GOST R 57580 અને કન્ટેનર વર્ચ્યુઅલાઈઝેશન સાથે મિત્રો કેવી રીતે બનાવવું. સેન્ટ્રલ બેંકનો પ્રતિભાવ (અને આ બાબતે અમારા વિચારો)

થોડા સમય પહેલા અમે GOST R 57580 (ત્યારબાદ ફક્ત GOST તરીકે ઓળખાય છે) ની આવશ્યકતાઓનું પાલન કરવાનું બીજું મૂલ્યાંકન કર્યું હતું. ક્લાયંટ એ એક કંપની છે જે ઇલેક્ટ્રોનિક ચુકવણી સિસ્ટમ વિકસાવે છે. સિસ્ટમ ગંભીર છે: 3 મિલિયનથી વધુ વપરાશકર્તાઓ, દરરોજ 200 હજારથી વધુ વ્યવહારો. તેઓ ત્યાં માહિતી સુરક્ષાને ખૂબ જ ગંભીરતાથી લે છે.

મૂલ્યાંકન પ્રક્રિયા દરમિયાન, ક્લાયન્ટે આકસ્મિક રીતે જાહેરાત કરી કે વિકાસ વિભાગ, વર્ચ્યુઅલ મશીનો ઉપરાંત, કન્ટેનરનો ઉપયોગ કરવાની યોજના ધરાવે છે. પરંતુ આ સાથે, ક્લાયંટે ઉમેર્યું, ત્યાં એક સમસ્યા છે: GOST માં સમાન ડોકર વિશે એક શબ્દ નથી. મારે શું કરવું જોઈએ? કન્ટેનરની સુરક્ષાનું મૂલ્યાંકન કેવી રીતે કરવું?

તે સાચું છે, GOST ફક્ત હાર્ડવેર વર્ચ્યુઅલાઈઝેશન વિશે જ લખે છે - વર્ચ્યુઅલ મશીનો, હાઈપરવાઈઝર અને સર્વરને કેવી રીતે સુરક્ષિત કરવું તે વિશે. અમે સેન્ટ્રલ બેંક પાસે સ્પષ્ટતા માંગી છે. જવાબ અમને મૂંઝવણમાં મૂકે છે.

GOST અને વર્ચ્યુઅલાઈઝેશન

શરૂઆતમાં, ચાલો યાદ કરીએ કે GOST R 57580 એ એક નવું ધોરણ છે જે "નાણાકીય સંસ્થાઓની માહિતી સુરક્ષા સુનિશ્ચિત કરવા માટેની આવશ્યકતાઓ" (FI) નો ઉલ્લેખ કરે છે. આ FIsમાં પેમેન્ટ સિસ્ટમ્સના ઓપરેટરો અને સહભાગીઓ, ક્રેડિટ અને નોન-ક્રેડિટ સંસ્થાઓ, ઓપરેશનલ અને ક્લિયરિંગ સેન્ટરનો સમાવેશ થાય છે.

1 જાન્યુઆરી, 2021 થી, FI એ હાથ ધરવા જરૂરી છે નવા GOST ની આવશ્યકતાઓ સાથે પાલનનું મૂલ્યાંકન. અમે, ITGLOBAL.COM, એક ઓડિટ કંપની છીએ જે આવા આકારણીઓ કરે છે.

GOST પાસે વર્ચ્યુઅલાઈઝ્ડ વાતાવરણના રક્ષણ માટે સમર્પિત પેટાવિભાગ છે - નંબર 7.8. શબ્દ "વર્ચ્યુઅલાઈઝેશન" ત્યાં ઉલ્લેખિત નથી; હાર્ડવેર અને કન્ટેનર વર્ચ્યુઅલાઈઝેશનમાં કોઈ વિભાજન નથી. કોઈપણ IT નિષ્ણાત કહેશે કે ટેકનિકલ દૃષ્ટિકોણથી આ ખોટું છે: વર્ચ્યુઅલ મશીન (VM) અને કન્ટેનર અલગ-અલગ અલગતા સિદ્ધાંતો સાથે અલગ-અલગ વાતાવરણ છે. હોસ્ટની નબળાઈના દૃષ્ટિકોણથી કે જેના પર VM અને Docker કન્ટેનર તૈનાત છે, આ પણ એક મોટો તફાવત છે.

તે તારણ આપે છે કે VM અને કન્ટેનરની માહિતી સુરક્ષાનું મૂલ્યાંકન પણ અલગ હોવું જોઈએ.

સેન્ટ્રલ બેંકને અમારા પ્રશ્નો

અમે તેમને સેન્ટ્રલ બેંકના માહિતી સુરક્ષા વિભાગમાં મોકલ્યા (અમે સંક્ષિપ્ત સ્વરૂપમાં પ્રશ્નો રજૂ કરીએ છીએ).

1. GOST અનુપાલનનું મૂલ્યાંકન કરતી વખતે ડોકર-પ્રકારના વર્ચ્યુઅલ કન્ટેનરને કેવી રીતે ધ્યાનમાં લેવું? શું GOST ના પેટાકલમ 7.8 અનુસાર ટેકનોલોજીનું મૂલ્યાંકન કરવું યોગ્ય છે?
2. વર્ચ્યુઅલ કન્ટેનર મેનેજમેન્ટ ટૂલ્સનું મૂલ્યાંકન કેવી રીતે કરવું? શું તેમને સર્વર વર્ચ્યુઅલાઈઝેશન ઘટકો સાથે સમાન કરવું અને GOST ના સમાન પેટાવિભાગ અનુસાર તેનું મૂલ્યાંકન કરવું શક્ય છે?
3. શું મારે ડોકર કન્ટેનરની અંદરની માહિતીની સુરક્ષાનું અલગથી મૂલ્યાંકન કરવાની જરૂર છે? જો એમ હોય તો, આકારણી પ્રક્રિયા દરમિયાન આ માટે કયા સલામતીનો વિચાર કરવો જોઈએ?
4. જો કન્ટેનરાઇઝેશન વર્ચ્યુઅલ ઇન્ફ્રાસ્ટ્રક્ચરની સમાન હોય અને પેટાકલમ 7.8 અનુસાર મૂલ્યાંકન કરવામાં આવે, તો વિશેષ માહિતી સુરક્ષા સાધનોના અમલીકરણ માટે GOST જરૂરિયાતો કેવી રીતે લાગુ કરવામાં આવે છે?

સેન્ટ્રલ બેંકનો જવાબ

નીચે મુખ્ય અવતરણો છે.

“GOST R 57580.1-2017 નીચેના પગલાંના સંબંધમાં તકનીકી પગલાંની અરજી દ્વારા અમલીકરણ માટેની આવશ્યકતાઓ સ્થાપિત કરે છે, GOST R 7.8-57580.1 ના ZI પેટાકલમ 2017, જે, વિભાગના મતે, કન્ટેનર વર્ચ્યુઅલાઈઝેશનનો ઉપયોગ કરવાના કેસોમાં વિસ્તૃત કરી શકાય છે. નીચેની બાબતોને ધ્યાનમાં લેતા તકનીકો:

• વર્ચ્યુઅલ મશીનો અને વર્ચ્યુઅલાઈઝેશન સર્વર ઘટકોમાં લોજિકલ એક્સેસ લાગુ કરતી વખતે ઓળખ, પ્રમાણીકરણ, અધિકૃતતા (એક્સેસ કંટ્રોલ) ગોઠવવા માટેના પગલાં ZSV.1 - ZSV.11 નો અમલ કન્ટેનર વર્ચ્યુઅલાઈઝેશન ટેક્નોલોજીનો ઉપયોગ કરવાના કિસ્સાઓથી અલગ હોઈ શકે છે. આને ધ્યાનમાં રાખીને, સંખ્યાબંધ પગલાં અમલમાં મૂકવા માટે (ઉદાહરણ તરીકે, ZVS.6 અને ZVS.7), અમે માનીએ છીએ કે નાણાકીય સંસ્થાઓ વળતરના પગલાં વિકસાવે તેવી ભલામણ કરવી શક્ય છે જે સમાન લક્ષ્યોને અનુસરશે;
• સંગઠન અને વર્ચ્યુઅલ મશીનોની માહિતીની ક્રિયાપ્રતિક્રિયાના નિયંત્રણ માટે ZSV.13 - ZSV.22 ના પગલાંનો અમલ નાણાકીય સંસ્થાના કમ્પ્યુટર નેટવર્કના વિભાજન માટે પ્રદાન કરે છે જેથી કરીને વર્ચ્યુઅલાઈઝેશન ટેક્નોલોજીનો અમલ કરતા અને વિવિધ સુરક્ષા સર્કિટથી સંબંધિત ઈન્ફોર્મેશન ઑબ્જેક્ટ્સ વચ્ચે તફાવત કરી શકાય. આને ધ્યાનમાં લેતા, અમે માનીએ છીએ કે કન્ટેનર વર્ચ્યુઅલાઈઝેશન ટેક્નોલોજી (બંને એક્ઝિક્યુટેબલ વર્ચ્યુઅલ કન્ટેનરના સંબંધમાં અને ઑપરેટિંગ સિસ્ટમ સ્તરે વપરાતી વર્ચ્યુઅલાઈઝેશન સિસ્ટમ્સના સંબંધમાં) નો ઉપયોગ કરતી વખતે યોગ્ય વિભાજન પ્રદાન કરવાની સલાહ આપવામાં આવે છે;
• વર્ચ્યુઅલ મશીનોની છબીઓના રક્ષણને ગોઠવવા માટે ZSV.26, ZSV.29 - ZSV.31 પગલાંનો અમલ વર્ચ્યુઅલ કન્ટેનરની મૂળભૂત અને વર્તમાન છબીઓને સુરક્ષિત કરવા માટે સમાનતા દ્વારા પણ હાથ ધરવામાં આવવો જોઈએ;
• વર્ચ્યુઅલ મશીનો અને સર્વર વર્ચ્યુઅલાઈઝેશન ઘટકોની ઍક્સેસ સંબંધિત માહિતી સુરક્ષા ઘટનાઓને રેકોર્ડ કરવા માટે ZVS.32 - ZVS.43 ના પગલાંનો અમલ કન્ટેનર વર્ચ્યુઅલાઈઝેશન ટેક્નોલોજીનો અમલ કરતા વર્ચ્યુઅલાઈઝેશન પર્યાવરણના ઘટકોના સંબંધમાં પણ સાદ્રશ્ય દ્વારા હાથ ધરવામાં આવવો જોઈએ.

તેનો અર્થ શું છે

સેન્ટ્રલ બેંકના માહિતી સુરક્ષા વિભાગના પ્રતિભાવમાંથી બે મુખ્ય તારણો:

• કન્ટેનરને સુરક્ષિત કરવાના પગલાં વર્ચ્યુઅલ મશીનોને સુરક્ષિત કરવાના પગલાંથી અલગ નથી;
• તે આનાથી અનુસરે છે કે, માહિતી સુરક્ષાના સંદર્ભમાં, સેન્ટ્રલ બેંક બે પ્રકારના વર્ચ્યુઅલાઈઝેશનને સમાન કરે છે - ડોકર કન્ટેનર અને વીએમ.

પ્રતિભાવમાં "વળતરના પગલાં" નો પણ ઉલ્લેખ કરવામાં આવ્યો છે જે ધમકીઓને બેઅસર કરવા માટે લાગુ કરવાની જરૂર છે. તે ફક્ત અસ્પષ્ટ છે કે આ "વળતરના પગલાં" શું છે અને તેમની પર્યાપ્તતા, સંપૂર્ણતા અને અસરકારકતાને કેવી રીતે માપવા.

સેન્ટ્રલ બેંકની સ્થિતિ સાથે શું ખોટું છે?

જો તમે મૂલ્યાંકન (અને સ્વ-મૂલ્યાંકન) દરમિયાન સેન્ટ્રલ બેંકની ભલામણોનો ઉપયોગ કરો છો, તો તમારે સંખ્યાબંધ તકનીકી અને તાર્કિક મુશ્કેલીઓ હલ કરવાની જરૂર છે.

• દરેક એક્ઝિક્યુટેબલ કન્ટેનરને તેના પર ઇન્ફર્મેશન પ્રોટેક્શન સોફ્ટવેર (IP) ઇન્સ્ટોલ કરવાની જરૂર છે: એન્ટિવાયરસ, ઇન્ટિગ્રિટી મોનિટરિંગ, લૉગ્સ સાથે કામ કરવું, DLP સિસ્ટમ્સ (ડેટા લીક પ્રિવેન્શન), વગેરે. આ બધું કોઈપણ સમસ્યા વિના VM પર ઇન્સ્ટોલ કરી શકાય છે, પરંતુ કન્ટેનરના કિસ્સામાં, માહિતી સુરક્ષા સ્થાપિત કરવી એ વાહિયાત ચાલ છે. કન્ટેનરમાં "બોડી કીટ" ની ન્યૂનતમ રકમ હોય છે જે સેવાને કાર્ય કરવા માટે જરૂરી છે. તેમાં SZI ઇન્સ્ટોલ કરવું તેના અર્થનો વિરોધાભાસ કરે છે.
• કન્ટેનરની છબીઓ સમાન સિદ્ધાંત અનુસાર સુરક્ષિત હોવી જોઈએ; આને કેવી રીતે અમલમાં મૂકવું તે પણ અસ્પષ્ટ છે.
• GOST ને સર્વર વર્ચ્યુઅલાઈઝેશન ઘટકોની ઍક્સેસને પ્રતિબંધિત કરવાની જરૂર છે, એટલે કે, હાઈપરવાઈઝર સુધી. ડોકરના કિસ્સામાં સર્વર ઘટક શું ગણવામાં આવે છે? શું આનો અર્થ એ નથી કે દરેક કન્ટેનરને અલગ હોસ્ટ પર ચલાવવાની જરૂર છે?
• જો પરંપરાગત વર્ચ્યુઅલાઈઝેશન માટે સુરક્ષા રૂપરેખા અને નેટવર્ક સેગમેન્ટ્સ દ્વારા VM ને સીમાંકિત કરવું શક્ય છે, તો પછી સમાન હોસ્ટની અંદર ડોકર કન્ટેનરના કિસ્સામાં, આ કેસ નથી.

વ્યવહારમાં, દરેક ઓડિટર પોતાના જ્ઞાન અને અનુભવના આધારે કન્ટેનરની સુરક્ષાનું પોતાની રીતે મૂલ્યાંકન કરે તેવી શક્યતા છે. ઠીક છે, અથવા તેનું મૂલ્યાંકન કરશો નહીં, જો ત્યાં એક કે બીજું ન હોય.

માત્ર કિસ્સામાં, અમે 1 જાન્યુઆરી, 2021 થી એ ઉમેરીશું, લઘુત્તમ સ્કોર 0,7 કરતા ઓછો ન હોવો જોઈએ.

માર્ગ દ્વારા, અમે GOST 57580 અને સેન્ટ્રલ બેંક રેગ્યુલેશન્સની જરૂરિયાતો સંબંધિત નિયમનકારોના પ્રતિભાવો અને ટિપ્પણીઓ નિયમિતપણે પોસ્ટ કરીએ છીએ ટેલિગ્રામ ચેનલ.

શું કરવું તે

અમારા મતે, નાણાકીય સંસ્થાઓ પાસે સમસ્યાના ઉકેલ માટે માત્ર બે વિકલ્પો છે.

1. કન્ટેનર લાગુ કરવાનું ટાળો

જેઓ ફક્ત હાર્ડવેર વર્ચ્યુઅલાઈઝેશનનો ઉપયોગ કરવા માટે તૈયાર છે અને તે જ સમયે GOST અનુસાર નીચા રેટિંગ અને સેન્ટ્રલ બેંક તરફથી દંડથી ડરતા હોય તેવા લોકો માટેનો ઉકેલ.

એક વત્તા: GOST ના પેટાકલમ 7.8 ની આવશ્યકતાઓનું પાલન કરવું વધુ સરળ છે.

માઈનસ: આપણે કન્ટેનર વર્ચ્યુઅલાઈઝેશન પર આધારિત નવા વિકાસ સાધનોને છોડી દેવા પડશે, ખાસ કરીને ડોકર અને કુબરનેટ્સ.

2. GOST ના પેટાકલમ 7.8 ની જરૂરિયાતોનું પાલન કરવાનો ઇનકાર કરો

પરંતુ તે જ સમયે, કન્ટેનર સાથે કામ કરતી વખતે માહિતી સુરક્ષા સુનિશ્ચિત કરવા માટે શ્રેષ્ઠ પ્રયાસો લાગુ કરો. આ તે લોકો માટે ઉકેલ છે જેઓ નવી ટેક્નોલોજી અને તેઓ પ્રદાન કરેલી તકોને મહત્વ આપે છે. "શ્રેષ્ઠ પ્રથાઓ" દ્વારા અમારો અર્થ ડોકર કન્ટેનરની સુરક્ષા સુનિશ્ચિત કરવા માટે ઉદ્યોગ-સ્વીકૃત ધોરણો અને ધોરણો છે:

• યજમાન OS ની સુરક્ષા, યોગ્ય રીતે ગોઠવેલ લોગીંગ, કન્ટેનર વચ્ચે ડેટા વિનિમય પર પ્રતિબંધ, વગેરે;
• છબીઓની અખંડિતતા તપાસવા માટે ડોકર ટ્રસ્ટ ફંક્શનનો ઉપયોગ કરીને અને બિલ્ટ-ઇન નબળાઈ સ્કેનરનો ઉપયોગ કરીને;
• આપણે રિમોટ એક્સેસની સુરક્ષા અને સમગ્ર નેટવર્ક મોડલ વિશે ભૂલવું જોઈએ નહીં: ARP-સ્પૂફિંગ અને MAC-ફ્લડિંગ જેવા હુમલાઓ રદ કરવામાં આવ્યા નથી.

એક વત્તા: કન્ટેનર વર્ચ્યુઅલાઈઝેશનના ઉપયોગ પર કોઈ તકનીકી પ્રતિબંધો નથી.

માઈનસ: ત્યાં એક ઉચ્ચ સંભાવના છે કે નિયમનકાર GOST આવશ્યકતાઓનું પાલન ન કરવા બદલ સજા કરશે.

નિષ્કર્ષ

અમારા ક્લાયન્ટે કન્ટેનર ન આપવાનું નક્કી કર્યું. તે જ સમયે, તેણે કામના અવકાશ અને ડોકરમાં સંક્રમણના સમય પર નોંધપાત્ર રીતે પુનર્વિચાર કરવો પડ્યો (તેઓ છ મહિના સુધી ચાલ્યા). ક્લાયન્ટ જોખમોને સારી રીતે સમજે છે. તે એ પણ સમજે છે કે GOST R 57580 ના પાલનના આગામી મૂલ્યાંકન દરમિયાન, ઘણું બધું ઓડિટર પર નિર્ભર રહેશે.

આ પરિસ્થિતિમાં તમે શું કરશો?

સોર્સ: www.habr.com