Op in dei krigen wy in fersyk foar wolktsjinsten. Wy sketste yn algemiene termen wat fan ús easke soe en stjoerde in list mei fragen werom om de details te ferdúdlikjen. Doe analysearren wy de antwurden en realisearre: de klant wol persoanlike gegevens fan it twadde nivo fan feiligens yn 'e wolk pleatse. Wy antwurdzje him: "Jo hawwe in twadde nivo fan persoanlike gegevens, sorry, wy kinne allinich in privee wolk meitsje." En hy: "Jo witte, mar yn bedriuw X kinne se my alles iepenbier pleatse."
Foto troch Steve Crisp, Reuters
Nuvere dingen! Wy gongen nei de webside fan bedriuw X, studearre har sertifikaasjedokuminten, skodden ús hollen en realisearre: d'r binne in protte iepen fragen yn 'e pleatsing fan persoanlike gegevens en se moatte yngeand oanpakt wurde. Dat sille wy dwaan yn dizze post.
Hoe moat alles wurkje
Lit ús earst útfine hokker kritearia wurde brûkt om persoanlike gegevens te klassifisearjen as ien of oar nivo fan feiligens. Dit hinget ôf fan 'e kategory fan gegevens, it oantal ûnderwerpen fan dizze gegevens dy't de operator opslacht en ferwurket, lykas it type aktuele bedrigingen.
De soarten hjoeddeistige bedrigingen wurde definieare yn datearre 1 novimber 2012 "Op goedkarring fan easken foar de beskerming fan persoanlike gegevens tidens harren ferwurking yn persoanlike gegevens ynformaasje systemen":
"Type 1-bedrigingen binne relevant foar in ynformaasjesysteem as it omfettet hjoeddeistige bedrigings yn ferbân mei mei de oanwêzigens fan net dokumintearre (net ferklearre) mooglikheden yn systeem softwarebrûkt yn it ynformaasjesysteem.
Bedrigingen fan it 2e type binne relevant foar in ynformaasjesysteem as dêrfoar, ynklusyf hjoeddeistige bedrigings yn ferbân mei mei de oanwêzigens fan net dokumintearre (net ferklearre) mooglikheden yn applikaasje softwarebrûkt yn it ynformaasjesysteem.
Bedrigings fan it 3e type binne relevant foar in ynformaasjesysteem as dêrfoar bedrigings dy't net besibbe binne mei de oanwêzigens fan net dokumintearre (net ferklearre) mooglikheden yn systeem- en applikaasjesoftwarebrûkt yn it ynformaasjesysteem."
It wichtichste ding yn dizze definysjes is de oanwêzigens fan net-dokumintearre (net ferklearre) mooglikheden. Om it ûntbrekken fan net-dokumintearre softwaremooglikheden te befestigjen (yn it gefal fan 'e wolk is dit in hypervisor), wurdt sertifikaasje útfierd troch FSTEC fan Ruslân. As de PD-operator akseptearret dat der gjin sokke mooglikheden binne yn 'e software, dan binne de oerienkommende bedrigingen irrelevant. Bedrigingen fan typen 1 en 2 wurde ekstreem komselden beskôge as relevant troch PD-operators.
Neist it fêststellen fan it nivo fan PD-feiligens, moat de operator ek spesifike aktuele bedrigingen foar de iepenbiere wolk bepale en, basearre op it identifisearre nivo fan PD-feiligens en aktuele bedrigingen, de nedige maatregels en beskermingsmiddels bepale tsjin har.
FSTEC listet dúdlik alle wichtichste bedrigingen yn (bedrigingsdatabase). Oanbieders en beoarders fan wolkinfrastruktuer brûke dizze databank yn har wurk. Hjir binne foarbylden fan bedrigingen:
: "De bedriging is de mooglikheid om de feiligens fan brûkersgegevens fan programma's dy't yn in firtuele masine operearje te skeinen troch kweade software dy't bûten de firtuele masine wurket." Dizze bedriging komt troch de oanwêzigens fan kwetsberens yn 'e hypervisor-software, dy't soarget dat de adresromte dy't brûkt wurdt om brûkersgegevens op te slaan foar programma's dy't operearje yn' e firtuele masine is isolearre fan unautorisearre tagong troch kweade software dy't bûten de firtuele masine wurket.
De ymplemintaasje fan dizze bedriging is mooglik op betingst dat de kweade programmakoade de grinzen fan 'e firtuele masine mei súkses oerwint, net allinich troch de kwetsberens fan' e hypervisor te eksploitearjen, mar ek troch sa'n ynfloed út te fieren fan legere (relatyf oan 'e hypervisor) nivo's fan systeem wurket."
: "De bedriging leit yn 'e mooglikheid fan unautorisearre tagong ta de beskerme ynformaasje fan ien wolktsjinstkonsumint fan in oare. Dizze bedriging komt troch it feit dat, troch de aard fan wolktechnologyen, konsuminten fan wolktsjinsten deselde wolkynfrastruktuer moatte diele. Dizze bedriging kin realisearre wurde as flaters wurde makke by it skieden fan wolkynfrastruktuer-eleminten tusken konsuminten fan wolktsjinsten, lykas by it isolearjen fan har boarnen en it skieden fan gegevens fan elkoar.
Jo kinne allinich beskermje tsjin dizze bedrigingen mei help fan in hypervisor, om't it dejinge is dy't firtuele boarnen beheart. Sa moat de hypervisor beskôge wurde as in middel fan beskerming.
En yn oerienstimming mei fan 18 febrewaris 2013, moat de hypervisor sertifisearre wurde as net-NDV op nivo 4, oars sil it brûken fan nivo 1 en 2 persoanlike gegevens dêrmei yllegaal wêze ("Klausule 12. ... Om nivo 1 en 2 fan befeiliging fan persoanlike gegevens te garandearjen, en ek om nivo 3 fan befeiliging fan persoanlike gegevens te garandearjen yn ynformaasjesystemen wêrfoar type 2-bedrigingen as aktueel klassifisearre binne, wurde ark foar ynformaasjefeiligens brûkt, wêrfan de software is testen op syn minst neffens 4 nivo fan kontrôle oer it ûntbrekken fan net ferklearre mooglikheden").
Allinich ien hypervisor, ûntwikkele yn Ruslân, hat it fereaske nivo fan sertifisearring, NDV-4. . Om it myld te sizzen, net de meast populêre oplossing. Kommersjele wolken wurde normaal boud op basis fan VMware vSphere, KVM, Microsoft Hyper-V. Gjin fan dizze produkten binne NDV-4 sertifisearre. Wêrom? It is wierskynlik dat it krijen fan sa'n sertifisearring foar fabrikanten noch net ekonomysk terjochte is.
En alles wat foar ús bliuwt foar persoanlike gegevens fan nivo 1 en 2 yn 'e iepenbiere wolk is Horizon BC. Spitich mar wier.
Hoe alles (nei ús miening) echt wurket
Op it earste each is alles frij strang: dizze bedrigingen moatte wurde eliminearre troch it korrekt konfigurearjen fan de standert beskermingmeganismen fan in hypervisor sertifisearre neffens NDV-4. Mar der is ien gat. Yn oerienstimming mei FSTEC Order No. 21 ("klausule 2 De feiligens fan persoanlike gegevens by ferwurking yn it ynformaasjesysteem foar persoanlike gegevens (hjirnei oantsjutten as it ynformaasjesysteem) wurdt garandearre troch de operator of de persoan dy't persoanlike gegevens ferwurket út namme fan de operator yn oerienstimming mei Russyske Federaasje"), oanbieders selsstannich beoardielje de relevânsje fan mooglike bedrigingen en kieze dêrfoar beskermingsmaatregels. Dêrom, as jo de bedrigingen UBI.44 en UBI.101 net as aktueel akseptearje, dan sil d'r gjin need wêze om in hypervisor te brûken dy't sertifisearre is neffens NDV-4, dat is krekt wat beskerming tsjin har moat leverje. En dit sil genôch wêze om in sertifikaat fan konformiteit fan 'e iepenbiere wolk te krijen mei nivo's 1 en 2 fan persoanlike gegevensfeiligens, wêrmei Roskomnadzor folslein tefreden wêze sil.
Fansels kin, neist Roskomnadzor, FSTEC komme mei in ynspeksje - en dizze organisaasje is folle sekuerder yn technyske saken. Se sil nei alle gedachten wêze ynteressearre yn wêrom krekt de bedrigings UBI.44 en UBI.101 waarden beskôge irrelevant? Mar meastentiids ûndernimt FSTEC in ynspeksje allinich as it ynformaasje krijt oer guon wichtige ynsidinten. Yn dit gefal komt de federale tsjinst earst nei de operator fan persoanlike gegevens - dat is de klant fan wolktsjinsten. Yn it slimste gefal krijt de operator in lytse boete - bygelyks foar Twitter oan it begjin fan it jier yn in ferlykber gefal bedroech 5000 roebel. Dan giet FSTEC fierder nei de cloud tsjinstferliener. Wat miskien wol fan in lisinsje ûntnommen wurde kin troch it net foldwaan oan regeljouwingeasken - en dit binne folslein oare risiko's, sawol foar de wolkprovider as foar har kliïnten. Mar, ik werhelje, Om FSTEC te kontrolearjen, hawwe jo normaal in dúdlike reden nedich. Dus wolkproviders binne ree om risiko's te nimmen. Oant it earste serieuze ynsidint.
D'r is ek in groep "ferantwurdlikere" oanbieders dy't leauwe dat it mooglik is om alle bedrigingen te sluten troch in add-on lykas vGate ta te foegjen oan 'e hypervisor. Mar yn in firtuele omjouwing ferspraat ûnder klanten foar guon bedrigings (bygelyks, de boppesteande UBI.101), in effektyf beskerming meganisme kin allinnich wurde ymplemintearre op it nivo fan in hypervisor sertifisearre neffens NDV-4, sûnt alle add-on systemen oan de standert funksjes fan 'e hypervisor foar it behearen fan boarnen (benammen RAM) hawwe gjin ynfloed.
Hoe't wy wurkje
Wy hawwe in wolk segment útfierd op in hypervisor sertifisearre troch FSTEC (mar sûnder sertifisearring foar NDV-4). Dit segmint is sertifisearre, sadat persoanlike gegevens kinne wurde opslein yn 'e wolk basearre op it 3 en 4 nivo's fan feiligens - easken foar beskerming tsjin net ferklearre mooglikheden hoege hjir net te foldwaan. Hjir is trouwens de arsjitektuer fan ús feilige wolksegment:
Systemen foar persoanlike gegevens 1 en 2 nivo's fan feiligens Wy implementearje allinich op tawijde apparatuer. Allinnich yn dit gefal, bygelyks, de bedriging fan UBI.101 is echt net relevant, sûnt server racks dy't net ferienige troch ien firtuele omjouwing kin net beynfloedzje inoar sels as se yn itselde data sintrum. Foar sokke gefallen, wy biede in tawijd apparatuer ferhier tsjinst (it wurdt ek neamd Hardware as in tsjinst).
As jo net wis binne hokker nivo fan feiligens nedich is foar jo persoanlike gegevenssysteem, helpe wy ek by it klassifisearjen.
konklúzje
Us lytse merkûndersyk liet sjen dat guon wolkoperators frijwat ree binne om sawol de feiligens fan klantgegevens as har eigen takomst te riskearjen om in bestelling te ûntfangen. Mar yn dizze saken hâlde wy ús oan in oar belied, dat wy hjirboppe koart beskreaun hawwe. Wy sille bliid wêze om jo fragen te beantwurdzjen yn 'e kommentaren.
Boarne: www.habr.com