Andmete keskuse infoturve

Nii näeb välja Moskvas asuva andmekeskuse NORD-2 jälgimiskeskus

Olete kindlasti lugenud mitmeid kordi, milliseid meetmeid võetakse teabe turvalisuse (IT) tagamiseks. Iga endale lugupidav IT-spetsialist nimetab kergesti 5-10 IT reeglit. Cloud4Y kutsub aga üles rääkima andmekeskuste teabe turvalisusest.

Andmekeskuse teabe turvalisuse tagamisel on kõige „kaitstavamad“ objektid:

• teaberessursid (andmed);
• teabe kogumise, töötlemise, salvestamise ja edastamise protsessid;
• süsteemi kasutajad ja teenindav personal;
• teabe infrastruktuur, sealhulgas tehnilised ja tarkvaralised vahendid teabe töötlemiseks, edastamiseks ja kuvamiseks, sealhulgas teabevahetuse kanalid, teabe kaitse süsteemid ja ruumid.

Andmekeskuse vastutusala sõltub pakutavate teenuste mudelist (IaaS/PaaS/SaaS). Kuidas see välja näeb, vaadake alloleval pildil:

Andmekeskuse turvapoliitika tegevusala sõltuvalt pakutavate teenuste mudelist

Teabe turvapoliitika väljatöötamise oluline osa on threat model ja ründajate koostamine. Mis võiks olla andmekeskusele oht?

1. Kahjulikud looduslikud, tehnoloogilised ja sotsiaalsed sündmused
2. Terroristid, kuritegelikud elemendid jne.
3. Sõltuvus tarnijatest, teenusepakkujatest, partneritest, klientidest
4. Rikked, tõrked, hävimised, kahjud tark- ja riistvara osas
5. Andmekeskuse töötajad, kes kasutavad IT ohte seaduslikult antud õiguste ja volituste raames (sisemised IT rikkumised)
6. Andmekeskuse töötajad, kes rakendavad IT ohte väljaspool seaduslikult antud õigusi ja volitusi, samuti isikud, kes ei kuulu andmekeskuse personali, kuid üritavad saada lubamatult juurde pääsu ja tegelevad lubamatute tegevustega (välimised IT rikkumised)
7. Nõuetele vastavuse puudumine järelvalve- ja reguleerivate organite, kehtiva seadusandluse osas

Riskianalüüs — potentsiaalsete ohtude tuvastamine ja nende realiseerimise tagajärgede hindamine — aitab õigesti valida prioriteetsed ülesanded, millega andmekeskuse IT turbe spetsialistid tegelema peavad, ning planeerida eelarveid tehniliste ja tarkvaraliste vahendite ostmiseks.

Turvalisuse tagamine on pidev protsess, mis hõlmab planeerimise, rakendamise, ekspluateerimise, jälgimise, analüüsi ja IT turvasüsteemi täiustamise etappe. Teabe turvalisuse juhtimissüsteemide loomisel kasutatakse nn "Demingi tsükkel».

Oluline osa turvapoliitikatest on rollide ja vastutuse jaotus personalis. Poliitikat tuleks pidevalt üle vaadata, arvestades seadusandlikke muudatusi, uusi ohte ja ette tulevaid kaitsevahendeid. Ja loomulikult on oluline viia nõuded teabe turvalisusele personali teadlikkusesse ning teha neile koolitusi.

Organisatoorsed meetmed

Mõned eksperdid suhtuvad „paberite“ turvalisusesse skeptiliselt, pidades peamiseks praktilisi oskusi häkkimise vastu seista. Reaalne kogemus teabe turvalisuse tagamisest pankades räägib vastupidist. IT spetsialistidel võib olla suurepärane teadmistebaas riskide tuvastamise ja vähendamise osas, kuid kui andmekeskuse personal ei hakka järgima nende soovitusi, siis kõik on asjattu.

Turvalisus ei too tavaliselt kasumit, vaid vaid vähendab riske. Seetõttu suhtub sellesse sageli kui millegisse, mis segab ja on teisejärguline. Ja kui turvaeksperdid hakkavad kaebama (milleks neil on täielik õigus), tekivad tihti konfliktid personali ja operatiivdivisjonide juhtidega.

Tööstusharu standardite ja regulatiivsete nõuete olemasolu aitab turvaspetsialistidel oma positsiooni kaitsta juhtkonnaga läbirääkimistel, samas kui kinnitatud IT poliitikad, sätted ja regulatsioonid võimaldavad nõuda töötajatelt seal esitatud nõuete täitmist, luues aluse tihtipeale ebapopulaarsete otsuste elluviimiseks.

Ruumi kaitse

Andmekeskuse colocation mudeli raames teenuste pakkumisel tõuseb esiplaanile füüsilise turvalisuse ja juurdepääsukontrolli tagamine kliendi seadmetele. Selle jaoks kasutatakse eraldatud alasid (piirdunud osad saalist), mis on kliendi videovalve all ja kuhu andmekeskuse personalil on piiratud juurdepääs.

Riiklikes andmekeskustes, kus oli füüsiline turvalisus, olid asjad eelmisel sajandil kenasti korras. Oli ligipääsukontroll, juurdepääsu kontroll ruumidesse, isegi ilma arvutite ja videokaamerateta, ning tulekahjutõrjesüsteemid — tulekahju korral käivitati automaatselt freoon.

Tänapäeval on füüsiline turvalisus veelgi paremini tagatud. Juhtimise ja juurdepääsu kontrolli süsteemid (SKUD) on muutunud intelligentsed, rakendatakse biomeetrilisi meetodeid juurdepääsu piiramise jaoks.

Töötajate ja seadmete jaoks on tulekahjutõrjesüsteemid muutunud turvalisemaks, sealhulgas süsteemid, mis pakuvad inhibeerimist, isoleerimist, jahutamist ja hüpokseemilist mõju tulekahju tsoonis. Peale kohustuslike tulekaitsesüsteemide kasutatakse andmekeskustes sageli varajase tulekahju avastamise süsteemi aspiraatoritüüpi.

Andmekeskuste kaitseks väliste ohtude — tulekahjude, plahvatuste, hoone konstruktsioonide kokkuvarisemise, üleujutuste, korrosiivsete gaaside — vastu on hakatud kasutama turvaruume ja -seife, mille sees serveritehnika on kaitstud praktiliselt kõikide väliste kahjustavate tegurite eest.

Nõrk lüli — inimene

„Nutika“ videovalve süsteemid, mahtuvuslikud jälgimisandurid (akustilised, infrapunased, ultrahelilised, kõrguslaine), SKUD vähendavad riske, kuid ei lahenda kõiki probleeme. Need vahendid ei aita, näiteks siis, kui õigesti osalevatele inimestele on lubatud andmekeskusesse sisenevad õiged tööriistad ja nad midagi „puudutavad“. Ja nagu sageli juhtub, toob juhuslik puutetunne maksimaalselt probleeme.

Andmekeskuse tööle võib mõju avaldada ka personali eesmärgipäratu kasutamine selle ressursside osas, näiteks illegaalne kaevandamine. Nendel juhtudel võivad abi osutada keskuse infrastruktuuri juhtimise süsteemid (DCIM).

Ka personal vajab kaitset, kuna inimest nimetatakse tihti kaitsesüsteemide kõige haavatavamaks lüliks. Professionaalsete kurjategijate sihikindlad rünnakud algavad kõige sagedamini sotsiaalsete inseneerimismeetodite kasutamisest. Tihti langevad isegi kõige kaitstud süsteemid või neil on rikkumisi pärast seda, kui keegi kuskil vajutas/ allalaadimiseks tegi. Selliseid riske on võimalik minimeerida, koolitades personali ja rakendades parimaid maailmas tuntud praktikaid infosüsteemide turvalisuse valdkonnas.

Inseneri infrastruktuuri kaitse

Traditsioonilised ohud andmekeskuse toimimisele — elektrikatkestused ja jahutussüsteemide rikkeid. Need ohud on muutunud juba harjumiseks ja nendega on õppida toime tulema.

Uueks trendiks on laialdane „nutika“ seadmete juurutamine, mis on omavahel seotud: juhitavad UPS-id, intelligentsed jahutus- ja ventilatsioonisüsteemid, mitmesugused juhid ja andurid, mis on ühendatud jälgimissüsteemidega. Kui hakatakse koostama andmekeskuse ohumudelit, ei tohiks unustada tõenäosust rünnaku tegemiseks infrastruktuuri võrgule (võib-olla ka andmekeskuse IT-võrgule). Situatsiooni keeruliseks muudab asjaolu, et osa seadmeid (nt chillereid) võib paigaldada väljapoole andmekeskust, näiteks renditava hoone katusel.

Sidekanalite kaitse

Kui andmekeskus pakub teenuseid mitte ainult colocation mudeliga, siis tuleb tegeleda ka pilvekaitsega. Check Pointi andmetel puutus 51% organisatsioonidest üle kogu maailma eelmisel aastal kokku pilvestruktuuride rünnakutega. DDoS-rünnakud peatavad äri, krüptovirocid nõuavad lunaraha, sihitud rünnakud pangasüsteemidele viivad raha vargusele korrektselt.

Väliste sissetungide ohud muretsenud ka andmekeskuste infosüsteemide turbespetsialiste. Andmekeskustele on kõige aktuaalsemad jaotatud rünnakud, mis on suunatud teenuste osutamise lõpetamisele, samuti häkimise, andmete varguse või muutmise ohud, mis sisaldavad virtuaalset infrastruktuuri või salvestussüsteeme.

Andmekeskuse välist perimeetrit kaitsevad kaasaegsed süsteemid, mis tuvastavad ja neutraliseerivad kahjulikke koode, rakenduste kontrollimist ning võimaldavad kasutada proaktiivse kaitse tehnoloogiat Threat Intelligence. Mõnel juhul paigutatakse süsteemid IPS (sissetungide ennetamine) funktsionaalsusega, mis kohaneb automaatselt kaitstava keskkonna parameetritega.

DDoS-rünnakute kaitseks kasutavad Venemaa ettevõtted tavaliselt väliseid spetsialiseeritud teenuseid, mis suunavad liikluse teistele sõlmedele ja filtreerivad seda pilves. Kaitse operaatori poolel toimub tõhusamalt kui kliendi poolel ning andmekeskused tegutsevad teenuste müümise vahendajatena.

Andmet centros võivad toimuda ka sise-DDoS-rünnakud: kurjategija pääseb ühele ettevõttele nõrgalt kaitstud serverite kaudu, mis asuvad co-locatsiooni mudeliga, ja ründab sealt sisevõrgus teiste selle andmekeskuse klientide teenuseid "teenuse kättesaamatuse" rünnakuga.

Tähtis on virtuaalsed keskkonnad

Oluline on arvestada kaitstava objekti spetsiifikat — virtualiseerimise vahendite kasutamine, IT-infrastruktuuride dünaamiline muutmine, teenuste omavaheline seotus, kus ühe kliendi edukas rünnak võib ohustada naabrite turvalisust. Näiteks, kui rünnatakse frontend-konteinerit PaaS-i baasil Kubernetes'is, võib ründaja kohe saada ligipääsu kogu parooliteabele ja isegi orkestrimisse.

Teenuse mudelina pakutavad tooted sisaldavad kõrget automatiseerimise taset. Et mitte takistada äri, peaks ka andmekaitsemeetmete automatiseerimise ja horisontaalse skaleerimise tase olema mitte väiksem. Skaleerimine peab toimuma kõigil info­­turbe tasanditel, sealhulgas juurdepääsu kontrolli ja juurdepääsuvõtmete roratsiooni automatiseerimine. Eriline ülesanne on skaleerida funktsionaalsetele moodulitele, mis teostavad võrguliikluse inspekteerimist.

Näiteks peaks võrguliikluse filtreerimine rakendus-, võrgu- ja seansitasemel andmekeskustes, kus on kõrge virtualiseerimise tase, toimuma hüperviisori võrgumoodulite tasemel (näiteks VMware jaotatud tulemüür) või teenuste ahelate loomise kaudu (virtuaalsed tulemüürid Palo Alto Networksilt).

Kui virtualiseeritud arvutusressursside tasandil on nõrgad kohad, siis platvormi tasandil info­­turbe kompleksse süsteemi loomise jõupingutused osutuvad ebaefektiivseks.

Informatsiooni kaitse tasemed andmekeskustes

Üldine lähenemine kaitsele — integreeritud, mitme tasandi info­­turbe süsteemide kasutamine, mis hõlmavad makrossegmenteerimist tulemüüride tasandil (erinevate ärifunktsioonide jaoks segmentide eraldamine), mikrossegmenteerimist virtuaalsete tulemüüride baasil või liikluse markeerimist gruppide (kasutaja või teenuse rollide) siltidega, mis on määratud juurdepääsu poliitikate järgi.

Järgmine tase on anomaaliate avastamine segmentide sees ja nende vahel. Analüüsitakse liikluse dünaamikat, mis võib viidata pahatahtlike tegevuste, näiteks võrgu skaneerimise, DDoS rünnakute katsete, andmete allalaadimisega, näiteks andmebaasi failide lõikamise ja nende perioodiliselt ilmuvate seansside kaudu, millega ollakse kauem aega. Andmekeskustes toimub tohutu liiklusmaht, mistõttu anomaaliate tuvastamiseks tuleb kasutada edasijõudnud otsingu algoritme, hoidudes pakettide analüüsist. Oluline on, et mitte ainult pahatahtliku ja anomaalse tegevuse tunnuseid, vaid ka pahatahtliku tarkvara tegevust tuvastataks isegi krüpteeritud liikluses ilma selle dekrüpteerimata, nagu pakutakse Cisco lahendustes (Stealthwatch).

Viimane takistus — kohaliku võrgu lõpp-seadmete kaitse: serverid ja virtuaalsed masinad, näiteks agentide abil, mida installitakse lõpp-seadmetele (virtuaalsed masinad), mis analüüsivad sisend-väljund operatsioone, kustutamist, kopeerimist ja võrgu tegevusi, edastavad andmeid pilve, kus teostatakse suurt arvutusvõimsust vajavad arvutused. Seal teostatakse analüüsi Big Data algoritmide abil, luuakse masinloogika puid ja tuvastatakse anomaaliad. Algoritmid õpetavad ennast ise massiivsete andmete alusel, mida globaalse sensorite võrgu kaudu tarnitakse.

Saab hakkama ka ilma agentide installimiseta. Kaasaegsed andmekaitsevahendid peavad olema agendi-vabad ja integreeruma operatsioonisüsteemidega hüperviisori tasemel.
Loetletud meetmed vähendavad info­­turbe riske oluliselt, kuid see võib olla ebapiisav andmekeskustele, mis automatiseerivad suurte riskidega tootmisprotsesse, näiteks tuumaelektrijaamas.

Regulaatorite nõuded

Sõltuvalt töödeldavast teabest peavad andmekeskuse füüsilised ja virtualiseeritud infrastruktuurid vastama erinevatele turvanõuetele, mis on sõnastatud seadustes ja tööstusstandardites.

Selliseid seadusi kuulub seadus „Isikuandmete kaitse seadus“ (152-ФЗ) ja sel aastal jõustunud seadus „Kritilise infrastruktuuri objektide kaitse seadus“ (187-ФЗ) — prokuratuur on juba hakanud huvituma selle täitmise käigust. Vaidlused andmekeskuste kuuluvuse üle kriitilise infrastruktuuri subjektidele käivad endiselt, kuid tõenäoliselt peavad andmekeskused, kes soovivad osutada teenuseid kriitilise infrastruktuuri subjektidele, uue seadusandluse nõudeid täitma.

Andmekeskustele, kus on paigaldatud riiklikud infotehnoloogilised süsteemid, ei ole lihtne. Vastavalt Venemaa Föderatsiooni valitsuse määrusele 11.05.2017 nr 555 tuleb infotehnoloogia turvalisuse küsimused lahendada enne GISi tootmisse toomist. Ja andmekeskus, mis soovib oma võimsustes GISi paigutada, peab eelnevalt vastama regulaatorite nõuetele.

Viimase 30 aasta jooksul on andmekeskuste turvaprotseduuride süsteem teinud tohutu arengu: lihtsatest füüsilise kaitse ja organisatsiooniliste meetmete süsteemidest, mis ei ole siiski kaotanud oma asjakohasust, keerukateks intelligentseteks süsteemideks, kus kasutatakse üha enam tehisintellekti elemente. Kuid lähenemise olemus ei ole muutunud. Kõige uuemad tehnoloogiad ei päästa ilma organisatsiooniliste meetmete ja personali koolitamiseta, ning paberid — ilma tarkvara ja tehnilisi lahendusteta. Andmekeskuse turvalisust ei saa täita ühekordselt, see on pidev igapäevane töö esmatähtsate ohtude tuvastamisel ja ilmnevate probleemide komplekssetes lahendustes.

Mida veel huvitavat blogis lugeda Cloud4Y

→ Seadistame top GNU/Linuxis
→ Pentesterid küberturvalisuse esirinnas
→ Tehisintellekti tee fantaasiast teadusharu suunas
→ 4 viisi, kuidas pilves varundamisel raha säästa
→ Uduse ajalugu

Liituge meiega Telegram-kanal, et mitte jääda ilma järgmise artikli lugemisest! Kirjutame mitte sagedamini kui kaks korda nädalas ja ainult asjakohaselt. Samuti tuletame meelde, et saate tasuta testida Cloud4Y pilve lahendusi.

Allikas: habr.com