поиск по сайту
Защита типовых услуг дата-центра и инфраструктуры «облачных» сервисов

Каннер А. М.

Россия, Москва, ЗАО «ОКБ САПР»

Защита типовых услуг дата-центра и инфраструктуры «облачных» сервисов

 Под понятием Cloud Computing («облачные вычисления») подразумевается достаточно много различных систем и предоставляемых сервисов, например, просто несколько серверов в стойке, системы разработки каких-либо продуктов, разнообразные online-сервисы.

Что же такое Cloud Computing - инфраструктура, платформа или некое приложение? Чтобы понять это, нужно остановиться на характеристиках и типе исполнения процессов той или иной системой или сервисом (т.е. на форме применения системы или сервиса):

1. IaaS (Infrastructure as a Service) - предоставление клиенту необходимой инфраструктуры для построения своих решений, приложений или сервисов;

2. PaaS (Platform as a Service) - предоставление клиенту готовой инфраструктуры и окружения - т.е. дополнительного набора инструментов для необходимых работ;

3. SaaS (Software as a Service) - предоставление клиенту готового приложения или готовый сервис для решения конкретных задач

Различного рода системы или сервисы могут предоставляться конечному пользователю в двух исполнениях:

  • Private - приватные системы облачных вычислений, которые используются для решения определенных задач в рамках конкретной компании или группы лиц (например внутренний массив серверов для обработки видео)
  • Public - публичные системы облачных вычислений, которые предполагают доступ широкого круга лиц, доступны для любого желающего (поисковые системы, web-почта и прочие системы).

Системы облачных вычислений позиционируются как единый портал услуг для покрытия всех нужд конкретной аудитории или компании. Ключевыми характеристиками систем облачных вычислений являются:

1. Гибкая масштабируемость или возможность свободного изменения мощности и размеров системы (подключение нового оборудования, расширение дисковых хранилищ);

2. Отказоустойчивость и стабильность работы;

3. Сетевая доступность;

4. Конфиденциальность введенной в систему информации;

5. Прозрачность работы для конечного пользователя.

В концепции Cloud Computing конечный пользователь имеет доступ к собственным данным, но не может управлять инфраструктурой (ОС, ПО), с которой он работает.

На данный момент практически все пользователи сети Интернет так или иначе работают с облачными системами и сервисами (Google, Amazon, разнообразные сервисы web-почты и пр.), даже не подозревая, что это так называется.

Системы облачных вычислений обычно строятся и функционируют на дорогостоящем оборудовании, поэтому далеко не всегда реализуются на базе тех компаний или подразделений, где требуется их использование.

Большая часть работы данных систем приходится на вычисления без непосредственного участия клиента. При этом сама система может располагаться в некотором центре хранения и обработки данных (ЦОД, ЦХОД, дата-центр) в любой точке мира. Причем одна и та же система обработки данных в зависимости от задач может за короткое время менять свой статус: от обработки документов и медиа-данных до построения и обслуживания всей IT-инфраструктуры внешней организации и создания систем документооборота внутри ЦОД.

ЦОД или дата-центр - специализированная площадка для размещения серверного и коммуникационного оборудования и подключения к каналам глобальной сети Интернет. Именно качество и ширина каналов влияют на уровень предоставляемых услуг, так как основным критерием оценки качества работы любого дата-центра является время доступности сервера (uptime).

Типичный дата-центр состоит из:

  • информационной инфраструктуры (серверное оборудование);
  • телекоммуникационной инфраструктуры, обеспечивающей взаимосвязь элементов дата-центра, а также передачу данных между дата-центром и пользователями;
  • инженерной инфраструктуры, обеспечивающей нормальное функционирование основных систем дата-центра (системы кондиционирования, бесперебойное электроснабжение, охранно-пожарная сигнализация, системы управления питанием, системы контроля доступа, физическая защита помещений дата-центра, системы резервирования).

Типовой ЦОД может предлагать следующие услуги:

1) аренда имеющегося оборудования и вычислительных мощностей;

2) предоставление услуг виртуальных серверов (архитектура VDI и пр.);

3) предоставление услуг по аутсорсингу IT-инфраструктуры компании;

4) различные сервисы для клиентов.

Для блокирования угроз информационной безопасности ЦОД существует необходимость внедрять сертифицированные криптографические решения, а также системы защиты от НСД, решающие различные задачи.

Остановимся на типовых услугах, предоставляемые ЦОД, а также варианты защиты от наиболее вероятных атак при предоставлении (получении) этих услуг конечным пользователем.

1. Организация защищенного доступа к оборудованию (IaaS, PaaS)

Рассмотрим схему организации защищенного доступа для клиентов, чьи сервера размещены в ЦОД. В данном случае ЦОД предоставляет клиентам услуги IaaS и PaaS, на основе которых в дальнейшем клиент сам строит свои решения (т.е. фактически арендуются производственные мощности ЦОД и осуществляются гарантии отказоустойчивости предоставляемых услуг).

 

 

Рисунок  1. Организация защищенного доступа к оборудованию на стороне ЦОД

Организация защищенного соединения между клиентами и серверами происходит следующим образом (рис. 1):

1) физически сервера подключаются к маршрутизатору (сертифицированный программный или программно-аппаратный криптомаршрутизатор), расположенному в ЦОД;

2) маршрутизатор подключается к сети ЦОД, имеющей доступ в Интернет;

3) на стороне клиента устанавливается аналогичный маршрутизатор, подключенный с одной стороны к сетевой инфраструктуре клиента, с другой к сети Интернет;

4) маршрутизаторы устанавливают между собой защищенное соединение с использованием российских криптографических алгоритмов.

Данный подход позволяет организовать доверенную сеть между серверами в ЦОД и сетевой инфраструктурой клиента.

При данной схеме организации соединения исключены любые атаки извне, а модель нарушителя сводится к лицам, имеющим непосредственный доступ к сетевой инфраструктуре клиента.

2. Организация защищенных web-ресурсов

В настоящее время остро стоит проблема защиты корпоративных web-ресурсов.

Рассмотрим основные задачи клиентов по защите web-ресурсов и способы их решения:

1) защита ОС сервера, настроек web-сервера и некоторых страниц от модификации;

2) предоставление защищенного доступа к определенным разделам сайта с использованием средств сильной аутентификации (в том числе, к интерфейсу администрирования или панели администратора web-ресурса).

Одним из направлений защиты web-сервера является обеспечение целостности ОС и приложений, обеспечивающих обработку содержимого ресурсов. Предлагаемая архитектура может включать в себя контроль целостности файлов web-сервера, содержимого страниц (статического содержимого) и обеспечение доверенной загрузки ОС. Данный вид контроля реализуется аппаратно с применением ПАК СЗИ НСД семейства «Аккорд» и установкой на контроль необходимых файлов. Их модификация возможна только пользователями, прошедшими аутентификацию с помощью ПСКЗИ «ШИПКА».

Вторым направлением является применение сильной аутентификации для обеспечения доступа к защищенным web-ресурсам. При реализации данного подхода на сервер устанавливается контроллер Аккорд, клиенты получают доступ по SSL, при этом выполняется аппаратная аутентификация между ПСКЗИ клиента и устройством Аккорд, установленном на сервере (рис. 2). Данный подход позволяет отказаться от паролей и обеспечить максимальный уровень защиты при аутентификации.

 

Рисунок  2. Схема получения доступа к web-ресурсу с помощью сильной двусторонней аутентификации

3. Защита SaaS решений

Наибольший интерес с точки зрения обеспечения ИБ представляет услуга ЦОД по аутсорсингу всей IT-инфраструктуры компании либо какой-то части инфраструктуры. Данная услуга позволяет значительно снизить расходы компании на закупку необходимого оборудования и обеспечение работы IT-отдела (IT-департамента).  При использовании подобных решений все данные находятся в ЦОД и загружаются по сети по требованию. Однако многие компании часто выносят на аутсорсинг не всю IT-инфраструктуру, а лишь небольшую часть, например:

  • Средства автоматизации документооборота;
  • Электронные информационные архивы;
  • Системы постановки и контроля задач для персонала;
  • Решения для организации коммуникаций между сотрудниками и подразделениями;
  • Другие приложения и системы, имеющие конкретную область применения.

В данном случае необходимо организовать доступ к инфраструктуре ЦОД, позволяющий организовать защиту канала данных между пользователем и системой/сервисом/приложением (например, c виртуальной рабочей станцией в архитектуре VDI - Virtual Desktop Infrastructure).

В случае использования аппаратных терминалов на стороне клиента, доставка и загрузка ОС на терминал производиться по сети. Большинство современных методов удаленной загрузки никаких механизмов защиты не включают, и гарантии, что ОС загружается из надежного источника и в исправном состоянии, а также что это вообще именно ОС, а не что-то другое - нет. Значит, вторая функция, которая совершенно необходима подсистеме защиты информации в системе терминального доступа, - это защищенная загрузка ОС по сети.

Для разграничения доступа к ресурсам (терминального) сервера необходима аутентификация пользователя на сервере. Учитывая, что пользователь уже был аутентифицирован на терминале, имеет смысл, чтобы данные аутентификации передавались на сервер автоматически. Система разграничения доступа должна давать возможность администратору безопасности информации описывать политику безопасности информации с помощью не только дискреционного, но и мандатного метода разграничения доступа, поскольку только мандатный механизм дает возможность контролировать потоки информации, что в целом ряде случаев совершенно необходимо. Базы данных пользователей и их прав должны храниться в независимой от процессора сервера памяти СЗИ, и доступ к ней должен быть строго регламентирован. То же касается журналов событий безопасности информации.

Еще одна очень важная функция подсистемы защиты информации в системе терминального доступа - это взаимная аутентификация (терминального) сервера и терминала. Терминал должен работать с «правильным» (терминальным) сервером, а терминальный сервер должен допускать работу не только исключительно зарегистрированных пользователей, но и исключительно с зарегистрированных терминалов. Более того, только в зарегистрированном сочетании (то есть легальный пользователь с положенного именно ему терминала, а не с любого зарегистрированного в системе). Как это можно обеспечить, если в терминале совершенно ничего нет, - тоже хорошо понятно - аутентификация должна производиться на уровне аппаратных средств защиты информации, имеющих собственный активный процессор с программным обеспечением, защищенным от модификаций, включающим криптографические функции, поскольку процесс взаимной аутентификации предполагает обмен пакетами, подписанными ЭЦП обменивающихся устройств и, соответственно, проверки этих подписей.

СПИСОК ЛИТЕРАТУРЫ:

1. Дата-центр H1 (ООО «H1»). URL: http://h1host.ru.

2. Дата-центр // Википедия Свободная Энциклопедия. URL: http://ru.wikipedia.org/wiki/ЦОД.

3. Конявская С. В. Онтология терминальных систем и защита информации в них // Information Security/Информационная безопасность. 2008. № 4 (июнь). С. 46-47.

4. Муха М. Д. Система контроля целостности и аутентичности образов операционных систем, загружаемых по сети // Комплексная защита информации. Сборник материалов XII Международной конференции (13-16 мая 2008 г., Ярославль (Россия)). М., 2008. С. 139-140.

5. Муха М. Д. Удаленная загрузка операционной системы Windows CE на тонкие клиенты в терминальных системах // Комплексная защита информации. Сборник материалов XII Международной конференции (13-16 мая 2008 г., Ярославль (Россия)). М., 2008. С. 141-142.


ФорумФорум
Форум ОКБ САПР
Вопросы специалистовВопросы специалистов
Вопросы, которые нам присылают, и наши ответы на них