So sieht das Überwachungszentrum des Rechenzentrums NORD-2 in Moskau aus.
Sie haben bereits mehrfach gelesen, welche Maßnahmen zur Gewährleistung der Informationssicherheit (IS) ergriffen werden. Jeder respektable IT-Spezialist kann ganz einfach 5-10 Regeln der Informationssicherheit nennen. Cloud4Y möchte jedoch über die Informationssicherheit von Rechenzentren sprechen.
Bei der Gewährleistung der Informationssicherheit eines Rechenzentrums sind die am meisten „geschützten“ Objekte:
- Informationsressourcen (Daten);
- Prozesse zur Sammlung, Verarbeitung, Speicherung und Übertragung von Informationen;
- Benutzer des Systems und das Wartungspersonal;
- Die Informationsinfrastruktur, die technische und softwareseitige Mittel zur Verarbeitung, Übertragung und Anzeige von Informationen umfasst, einschließlich Informationsaustauschkanäle, Informationsschutzsysteme und Räumlichkeiten.
Der Verantwortungsbereich des Rechenzentrums hängt vom Modell der angebotenen Dienstleistungen (IaaS/PaaS/SaaS) ab. Wie das aussieht, sehen Sie auf dem Bild unten:
Der Anwendungsbereich der Sicherheitsrichtlinie des Rechenzentrums hängt vom Modell der angebotenen Dienste ab
Ein wesentlicher Bestandteil der Entwicklung der Informationssicherheitspolitik ist der Aufbau eines Modells von Bedrohungen und Verstößen. Was könnte eine Bedrohung für ein Rechenzentrum darstellen?
- Ungünstige Ereignisse natürlichen, technischen und sozialen Charakters
- Terroristen, kriminelle Elemente usw.
- Abhängigkeit von Lieferanten, Anbietern, Partnern, Kunden
- Fehler, Ausfälle, Zerstörungen, Beschädigungen von Software- und technischen Mitteln
- Mitarbeiter des Rechenzentrums, die Informationssicherheitsbedrohungen unter Verwendung der ihnen rechtlich eingeräumten Rechte und Befugnisse umsetzen (interne IS-Verstöße)
- Mitarbeiter des Rechenzentrums, die Informationssicherheitsbedrohungen außerhalb der ihnen rechtlich eingeräumten Rechte und Befugnisse umsetzen, sowie Personen, die nicht zum Personal des Rechenzentrums gehören, aber versuchen, unbefugten Zugang zu erlangen und unerlaubte Handlungen durchzuführen (externe IS-Verstöße)
- Nichteinhaltung der Anforderungen von Aufsichts- und Regulierungsbehörden sowie der geltenden Gesetzgebung
Die Risikoanalyse – die Identifizierung potenzieller Bedrohungen und die Bewertung des Ausmaßes der Folgen ihrer Umsetzung – wird helfen, die prioritären Aufgaben richtig auszuwählen, die von den Informationssicherheitsspezialisten des Rechenzentrums gelöst werden müssen, sowie die Budgets für den Erwerb technischer und softwareseitiger Mittel zu planen.
Die Gewährleistung der Sicherheit ist ein fortlaufender Prozess, der die Phasen Planung, Umsetzung und Betrieb, Überwachung, Analyse und Verbesserung des Informationssicherheitssystems umfasst. Zur Erstellung von Managementsystemen für Informationssicherheit wird der sogenannte „».
Ein wichtiger Bestandteil der Sicherheitsrichtlinien ist die Verteilung von Rollen und Verantwortlichkeiten des Personals für deren Umsetzung. Die Richtlinien sollten ständig unter Berücksichtigung von Änderungen der Gesetzgebung, neuen Bedrohungen und sich entwickelnden Schutzmitteln überarbeitet werden. Und natürlich müssen die Anforderungen an die Informationssicherheit dem Personal vermittelt und dessen Schulung durchgeführt werden.
Organisatorische Maßnahmen
Einige Experten stehen der „papierbasierten“ Sicherheit skeptisch gegenüber und betrachten vor allem praktische Fähigkeiten als entscheidend, um Versuche eines Eindringens abzuwehren. Die reale Erfahrung in der Gewährleistung der Informationssicherheit in Banken zeigt jedoch das Gegenteil. Experten für Informationssicherheit mögen hervorragende Fachkenntnisse im Erkennen und Minimieren von Risiken haben, doch wenn das Personal des Rechenzentrums ihre Anweisungen nicht befolgt, ist alles vergebens.
Sicherheit bringt in der Regel keine Gewinne, sondern minimiert nur Risiken. Daher wird sie oft als störend und nebensächlich angesehen. Wenn Sicherheitsfachleute darauf zu Recht aufmerksam werden, entstehen häufig Konflikte mit dem Personal und den Führungskräften der Betriebseinheiten.
Die Existenz branchenspezifischer Standards und regulatorischer Anforderungen hilft Sicherheitsmitarbeitern, ihre Positionen in Verhandlungen mit der Geschäftsführung zu verteidigen. Genehmigte Informationssicherheitspolitiken, -richtlinien und -bestimmungen ermöglichen es, vom Personal die Einhaltung der formulierten Anforderungen zu verlangen und die Grundlage für oft unpopuläre Entscheidungen zu schaffen.
Schutz von Räumlichkeiten
Bei der Bereitstellung von Colocation-Diensten durch das Rechenzentrum steht die Gewährleistung der physischen Sicherheit und der Zugangskontrolle zu den Geräten des Kunden im Vordergrund. Hierfür werden Abgrenzungen (eingezäunte Bereiche des Raumes) verwendet, die unter der videoüberwachung des Kunden stehen und zu denen der Zugriff für das Personal des Rechenzentrums eingeschränkt ist.
In staatlichen Rechenzentren mit physischer Sicherheit lief es Ende des letzten Jahrhunderts ganz gut. Es gab eine Zutrittskontrolle, Zugangskontrollen zu den Räumlichkeiten, auch wenn sie ohne Computer und Kameras auskamen, sowie Brandschutzanlagen – im Falle eines Feuers wurde im Rechenzentrum automatisch Freon freigesetzt.
Heutzutage wird die physische Sicherheit noch besser gewährleistet. Zutrittskontroll- und Zugriffsverwaltungssysteme (SKUD) sind intelligent geworden, biometrische Zugangsbeschränkungen werden eingesetzt.
Brandschutzsysteme sind sicherer für das Personal und die Ausrüstung geworden, darunter Systeme zur Inhibition, Isolation, Kühlung und hypoxischen Einwirkung auf den Brandbereich. Neben den obligatorischen Brandschutzsystemen wird in Rechenzentren oft ein frühzeitiges Brandentdeckungssystem des Aspirationstyps eingesetzt.
Zum Schutz der Rechenzentren vor externen Bedrohungen – Brände, Explosionen, Einsturz von Gebäudeteilen, Überschwemmungen, korrosiven Gasen – werden Sicherheitsräume und Safes eingesetzt, in denen die Serverausstattung praktisch vor allen externen schädigenden Faktoren geschützt ist.
Das schwache Glied – der Mensch
Intelligente Videoüberwachungssysteme, volumetrische Überwachungssensoren (akustisch, infrarot, ultraschall, mikrowellen), SKUD haben die Risiken gesenkt, aber nicht alle Probleme gelöst. Diese Mittel helfen beispielsweise nicht, wenn berechtigt zugelassene Personen im Rechenzentrum mit einem richtigen Werkzeug etwas 'berühren'. Und wie es oft der Fall ist, bringt ein zufälliger Kontakt maximale Probleme.
Der Betrieb des Rechenzentrums kann durch unsachgemäße Nutzung der Ressourcen durch das Personal, beispielsweise illegales Mining, beeinträchtigt werden. In solchen Fällen können Systeme zur Infrastrukturverwaltung des Rechenzentrums (DCIM) helfen.
Auch das Personal benötigt Schutz, da Menschen oft als das anfälligste Glied im Schutzsystem bezeichnet werden. Gezielte Angriffe professioneller Krimineller beginnen häufig mit Methoden der sozialen Manipulation. Oft fallen selbst die am besten gesicherten Systeme, nachdem jemand irgendwo gedrückt, heruntergeladen oder etwas getan hat. Solche Risiken lassen sich minimieren, indem man das Personal schult und die besten internationalen Praktiken im Bereich der Informationssicherheit implementiert.
Schutz der Ingenieurinfrastruktur
Traditionelle Bedrohungen für den Betrieb von Rechenzentren sind Stromausfälle und Systemausfälle bei der Kühlung. Mit solchen Bedrohungen sind die Betreiber bereits vertraut und haben gelernt, damit umzugehen.
Eine neue Tendenz ist die umfassende Implementierung von „intelligenten“ Geräten, die in Netzwerken verbunden sind: gesteuerte USV, intelligente Kühl- und Belüftungssysteme, verschiedene Steuerungen und Sensoren, die an Überwachungssysteme angeschlossen sind. Bei der Erstellung von Bedrohungsmodellen für Rechenzentren sollte man auch die Möglichkeit eines Angriffs auf das Infrastruktur-Netzwerk (und möglicherweise auf das damit verbundene IT-Netzwerk des Rechenzentrums) nicht vergessen. Die Situation wird dadurch kompliziert, dass ein Teil der Geräte (zum Beispiel Chiller) außerhalb des Rechenzentrums, etwa auf dem Dach eines gemieteten Gebäudes, untergebracht sein kann.
Schutz der Kommunikationskanäle
Wenn das Rechenzentrum Dienstleistungen nicht nur im Colocation-Modell anbietet, muss auch der Schutz der Cloud berücksichtigt werden. Laut Check Point haben im vergangenen Jahr weltweit 51 % der Unternehmen Angriffe auf Cloud-Strukturen erlebt. DDoS-Angriffe stoppen Geschäfte, Ransomware-Viren fordern Lösegeld, gezielte Angriffe auf Bankensysteme führen zum Diebstahl von Geldern von Konten.
Bedrohungen durch externe Eindringlinge bereiten auch Fachleuten für Informationssicherheit in Rechenzentren Sorgen. Insbesondere für Rechenzentren sind verteilte Angriffe, die darauf abzielen, die Bereitstellung von Dienstleistungen zu stoppen, sowie Bedrohungen durch Hacking, Diebstahl oder Veränderung von Daten in virtuellen Infrastrukturen oder Speichersystemen besonders relevant.
Zum Schutz des externen Perimeters des Rechenzentrums kommen moderne Systeme mit Funktionen zur Erkennung und Neutralisierung von Schadcode, Anwendungsüberwachung und der Möglichkeit zur Implementierung proaktiver Bedrohungsschutztechnologien (Threat Intelligence) zum Einsatz. In einigen Fällen werden Systeme mit IPS-Funktionalität (Intrusion Prevention System) bereitgestellt, die automatisch das Signatur-Set an die Parameter der geschützten Umgebung anpassen.
Um sich gegen DDoS-Angriffe zu schützen, verwenden russische Unternehmen in der Regel externe spezialisierte Dienste, die den Datenverkehr an andere Knoten umleiten und im Cloud filtern. Der Schutz auf Seiten des Anbieters ist deutlich effektiver als auf Seiten des Kunden, und Rechenzentren fungieren als Vermittler beim Verkauf von Dienstleistungen.
In Rechenzentren sind auch interne DDoS-Attacken möglich: Ein Angreifer dringt in schlecht gesicherte Server eines Unternehmens ein, das seine Hardware im Colocation-Modell betreibt, und führt von dort aus über das interne Netzwerk eine Denial-of-Service-Attacke auf andere Kunden dieses Rechenzentrums durch.
Achtung virtuelle Umgebungen
Es muss die Spezifik der geschützten Objekte berücksichtigt werden — der Einsatz von Virtualisierung, die Dynamik bei der Veränderung der IT-Infrastrukturen, die Vernetzung der Services, bei der ein erfolgreicher Angriff auf einen Kunden die Sicherheit der Nachbarn gefährden kann. Beispielsweise kann ein Angreifer, der einen Frontend-Docker in einer PaaS-Umgebung auf Basis von Kubernetes kompromittiert, sofort auf alle Passwortinformationen und sogar auf das Orchestrierungssystem zugreifen.
Produkte, die im Servicemodell angeboten werden, haben einen hohen Automatisierungsgrad. Um das Geschäft nicht zu stören, müssen auch die implementierten Informationssicherheitsmaßnahmen einen ähnlichen Automatisierungs- und horizontalen Skalierungsgrad aufweisen. Die Skalierung muss auf allen Ebenen der Informationssicherheit gewährleistet werden, einschließlich der Automatisierung der Zugangskontrolle und der Rotation der Zugangsschlüssel. Eine besondere Herausforderung ist die Skalierung der funktionalen Module, die die Netzwerktverkehrsinspektion durchführen.
Zum Beispiel sollte die Filterung des Netzwerktverkehrs auf der Anwendungs-, Netzwerk- und Sitzungsebene in hochvirtualisierten Rechenzentren auf der Ebene der Netzwerkmodule des Hypervisors (z. B. Distributed Firewall von VMware) oder durch die Erstellung von Servicesequenzen (virtuelle Firewalls von Palo Alto Networks) erfolgen.
Wenn es Schwachstellen auf der Virtualisierungsebene der Rechenressourcen gibt, werden die Bemühungen zur Schaffung eines umfassenden Informationssicherheitssystems auf der Plattform ineffektiv sein.
Schutzebenen der Informationen in Rechenzentren
Der allgemeine Ansatz zum Schutz besteht in der Nutzung integrierter, mehrstufiger Systeme zur Gewährleistung der Informationssicherheit, die Macro-Segmentierung auf der Ebene der Firewall (Abgrenzung von Segmenten für verschiedene funktionale Geschäftsbereiche), Micro-Segmentierung auf Basis von virtuellen Firewalls oder die Kennzeichnung des Datenverkehrs auf Basis von Gruppen (Benutzerrollen oder Services), die durch Zugriffsrichtlinien definiert sind, umfasst.
Die nächste Stufe besteht darin, Anomalien innerhalb und zwischen Segmenten zu identifizieren. Die Verkehrsdynamik wird analysiert, um mögliche bösartige Aktivitäten wie Netzwerk-Scanning, DDoS-Attacken, Datenabsaugung, beispielsweise durch das Herausschneiden von Datenbankdateien und deren Ausgabe in periodisch auftretenden Sessions über längere Zeiträume zu erkennen. Innerhalb von Rechenzentren fließen riesige Datenmengen, weshalb zur Identifizierung von Anomalien fortschrittliche Suchalgorithmen eingesetzt werden müssen, ohne Paketanalysen. Es ist wichtig, nicht nur Anzeichen bösartiger und anormaler Aktivitäten zu erkennen, sondern auch die Funktionsweise von Malware selbst im verschlüsselten Verkehr ohne dessen Entschlüsselung, wie es in den Lösungen von Cisco (Stealthwatch) vorgeschlagen wird.
Die letzte Verteidigungslinie ist der Schutz der Endgeräte im lokalen Netzwerk: Server und virtuelle Maschinen, zum Beispiel durch Agenten, die auf Endgeräte (virtuelle Maschinen) installiert werden und Eingabe-/Ausgabevorgänge, Löschungen, Kopieraktionen und Netzwerkaktivitäten analysieren, um Daten an , wo rechenintensive Berechnungen durchgeführt werden. Dort erfolgt die Analyse mittels Big-Data-Algorithmen, es werden Entscheidungsbäume erstellt und Anomalien erkannt. Die Algorithmen lernen selbstständig auf Grundlage einer riesigen Menge an Daten, die von einem globalen Netzwerk von Sensoren bereitgestellt werden.
Es ist auch möglich, ohne Installation von Agenten auszukommen. Moderne Informationssicherheitslösungen sollten agentenlos sein und sich auf der Hypervisor-Ebene in Betriebssysteme integrieren.
Die genannten Maßnahmen reduzieren die Risiken für die Informationssicherheit erheblich, können jedoch für Rechenzentren, die automatisierte Produktionsprozesse mit höherem Risiko, wie beispielsweise Kernkraftwerke, gewährleisten, unzureichend sein.
Anforderungen der Regulierungsbehörden
Je nach der verarbeiteten Information müssen physische und virtualisierte Infrastrukturen von Rechenzentren unterschiedlichen Sicherheitsanforderungen genügen, die in Gesetzen und Branchenstandards formuliert sind.
Zu diesen Gesetzen gehört das Gesetz über persönliche Daten (152-FZ) und das in diesem Jahr in Kraft getretene Gesetz über die Sicherheit von kritischen Informationsinfrastrukturen der RF (187-FZ) – die Staatsanwaltschaft hat bereits Interesse an der Umsetzung geäußert. Der Streit über die Zugehörigkeit von Rechenzentren zu den Subjekten der kritischen Informationsinfrastruktur dauert noch an, aber wahrscheinlich werden die Rechenzentren, die Dienstleistungen für die Subjekte der kritischen Informationsinfrastruktur anbieten möchten, die Anforderungen der neuen Gesetzgebung erfüllen müssen.
Es wird nicht einfach für die Rechenzentren, die staatliche Informationssysteme beherbergen. Nach der Verordnung der RF-Regierung vom 11.05.2017 Nr. 555 müssen Fragen der Informationssicherheit vor der Inbetriebnahme der Informationssysteme gelöst werden. Und das Rechenzentrum, das staatliche Informationssysteme aufnehmen möchte, muss im Voraus die Anforderungen der Aufsichtsbehörden erfüllen.
In den letzten 30 Jahren haben die Sicherheitssysteme der Rechenzentren einen langen Weg zurückgelegt: von einfachen physischen Schutzsystemen und organisatorischen Maßnahmen, die nach wie vor relevant sind, zu komplexen intelligenten Systemen, in denen zunehmend Elemente künstlicher Intelligenz eingesetzt werden. Doch die Essenz des Ansatzes hat sich dabei nicht geändert. Die modernsten Technologien können ohne organisatorische Maßnahmen und Schulung des Personals nicht helfen, und Papiere – ohne Software- und technische Lösungen. Die Sicherheit eines Rechenzentrums kann nicht einmal für alle Male gewährleistet werden; es ist eine ständige tägliche Arbeit, um vorrangige Bedrohungen zu identifizieren und komplexe Probleme zu lösen.
Was gibt es noch Nützliches im Blog zu lesen
→
→
→
→
→
Abonnieren Sie unseren -kanal, um keinen weiteren Artikel zu verpassen! Wir schreiben nicht öfter als zweimal pro Woche und ausschließlich inhaltlich relevant. Außerdem erinnern wir Sie daran, dass Sie Cloud4Y-Lösungen.
Quelle: habr.com
