Безопасность облачных вычислений

Размещено на http://www.allbest.ru/

Размещено на http://www.allbest.ru/

Безопасность облачных вычислений

Компании, которые задумываются о переходе к облачным вычислениям (cloudcomputing), больше всего волнует вопрос безопасности. Но далеко не все знают, что при профессиональном подходе к выбору провайдера облачных услуг существует возможность повысить уровень защиты своих данных. Как выясняется на практике, зачастую провайдер предоставляет более высокий уровень безопасности, чем тот, который компании могут обеспечить внутри собственной инфраструктуры. Дело в том, что решение связанных с безопасностью задач провайдеры берут на себя и посвящают этой работе гигантские усилия. Часто именно на гарантиях безопасности строится вся маркетинговая активность провайдера. Обслуживая предприятия с оборотом в миллиарды долларов, облачные провайдеры делают все от них зависящее для обеспечения максимально безопасной среды. Тем не менее, облачные вычисления несут в себе множество новых рисков для потенциальных пользователей.

Перед тем как довериться определенному провайдеру, компании стоит удостовериться в том, что он действительно обладает средствами для обеспечения уровня надежности, необходимого для безопасной работы с приложениями и хранения данных в облаке. К счастью, возрастающая конкуренция на рынке облачных сервисов заставляет игроков предлагать бтльшие возможности и во многих случаях более гибкий контроль, чем готовы предоставить организациям их собственные ИТ-инфраструктуры. Расчетливые покупатели облачных сервисов, действительно знающие, что им нужно, могут курсировать от одного провайдера к другому в поиске более подходящих для себя решений.

Но прежде чем погрузиться в cloudcomputing, клиенту необходимо определить полный список требований к вычислительной платформе, включая и уровень безопасности. В этом случае можно обратиться к поставщику с прямым вопросом, способна ли его платформа удовлетворить этим требованиям. Для того, чтобы не ошибиться в выборе, крайне важно знать, какие именно вопросы задавать и что именно искать в ответах провайдера.

На сегодняшний день лучшим экспертом в сфере облачной безопасности является CloudSecurityAlliance (CSA). Эта организация выпустила и недавно обновила руководство, включающее описание сотни нюансов и рекомендаций, которые необходимо принимать во внимание при оценке рисков в облачных вычислениях. Руководство включает 76 страниц, и чтобы вам не пришлось читать столь длинный документ, мы отобрали наиболее важные рекомендации и составили серию вопросов, которые стоит задать потенциальному провайдеру облачных услуг в первую очередь. А также привели ответы, которые вы должны получить. Хотя данная статья и описывает множество ключевых моментов, мы рекомендуем вам в любом случае ознакомиться с оригиналом руководства http://www.cloudsecurityalliance.org/csaguide.pdf.

Еще одной организацией, деятельность которой затрагивает аспекты безопасности в облаке, выступает TrustedComputingGroup (TCG). Она является автором нескольких стандартов в этой и других сферах, в том числе широко используемых сегодня TrustedStorage, TrustedNetworkConnect (TNC) и TrustedPlatformModule (TPM). Более подробную информацию об этих стандартах можно получить на веб-сайте TCG http://www.trustedcomputinggroup.org/.

Приведенные ниже пункты являются ключевыми вопросами, которые стоит задать провайдеру, облачными услугами которого вы планируете пользоваться. Каждый вопрос касается одной из шести специфических областей, как показано на рис. 1.

Рис. 1. Области безопасности, требующие изучения при выборе поставщика облачных услуг

Прежде чем обратиться к вопросам, вы должны понять преимущества использования решений основанных на стандартах. И это касается всех областей безопасности. Проприетарные системы несут меньший уровень надежности по сравнению с системами на базе стандартов, и с этим согласны как игроки рынка, так и государственные учреждения, и органы стандартизации. Именно поэтому повсеместное распространение получили такие стандарты, как AdvancedEncryptionStandard (AES) и TransportLayerSecurity (TLS). Они претерпели годы анализа и улучшений. Более того, используя основанные на общепринятых стандартах системы безопасности, клиент получает дополнительное преимущество - в случае необходимости он сможет поменять провайдера услуг, так как большая часть провайдеров поддерживают стандартизованные решения.

Еще один момент, который стоит прояснить: как удостовериться в том, что провайдер выполняет данные им обещания? В этом вам поможет заключение соглашения об уровне услуг (ServiceLevelAgreement, SLA), или контракта, или другого письменного документа, где будут четко прописаны обязательства провайдера. Итак, серия вопросов от общего к частному, которые стоит задать потенциальному провайдеру облачных услуг.

1. Сохранность хранимых данных. Как сервис-провайдер обеспечивает сохранность хранимых данных?

Лучшая мера по защите расположенных в хранилище данных - использование технологий шифрования. Провайдер всегда должен шифровать хранящуюся на своих серверах информацию клиента для предотвращения случаев неправомерного доступа. Провайдер также должен безвозвратно удалять данные тогда, когда они больше не нужны и не потребуются в будущем.

2. Защита данных при передаче. Как провайдер обеспечивает сохранность данных при их передаче (внутри облака и на пути от/к облаку)?

Передаваемые данные всегда должны быть зашифрованы и доступны пользователю только после аутентификации. Такой подход гарантирует, что эти данные не сможет изменить или прочитать ни одно лицо, даже если оно получит к ним доступ посредством ненадежных узлов в сети. Упомянутые технологии разрабатывались в течение «тысяч человеко-лет» и привели к созданию надежных протоколов и алгоритмов (напримерTLS, IPsec и AES). Провайдеры, должны использовать эти протоколы, а не изобретать свои собственные.

3. Аутентификация. Как провайдер узнает подлинность клиента?

Наиболее распространенным способом аутентификации является защита паролем. Однако провайдеры, стремящиеся предложить своим клиентам более высокую надежность, прибегают к помощи более мощных средств, таких как сертификаты и токены. Наряду с использованием более надежных к взлому средств аутентификации провайдеры должны иметь возможность работы с такими стандартами как LDAP и SAML. Это необходимо для обеспечения взаимодействия провайдера с системой идентификации пользователей клиента при авторизации и определении выдаваемых пользователю полномочий. Благодаря этому провайдер всегда будет располагать актуальной информацией об авторизованных пользователях. Худший вариант - когда клиент предоставляет провайдеру конкретный список авторизованных пользователей. Как правило, в этом случае при увольнении сотрудника или его перемещении на другую должность могут возникнуть сложности.

4. Изоляция пользователей. Каким образом данные и приложения одного клиента отделены от данных и приложений других клиентов?

Лучший вариант: когда каждый из клиентов использует индивидуальную виртуальную машину (VirtualMachine - VM) и виртуальную сеть. Разделение между VM и, следовательно, между пользователями, обеспечивает гипервизор. Виртуальные сети, в свою очередь, развертываются с применением стандартных технологий, таких как VLAN (VirtualLocalAreaNetwork), VPLS (VirtualPrivateLANService) и VPN (VirtualPrivateNetwork).

Некоторые провайдеры помещают данные всех клиентов в единую программную среду и за счет изменений в ее коде пытаются изолировать данные заказчиков друг от друга. Такой подход опрометчив и ненадежен. Во-первых, злоумышленник может найти брешь в нестандартном коде, который позволит ему получить доступ к данным, которые он не должен видеть. Во-вторых, ошибка в коде может привести к тому, что один клиент случайно «увидит» данные другого. За последнее время встречались и те, и другие случаи. Поэтому для разграничения пользовательских данных применение разных виртуальных машин и виртуальных сетей является более разумным шагом.

5. Нормативно-правовые вопросы. Насколько провайдер следует законам и правилам, применимым к сфере облачных вычислений?

В зависимости от юрисдикции, законы, правила и какие-то особые положения могут различаться. Например, они могут запрещать экспорт данных, требовать использования строго определенных мер защиты, наличия совместимости с определенными стандартами и наличия возможности аудита. В конечном счете, они могут требовать, чтобы в случае необходимости доступ к информации смогли иметь государственные ведомства и судебные инстанции. Небрежное отношение провайдера к этим моментам может привести его клиентов к существенным расходам, обусловленными правовыми последствиями.

Провайдер обязан следовать жестким правилам и придерживаться единой стратегии в правовой и регулятивной сферах. Это касается безопасности пользовательских данных, их экспорта, соответствия стандартам, аудита, сохранности и удаления данных, а также раскрытия информации (последнее особенно актуально, когда на одном физическом сервере может храниться информация нескольких клиентов). Чтобы это выяснить, клиентам настоятельно рекомендуется обратиться за помощью к специалистам, которые изучат данный вопрос досконально.

6. Реакция на происшествия. Как провайдер реагирует на происшествия, и насколько могут быть вовлечены его клиенты в инцидент?

Иногда не все идет по плану. Поэтому провайдер услуг обязан придерживаться конкретных правил поведения в случае возникновения непредвиденных обстоятельств. Эти правила должны быть задокументированы. Провайдеры обязательно должны заниматься выявлением инцидентов и минимизировать их последствия, информируя пользователей о текущей ситуации. В идеале им следует регулярно снабжать клиентов информацией с максимальной детализацией по проблеме. Кроме того, клиенты сами должны оценивать вероятность возникновения проблем, связанных с безопасностью, и предпринимать необходимые меры.

Будущее облачной безопасности

Несмотря на то, что сегодня мы имеем значительно более широкий набор инструментов для обеспечения безопасности, чем прежде, работа далеко не окончена. В некоторых случаях для вывода на рынок той или иной технологии, помогающей решить новую задачу, проходит некоторое время, даже несмотря на то, что она уже разработана. Вот некоторые из таких новейших технологий: данные со встроенной защитой (самозащищенные данные) и доверенные мониторы.

Самозащищенные данные (self-protecteddata) - это зашифрованные данные, в которые интегрирован механизм обеспечения безопасности. Такой механизм включает в себя набор правил, которым может или не может удовлетворять среда, в которой находятся самозащищенные данные. При попытке доступа к этим данным, механизм проверяет среду на безопасность и раскрывает их, только если среда является безопасной.

Доверенный монитор (trustedmonitor) - это программное обеспечение, устанавливаемое на сервер провайдера облачных вычислений. Оно позволяет наблюдать за действиями провайдера и передавать результаты пользователю, который может убедиться в том, что компания действует в соответствии с принятым регламентом.

Когда все исследовательские работы и разработка новых технологий будут завершены, следующим шагом станет их внедрение провайдером услуг. Когда это произойдет, клиенты будут с большим доверием относится к концепции облачных вычислений.

Размещено на Allbest.ru