GOST R 57580 और कंटेनर वर्चुअलाइजेशन से दोस्ती कैसे करें। सेंट्रल बैंक की प्रतिक्रिया (और इस मामले पर हमारे विचार)

अभी कुछ समय पहले हमने GOST R 57580 (इसके बाद केवल GOST के रूप में संदर्भित) की आवश्यकताओं के अनुपालन का एक और मूल्यांकन किया था। क्लाइंट एक कंपनी है जो इलेक्ट्रॉनिक भुगतान प्रणाली विकसित करती है। सिस्टम गंभीर है: 3 मिलियन से अधिक उपयोगकर्ता, प्रतिदिन 200 हजार से अधिक लेनदेन। वे वहां सूचना सुरक्षा को बहुत गंभीरता से लेते हैं।

मूल्यांकन प्रक्रिया के दौरान, ग्राहक ने आकस्मिक रूप से घोषणा की कि विकास विभाग, वर्चुअल मशीनों के अलावा, कंटेनरों का उपयोग करने की योजना बना रहा है। लेकिन इसके साथ, ग्राहक ने कहा, एक समस्या है: GOST में उसी डॉकर के बारे में एक शब्द भी नहीं है। मुझे क्या करना चाहिए? कंटेनरों की सुरक्षा का मूल्यांकन कैसे करें?

यह सच है, GOST केवल हार्डवेयर वर्चुअलाइजेशन के बारे में लिखता है - वर्चुअल मशीन, हाइपरवाइजर और सर्वर की सुरक्षा कैसे करें। हमने सेंट्रल बैंक से स्पष्टीकरण मांगा। जवाब ने हमें हैरान कर दिया.

GOST और वर्चुअलाइजेशन

आरंभ करने के लिए, आइए याद रखें कि GOST R 57580 एक नया मानक है जो "वित्तीय संगठनों की सूचना सुरक्षा सुनिश्चित करने के लिए आवश्यकताओं" (FI) को निर्दिष्ट करता है। इन एफआई में भुगतान प्रणालियों, क्रेडिट और गैर-क्रेडिट संगठनों, परिचालन और समाशोधन केंद्रों के ऑपरेटर और प्रतिभागी शामिल हैं।

1 जनवरी, 2021 से एफआई को संचालन करना आवश्यक है नए GOST की आवश्यकताओं के अनुपालन का आकलन. हम, ITGLOBAL.COM, एक ऑडिट कंपनी हैं जो इस तरह के आकलन करती है।

GOST में वर्चुअलाइज्ड वातावरण की सुरक्षा के लिए समर्पित एक उपधारा है - संख्या 7.8। शब्द "वर्चुअलाइजेशन" वहां निर्दिष्ट नहीं है; हार्डवेयर और कंटेनर वर्चुअलाइजेशन में कोई विभाजन नहीं है। कोई भी आईटी विशेषज्ञ कहेगा कि तकनीकी दृष्टिकोण से यह गलत है: एक वर्चुअल मशीन (वीएम) और एक कंटेनर अलग-अलग वातावरण हैं, अलग-अलग अलगाव सिद्धांतों के साथ। होस्ट की भेद्यता के दृष्टिकोण से जिस पर वीएम और डॉकर कंटेनर तैनात हैं, यह भी एक बड़ा अंतर है।

यह पता चला है कि वीएम और कंटेनरों की सूचना सुरक्षा का आकलन भी अलग होना चाहिए।

सेंट्रल बैंक से हमारे प्रश्न

हमने उन्हें सेंट्रल बैंक के सूचना सुरक्षा विभाग को भेजा (हम प्रश्नों को संक्षिप्त रूप में प्रस्तुत करते हैं)।

1. GOST अनुपालन का आकलन करते समय डॉकर-प्रकार के वर्चुअल कंटेनरों पर विचार कैसे करें? क्या GOST की उपधारा 7.8 के अनुसार प्रौद्योगिकी का मूल्यांकन करना सही है?
2. वर्चुअल कंटेनर प्रबंधन टूल का मूल्यांकन कैसे करें? क्या उन्हें सर्वर वर्चुअलाइजेशन घटकों के बराबर करना और GOST के समान उपधारा के अनुसार उनका मूल्यांकन करना संभव है?
3. क्या मुझे डॉकर कंटेनरों के अंदर जानकारी की सुरक्षा का अलग से मूल्यांकन करने की आवश्यकता है? यदि हां, तो मूल्यांकन प्रक्रिया के दौरान इसके लिए किन सुरक्षा उपायों पर विचार किया जाना चाहिए?
4. यदि कंटेनरीकरण को आभासी बुनियादी ढांचे के बराबर किया जाता है और उपधारा 7.8 के अनुसार मूल्यांकन किया जाता है, तो विशेष सूचना सुरक्षा उपकरणों के कार्यान्वयन के लिए GOST आवश्यकताओं को कैसे लागू किया जाता है?

सेंट्रल बैंक की प्रतिक्रिया

नीचे मुख्य अंश हैं।

"GOST R 57580.1-2017, GOST R 7.8-57580.1 के ZI उपधारा 2017 के निम्नलिखित उपायों के संबंध में तकनीकी उपायों के अनुप्रयोग के माध्यम से कार्यान्वयन के लिए आवश्यकताओं को स्थापित करता है, जो विभाग की राय में, कंटेनर वर्चुअलाइजेशन का उपयोग करने के मामलों तक बढ़ाया जा सकता है प्रौद्योगिकियाँ, निम्नलिखित को ध्यान में रखते हुए:

• वर्चुअल मशीनों और वर्चुअलाइजेशन सर्वर घटकों तक तार्किक पहुंच को लागू करते समय पहचान, प्रमाणीकरण, प्राधिकरण (पहुंच नियंत्रण) के आयोजन के लिए उपायों ZSV.1 - ZSV.11 का कार्यान्वयन कंटेनर वर्चुअलाइजेशन तकनीक का उपयोग करने के मामलों से भिन्न हो सकता है। इसे ध्यान में रखते हुए, कई उपायों (उदाहरण के लिए, ZVS.6 और ZVS.7) को लागू करने के लिए, हमारा मानना ​​​​है कि यह अनुशंसा करना संभव है कि वित्तीय संस्थान प्रतिपूरक उपाय विकसित करें जो समान लक्ष्यों का पीछा करेंगे;
• वर्चुअल मशीनों की सूचना सहभागिता के संगठन और नियंत्रण के लिए उपायों ZSV.13 - ZSV.22 का कार्यान्वयन, वर्चुअलाइजेशन तकनीक को लागू करने वाली और विभिन्न सुरक्षा सर्किट से संबंधित सूचना वस्तुओं के बीच अंतर करने के लिए एक वित्तीय संगठन के कंप्यूटर नेटवर्क के विभाजन का प्रावधान करता है। इसे ध्यान में रखते हुए, हमारा मानना ​​है कि कंटेनर वर्चुअलाइजेशन तकनीक (निष्पादन योग्य वर्चुअल कंटेनरों के संबंध में और ऑपरेटिंग सिस्टम स्तर पर उपयोग किए जाने वाले वर्चुअलाइजेशन सिस्टम के संबंध में) का उपयोग करते समय उचित विभाजन प्रदान करना उचित है;
• वर्चुअल मशीनों की छवियों की सुरक्षा को व्यवस्थित करने के लिए ZSV.26, ZSV.29 - ZSV.31 उपायों का कार्यान्वयन वर्चुअल कंटेनरों की बुनियादी और वर्तमान छवियों की सुरक्षा के लिए सादृश्य द्वारा भी किया जाना चाहिए;
• वर्चुअल मशीनों और सर्वर वर्चुअलाइजेशन घटकों तक पहुंच से संबंधित सूचना सुरक्षा घटनाओं को रिकॉर्ड करने के लिए उपायों ZVS.32 - ZVS.43 का कार्यान्वयन कंटेनर वर्चुअलाइजेशन तकनीक को लागू करने वाले वर्चुअलाइजेशन वातावरण के तत्वों के संबंध में भी सादृश्य द्वारा किया जाना चाहिए।

इसका क्या मतलब है?

केंद्रीय बैंक सूचना सुरक्षा विभाग की प्रतिक्रिया से दो मुख्य निष्कर्ष:

• कंटेनरों की सुरक्षा के उपाय वर्चुअल मशीनों की सुरक्षा के उपायों से अलग नहीं हैं;
• इससे यह निष्कर्ष निकलता है कि, सूचना सुरक्षा के संदर्भ में, सेंट्रल बैंक दो प्रकार के वर्चुअलाइजेशन को समान करता है - डॉकर कंटेनर और वीएम।

प्रतिक्रिया में "क्षतिपूर्ति उपायों" का भी उल्लेख किया गया है जिन्हें खतरों को बेअसर करने के लिए लागू करने की आवश्यकता है। यह बिल्कुल स्पष्ट नहीं है कि ये "प्रतिपूरक उपाय" क्या हैं और उनकी पर्याप्तता, पूर्णता और प्रभावशीलता को कैसे मापा जाए।

सेंट्रल बैंक की स्थिति में क्या ग़लत है?

यदि आप मूल्यांकन (और स्व-मूल्यांकन) के दौरान सेंट्रल बैंक की सिफारिशों का उपयोग करते हैं, तो आपको कई तकनीकी और तार्किक कठिनाइयों को हल करने की आवश्यकता है।

• प्रत्येक निष्पादन योग्य कंटेनर पर सूचना सुरक्षा सॉफ़्टवेयर (आईपी) की स्थापना की आवश्यकता होती है: एंटीवायरस, अखंडता निगरानी, ​​​​लॉग के साथ काम करना, डीएलपी सिस्टम (डेटा लीक रोकथाम), और इसी तरह। यह सब बिना किसी समस्या के वीएम पर स्थापित किया जा सकता है, लेकिन कंटेनर के मामले में, सूचना सुरक्षा स्थापित करना एक बेतुका कदम है। कंटेनर में "बॉडी किट" की न्यूनतम मात्रा होती है जो सेवा के संचालन के लिए आवश्यक होती है। इसमें SZI स्थापित करना इसके अर्थ का खंडन करता है।
• कंटेनर छवियों को उसी सिद्धांत के अनुसार संरक्षित किया जाना चाहिए; इसे कैसे लागू किया जाए यह भी स्पष्ट नहीं है।
• GOST को सर्वर वर्चुअलाइजेशन घटकों, यानी हाइपरवाइजर तक पहुंच को प्रतिबंधित करने की आवश्यकता होती है। डॉकर के मामले में सर्वर घटक क्या माना जाता है? क्या इसका मतलब यह नहीं है कि प्रत्येक कंटेनर को एक अलग होस्ट पर चलाने की आवश्यकता है?
• यदि पारंपरिक वर्चुअलाइजेशन के लिए वीएम को सुरक्षा रूपरेखा और नेटवर्क खंडों द्वारा परिसीमित करना संभव है, तो एक ही होस्ट के भीतर डॉकर कंटेनर के मामले में, यह मामला नहीं है।

व्यवहार में, यह संभावना है कि प्रत्येक लेखा परीक्षक अपने ज्ञान और अनुभव के आधार पर, अपने तरीके से कंटेनरों की सुरक्षा का आकलन करेगा। ठीक है, या इसका बिल्कुल भी मूल्यांकन न करें, यदि न तो कोई है और न ही दूसरा।

बस मामले में, हम जोड़ देंगे कि 1 जनवरी, 2021 से न्यूनतम स्कोर 0,7 से कम नहीं होना चाहिए।

वैसे, हम नियमित रूप से GOST 57580 और सेंट्रल बैंक विनियमों की आवश्यकताओं से संबंधित नियामकों की प्रतिक्रियाएँ और टिप्पणियाँ पोस्ट करते हैं। टेलीग्राम चैनल.

क्या करना है

हमारी राय में, वित्तीय संगठनों के पास समस्या के समाधान के लिए केवल दो विकल्प हैं।

1. कंटेनर लागू करने से बचें

उन लोगों के लिए एक समाधान जो केवल हार्डवेयर वर्चुअलाइजेशन का उपयोग करने के लिए तैयार हैं और साथ ही GOST के अनुसार कम रेटिंग और सेंट्रल बैंक से जुर्माने से डरते हैं।

प्लस: GOST की उपधारा 7.8 की आवश्यकताओं का अनुपालन करना आसान है।

कम: हमें कंटेनर वर्चुअलाइजेशन, विशेष रूप से डॉकर और कुबेरनेट्स पर आधारित नए विकास टूल को छोड़ना होगा।

2. GOST की उपधारा 7.8 की आवश्यकताओं का अनुपालन करने से इनकार करें

लेकिन साथ ही, कंटेनरों के साथ काम करते समय सूचना सुरक्षा सुनिश्चित करने के लिए सर्वोत्तम अभ्यास लागू करें। यह उन लोगों के लिए एक समाधान है जो नई तकनीकों और उनके द्वारा प्रदान किए जाने वाले अवसरों को महत्व देते हैं। "सर्वोत्तम प्रथाओं" से हमारा तात्पर्य डॉकर कंटेनरों की सुरक्षा सुनिश्चित करने के लिए उद्योग द्वारा स्वीकृत मानदंडों और मानकों से है:

• होस्ट ओएस की सुरक्षा, ठीक से कॉन्फ़िगर की गई लॉगिंग, कंटेनरों के बीच डेटा विनिमय पर रोक, इत्यादि;
• छवियों की अखंडता की जांच करने के लिए डॉकर ट्रस्ट फ़ंक्शन का उपयोग करना और अंतर्निहित भेद्यता स्कैनर का उपयोग करना;
• हमें रिमोट एक्सेस की सुरक्षा और समग्र रूप से नेटवर्क मॉडल के बारे में नहीं भूलना चाहिए: एआरपी-स्पूफिंग और मैक-फ्लडिंग जैसे हमलों को रद्द नहीं किया गया है।

प्लस: कंटेनर वर्चुअलाइजेशन के उपयोग पर कोई तकनीकी प्रतिबंध नहीं।

कम: इस बात की बहुत अधिक संभावना है कि नियामक GOST आवश्यकताओं का अनुपालन न करने पर दंडित करेगा।

निष्कर्ष

हमारे ग्राहक ने कंटेनर न छोड़ने का निर्णय लिया। साथ ही, उन्हें काम के दायरे और डॉकर में संक्रमण के समय पर महत्वपूर्ण रूप से पुनर्विचार करना पड़ा (वे छह महीने तक चले)। ग्राहक जोखिमों को अच्छी तरह समझता है। वह यह भी समझते हैं कि GOST R 57580 के अनुपालन के अगले मूल्यांकन के दौरान, बहुत कुछ लेखा परीक्षक पर निर्भर करेगा।

इस स्थिति में आप क्या करेंगे?

स्रोत: www.habr.com