Ecco come appare il centro di monitoraggio del Data Center NORD-2 situato a Mosca.
Hai letto più volte quali misure vengono adottate per garantire la sicurezza informatica. Qualsiasi professionista IT rispettabile potrebbe facilmente citare 5-10 regole di sicurezza informatica. Cloud4Y propone di discutere della sicurezza informatica nei data center.
Nella protezione della sicurezza informatica del Data Center, gli oggetti più "protetti" sono:
- risorse informative (dati);
- processi di raccolta, elaborazione, archiviazione e trasmissione delle informazioni;
- utenti del sistema e personale di supporto;
- infrastruttura informatica, che comprende strumenti tecnici e software per l'elaborazione, la trasmissione e la visualizzazione delle informazioni, inclusi i canali di scambio delle informazioni, i sistemi di protezione dei dati e le strutture.
L'area di responsabilità del Data Center dipende dal modello dei servizi forniti (IaaS/PaaS/SaaS). Com'è, guarda l'immagine qui sotto:
L'ambito della politica di sicurezza del Data Center varia a seconda del modello dei servizi forniti.
Una parte fondamentale dello sviluppo della politica di sicurezza delle informazioni è la costruzione di un modello di minacce e violatori. Quali possono essere quindi le minacce per il data center?
- Eventi avversi di natura naturale, tecnologica e sociale
- Terroristi, elementi criminali e altri.
- Dipendenza da fornitori, provider, partner, clienti
- Guasti, malfunzionamenti, distruzioni, danni a mezzi software e tecnici
- Dipendenti del data center che attuano minacce alla sicurezza delle informazioni utilizzando i diritti e i poteri legalmente loro forniti (violatori interni della sicurezza delle informazioni)
- Dipendenti del data center che attuano minacce alla sicurezza delle informazioni al di fuori dei diritti e dei poteri loro forniti legalmente, nonché soggetti non appartenenti al personale del data center che tentano di accedere in modo non autorizzato e compiere azioni non autorizzate (violatori esterni della sicurezza delle informazioni)
- Inadeguatezza rispetto ai requisiti delle autorità di supervisione e regolamentazione, della legislazione vigente
L'analisi dei rischi — identificare potenziali minacce e valutare l'entità delle conseguenze della loro attuazione — aiuterà a identificare correttamente le priorità che devono affrontare gli specialisti della sicurezza informatica del Data Center, pianificando i budget per l'acquisto di strumenti tecnici e software.
Garantire la sicurezza è un processo continuo che include le fasi di pianificazione, attuazione e operatività, monitoraggio, analisi e miglioramento del sistema di sicurezza informatica. Per creare sistemi di gestione della sicurezza informatica si utilizza il cosiddetto «».
Una parte importante delle politiche di sicurezza è la distribuzione dei ruoli e della responsabilità del personale per la loro attuazione. Le politiche devono essere costantemente riesaminate tenendo conto dei cambiamenti legislativi, delle nuove minacce e dei nuovi mezzi di protezione. E, naturalmente, comunicare i requisiti di sicurezza informatica al personale e fornire la formazione necessaria.
Misure organizzative
Alcuni esperti sono scettici riguardo alla "sicurezza cartacea", ritenendo che le reali competenze pratiche per contrastare i tentativi di hacking siano fondamentali. L'esperienza concreta nella gestione della sicurezza informatica nelle banche racconta un'altra storia. Gli specialisti della sicurezza informatica possono avere un'ottima expertise nel rilevamento e nella riduzione dei rischi, ma se il personale del data center non segue le loro indicazioni, tutto sarà vano.
La sicurezza generalmente non genera profitti, ma riduce solo i rischi. Pertanto, di solito è considerata qualcosa di ingombrante e secondario. E quando gli specialisti della sicurezza iniziano a lamentarsi (avendo pieno diritto di farlo), spesso sorgono conflitti con il personale e i dirigenti delle unità operative.
La presenza di standard settoriali e dei requisiti dei regolatori aiuta i professionisti della sicurezza a sostenere le proprie posizioni durante le negoziazioni con la dirigenza, mentre le politiche di sicurezza informatica approvate, le normative e i regolamenti consentono di ottenere dal personale l'adeguamento ai requisiti esposti, ponendo le basi per comportamenti spesso impopolari.
Protezione degli ambienti
Quando un data center offre servizi di colocation, è fondamentale garantire la sicurezza fisica e il controllo degli accessi all'attrezzatura del cliente. A questo scopo, vengono utilizzate barriere (sezioni recintate della sala), che sono sotto video sorveglianza del cliente e a cui l'accesso del personale del data center è limitato.
Negli anni '90, nei centri di calcolo pubblici, la sicurezza fisica era gestita in modo discreto. C'era un sistema di accesso controllato agli spazi, anche se senza computer e telecamere, con sistemi di estinzione degli incendi — in caso di incendio, il freon veniva automaticamente rilasciato nella sala macchine.
Oggi, la sicurezza fisica è ulteriormente migliorata. I sistemi di controllo e gestione degli accessi (CGS) sono diventati intelligenti e sono state implementate tecniche biometriche di restrizione degli accessi.
I sistemi di spegnimento degli incendi sono diventati più sicuri per il personale e le attrezzature, tra cui si possono evidenziare quelli per l'inafferrabilità, l'isolamento, il raffreddamento e l'effetto ipossico sull'area dell'incendio. Oltre ai sistemi di protezione antincendio obbligatori, nei data center si utilizza spesso un sistema di rilevazione precoce degli incendi di tipo aspirato.
Per proteggere i data center da minacce esterne — incendi, esplosioni, crolli strutturali, allagamenti e gas corrosivi — sono state introdotte stanze e cassette di sicurezza in cui l'attrezzatura server è protetta praticamente da tutti i fattori di danneggiamento esterni.
Il punto debole è l'uomo.
I sistemi di videosorveglianza "intelligenti", i sensori di sorveglianza volumetrica (acustici, infrarossi, ad ultrasuoni, microonde) e i sistemi di controllo accessi hanno ridotto i rischi, ma non hanno risolto tutti i problemi. Questi dispositivi non possono aiutare, ad esempio, quando persone autorizzate con strumenti idonei nel data center toccano accidentalmente qualcosa. E, come spesso accade, un tocco casuale porterà al massimo dei problemi.
L'uso improprio delle risorse del data center da parte del personale, come il mining illegale, può influire sul funzionamento del centro dati. In questi casi, i sistemi di gestione dell'infrastruttura del centro dati (DCIM) possono essere utili.
Anche il personale ha bisogno di protezione, poiché spesso si considera l'essere umano il punto più vulnerabile nel sistema di sicurezza. Gli attacchi mirati da parte di criminali professionisti iniziano spesso utilizzando tecniche di ingegneria sociale. Non di rado, i sistemi più sicuri cedono o vengono compromessi dopo che qualcuno ha cliccato/scaricato/compito qualcosa. Tali rischi possono essere ridotti al minimo formando il personale e implementando le migliori pratiche internazionali in materia di sicurezza informatica.
Protezione dell'infrastruttura ingegneristica
Le minacce tradizionali al funzionamento del data center includono interruzioni dell'alimentazione elettrica e guasti nei sistemi di raffreddamento. Queste minacce sono ormai familiari e si è imparato a combatterle.
Una nuova tendenza è diventata l'adozione diffusa di apparecchiature "intelligenti" collegate in rete: UPS gestiti, sistemi di raffreddamento e ventilazione intelligenti, vari controllori e sensori connessi a sistemi di monitoraggio. Quando si costruisce un modello di minaccia per il data center, non si deve dimenticare la possibilità di attacchi alla rete infrastrutturale (e, forse, anche alla rete IT correlata del data center). Ad aggravare la situazione è il fatto che parte delle apparecchiature (come i chiller) può essere posizionata al di fuori del data center, ad esempio, sul tetto di un edificio affittato.
Protezione dei canali di comunicazione
Se il data center offre servizi non solo nel modello di colocation, sarà necessario occuparsi della protezione delle nuvole. Secondo Check Point, solo lo scorso anno il 51% delle organizzazioni in tutto il mondo ha subito attacchi alle strutture cloud. Gli attacchi DDoS arrestano le attività, i virus crittografici richiedono un riscatto e gli attacchi mirati ai sistemi bancari portano al furto di fondi dai conti.
Le minacce di intrusioni esterne preoccupano anche gli specialisti della sicurezza informatica nei data center. Le più rilevanti per i DC sono gli attacchi distribuiti, mirati a interrompere la fornitura di servizi, così come le minacce di hacking, furto o modifica dei dati contenuti nell'infrastruttura virtuale o nei sistemi di archiviazione.
Per proteggere il perimetro esterno del DC, vengono utilizzati moderni sistemi con funzioni di rilevamento e neutralizzazione di malware, controllo delle applicazioni e possibilità di importare tecnologie di protezione proattiva Threat Intelligence. In alcuni casi, vengono implementati sistemi con funzionalità IPS (prevenzione delle intrusioni) con un adattamento automatico del set di firme ai parametri dell'ambiente protetto.
Per proteggersi dagli attacchi DDoS, le aziende russe, in genere, utilizzano servizi esterni specializzati che deviando il traffico verso altri nodi e filtrano nel cloud. La protezione da parte dell'operatore risulta molto più efficace rispetto a quella del cliente, mentre i DC fungono da intermediari nella vendita dei servizi.
Nei data center possono verificarsi anche attacchi DDoS interni: un malintenzionato penetra in server poco protetti di un'azienda che ospita il proprio hardware in colocation e attraverso la rete interna lancia un attacco di "denial of service" contro altri clienti di quel centro dati.
Attenzione agli ambienti virtuali
È necessario considerare le specificità dell'oggetto protetto: l'uso di strumenti di virtualizzazione, la dinamicità delle infrastrutture IT e l'interconnessione dei servizi, dove un attacco riuscito su un cliente può minacciare la sicurezza degli altri. Ad esempio, compromettendo un docker frontend in un ambiente PaaS basato su Kubernetes, un malintenzionato può ottenere immediatamente tutte le informazioni delle password e persino l'accesso al sistema di orchestrazione.
I prodotti forniti secondo un modello di servizio sono altamente automatizzati. Per non ostacolare il business, anche le misure di protezione delle informazioni devono avere un alto grado di automazione e scalabilità orizzontale. La scalabilità deve essere garantita a tutti i livelli di sicurezza informatica, inclusa l'automazione del controllo degli accessi e la rotazione delle chiavi di accesso. Un'attenzione particolare deve essere dedicata alla scalabilità dei moduli funzionali che effettuano l'ispezione del traffico di rete.
Ad esempio, la filtrazione del traffico di rete a livello applicativo, di rete e di sessione nei data center altamente virtualizzati deve essere eseguita a livello dei moduli di rete del hypervisor (ad esempio, Distributed Firewall di VMware) o creando catene di servizi (firewall virtuali di Palo Alto Networks).
In presenza di vulnerabilità a livello di virtualizzazione delle risorse di calcolo, gli sforzi per creare un sistema completo di sicurezza informatica a livello di piattaforma saranno inefficaci.
Livelli di protezione delle informazioni nei data center
L'approccio generale alla sicurezza consiste nell'utilizzare sistemi integrati e multilivello per garantire la sicurezza delle informazioni, che includono la macrosegmentazione a livello di firewall (separazione dei segmenti per diverse aree funzionali del business), e la microsegmentazione basata su firewall virtuali o sull'etichettatura del traffico dei gruppi (ruoli degli utenti o dei servizi), definite da politiche di accesso.
Il livello successivo consiste nell'individuare anomalie all'interno e tra i segmenti. Viene analizzata la dinamica del traffico, che potrebbe indicare la presenza di attività dannose, come la scansione della rete, tentativi di attacchi DDoS, e il download di dati, ad esempio attraverso il frazionamento dei file di database e la loro esposizione tramite sessioni intermittenti a lungo termine. All'interno del centro dati, fluiscono enormi volumi di traffico, quindi per rilevare anomalie è necessario utilizzare algoritmi avanzati di ricerca, senza analisi di pacchetti. È importante riconoscere non solo i segni di attività dannosa e anomala, ma anche il funzionamento di malware anche nel traffico crittografato senza decrittazione, come proposto nelle soluzioni Cisco (Stealthwatch).
L'ultimo baluardo — la protezione dei dispositivi finali della rete locale: server e macchine virtuali, ad esempio, tramite agenti installati sui dispositivi finali (macchine virtuali) che analizzano le operazioni di input/output, cancellazione, copia e attività di rete, inviando i dati a , dove vengono effettuati calcoli ad alta intensità computazionale. Qui si esegue l'analisi tramite algoritmi Big Data, si costruiscono alberi di logica machine e si individuano anomalie. Gli algoritmi si auto-addestrano su una enorme quantità di dati forniti da una rete globale di sensori.
È possibile operare anche senza l'installazione di agenti. Le moderne soluzioni di protezione delle informazioni dovrebbero essere senza agente e integrarsi nei sistemi operativi a livello di hypervisor.
Le misure elencate riducono significativamente i rischi per la sicurezza informatica, ma potrebbero non essere sufficienti per i data center che supportano l'automazione di processi produttivi ad alto rischio, come le centrali nucleari.
Requisiti dei regolatori
A seconda delle informazioni trattate, le infrastrutture fisiche e virtualizzate dei data center devono soddisfare diversi requisiti di sicurezza formulati nelle leggi e negli standard di settore.
Questi leggi includono la legge sulla protezione dei dati personali (152-FZ) e la legge sulla sicurezza delle infrastrutture critiche della Federazione Russa (187-FZ), entrata in vigore quest'anno — la procura ha già iniziato a interessarsi all'applicazione di questa normativa. Le dispute riguardo all'appartenenza dei data center agli enti delle infrastrutture critiche sono ancora in corso, ma è probabile che i data center che desiderano fornire servizi a tali enti dovranno rispettare i requisiti della nuova legislazione.
I data center che ospitano sistemi informativi statali si troveranno in difficoltà. Secondo il Decreto del Governo della Federazione Russa del 11.05.2017 n. 555, le questioni di sicurezza informatica devono essere risolte prima dell'introduzione dei sistemi informativi statali nella produzione industriale. Inoltre, il data center che desidera ospitare tali sistemi deve rispettare anticipatamente i requisiti degli enti di regolamentazione.
Negli ultimi 30 anni, i sistemi di sicurezza dei Data Center hanno fatto enormi progressi: da semplici sistemi di protezione fisica e misure organizzative, che tuttavia non hanno perso la loro rilevanza, a sofisticati sistemi intelligenti che sempre più spesso integrano elementi di intelligenza artificiale. Ma l'essenza dell'approccio non è cambiata. Le tecnologie più moderne non possono salvare senza misure organizzative e formazione del personale, e la documentazione non è sufficiente senza soluzioni software e tecniche. La sicurezza di un Data Center non può essere garantita una volta per tutte; è un lavoro quotidiano continuo per identificare le minacce prioritarie e risolvere in modo complesso i problemi emergenti.
Cosa altro è utile leggere nel blog
→
→
→
→
→
Iscriviti alla nostra newsletter -canale per non perdere il prossimo articolo! Scriviamo non più di due volte a settimana e solo quando necessario. Ti ricordiamo inoltre che puoi le soluzioni cloud di Cloud4Y.
Fonte: habr.com
