Информационна сигурност на ЦОД

Така изглежда центърът за мониторинг, разположен в Москва ЦОД NORD-2

Вие не веднъж сте чели за мерките, които се предприемат за осигуряване на информационната сигурност (ИС). Всеки уважаващ себе си айтишник лесно може да посочи 5-10 правила за ИС. Cloud4Y предлага да поговорим за информационната сигурност на дата-центровете.

При осигуряване на информационната сигурност на ЦОДа, най-«защитаемите» обекти са:

• информационни ресурси (данни);
• процесите на събиране, обработка, съхранение и предаване на информация;
• потребителите на системата и обслужващият персонал;
• информационната инфраструктура, включваща технически и софтуерни средства за обработка, предаване и визуализация на информация, в това число канали за информационен обмен, системи за защита на информацията и помещения.

Зоната на отговорност на ЦОДа зависи от модела на предоставяните услуги (IaaS/PaaS/SaaS). Как изглежда това, вижте на картинката по-долу:

Областта на действие на политиката за сигурност на ЦОДа в зависимост от модела на предоставяните услуги

Основна част от разработката на политика за информационна сигурност е изграждането на модел на заплахи и нарушители. Какво може да стане заплаха за центъра за данни?

1. Неблагоприятни събития от природен, техногенен и социален характер
2. Терористи, криминални елементи и др.
3. Зависимост от доставчици, провайдери, партньори, клиенти
4. Неуспехи, откази, разрушения, повреди на софтуерни и технически средства
5. Служители на ЦОД, които реализират заплахи за информационната сигурност с помощта на легално предоставени им права и пълномощия (вътрешни нарушители на информационната сигурност)
6. Служители на ЦОД, които реализират заплахи за информационната сигурност извън легално предоставените им права и пълномощия, както и субекти, които не принадлежат на персонала на ЦОД, но осъществяват опити за несанкциониран достъп и неразрешени действия (външни нарушители на информационната сигурност)
7. Несъответствие с изискванията на надзорни и регулаторни органи, действащото законодателство

Анализ на рисковете — идентифициране на потенциални заплахи и оценка на мащабите на последствията от тяхната реализация — ще помогне правилно да се изберат приоритетните задачи, които специалистите по информационна сигурност в ЦОД трябва да решат, и да се планират бюджетите за закупуване на технически и софтуерни средства.

Осигуряването на сигурността е непрекъснат процес, който включва етапи на планиране, изпълнение и експлоатация, мониторинг, анализ и усъвършенстване на системата за информационна безопасност. За създаване на системи за управление на информационната безопасност се използва т.нар. "цикъл на Деминг"».

Важна част от политиките за сигурност е разпределянето на роли и отговорности на служителите за тяхното изпълнение. Политиките трябва да се преглеждат постоянно с оглед на изменения в законодателството, нови заплахи и появяващи се средства за защита. И разбира се, изискванията за информационна безопасност трябва да се доведат до служителите и да се проведе тяхното обучение.

Организационни мерки

Някои експерти гледат скептично на "хартиената" сигурност, считайки, че основното са практическите умения за противодействие на опити за хакване. Реалният опит в осигуряването на информационна сигурност в банките говори за обратното. Специалистите по ИБ могат да имат отлична експертиза в откритията и намаляването на рисковете, но ако персоналът на ЦОД не изпълнява техните указания, всичко ще бъде напразно.

Сигурността обикновено не носи печалба, а само минимизира рисковете. Затова често се разглежда като нещо пречещо и второстепенно. И когато специалистите по сигурност започват да възразяват (което е напълно оправдано), често възникват конфликти с персонала и ръководителите на експлоатационните подразделения.

Наличието на отраслови стандарти и изисквания на регулатори помага на специалистите по сигурност да защитават своите позиции на преговорите с ръководството, а одобрените политики по ИБ, разпоредби и регламенти позволяват да се постигне от персонала изпълнение на изложените там изисквания, подготвяйки основа за прилагане на често непопулярни решения.

Защита на помещения

При предоставяне на услуги от дата център по модел colocation основният акцент е върху осигуряването на физическа сигурност и контрол на достъпа до оборудването на клиента. За целта се използват отделения (оградени части от залата), които са под видеонаблюдение от клиента и до които достъпът на персонала на ЦОД е ограничен.

В държавните изчислителни центрове с физическа сигурност в края на миналия век положението беше задоволително. Имаше контрол на достъпа до помещението, каквото и да е, без компютри и видеокамери, а системата за пожарогасене — при възникване на пожар в машинния зал автоматично се освобождаваше фреон.

В наши дни физическата сигурност се осигурява дори по-добре. Системите за контрол и управление на достъпа (СКУД) станаха интелигентни и се внедряват биометрични методи за ограничаване на достъпа.

Системите за пожарогасене станаха по-безопасни за персонала и оборудването, сред които могат да се откроят инсталации за ингибиране, изолиране, охлаждане и хипоксично въздействие върху зоната на запалване. Наред с задължителните системи за противопожарна защита в ЦОД-ове, често се използва система за ранно откриване на пожар от аспирационен тип.

За защита на дата центровете от външни заплахи — пожари, експлозии, срутвания на конструкции, наводнения, корозионни газове — започна да се използва стаи и сейфове за сигурност, в които сървърното оборудване е защитено практически от всички външни повредители.

Слабото звено — човек

«Умните» системи за видеонаблюдение, датчици за обемно наблюдение (аудио, инфрачервени, ултразвукови, микровълнови), системите за контрол на достъпа намаляват рисковете, но не решават всички проблеми. Тези средства не помагат, например, когато правилно допуснати в ЦОД хора с правилно пренесен инструмент нещо «закачат». И, както често се случва, случайното закачане носи максимални проблеми.

На работата на дата центъра може да повлияе нецелевото использование на ресурсите му от персонала, например нелегален майнинг. В тези случаи могат да помогнат системите за управление на инфраструктурата на ЦОДа (DCIM).

Защита изисква и персоналът, тъй като човекът често се нарича най-уязвимата връзка в защитната система. Целевите атаки на професионални престъпници най-често започват с използването на методи на социална инженерия. Често най-защитените системи падат или се компрометират след като някой някъде е натиснал/свалил/направил. Подобни рискове могат да бъдат минимализирани чрез обучение на персонала и внедряване на най-добрите световни практики в областта на информационната безопасност.

Защита на инженерната инфраструктура

Традиционните заплахи за функционирането на дата центъра са прекъсвания на електрозахранването и откази на охладителните системи. Към тези заплахи вече сме се свикнали и сме научили как да се справяме с тях.

Нова тенденция е широко разпространеното внедряване на "умна" техника, свързана в мрежа: управляеми ИБП, интелигентни охлаждащи и вентилационни системи, разнообразни контролери и сензори, свързани към системи за мониторинг. При изграждането на модел на заплахите за ЦОД не трябва да забравяме за вероятността от атака срещу инфраструктурната мрежа (а може би и срещу свързаната ИТ мрежа на ЦОД). Ситуацията се усложнява и от обстоятелството, че част от оборудването (например, чилери) може да бъде изнесено извън ЦОД, да кажем, на покрива на наетата сграда.

Защита на комуникационните канали

Ако дата центърът предлага услуги не само по модела колокация, ще се наложи да се занимавате и с защитата на облаците. Според данни на Check Point, само през миналата година 51% от организациите по целия свят са се сблъскали с атаки срещу облачни структури. DDoS-атаките спират бизнеса, вирусите криптовалюти искат откуп, а целевите атаки срещу банкови системи водят до кражба на средства от корсчетата.

Заплахите от външни нахлувания притесняват и специалистите по информационна безопасност на дата-центровете. Най-актуални за ЦОД са разпределените атаки, насочени към прекратяване на предоставянето на услуги, както и заплахите от хакване, кражба или изменение на данните, съдържащи се в виртуалната инфраструктура или системите за съхранение.

За защита на външния периметър на ЦОДа служат модерни системи с функции за откриване и неутрализиране на злонамерен код, контрол на приложенията и възможността за внос на технологии за проактивна защита Threat Intelligence. В някои случаи се разгръщат системи с функционалност IPS (предотвратяване на нахлувания) с автоматична настройка на набор от сигнатури, адаптирани към параметрите на защитената среда.

За защита от DDoS атаки, руските компании обикновено използват външни специализирани услуги, които пренасочват трафика към други възли и го филтрират в облака. Защитата на страна на оператора е много по-ефективна, отколкото на страна на клиента, а ЦОД-ите действат като посредници при продажбата на услуги.

В ЦОД-ите е възможно и вътрешно DDoS-атаки: злоумисленик прониква в слабо защитените сървъри на една компания, която разполага своето оборудване по модела colocation, и от тях провежда атака за "отказ в обслужването" на други клиенти в този дата-център през вътрешната мрежа.

Внимание на виртуалните среди

Трябва да се вземе предвид спецификата на защитавания обект — използването на средства за виртуализация, динамичната промяна на ИТ-инфраструктурите, взаимосвързаността на услугите, когато успешна атака на един клиент може да застраши безопасността на съседите. Например, хаквайки frontend-докера при работа в PaaS на базата на Kubernetes, злоумисленикът може веднага да получи цялата паролна информация и дори достъп до системата за оркестрация.

Продуктите, предоставяни по сервизен модел, притежават висока степен на автоматизация. За да не се пречи на бизнеса, наложените средства за защита на информацията също трябва да имат не по-малка степен на автоматизация и хоризонтално мащабиране. Мащабирането трябва да се осигурява на всички нива на ИБ, включително автоматизация на контрола на достъпа и ротация на ключовете за достъп. Специално внимание заслужава задача за мащабиране на функционалните модули, осъществяващи инспекция на мрежовия трафик.

Например, филтрирането на мрежовия трафик на приложеното, мрежовото и сесийните нива в ЦОД с висока степен на виртуализация трябва да се извършва на нивото на мрежовите модули на хипервизора (например, Distributed Firewall на VMware) или чрез създаване на вериги от услуги (виртуални междусетеви екрани от Palo Alto Networks).

При наличие на слаби места на нивото на виртуализация на изчислителните ресурси усилията за създаване на комплексна система за информационна сигурност на ниво платформа ще бъдат неефективни.

Нива на защита на информацията в ЦОД

Общ подход към защитата — използване на интегрирани, многостепенни системи за осигуряване на информационна безопасност, включващи макросегментация на ниво защитна стена (определяне на сегменти за различни функционални направления на бизнеса), микросегментация на база виртуални защитни стени или маркиране на метки за трафик на групи (ролите на потребителите или услугите), определени от политиките за достъп.

Следващото ниво е откритие на аномалии в сегментите и между тях. Анализира се динамиката на трафика, която може да показва наличието на злонамерени дейности, като сканиране на мрежата, опити за DDoS атаки, изтегляне на данни, например чрез нарязване на файлове от бази данни и показването им с периодично появяващи се сесии след дълги интервали. В ЦОД (Центрове за Обработка на Данни) преминават огромни количества трафик, така че за откритие на аномалии е необходимо да се използват напреднали алгоритми за търсене, без пакетен анализ. Важно е да се разпознават не само признаци на злонамерена и аномална активност, но и работата на злонамерен софтуер дори в криптиран трафик, без его декриптиране, както е предложено в решенията на Cisco (Stealthwatch).

Последната линия на защита е защитата на крайни устройства в локалната мрежа: сървъри и виртуални машини, например, с помощта на агенти, инсталирани на крайни устройства (виртуални машини), които анализират операции на вход/изход, изтриване, копиране и мрежова активност, предават данни в облака, където се извършват изчисления, изискващи голяма изчислителна мощ. Там се провежда анализ с помощта на алгоритми за големи данни, изграждат се дървета на машинната логика и се идентифицират аномалии. Алгоритмите се самообучават на базата на огромно количество данни, предоставяни от глобалната мрежа от сензори.

Може да се мине и без инсталиране на агенти. Съвременните средства за защита на информацията трябва да бъдат безагентни и да се интегрират в операционните системи на ниво хипервизор.
Изброените мерки значително намаляват рисковете за информационната сигурност, но това може да не е достатъчно за дата центрове, осигуряващи автоматизация на производствени процеси с повишена опасност, например атомни електрически станции.

Изисквания на регулатори

В зависимост от обработваната информация физическите и виртуализираните инфраструктури на дата центъра трябва да отговарят на различни изисквания за сигурност, формулирани в законите и индустриалните стандарти.

Такъв закон е Законът за личните данни (152-ФЗ) и въведената тази година наредба за безопасността на обектите на КИИ в Русия (187-ФЗ) — прокуратурата вече започна да се интересува от напредъка по неговото изпълнение. Споровете за принадлежността на ЦОД-овете към субектите на КИИ все още продължават, но вероятно дата-центровете, които искат да предлагат услуги на субектите на КИИ, ще трябва да изпълнят изискванията на новото законодателство.

ЦОД-овете, които хостват държавни информационни системи, ще имат трудна задача. Според Постановление на Правителството на РФ от 11.05.2017 №555, въпросите по информационната безопасност трябва да бъдат решени преди въвеждането на ГИС в промишлената експлоатация. И ЦОД, който желае да хоства ГИС, предварително трябва да отговаря на изискванията на регулаторите.

През последните 30 години системите за сигурност на ЦОД-овете претърпяха огромен напредък: от прости системи за физическа защита и организационни мерки, които обаче все още запазват своята актуалност, до сложни интелигентни системи, в които все по-често се използват елементи на изкуствения интелект. Но същността на подхода не се е променила. Най-съвременните технологии няма да спасят без организационни мерки и обучение на персонала, а документите — без софтуерни и технически решения. Сигурността на ЦОД-а не може да бъде осигурена веднъж завинаги, това е постоянен ежедневен труд за идентифициране на приоритетните заплахи и комплексно решаване на възникващите проблеми.

Какво още полезно може да прочетете в блога Cloud4Y

→ Настройваме top в GNU/Linux
→ Пентестъри на предната линия на киберсигурността
→ Пътят на изкуствения интелект от фантастична идея до научна област
→ 4 начина да спестите от резервни копия в облака
→ Мътна история

Абонирайте се за нашия Telegram-канал, за да не изпуснете следващата статия! Публикуваме не по-често от два пъти седмично и само по същество. Също така напомняме, че можете да тествате безплатно облачните решения Cloud4Y.

Източник: habr.com