डाटा सेंटर सूचना सुरक्षा

मॉस्को में स्थित NORD-2 डेटा सेंटर का मॉनिटरिंग सेंटर कुछ इस तरह दिखता है

सूचना सुरक्षा (आईएस) सुनिश्चित करने के लिए क्या उपाय किए जाते हैं, इसके बारे में आपने एक से अधिक बार पढ़ा है। कोई भी स्वाभिमानी आईटी विशेषज्ञ आसानी से 5-10 सूचना सुरक्षा नियम बता सकता है। Cloud4Y डेटा केंद्रों की सूचना सुरक्षा के बारे में बात करने की पेशकश करता है।

डेटा सेंटर की सूचना सुरक्षा सुनिश्चित करते समय, सबसे अधिक "संरक्षित" वस्तुएं हैं:

• सूचना संसाधन (डेटा);
• सूचना एकत्र करने, प्रसंस्करण, भंडारण और संचारित करने की प्रक्रियाएँ;
• सिस्टम उपयोगकर्ता और रखरखाव कर्मी;
• सूचना अवसंरचना, जिसमें सूचना विनिमय चैनल, सूचना सुरक्षा प्रणाली और परिसर सहित सूचना के प्रसंस्करण, प्रसारण और प्रदर्शन के लिए हार्डवेयर और सॉफ्टवेयर उपकरण शामिल हैं।

डेटा सेंटर की जिम्मेदारी का क्षेत्र प्रदान की गई सेवाओं के मॉडल (IaaS/PaaS/SaaS) पर निर्भर करता है। यह कैसा दिखता है, नीचे चित्र देखें:

डेटा सेंटर सुरक्षा नीति का दायरा प्रदान की गई सेवाओं के मॉडल पर निर्भर करता है

सूचना सुरक्षा नीति विकसित करने का सबसे महत्वपूर्ण हिस्सा खतरों और उल्लंघनकर्ताओं का एक मॉडल बनाना है। डेटा सेंटर के लिए क्या खतरा बन सकता है?

1. प्राकृतिक, मानव निर्मित और सामाजिक प्रकृति की प्रतिकूल घटनाएँ
2. आतंकवादी, आपराधिक तत्व, आदि।
3. आपूर्तिकर्ताओं, प्रदाताओं, भागीदारों, ग्राहकों पर निर्भरता
4. विफलताएँ, विफलताएँ, विनाश, सॉफ़्टवेयर और हार्डवेयर को क्षति
5. डेटा सेंटर कर्मचारी कानूनी रूप से प्रदत्त अधिकारों और शक्तियों (आंतरिक सूचना सुरक्षा उल्लंघनकर्ताओं) का उपयोग करके सूचना सुरक्षा खतरों को लागू कर रहे हैं
6. डेटा सेंटर कर्मचारी जो कानूनी रूप से प्रदत्त अधिकारों और शक्तियों के बाहर सूचना सुरक्षा खतरों को लागू करते हैं, साथ ही ऐसी संस्थाएं जो डेटा सेंटर कर्मियों से संबंधित नहीं हैं, लेकिन अनधिकृत पहुंच और अनधिकृत कार्यों का प्रयास करती हैं (बाहरी सूचना सुरक्षा उल्लंघनकर्ता)
7. पर्यवेक्षी और नियामक अधिकारियों, वर्तमान कानून की आवश्यकताओं का अनुपालन न करना

जोखिम विश्लेषण - संभावित खतरों की पहचान करना और उनके कार्यान्वयन के परिणामों के पैमाने का आकलन करना - प्राथमिकता वाले कार्यों को सही ढंग से चुनने में मदद करेगा जिन्हें डेटा सेंटर सूचना सुरक्षा विशेषज्ञों को हल करना होगा, और हार्डवेयर और सॉफ्टवेयर की खरीद के लिए बजट की योजना बनाना होगा।

सुरक्षा सुनिश्चित करना एक सतत प्रक्रिया है जिसमें सूचना सुरक्षा प्रणाली की योजना, कार्यान्वयन और संचालन, निगरानी, ​​विश्लेषण और सुधार के चरण शामिल हैं। सूचना सुरक्षा प्रबंधन प्रणाली बनाने के लिए, तथाकथित "मांग चक्र'.

सुरक्षा नीतियों का एक महत्वपूर्ण हिस्सा उनके कार्यान्वयन के लिए कर्मियों की भूमिकाओं और जिम्मेदारियों का वितरण है। कानून में बदलाव, नए खतरों और उभरती सुरक्षा को प्रतिबिंबित करने के लिए नीतियों की लगातार समीक्षा की जानी चाहिए। और, निस्संदेह, कर्मचारियों को सूचना सुरक्षा आवश्यकताओं के बारे में बताएं और प्रशिक्षण प्रदान करें।

संगठनात्मक उपाय

कुछ विशेषज्ञ हैकिंग प्रयासों का विरोध करने के लिए व्यावहारिक कौशल को मुख्य मानते हुए "पेपर" सुरक्षा के बारे में संशय में हैं। बैंकों में सूचना सुरक्षा सुनिश्चित करने का वास्तविक अनुभव इसके विपरीत सुझाव देता है। सूचना सुरक्षा विशेषज्ञों के पास जोखिमों की पहचान करने और उन्हें कम करने में उत्कृष्ट विशेषज्ञता हो सकती है, लेकिन यदि डेटा सेंटर कर्मी उनके निर्देशों का पालन नहीं करते हैं, तो सब कुछ व्यर्थ हो जाएगा।

सुरक्षा, एक नियम के रूप में, पैसा नहीं लाती है, बल्कि केवल जोखिमों को कम करती है। इसलिए, इसे अक्सर परेशान करने वाली और गौण चीज़ के रूप में माना जाता है। और जब सुरक्षा विशेषज्ञ क्रोधित होने लगते हैं (ऐसा करने के हर अधिकार के साथ), तो अक्सर कर्मचारियों और परिचालन विभागों के प्रमुखों के साथ टकराव पैदा हो जाता है।

उद्योग मानकों और विनियामक आवश्यकताओं की उपस्थिति सुरक्षा पेशेवरों को प्रबंधन के साथ बातचीत में अपनी स्थिति का बचाव करने में मदद करती है, और अनुमोदित सूचना सुरक्षा नीतियां, नियम और विनियम कर्मचारियों को वहां निर्धारित आवश्यकताओं का अनुपालन करने की अनुमति देते हैं, जो अक्सर अलोकप्रिय निर्णयों के लिए आधार प्रदान करते हैं।

परिसर की सुरक्षा

जब कोई डेटा सेंटर कोलोकेशन मॉडल का उपयोग करके सेवाएं प्रदान करता है, तो ग्राहक के उपकरण तक भौतिक सुरक्षा और पहुंच नियंत्रण सुनिश्चित करना सामने आता है। इस उद्देश्य के लिए, बाड़ों (हॉल के बाड़ वाले हिस्से) का उपयोग किया जाता है, जो क्लाइंट की वीडियो निगरानी में होते हैं और जिन तक डेटा सेंटर कर्मियों की पहुंच सीमित होती है।

पिछली शताब्दी के अंत में भौतिक सुरक्षा वाले राज्य कंप्यूटर केंद्रों में हालात खराब नहीं थे। कंप्यूटर और वीडियो कैमरों के बिना भी, परिसर तक पहुंच नियंत्रण, आग बुझाने की व्यवस्था थी - आग लगने की स्थिति में, फ़्रीऑन स्वचालित रूप से मशीन कक्ष में छोड़ा जाता था।

आजकल शारीरिक सुरक्षा और भी बेहतर तरीके से सुनिश्चित की जाती है। पहुंच नियंत्रण और प्रबंधन प्रणाली (एसीएस) बुद्धिमान हो गई हैं, और पहुंच प्रतिबंध के बायोमेट्रिक तरीके पेश किए जा रहे हैं।

आग बुझाने की प्रणालियाँ कर्मियों और उपकरणों के लिए सुरक्षित हो गई हैं, जिनमें अग्नि क्षेत्र पर निषेध, अलगाव, शीतलन और हाइपोक्सिक प्रभाव के लिए स्थापनाएं शामिल हैं। अनिवार्य अग्नि सुरक्षा प्रणालियों के साथ, डेटा केंद्र अक्सर एस्पिरेशन-प्रकार की प्रारंभिक अग्नि पहचान प्रणाली का उपयोग करते हैं।

डेटा केंद्रों को बाहरी खतरों से बचाने के लिए - आग, विस्फोट, भवन संरचनाओं का ढहना, बाढ़, संक्षारक गैसें - सुरक्षा कक्ष और तिजोरियों का उपयोग किया जाने लगा, जिसमें सर्वर उपकरण लगभग सभी बाहरी हानिकारक कारकों से सुरक्षित रहते हैं।

कमजोर कड़ी व्यक्ति है

"स्मार्ट" वीडियो निगरानी प्रणाली, वॉल्यूमेट्रिक ट्रैकिंग सेंसर (ध्वनिक, इन्फ्रारेड, अल्ट्रासोनिक, माइक्रोवेव), एक्सेस कंट्रोल सिस्टम ने जोखिम कम कर दिया है, लेकिन सभी समस्याओं का समाधान नहीं किया है। ये साधन मदद नहीं करेंगे, उदाहरण के लिए, जब जिन लोगों को सही उपकरणों के साथ डेटा सेंटर में सही तरीके से प्रवेश कराया गया था, वे किसी चीज़ से "फंस गए" थे। और, जैसा कि अक्सर होता है, एक आकस्मिक खराबी अधिकतम समस्याएँ लेकर आएगी।

डेटा सेंटर का काम कर्मियों द्वारा इसके संसाधनों के दुरुपयोग, उदाहरण के लिए, अवैध खनन से प्रभावित हो सकता है। डेटा सेंटर इंफ्रास्ट्रक्चर मैनेजमेंट (डीसीआईएम) सिस्टम इन मामलों में मदद कर सकता है।

कर्मियों को भी सुरक्षा की आवश्यकता होती है, क्योंकि लोगों को अक्सर सुरक्षा प्रणाली में सबसे कमजोर कड़ी कहा जाता है। पेशेवर अपराधियों द्वारा लक्षित हमले अक्सर सोशल इंजीनियरिंग विधियों के उपयोग से शुरू होते हैं। अक्सर किसी के क्लिक/डाउनलोड/कुछ करने के बाद सबसे सुरक्षित सिस्टम क्रैश हो जाते हैं या उनमें समझौता हो जाता है। कर्मचारियों को प्रशिक्षण देने और सूचना सुरक्षा के क्षेत्र में वैश्विक सर्वोत्तम प्रथाओं को लागू करने से ऐसे जोखिमों को कम किया जा सकता है।

इंजीनियरिंग बुनियादी ढांचे का संरक्षण

डेटा सेंटर के कामकाज के लिए पारंपरिक खतरे बिजली की विफलता और शीतलन प्रणाली की विफलता हैं। हम पहले ही ऐसे खतरों के आदी हो चुके हैं और उनसे निपटना सीख चुके हैं।'

एक नया चलन नेटवर्क से जुड़े "स्मार्ट" उपकरणों का व्यापक परिचय बन गया है: नियंत्रित यूपीएस, बुद्धिमान शीतलन और वेंटिलेशन सिस्टम, निगरानी प्रणालियों से जुड़े विभिन्न नियंत्रक और सेंसर। डेटा सेंटर ख़तरा मॉडल बनाते समय, आपको बुनियादी ढांचे नेटवर्क (और, संभवतः, डेटा सेंटर के संबंधित आईटी नेटवर्क) पर हमले की संभावना के बारे में नहीं भूलना चाहिए। स्थिति को जटिल बनाने वाला तथ्य यह है कि कुछ उपकरण (उदाहरण के लिए, चिलर) को डेटा सेंटर के बाहर, जैसे किराए की इमारत की छत पर ले जाया जा सकता है।

संचार चैनलों का संरक्षण

यदि डेटा सेंटर न केवल कोलोकेशन मॉडल के अनुसार सेवाएं प्रदान करता है, तो उसे क्लाउड सुरक्षा से निपटना होगा। चेक प्वाइंट के अनुसार, पिछले साल अकेले, दुनिया भर में 51% संगठनों ने अपने क्लाउड संरचनाओं पर हमलों का अनुभव किया। DDoS हमले व्यवसायों को रोकते हैं, एन्क्रिप्शन वायरस फिरौती की मांग करते हैं, बैंकिंग प्रणालियों पर लक्षित हमलों से संवाददाता खातों से धन की चोरी होती है।

बाहरी घुसपैठ के खतरे भी डेटा सेंटर सूचना सुरक्षा विशेषज्ञों को चिंतित करते हैं। डेटा केंद्रों के लिए सबसे अधिक प्रासंगिक वितरित हमले हैं जिनका उद्देश्य सेवाओं के प्रावधान को बाधित करना है, साथ ही वर्चुअल इंफ्रास्ट्रक्चर या स्टोरेज सिस्टम में निहित डेटा की हैकिंग, चोरी या संशोधन के खतरे भी हैं।

डेटा सेंटर की बाहरी परिधि की सुरक्षा के लिए, दुर्भावनापूर्ण कोड की पहचान करने और उसे बेअसर करने, एप्लिकेशन नियंत्रण और थ्रेट इंटेलिजेंस प्रोएक्टिव सुरक्षा तकनीक को आयात करने की क्षमता वाले आधुनिक सिस्टम का उपयोग किया जाता है। कुछ मामलों में, आईपीएस (घुसपैठ रोकथाम) कार्यक्षमता वाले सिस्टम को संरक्षित वातावरण के मापदंडों पर हस्ताक्षर सेट के स्वचालित समायोजन के साथ तैनात किया जाता है।

DDoS हमलों से बचाने के लिए, रूसी कंपनियां, एक नियम के रूप में, बाहरी विशेष सेवाओं का उपयोग करती हैं जो ट्रैफ़िक को अन्य नोड्स पर डायवर्ट करती हैं और इसे क्लाउड में फ़िल्टर करती हैं। ऑपरेटर पक्ष की सुरक्षा ग्राहक पक्ष की तुलना में कहीं अधिक प्रभावी है, और डेटा केंद्र सेवाओं की बिक्री के लिए मध्यस्थ के रूप में कार्य करते हैं।

डेटा केंद्रों में आंतरिक DDoS हमले भी संभव हैं: एक हमलावर एक कंपनी के कमजोर संरक्षित सर्वर में प्रवेश करता है जो कोलोकेशन मॉडल का उपयोग करके अपने उपकरणों को होस्ट करता है, और वहां से आंतरिक नेटवर्क के माध्यम से इस डेटा सेंटर के अन्य ग्राहकों पर सेवा से इनकार करने का हमला करता है। .

आभासी वातावरण पर ध्यान दें

संरक्षित वस्तु की बारीकियों को ध्यान में रखना आवश्यक है - वर्चुअलाइजेशन टूल का उपयोग, आईटी बुनियादी ढांचे में परिवर्तन की गतिशीलता, सेवाओं की परस्पर संबद्धता, जब एक ग्राहक पर एक सफल हमला पड़ोसियों की सुरक्षा को खतरे में डाल सकता है। उदाहरण के लिए, कुबेरनेट्स-आधारित PaaS में काम करते समय फ्रंटएंड डॉकर को हैक करके, एक हमलावर तुरंत सभी पासवर्ड जानकारी और यहां तक ​​कि ऑर्केस्ट्रेशन सिस्टम तक पहुंच प्राप्त कर सकता है।

सेवा मॉडल के अंतर्गत प्रदान किए गए उत्पादों में उच्च स्तर का स्वचालन होता है। व्यवसाय में हस्तक्षेप न करने के लिए, सूचना सुरक्षा उपायों को कम से कम स्वचालन और क्षैतिज स्केलिंग पर लागू किया जाना चाहिए। सूचना सुरक्षा के सभी स्तरों पर स्केलिंग सुनिश्चित की जानी चाहिए, जिसमें एक्सेस कंट्रोल का स्वचालन और एक्सेस कुंजियों का रोटेशन शामिल है। एक विशेष कार्य कार्यात्मक मॉड्यूल की स्केलिंग है जो नेटवर्क ट्रैफ़िक का निरीक्षण करता है।

उदाहरण के लिए, अत्यधिक वर्चुअलाइज्ड डेटा केंद्रों में एप्लिकेशन, नेटवर्क और सत्र स्तरों पर नेटवर्क ट्रैफ़िक को फ़िल्टर करना हाइपरवाइज़र नेटवर्क मॉड्यूल (उदाहरण के लिए, वीएमवेयर के वितरित फ़ायरवॉल) के स्तर पर या सेवा श्रृंखला (पालो अल्टो नेटवर्क से वर्चुअल फ़ायरवॉल) बनाकर किया जाना चाहिए। .

यदि कंप्यूटिंग संसाधनों के वर्चुअलाइजेशन के स्तर पर कमजोरियां हैं, तो प्लेटफ़ॉर्म स्तर पर एक व्यापक सूचना सुरक्षा प्रणाली बनाने के प्रयास अप्रभावी होंगे।

डेटा सेंटर में सूचना सुरक्षा के स्तर

सुरक्षा के लिए सामान्य दृष्टिकोण एकीकृत, बहु-स्तरीय सूचना सुरक्षा प्रणालियों का उपयोग है, जिसमें फ़ायरवॉल स्तर पर मैक्रो-सेगमेंटेशन (व्यवसाय के विभिन्न कार्यात्मक क्षेत्रों के लिए सेगमेंट का आवंटन), वर्चुअल फ़ायरवॉल के आधार पर माइक्रो-सेगमेंटेशन या समूहों के ट्रैफ़िक को टैग करना शामिल है। (उपयोगकर्ता भूमिकाएँ या सेवाएँ) पहुँच नीतियों द्वारा परिभाषित।

अगला स्तर खंडों के भीतर और उनके बीच विसंगतियों की पहचान करना है। ट्रैफ़िक गतिशीलता का विश्लेषण किया जाता है, जो दुर्भावनापूर्ण गतिविधियों की उपस्थिति का संकेत दे सकता है, जैसे कि नेटवर्क स्कैनिंग, DDoS हमलों के प्रयास, डेटा डाउनलोडिंग, उदाहरण के लिए, डेटाबेस फ़ाइलों को स्लाइस करके और उन्हें लंबे अंतराल पर समय-समय पर प्रदर्शित होने वाले सत्रों में आउटपुट करना। भारी मात्रा में ट्रैफ़िक डेटा सेंटर से होकर गुजरता है, इसलिए विसंगतियों की पहचान करने के लिए, आपको उन्नत खोज एल्गोरिदम का उपयोग करने की आवश्यकता है, और पैकेट विश्लेषण के बिना। यह महत्वपूर्ण है कि न केवल दुर्भावनापूर्ण और असंगत गतिविधि के संकेतों को पहचाना जाए, बल्कि एन्क्रिप्टेड ट्रैफ़िक में भी इसे डिक्रिप्ट किए बिना मैलवेयर के संचालन को भी पहचाना जाए, जैसा कि सिस्को सॉल्यूशंस (स्टील्थवॉच) में प्रस्तावित है।

अंतिम सीमा स्थानीय नेटवर्क के अंतिम उपकरणों की सुरक्षा है: सर्वर और वर्चुअल मशीनें, उदाहरण के लिए, अंतिम उपकरणों (वर्चुअल मशीनों) पर स्थापित एजेंटों की मदद से, जो I/O संचालन, विलोपन, प्रतियां और नेटवर्क गतिविधियों का विश्लेषण करते हैं, को डेटा संचारित करें बादल, जहां बड़ी कंप्यूटिंग शक्ति की आवश्यकता वाली गणनाएं की जाती हैं। वहां, बिग डेटा एल्गोरिदम का उपयोग करके विश्लेषण किया जाता है, मशीन लॉजिक ट्री बनाए जाते हैं और विसंगतियों की पहचान की जाती है। एल्गोरिदम स्व-शिक्षण हैं जो सेंसर के वैश्विक नेटवर्क द्वारा आपूर्ति की गई बड़ी मात्रा में डेटा पर आधारित होते हैं।

आप एजेंटों को स्थापित किए बिना भी काम कर सकते हैं। आधुनिक सूचना सुरक्षा उपकरण एजेंट रहित होने चाहिए और हाइपरवाइजर स्तर पर ऑपरेटिंग सिस्टम में एकीकृत होने चाहिए।
सूचीबद्ध उपाय सूचना सुरक्षा जोखिमों को काफी कम करते हैं, लेकिन यह उन डेटा केंद्रों के लिए पर्याप्त नहीं हो सकता है जो उच्च जोखिम वाली उत्पादन प्रक्रियाओं का स्वचालन प्रदान करते हैं, उदाहरण के लिए, परमाणु ऊर्जा संयंत्र।

नियामक आवश्यकताएं

संसाधित की जा रही जानकारी के आधार पर, भौतिक और वर्चुअलाइज्ड डेटा सेंटर बुनियादी ढांचे को कानूनों और उद्योग मानकों में निर्धारित विभिन्न सुरक्षा आवश्यकताओं को पूरा करना होगा।

ऐसे कानूनों में कानून "व्यक्तिगत डेटा पर" (152-एफजेड) और कानून "रूसी संघ की केआईआई सुविधाओं की सुरक्षा पर" (187-एफजेड) शामिल है, जो इस साल लागू हुआ - अभियोजक का कार्यालय पहले से ही दिलचस्पी ले चुका है इसके क्रियान्वयन की प्रगति जारी है। डेटा केंद्र सीआईआई विषयों से संबंधित हैं या नहीं, इस पर विवाद अभी भी जारी है, लेकिन सबसे अधिक संभावना है, सीआईआई विषयों को सेवाएं प्रदान करने के इच्छुक डेटा केंद्रों को नए कानून की आवश्यकताओं का पालन करना होगा।

सरकारी सूचना प्रणालियों की मेजबानी करने वाले डेटा केंद्रों के लिए यह आसान नहीं होगा। 11.05.2017 मई, 555 संख्या XNUMX के रूसी संघ की सरकार के डिक्री के अनुसार, जीआईएस को वाणिज्यिक संचालन में डालने से पहले सूचना सुरक्षा मुद्दों को हल किया जाना चाहिए। और एक डेटा सेंटर जो जीआईएस की मेजबानी करना चाहता है उसे पहले नियामक आवश्यकताओं को पूरा करना होगा।

पिछले 30 वर्षों में, डेटा सेंटर सुरक्षा प्रणालियाँ एक लंबा सफर तय कर चुकी हैं: सरल भौतिक सुरक्षा प्रणालियों और संगठनात्मक उपायों से, जिन्होंने, हालांकि, अपनी प्रासंगिकता नहीं खोई है, जटिल बुद्धिमान प्रणालियों तक, जो कृत्रिम बुद्धिमत्ता के तत्वों का तेजी से उपयोग करती हैं। लेकिन दृष्टिकोण का सार नहीं बदला है. सबसे आधुनिक प्रौद्योगिकियां आपको संगठनात्मक उपायों और कर्मचारियों के प्रशिक्षण के बिना नहीं बचाएंगी, और कागजी कार्रवाई आपको सॉफ्टवेयर और तकनीकी समाधानों के बिना नहीं बचाएगी। डेटा सेंटर सुरक्षा को एक बार और सभी के लिए सुनिश्चित नहीं किया जा सकता है; यह प्राथमिकता वाले खतरों की पहचान करने और उभरती समस्याओं को व्यापक रूप से हल करने का एक निरंतर दैनिक प्रयास है।

आप ब्लॉग पर और क्या पढ़ सकते हैं? Cloud4Y

→ जीएनयू/लिनक्स में शीर्ष की स्थापना
→ साइबर सुरक्षा में पेंटेस्टर सबसे आगे
→ एक शानदार विचार से वैज्ञानिक उद्योग तक कृत्रिम बुद्धिमत्ता का मार्ग
→ क्लाउड बैकअप पर बचत करने के 4 तरीके
→ मट कहानी

हमारी सदस्यता लें Telegram-चैनल ताकि आप अगला लेख न चूकें! हम सप्ताह में दो बार से अधिक नहीं लिखते और केवल व्यवसाय पर लिखते हैं। हम आपको यह भी याद दिलाते हैं कि आप ऐसा कर सकते हैं मुफ़्त में परीक्षण करें क्लाउड समाधान Cloud4Y।

स्रोत: www.habr.com