GOST R 57580 এবং কন্টেইনার ভার্চুয়ালাইজেশনের সাথে কীভাবে বন্ধুত্ব করবেন। কেন্দ্রীয় ব্যাংকের প্রতিক্রিয়া (এবং এই বিষয়ে আমাদের বিবেচনা)

খুব বেশি দিন আগে আমরা GOST R 57580 এর প্রয়োজনীয়তাগুলির সাথে সম্মতির আরেকটি মূল্যায়ন করেছিলাম (এর পরে কেবল GOST হিসাবে উল্লেখ করা হয়েছে)। ক্লায়েন্ট একটি কোম্পানি যে একটি ইলেকট্রনিক পেমেন্ট সিস্টেম বিকাশ. সিস্টেমটি গুরুতর: 3 মিলিয়নেরও বেশি ব্যবহারকারী, দৈনিক 200 হাজারেরও বেশি লেনদেন। তারা সেখানে তথ্য নিরাপত্তাকে খুব গুরুত্বের সাথে নেয়।

মূল্যায়ন প্রক্রিয়া চলাকালীন, ক্লায়েন্ট আকস্মিকভাবে ঘোষণা করে যে উন্নয়ন বিভাগ, ভার্চুয়াল মেশিন ছাড়াও, পাত্রে ব্যবহার করার পরিকল্পনা করছে। তবে এর সাথে, ক্লায়েন্ট যোগ করেছেন, একটি সমস্যা রয়েছে: GOST-এ একই ডকার সম্পর্কে একটি শব্দ নেই। আমার কি করা উচিৎ? কনটেইনার নিরাপত্তা মূল্যায়ন কিভাবে?

এটা সত্য, GOST শুধুমাত্র হার্ডওয়্যার ভার্চুয়ালাইজেশন সম্পর্কে লিখেছে - কীভাবে ভার্চুয়াল মেশিন, একটি হাইপারভাইজার এবং একটি সার্ভার রক্ষা করা যায়। আমরা কেন্দ্রীয় ব্যাংকের কাছে ব্যাখ্যা চেয়েছি। উত্তর আমাদের বিস্মিত.

GOST এবং ভার্চুয়ালাইজেশন

শুরু করার জন্য, আসুন আমরা স্মরণ করি যে GOST R 57580 হল একটি নতুন মান যা "আর্থিক সংস্থাগুলির তথ্য সুরক্ষা নিশ্চিত করার প্রয়োজনীয়তা" (FI) নির্দিষ্ট করে৷ এই FIs এর মধ্যে অপারেটর এবং পেমেন্ট সিস্টেমের অংশগ্রহণকারী, ক্রেডিট এবং নন-ক্রেডিট সংস্থা, অপারেশনাল এবং ক্লিয়ারিং সেন্টার অন্তর্ভুক্ত।

জানুয়ারী 1, 2021 থেকে, FIs পরিচালনা করতে হবে নতুন GOST এর প্রয়োজনীয়তার সাথে সম্মতির মূল্যায়ন. আমরা, ITGLOBAL.COM, একটি অডিট কোম্পানি যা এই ধরনের মূল্যায়ন পরিচালনা করে।

GOST এর ভার্চুয়ালাইজড পরিবেশের সুরক্ষার জন্য নিবেদিত একটি উপধারা রয়েছে - নং 7.8। "ভার্চুয়ালাইজেশন" শব্দটি সেখানে নির্দিষ্ট করা নেই; হার্ডওয়্যার এবং কন্টেইনার ভার্চুয়ালাইজেশনে কোন বিভাজন নেই। যেকোন আইটি বিশেষজ্ঞ বলবেন যে প্রযুক্তিগত দৃষ্টিকোণ থেকে এটি ভুল: একটি ভার্চুয়াল মেশিন (ভিএম) এবং একটি ধারক ভিন্ন পরিবেশ, বিভিন্ন বিচ্ছিন্নতার নীতি সহ। হোস্টের দুর্বলতার দৃষ্টিকোণ থেকে যেখানে ভিএম এবং ডকার কন্টেইনারগুলি স্থাপন করা হয়, এটিও একটি বড় পার্থক্য।

দেখা যাচ্ছে যে ভিএম এবং কন্টেইনারগুলির তথ্য সুরক্ষার মূল্যায়নও আলাদা হওয়া উচিত।

কেন্দ্রীয় ব্যাংকের কাছে আমাদের প্রশ্ন

আমরা সেগুলি কেন্দ্রীয় ব্যাংকের তথ্য সুরক্ষা বিভাগে পাঠিয়েছি (আমরা সংক্ষিপ্ত আকারে প্রশ্নগুলি উপস্থাপন করি)।

1. GOST সম্মতি মূল্যায়ন করার সময় কীভাবে ডকার-টাইপ ভার্চুয়াল পাত্রে বিবেচনা করবেন? GOST এর উপধারা 7.8 অনুযায়ী প্রযুক্তির মূল্যায়ন করা কি সঠিক?
2. ভার্চুয়াল ধারক ব্যবস্থাপনা সরঞ্জাম মূল্যায়ন কিভাবে? সার্ভার ভার্চুয়ালাইজেশন উপাদানগুলির সাথে তাদের সমান করা এবং GOST-এর একই উপধারা অনুযায়ী তাদের মূল্যায়ন করা কি সম্ভব?
3. আমাকে কি আলাদাভাবে ডকার পাত্রে তথ্যের নিরাপত্তা মূল্যায়ন করতে হবে? যদি তাই হয়, তাহলে মূল্যায়ন প্রক্রিয়া চলাকালীন এর জন্য কোন সুরক্ষাগুলি বিবেচনা করা উচিত?
4. যদি কনটেইনারাইজেশন ভার্চুয়াল অবকাঠামোর সাথে সমান হয় এবং উপধারা 7.8 অনুসারে মূল্যায়ন করা হয়, তাহলে বিশেষ তথ্য সুরক্ষা সরঞ্জামগুলি বাস্তবায়নের জন্য GOST প্রয়োজনীয়তাগুলি কীভাবে বাস্তবায়িত হয়?

কেন্দ্রীয় ব্যাংকের প্রতিক্রিয়া

নিচে মূল উদ্ধৃতি দেওয়া হল।

“GOST R 57580.1-2017 GOST R 7.8-57580.1-এর ZI উপধারা 2017 নিম্নলিখিত ব্যবস্থাগুলির সাথে সম্পর্কিত প্রযুক্তিগত ব্যবস্থাগুলির প্রয়োগের মাধ্যমে বাস্তবায়নের জন্য প্রয়োজনীয়তা স্থাপন করে, যা, বিভাগের মতে, কন্টেইনার ভার্চুয়ালাইজেশন ব্যবহারের ক্ষেত্রে প্রসারিত করা যেতে পারে প্রযুক্তি, নিম্নলিখিত বিবেচনায় নেওয়া:

• ভার্চুয়াল মেশিন এবং ভার্চুয়ালাইজেশন সার্ভার উপাদানগুলিতে যৌক্তিক অ্যাক্সেস বাস্তবায়ন করার সময় সনাক্তকরণ, প্রমাণীকরণ, অনুমোদন (অ্যাক্সেস নিয়ন্ত্রণ) সংগঠিত করার জন্য ZSV.1 - ZSV.11 ব্যবস্থার বাস্তবায়ন কনটেইনার ভার্চুয়ালাইজেশন প্রযুক্তি ব্যবহারের ক্ষেত্রে ভিন্ন হতে পারে। এটিকে বিবেচনায় রেখে, বেশ কয়েকটি ব্যবস্থা বাস্তবায়নের জন্য (উদাহরণস্বরূপ, ZVS.6 এবং ZVS.7), আমরা বিশ্বাস করি যে আর্থিক প্রতিষ্ঠানগুলি একই লক্ষ্যগুলি অনুসরণ করবে এমন ক্ষতিপূরণমূলক ব্যবস্থাগুলি বিকাশ করার সুপারিশ করা সম্ভব;
• ব্যবস্থার বাস্তবায়ন ZSV.13 - ZSV.22 সংস্থার জন্য এবং ভার্চুয়াল মেশিনের তথ্য মিথস্ক্রিয়া নিয়ন্ত্রণের জন্য একটি আর্থিক সংস্থার কম্পিউটার নেটওয়ার্কের বিভাজন প্রদান করে যাতে ভার্চুয়ালাইজেশন প্রযুক্তি প্রয়োগ করে এবং বিভিন্ন নিরাপত্তা সার্কিটের অন্তর্গত ইনফরম্যাটাইজেশন অবজেক্টগুলির মধ্যে পার্থক্য করা যায়। এটি বিবেচনায় নিয়ে, আমরা বিশ্বাস করি যে কন্টেইনার ভার্চুয়ালাইজেশন প্রযুক্তি ব্যবহার করার সময় উপযুক্ত বিভাজন প্রদান করা বাঞ্ছনীয় (এক্সিকিউটেবল ভার্চুয়াল কন্টেইনার এবং অপারেটিং সিস্টেম স্তরে ব্যবহৃত ভার্চুয়ালাইজেশন সিস্টেমের ক্ষেত্রে উভয় ক্ষেত্রে);
• ভার্চুয়াল মেশিনের ইমেজ সুরক্ষা সংগঠিত করার জন্য ZSV.26, ZSV.29 - ZSV.31 ব্যবস্থার বাস্তবায়ন ভার্চুয়াল কন্টেইনারগুলির মৌলিক এবং বর্তমান চিত্রগুলিকে রক্ষা করার জন্যও সাদৃশ্য দ্বারা করা উচিত;
• ভার্চুয়াল মেশিন এবং সার্ভার ভার্চুয়ালাইজেশন উপাদানগুলিতে অ্যাক্সেস সম্পর্কিত তথ্য সুরক্ষা ইভেন্টগুলি রেকর্ড করার জন্য ZVS.32 - ZVS.43 ব্যবস্থাগুলির বাস্তবায়ন ভার্চুয়ালাইজেশন পরিবেশের উপাদানগুলির সাথেও সাদৃশ্য দ্বারা পরিচালিত হওয়া উচিত যা কন্টেইনার ভার্চুয়ালাইজেশন প্রযুক্তি প্রয়োগ করে।"

এর মানে কী

কেন্দ্রীয় ব্যাংকের তথ্য নিরাপত্তা বিভাগের প্রতিক্রিয়া থেকে দুটি প্রধান উপসংহার:

• পাত্র রক্ষার ব্যবস্থা ভার্চুয়াল মেশিন রক্ষার ব্যবস্থা থেকে আলাদা নয়;
• এটি থেকে এটি অনুসরণ করে যে, তথ্য সুরক্ষার প্রেক্ষাপটে, কেন্দ্রীয় ব্যাংক দুটি ধরণের ভার্চুয়ালাইজেশনকে সমান করে - ডকার কন্টেইনার এবং ভিএম।

প্রতিক্রিয়াতে "ক্ষতিপূরণমূলক ব্যবস্থা" উল্লেখ করা হয়েছে যা হুমকি নিরপেক্ষ করার জন্য প্রয়োগ করা প্রয়োজন। এই "ক্ষতিপূরণমূলক ব্যবস্থা" কী এবং কীভাবে তাদের পর্যাপ্ততা, সম্পূর্ণতা এবং কার্যকারিতা পরিমাপ করা যায় তা কেবল অস্পষ্ট।

কেন্দ্রীয় ব্যাংকের অবস্থানের সাথে ভুল কী?

আপনি যদি মূল্যায়নের সময় (এবং স্ব-মূল্যায়ন) কেন্দ্রীয় ব্যাংকের সুপারিশগুলি ব্যবহার করেন তবে আপনাকে বেশ কয়েকটি প্রযুক্তিগত এবং যৌক্তিক সমস্যা সমাধান করতে হবে।

• প্রতিটি এক্সিকিউটেবল কন্টেইনারে তথ্য সুরক্ষা সফ্টওয়্যার (আইপি) ইনস্টল করা প্রয়োজন: অ্যান্টিভাইরাস, ইন্টিগ্রিটি মনিটরিং, লগগুলির সাথে কাজ করা, ডিএলপি সিস্টেম (ডেটা লিক প্রতিরোধ) ইত্যাদি। এই সমস্ত কোনও সমস্যা ছাড়াই একটি ভিএম-এ ইনস্টল করা যেতে পারে, তবে একটি কন্টেইনারের ক্ষেত্রে, তথ্য সুরক্ষা ইনস্টল করা একটি অযৌক্তিক পদক্ষেপ। ধারকটিতে সর্বনিম্ন পরিমাণ "বডি কিট" থাকে যা পরিষেবাটি কাজ করার জন্য প্রয়োজন৷ এটিতে একটি SZI ইনস্টল করা এর অর্থের বিরোধিতা করে।
• ধারক চিত্রগুলিকে একই নীতি অনুসারে সুরক্ষিত করা উচিত; কীভাবে এটি বাস্তবায়ন করা যায় তাও অস্পষ্ট।
• GOST-এর জন্য সার্ভার ভার্চুয়ালাইজেশন উপাদানগুলিতে অ্যাক্সেস সীমাবদ্ধ করার প্রয়োজন, যেমন, হাইপারভাইজারে৷ ডকারের ক্ষেত্রে সার্ভারের উপাদান কী বিবেচনা করা হয়? এর মানে কি এই নয় যে প্রতিটি কন্টেইনারকে আলাদা হোস্টে চালানো দরকার?
• যদি প্রচলিত ভার্চুয়ালাইজেশনের জন্য নিরাপত্তা কনট্যুর এবং নেটওয়ার্ক বিভাগ দ্বারা ভিএমগুলিকে সীমাবদ্ধ করা সম্ভব হয়, তবে একই হোস্টের মধ্যে ডকার কন্টেইনারগুলির ক্ষেত্রে এটি হয় না।

বাস্তবে, এটা সম্ভব যে প্রতিটি নিরীক্ষক তার নিজস্ব জ্ঞান এবং অভিজ্ঞতার ভিত্তিতে তার নিজস্ব উপায়ে পাত্রের নিরাপত্তা মূল্যায়ন করবে। ঠিক আছে, বা এটিকে মোটেও মূল্যায়ন করবেন না, যদি একটি বা অন্যটি না থাকে।

শুধু সেই ক্ষেত্রে, আমরা 1 জানুয়ারী, 2021 থেকে যোগ করব, ন্যূনতম স্কোর অবশ্যই 0,7 এর কম হবে না।

যাইহোক, আমরা নিয়মিতভাবে GOST 57580 এবং সেন্ট্রাল ব্যাঙ্ক রেগুলেশনের প্রয়োজনীয়তা সম্পর্কিত নিয়ন্ত্রকদের কাছ থেকে প্রতিক্রিয়া এবং মন্তব্য পোস্ট করি টেলিগ্রাম চ্যানেল.

কি করতে হবে

আমাদের মতে, আর্থিক সংস্থাগুলির সমস্যা সমাধানের জন্য শুধুমাত্র দুটি বিকল্প রয়েছে।

1. পাত্রে বাস্তবায়ন এড়িয়ে চলুন

যারা শুধুমাত্র হার্ডওয়্যার ভার্চুয়ালাইজেশন ব্যবহার করার সামর্থ্যের জন্য প্রস্তুত এবং একই সময়ে GOST অনুযায়ী কম রেটিং এবং কেন্দ্রীয় ব্যাংক থেকে জরিমানা করতে ভয় পান তাদের জন্য একটি সমাধান।

প্লাস: GOST এর উপধারা 7.8 এর প্রয়োজনীয়তাগুলি মেনে চলা সহজ।

কম: আমাদের কনটেইনার ভার্চুয়ালাইজেশনের উপর ভিত্তি করে নতুন ডেভেলপমেন্ট টুল ত্যাগ করতে হবে, বিশেষ করে ডকার এবং কুবারনেটস।

2. GOST এর উপধারা 7.8 এর প্রয়োজনীয়তা মেনে চলতে অস্বীকার করুন

কিন্তু একই সময়ে, কন্টেইনারগুলির সাথে কাজ করার সময় তথ্য সুরক্ষা নিশ্চিত করার জন্য সর্বোত্তম অনুশীলনগুলি প্রয়োগ করুন৷ এটি তাদের জন্য একটি সমাধান যারা নতুন প্রযুক্তি এবং তারা যে সুযোগগুলি প্রদান করে তাদের মূল্য দেয়। "সর্বোত্তম অনুশীলন" দ্বারা আমরা ডকার কন্টেইনারগুলির নিরাপত্তা নিশ্চিত করার জন্য শিল্প-স্বীকৃত নিয়ম এবং মান বোঝাতে চাই:

• হোস্ট ওএসের নিরাপত্তা, সঠিকভাবে কনফিগার করা লগিং, কন্টেইনারগুলির মধ্যে ডেটা বিনিময়ের নিষেধাজ্ঞা ইত্যাদি;
• ডকার ট্রাস্ট ফাংশন ব্যবহার করে ছবিগুলির অখণ্ডতা পরীক্ষা করা এবং অন্তর্নির্মিত দুর্বলতা স্ক্যানার ব্যবহার করে;
• আমাদের অবশ্যই দূরবর্তী অ্যাক্সেসের নিরাপত্তা এবং সামগ্রিকভাবে নেটওয়ার্ক মডেল সম্পর্কে ভুলে যাওয়া উচিত নয়: এআরপি-স্পুফিং এবং ম্যাক-ফ্লাডিংয়ের মতো আক্রমণগুলি বাতিল করা হয়নি।

প্লাস: কনটেইনার ভার্চুয়ালাইজেশন ব্যবহারের উপর কোন প্রযুক্তিগত সীমাবদ্ধতা নেই।

কম: একটি উচ্চ সম্ভাবনা আছে যে নিয়ন্ত্রক GOST প্রয়োজনীয়তাগুলির সাথে অ-সম্মতির জন্য শাস্তি দেবে৷

উপসংহার

আমাদের ক্লায়েন্ট কনটেইনার ছেড়ে না দেওয়ার সিদ্ধান্ত নিয়েছে। একই সময়ে, তাকে কাজের সুযোগ এবং ডকারে স্থানান্তরের সময়টি উল্লেখযোগ্যভাবে পুনর্বিবেচনা করতে হয়েছিল (তারা ছয় মাস ধরে চলেছিল)। ক্লায়েন্ট ঝুঁকি খুব ভাল বোঝে. তিনি আরও বোঝেন যে GOST R 57580 এর সাথে সম্মতির পরবর্তী মূল্যায়নের সময়, অনেক কিছু অডিটরের উপর নির্ভর করবে।

এই পরিস্থিতিতে আপনি কি করবেন?

উত্স: www.habr.com