Нэг өдөр бид үүлэн үйлчилгээ авах хүсэлт хүлээн авлаа. Бид биднээс юу шаардагдахыг ерөнхийд нь тодорхойлсон бөгөөд нарийн ширийн зүйлийг тодруулахын тулд асуултуудын жагсаалтыг буцааж илгээсэн. Дараа нь бид хариултуудад дүн шинжилгээ хийж, ойлгосон: үйлчлүүлэгч хоёр дахь түвшний аюулгүй байдлын хувийн мэдээллийг үүлэн дээр байрлуулахыг хүсч байна. Бид түүнд: "Та хоёр дахь түвшний хувийн мэдээлэлтэй, уучлаарай, бид зөвхөн хувийн үүл үүсгэх боломжтой." Тэгээд тэр: "Чи мэдэж байгаа, гэхдээ X компанид тэд надад бүх зүйлийг олон нийтэд нийтлэх боломжтой."
Гэрэл зургийг Стив Крисп, Ройтерс агентлаг
Хачирхалтай зүйлс! Бид X компанийн вэбсайт руу орж, гэрчилгээжүүлэх баримт бичгүүдийг нь судалж, толгой сэгсэрч, хувийн мэдээллийг байршуулахтай холбоотой олон асуулт байгаа бөгөөд тэдгээрийг сайтар шийдвэрлэх хэрэгтэй гэдгийг ойлгов. Энэ нийтлэлд бид үүнийг хийх болно.
Бүх зүйл хэрхэн ажиллах ёстой
Нэгдүгээрт, хувийн мэдээллийг аюулгүй байдлын нэг буюу өөр түвшинд ангилахад ямар шалгуурыг ашигладаг болохыг олж мэдье. Энэ нь өгөгдлийн ангилал, операторын хадгалж, боловсруулдаг өгөгдлийн субьектуудын тоо, одоогийн аюулын төрлөөс хамаарна.
Одоогийн аюул заналхийллийн төрлүүдийг энд тодорхойлсон болно 1 оны 2012-р сарын XNUMX-ний өдрийн "Хувийн мэдээллийн мэдээллийн системд боловсруулах явцад хувийн мэдээллийг хамгаалах шаардлагыг батлах тухай":
“1-р төрлийн аюул нь мэдээллийн системд хамаатай холбоотой одоогийн аюул занал бичиг баримтгүй (зарлагдаагүй) чадавхи байгаа тохиолдолд системийн програм хангамжидмэдээллийн системд ашигладаг.
2-р хэлбэрийн аюул заналхийлэл нь мэдээллийн системд хамааралтай бол түүний дотор холбоотой одоогийн аюул занал бичиг баримтгүй (зарлагдаагүй) чадавхи байгаа тохиолдолд хэрэглээний програм хангамжидмэдээллийн системд ашигладаг.
3-р хэлбэрийн аюул нь мэдээллийн системд хамаатай юм хамааралгүй аюул занал бичиг баримтгүй (зарлагдаагүй) чадавхи байгаа тохиолдолд систем болон хэрэглээний програм хангамжидмэдээллийн системд ашигладаг."
Эдгээр тодорхойлолтуудын гол зүйл бол бичиг баримтгүй (зарлагдаагүй) чадавхи байгаа явдал юм. Баримт бичиггүй програм хангамжийн чадвар байхгүй гэдгийг батлахын тулд (үүлний хувьд энэ нь гипервизор юм) баталгаажуулалтыг Оросын FSTEC хийдэг. Хэрэв PD оператор програм хангамжид ийм боломж байхгүй гэдгийг хүлээн зөвшөөрвөл холбогдох аюул нь хамааралгүй болно. PD операторууд 1 ба 2-р төрлийн аюулыг маш ховор гэж үздэг.
Оператор нь PD аюулгүй байдлын түвшинг тодорхойлохоос гадна нийтийн үүлэнд тулгарч буй тодорхой аюул заналыг тодорхойлж, PD аюулгүй байдлын тодорхойлсон түвшин болон одоогийн аюул заналхийллийг үндэслэн тэдгээрээс хамгаалах шаардлагатай арга хэмжээ, хэрэгслийг тодорхойлох ёстой.
FSTEC нь бүх гол аюулыг тодорхой жагсаасан байдаг (аюултай мэдээллийн сан). Үүлэн дэд бүтцийн үйлчилгээ үзүүлэгч болон үнэлгээчид энэ мэдээллийн санг ажилдаа ашигладаг. Энд аюул заналхийллийн жишээ байна:
: "Аюул гэдэг нь виртуал машин дотор ажилладаг программуудын хэрэглэгчийн мэдээллийн аюулгүй байдлыг виртуал машинаас гадуур ажилладаг хортой программ хангамжаар зөрчих явдал юм." Энэхүү аюул нь гипервизорын програм хангамжийн сул тал байгаатай холбоотой бөгөөд энэ нь виртуал машин дотор ажиллаж байгаа программуудын хэрэглэгчийн мэдээллийг хадгалахад ашигладаг хаягийн зайг виртуал машинаас гадуур ажиллаж байгаа хортой программ хангамжийн зөвшөөрөлгүй хандалтаас тусгаарлах боломжийг олгодог.
Хортой програмын код нь зөвхөн гипервизорын эмзэг байдлыг ашиглаад зогсохгүй виртуал машины хил хязгаарыг амжилттай даван туулж чадвал энэ аюулыг хэрэгжүүлэх боломжтой болно. системийн ажиллагаа."
: “Аюул нь нэг үүлэн үйлчилгээний хэрэглэгчийн хамгаалагдсан мэдээлэлд нөгөө хэрэглэгчийн мэдээлэлд зөвшөөрөлгүй нэвтрэх боломжид оршдог. Энэ аюул нь үүлэн технологийн шинж чанараас шалтгаалан үүлэн үйлчилгээний хэрэглэгчид ижил үүлэн дэд бүтцийг ашиглах ёстой болсонтой холбоотой юм. Үүлний үйлчилгээний хэрэглэгчдийн хооронд үүлэн дэд бүтцийн элементүүдийг салгах, мөн тэдгээрийн нөөцийг тусгаарлах, өгөгдлийг бие биенээсээ салгах үед алдаа гарвал энэхүү аюул заналхийлж чадна."
Та эдгээр аюулаас зөвхөн гипервизорын тусламжтайгаар хамгаалж чадна, учир нь энэ нь виртуал нөөцийг удирддаг. Тиймээс гипервизорыг хамгаалах хэрэгсэл гэж үзэх ёстой.
Мөн дагуу 18 оны 2013-р сарын 4-ны өдөр, гипервизор нь 1-р түвшний NDV бус гэрчилгээтэй байх ёстой, эс тэгвээс 2 ба XNUMX-р түвшний хувийн мэдээллийг түүнтэй хамт ашиглах нь хууль бус болно (“12-р зүйл. ... Хувийн мэдээллийн аюулгүй байдлын 1, 2-р түвшнийг хангах, түүнчлэн 3-р төрлийн аюул заналхийллийг одоогийн гэж ангилдаг мэдээллийн систем дэх хувийн мэдээллийн аюулгүй байдлын 2-р түвшнийг хангахын тулд мэдээллийн аюулгүй байдлын хэрэгслүүдийг ашиглаж, програм хангамжийг нь ашиглаж байна. зарлагдаагүй чадавхи байхгүй эсэхийг дор хаяж 4 түвшний хяналтын дагуу шалгасан.").
ОХУ-д бүтээгдсэн ганц гипервизор л NDV-4 стандартын гэрчилгээтэй. . Зөөлөн хэлэхэд хамгийн түгээмэл шийдэл биш юм. Арилжааны үүл нь дүрмээр бол VMware vSphere, KVM, Microsoft Hyper-V дээр суурилдаг. Эдгээр бүтээгдэхүүний аль нь ч NDV-4 гэрчилгээгүй. Яагаад? Үйлдвэрлэгчдэд ийм гэрчилгээ авах нь эдийн засгийн үндэслэлгүй байх магадлалтай.
Нийтийн үүлэн доторх 1 ба 2-р түвшний хувийн мэдээллийн хувьд бидний хувьд Horizon BC л үлддэг. Гунигтай боловч үнэн.
Бүх зүйл (бидний бодлоор) үнэхээр хэрхэн ажилладаг
Эхлээд харахад бүх зүйл маш хатуу: NDV-4 стандартын дагуу баталгаажсан гипервизорын стандарт хамгаалалтын механизмыг зөв тохируулах замаар эдгээр аюулыг арилгах ёстой. Гэхдээ нэг цоорхой бий. FSTEC-ийн 21 тоот тушаалын дагуу ("2-р зүйл Хувийн мэдээллийн мэдээллийн системд (цаашид мэдээллийн систем гэх) боловсруулагдсан хувийн мэдээллийн аюулгүй байдлыг оператор эсвэл операторын нэрийн өмнөөс хувийн мэдээллийг боловсруулж буй этгээд хангана. Оросын Холбооны Улс"), үйлчилгээ үзүүлэгчид болзошгүй аюулын хамаарлыг бие даан үнэлж, хамгаалалтын арга хэмжээг сонгох. Тиймээс, хэрэв та UBI.44 болон UBI.101 аюулыг одоогийнх гэж хүлээн зөвшөөрөхгүй бол NDV-4-ийн дагуу баталгаажсан гипервизор ашиглах шаардлагагүй бөгөөд энэ нь тэдгээрээс хамгаалах ёстой зүйл юм. Энэ нь Роскомнадзор бүрэн сэтгэл хангалуун байх хувийн мэдээллийн аюулгүй байдлын 1, 2-р түвшний нийтийн үүлэнд нийцсэн гэрчилгээ авахад хангалттай байх болно.
Мэдээжийн хэрэг, Роскомнадзороос гадна FSTEC шалгалттай хамт ирж магадгүй бөгөөд энэ байгууллага техникийн асуудалд илүү нягт нямбай ханддаг. Тэр яагаад UBI.44 болон UBI.101-ийн заналхийллийг хамааралгүй гэж үзсэнийг сонирхож магадгүй юм. Гэхдээ ихэвчлэн FSTEC нь ямар нэгэн чухал үйл явдлын талаар мэдээлэл хүлээн авсан тохиолдолд л шалгалт хийдэг. Энэ тохиолдолд холбооны үйлчилгээ нь эхлээд хувийн мэдээллийн оператор буюу үүлэн үйлчилгээний үйлчлүүлэгчид ирдэг. Хамгийн муу тохиолдолд оператор нь бага хэмжээний торгууль авдаг - жишээлбэл, оны эхэнд Twitter-ийн хувьд ижил төстэй тохиолдолд 5000 рубль болсон. Дараа нь FSTEC нь үүлэн үйлчилгээ үзүүлэгч рүү цааш явдаг. Зохицуулалтын шаардлагыг дагаж мөрдөөгүйн улмаас лицензээ хасуулж магадгүй бөгөөд эдгээр нь үүлэн үйлчилгээ үзүүлэгч болон түүний үйлчлүүлэгчдийн хувьд огт өөр эрсдэл юм. Гэхдээ би давтан, FSTEC-ийг шалгахын тулд танд тодорхой шалтгаан хэрэгтэй. Тиймээс үүлэн үйлчилгээ үзүүлэгчид эрсдэл хүлээхэд бэлэн байна. Эхний ноцтой хэрэг гарах хүртэл.
Мөн гипервизорт vGate гэх мэт нэмэлтийг нэмснээр бүх аюулыг хаах боломжтой гэж үздэг "илүү хариуцлагатай" үйлчилгээ үзүүлэгчдийн бүлэг байдаг. Гэхдээ зарим аюул заналхийллийн эсрэг үйлчлүүлэгчдийн дунд тархсан виртуал орчинд (жишээлбэл, дээрх UBI.101) үр дүнтэй хамгаалалтын механизмыг зөвхөн NDV-4-ийн дагуу баталгаажуулсан гипервизорын түвшинд хэрэгжүүлэх боломжтой, учир нь аливаа нэмэлт систем нь нөөцийг удирдах гипервизорын стандарт функцууд (ялангуяа RAM) нөлөөлөхгүй.
Бид хэрхэн ажилладаг
Бид FSTEC-ээр баталгаажуулсан гипервизор дээр хэрэгжүүлсэн үүл сегменттэй (гэхдээ NDV-4-ийн гэрчилгээгүй). Энэ сегмент нь гэрчилгээжсэн тул хувийн мэдээллийг үүн дээр үндэслэн үүлэн дээр хадгалах боломжтой 3 ба 4 түвшний аюулгүй байдал - зарлагдаагүй чадвараас хамгаалах шаардлагыг энд дагаж мөрдөх шаардлагагүй. Дашрамд хэлэхэд, манай аюулгүй үүл сегментийн архитектур энд байна:
Хувийн мэдээллийн системүүд 1 ба 2 түвшний аюулгүй байдал Бид зөвхөн зориулалтын төхөөрөмж дээр л хэрэгжүүлдэг. Зөвхөн энэ тохиолдолд, жишээлбэл, UBI.101-ийн аюул нь үнэхээр хамааралгүй, учир нь нэг виртуал орчинд нэгтгэгдээгүй серверийн тавиурууд нэг мэдээллийн төвд байрладаг байсан ч бие биедээ нөлөөлж чадахгүй. Ийм тохиолдолд бид тусгай зориулалтын тоног төхөөрөмж түрээслэх үйлчилгээг санал болгож байна (үүнийг техник хангамж гэж нэрлэдэг).
Хэрэв та өөрийн хувийн мэдээллийн системд ямар түвшний хамгаалалт шаардагдахыг мэдэхгүй байгаа бол бид үүнийг ангилахад тусална.
дүгнэлт
Бидний хийсэн жижиг зах зээлийн судалгаагаар зарим үүлэн операторууд захиалга хүлээн авахын тулд хэрэглэгчийн мэдээллийн аюулгүй байдал болон өөрсдийн ирээдүйг эрсдэлд оруулахад бэлэн байгааг харуулсан. Гэхдээ эдгээр асуудалд бид өөр бодлого баримталж байгаа бөгөөд үүнийг дээр дурьдсан. Бид таны асуултанд сэтгэгдэл дээр хариулахдаа баяртай байх болно.
Эх сурвалж: www.habr.com