“ហើយដូច្នេះវានឹងធ្វើ”៖ អ្នកផ្តល់សេវាពពកមិនចរចាអំពីទិន្នន័យផ្ទាល់ខ្លួនទេ។

ថ្ងៃមួយ យើងបានទទួលសំណើសម្រាប់សេវាកម្មពពក។ យើងបានគូសបញ្ជាក់នៅក្នុងលក្ខខណ្ឌទូទៅនូវអ្វីដែលនឹងត្រូវបានទាមទារពីយើង ហើយបានផ្ញើបញ្ជីសំណួរត្រឡប់មកវិញ ដើម្បីបញ្ជាក់ព័ត៌មានលម្អិត។ បន្ទាប់មក យើងវិភាគចម្លើយ ហើយដឹងថា៖ អតិថិជនចង់ដាក់ទិន្នន័យផ្ទាល់ខ្លួននៃកម្រិតទីពីរនៃសុវត្ថិភាពនៅក្នុងពពក។ យើងឆ្លើយគាត់ថា "អ្នកមានទិន្នន័យផ្ទាល់ខ្លួនកម្រិតទីពីរ សូមអភ័យទោស យើងអាចបង្កើតបានតែពពកឯកជនប៉ុណ្ណោះ។" ហើយគាត់៖ "អ្នកដឹងទេ ប៉ុន្តែនៅក្នុងក្រុមហ៊ុន X ពួកគេអាចបង្ហោះអ្វីគ្រប់យ៉ាងមកខ្ញុំជាសាធារណៈ"។

រូបថតរបស់ Steve Crisp, Reuters

រឿងចម្លែក! យើងបានទៅគេហទំព័ររបស់ក្រុមហ៊ុន X សិក្សាឯកសារបញ្ជាក់របស់ពួកគេ ងក់ក្បាល ហើយដឹងថា៖ មានសំណួរបើកចំហជាច្រើនក្នុងការដាក់ទិន្នន័យផ្ទាល់ខ្លួន ហើយពួកគេគួរតែត្រូវបានដោះស្រាយឱ្យបានហ្មត់ចត់។ នោះហើយជាអ្វីដែលយើងនឹងធ្វើនៅក្នុងការប្រកាសនេះ។

របៀបដែលអ្វីគ្រប់យ៉ាងគួរតែដំណើរការ

ជាដំបូង ចូរយើងស្វែងយល់ថាតើលក្ខណៈវិនិច្ឆ័យណាដែលត្រូវបានប្រើដើម្បីចាត់ថ្នាក់ទិន្នន័យផ្ទាល់ខ្លួនជាកម្រិតសុវត្ថិភាពមួយ ឬមួយផ្សេងទៀត។ វាអាស្រ័យលើប្រភេទទិន្នន័យ ចំនួនមុខវិជ្ជានៃទិន្នន័យនេះដែលប្រតិបត្តិកររក្សាទុក និងដំណើរការ ក៏ដូចជាប្រភេទនៃការគំរាមកំហែងបច្ចុប្បន្ន។

ប្រភេទនៃការគំរាមកំហែងបច្ចុប្បន្នត្រូវបានកំណត់នៅក្នុង ក្រឹត្យរបស់រដ្ឋាភិបាលនៃសហព័ន្ធរុស្ស៊ីលេខ 1119 ចុះថ្ងៃទី 1 ខែវិច្ឆិកា ឆ្នាំ 2012 "លើការអនុម័តលើតម្រូវការសម្រាប់ការការពារទិន្នន័យផ្ទាល់ខ្លួនក្នុងអំឡុងពេលដំណើរការរបស់ពួកគេនៅក្នុងប្រព័ន្ធព័ត៌មានផ្ទាល់ខ្លួន"៖

"ការគំរាមកំហែងប្រភេទទី 1 គឺពាក់ព័ន្ធទៅនឹងប្រព័ន្ធព័ត៌មានប្រសិនបើវារួមបញ្ចូល ការគំរាមកំហែងបច្ចុប្បន្នទាក់ទងនឹង ជាមួយនឹងវត្តមាននៃសមត្ថភាពដែលមិនមានឯកសារ (មិនបានប្រកាស) នៅក្នុងកម្មវិធីប្រព័ន្ធប្រើក្នុងប្រព័ន្ធព័ត៌មាន។

ការគំរាមកំហែងនៃប្រភេទទី 2 គឺពាក់ព័ន្ធសម្រាប់ប្រព័ន្ធព័ត៌មាន ប្រសិនបើសម្រាប់វា រួមទាំង ការគំរាមកំហែងបច្ចុប្បន្នទាក់ទងនឹង ជាមួយនឹងវត្តមាននៃសមត្ថភាពដែលមិនមានឯកសារ (មិនបានប្រកាស) នៅក្នុងកម្មវិធីកម្មវិធីប្រើក្នុងប្រព័ន្ធព័ត៌មាន។

ការគំរាមកំហែងនៃប្រភេទទី 3 គឺពាក់ព័ន្ធសម្រាប់ប្រព័ន្ធព័ត៌មានប្រសិនបើសម្រាប់វា។ ការគំរាមកំហែងដែលមិនពាក់ព័ន្ធ ជាមួយនឹងវត្តមាននៃសមត្ថភាពដែលមិនមានឯកសារ (មិនបានប្រកាស) នៅក្នុងប្រព័ន្ធ និងកម្មវិធីកម្មវិធីប្រើក្នុងប្រព័ន្ធព័ត៌មាន”។

រឿងសំខាន់នៅក្នុងនិយមន័យទាំងនេះគឺវត្តមាននៃសមត្ថភាពដែលមិនមានឯកសារ (មិនបានប្រកាស) ។ ដើម្បីបញ្ជាក់ពីអវត្ដមាននៃសមត្ថភាពកម្មវិធីដែលមិនមានឯកសារ (ក្នុងករណីពពកនេះគឺជា hypervisor) ការបញ្ជាក់ត្រូវបានអនុវត្តដោយ FSTEC នៃប្រទេសរុស្ស៊ី។ ប្រសិនបើប្រតិបត្តិករ PD ទទួលយកថាមិនមានសមត្ថភាពបែបនេះនៅក្នុងកម្មវិធី នោះការគំរាមកំហែងដែលត្រូវគ្នាគឺមិនពាក់ព័ន្ធទេ។ ការគំរាមកំហែងនៃប្រភេទទី 1 និងទី 2 កម្រត្រូវបានចាត់ទុកថាពាក់ព័ន្ធដោយប្រតិបត្តិករ PD ។

បន្ថែមពីលើការកំណត់កម្រិតសុវត្ថិភាព PD ប្រតិបត្តិករត្រូវតែកំណត់ការគំរាមកំហែងបច្ចុប្បន្នជាក់លាក់ចំពោះពពកសាធារណៈ ហើយដោយផ្អែកលើកម្រិតដែលបានកំណត់នៃសុវត្ថិភាព PD និងការគំរាមកំហែងបច្ចុប្បន្ន កំណត់វិធានការចាំបាច់ និងមធ្យោបាយការពារប្រឆាំងនឹងពួកគេ។

FSTEC រាយបញ្ជីយ៉ាងច្បាស់នូវការគំរាមកំហែងសំខាន់ៗទាំងអស់នៅក្នុង ណុស (មូលដ្ឋានទិន្នន័យគំរាមកំហែង) ។ អ្នកផ្តល់សេវាហេដ្ឋារចនាសម្ព័ន្ធពពក និងអ្នកវាយតម្លៃប្រើប្រាស់មូលដ្ឋានទិន្នន័យនេះនៅក្នុងការងាររបស់ពួកគេ។ នេះគឺជាឧទាហរណ៍នៃការគំរាមកំហែង៖

UBI.៤៤៖ "ការគំរាមកំហែងគឺជាលទ្ធភាពនៃការរំលោភលើសុវត្ថិភាពទិន្នន័យអ្នកប្រើប្រាស់នៃកម្មវិធីដែលដំណើរការនៅក្នុងម៉ាស៊ីននិម្មិតដោយកម្មវិធីព្យាបាទដែលដំណើរការនៅខាងក្រៅម៉ាស៊ីននិម្មិត។" ការគំរាមកំហែងនេះគឺដោយសារតែវត្តមាននៃភាពងាយរងគ្រោះនៅក្នុងកម្មវិធី hypervisor ដែលធានាថាកន្លែងអាសយដ្ឋានដែលប្រើសម្រាប់រក្សាទុកទិន្នន័យអ្នកប្រើប្រាស់សម្រាប់កម្មវិធីដែលដំណើរការនៅក្នុងម៉ាស៊ីននិម្មិតគឺដាច់ឆ្ងាយពីការចូលប្រើដោយគ្មានការអនុញ្ញាតដោយកម្មវិធីព្យាបាទដែលដំណើរការនៅខាងក្រៅម៉ាស៊ីននិម្មិត។

ការអនុវត្តការគំរាមកំហែងនេះគឺអាចធ្វើទៅបានដែលថាកូដកម្មវិធីព្យាបាទអាចយកឈ្នះលើព្រំដែននៃម៉ាស៊ីននិម្មិតដោយជោគជ័យ មិនត្រឹមតែដោយការទាញយកភាពងាយរងគ្រោះរបស់អ្នកត្រួតពិនិត្យខ្ពស់ប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងអនុវត្តផលប៉ះពាល់បែបនេះពីកម្រិតទាប (ទាក់ទងទៅនឹងអ្នកមើលខ្ពស់) នៃកម្រិត។ ដំណើរការប្រព័ន្ធ។"

UBI.៤៤៖ “ការគំរាមកំហែងស្ថិតនៅក្នុងលទ្ធភាពនៃការចូលប្រើដោយគ្មានការអនុញ្ញាតចំពោះព័ត៌មានដែលត្រូវបានការពាររបស់អ្នកប្រើប្រាស់សេវាពពកមួយពីមួយផ្សេងទៀត។ ការគំរាមកំហែងនេះគឺដោយសារតែធម្មជាតិនៃបច្ចេកវិទ្យាពពក អ្នកប្រើប្រាស់សេវាពពកត្រូវចែករំលែកហេដ្ឋារចនាសម្ព័ន្ធពពកដូចគ្នា។ ការគំរាមកំហែងនេះអាចដឹងបានប្រសិនបើមានកំហុសកើតឡើងនៅពេលបំបែកធាតុហេដ្ឋារចនាសម្ព័ន្ធពពករវាងអ្នកប្រើប្រាស់សេវាកម្មពពក ក៏ដូចជានៅពេលញែកធនធានរបស់ពួកគេ និងបំបែកទិន្នន័យពីគ្នាទៅវិញទៅមក។

អ្នកអាចការពារប្រឆាំងនឹងការគម្រាមកំហែងទាំងនេះបានតែជាមួយជំនួយពីអ្នកមើលការខុសត្រូវ ព្រោះវាជាអ្នកដែលគ្រប់គ្រងធនធាននិម្មិត។ ដូច្នេះ អ្នកត្រួតពិនិត្យត្រូវចាត់ទុកជាមធ្យោបាយការពារ។

និងស្របតាម តាមបញ្ជារបស់ FSTEC លេខ 21 ចុះថ្ងៃទី 18 ខែកុម្ភៈ ឆ្នាំ 2013 អ្នកមើលការខុសត្រូវត្រូវតែត្រូវបានបញ្ជាក់ថាមិនមែនជា NDV នៅកម្រិត 4 បើមិនដូច្នេះទេ ការប្រើប្រាស់ទិន្នន័យផ្ទាល់ខ្លួនកម្រិត 1 និង 2 ជាមួយវានឹងខុសច្បាប់ (“ ប្រការ ១២ ។ ... ដើម្បីធានាបាននូវកម្រិតទី 12 និងទី 1 នៃសុវត្ថិភាពទិន្នន័យផ្ទាល់ខ្លួន ក៏ដូចជាធានាកម្រិតទី 2 នៃសុវត្ថិភាពទិន្នន័យផ្ទាល់ខ្លួននៅក្នុងប្រព័ន្ធព័ត៌មានដែលការគំរាមកំហែងប្រភេទទី 3 ត្រូវបានចាត់ថ្នាក់ជាបច្ចុប្បន្ន ឧបករណ៍សុវត្ថិភាពព័ត៌មានត្រូវបានប្រើប្រាស់ កម្មវិធីដែលត្រូវបាន ត្រូវបានសាកល្បងយ៉ាងហោចណាស់យោងទៅតាមកម្រិត 2 នៃការគ្រប់គ្រងលើអវត្តមាននៃសមត្ថភាពដែលមិនបានប្រកាស").

មានតែអ្នកត្រួតពិនិត្យខ្ពស់មួយប៉ុណ្ណោះដែលត្រូវបានបង្កើតឡើងនៅក្នុងប្រទេសរុស្ស៊ីដែលមានកម្រិតវិញ្ញាបនប័ត្រដែលត្រូវការគឺ NDV-4 ។ ជើងមេឃព្រះអាទិត្យ. ដើម្បីដាក់វាឱ្យស្រាលមិនមែនជាដំណោះស្រាយពេញនិយមបំផុតនោះទេ។ ពពកពាណិជ្ជកម្ម ជាក្បួនត្រូវបានបង្កើតឡើងនៅលើមូលដ្ឋាននៃ VMware vSphere, KVM, Microsoft Hyper-V ។ គ្មានផលិតផលទាំងនេះត្រូវបានបញ្ជាក់ NDV-4 ទេ។ ហេតុអ្វី? វាទំនងជាថាការទទួលបានវិញ្ញាបនប័ត្របែបនេះសម្រាប់ក្រុមហ៊ុនផលិតមិនទាន់មានភាពយុត្តិធម៌ខាងសេដ្ឋកិច្ចនៅឡើយ។

ហើយអ្វីដែលនៅសេសសល់សម្រាប់យើងសម្រាប់កម្រិត 1 និង 2 ទិន្នន័យផ្ទាល់ខ្លួននៅក្នុងពពកសាធារណៈគឺ Horizon BC ។ ការ​សោក​ស្តា​យ​ប៉ុន្តែ​ជា​ការ​ពិត។

របៀបដែលអ្វីៗទាំងអស់ (តាមគំនិតរបស់យើង) ពិតជាដំណើរការ

នៅ glance ដំបូង អ្វីគ្រប់យ៉ាងគឺតឹងរ៉ឹងណាស់៖ ការគំរាមកំហែងទាំងនេះត្រូវតែត្រូវបានលុបចោលដោយការកំណត់ត្រឹមត្រូវនូវយន្តការការពារស្តង់ដារនៃ hypervisor ដែលបានបញ្ជាក់ដោយ NDV-4 ។ ប៉ុន្តែមានចន្លោះប្រហោងមួយ។ អនុលោមតាមបទបញ្ជា FSTEC លេខ 21 (“ប្រការ 2 សុវត្ថិភាពនៃទិន្នន័យផ្ទាល់ខ្លួននៅពេលដំណើរការនៅក្នុងប្រព័ន្ធព័ត៌មានទិន្នន័យផ្ទាល់ខ្លួន (តទៅនេះហៅថាប្រព័ន្ធព័ត៌មាន) ត្រូវបានធានាដោយប្រតិបត្តិករ ឬអ្នកដែលដំណើរការទិន្នន័យផ្ទាល់ខ្លួនក្នុងនាមប្រតិបត្តិករដោយអនុលោមតាម ច្បាប់ សហព័ន្ធរុស្ស៊ី") អ្នកផ្តល់សេវាវាយតម្លៃដោយឯករាជ្យនូវភាពពាក់ព័ន្ធនៃការគំរាមកំហែងដែលអាចកើតមាន ហើយជ្រើសរើសវិធានការការពារតាមនោះ។ ដូច្នេះ ប្រសិនបើអ្នកមិនទទួលយកការគំរាមកំហែង UBI.44 និង UBI.101 ដូចបច្ចុប្បន្នទេ នោះវានឹងមិនចាំបាច់ប្រើ hypervisor ដែលបានបញ្ជាក់ដោយយោងតាម ​​NDV-4 ដែលជាអ្វីដែលគួរផ្តល់ការការពារប្រឆាំងនឹងពួកគេ។ ហើយនេះនឹងគ្រប់គ្រាន់ដើម្បីទទួលបានវិញ្ញាបនបត្រនៃការអនុលោមតាមពពកសាធារណៈជាមួយនឹងកម្រិត 1 និង 2 នៃសុវត្ថិភាពទិន្នន័យផ្ទាល់ខ្លួនដែល Roskomnadzor នឹងពេញចិត្តទាំងស្រុង។

ជាការពិតណាស់ បន្ថែមពីលើ Roskomnadzor FSTEC អាចនឹងមកជាមួយការត្រួតពិនិត្យមួយ ហើយអង្គការនេះគឺមានភាពល្អិតល្អន់ជាងនៅក្នុងបញ្ហាបច្ចេកទេស។ នាងប្រហែលជាចាប់អារម្មណ៍ថាហេតុអ្វីបានជាការគំរាមកំហែង UBI.44 និង UBI.101 ត្រូវបានគេចាត់ទុកថាមិនពាក់ព័ន្ធ? ប៉ុន្តែជាធម្មតា FSTEC ធ្វើការត្រួតពិនិត្យតែនៅពេលដែលវាទទួលបានព័ត៌មានអំពីឧប្បត្តិហេតុសំខាន់ៗមួយចំនួន។ ក្នុងករណីនេះសេវាសហព័ន្ធដំបូងមករកប្រតិបត្តិករទិន្នន័យផ្ទាល់ខ្លួន - នោះគឺអតិថិជននៃសេវាកម្មពពក។ ក្នុងករណីដ៏អាក្រក់បំផុត ប្រតិបត្តិករទទួលបានការផាកពិន័យតិចតួច - ឧទាហរណ៍សម្រាប់ Twitter នៅដើមឆ្នាំ ពិន័យ ក្នុងករណីស្រដៀងគ្នានេះមានចំនួន 5000 រូប្លិ៍។ បន្ទាប់មក FSTEC បន្តទៅអ្នកផ្តល់សេវាពពក។ ដែលអាចនឹងត្រូវបានដកហូតអាជ្ញាប័ណ្ណដោយសារតែការបរាជ័យក្នុងការអនុលោមតាមតម្រូវការបទប្បញ្ញត្តិ - ហើយទាំងនេះគឺជាហានិភ័យខុសគ្នាទាំងស្រុងទាំងសម្រាប់អ្នកផ្តល់សេវាពពក និងសម្រាប់អតិថិជនរបស់ខ្លួន។ ប៉ុន្តែខ្ញុំនិយាយម្តងទៀត ដើម្បីពិនិត្យមើល FSTEC ជាធម្មតាអ្នកត្រូវការហេតុផលច្បាស់លាស់។ ដូច្នេះអ្នកផ្តល់សេវាពពកមានឆន្ទៈទទួលយកហានិភ័យ។ រហូតដល់ឧប្បត្តិហេតុធ្ងន់ធ្ងរដំបូង។

ក៏មានក្រុមអ្នកផ្តល់សេវា "ទទួលខុសត្រូវច្រើន" ដែលជឿថាវាអាចទៅរួចក្នុងការបិទការគំរាមកំហែងទាំងអស់ដោយបន្ថែមកម្មវិធីបន្ថែមដូចជា vGate ទៅកាន់អ្នកត្រួតពិនិត្យខ្ពស់។ ប៉ុន្តែនៅក្នុងបរិយាកាសនិម្មិតដែលត្រូវបានចែកចាយក្នុងចំណោមអតិថិជនសម្រាប់ការគំរាមកំហែងមួយចំនួន (ឧទាហរណ៍ UBI.101 ខាងលើ) យន្តការការពារដ៏មានប្រសិទ្ធភាពអាចត្រូវបានអនុវត្តតែនៅកម្រិតនៃអ្នកត្រួតពិនិត្យខ្ពស់ដែលត្រូវបានបញ្ជាក់ដោយ NDV-4 ចាប់តាំងពីប្រព័ន្ធបន្ថែមណាមួយទៅ មុខងារស្តង់ដាររបស់ hypervisor សម្រាប់ការគ្រប់គ្រងធនធាន (ជាពិសេស RAM) មិនប៉ះពាល់ទេ។

របៀបដែលយើងធ្វើការ

យើង​មាន​ផ្នែក​ពពក​ដែល​ត្រូវ​បាន​អនុវត្ត​លើ​អ្នក​ត្រួត​ពិនិត្យ​ខ្ពស់​ដែល​បញ្ជាក់​ដោយ FSTEC (ប៉ុន្តែ​គ្មាន​ការ​បញ្ជាក់​សម្រាប់ NDV-4)។ ផ្នែកនេះត្រូវបានបញ្ជាក់ ដូច្នេះទិន្នន័យផ្ទាល់ខ្លួនអាចត្រូវបានរក្សាទុកក្នុងពពកដោយផ្អែកលើវា។ កម្រិតសុវត្ថិភាព 3 និង 4 - តម្រូវការសម្រាប់ការការពារប្រឆាំងនឹងសមត្ថភាពដែលមិនបានប្រកាស មិនចាំបាច់ត្រូវបានអង្កេតនៅទីនេះទេ។ និយាយអញ្ចឹងនេះគឺជាស្ថាបត្យកម្មនៃផ្នែកពពកដែលមានសុវត្ថិភាពរបស់យើង៖

ប្រព័ន្ធសម្រាប់ទិន្នន័យផ្ទាល់ខ្លួន កម្រិតសុវត្ថិភាព 1 និង 2 យើងអនុវត្តតែលើឧបករណ៍ពិសេសប៉ុណ្ណោះ។ ជាឧទាហរណ៍ មានតែនៅក្នុងករណីនេះទេ ការគំរាមកំហែងរបស់ UBI.101 គឺពិតជាមិនពាក់ព័ន្ធទេ ព្រោះម៉ាស៊ីនមេដែលមិនត្រូវបានរួបរួមដោយបរិស្ថាននិម្មិតតែមួយមិនអាចមានឥទ្ធិពលលើគ្នាទៅវិញទៅមក សូម្បីតែនៅពេលស្ថិតនៅក្នុងមជ្ឈមណ្ឌលទិន្នន័យតែមួយក៏ដោយ។ សម្រាប់ករណីបែបនេះ យើងផ្តល់ជូននូវសេវាកម្មជួលឧបករណ៍ជាក់លាក់មួយ (វាត្រូវបានគេហៅថា Hardware ជាសេវាកម្មផងដែរ)។

ប្រសិនបើអ្នកមិនប្រាកដថាកម្រិតនៃសុវត្ថិភាពត្រូវបានទាមទារសម្រាប់ប្រព័ន្ធទិន្នន័យផ្ទាល់ខ្លួនរបស់អ្នកទេ យើងក៏ជួយក្នុងការចាត់ថ្នាក់វាផងដែរ។

សេចក្តីសន្និដ្ឋាន

ការស្រាវជ្រាវទីផ្សារតូចរបស់យើងបានបង្ហាញថាប្រតិបត្តិករពពកមួយចំនួនមានឆន្ទៈក្នុងការប្រថុយទាំងសុវត្ថិភាពនៃទិន្នន័យអតិថិជន និងអនាគតរបស់ពួកគេផ្ទាល់ដើម្បីទទួលបានការបញ្ជាទិញ។ ប៉ុន្តែនៅក្នុងបញ្ហាទាំងនេះ យើងប្រកាន់ខ្ជាប់នូវគោលការណ៍ផ្សេង ដែលយើងរៀបរាប់ដោយសង្ខេបនៅខាងលើ។ យើងនឹងរីករាយក្នុងការឆ្លើយសំណួររបស់អ្នកនៅក្នុងមតិយោបល់។

ប្រភព: www.habr.com