Ecco come appare il centro di monitoraggio situato a Mosca, Data Center NORD-2
Hai già letto molte volte quali misure vengono adottate per garantire la sicurezza informatica (SI). Qualsiasi professionista IT rispettabile può facilmente elencare 5-10 regole di sicurezza informatica. Cloud4Y propone invece di parlare della sicurezza informatica nei data center.
Nella garanzia della sicurezza informatica del data center, gli oggetti più "protetti" sono:
- risorse informative (dati);
- processi di raccolta, elaborazione, archiviazione e trasmissione delle informazioni;
- utenti del sistema e personale di servizio;
- infrastruttura informativa, che comprende mezzi tecnici e software per l'elaborazione, la trasmissione e la visualizzazione delle informazioni, compresi i canali di scambio informativo, i sistemi di protezione delle informazioni e gli spazi.
L'area di responsabilità del data center dipende dal modello dei servizi forniti (IaaS/PaaS/SaaS). Come appare, guarda l'immagine qui sotto:
Ambito di applicazione della politica di sicurezza del data center a seconda del modello dei servizi forniti
Una parte fondamentale nello sviluppo della politica di sicurezza informatica è la costruzione di un modello di minacce e violazioni. Quali possono essere le minacce per un data center?
- Eventi sfavorevoli di natura naturale, ingegneristica e sociale
- Terroristi, elementi criminali e altro ancora.
- Dipendenza da fornitori, operatori, partner e clienti
- Guasti, malfunzionamenti, distruzioni, danneggiamenti delle risorse software e tecniche
- Dipendenti del data center che attuano minacce alla sicurezza informatica utilizzando i diritti e i poteri legalmente loro conferiti (violatori interni della sicurezza informatica)
- Dipendenti del data center che attuano minacce alla sicurezza informatica al di fuori dei diritti e dei poteri legalmente conferiti, così come soggetti esterni al personale del data center che tentano l'accesso non autorizzato e azioni non consentite (violatori esterni della sicurezza informatica)
- Non conformità alle normative e agli enti di regolamentazione, alla legislazione vigente
L'analisi dei rischi — l'identificazione delle potenziali minacce e la valutazione dell'entità delle conseguenze della loro attuazione — aiuterà a definire correttamente le priorità che devono affrontare gli specialisti della sicurezza informatica del data center e pianificare i budget per l'acquisto di mezzi tecnici e software.
La sicurezza informatica è un processo continuo che include fasi di pianificazione, attuazione e funzionamento, monitoraggio, analisi e miglioramento del sistema di sicurezza informatica. Per creare sistemi di gestione della sicurezza informatica viene utilizzato il cosiddetto «».
Una parte importante delle politiche di sicurezza è la distribuzione dei ruoli e delle responsabilità del personale per il loro rispetto. È necessario rivedere costantemente le politiche tenendo conto delle modifiche legislative, delle nuove minacce e dei nuovi mezzi di protezione. E, naturalmente, è fondamentale comunicare i requisiti di sicurezza informatica al personale e fornire formazione.
Misure organizzative
Alcuni esperti sono scettici riguardo alla sicurezza ‘cartacea’, ritenendo che le abilità pratiche di fronteggiare i tentativi di intrusione siano le più importanti. Tuttavia, l'esperienza reale nella sicurezza informatica nelle banche parla al contrario. Gli specialisti di sicurezza informatica possono avere grandi competenze nel riconoscere e ridurre i rischi, ma se il personale del centro dati non seguirà le loro indicazioni, tutto sarà vano.
La sicurezza, di norma, non produce profitto, ma minimizza solo i rischi. Pertanto è spesso percepita come un elemento di disturbo e secondario. E quando gli esperti di sicurezza iniziano a lamentarsi (avendo pienamente ragione), si generano spesso conflitti con il personale e i dirigenti delle unità operative.
La presenza di standard del settore e di requisiti normativi aiuta i professionisti della sicurezza a difendere le proprie posizioni nei colloqui con la dirigenza. Politiche di sicurezza informatica approvate, disposizioni e regolamenti consentono di ottenere dal personale il rispetto dei requisiti ivi esposti, fornendo una base per decisioni che spesso risultano impopolari.
Protezione dei locali
Nel fornire servizi di colocation, il centro dati deve garantire la sicurezza fisica e il controllo degli accessi alle attrezzature del cliente. A tale scopo, vengono utilizzati separatori (zone recintate nel locale), che sono sotto sorveglianza video del cliente e ai quali l'accesso del personale del centro dati è limitato.
Nei centri di calcolo statali con sicurezza fisica, alla fine del secolo scorso, le cose andavano piuttosto bene. C'era un regime di accesso, controllo degli accessi ai locali, anche se senza computer e videocamere, e sistemi di estinzione degli incendi: in caso di incendio nella sala macchine, il freon veniva attivato automaticamente.
Oggi la sicurezza fisica è ulteriormente migliorata. I sistemi di controllo e gestione degli accessi (SCADA) sono diventati intelligenti e vengono implementati metodi biometrici di limitazione degli accessi.
I sistemi di estinzione degli incendi sono diventati più sicuri per il personale e le attrezzature, tra cui si possono evidenziare le installazioni per l'inevitabilità, l'isolamento, il raffreddamento e l'impatto ipossico sulla zona di incendio. Accanto ai sistemi di protezione antincendio obbligatori, nei data center viene spesso utilizzato un sistema di rilevazione precoce degli incendi di tipo aspirativo.
Per la protezione dei data center dalle minacce esterne — incendi, esplosioni, crolli strutturali, allagamenti, gas corrosivi — sono state utilizzate stanze e casseforti di sicurezza, in cui l'attrezzatura server è protetta praticamente da tutti i fattori di danneggiamento esterni.
Il punto debole è l'essere umano.
I sistemi di videosorveglianza "intelligenti", i sensori di rilevamento volumetrico (acustici, infrarossi, ad ultrasuoni, radar) e gli SCADA hanno ridotto i rischi, ma non hanno risolto tutti i problemi. Questi strumenti non possono aiutare, ad esempio, quando le persone debitamente autorizzate all'accesso nel data center, con strumenti correttamente introdotti, possono toccare qualcosa. E, come spesso accade, un semplice contatto può portare a un massimo di problemi.
L'uso improprio delle risorse del data center da parte del personale, come il mining illegale, può influire sul funzionamento del data center. In questi casi, i sistemi di gestione dell'infrastruttura del data center (DCIM) possono essere d'aiuto.
Anche il personale ha bisogno di protezione, poiché l'essere umano è spesso considerato il livello più vulnerabile nel sistema di protezione. Gli attacchi mirati da parte di criminali professionisti di solito iniziano con l'uso di metodi di ingegneria sociale. Non di rado, i sistemi più protetti cedono o vengono compromessi dopo che qualcuno ha premuto/ scaricato/ fatto qualcosa. Tali rischi possono essere minimizzati formando il personale e implementando le migliori pratiche mondiali in materia di sicurezza informatica.
Protezione dell'infrastruttura ingegneristica
Le minacce tradizionali al funzionamento del data center sono le interruzioni dell'alimentazione elettrica e i guasti dei sistemi di raffreddamento. A queste minacce ci si è già abituati e si è imparato a combatterle.
Una nuova tendenza è l'implementazione diffusa di apparecchiature "intelligenti" collegate in rete: UPS gestiti, sistemi di raffreddamento e ventilazione intelligenti, vari controllori e sensori collegati ai sistemi di monitoraggio. Nel costruire un modello di minaccia per il data center, non si deve dimenticare la possibilità di attacchi alla rete infrastrutturale (e, forse, anche alla rete IT associata del data center). A complicare la situazione è il fatto che parte delle attrezzature (ad esempio, i chiller) può essere posizionata al di fuori del data center, per esempio, sul tetto di un edificio in affitto.
Protezione dei canali di comunicazione
Se il data center offre servizi non solo secondo il modello di colocation, sarà necessario occuparsi della protezione delle nuvole. Secondo Check Point, solo lo scorso anno il 51% delle organizzazioni in tutto il mondo ha affrontato attacchi alle strutture cloud. Gli attacchi DDoS fermano le attività, i virus ransomware richiedono un riscatto, mentre attacchi mirati ai sistemi bancari portano al furto di fondi dai conti correnti.
Le minacce di intrusioni esterne preoccupano anche gli specialisti della sicurezza informatica dei data center. Le minacce più attuali per i data center sono attacchi distribuiti mirati a interrompere la fornitura di servizi, nonché minacce di hacking, furto o modifica dei dati contenuti nell'infrastruttura virtuale o nei sistemi di archiviazione.
Per proteggere il perimetro esterno del data center si utilizzano sistemi moderni con funzionalità di rilevamento e neutralizzazione del codice malevolo, monitoraggio delle applicazioni e possibilità di importazione della tecnologia di protezione proattiva Threat Intelligence. In alcuni casi vengono implementati sistemi con funzionalità IPS (prevenzione delle intrusioni) con l'adattamento automatico del set di firme alle caratteristiche dell'ambiente protetto.
Per proteggersi dagli attacchi DDoS, le aziende russe, in genere, utilizzano servizi esterni specializzati che deviano il traffico su altri nodi e lo filtrano nel cloud. La protezione lato operatore è molto più efficace rispetto a quella lato cliente, e i data center fungono da intermediari nella vendita dei servizi.
Nei data center possono verificarsi anche attacchi DDoS interni: un aggressore penetra in server poco protetti di un'azienda che ospita la propria attrezzatura secondo il modello di colocation e da lì conduce un attacco di "negazione del servizio" su altri clienti di quel data center attraverso la rete interna.
Attenzione agli ambienti virtuali
È necessario tenere conto della specificità dell'oggetto protetto: l'uso di strumenti di virtualizzazione, la dinamicità della modifica delle infrastrutture IT, l'interconnessione dei servizi, dove un attacco riuscito su un cliente può minacciare la sicurezza dei vicini. Ad esempio, compromettendo il docker del frontend operante in PaaS basato su Kubernetes, l'aggressore potrebbe immediatamente ottenere tutte le informazioni sulle password e persino l'accesso al sistema di orchestrazione.
I prodotti forniti secondo un modello di servizio presentano un alto grado di automazione. Per non ostacolare il business, anche gli strumenti di protezione delle informazioni implementati devono possedere un altrettanto elevato grado di automazione e scalabilità orizzontale. La scalabilità deve essere garantita a tutti i livelli della sicurezza informatica, compresa l'automazione del controllo degli accessi e la rotazione delle chiavi di accesso. Una questione a parte è la scalabilità dei moduli funzionali che effettuano l'ispezione del traffico di rete.
Ad esempio, la filtrazione del traffico di rete ai livelli applicativo, di rete e di sessione nei data center con un alto grado di virtualizzazione deve essere effettuata a livello dei moduli di rete del hypervisor (ad esempio, il Firewall Distribuito di VMware) o mediante la creazione di catene di servizi (firewall virtuali di Palo Alto Networks).
In presenza di vulnerabilità a livello di virtualizzazione delle risorse computazionali, gli sforzi per creare un sistema di sicurezza informatica completo a livello di piattaforma risulteranno inefficaci.
Livelli di protezione delle informazioni nei data center
L'approccio generale alla protezione consiste nell'utilizzare sistemi integrati e multilivello di garanzia della sicurezza informatica, che includono la macrossegmentation a livello del firewall (assegnazione di segmenti a diverse direzioni funzionali del business), la microsegmentazione basata su firewall virtuali o la marcatura delle etichette di traffico dei gruppi (ruoli degli utenti o dei servizi), definiti dalle politiche di accesso.
Il livello successivo è l'identificazione delle anomalie all'interno e tra i segmenti. Viene analizzata la dinamica del traffico, che può rivelare attività dannose come la scansione della rete, tentativi di attacchi DDoS, scaricamento di dati, ad esempio tramite la segmentazione dei file del database e l'emissione di sessioni ricorrenti a intervalli di tempo prolungati. All'interno dei data center transita un volume enorme di traffico, quindi per identificare le anomalie è necessario utilizzare algoritmi avanzati di ricerca, escludendo l'analisi dei pacchetti. È importante che vengano riconosciuti non solo i segni di attività dannosa e anomala, ma anche il funzionamento di malware anche nel traffico crittografato senza doverlo decrittare, come proposto nelle soluzioni Cisco (Stealthwatch).
L'ultima frontiera è la protezione dei dispositivi finali della rete locale: server e macchine virtuali, ad esempio, mediante agenti installati sui dispositivi finali (macchine virtuali) che analizzano le operazioni di input/output, cancellazione, copia e attività di rete, trasferendo i dati in , dove vengono condotte elaborazioni che richiedono elevate capacità computazionali. Qui viene eseguita un'analisi utilizzando algoritmi Big Data, costruendo alberi di logica machine e identificando anomalie. Gli algoritmi si auto-addestrano sulla base di un'enorme quantità di dati forniti dalla rete globale di sensori.
Si può fare a meno di installare agenti. Le moderne soluzioni di protezione delle informazioni devono essere senza agenti e integrarsi nei sistemi operativi a livello di hypervisor.
Le misure elencate riducono significativamente i rischi per la sicurezza informatica, ma potrebbero non essere sufficienti per i data center che supportano l'automazione dei processi produttivi ad alto rischio, come le centrali nucleari.
Requisiti dei regolatori
A seconda delle informazioni trattate, le infrastrutture fisiche e virtualizzate del data center devono soddisfare diversi requisiti di sicurezza, formulati nelle leggi e negli standard di settore.
Tali leggi includono la legge «Sui dati personali» (152-FZ) e la legge «Sulla sicurezza degli oggetti KII della Federazione Russa» (187-FZ), entrata in vigore quest'anno: la procura ha già iniziato a interessarsi al suo attuazione. Le controversie sull'appartenenza dei CED agli enti KII sono ancora in corso, ma probabilmente i data center che desiderano fornire servizi agli enti KII dovranno rispettare i requisiti della nuova legislazione.
I data center che ospitano sistemi informativi governativi se la vedranno difficile. Secondo il decreto del governo russo del 11.05.2017 n. 555, le questioni di sicurezza informatica devono essere risolte prima dell'immissione in esercizio dei sistemi informativi governativi. E un data center che desidera ospitare sistemi informativi governativi deve soddisfare in anticipo i requisiti dei regolatori.
Negli ultimi 30 anni i sistemi di sicurezza dei data center hanno compiuto grandi progressi: da sistemi fisici di protezione e misure organizzative, che tuttavia non hanno perso la loro rilevanza, a sistemi intelligenti complessi in cui vengono sempre più utilizzati elementi di intelligenza artificiale. Ma la sostanza dell'approccio non è cambiata. Le tecnologie più moderne non salveranno senza misure organizzative e formazione del personale, mentre la documentazione non basta senza soluzioni software e tecniche. La sicurezza di un data center non può essere garantita una volta per tutte; è un lavoro quotidiano continuo per identificare minacce prioritarie e risolvere problemi complessi.
Cosa altro utile si può leggere nel blog
→
→
→
→
→
Iscriviti al nostro -canale, per non perdere il prossimo articolo! Scriviamo non più di due volte a settimana e solo per necessità. Ricordiamo anche che potete le soluzioni cloud di Cloud4Y.
Fonte: habr.com
