Департамент Информационной безопасности

Олег Кузьмин, директор департамента ИБ ЗАО «Ай-Теко»

2011 г.

Проблемы информационной безопасности при использовании облачных вычислений

2

Что такое облачные вычисления

Облачные вычисления – это вычисления проводимые в готовой инфраструктуре к которой есть доступ через сеть. Инфраструктура может состоять из тысяч, сотен тысяч вычислительных узлов, дисковых массивов. Все это соединено в единую сеть и функционирует как один большой вычислительный комплекс.

Классификация облаков по типам:

Публичное – доступ к вычислительным ресурсам предоставляется через интернет широкому кругу клиентов. Клиент арендует доступ к ресурсам по мере необходимости, оплачивая только те ресурсы, которые использует. Доступ через веб-интерфейс.

Частное - доступ к вычислительным ресурсам располагающимся в инфраструктуре одной (своей) организации. Пользователи обслуживаются самостоятельнои определяют набор ресурсов из предлагаемых частным облаком . Доступкак правило осуществляется также через веб-интерфейс. Облако развора-чивается в собственном ЦОД.

Гибридное - сочетает ресурсы отобранные из публичных и частных облаков

Облачные вычисления

Выделение ресурсов пользователю в режиме

самообслуживания

Широкополосный доступ к ресурсам из любой точки

сети

Организация ресурсов в пулы, которые не зависят

от местонахождения самих ресурсов

Быстрая адаптация к увеличению или

уменьшению нагрузки

Измеряемый уровень сервиса

Основные модели услуг:

1. ПО как услуга (Software аs a Service, SaaS)

2. Платформа как услуга(Platform as a service, PaaS)

3. Инфраструктура какУслуга (infastructure as aService, IaaS)

Основное отличие: Наличие следующих пяти составляющих

3

4

Развитие технологий

Логическая платформа

Аппаратная платформа

Традиционный ЦОД

Виртуальный ЦОД

Облачные вычисления

Множество логическихплатформ

Преимущества: масштабируемость, надежность,оптимизация, доступность, и пр.

5

Кто и чем управляет

В обычном ЦОД управление всем в ИТ идет собственными силами компании:приложениями, данными, вычислениями, межплатформенным ПО, Операционной системой, виртуализацией, серверами, хранилищами, сетью.

При использовании моделей услуг:

Облачное приложение в виде сервисов, SaaS. Клиент получает доступ к нужным ему приложениям, имеющимся в облачной инфраструктуре. Где и на каком оборудовании выполняется приложение клиент как правило не знает.

Платформа как сервис, PaaS. Клиент может устанавливать и разрабатывать свои приложения на предоставленной ему платформе. Но контролирует только приложения, может иметь частичный контроль над платформой, но не может контролировать инфраструктуру.

Облачная инфраструктура как сервис, IaaS. Клиенту предоставляется виртуальная архитектура, состоящая из серверов, рабочих станций и сетевого оборудования, где клиент сам может разворачивать свои собственные операционные системы, базы данных и приложения.

6

Что рекомендуется

При обеспечении безопасности облака необходимо учитывать как различиямежду тремя видами облачных моделей, так и их общие черты.

SaaS

•Данная модель ориентирована на управление доступом к приложениям. Например, в политиках доступа может быть определено, что агент по продажам имеет возможность загружать из приложения для управления отношениями с клиентами целеуказания на заказчиков лишь по определенной местности или только в рабочее время.

• Необходимо подготовить набор ограничений, которые будут регулировать доступ пользователя к приложениям.

PaaS

•модель ориентирована на защиту данных, что особенно важно в случае хранения, предоставляемого в виде сервиса. Для PaaSобязательно следует учитывать вероятность временного выхода провайдера из строя. С точки зрения безопасности важно обеспечить балансировку нагрузки между провайдерами, чтобы перераспределить ее в случае отказа основного. Еще один ключевой момент —возможность шифрования данных при их хранении на сторонней платформе и знание нормативных актов, применимых к хранению данных вразных странах.

IaaS

•модель ориентирована на управление виртуальными машинами. Основная задача — внедрить систему руководства, которая позволит организации регулировать создание и удаление виртуальных машин и тем самым избегать неконтролируемого доступа к ним .

Желательно включить в соглашение об уровне сервиса (SLA) требование к провайдеру - уведомлять вас об обнаружении любых уязвимостей, которые могут затронуть ваши данные

7

Основные риски безопасности

• При использовании инфраструктуры облака клиент обязательно уступает функции контроля управления инфраструктурой поставщику услуг

Потеря управления

• У клиента нет возможности проверить эффективность защиты своих данных предлагаемую поставщиком услугЗащита данных

• Невозможность проверить насколько качественно были удалены поставщиком услуг ненужные для дальнейшей работы данные

Неполное удаление данных по

требованию

• Злонамеренные действия со стороны сотрудников поставщика услуг, отвечающих за администрирование и безопасностьИнсайдеры

Обеспечение безопасности виртуализации осложняется двумя факторами: -рисками, присутствующими в физическом центре данных - рисками, которые присущи виртуализованным средам:

1.Бреши в защите в момент включения ВМ2. Конфликт ресурсов3. Соответствие нормативам/ нехватка аудиторской отчетности

8

Проблемы ИБ, классификация

Технические

Психологические Юридические

Разработка концепции

ИБ

Понимание всех

возможных рисков

Настройка средств защиты

Использование

необходимых средств

защитыЧеткое разделение

обязанностей

Закрепление зон ответственности

Решение противоречивых требований

клиентов

Правовое поле страны в которой

расположен ЦОД

Взаимоотношения с другими

клиентами провайдера

Отсутствие юридической практики по облачным вопросам

Вопросы интеллектуальн

ой собственности и

авторского права

Аварийное восстановлен

ие

Сложно решиться на

полное доверие

провайдеру

Неясные перспективы

в случае инцидентов

Отстствиекультуры

аутсорсинга

9

Проблемы ИБ, описание

ТехнологическиеСтатистики по инцидентам почти нет, уровень угроз еще непонятен и в полном объеме неизвестен. Недостаточно проработаны или отсутствуют стандарты по безопасности, существующие методы защиты физической инфраструктуры неприменимы в полной мере , так как в облачном сервисе само понятие инфраструктуры четко не определено.

Психологическиев России практически отсутствует культура аутсорсинга, использования сервис провайдеров. Кроме того, технология новая, сложна и ее использование достаточно рискованно. Наконец присутствует банальное недоверие провайдеру

ЮридическиеЗатруднено разграничение зон ответственности и выполнение различных требований по безопасности в инфраструктуре, у которой динамически меняется размер, структура и периметр. Государственные регуляторы еще не имеют единого представления и опыта оценки соответствия своим требованиям к технологиям облачных вычислений.Отсутствуют внятные соглашения о предоставлении услуг и какого-либо гарантии возмещения возможного ущерба

10

Список актуальных вопросоврастет

• Как глобально разделить ответственность между клиентами и провайдером?

• Каким будет размер возможного ущерба в случае нарушения работы подключенного сервиса?

• Возможно ли шифрование данных в облаке?

• Кто и как будет расследовать инциденты безопасности, затронувшие данные клиента?

• Гарантированно ли удаляются данные клиента, и как это проверить?

• Где хранятся данные клиента и их резервные копии, кто имеет к ним доступ и с какими правами?

• Как выполнять требования регуляторов, и кто за это отвечает?

• Как разграничен доступ между клиентами в облаке?

• Вопросы можно продолжить…

11

Необходимо учитывать, что

1. Государство, на территории которого размещен дата-центр, может получить доступ к любой информации, которая в нем хранится. Например, по законам США, где находится самое большое количество дата-центров, в этом случае компания-провайдер даже не имеет права разглашать факт передачи конфиденциальной информации кому-либо, кроме своих адвокатов.

Т.е. возникает вопрос о необходимости шифрования всей информации помещаемой в облако. Однако многие облачные приложения не предусматривают шифрования данных внутри облака. В некоторых случаях невозможно даже хранить данные в зашифрованном виде. Решение этого вопроса нужно требовать от провайдера.

2. Облачные вычисления практически всегда требуют соединения с сетью (Интернет). Если нет доступа в сеть - нет работы, программ, документов.

3. Некоторые провайдеры облачных сервисов пытаются стереть грань междубезопасностью, надежностью и необходимостью восстановления после сбоев и обеспечения непрерывности ведения бизнеса

12

Плюсы и минусы ИБ в облаке

Плюсы Минусы

13

Вопросы, требующие изучения при выборе провайдера облачных услуг

1 Как сервис-провайдер обеспечивает

сохранность хранимых данных?

2 Как провайдер обеспечивает сохранность

данных при их передаче (внутри и на пути от/к

облаку)?

3 Как провайдер аутентифицирует клиента?

4 Каким образом данные и приложения одного

клиента отделены от данных и приложений

других клиентов?

5 Насколько провайдер следует законам и

правилам, применимым к сфере облачных

вычислений?

6 Как провайдер реагирует на происшествия, и

насколько могут быть вовлечены его клиенты

в инцидент?

Вопросы безопасной работы с информационными ресурсами в облаке

14

Вопросы безопасной работы с информационными ресурсами в облаке

Практические рекомендации по безопасности облачных вычислений.Экспертные организации:1. Cloud Security Alliance (CSA)2. National Institute of Standards and Technology (NIST)

CSA1. Security Guidance for Critical Areas of Focus in Cloud Computing V2.1. CSA, December 20092. Top Threats to Cloud Computing V1.0. CSA, March 20103. Cloud Security Alliance GRC (Achieving Governance, Risk Management and Compliance) Stack. CSA, November

2010

NIST1. The NIST Definition of Cloud Computing. DRAFT SP 800-145, Jan. 20112. Guidelines on Security and Privacy in Public Cloud Computing. DRAFT SP 800-144, Jan. 20113. Guide to Security for Full Virtualization Technologies. DRAFT SP 800-125, July 2010

Нормативные документы многих стран требуют, чтобы потребитель облачных ресурсов знал, где находятся его данные, кто может получать к ним доступ и как они защищены

okuzmin@i-teco.ru

Олег Кузьмин директор Департамента ИБ8(495)777-10-95 доб. 36-50