Andmete turvalisus andmekeskustes

Nii näeb välja Moskvas asuva andmekeskuse NORD-2 jälgimiskeskus

Te olete mitte korra lugenud, milliseid meetmeid rakendatakse teabejulgeoleku (TJ) tagamiseks. Iga enesehinnanguga IT-spetsialist nimetab kergesti 5-10 TJ reeglit. Cloud4Y soovib aga rääkida andmekeskuste teabejulgeolekust.

Teabejulgeoleku tagamisel on andmekeskuse kõige enam "kaitstav" objekt:

• teabeleid (andmed);
• teabe kogumise, töötlemise, säilitamise ja edastamise protsessid;
• süsteemi kasutajad ja teenindav personal;
• teabe infrastruktuur, mis sisaldab tehnilisi ja tarkvara vahendeid teabe töötlemiseks, edastamiseks ja esitlemiseks, sealhulgas teabevahetuse kanaleid, teabe kaitsesüsteeme ning ruume.

Andmekeskuse vastutusala sõltub pakutud teenuste mudelist (IaaS/PaaS/SaaS). Kuidas see välja näeb, vaadake alloleval pildil:

Andmekeskuse turvapoliitika ulatus sõltuvalt pakutud teenuste mudelist

Oluliseks osaks teabejulgeoleku poliitika arendamisel on ohupaljude ja rikkujate mudeli koostamine. Mis võib kujutada endast ohtu andmekeskusele?

1. Ebasoodsad sündmused, mis on looduse, tehnikaga seotud või sotsiaalset laadi
2. Terroristid, kriminaalsed elemendid jt.
3. Sõltuvus tarnijatest, teenusepakkujatest, partneritest, klientidest
4. Tõrked, rikete, lagunemised, kahjustused tark- ja tehnikavahendites
5. Andmekeskuse töötajad, kes rakendavad teabejulgeoleku ohte, kasutades neile seaduslikult antud õigusi ja volitusi (sisemised teabejulgeoleku rikkujad)
6. Andmekeskuse töötajad, kes rakendavad teabejulgeoleku ohte väljaspool seaduslikult antud õigusi ja volitusi, samuti isikud, kes ei kuulu andmekeskuse personali, kuid püüavad teha volitamata juurdepääsu ja lubamatuid toiminguid (välimised teabejulgeoleku rikkujad)
7. Mittestaatuste ja regulatiivsete organite nõuete, kehtivate seaduste rikkumine

Riskianalüüs — potentsiaalsete ohtude tuvastamine ja nende realiseerimise tagajärgede ulatuse hindamine — aitab õigesti valida esmastest ülesannetest, millega teabejulgeoleku spetsialistid andmekeskuses tegelema peavad, ning planeerida eelarveid tehniliste ja tarkvaraliste vahendite ostmiseks.

Turvalisuse tagamine on pidev protsess, mis hõlmab planeerimise, rakendamise ja haldamise etappe, jälgimist, analüüsi ja teabeohutuse süsteemi täiustamist. Teabehalduse juhtimissüsteemide loomiseks kasutatakse nn „Demingi tsükkel».

Oluline osa turvapoliitikast on rollide ja vastutuse jaotamine personali seas nende täitmise eest. Poliitikat tuleks pidevalt üle vaadata, arvestades seadusanduse muudatusi, uusi ohte ja ilmnevaid kaitsevahendeid. Ja kindlasti tuleb teabeohutuse nõuded personali seas selgeks teha ja korraldada nende koolitus.

Organisatsioonilised meetmed

Mõned eksperdid suhtuvad „paberilise” turvalisusse skeptiliselt, pidades peamiseks praktilisi oskusi küberrünnakutele vastu seista. Tõeline kogemus teabeohutuse tagamisel pankades tõestab vastupidist. Teabeohutuse spetsialistidel võib olla suurepärane ekspertiis riskide tuvastamises ja vähendamises, kuid kui andmekeskuse personal ei täida nende juhiseid, on kõik asjata.

Turvalisus ei too tavaliselt raha, vaid vaid minimeerib riske. Seetõttu käsitletakse seda sageli kui midagi takistavat ja teisejärgulist. Ja kui turvaspetsialistid hakkavad protestima (milleks neil on täielik õigus), tekivad tihti konfliktid personali ja käitusüksuste juhtidega.

Tööstusharu standardite ja regulaatorite nõuete olemasolu aitab turvaspetsialistidel oma positsioone juhtkonnaga läbirääkimistel kaitsta, samas kui heakskiidetud teabeohutuse poliitikad, eeskirjad ja regulatsioonid võimaldavad nõuda personali nõuete täitmist, andes aluse sageli ebapopulaarsete otsuste teostamiseks.

Ruumide kaitse

Colocation teenuste pakkumisel on andmekeskuse jaoks peamine ülesanne tagada füüsilise turvalisuse ja juurdepääsu kontroll kliendi seadmetele. Selleks kasutatakse eraldi tsoone (piirdunud osa saalist), mis on kliendi poolt jälgimise all ja kuhu andmekeskuse personalil on juurdepääs piiratud.

Riikide arvutikeskustes, mis on varustatud füüsilise turvaga, oli olukord 20. sajandi lõpus suhteliselt hea. Oli läbipääsukontroll, ruumidesse sisenemise kontroll, kuigi ilmas arvutite ja videokaamerateta, oli tulekustutussüsteem — tulekahju korral käivitus ruumis automaatselt freoon.

Tänapäeval tagatakse füüsiline turvalisus veelgi paremini. Juhtimise ja juurdepääsu kontrolli süsteemid (SKUD) on muutunud nutikaks, sisse on viidud biomeetrilised meetodid juurdepääsu piiramiseks.

Tulekustutussüsteemid on töötajate ja seadmete jaoks muutunud turvalisemaks, sealhulgas eristuvad sealjuures süsteemid, mis tegelevad inhibeerimise, isolatsiooni, jahutamise ja hüpoksilise mõju rakendamisega tulekahju tsoonis. Koos kohustuslike tuleohutussüsteemidega kasutatakse andmekeskustes sageli varajase avastamise süsteemi aspiraatortüüpi.

Andmekeskuste kaitsmiseks välistest ohtudest — tulekahjudest, plahvatustest, hoone konstruktsioonide kokkuvarisemisest, üleujutustest, korrosiooniga gaasidest — on hakanud kasutama turvakambrite ja seifide süsteeme, kus serveritehnika on kaitstud praktiliselt kõigi väliste kahjustavate tegurite eest.

Nõrk lüli — inimene

„Arukad“ videovalvesüsteemid, mahtuvuse jälgimise andurid (akuustilised, infrapuna, ultrahelilised, mikrolainepikkused) ja SKUD on riske vähendanud, kuid probleeme ei ole nad kõikides olukordades lahendanud. Need vahendid ei aita, näiteks, kui õigesti lubatud isikud, kes on õigesti tööriistu sisse viinud, midagi „kinni püüavad“. Ja nagu sageli juhtub, toob juhuslik sekkumine kaasa maksimaalsed probleemid.

Andmekeskuse töös võib negatiivselt mõjuda töötajate sihipäratu ressursside kasutamine, näiteks ebaseaduslik kaevandamine. Nendel juhtudel võivad aidata andmekeskuste infrastruktuuri haldamise süsteemid (DCIM).

Kaitset vajavad ka töötajad, kuna inimest nimetatakse sageli süsteemi kaitse kõige haavatavamaks lüliks. Professionaalsete kurjategijate sihitud rünnakud algavad sageli sotsiaalset inseneritööd kasutades. Tihti langevad kõige paremini kaitstud süsteemid või neid rikutakse pärast seda, kui keegi kuskil on midagi vajutanud/laadinud/teinud. Selliseid riske saab minimeerida, koolitades töötajaid ja rakendades parimaid maailma praktikaid infotehnoloogia turvalisuse alal.

Inseneri infrastruktuuri kaitse

Traditsioonilised ohud andmekeskuse töötamisele – elektrikatkestused ja jahutussüsteemide tõrked. Sellistele ohtudele on juba harjutud ja nendega on õpitud toime tulema.

Uueks trendiks on saanud „nutika“ seadme laialdane kasutuselevõtt, mis on ühendatud võrku: juhtmevahendid UPS, intellektuaalsed jahutus- ja ventilatsioonisüsteemid, mitmesugused kontrollerid ja andurid, mis on ühendatud jälgimissüsteemidega. Ohumudeli koostamisel ei tohiks andmekeskuse infrastruktuuri võrku tungimise ohtu unustada (ja võib-olla ka sellega seotud IT-võrku). Situatsiooni keerukaks muudab asjaolu, et osa seadmeid (nt chillereid) võib olla väljaspool andmekeskust, näiteks rendatud hoone katusel.

Sidekanalite kaitse

Kui andmekeskus pakub teenuseid mitte ainult colocation mudeli alusel, siis tuleb tegeleda pilvekaitsega. Check Pointi andmetel puutusid mullu 51% organisatsioonidest üle maailma kokku ründeid pilvestruktuuride vastu. DDoS-rünnakud peatavad äritegevuse, krüptoviirused nõuavad lunaraha, sihikindlad rünnakud pankade süsteemidele viivad vahendite varastamiseni.

Väliste sissetungide ohud muretsevad ka andmekeskuste infotehnoloogia spetsialiste. Andmekeskuste jaoks on kõige asjakohasemad jaotatud rünnakud, mille eesmärk on teenuste osutamise peatamine, samuti andmete häkkimise, vargust või muutmise ohud, mis sisaldavad virtuaalses infrastruktuuris või salvestussüsteemides olevaid andmeid.

Andmekeskuse välise perimeetri kaitseks kasutatakse kaasaegseid süsteeme, mis pakuvad pahatahtliku koodi avastamise ja neutraliseerimise, rakenduste kontrollimise ning Threat Intelligence proaktiivse kaitse tehnoloogia importimise funktsioone. Mõnes juhus osatakse kasutada IPS (sissetungide ennetamise) süsteeme, mis kohandavad allkirja komplekti automaatselt kaitstava keskkonna parameetrite järgi.

DDoS-rünnakute kaitseks kasutavad Venemaa ettevõtted tavaliselt välist spetsialiseeritud teenust, mis suunab liikluse teistele sõlmedele ja filtreerib selle pilves. Kaitse operaatori poolel on palju efektiivsem kui kliendi poolel, ning andmekeskused tegutsevad teenuste müügi vahendajatena.

Andmete keskustes võivad toimuda ka sise-DDoS-loodetõrje rünnakud: pahatahtlik isik pääseb vähe kaitstud serveritesse ühe ettevõtte seadmetega, mis on paigutatud colocation mudeli järgi, ja ründab sisese võrgu kaudu teistele selle andmekeskuse klientidele teenuse kättesaamatuks muutmise rünnakuga.

Oluline teave virtuaalsete keskkondade kohta

Peab arvestama kaitstava objekti spetsiifikat — virtualiseerimise vahendite kasutamine, IT-infrastruktuuride dünaamiline muutumine, teenuste omavaheline seotus, kus ühe kliendi edukas rünnak võib ähvardada naaberteenuste turvalisust. Näiteks, kui muudetakse frontend-konteinerit PaaS-i kaudu, mis põhineb Kubernetesel, võib pahatahtlik isik kohe pääseda kogu parooliteavet ja isegi juurdepääsule süsteemile orkestreerimise.

Teenuse mudeli alusel pakutavad tooted on suure automaatika tasemega. Et mitte takistada äri, peaks ka kehtestatud teabe kaitse vahenditel olema sama ulatuslik automatiseerimis- ja horisontaalne skaleerimisaste. Skaleerimine peab toimuma kõikidel infotehnoloogia tasanditel, sealhulgas ligipääsukontrolli ja ligipääsuvõtmete rotatsiooni automatiseerimine. Eraldi ülesanne on funktsionaalsete moodulite skaleerimine, mis kontrollivad võrguandmete liiklust.

Näiteks võrguliikluse filtreerimine rakenduse, võrgu ja sessiooni tasanditel andmekeskustes, kus on kõrge virtualiseerimise aste, peaks toimuma hüperviisori võrgu moodulite tasemel (näiteks VMware Distributed Firewall) või teenuste ahelate loomise kaudu (virtuaalsed tulemüüri lahendused Palo Alto Networksilt).

Kui virtualiseerimise tasemel on nõrkusi, siis jõupingutused luua põhjalik teabe turbe süsteem platvormi tasemel osutuvad ebaefektiivseks.

Teabe kaitsetasemed andmekeskustes

Üldine lähenemine kaitsele — integreeritud, mitme tasandi infotehnoloogia turbe systemide kasutamine, sealhulgas makrosegmentatsioon tulemüüritasemel (sektori eraldamine erinevate funktsionaalsete ärisuundade jaoks), mikrosegmentatsioon virtuaalsete tulemüüride või liikluse märgistamiste järgi (kasutajate või teenuste rühmade, mis määratletakse juurdepääsupoliitikate alusel).

Järgmine tase on anomaaliate tuvastamine segmentide sees ja nende vahel. Analüüsitakse liiklust, mis võib viidata pahatahtlike tegevuste, nagu võrgu skaneerimine, DDoS-rünnakute katsed, andmete allalaadimine, näiteks andmebaasi failide jagamise ja nende perioodilise esitlemise kaudu pikemate ajavahemike järel. Andmekeskuses voolab tohutu liiklus, seega anomaaliate tuvastamiseks tuleb kasutada arenenud otsimisalgoritme, mitte pakettide analüüsi. Oluline on, et tuvastataks mitte ainult pahatahtliku ja anomaalse tegevuse tunnused, vaid ka pahavara tegevus isegi krüpteeritud liikluses ilma selle dekrüpteerimiseta, nagu soovitatakse Cisco lahendustes (Stealthwatch).

Viimane kaitseliin on lokaalse võrgu lõpp-punktide kaitse: serverite ja virtuaalsete masinate kaitse, näiteks agentide kaudu, mis installitakse lõpp-punktidesse (virtuaalsed masinad), analüüsides sisend-väljundoperatsioone, kustutamisi, kopeerimisi ja võrgu tegevust, edastades andmeid pilve, kus teostatakse suuri arvutusressursse vajavaid arvutusi. Seal toimub analüüs Big Data algoritmide abil, luuakse masinloogika puid ja tuvastatakse anomaaliaid. Algoritmid õpivad enda kogemustest tohutu hulga andmete põhjal, mida pakub globaalne sensorivõrk.

Saab hakkama ka ilma agentide installimisega. Kaasaegsed teabe kaitse vahendid peaksid olema agendivabad ja integreeruma operatsioonisüsteemidesse hypervisor tasemel.
Loetletud meetmed vähendavad märkimisväärselt infokaitse riske, kuid see võib olla ebapiisav andmekeskustes, mis toetavad suurte riskidega tootmisprotsesside automatiseerimist, näiteks tuumaelektrijaamades.

Regulaatorite nõuded

Sõltuvalt töödeldavast teabest peavad andmekeskuse füüsilised ja virtualiseeritud infrastruktuurid vastama erinevatele turvanõuetele, mis on sõnastatud seadustes ja tööstusstandardites.

Selliste seaduste hulka kuulub seadus „Isikuandmete seadus” (152-ФЗ) ja sel aastal jõustus seadus „KRI objektide turvalisus Venemaa Föderatsioonis” (187-ФЗ) — prokuratuur on juba hakanud huvi tundma selle täitmise üle. Vaidlused andmekeskuste kuuluvuse üle KRI subjektide hulka jätkuvad, kuid tõenäoliselt peavad andmekeskused, kes soovivad osutada teenuseid KRI subjektidele, täitma uue seadusandluse nõudeid.

Andmekeskustel, kus asuvad riiklikud infotehnoloogilised süsteemid, on mitmeid väljakutseid. Vastavalt Venemaa Föderatsiooni valitsuse 11. mai 2017. aasta määrusele nr 555 tuleb infotehnoloogia turvalisuse küsimused lahendada enne infotehnoloogiliste süsteemide tööstuslikku käivitamist. Ja andmekeskus, mis soovib infotehnoloogilisi süsteeme majutada, peab eelnevalt vastama reguleerivate asutuste nõuetele.

Viimased 30 aastat on andmekeskuste turvameetmed teinud tohutut arenguhüpet: lihtsatest füüsilise kaitse süsteemidest ja organisatsioonilistest meetmetest, mis siiski ei ole oma aktuaalsust kaotanud, keerukate intelligentsete süsteemide suunas, kus üha rohkem kasutatakse tehisintellekti elemente. Kuid lähenemise olemus ei ole muutunud. Kõige kaasaegsemad tehnoloogiad ei päästa ilma organisatsiooniliste meetmeteta ja personali koolituseta, ning dokumendid — ilma tarkvaraliste ja tehniliste lahendusteta. Andmekeskuse turvalisust ei saa tagada ühekordselt, see on pidev igapäevane töö prioriteetsete ohtude tuvastamiseks ja probleemide terviklikuks lahendamiseks.

Millest veel huvitavat lugeda blogis Cloud4Y

→ Seame GNU/Linuxis top’i.
→ Pentesterid küberkaitse eesliinil
→ Tehisintellekti tee fantastilisest ideest teaduslikuks valdkonnaks
→ 4 viisi, kuidas pilve varundamisel raha säästa
→ Mürgine lugu

Telli meie Telegram-kanal, et mitte jääda ilma järgmise artikli lugemisest! Kirjutame mitte sagedamini kui kaks korda nädalas ja ainult asjakohaselt. Meelde tuletame ka, et saate tasuta proovida Cloud4Y pilvelahendusi.

Allikas: habr.com