So sieht das Überwachungszentrum des in Moskau befindlichen Rechenzentrums NORD-2 aus
Sie haben bereits mehrmals darüber gelesen, welche Maßnahmen zur Gewährleistung der Informationssicherheit (IS) getroffen werden. Jeder selbst respektierende IT-Spezialist kann problemlos 5-10 Regeln der IS nennen. Cloud4Y hingegen schlägt vor, über die Informationssicherheit von Rechenzentren zu sprechen.
Bei der Gewährleistung der Informationssicherheit eines Rechenzentrums sind die "am meisten geschützten" Objekte:
- Informationsressourcen (Daten);
- Prozesse der Erfassung, Verarbeitung, Speicherung und Übertragung von Informationen;
- Benutzer des Systems und Wartungspersonal;
- Informationstechnische Infrastruktur, einschließlich technischer und softwaretechnischer Mittel zur Verarbeitung, Übertragung und Anzeige von Informationen, einschließlich Informationsaustauschkanälen, Informationsschutzsystemen und Räumlichkeiten.
Der Verantwortungsbereich des Rechenzentrums hängt vom Modell der angebotenen Dienstleistungen (IaaS/PaaS/SaaS) ab. Wie das aussieht, sehen Sie auf dem Bild unten:
Der Geltungsbereich der Sicherheitsrichtlinie des Rechenzentrums hängt vom Modell der angebotenen Dienstleistungen ab
Ein zentraler Bestandteil der Entwicklung einer Informationssicherheitspolitik ist der Aufbau eines Modells für Bedrohungen und Angreifer. Was könnte also eine Bedrohung für ein Rechenzentrum darstellen?
- Ungünstige Ereignisse aus naturbedingten, technogenen und sozialen Ursachen
- Terroristen, kriminelle Elemente u.a.
- Abhängigkeiten von Lieferanten, Anbietern, Partnern und Kunden
- Ausfälle, Störungen, Zerstörungen, Schäden an Software- und Technikausrüstung
- Mitarbeiter des Rechenzentrums, die Bedrohungen der Informationssicherheit unter Nutzung der ihnen rechtlich eingeräumten Rechte und Befugnisse umsetzen (interne Bedrohungen zur Informationssicherheit)
- Mitarbeiter des Rechenzentrums, die Bedrohungen der Informationssicherheit außerhalb der ihnen rechtlich eingeräumten Rechte und Befugnisse umsetzen sowie Personen, die nicht zum Personal des Rechenzentrums gehören, aber versuchen, unbefugten Zugang zu erlangen und unerlaubte Handlungen vorzunehmen (externe Bedrohungen zur Informationssicherheit)
- Nichteinhaltung der Anforderungen von Aufsichts- und Regulierungsbehörden sowie des geltenden Rechts
Die Risikoanalyse — die Identifizierung potenzieller Bedrohungen und die Bewertung der Auswirkungen ihrer Realisierung — hilft dabei, die vorrangigen Aufgaben festzulegen, die von den IT-Sicherheitsexperten des Rechenzentrums bearbeitet werden sollten, sowie Budgets für den Erwerb von technischen und Software-Ressourcen zu planen.
Die Gewährleistung von Sicherheit ist ein fortlaufender Prozess, der die Phasen der Planung, Umsetzung und Betrieb, Überwachung, Analyse und Verbesserung des Informationssicherheitssystems umfasst. Zur Erstellung von Informationssicherheitsmanagementsystemen wird der sogenannte „».
Ein wichtiger Teil der Sicherheitsrichtlinien ist die Verteilung der Rollen und Verantwortlichkeiten des Personals für deren Umsetzung. Die Richtlinien sollten ständig unter Berücksichtigung von Gesetzesänderungen, neuen Bedrohungen und auftauchenden Schutzmaßnahmen überprüft werden. Selbstverständlich müssen die Anforderungen an die Informationssicherheit dem Personal vermittelt und Schulungen durchgeführt werden.
Organisatorische Maßnahmen
Einige Experten stehen der "Papier-Sicherheit" skeptisch gegenüber und betrachten praktische Fähigkeiten, um sich gegen Hackerangriffe zu wehren, als entscheidend. Die tatsächliche Erfahrung in der Informationssicherheit bei Banken spricht jedoch eine andere Sprache. Fachleute im Bereich der Informationssicherheit können über hervorragende Kenntnisse im Erkennen und Minimieren von Risiken verfügen, doch wenn das Personal im Rechenzentrum ihre Anweisungen nicht befolgt, sind alle Bemühungen vergebens.
Sicherheit bringt in der Regel keine Einnahmen, sondern minimiert lediglich Risiken. Daher wird sie häufig als hinderlich und nebensächlich angesehen. Wenn Sicherheitsexperten beginnen, sich zu beschweren (was ihr gutes Recht ist), entstehen oft Konflikte mit dem Personal und den Leitern der operativen Abteilungen.
Das Vorhandensein von branchenspezifischen Standards und regulatorischen Anforderungen hilft Sicherheitsfachleuten, ihre Position in Verhandlungen mit der Unternehmensführung zu behaupten. Genehmigte Richtlinien, Bestimmungen und Vorschriften in der Informationssicherheit ermöglichen es, von den Mitarbeitern die Einhaltung der festgelegten Anforderungen zu verlangen und bieten eine Grundlage für die Umsetzung oft unpopulärer Entscheidungen.
Schutz von Einrichtungen
Bei der Bereitstellung von Colocation-Diensten durch Rechenzentren steht die physische Sicherheit und der Zutrittskontrolle zu den Kundenanlagen im Vordergrund. Hierfür kommen Abtrennungen (abgeschottete Bereiche der Halle) zum Einsatz, die unter der Videoüberwachung des Kunden stehen und nur eingeschränkten Zugang für das Personal des Rechenzentrums ermöglichen.
In staatlichen Rechenzentren mit physischer Sicherheit sah es gegen Ende des letzten Jahrhunderts recht gut aus. Es gab Zugangskontrollen, Zutrittsregelungen für die Räumlichkeiten, wenn auch ohne Computer und Kameras, Brandlöschsysteme — im Falle eines Feuers wurde automatisch Freon in den Maschinenraum geleitet.
Heutzutage ist die physische Sicherheit noch besser gewährleistet. Zugangskontroll- und Managementsysteme (ZKMS) haben sich weiterentwickelt und biometrische Zugangsbeschränkungen finden Einzug.
Die Brandmeldesysteme für Personal und Ausrüstung sind sicherer geworden, wobei insbesondere Systeme zur Inhibition, Isolation, Kühlung und hypoxischen Beeinflussung des Brandbereichs hervorzuheben sind. Neben den obligatorischen Brandschutzsystemen werden in Rechenzentren häufig auch frühzeitige Rauchmeldeanlagen vom Aspirationstyp eingesetzt.
Um Rechenzentren vor externen Bedrohungen wie Bränden, Explosionen, Gebäudeeinstürzen, Überschwemmungen und korrosiven Gasen zu schützen, werden Sicherheitsräume und -schränke verwendet, die die Serverhardware nahezu vor allen äußeren Gefahren schützen.
Die Schwachstelle ist der Mensch.
„Intelligente“ Videoüberwachungssysteme und volumetrische Bewegungssensoren (akustisch, infrarot, Ultraschall, Mikrowelle) sowie Zutrittskontrollsysteme haben die Risiken verringert, aber nicht alle Probleme gelöst. Diese Mittel helfen beispielsweise nicht, wenn ordnungsgemäß zugelassene Personen mit korrekt mitgebrachten Werkzeugen etwas „ankratzen“. Und wie so oft bringt ein zufälliger Kontakt maximal Probleme mit sich.
Die unzweckmäßige Nutzung von Ressourcen durch das Personal kann den Betrieb eines Rechenzentrums beeinträchtigen, wie zum Beispiel illegales Mining. In solchen Fällen können Systeme zur Infrastrukturverwaltung von Rechenzentren (DCIM) helfen.
Auch das Personal benötigt Schutz, da der Mensch oft als das anfälligste Glied im Sicherheitsnetz gilt. Zielgerichtete Angriffe von professionellen Kriminellen beginnen häufig durch den Einsatz sozialer Ingenieurmethoden. Oft versagen selbst die am besten geschützten Systeme, nachdem jemand irgendwo geklickt, heruntergeladen oder etwas gemacht hat. Solche Risiken können minimiert werden, indem das Personal geschult und die besten internationalen Praktiken im Bereich Informationssicherheit implementiert werden.
Schutz der technischen Infrastruktur
Traditionelle Bedrohungen für den reibungslosen Betrieb eines Rechenzentrums sind Stromausfälle und Ausfälle von Kühlsystemen. Mit solchen Bedrohungen sind wir bereits vertraut und haben gelernt, mit ihnen umzugehen.
Eine neue Entwicklung ist die flächendeckende Einführung von "intelligenter" Hardware, die in Netzwerken verbunden ist: verwaltete USV-Anlagen, intelligente Kühlsysteme und -lüftungen sowie verschiedene Controller und Sensoren, die an Überwachungssysteme angeschlossen sind. Bei der Erstellung eines Bedrohungsmodells für Rechenzentren sollte die Möglichkeit eines Angriffs auf das Infrastruktur-Netzwerk (und möglicherweise auch auf das damit verbundene IT-Netzwerk des Rechenzentrums) nicht vergessen werden. Komplikationen entstehen durch die Tatsache, dass ein Teil der Hardware (zum Beispiel Chiller) außerhalb des Rechenzentrums, beispielsweise auf dem Dach eines gemieteten Gebäudes, platziert sein kann.
Schutz der Kommunikationskanäle
Wenn das Rechenzentrum nicht nur Colocation-Dienste anbietet, muss es sich auch um den Schutz von Cloud-Diensten kümmern. Laut Check Point sind im vergangenen Jahr weltweit 51% der Organisationen mit Angriffen auf Cloud-Strukturen konfrontiert worden. DDoS-Angriffe stoppen Geschäfte, Ransomware-Viren verlangen Lösegelder und zielgerichtete Angriffe auf Bankensysteme führen zu Diebstählen von Geldern von Konten.
Bedenken hinsichtlich externer Angreife belasten auch die Sicherheitsexperten von Rechenzentren. Besonders relevant für Rechenzentren sind verteilte Angriffe, die darauf abzielen, die Bereitstellung von Dienstleistungen zu unterbrechen, sowie Bedrohungen durch Hacking, Diebstahl oder Veränderung von Daten in der virtuellen Infrastruktur oder den Speichersystemen.
Moderne Systeme zur Erkennung und Neutralisierung von Schadsoftware, zur Anwendungsüberwachung und mit der Möglichkeit, Technologien zur proaktiven Bedrohungserkennung durch Threat Intelligence zu importieren, schützen die äußeren Ränder des Rechenzentrums. In einigen Fällen werden Systeme mit IPS-Funktionalität (Intrusion Prevention System) implementiert, die sich automatisch an die Parameter der geschützten Umgebung anpassen.
Um sich gegen DDoS-Angriffe zu schützen, nutzen russische Unternehmen in der Regel externe spezialisierte Dienste, die den Datenverkehr auf andere Knoten umleiten und ihn in der Cloud filtern. Der Schutz auf der Seite des Dienstanbieters ist wesentlich effektiver als auf der Seite des Kunden, und Rechenzentren fungieren als Vermittler beim Verkauf dieser Dienstleistungen.
In Rechenzentren können auch interne DDoS-Angriffe auftreten: Ein Angreifer dringt in unzureichend gesicherte Server eines Unternehmens ein, das seine Hardware im Colocation-Modell betreibt, und führt über das interne Netzwerk einen Denial-of-Service-Angriff auf andere Kunden dieses Rechenzentrums durch.
Achtung in virtuellen Umgebungen
Die Spezifika des geschützten Objekts müssen berücksichtigt werden – die Nutzung von Virtualisierungstechnologien, die Dynamik der IT-Infrastrukturänderungen und die Vernetzung von Diensten, bei der ein erfolgreicher Angriff auf einen Kunden die Sicherheit der Nachbarn gefährden kann. Wenn beispielsweise der Frontend-Docker in einer PaaS-Umgebung auf Basis von Kubernetes gehackt wird, kann der Angreifer sofort auf alle Passwörter zugreifen und sogar Zugang zum Orchestrierungssystem erhalten.
Produkte, die nach dem Service-Modell bereitgestellt werden, zeichnen sich durch einen hohen Automatisierungsgrad aus. Um den Geschäftsbetrieb nicht zu stören, müssen auch die implementierten Sicherheitsmaßnahmen eine ähnliche Automatisierung und horizontale Skalierbarkeit aufweisen. Die Skalierung sollte auf allen Ebenen der Informationssicherheit gewährleistet sein, einschließlich der Automatisierung von Zugangssteuerungen und der Rotation von Zugangsschlüsseln. Eine besondere Herausforderung stellt die Skalierung der funktionalen Module dar, die die Inspektion des Netzwerkverkehrs übernehmen.
Beispielsweise sollte die Filterung des Netzwerkverkehrs auf Anwendungs-, Netzwerk- und Sitzungsebene in Rechenzentren mit einem hohen Virtualisierungsgrad auf Ebene der Netzwerkmodule des Hypervisors (z. B. Distributed Firewall von VMware) oder durch die Erstellung von Dienstketten (virtuelle Firewalls von Palo Alto Networks) erfolgen.
Wenn es Schwachstellen auf der Ebene der Virtualisierung von Rechenressourcen gibt, werden die Bemühungen um den Aufbau einer umfassenden Informationssicherheitslösung auf Plattformebene ineffektiv sein.
Ebenen des Informationsschutzes in Rechenzentren
Der ganzheitliche Ansatz zum Schutz besteht aus integrierten, mehrschichtigen Informationssicherheitslösungen. Dazu gehören Makrosegmentierung auf Firewall-Ebene (Zuweisung von Segmenten an verschiedene funktionale Bereiche des Unternehmens) sowie Mikrosegmentierung, die auf virtuellen Firewalls basiert oder durch Markierungen des Datenverkehrs von Gruppen (Rollen von Benutzern oder Diensten), die durch Zugriffspolitiken definiert werden, erfolgt.
Die nächste Stufe besteht darin, Anomalien innerhalb und zwischen den Segmenten zu identifizieren. Dabei wird die Verkehrsdynamik analysiert, die auf bösartige Aktivitäten hinweisen kann, wie z.B. Netzwerk-Scans, DDoS-Angriffe oder Datenexfiltration, beispielsweise durch das Zerschneiden von Datenbankdateien und deren wiederholte Übertragung über zeitlich gestaffelte Sessions. In einem Rechenzentrum fließen riesige Datenmengen, daher ist es notwendig, fortschrittliche Suchalgorithmen zur Anomalieerkennung einzusetzen, ohne eine Paketanalyse durchzuführen. Es ist wichtig, nicht nur Anzeichen von bösartiger und anormaler Aktivität zu erkennen, sondern auch die Funktionsweise von Malware selbst im verschlüsselten Verkehr zu identifizieren, ohne diesen zu entschlüsseln, wie es in Lösungen von Cisco (Stealthwatch) vorgeschlagen wird.
Die letzte Verteidigungslinie ist der Schutz der Endgeräte im lokalen Netzwerk: Server und virtuelle Maschinen, beispielsweise durch Agenten, die auf den Endgeräten (virtuellen Maschinen) installiert werden. Diese analysieren Eingabe-/Ausgabe-Operationen, Lösch- und Kopieraktionen sowie Netzwerkaktivitäten und übermitteln die Daten an , wo rechenintensive Berechnungen durchgeführt werden. Hier erfolgt die Analyse mithilfe von Big Data-Algorithmen, es werden Entscheidungsbäume erstellt und Anomalien identifiziert. Die Algorithmen lernen selbstständig auf Basis der riesigen Datenmengen, die aus einem globalen Sensornetz bereitgestellt werden.
Eine Installation von Agenten ist nicht erforderlich. Moderne Informationsschutzmittel sollten agentenlos sein und sich auf Hypervisor-Ebene in die Betriebssysteme integrieren.
Die genannten Maßnahmen reduzieren die Risiken für die Informationssicherheit erheblich, können jedoch für Rechenzentren, die die Automatisierung gefährlicher Produktionsprozesse, wie in Kernkraftwerken, gewährleisten, unzureichend sein.
Vorgaben der Regulierungsbehörden
Je nach Art der verarbeiteten Informationen müssen physische und virtualisierte Infrastrukturen des Rechenzentrums unterschiedlichen Sicherheitsanforderungen entsprechen, die in Gesetzen und branchenspezifischen Standards formuliert sind.
Zu diesen Gesetzen gehört das Gesetz "Über personenbezogene Daten" (152-FZ) sowie das in diesem Jahr in Kraft getretene Gesetz "Über die Sicherheit von KII-Objekten der RF" (187-FZ) – die Staatsanwaltschaft hat bereits begonnen, den Verlauf seiner Umsetzung zu untersuchen. Die Debatten über die Zugehörigkeit von Rechenzentren zu KII-Subjekten dauern noch an, doch höchstwahrscheinlich müssen Rechenzentren, die Dienstleistungen für KII-Subjekte anbieten möchten, die Anforderungen der neuen Gesetzgebung erfüllen.
Es wird für Rechenzentren, die staatliche Informationssysteme unterbringen, nicht einfach sein. Laut der Verordnung der Regierung der RF vom 11.05.2017 Nr. 555 müssen die Fragen der Informationssicherheit gelöst werden, bevor die GIS in den industriellen Betrieb genommen wird. Ein Rechenzentrum, das GIS unterbringen möchte, muss im Vorfeld die Anforderungen der Regulierungsbehörden erfüllen.
In den letzten 30 Jahren haben sich die Sicherheitslösungen für Rechenzentren enorm weiterentwickelt: von einfachen physischen Schutzsystemen und organisatorischen Maßnahmen, die nach wie vor relevant sind, hin zu komplexen intelligenten Systemen, in denen zunehmend Elemente der künstlichen Intelligenz verwendet werden. Doch der Grundansatz hat sich dabei nicht verändert. Die modernsten Technologien können ohne organisatorische Maßnahmen und Schulungen des Personals nicht wirken, und Dokumentationen sind ohne Software- und technische Lösungen wertlos. Die Sicherheit eines Rechenzentrums kann nicht einmalig gewährleistet werden; es ist ein ständiger, täglicher Prozess, der darauf abzielt, dringende Bedrohungen zu erkennen und die auftretenden Probleme umfassend zu lösen.
Was gibt es sonst noch Interessantes im Blog zu lesen?
→
→
→
→
→
Abonnieren Sie unseren -Kanal, um keinen neuen Artikel zu verpassen! Wir schreiben nicht öfter als zweimal pro Woche und nur, wenn es relevant ist. Außerdem möchten wir Sie daran erinnern, dass Sie Cloud-Lösungen von Cloud4Y.
Quelle: habr.com
