GOST R 57580 आणि कंटेनर व्हर्च्युअलायझेशनसह मित्र कसे बनवायचे. सेंट्रल बँकेचा प्रतिसाद (आणि या विषयावरील आमचे विचार)

काही काळापूर्वी आम्ही GOST R 57580 (यापुढे फक्त GOST म्हणून संदर्भित) च्या आवश्यकतांचे पालन करण्याचे आणखी एक मूल्यांकन केले. क्लायंट ही एक कंपनी आहे जी इलेक्ट्रॉनिक पेमेंट सिस्टम विकसित करते. सिस्टम गंभीर आहे: 3 दशलक्षाहून अधिक वापरकर्ते, दररोज 200 हजारांहून अधिक व्यवहार. ते तिथल्या माहितीच्या सुरक्षेला खूप गांभीर्याने घेतात.

मूल्यमापन प्रक्रियेदरम्यान, क्लायंटने अनौपचारिकपणे घोषित केले की विकास विभाग, आभासी मशीन्स व्यतिरिक्त, कंटेनर वापरण्याची योजना आखत आहे. परंतु यासह, क्लायंट जोडला, एक समस्या आहे: GOST मध्ये समान डॉकरबद्दल एक शब्द नाही. मी काय करू? कंटेनरच्या सुरक्षिततेचे मूल्यांकन कसे करावे?

हे खरे आहे, GOST फक्त हार्डवेअर व्हर्च्युअलायझेशन बद्दल लिहिते - व्हर्च्युअल मशीन्स, हायपरवाइजर आणि सर्व्हरचे संरक्षण कसे करावे याबद्दल. आम्ही सेंट्रल बँकेकडे स्पष्टीकरण मागितले. उत्तराने आम्हाला गोंधळात टाकले.

GOST आणि आभासीकरण

सुरूवातीस, आपण हे लक्षात ठेवूया की GOST R 57580 हे एक नवीन मानक आहे जे "वित्तीय संस्थांची माहिती सुरक्षा सुनिश्चित करण्यासाठी आवश्यकता" (FI) निर्दिष्ट करते. या FIs मध्ये ऑपरेटर आणि पेमेंट सिस्टमचे सहभागी, क्रेडिट आणि नॉन-क्रेडिट संस्था, ऑपरेशनल आणि क्लिअरिंग सेंटर यांचा समावेश आहे.

1 जानेवारी 2021 पासून, FIs आयोजित करणे आवश्यक आहे नवीन GOST च्या आवश्यकतांच्या अनुपालनाचे मूल्यांकन. आम्ही, ITGLOBAL.COM, एक ऑडिट कंपनी आहोत जी असे मूल्यांकन करते.

GOST मध्ये आभासी वातावरणाच्या संरक्षणासाठी समर्पित एक उपविभाग आहे - क्रमांक 7.8. "व्हर्च्युअलायझेशन" हा शब्द तेथे निर्दिष्ट केलेला नाही; हार्डवेअर आणि कंटेनर व्हर्च्युअलायझेशनमध्ये कोणतेही विभाजन नाही. कोणताही IT तज्ञ म्हणेल की तांत्रिक दृष्टिकोनातून हे चुकीचे आहे: व्हर्च्युअल मशीन (VM) आणि कंटेनर भिन्न वातावरण आहेत, भिन्न अलगाव तत्त्वे आहेत. व्हीएम आणि डॉकर कंटेनर ज्या होस्टवर तैनात आहेत त्या होस्टच्या असुरक्षिततेच्या दृष्टिकोनातून, हा देखील एक मोठा फरक आहे.

असे दिसून आले की व्हीएम आणि कंटेनरच्या माहिती सुरक्षिततेचे मूल्यांकन देखील वेगळे असावे.

सेंट्रल बँकेला आमचे प्रश्न

आम्ही त्यांना सेंट्रल बँकेच्या माहिती सुरक्षा विभागाकडे पाठवले (आम्ही प्रश्न संक्षिप्त स्वरूपात सादर करतो).

1. GOST अनुपालनाचे मूल्यांकन करताना डॉकर-प्रकारचे आभासी कंटेनर कसे विचारात घ्यावे? GOST च्या उपकलम 7.8 नुसार तंत्रज्ञानाचे मूल्यांकन करणे योग्य आहे का?
2. आभासी कंटेनर व्यवस्थापन साधनांचे मूल्यांकन कसे करावे? त्यांना सर्व्हर वर्च्युअलायझेशन घटकांशी बरोबरी करणे आणि GOST च्या समान उपविभागानुसार त्यांचे मूल्यांकन करणे शक्य आहे का?
3. मला डॉकर कंटेनरमधील माहितीच्या सुरक्षिततेचे स्वतंत्रपणे मूल्यांकन करावे लागेल का? असे असल्यास, मूल्यांकन प्रक्रियेदरम्यान यासाठी कोणत्या सुरक्षा उपायांचा विचार केला पाहिजे?
4. जर कंटेनरायझेशन आभासी पायाभूत सुविधांशी समतुल्य असेल आणि उपकलम 7.8 नुसार त्याचे मूल्यांकन केले गेले असेल, तर विशेष माहिती सुरक्षा साधनांच्या अंमलबजावणीसाठी GOST आवश्यकता कशा लागू केल्या जातात?

सेंट्रल बँकेची प्रतिक्रिया

खाली मुख्य उतारे आहेत.

“GOST R 57580.1-2017 खालील उपायांच्या संबंधात तांत्रिक उपायांच्या अनुप्रयोगाद्वारे अंमलबजावणीसाठी आवश्यकता स्थापित करते, GOST R 7.8-57580.1 च्या ZI उपविभाग 2017, जे, विभागाच्या मते, कंटेनर वर्च्युअलायझेशन वापरण्याच्या प्रकरणांमध्ये विस्तारित केले जाऊ शकते. खालील गोष्टी लक्षात घेऊन तंत्रज्ञान:

• व्हर्च्युअल मशीन्स आणि वर्च्युअलायझेशन सर्व्हर घटकांवर तार्किक प्रवेश लागू करताना ओळख, प्रमाणीकरण, अधिकृतता (प्रवेश नियंत्रण) आयोजित करण्यासाठी ZSV.1 - ZSV.11 उपायांची अंमलबजावणी कंटेनर व्हर्च्युअलायझेशन तंत्रज्ञान वापरण्याच्या प्रकरणांपेक्षा भिन्न असू शकते. हे लक्षात घेऊन, अनेक उपाययोजना अंमलात आणण्यासाठी (उदाहरणार्थ, ZVS.6 आणि ZVS.7), आमचा विश्वास आहे की वित्तीय संस्थांनी नुकसानभरपाईचे उपाय विकसित करण्याची शिफारस करणे शक्य आहे जे समान लक्ष्यांचा पाठपुरावा करतील;
• ZSV.13 - ZSV.22 व्हर्च्युअल मशीन्सच्या माहितीच्या परस्परसंवादाच्या संस्थेसाठी आणि नियंत्रणासाठी उपायांची अंमलबजावणी वित्तीय संस्थेच्या संगणक नेटवर्कच्या विभाजनासाठी व्हर्च्युअलायझेशन तंत्रज्ञान लागू करणार्‍या आणि भिन्न सुरक्षा सर्किट्सशी संबंधित असलेल्या माहितीकरण ऑब्जेक्ट्समध्ये फरक करण्यासाठी प्रदान करते. हे लक्षात घेऊन, कंटेनर व्हर्च्युअलायझेशन तंत्रज्ञान (एक्झिक्युटेबल व्हर्च्युअल कंटेनर्सच्या संबंधात आणि ऑपरेटिंग सिस्टम स्तरावर वापरल्या जाणार्‍या वर्च्युअलायझेशन सिस्टमच्या संबंधात दोन्ही) वापरताना योग्य विभाजन प्रदान करणे उचित आहे असे आम्हाला वाटते;
• व्हर्च्युअल मशीनच्या प्रतिमांचे संरक्षण आयोजित करण्यासाठी ZSV.26, ZSV.29 - ZSV.31 उपायांची अंमलबजावणी व्हर्च्युअल कंटेनरच्या मूलभूत आणि वर्तमान प्रतिमांचे संरक्षण करण्यासाठी समानतेने देखील केली पाहिजे;
• व्हर्च्युअल मशीन्स आणि सर्व्हर व्हर्च्युअलायझेशन घटकांच्या प्रवेशाशी संबंधित माहिती सुरक्षा इव्हेंट्स रेकॉर्ड करण्यासाठी ZVS.32 - ZVS.43 उपायांची अंमलबजावणी कंटेनर व्हर्च्युअलायझेशन तंत्रज्ञानाची अंमलबजावणी करणार्‍या वर्च्युअलायझेशन वातावरणाच्या घटकांच्या संबंधात देखील समानतेने केली पाहिजे.

याचा अर्थ काय

सेंट्रल बँक माहिती सुरक्षा विभागाच्या प्रतिसादातून दोन मुख्य निष्कर्ष:

• कंटेनरचे संरक्षण करण्याचे उपाय व्हर्च्युअल मशीनचे संरक्षण करण्याच्या उपायांपेक्षा वेगळे नाहीत;
• यावरून असे दिसून येते की, माहिती सुरक्षिततेच्या संदर्भात, सेंट्रल बँक दोन प्रकारचे व्हर्च्युअलायझेशन - डॉकर कंटेनर आणि व्हीएम समान करते.

प्रतिसादात "भरपाई उपाय" देखील नमूद केले आहेत जे धमक्या तटस्थ करण्यासाठी लागू करणे आवश्यक आहे. हे "भरपाईचे उपाय" काय आहेत आणि त्यांची पर्याप्तता, पूर्णता आणि परिणामकारकता कशी मोजावी हे फक्त अस्पष्ट आहे.

सेंट्रल बँकेच्या स्थितीत काय चूक आहे?

जर तुम्ही मूल्यमापन (आणि स्व-मूल्यांकन) दरम्यान सेंट्रल बँकेच्या शिफारसी वापरत असाल तर, तुम्हाला अनेक तांत्रिक आणि तार्किक अडचणी सोडवाव्या लागतील.

• प्रत्येक एक्झिक्युटेबल कंटेनरवर माहिती संरक्षण सॉफ्टवेअर (IP) स्थापित करणे आवश्यक आहे: अँटीव्हायरस, इंटिग्रिटी मॉनिटरिंग, लॉगसह कार्य करणे, DLP सिस्टम (डेटा लीक प्रतिबंध) आणि असेच. हे सर्व कोणत्याही समस्यांशिवाय व्हीएमवर स्थापित केले जाऊ शकते, परंतु कंटेनरच्या बाबतीत, माहिती सुरक्षा स्थापित करणे ही एक मूर्खपणाची चाल आहे. सेवेच्या कार्यासाठी आवश्यक असलेल्या "बॉडी किट" ची किमान रक्कम कंटेनरमध्ये असते. त्यात एसझेडआय स्थापित करणे त्याच्या अर्थाचा विरोधाभास आहे.
• कंटेनर प्रतिमा समान तत्त्वानुसार संरक्षित केल्या पाहिजेत; हे कसे अंमलात आणायचे हे देखील स्पष्ट नाही.
• GOST ला सर्व्हर व्हर्च्युअलायझेशन घटकांवर प्रवेश प्रतिबंधित करणे आवश्यक आहे, म्हणजे, हायपरवाइजरवर. डॉकरच्या बाबतीत सर्व्हर घटक काय मानला जातो? याचा अर्थ असा नाही का की प्रत्येक कंटेनर वेगळ्या होस्टवर चालवणे आवश्यक आहे?
• जर पारंपारिक व्हर्च्युअलायझेशनसाठी सुरक्षा रूपरेषा आणि नेटवर्क विभागांद्वारे व्हीएम मर्यादित करणे शक्य असेल, तर त्याच होस्टमधील डॉकर कंटेनरच्या बाबतीत, असे नाही.

व्यवहारात, प्रत्येक ऑडिटर त्याच्या स्वत:च्या ज्ञान आणि अनुभवाच्या आधारे कंटेनरच्या सुरक्षिततेचे त्याच्या स्वत:च्या पद्धतीने मूल्यांकन करेल. बरं, किंवा एक किंवा दुसरा नसल्यास त्याचे अजिबात मूल्यांकन करू नका.

फक्त बाबतीत, आम्ही 1 जानेवारी 2021 पासून जोडू, किमान स्कोअर 0,7 पेक्षा कमी नसावा.

तसे, आम्ही नियमितपणे आमच्या GOST 57580 आणि सेंट्रल बँक नियमांच्या आवश्यकतांशी संबंधित नियामकांकडून प्रतिसाद आणि टिप्पण्या पोस्ट करतो टेलिग्राम चॅनेल.

काय करावे

आमच्या मते, आर्थिक संस्थांकडे समस्या सोडवण्यासाठी दोनच पर्याय आहेत.

1. कंटेनर लागू करणे टाळा

जे फक्त हार्डवेअर व्हर्च्युअलायझेशन वापरण्यास तयार आहेत आणि त्याच वेळी GOST नुसार कमी रेटिंग आणि सेंट्रल बँकेकडून दंड होण्याची भीती आहे त्यांच्यासाठी एक उपाय.

एक प्लस: GOST च्या उपकलम 7.8 च्या आवश्यकतांचे पालन करणे सोपे आहे.

वजा: आम्हाला कंटेनर व्हर्च्युअलायझेशनवर आधारित नवीन विकास साधने सोडून द्यावी लागतील, विशेषतः डॉकर आणि कुबर्नेट्स.

2. GOST च्या उपविभाग 7.8 च्या आवश्यकतांचे पालन करण्यास नकार द्या

परंतु त्याच वेळी, कंटेनरसह काम करताना माहिती सुरक्षितता सुनिश्चित करण्यासाठी सर्वोत्तम पद्धती लागू करा. नवीन तंत्रज्ञान आणि त्यांनी प्रदान केलेल्या संधींना महत्त्व देणार्‍यांसाठी हा एक उपाय आहे. "सर्वोत्तम पद्धती" द्वारे आमचा अर्थ डॉकर कंटेनरची सुरक्षा सुनिश्चित करण्यासाठी उद्योग-स्वीकृत मानदंड आणि मानके आहेत:

• होस्ट OS ची सुरक्षा, योग्यरित्या कॉन्फिगर केलेले लॉगिंग, कंटेनर दरम्यान डेटा एक्सचेंज प्रतिबंधित करणे इ.
• प्रतिमांची अखंडता तपासण्यासाठी डॉकर ट्रस्ट फंक्शन वापरणे आणि अंगभूत असुरक्षा स्कॅनर वापरणे;
• आम्ही रिमोट ऍक्सेसच्या सुरक्षिततेबद्दल आणि संपूर्ण नेटवर्क मॉडेलबद्दल विसरू नये: एआरपी-स्पूफिंग आणि मॅक-फ्लडिंग सारखे हल्ले रद्द केले गेले नाहीत.

एक प्लस: कंटेनर वर्च्युअलायझेशनच्या वापरावर कोणतेही तांत्रिक निर्बंध नाहीत.

वजा: GOST आवश्यकतांचे पालन न केल्याबद्दल नियामक शिक्षा करेल अशी उच्च संभाव्यता आहे.

निष्कर्ष

आमच्या क्लायंटने कंटेनर न देण्याचा निर्णय घेतला. त्याच वेळी, त्याला कामाची व्याप्ती आणि डॉकरमध्ये संक्रमणाच्या वेळेवर लक्षणीय पुनर्विचार करावा लागला (ते सहा महिने टिकले). क्लायंटला धोके चांगल्या प्रकारे समजतात. त्याला हे देखील समजले आहे की GOST R 57580 च्या अनुपालनाच्या पुढील मूल्यांकनादरम्यान, बरेच काही ऑडिटरवर अवलंबून असेल.

या परिस्थितीत तुम्ही काय कराल?

स्त्रोत: www.habr.com