainulaadsetele ohtudele, aga ka neile, mis on oma tähtsust oluliselt suurendanud. iseloomulikud tunnused pilvekeskkonna korraldamine. Mis ähvardused need on?
1. Pilveressursside kasutamisel kuritarvitamine ja pahatahtlikkus
Meelitades kliente piiramatute arvuti- ja võrguressursside ning andmesalvestusvõimalustega, pakuvad IaaS-i pakkujad neile väga lihtne protseduur registreerimine (seda saab teha igaüks, kellel on kehtiv krediitkaart), ja sageli ka võimalus tasuta testimine teenuseid teatud aja jooksul. Pilveressursside registreerimise ja kasutamise protseduuri võrdlevat anonüümsust kuritarvitades on rämpspostitajatel, pahatahtliku koodi autoritel ja teistel ründajatel võimalus karistamatult kasutada pilveteenuseid enda tarbeks. Varem seisid sellise "hädaga" silmitsi peamiselt PaaS-i pakkujad, kuid nüüd on ilmnenud, et ka IaaS-i teenusepakkujad muutuvad üha enam ründajate sihtmärgiks. Tulevikus võime eeldada, et nende ressursse saab kasutada paroolide ja võtmete murdmiseks, DDoS-i rünnakuteks, pahatahtlike koodide majutamiseks, nn vikerkaaretabelite ja CAPTCHA möödaviigutööriistade ehitamiseks.
Eelkõige, nagu oli kindlaks tehtud, kasutati IaaS-i teenuseid Zeusi botneti moodustamiseks, InfoStealeri troojalase levitamiseks ja rakenduste jaoks. Microsoft Office Ja Adobe PDF. Ja rämpsposti leviku tõkestamise tulemusena kanti nad musta nimekirja terved plokid võrguaadressid IaaS-i pakkujad.
2. Ebaturvalised liidesed ja API-d
Pilveteenustega töötamiseks pakuvad pakkujad klientidele spetsiaalseid tarkvaraliideseid ja API-sid. Teenuse enda turvalisus sõltub suuresti sellest, kuidas need tööriistad rakendavad infoturbe meetmeid (autentimine, juurdepääsu kontroll, krüpteerimine, tegevuse jälgimine). Probleem muutub keerulisemaks, kui ühe pakkuja pilveressursside põhjal ehitab ja pakub lisateenuseid kolmas osapool ning kliendile vastutus turvameetmete eest osutub laiali jaotatuks. Seega tuleks enne pilveteenuste kasutamise alustamist veenduda, et pakkuja pakutavad tööriistad on turvalised, et mitte seada oma ettevõtet põhjendamatutele riskidele.
3. Siseringi ründajad
Insaiderohud kujutavad endast ohtu igale ettevõttele, kuid pilveteenuste kasutajate jaoks suurenevad need kordades, kuna erinevatele klientidele osutatavad teenused põhinevad ühtsel, tihedalt integreeritud IT-infrastruktuuril ning selle haldamise protsessidel ja protseduuridel, mida rakendab ettevõte. teenusepakkuja on suures osas läbipaistmatud. Eelkõige ei tohi teenusepakkuja avalikustada, kuidas on piiratud tema töötajate juurdepääs füüsilistele ja virtuaalsetele IT-ressurssidele, kuidas on korraldatud kontroll töötajate tegevuse üle, kuidas täidetakse reguleerivate asutuste nõudeid jne. Sellest tulenevalt on soodne olukord võib tekkida erinevat tüüpi ründajatele, tööstusspionaažile või isegi soovimatule valitsuse sekkumisele. Tagajärjed teenusekasutajale võivad sel juhul olla väga tõsised nii maine kui ka rahalise poole pealt.
4. Ressursside jagamine
IaaS-i pakkujad tagavad oma teenuste tõhusa skaleeritavuse tänu sellele, et need teenused põhinevad ühtsel IT-infrastruktuuril, mille ressursse saab klientide vahel ümber jaotada. Kuid paljud sellise infrastruktuuri komponendid (eelkõige GPU-d, vahemälu keskprotsessorid jne) kavandati, võtmata arvesse vajadust eraldatud ressursse rangelt eraldada erinevad kasutajad. See probleem lahendatakse hüperviisorite abil, mis moodustavad vahekihi külalis-OS-i ja füüsiliste komponentide vahel, kuid hüperviisoritel on ka omad miinused, mistõttu ei ole külalis-OS-il alati võimalik saavutada lubamatut taset. kontrolli riistvara üle. Vältimaks teenusekasutajate sisenemist „välismaale“, peavad turvameetmed hõlmama IT-taristu kõiki tasandeid ning tagama arvutikasutuse ja arvutikasutuse usaldusväärse jälgimise. võrgu komponendid ja salvestussüsteemid.
5. Andmete kadumine või lekkimine
Ja traditsioonilise infrastruktuuri kasutamisel tekib palju olukordi, mis on täis andmete kadumist või vargust (näiteks kui enneaegselt kustutatakse failid, mille varukoopiaid pole plaanitud varundusprotseduuri käigus veel loodud, kui andmete krüpteerimisvõtmed on kadunud jne). Pilveinfrastruktuuri kasutamisel võib selliste juhtumite ja andmete kompromiteerimise tõenäosus olla veelgi suurem põhimõttelised erinevused selline infrastruktuur traditsioonilisest või, mis veelgi hullem, tulenevalt mõnest arhitektuuri- või tööomadused spetsiifiline pilvekeskkond.
6. Konto või teenuse volitamata kasutamine
Juhtumid, kus kontosid ja teenuseid kasutavad lisaks omanikule ka ründajad, kellel õnnestus mandaate varastada, pole sugugi haruldased – seda tüüpi oht on tänapäeval üks levinumaid. Olukorda raskendab veelgi asjaolu, et kasutajad kasutavad seda sageli erinevaid teenuseid samad paroolid. Pilvelahendused lisavad sellele nukrale pildile oma värve. Kui ründaja saab juurdepääsu pilve kasutajakontole, on tal võimalus jälgida kasutajatehinguid, manipuleerida andmetega, suunata kliente teistele saitidele jne. Selle vältimiseks peab teenusepakkuja kasutama usaldusväärseid autentimistehnoloogiaid, rangeid turvapoliitikaid ja võimsaid protsessi jälgimise tööriistad.
7. Teadmata riskitase
Pilveteenused on ettevõtetele väga atraktiivsed, kuna võimaldavad vähendada oma riistvara ja tarkvara ja keskenduge oma ettevõttele. Ent ka sel juhul peavad turvaküsimused esiplaanile jääma. Värskenduste õigeaegne installimine, turvapoliitika järgimine, tuvastatud tarkvara haavatavuste arvestamine, volitamata juurdepääsu katsete tuvastamine ettevõtte ressursse- seda kõike peavad ettevõtted pidevalt meeles pidama. Ja mingil juhul ei saa te hakkama minimaalsete meetmete kogumiga - sellest ei pruugi pinnal püsimiseks piisata.
Mida teie organisatsioon peab pilveturbe kohta teadma
Üldine teave
Gartneri üks juhtivaid analüütikuid nimetas pilvandmetöötlust "päeva lauseks". Igaüks, kes on vähegi infotehnoloogiaga (IT) aega veetnud, teab, et see fraas jääb tõenäoliselt ka lähitulevikus aktuaalseks. Tõepoolest, Gartner ennustab, et pilvandmetöötluse turg ulatub 2013. aasta lõpuks 150 miljardi dollarini. Merrill Lynch ennustab ka, et 2013. aastaks kasvab turg plahvatuslikult 160 miljardi dollarini.
Põhjus, miks pilvandmetöötlus on nii populaarne, on tingitud asjaolust, et see on loodud ressursside säästmiseks ja kulude kokkuhoiuks. Tarkvara, salvestusressursside teisaldamisega, meili jne, on organisatsioonidel võimalik eraldada ressursse ainult vastavate teenuste jaoks vajalikus ulatuses. Panipaik, arvutusvõimsus, mälu ja isegi litsentsid ei oota enam passiivselt toimingute sooritamist. Neid ressursse kasutatakse ja makstakse vastavalt vajadusele. Näidatud on Wikimedia Commonsi pilvekeskkonna diagramm.
Joonis 1. Pilvekeskkonna diagramm
Organisatsioonid ootavad pilvetehnoloogia isegi kokkuhoid personalilt. IT-teenuste sisseostmine pilveteenuse pakkujad, saavad organisatsioonid vabastada IT-töötajad, et keskenduda ainult projektidele, mis viivad äri edasi, selle asemel, et raisata aega teenuste hooldamisele, mida võivad hallata pilveteenuse pakkujad.
Kõigi nende kulude kärpimise võimaluste juures on raske mõista, miks organisatsioonid on mõnikord nii vastumeelsed oma andmeid, tarkvara ja muid teenuseid pilve teisaldada – enne kui te ei arvesta liikumisega kaasnevaid turvariske. Enamiku uuringute kohaselt on turvalisus peamine põhjus, miks IT-juhid kõhklevad pilvelahenduste poole liikumises. Ühes hiljutises LinkedIni uuringus selgus, et 54% 7053-st vastajast nimetas pilve migratsiooni peamiseks murekohaks turvalisust.
Nagu iga IT-teenuse puhul, on ka pilves turvaauke, mida ründajad püüavad avastada. Kuna aga IT-spetsialistid saavad nendest haavatavustest ja nende leevendamisest teadlikumaks, muutub pilvekeskkond järjest turvalisemaks kohaks. Tegelikult on need, kes on otsustanud pilvele migreeruda, kogenud paremat turvalisust, nagu kinnitas 57% Mimecasti läbiviidud küsitlusele vastanutest. Põhjus, miks enamik selles uuringus osalejaid on pilvandmetöötluse turvalisuses kindlad, on see, et nad mõistavad ohte ja on õppinud neid leevendama.
Selles artiklis kirjeldatakse lühidalt mõningaid kõige levinumaid pilvandmetöötlusega seotud turberiske ja antakse meetmed, mida teie organisatsioon saab nende riskide maandamiseks võtta.
Ühised tehnoloogiaressursid
Pilvekeskkonnad saab jagada nelja kategooriasse vastavalt neljale juurutusmudelile, mis on loetletud ja kirjeldatud.
Tabel 1. Pilve juurutamise mudelid
Era- ja kogukonna pilvemudelites ning teatud määral ka hübriidmudelis jagavad paljud erinevad kliendid virtualiseerimise abil ressursse. Sellisel arvutusplatvormil on järgmised potentsiaalsed nõrkused:
- Andmete vahetamine erinevate virtuaalmasinate või virtuaalmasina ja hosti vahel, kasutades jagatud kettaid, virtuaalseid lüliteid või virtuaalseid kohtvõrke (VLAN) ja jagatud I/O alamsüsteemi või vahemälu.
- Standarddraiverid, mis emuleerivad riistvara.
- Hüperviisori haavatavused, mis võimaldavad hüperviisori õigustega hostis käivitada suvalise koodi, mis annab ründajale võimaluse juhtida kõiki virtuaalmasinaid ja hosti ennast.
- Rootkitid sisse virtuaalsed masinad, mis võimaldab teil teha muudatusi süsteemikõned hüperviisor hosti operatsioonisüsteemile pahatahtliku koodi käivitamiseks.
- Haavatavus, mida tuntakse kui "Virtuaalsest masinast põgenemine", kui ühes virtuaalmasinas olevale programmile antakse jagatud ressursside kaudu piiramatu juurdepääs hostile.
- Teenusest keeldumise rünnakud ühele virtuaalmasinale, mis põhjustavad krahhi teisi samas hostis töötavaid virtuaalmasinaid.
Esimene samm nende nõrkuste eest kaitsmiseks on mõista keskkonda, milles te tegutsete. Kui teie andmed või muud ressursid nõuavad turvalist keskkonda, et see vastaks seadustele, standarditele või valdkonna eeskirjadele, peab teie lähenemine vastama neile nõuetele, pöörates samal ajal tähelepanu kasutatava keskkonna tüübile. Sellise stsenaariumi puhul on kindlasti eelistatavam privaatne pilvepõhine lahendus või võib-olla mõni hübriidlahendus, kus tundlikud andmed, tehingud ja teenused asuvad privaatses jaotises, mis võimaldab teie organisatsioonil rohkem võimalusi turvalisuse ja juurdepääsu haldamiseks.
Järgmisena peate hindama pilveteenuse pakkujat. Siit saate teada, milliseid meetmeid tuleb võtta nende haavatavuste kaitsmiseks, eriti seoses hüperviisoriga. Uurige, millist virtualiseerimistarkvara müüja kasutab ning milline on nende paikamise ja värskendamise ajakava. Kontrollige, kas host kasutab mõnda usaldusväärset platvormi moodulit, mis loob usalduslik suhe koos hüperviisoriga, et vältida volitamata muudatusi.
Lisaks peate tagama, et hüperviisor on konfigureeritud tuvastama äärmuslikku ressursikulu, et kaitsta end teenuse keelamise rünnakute eest.
Andmete kadu ja lekkimine
KPMG LLP märgib oma artiklis „Andmelekke vältimine ja pilvandmetöötlus”: „Kui andmed on avalikus pilves, muutuvad teie organisatsiooni DLP-juurutused väärtusetuks, kuna need ei suuda juba aidata nende andmete privaatsust kaitsta. Teie organisatsioonil pole aga otsest kontrolli oma andmete privaatsuse üle avalikus pilves ei tarkvara-teenusena (SaaS) ega platvormi-teenusena (PaaS) tarnemudelis. Link aadressile täistekst Artikkel on toodud jaotises.
Mida saate teha, et vältida andmerikkumisi pilves, kui USA 1996. aasta ravikindlustuse kaasaskantavuse ja vastutuse seadus (HIPAA) ja maksekaarditööstuse andmeturbe standard (PCI DSS) nõuavad, et organisatsioonid võtaksid andmeturbe tõsiselt?
Tundub, et parim lahendus oleks pöörduda turul saadaolevate andmelekete vältimise toodete poole. Need tooted on aga loodud andmete terviklikkuse ja kättesaadavuse tagamiseks, mitte andmekaitseks. Lisaks ei saa neid lahendusi juurutada keskkonnas, kus te ei halda infrastruktuuri.
Samal ajal on andmelekete vältimise edu võti andmeid salvestavate ja transportivate süsteemide "karastamine".
Esiteks, millal me räägime seoses teie andmete käitlemisega peab pilveteenuse pakkuja kasutama ülitugevat krüptimist nii puhkeolekus kui ka edastamisel. Samuti peate astuma samme tagamaks, et teie organisatsiooni ja pilveteenuse pakkuja vahel oleks sõlmitud teenusetaseme leping, milles on selgelt määratletud pilves olevate andmete kaitsmise rollid ja vastutus. See leping peaks nõudma, et pilveteenuse pakkuja hävitaks püsival andmekandjal olevad andmed enne nende kogumisse avaldamist.
Teine meede teie organisatsiooni PCI DSS-ühilduvuse tagamiseks on korralikult konfigureeritud veebirakenduse tulemüür, mis kaitseb seda mitmesuguste rünnakute eest. Enne SaaS-i pakkuja kasuks otsustamist peaks teie organisatsiooni IT-osakond hindama veebirakendustele saadaolevat turbetaset. Kui see on lubatud, peaksite läbi viima läbitungimistesti, et testida kõigi teie ettevõtte kasutatavate rakenduste võltsimiskaitset.
Lõpuks peate astuma samme, et kaitsta oma organisatsiooni pilvandmete lekke eest, kuid andmete osas on vaja muuta poliitikat. Organisatsioonidel, kes tunnevad muret andmetega seotud rikkumiste pärast, peavad olema kehtestatud eeskirjad andmete klassifitseerimiseks ja standardid selle kohta, kuidas erineva tundlikkusega andmeid käsitletakse. Lühidalt võib öelda, et mõned andmed ei pruugi olla üldse mõeldud pilves salvestamiseks.
Ebaturvalised API-d
Et võimaldada klientidel pilveteenustega suhelda, kasutavad teenusepakkujad liideseid rakenduste programmeerimine(API). Neid liideseid kasutatakse teenuste pakkumiseks, haldamiseks, orkestreerimiseks ja jälgimiseks, seega sõltub pilves pakutavate teenuste põhiline turvalisus sellest, kui hästi need API-d on kaitstud.
Anonüümne juurdepääs ja korduvkasutatavad märgid või paroolid, avatud meetodid autentimine ja sisu edastamine, samuti paindumatu juurdepääsu kontroll ja ebapiisav autoriseerimine kujutavad endast tõsiseid turvariske. Kui lisada sellele klientidele kättesaadavad piiratud jälgimis- ja logimisvõimalused, võib tunduda, et kliendid on sisuliselt teenusepakkujate meelevallas, kui rääkida sellest, kellel on juurdepääs ressurssidele, mille eest kliendid maksavad.
Lisaks on probleem loodud API-dega kolmandad isikud. Kuigi need liidesed on sageli loodud klientidele lisateenuste pakkumiseks, ei allu sellistele täiendustele alati samal tasemel kontrolli ja analüüsi, mis muudab aluseks olevale API-le veel ühe kihi keerukamaks ja suurendab turvarikkumiste riski. Lisaks API-d kolmanda osapoole arendajad võib hõlmata organisatsiooni volituste avalikustamist, mõnikord nende teadmata, et pääseda juurde konkreetse API pakutavatele teenustele.
Nende riskide käsitlemine eeldab peamiselt pilveteenuse pakkuja turbemudeli ülevaatamist ja analüüsimist tagamaks, et tarnija teeb kõik vajaliku nende API-de turvamiseks.
Teie organisatsioon peaks hoolikalt üle vaatama autentimise ja juurdepääsu juhtelemendid ning tagama, et andmeedastus on krüpteeritud. Lisaks peaksite enne mis tahes lepingu sõlmimist üle vaatama oma sõltuvusahela ja veenduma, et olete kursis kõigi API-de ja nende nõuetega.
Kontode vargus ja volitamata kasutamine
Kui suurem osa käsitletud haavatavustest langeb peamiselt pilveteenuse pakkuja õlule, siis kõigi vargustest ja kontode ja teenuste volitamata kasutamisest tulenevate ohtudega tegelemise koorem jaguneb võrdselt teenusepakkuja ja kliendi vahel.
Kuigi haavatavused tarkvara võib võimaldada ründajal allikas kontoteavet pealt kuulata, pole see kõige levinum viis kasutaja mandaatide varastamiseks. Kõige sagedamini röövivad kurjategijad raamatupidamisteave kasutajaid andmepüügirünnakute, pahavara abil pealtkuulamise ja pettuste kaudu. Kuna inimesed kasutavad sageli paljudes teenustes samu kasutajanimesid ja paroole, avastavad ründajad sageli, et nad saavad mandaate hõlpsalt ja kiiresti varastada. See võib olla mõni muu teenus, mida ohver kasutab väljaspool pilveteenuse pakkuja süsteemi. Kasutaja korduvkasutatavate mandaatide hankimisega võib ründaja seada ohtu pilves talletatud andmete terviklikkuse ja konfidentsiaalsuse. Ründajad võivad neid samu mandaate kasutada isegi teiste organisatsioonide ründamiseks, mis võib teie ettevõtte mainet tõsiselt kahjustada.
Lisaks pilveteenuse pakkuja turbepoliitika mõistmisele peaks teie organisatsioon rakendama ka pilveteenuste kasutamise ennetavat jälgimist, et jälgida volitamata juurdepääsu ja volitamata tegevust.
Unikaalseid sisselogimismandaate ja tugevaid paroole jõustavate poliitikate jõustamine aitab samuti vältida kasutajateabe korduskasutamisest tulenevaid haavatavusi. Kahefaktorilised autentimismeetodid aitavad seda tüüpi rünnakute tõenäosust veelgi vähendada.
Siseringi ähvardused
Tavaliselt teevad organisatsioonid märkimisväärseid jõupingutusi, et kontrollida töötajate ausust enne nende palkamist või neile juurdepääsu andmist teatud teabele. Pilveteenuste pakkujate puhul on nende töötajaid reguleerivad protsessid ja protseduurid vähe läbipaistvad.
Teenuste sisseostmine pilveteenuse pakkujalt tähendab tavaliselt seda, et teil pole õrna aimugi, kellel on juurdepääs teie organisatsiooni ressurssidele (füüsiline ja virtuaalne). Pilveteenuste pakkujad hoiavad kliente teadmatuses selle kohta, kuidas nad oma töötajaid jälgivad, kuidas nad analüüsivad eeskirjade järgimist ja kuidas nad sellest aru annavad.
Võimalus töötada konfidentsiaalsete ja finantsandmetega on häkkeritele ja ettevõtete spioonidele väga atraktiivne. Töötamine ettevõttes, mis pakub pilveteenused, võib lubada sellisel ründajal saada kasu konfidentsiaalsete andmete müügist või hankimisest täielik kontroll pilveteenuste kaudu vähese või ilma riskita.
Alustuseks peavad kliendid mõistma, milliseid meetmeid teenusepakkujad võtavad pahatahtlike siseringide tuvastamiseks ja nende eest kaitsmiseks. Te peaksite mitte ainult nõudma infoturbe ja -haldustavade läbipaistvust, vaid peaksite teadma ka seda, milline aruandlusprotsess on turvarikkumiste korral paigas. Kui ajastus või teavitusprotsess on vastuvõetamatu, peaksite otsima teise teenusepakkuja.
Järeldus
Pilvandmetöötlus pakub mitmeid väga ahvatlevaid võimalusi koostöö, kaug- ja hajutatud töö tõhustamiseks ning kulude vähendamiseks. Kuigi pilve üleminekuga kaasnevad omad riskid, ei ole need riskid suuremad kui need, mis on seotud sisemiste hostimisteenustega. Peamine erinevus seisneb selles, et pilv pakub ründajatele uut rünnakupinda.
Kui võtate aega, et mõista, millised haavatavused pilvekeskkonnas eksisteerivad ja mida saate teha, et takistada ründajatel neid turvaauke ära kasutamast, võivad pilveteenused olla sama turvalised kui kõik muud kohapeal pakutavad teenused või teenused. hajutatud võrk teie organisatsioon.
