GOST R 57580 र कन्टेनर भर्चुअलाइजेसनको साथ साथीहरू कसरी बनाउने। केन्द्रीय बैंकको प्रतिक्रिया (र यस विषयमा हाम्रो विचार)

केही समय अघि हामीले GOST R 57580 (यसपछि मात्र GOST भनिन्छ) का आवश्यकताहरूको पालनाको अर्को मूल्याङ्कन गरेका थियौं। ग्राहक एक कम्पनी हो जसले इलेक्ट्रोनिक भुक्तानी प्रणाली विकास गर्दछ। प्रणाली गम्भीर छ: 3 मिलियन भन्दा बढी प्रयोगकर्ताहरू, दैनिक 200 हजार भन्दा बढी लेनदेन। उनीहरूले त्यहाँ सूचना सुरक्षालाई धेरै गम्भीरताका साथ लिन्छन्।

मूल्याङ्कन प्रक्रियाको क्रममा, ग्राहकले अनौपचारिक रूपमा घोषणा गर्‍यो कि विकास विभाग, भर्चुअल मेसिनहरूका अतिरिक्त, कन्टेनरहरू प्रयोग गर्ने योजना छ। तर यससँग, ग्राहकले थपे, त्यहाँ एउटा समस्या छ: GOST मा एउटै डकरको बारेमा एक शब्द छैन। मैले के गर्नुपर्छ? कन्टेनरहरूको सुरक्षा कसरी मूल्याङ्कन गर्ने?

यो साँचो हो, GOST ले हार्डवेयर भर्चुअलाइजेशनको बारेमा मात्र लेख्छ - कसरी भर्चुअल मेसिनहरू, हाइपरभाइजर र सर्भरलाई सुरक्षित गर्ने बारे। हामीले केन्द्रीय बैंकलाई स्पष्टीकरण मागेका छौं। जवाफले हामीलाई अन्योलमा पार्यो।

GOST र भर्चुअलाइजेशन

सुरु गर्नको लागि, हामीलाई सम्झनुहोस् कि GOST R 57580 एक नयाँ मानक हो जसले "वित्तीय संस्थाहरूको सूचना सुरक्षा सुनिश्चित गर्नका लागि आवश्यकताहरू" (FI) निर्दिष्ट गर्दछ। यी वित्तीय संस्थाहरूमा सञ्चालकहरू र भुक्तानी प्रणालीका सहभागीहरू, क्रेडिट र गैर-क्रेडिट संस्थाहरू, सञ्चालन र क्लियरिङ केन्द्रहरू समावेश छन्।

जनवरी 1, 2021 देखि, FIs सञ्चालन गर्न आवश्यक छ नयाँ GOST को आवश्यकताहरु संग अनुपालन को मूल्यांकन। हामी, ITGLOBAL.COM, एउटा लेखापरीक्षण कम्पनी हो जसले यस्तो मूल्याङ्कन गर्छ।

GOST सँग भर्चुअलाइज्ड वातावरणको संरक्षणमा समर्पित एउटा उपखण्ड छ - नम्बर 7.8। शब्द "भर्चुअलाइजेशन" त्यहाँ निर्दिष्ट गरिएको छैन; त्यहाँ हार्डवेयर र कन्टेनर भर्चुअलाइजेशनमा कुनै विभाजन छैन। कुनै पनि IT विशेषज्ञले प्राविधिक दृष्टिकोणबाट यो गलत हो भनी भन्नेछ: भर्चुअल मेसिन (VM) र कन्टेनर फरक-फरक परिवेशहरू हुन्, फरक-फरक पृथक सिद्धान्तहरू। VM र डकर कन्टेनरहरू तैनाथ गरिएका होस्टको जोखिमको दृष्टिकोणबाट, यो पनि ठूलो भिन्नता हो।

यो बाहिर जान्छ कि VM हरू र कन्टेनरहरूको जानकारी सुरक्षाको मूल्याङ्कन पनि फरक हुनुपर्छ।

केन्द्रीय बैंकलाई हाम्रो प्रश्न

हामीले तिनीहरूलाई केन्द्रीय बैंकको सूचना सुरक्षा विभागमा पठायौं (हामी संक्षिप्त रूपमा प्रश्नहरू प्रस्तुत गर्दछौं)।

1. GOST अनुपालन मूल्याङ्कन गर्दा डकर-प्रकार भर्चुअल कन्टेनरहरू कसरी विचार गर्ने? GOST को उपदफा ७.८ अनुसार प्रविधिको मूल्याङ्कन गर्नु सही हो?
2. भर्चुअल कन्टेनर व्यवस्थापन उपकरणहरू कसरी मूल्याङ्कन गर्ने? के तिनीहरूलाई सर्भर भर्चुअलाइजेशन कम्पोनेन्टहरूसँग बराबरी गर्न र GOST को समान उपखण्ड अनुसार मूल्याङ्कन गर्न सम्भव छ?
3. के मैले डकर कन्टेनरहरू भित्र जानकारीको सुरक्षाको अलग मूल्याङ्कन गर्न आवश्यक छ? यदि त्यसो हो भने, मूल्याङ्कन प्रक्रियाको क्रममा यसको लागि कुन सुरक्षाहरू विचार गर्नुपर्छ?
4. यदि कन्टेनराइजेशन भर्चुअल पूर्वाधारसँग बराबर छ र उपदफा 7.8 अनुसार मूल्याङ्कन गरिएको छ भने, विशेष सूचना सुरक्षा उपकरणहरूको कार्यान्वयनको लागि GOST आवश्यकताहरू कसरी लागू गरिन्छ?

केन्द्रीय बैंकको प्रतिक्रिया

तल मुख्य अंशहरू छन्।

"GOST R 57580.1-2017 ले GOST R 7.8-57580.1 को ZI उपदफा 2017 को निम्न उपायहरूको सम्बन्धमा प्राविधिक उपायहरू लागू गरेर कार्यान्वयनको लागि आवश्यकताहरू स्थापना गर्दछ, जुन, विभागको विचारमा, कन्टेनर भर्चुअलाइजेशन प्रयोग गर्ने मामिलामा विस्तार गर्न सकिन्छ। प्रविधिहरू, निम्नलाई ध्यानमा राख्दै:

• भर्चुअल मेसिनहरू र भर्चुअलाइजेशन सर्भर कम्पोनेन्टहरूमा तार्किक पहुँच लागू गर्दा पहिचान, प्रमाणीकरण, प्राधिकरण (पहुँच नियन्त्रण) व्यवस्थित गर्न ZSV.1 - ZSV.11 मापनहरूको कार्यान्वयन कन्टेनर भर्चुअलाइजेशन टेक्नोलोजी प्रयोग गर्ने केसहरू भन्दा फरक हुन सक्छ। यसलाई ध्यानमा राख्दै, धेरै उपायहरू लागू गर्न (उदाहरणका लागि, ZVS.6 र ZVS.7), हामी विश्वास गर्छौं कि वित्तीय संस्थाहरूले समान लक्ष्यहरू पछ्याउने क्षतिपूर्ति उपायहरू विकास गर्न सिफारिस गर्न सम्भव छ;
• ZSV.13 - ZSV.22 को संगठन र भर्चुअल मेसिनहरूको सूचना अन्तरक्रियाको नियन्त्रणको लागि उपायहरूको कार्यान्वयनले भर्चुअलाइजेशन टेक्नोलोजी लागू गर्ने र विभिन्न सुरक्षा सर्किटहरूसँग सम्बन्धित सूचनाकरण वस्तुहरू बीच भेद गर्न वित्तीय संस्थाको कम्प्युटर नेटवर्कको विभाजनको लागि प्रदान गर्दछ। यसलाई ध्यानमा राख्दै, हामी विश्वास गर्छौं कि कन्टेनर भर्चुअलाइजेशन टेक्नोलोजी प्रयोग गर्दा उपयुक्त विभाजनको लागि प्रदान गर्न सल्लाह दिइन्छ (कार्यान्वयनयोग्य भर्चुअल कन्टेनरहरूको सम्बन्धमा र अपरेटिङ सिस्टम स्तरमा प्रयोग हुने भर्चुअलाइजेशन प्रणालीहरूको सम्बन्धमा);
• भर्चुअल कन्टेनरहरूको आधारभूत र हालको छविहरू सुरक्षित गर्नको लागि भर्चुअल मेसिनहरूको छविहरूको सुरक्षालाई व्यवस्थित गर्न ZSV.26, ZSV.29 - ZSV.31 मापनहरूको कार्यान्वयन समानताद्वारा पनि गरिनु पर्छ;
• भर्चुअल मेसिनहरू र सर्भर भर्चुअलाइजेशन कम्पोनेन्टहरूमा पहुँचसँग सम्बन्धित सूचना सुरक्षा घटनाहरू रेकर्ड गर्न ZVS.32 - ZVS.43 मापनहरूको कार्यान्वयन कन्टेनर भर्चुअलाइजेशन टेक्नोलोजी लागू गर्ने भर्चुअलाइजेशन वातावरणका तत्वहरूको सम्बन्धमा पनि समानताद्वारा गरिनु पर्छ।

यसको मतलब के हो

केन्द्रीय बैंक सूचना सुरक्षा विभागको प्रतिक्रियाबाट दुई मुख्य निष्कर्ष:

• कन्टेनरहरू जोगाउने उपायहरू भर्चुअल मेसिनहरू जोगाउने उपायहरू भन्दा फरक छैनन्;
• यो यसबाट पछ्याउँछ कि, सूचना सुरक्षाको सन्दर्भमा, केन्द्रीय बैंकले दुई प्रकारको भर्चुअलाइजेसन - डकर कन्टेनर र VMs लाई बराबर गर्दछ।

प्रतिक्रियाले "क्षतिपूर्ति उपायहरू" लाई पनि उल्लेख गर्दछ जुन धम्कीहरूलाई बेअसर गर्न लागू गर्न आवश्यक छ। यी "क्षतिपूर्ति उपायहरू" के हुन् र तिनीहरूको पर्याप्तता, पूर्णता र प्रभावकारिता कसरी मापन गर्ने भन्ने कुरा स्पष्ट छैन।

के छ केन्द्रीय बैंकको हैसियतमा ?

यदि तपाईंले मूल्याङ्कन (र आत्म-मूल्याङ्कन) को समयमा केन्द्रीय बैंकको सिफारिसहरू प्रयोग गर्नुहुन्छ भने, तपाईंले धेरै प्राविधिक र तार्किक कठिनाइहरू समाधान गर्न आवश्यक छ।

• प्रत्येक कार्यान्वयनयोग्य कन्टेनरलाई यसमा सूचना सुरक्षा सफ्टवेयर (IP) को स्थापना आवश्यक छ: एन्टिभाइरस, अखण्डता निगरानी, ​​लगहरूसँग काम गर्ने, DLP प्रणालीहरू (डेटा चुहावट रोकथाम), र यस्तै। यो सबै कुनै पनि समस्या बिना VM मा स्थापना गर्न सकिन्छ, तर कन्टेनर को मामला मा, सूचना सुरक्षा स्थापना एक बेतुका चाल हो। कन्टेनरमा "बडी किट" को न्यूनतम मात्रा हुन्छ जुन सेवा कार्य गर्नको लागि आवश्यक हुन्छ। यसमा SZI स्थापना गर्नु यसको अर्थको विरोधाभास हो।
• कन्टेनर छविहरू समान सिद्धान्त अनुसार सुरक्षित हुनुपर्छ; यो कसरी लागू गर्ने पनि स्पष्ट छैन।
• GOST लाई सर्भर भर्चुअलाइजेशन कम्पोनेन्टहरूमा पहुँच प्रतिबन्धित गर्न आवश्यक छ, अर्थात् हाइपरभाइजरमा। डकरको मामलामा सर्भर कम्पोनेन्ट के मानिन्छ? के यसको मतलब प्रत्येक कन्टेनरलाई छुट्टै होस्टमा चलाउन आवश्यक छ भन्ने होइन?
• यदि परम्परागत भर्चुअलाइजेसनको लागि सुरक्षा रूपरेखा र नेटवर्क खण्डहरूद्वारा VM लाई सीमाङ्कन गर्न सम्भव छ भने, त्यसोभए उही होस्ट भित्र डकर कन्टेनरहरूको मामलामा, यो मामला होइन।

व्यवहारमा, यो सम्भव छ कि प्रत्येक लेखा परीक्षकले आफ्नो ज्ञान र अनुभवको आधारमा कन्टेनरहरूको सुरक्षालाई आफ्नै तरिकाले मूल्याङ्कन गर्नेछ। ठीक छ, वा यसलाई मूल्याङ्कन नगर्नुहोस्, यदि त्यहाँ एक वा अर्को छैन भने।

केवल यदि, हामी जनवरी 1, 2021 बाट, न्यूनतम स्कोर 0,7 भन्दा कम हुनु हुँदैन भनेर थप्नेछौं।

खैर, हामी नियमित रूपमा GOST 57580 र केन्द्रीय बैंक नियमहरूको आवश्यकताहरूसँग सम्बन्धित नियामकहरूबाट प्रतिक्रिया र टिप्पणीहरू पोस्ट गर्छौं। टेलिग्राम च्यानल.

के गर्न

हाम्रो विचारमा, वित्तीय संस्थाहरूसँग समस्या समाधान गर्न दुईवटा मात्र विकल्प छन्।

1. कन्टेनरहरू लागू नगर्नुहोस्

जो केवल हार्डवेयर भर्चुअलाइजेसन प्रयोग गर्न खर्च गर्न तयार छन् र एकै समयमा GOST र केन्द्रीय बैंकबाट जरिवाना अनुसार कम मूल्याङ्कनबाट डराउनेहरूको लागि समाधान।

एक प्लस: GOST को उपदफा 7.8 को आवश्यकताहरूको पालना गर्न सजिलो छ।

माइनस: हामीले कन्टेनर भर्चुअलाइजेशनमा आधारित नयाँ विकास उपकरणहरू त्याग्नुपर्नेछ, विशेष गरी डकर र कुबर्नेट्स।

2. GOST को उपदफा 7.8 को आवश्यकताहरूको पालना गर्न अस्वीकार गर्नुहोस्

तर एकै समयमा, कन्टेनरहरूसँग काम गर्दा जानकारी सुरक्षा सुनिश्चित गर्न उत्तम अभ्यासहरू लागू गर्नुहोस्। यो नयाँ प्रविधिहरू र उनीहरूले प्रदान गर्ने अवसरहरूको मूल्याङ्कन गर्नेहरूका लागि समाधान हो। "उत्तम अभ्यासहरू" द्वारा हामीले डकर कन्टेनरहरूको सुरक्षा सुनिश्चित गर्नका लागि उद्योग-स्वीकृत मापदण्डहरू र मापदण्डहरूलाई बुझाउँछौं:

• होस्ट OS को सुरक्षा, ठीकसँग कन्फिगर गरिएको लगिङ, कन्टेनरहरू बीच डेटा आदानप्रदानको निषेध, र यस्तै;
• छविहरूको अखण्डता जाँच गर्न डकर ट्रस्ट प्रकार्य प्रयोग गरी र बिल्ट-इन भेद्यता स्क्यानर प्रयोग गरेर;
• हामीले रिमोट पहुँचको सुरक्षा र समग्र नेटवर्क मोडेलको बारेमा बिर्सनु हुँदैन: ARP-spoofing र MAC-flooding जस्ता आक्रमणहरू रद्द गरिएका छैनन्।

एक प्लस: कन्टेनर भर्चुअलाइजेसनको प्रयोगमा कुनै प्राविधिक प्रतिबन्धहरू छैनन्।

माइनस: GOST आवश्यकताहरूको पालना नगरेकोमा नियामकले सजाय दिने उच्च सम्भावना छ।

निष्कर्षमा

हाम्रो ग्राहकले कन्टेनरहरू नछोड्ने निर्णय गरे। एकै समयमा, उनले कामको दायरा र डकरमा संक्रमणको समयलाई महत्त्वपूर्ण रूपमा पुनर्विचार गर्नुपर्‍यो (तिनीहरू छ महिनासम्म चलेका थिए)। ग्राहकले जोखिमहरू राम्ररी बुझ्छन्। उहाँले यो पनि बुझ्नुहुन्छ कि GOST R 57580 को अनुपालनको अर्को मूल्याङ्कनको समयमा, धेरै लेखा परीक्षकमा निर्भर हुनेछ।

यस्तो अवस्थामा के गर्नुहुन्छ ?

स्रोत: www.habr.com