დეველოპერების წინაშე: პირადი ღრუბლის მოდერნიზაცია

რთულია ღრუბელში ვირტუალური მანქანის (VM) შექმნა? ჩაის მომზადებაზე რთული არ არის. მაგრამ როცა საქმე დიდ კორპორაციას ეხება, ასეთი მარტივი ქმედებაც კი შეიძლება მტკივნეულად ხანგრძლივი აღმოჩნდეს. საკმარისი არ არის ვირტუალური მანქანის შექმნა; თქვენ ასევე უნდა მიიღოთ საჭირო წვდომა სამუშაოდ ყველა რეგლამენტის შესაბამისად. ნაცნობი ტკივილი ყველა დეველოპერისთვის? ერთ დიდ ბანკში ამ პროცედურას რამდენიმე საათიდან რამდენიმე დღემდე დასჭირდა. და ვინაიდან თვეში ასეულობით მსგავსი ოპერაცია ხდებოდა, ადვილი წარმოსადგენია ამ შრომატევადი სქემის მასშტაბები. ამის დასასრულებლად ჩვენ მოვახდინეთ ბანკის კერძო ღრუბლის მოდერნიზება და ავტომატიზირებულია არა მხოლოდ VM-ების შექმნის პროცესი, არამედ მასთან დაკავშირებული ოპერაციებიც.

დავალება No1. ღრუბელი ინტერნეტით

ბანკმა შექმნა კერძო ღრუბელი თავისი შიდა IT გუნდის გამოყენებით ქსელის ერთი სეგმენტისთვის. დროთა განმავლობაში მენეჯმენტმა დააფასა მისი უპირატესობები და გადაწყვიტა, გაევრცელებინა კერძო ღრუბლის კონცეფცია ბანკის სხვა გარემოსა და სეგმენტებზე. ამას მოითხოვდა მეტი სპეციალისტი და ძლიერი გამოცდილება კერძო ღრუბლებში. ამიტომ, ჩვენს გუნდს დაევალა ღრუბლის მოდერნიზაცია.

ამ პროექტის მთავარი ნაკადი იყო ვირტუალური მანქანების შექმნა ინფორმაციული უსაფრთხოების დამატებით სეგმენტში - დემილიტარიზებულ ზონაში (DMZ). სწორედ აქ არის ბანკის სერვისების ინტეგრირება საბანკო ინფრასტრუქტურის გარეთ მდებარე გარე სისტემებთან.

მაგრამ ამ მედალს ჰქონდა სხვა მხარეც. DMZ-ის სერვისები ხელმისაწვდომი იყო „გარეთ“ და ეს მოჰყვა ინფორმაციული უსაფრთხოების რისკების მთელ კომპლექსს. უპირველეს ყოვლისა, ეს არის ჰაკერული სისტემების საფრთხე, DMZ-ში თავდასხმის ველის შემდგომი გაფართოება და შემდეგ ბანკის ინფრასტრუქტურაში შეღწევა. ზოგიერთი ამ რისკის შესამცირებლად, ჩვენ შევთავაზეთ უსაფრთხოების დამატებითი ღონისძიების გამოყენება - მიკროსეგმენტაციის გადაწყვეტა.

მიკროსეგმენტაციის დაცვა

კლასიკური სეგმენტაცია აყალიბებს დაცულ საზღვრებს ქსელების საზღვრებზე, firewall-ის გამოყენებით. მიკროსეგმენტაციის საშუალებით, თითოეული VM შეიძლება დაიყოს პერსონალურ, იზოლირებულ სეგმენტად.

ეს აძლიერებს მთელი სისტემის უსაფრთხოებას. მაშინაც კი, თუ თავდამსხმელებმა გატეხონ ერთი DMZ სერვერი, მათთვის ძალზე რთული იქნება თავდასხმის ქსელში გავრცელება - მათ მოუწევთ ქსელის შიგნით მრავალი „ჩაკეტილი კარის“ გარღვევა. თითოეული VM-ის პერსონალური firewall შეიცავს მის შესახებ საკუთარ წესებს, რომლებიც განსაზღვრავს შესვლისა და გასვლის უფლებას. ჩვენ მივაწოდეთ მიკროსეგმენტაცია VMware NSX-T Distributed Firewall-ის გამოყენებით. ეს პროდუქტი ცენტრალიზებულად ქმნის Firewall-ის წესებს VM-ებისთვის და ანაწილებს მათ ვირტუალიზაციის ინფრასტრუქტურაში. არ აქვს მნიშვნელობა რომელი სტუმარი OS გამოიყენება, წესი გამოიყენება ვირტუალური მანქანების ქსელთან დაკავშირების დონეზე.

პრობლემა N2. სიჩქარისა და მოხერხებულობის ძიებაში

განათავსეთ ვირტუალური მანქანა? მარტივად! რამდენიმე დაწკაპუნებით და თქვენ მზად ხართ. მაგრამ შემდეგ ჩნდება მრავალი კითხვა: როგორ მივიღოთ წვდომა ამ VM-დან სხვაზე ან სისტემაზე? ან სხვა სისტემიდან ისევ VM-ში?

მაგალითად, ბანკში, ღრუბელ პორტალზე VM-ის შეკვეთის შემდეგ, საჭირო იყო ტექნიკური მხარდაჭერის პორტალის გახსნა და საჭირო წვდომის უზრუნველყოფის მოთხოვნის წარდგენა. განაცხადის შეცდომამ გამოიწვია ზარები და მიმოწერა სიტუაციის გამოსასწორებლად. ამავდროულად, VM-ს შეიძლება ჰქონდეს 10-15-20 წვდომა და თითოეულის დამუშავებას დრო დასჭირდა. ეშმაკის პროცესი.

გარდა ამისა, დისტანციური ვირტუალური მანქანების სიცოცხლის კვალის „გასუფთავება“ განსაკუთრებულ ზრუნვას მოითხოვდა. მათი ამოღების შემდეგ, ათასობით წვდომის წესი დარჩა firewall-ზე, იტვირთება აღჭურვილობა. ეს არის როგორც დამატებითი ტვირთი, ასევე უსაფრთხოების ხვრელები.

თქვენ არ შეგიძლიათ ამის გაკეთება ღრუბელში არსებული წესებით. არასასიამოვნო და სახიფათოა.

იმისთვის, რომ მინიმუმამდე დავიყვანოთ VM-ებზე წვდომის უზრუნველყოფა და მოსახერხებელი იყოს მათი მართვა, ჩვენ შევიმუშავეთ ქსელში წვდომის მართვის სერვისი VM-ებისთვის.

მომხმარებელი ვირტუალური მანქანის დონეზე კონტექსტურ მენიუში ირჩევს ელემენტს წვდომის წესის შესაქმნელად, შემდეგ კი ფორმაში, რომელიც იხსნება, განსაზღვრავს პარამეტრებს - საიდან, საიდან, პროტოკოლის ტიპები, პორტის ნომრები. ფორმის შევსების და წარდგენის შემდეგ, საჭირო ბილეთები ავტომატურად იქმნება მომხმარებლის ტექნიკური მხარდაჭერის სისტემაში HP Service Manager-ის საფუძველზე. ისინი პასუხისმგებელნი არიან დაამტკიცონ ესა თუ ის წვდომა და, თუ წვდომა დამტკიცდა, სპეციალისტებზე, რომლებიც ასრულებენ ზოგიერთ ოპერაციას, რომელიც ჯერ კიდევ არ არის ავტომატიზირებული.

მას შემდეგ, რაც ამუშავდება ბიზნეს პროცესის ეტაპი, რომელშიც მონაწილეობენ სპეციალისტები, იწყება სერვისის ნაწილი, რომელიც ავტომატურად ქმნის წესებს firewall-ზე.

როგორც საბოლოო აკორდი, მომხმარებელი ხედავს წარმატებით დასრულებულ მოთხოვნას პორტალზე. ეს ნიშნავს, რომ წესი შეიქმნა და შეგიძლიათ მასთან მუშაობა - ნახვა, შეცვლა, წაშლა.

შეღავათების საბოლოო ქულა

არსებითად, ჩვენ მოვახდინეთ კერძო ღრუბლის მცირე ასპექტების მოდერნიზება, მაგრამ ბანკმა მიიღო შესამჩნევი ეფექტი. მომხმარებლები ახლა იღებენ ქსელში წვდომას მხოლოდ პორტალის საშუალებით, სერვისის მაგიდასთან უშუალო ურთიერთობის გარეშე. ფორმის სავალდებულო ველები, მათი დამოწმება შეყვანილი მონაცემების სისწორისთვის, წინასწარ კონფიგურირებული სიები, დამატებითი მონაცემები - ეს ყველაფერი ხელს უწყობს ზუსტი წვდომის მოთხოვნის ჩამოყალიბებას, რომელიც დიდი ალბათობით განიხილება და არ იქნება უარყოფილი ინფორმაციის უსაფრთხოების თანამშრომლების მიერ. შეცდომების შესატანად. ვირტუალური მანქანები აღარ არის შავი ყუთები — შეგიძლიათ გააგრძელოთ მათთან მუშაობა პორტალზე ცვლილებების შეტანით.

შედეგად, დღეს ბანკის IT სპეციალისტებს ხელმისაწვდომობის მოპოვების უფრო მოსახერხებელი საშუალება აქვთ და პროცესში ჩართული არიან მხოლოდ ის ადამიანები, ვის გარეშეც ნამდვილად არ შეუძლიათ. საერთო ჯამში, შრომის ხარჯების თვალსაზრისით, ეს არის მინიმუმ 1 ადამიანის ყოველდღიური სრული დატვირთვისგან განთავისუფლება, ასევე მომხმარებლებისთვის დაზოგილი ათობით საათი. წესების შექმნის ავტომატიზაციამ შესაძლებელი გახადა მიკროსეგმენტაციის გადაწყვეტის დანერგვა, რომელიც არ ქმნის ტვირთს ბანკის თანამშრომლებზე.

და ბოლოს, "წვდომის წესი" გახდა ღრუბლის აღრიცხვის ერთეული. ანუ, ახლა ღრუბელი ინახავს ინფორმაციას ყველა VM-ის წესების შესახებ და ასუფთავებს მათ, როდესაც ვირტუალური მანქანები წაიშლება.

მალე მოდერნიზაციის სარგებელი გავრცელდება მთელი ბანკის ღრუბელზე. VM-ის შექმნის პროცესის ავტომატიზაცია და მიკროსეგმენტაცია გადავიდა DMZ-ის მიღმა და დაიპყრო სხვა სეგმენტები. და ამან გაზარდა ღრუბლის უსაფრთხოება მთლიანობაში.

განხორციელებული გადაწყვეტა საინტერესოა იმითაც, რომ ბანკს საშუალებას აძლევს დააჩქაროს განვითარების პროცესები, დააახლოოს იგი IT კომპანიების მოდელთან ამ კრიტერიუმის მიხედვით. ბოლოს და ბოლოს, რაც შეეხება მობილურ აპლიკაციებს, პორტალებს და მომხმარებელთა მომსახურებას, დღეს ნებისმიერი მსხვილი კომპანია ცდილობს გახდეს ციფრული პროდუქტების წარმოების „ქარხანა“. ამ თვალსაზრისით, ბანკები პრაქტიკულად უტოლდებიან უძლიერეს IT კომპანიებს და აგრძელებენ ახალი აპლიკაციების შექმნას. და კარგია, როდესაც კერძო ღრუბლოვან მოდელზე აგებული IT ინფრასტრუქტურის შესაძლებლობები საშუალებას გაძლევთ გამოყოთ ამისათვის საჭირო რესურსები რამდენიმე წუთში და რაც შეიძლება უსაფრთხოდ.

Ავტორები:
ვიაჩესლავ მედვედევი, Cloud Computing დეპარტამენტის უფროსი, Jet Infosystems,
ილია კუიკინი, Jet Infosystems-ის ღრუბლოვანი კომპიუტერული განყოფილების წამყვანი ინჟინერი

წყარო: www.habr.com