אבטחת מידע במרכז נתונים

כך נראה מרכז הניטור של מרכז הנתונים NORD-2 שנמצא במוסקבה

קראת יותר מפעם אחת על אילו אמצעים ננקטים כדי להבטיח אבטחת מידע (IS). כל מומחה IT שמכבד את עצמו יכול למנות בקלות 5-10 כללי אבטחת מידע. Cloud4Y מציעה לדבר על אבטחת מידע של מרכזי נתונים.

כאשר מבטיחים אבטחת מידע של מרכז נתונים, האובייקטים ה"מוגנים" ביותר הם:

• משאבי מידע (נתונים);
• תהליכי איסוף, עיבוד, אחסון והעברת מידע;
• משתמשי מערכת ואנשי תחזוקה;
• תשתית מידע, לרבות כלי חומרה ותוכנה לעיבוד, שידור והצגת מידע, לרבות ערוצי חילופי מידע, מערכות אבטחת מידע וחצרים.

תחום האחריות של מרכז הנתונים תלוי במודל השירותים הניתנים (IaaS/PaaS/SaaS). איך זה נראה, ראה את התמונה למטה:

היקף מדיניות האבטחה של מרכז הנתונים בהתאם למודל השירותים הניתנים

החלק החשוב ביותר בפיתוח מדיניות אבטחת מידע הוא בניית מודל של איומים ומפרים. מה יכול להפוך לאיום על מרכז נתונים?

1. אירועים שליליים בעלי אופי טבעי, מעשה ידי אדם וחברתי
2. מחבלים, גורמים עברייניים וכו'.
3. תלות בספקים, ספקים, שותפים, לקוחות
4. כשלים, כשלים, הרס, נזק לתוכנה ולחומרה
5. עובדי מרכז הנתונים מיישמים איומי אבטחת מידע תוך שימוש בזכויות וסמכויות המוענקות על פי חוק (מפירי אבטחת מידע פנימיים)
6. עובדי מרכז הנתונים המיישמים איומי אבטחת מידע מחוץ לזכויות וסמכויות המוענקות על פי חוק, וכן גורמים שאינם קשורים לאנשי מרכז הנתונים, אך מנסים גישה לא מורשית ופעולות לא מורשות (מפירי אבטחת מידע חיצוניים)
7. אי עמידה בדרישות רשויות הפיקוח והרגולציה, חקיקה עדכנית

ניתוח סיכונים - זיהוי איומים פוטנציאליים והערכת היקף ההשלכות של יישומם - יסייע לבחור נכון את המשימות העדיפות שעל מומחי אבטחת מידע במרכזי הנתונים לפתור, ולתכנן תקציבים לרכישת חומרה ותוכנה.

הבטחת האבטחה היא תהליך מתמשך הכולל את שלבי התכנון, היישום והתפעול, ניטור, ניתוח ושיפור מערך אבטחת המידע. כדי ליצור מערכות ניהול אבטחת מידע, מה שנקרא "מחזור דמינג".

חלק חשוב ממדיניות האבטחה הוא חלוקת התפקידים והאחריות של אנשי הצוות ליישומם. מדיניות צריכה להיבדק ללא הרף כדי לשקף שינויים בחקיקה, איומים חדשים והגנות מתפתחות. וכמובן, להעביר את דרישות אבטחת המידע לצוות ולספק הדרכה.

אמצעים ארגוניים

חלק מהמומחים סקפטיים לגבי אבטחת "נייר", חושבים שהעיקר הוא כישורים מעשיים להתנגד לניסיונות פריצה. ניסיון אמיתי בהבטחת אבטחת מידע בבנקים מעיד על ההיפך. מומחי אבטחת מידע עשויים להיות בעלי מומחיות מצוינת בזיהוי והפחתת סיכונים, אך אם אנשי מרכז הנתונים לא ימלאו אחר הוראותיהם, הכל יהיה לשווא.

אבטחה, ככלל, לא מביאה כסף, אלא רק ממזערת סיכונים. לכן, לרוב מתייחסים אליו כאל משהו מטריד ומשני. וכאשר מומחי אבטחה מתחילים להתמרמר (עם כל הזכות לעשות זאת), מתעוררים לעתים קרובות סכסוכים עם צוות וראשי מחלקות מבצעיות.

הנוכחות של תקנים ודרישות רגולטוריות בתעשייה מסייעת לאנשי אבטחה להגן על עמדותיהם במשא ומתן מול ההנהלה, ומדיניות, תקנות ותקנות אבטחת מידע מאושרות מאפשרות לצוות לעמוד בדרישות המפורטות שם, מה שמספק בסיס להחלטות לעתים קרובות לא פופולריות.

הגנה על חצרים

כאשר מרכז נתונים מספק שירותים באמצעות מודל ה-colocation, הבטחת אבטחה פיזית ובקרת גישה לציוד הלקוח באה לידי ביטוי. לצורך כך נעשה שימוש במתחמים (חלקים מגודרים של האולם), הנמצאים במעקב וידאו של הלקוח ושהגישה אליהם מוגבלת לאנשי מרכז הנתונים.

במרכזי מחשבים ממלכתיים עם אבטחה פיזית, המצב לא היה רע בסוף המאה הקודמת. הייתה בקרת כניסה, בקרת כניסה למקום, גם ללא מחשבים ומצלמות וידאו, מערכת כיבוי אש - במקרה של שריפה, פריאון שוחרר אוטומטית לחדר המכונות.

כיום, אבטחה פיזית מובטחת אפילו טוב יותר. מערכות בקרת וניהול גישה (ACS) הפכו לחכמה, ושיטות ביומטריות להגבלת גישה מוצגות.

מערכות כיבוי אש הפכו לבטוחות יותר עבור כוח אדם וציוד, ביניהן מתקנים לעיכוב, בידוד, קירור והשפעות היפוקסיות על אזור האש. יחד עם מערכות חובה להגנה מפני אש, מרכזי נתונים משתמשים לרוב במערכת גילוי אש מוקדם מסוג שאיפה.

כדי להגן על מרכזי נתונים מפני איומים חיצוניים - שריפות, פיצוצים, קריסת מבני בניין, הצפה, גזים קורוזיביים - החלו להשתמש בחדרי אבטחה וכספות, בהם ציוד השרתים מוגן כמעט מכל גורמי הפגיעה החיצוניים.

החוליה החלשה היא האדם

מערכות מעקב וידאו "חכמות", חיישני מעקב נפחיים (אקוסטיים, אינפרא אדום, קוליים, מיקרוגל), מערכות בקרת גישה הפחיתו סיכונים, אך לא פתרו את כל הבעיות. אמצעים אלה לא יעזרו, למשל, כאשר אנשים שהתקבלו כראוי למרכז הנתונים עם הכלים הנכונים היו "מכורים" למשהו. וכמו שקורה לעתים קרובות, תקלה בשוגג תביא לבעיות מקסימום.

עבודתו של מרכז הנתונים עשויה להיות מושפעת משימוש לרעה במשאבים שלו על ידי כוח אדם, למשל, כרייה בלתי חוקית. מערכות ניהול תשתית מרכזי נתונים (DCIM) יכולות לעזור במקרים אלה.

כוח אדם גם דורש הגנה, שכן אנשים נקראים לעתים קרובות החוליה הפגיעה ביותר במערכת ההגנה. התקפות ממוקדות של עבריינים מקצועיים מתחילות לרוב בשימוש בשיטות הנדסה חברתית. לעתים קרובות המערכות המאובטחות ביותר קורסות או נפגעות לאחר שמישהו לחץ/הורד/עשה משהו. ניתן למזער סיכונים כאלה על ידי הכשרת צוות ויישום שיטות עבודה מומלצות גלובליות בתחום אבטחת המידע.

הגנה על תשתית הנדסית

האיומים המסורתיים על תפקוד מרכז הנתונים הם הפסקות חשמל ותקלות של מערכות קירור. כבר התרגלנו לאיומים כאלה ולמדנו להתמודד איתם.

טרנד חדש הפך להחדרה נרחבת של ציוד "חכם" המחובר לרשת: UPS מבוקרים, מערכות קירור ואוורור חכמות, בקרים וחיישנים שונים המחוברים למערכות ניטור. בעת בניית מודל איום של מרכז נתונים, אל תשכח את הסבירות להתקפה על רשת התשתית (ואולי, על רשת ה-IT הקשורה למרכז הנתונים). מסבך את המצב הוא העובדה שניתן להעביר חלק מהציוד (למשל צ'ילרים) מחוץ למרכז הנתונים, למשל, לגג של בניין שכור.

הגנה על ערוצי תקשורת

אם מרכז הנתונים מספק שירותים לא רק לפי מודל ה-colocation, אז הוא יצטרך להתמודד עם הגנת ענן. לפי צ'ק פוינט, בשנה שעברה לבדה, 51% מהארגונים ברחבי העולם חוו התקפות על מבני הענן שלהם. התקפות DDoS עוצרות עסקים, וירוסי הצפנה דורשים כופר, התקפות ממוקדות על מערכות בנקאיות מובילות לגניבת כספים מחשבונות מתכתבים.

איומים בפריצות חיצוניות מדאיגים גם מומחי אבטחת מידע במרכז הנתונים. הרלוונטיות ביותר עבור מרכזי נתונים הן התקפות מבוזרות שמטרתן להפריע למתן השירותים, וכן איומים של פריצה, גניבה או שינוי של נתונים הכלולים בתשתית הווירטואלית או במערכות האחסון.

כדי להגן על ההיקף החיצוני של מרכז הנתונים, נעשה שימוש במערכות מודרניות עם פונקציות לזיהוי ולנטרול קוד זדוני, בקרת יישומים ויכולת לייבא טכנולוגיית הגנה פרואקטיבית של Threat Intelligence. במקרים מסוימים, מערכות עם פונקציונליות IPS (מניעת חדירה) נפרסות עם התאמה אוטומטית של החתימה שנקבעה לפרמטרים של הסביבה המוגנת.

כדי להגן מפני התקפות DDoS, חברות רוסיות, ככלל, משתמשות בשירותים מיוחדים חיצוניים המפנים את התעבורה לצמתים אחרים ומסננים אותה בענן. ההגנה בצד המפעיל יעילה הרבה יותר מאשר בצד הלקוח, ומרכזי נתונים משמשים כמתווכים למכירת שירותים.

התקפות DDoS פנימיות אפשריות גם במרכזי נתונים: תוקף חודר לשרתים המוגנים בצורה חלשה של חברה אחת המארחת את הציוד שלה באמצעות מודל colocation, ומשם מבצע התקפת מניעת שירות על לקוחות אחרים של מרכז הנתונים הזה דרך הרשת הפנימית .

התמקדו בסביבות וירטואליות

יש צורך לקחת בחשבון את הפרטים הספציפיים של האובייקט המוגן - השימוש בכלי וירטואליזציה, הדינמיקה של שינויים בתשתיות IT, הקישוריות של שירותים, כאשר התקפה מוצלחת על לקוח אחד יכולה לאיים על אבטחת השכנים. לדוגמה, על ידי פריצה ל-frontend docker תוך כדי עבודה ב-PaaS מבוסס Kubernetes, תוקף יכול לקבל מיד את כל מידע הסיסמא ואפילו גישה למערכת התזמור.

למוצרים הניתנים במסגרת מודל השירות יש רמה גבוהה של אוטומציה. כדי לא להפריע לעסק, יש ליישם אמצעי אבטחת מידע במידה לא פחותה של אוטומציה וקנה מידה אופקי. יש להבטיח קנה מידה בכל רמות אבטחת המידע, לרבות אוטומציה של בקרת גישה וסיבוב מפתחות גישה. משימה מיוחדת היא שינוי קנה המידה של מודולים פונקציונליים הבודקים את תעבורת הרשת.

לדוגמה, סינון תעבורת רשת ברמת האפליקציה, הרשת וההפעלה במרכזי נתונים וירטואליים במיוחד צריך להתבצע ברמת מודולי רשת היפרוויזר (לדוגמה, חומת האש המבוזרת של VMware) או על ידי יצירת שרשראות שירות (חומת אש וירטואלית מבית Palo Alto Networks) .

אם ישנן חולשות ברמת הווירטואליזציה של משאבי המחשוב, המאמצים ליצור מערכת אבטחת מידע מקיפה ברמת הפלטפורמה לא יהיו יעילים.

רמות הגנת מידע במרכז הנתונים

הגישה הכללית להגנה היא שימוש במערכות אבטחת מידע משולבות מרובות רמות, לרבות פילוח מאקרו ברמת חומת האש (הקצאת סגמנטים לתחומים פונקציונליים שונים בעסק), מיקרו פילוח המבוסס על חומות אש וירטואליות או תיוג תעבורת קבוצות (תפקידי משתמש או שירותים) המוגדרים על ידי מדיניות גישה .

הרמה הבאה היא זיהוי חריגות בתוך ובין מקטעים. מנתחים דינמיקה של תעבורה, מה שעלול להצביע על נוכחות של פעילויות זדוניות, כגון סריקת רשת, ניסיונות להתקפות DDoS, הורדת נתונים, למשל, על ידי חיתוך קבצי מסד נתונים והפקתם בהפעלות המופיעות מעת לעת במרווחי זמן ארוכים. כמויות עצומות של תעבורה עוברות דרך מרכז הנתונים, אז כדי לזהות חריגות, צריך להשתמש באלגוריתמי חיפוש מתקדמים, וללא ניתוח מנות. חשוב שיזהו לא רק סימנים לפעילות זדונית ואנומלית, אלא גם פעולת תוכנה זדונית גם בתעבורה מוצפנת מבלי לפענח אותה, כפי שמוצע בפתרונות של סיסקו (Stealthwatch).

הגבול האחרון הוא הגנה על התקני קצה של הרשת המקומית: שרתים ומכונות וירטואליות, למשל, בעזרת סוכנים המותקנים על התקני קצה (מכונות וירטואליות), המנתחים פעולות קלט/פלט, מחיקות, העתקות ופעילויות רשת, להעביר נתונים ל הענן, שבו מתבצעים חישובים הדורשים כוח מחשוב גדול. שם מתבצע ניתוח באמצעות אלגוריתמי Big Data, בונים עצי לוגיקה מכונה ומזהים חריגות. אלגוריתמים הם למידה עצמית המבוססים על כמות עצומה של נתונים המסופקים על ידי רשת עולמית של חיישנים.

אתה יכול להסתדר בלי להתקין סוכנים. כלי אבטחת מידע מודרניים חייבים להיות נטולי סוכנים ומשולבים במערכות הפעלה ברמת ההיפרוויזר.
האמצעים המפורטים מפחיתים משמעותית את סיכוני אבטחת המידע, אך ייתכן שזה לא יספיק למרכזי נתונים המספקים אוטומציה של תהליכי ייצור בסיכון גבוה, למשל, תחנות כוח גרעיניות.

דרישות רגולטוריות

בהתאם למידע המעובד, תשתיות מרכזי נתונים פיזיות ווירטואליזציה חייבות לעמוד בדרישות אבטחה שונות המפורטות בחוקים ובסטנדרטים בתעשייה.

חוקים כאלה כוללים את החוק "על נתונים אישיים" (152-FZ) ואת החוק "על אבטחת מתקני KII של הפדרציה הרוסית" (187-FZ), שנכנסו לתוקף השנה - משרד התובע כבר התעניין בהתקדמות יישומו. מחלוקות בנוגע לשאלה האם מרכזי נתונים שייכים לנושאי CII עדיין נמשכים, אך ככל הנראה, מרכזי נתונים המעוניינים לספק שירותים לנושאי CII יצטרכו לעמוד בדרישות החקיקה החדשה.

זה לא יהיה קל למרכזי נתונים המארחים מערכות מידע ממשלתיות. על פי הצו של ממשלת הפדרציה הרוסית מיום 11.05.2017 במאי 555 מס' XNUMX, יש לפתור בעיות אבטחת מידע לפני הפעלת ה-GIS לפעולה מסחרית. ומרכז נתונים שרוצה לארח GIS חייב קודם לעמוד בדרישות הרגולטוריות.

במהלך 30 השנים האחרונות, מערכות האבטחה של מרכזי הנתונים עברו דרך ארוכה: ממערכות הגנה פיזיות פשוטות ואמצעים ארגוניים, שעם זאת לא איבדו את הרלוונטיות שלהם, ועד למערכות אינטליגנטיות מורכבות, המשתמשות יותר ויותר באלמנטים של בינה מלאכותית. אבל מהות הגישה לא השתנתה. הטכנולוגיות החדישות ביותר לא יצילו אתכם ללא אמצעים ארגוניים והכשרת צוות, והניירת לא תציל אתכם ללא תוכנה ופתרונות טכניים. לא ניתן להבטיח את אבטחת מרכזי הנתונים אחת ולתמיד; זהו מאמץ יומיומי מתמיד לזהות איומים בראש סדר העדיפויות ולפתור בעיות מתעוררות באופן מקיף.

מה עוד אפשר לקרוא בבלוג? Cloud4Y

→ הגדרה למעלה ב-GNU/Linux
→ חומשים בחזית אבטחת הסייבר
→ הדרך של בינה מלאכותית מרעיון פנטסטי לתעשייה המדעית
→ 4 דרכים לחסוך בגיבויים בענן
→ סיפור מוט

הירשם למנוי שלנו מברק-ערוץ כדי לא לפספס את המאמר הבא! אנו כותבים לא יותר מפעמיים בשבוע ורק לעסקים. אנחנו גם מזכירים לכם שאתם יכולים בדיקה בחינם פתרונות ענן Cloud4Y.

מקור: www.habr.com