Tak wygląda centrum monitorowania zlokalizowane w Moskwie w centrum danych NORD-2
O tym, jakie środki są podejmowane w celu zapewnienia bezpieczeństwa informacji (IB), czytałeś niejednokrotnie. Każdy szanujący się informatyk z łatwością wymieni 5-10 zasad bezpieczeństwa informacji. Cloud4Y proponuje omówić bezpieczeństwo informacji w centrach danych.
Najbardziej 'chronionymi' obiektami w zapewnieniu bezpieczeństwa informacji w centrum danych są:
- zasoby informacyjne (dane);
- procesy zbierania, przetwarzania, przechowywania i przekazywania informacji;
- użytkownicy systemu i personel obsługujący;
- infrastruktura informacyjna, w tym techniczne i programowe środki przetwarzania, przekazu i wyświetlania informacji, w tym kanały wymiany informacji, systemy ochrony informacji i pomieszczenia.
Zakres odpowiedzialności centrum danych zależy od modelu dostarczanych usług (IaaS/PaaS/SaaS). Jak to wygląda, zobacz na obrazku poniżej:
Zakres polityki bezpieczeństwa centrum danych w zależności od modelu świadczonych usług
Najważniejszą częścią opracowania polityki bezpieczeństwa informacji jest budowa modelu zagrożeń i naruszycieli. Co może stanowić zagrożenie dla centrum danych?
- Niekorzystne zdarzenia natury przyrodniczej, technicznej i społecznej
- Terrorysty, elementy przestępcze i inne.
- Zależność od dostawców, operatorów, partnerów, klientów
- Awaria, uszkodzenia, zniszczenia, uszkodzenia środków programowych i technicznych
- Pracownicy centrum danych, którzy realizują zagrożenia IB, wykorzystując legalnie przekazane im prawa i uprawnienia (wewnętrzni naruszyciele IB)
- Pracownicy centrum danych, którzy realizują zagrożenia IB poza legalnie przyznanymi im prawami i uprawnieniami, a także podmioty, które nie są częścią personelu centrum danych, ale podejmują próby nieautoryzowanego dostępu i niezgodnych działań (zewnętrzni naruszyciele IB)
- Niezgodność z wymogami organów nadzorczych i regulacyjnych, obowiązującymi przepisami prawa
Analiza ryzyk — identyfikacja potencjalnych zagrożeń i ocena zakresu konsekwencji ich realizacji — pomoże właściwie wybrać priorytetowe zadania, które powinny być realizowane przez specjalistów ds. bezpieczeństwa informacji w centrum danych oraz zaplanować budżety na zakup środków technicznych i programowych.
Bezpieczeństwo informacyjne to proces ciągły, który obejmuje etapy planowania, wdrażania i eksploatacji, monitorowania, analizy oraz doskonalenia systemu zarządzania bezpieczeństwem informacji. Do tworzenia systemów zarządzania bezpieczeństwem informacji stosuje się tzw. „».
Ważnym elementem polityki bezpieczeństwa jest podział ról i odpowiedzialności pracowników za ich realizację. Polityki należy regularnie przeglądać w świetle zmian w prawodawstwie, nowych zagrożeń oraz pojawiających się środków ochrony. Oczywiście, konieczne jest również przekazywanie wymagań dotyczących bezpieczeństwa informacji personelowi oraz prowadzenie jego szkoleń.
Środki organizacyjne
Niektórzy eksperci są sceptycznie nastawieni do „papierowego” bezpieczeństwa, uważając, że główną rolą są praktyczne umiejętności w stawianiu oporu próbom włamania. Rzeczywiste doświadczenie w zakresie zapewniania bezpieczeństwa informacyjnego w bankach mówi co innego. Specjaliści ds. bezpieczeństwa informacyjnego mogą mieć doskonałą wiedzę w zakresie identyfikacji i minimalizacji ryzyk, ale jeśli personel centrum danych nie będzie przestrzegać ich wskazówek, wszystko będzie na nic.
Bezpieczeństwo, jako takie, zazwyczaj nie przynosi zysków, a jedynie minimalizuje ryzyka. Dlatego często traktowane jest jako coś uciążliwego i drugorzędnego. Kiedy więc specjaliści ds. bezpieczeństwa zaczynają protestować (co mają pełne prawo robić), często dochodzi do konfliktów z personelem oraz kierownikami jednostek operacyjnych.
Posiadanie branżowych standardów i wymagań regulacyjnych pomaga specjalistom ds. bezpieczeństwa w obronie swoich stanowisk podczas negocjacji z kierownictwem, a zatwierdzone polityki bezpieczeństwa informacji, regulaminy i procedury umożliwiają egzekwowanie wymagań przedstawionych w tych dokumentach, co pozwala na realizację często niepopularnych decyzji.
Ochrona obiektów
W przypadku świadczonych przez centrum danych usług w modelu colocation na pierwszy plan wychodzi zapewnienie fizycznego bezpieczeństwa oraz kontroli dostępu do sprzętu klienta. W tym celu stosuje się wydzielone strefy (ogrodzone części sali), które są monitorowane przez klienta i do których dostęp dla personelu centrum danych jest ograniczony.
W budynkach rządowych z fizycznym bezpieczeństwem pod koniec ubiegłego wieku sytuacja wyglądała nieźle. Obowiązywał reżim przepustek, kontrola dostępu do pomieszczeń, choć bez komputerów i kamer, istniały systemy gaśnicze — w przypadku pożaru do pomieszczenia serwerowego automatycznie włączał się freon.
W dzisiejszych czasach fizyczne bezpieczeństwo jest zapewniane jeszcze lepiej. Systemy kontroli i zarządzania dostępem (SKUD) stały się inteligentne, wprowadzane są metody biometryczne ograniczające dostęp.
Systemy gaśnicze stały się bardziej bezpieczne dla personelu i sprzętu, wśród nich wyróżniają się instalacje do inhibicji, izolacji, chłodzenia oraz hipoksji w obszarze pożaru. Oprócz obowiązkowych systemów przeciwpożarowych w centrach danych często stosuje się systemy wczesnego wykrywania pożaru typu aspiracyjnego.
Aby chronić centra danych przed zagrożeniami zewnętrznymi — pożarami, eksplozjami, zawaleniem konstrukcji budynku, powodziami, gazami korozyjnymi — zaczęto wykorzystywać pomieszczenia i sejfy bezpieczeństwa, w których sprzęt serwerowy chroniony jest praktycznie przed wszystkimi zewnętrznymi czynnikami uszkadzającymi.
Słabym ogniwem jest człowiek
Inteligentne systemy monitoringu wideo, czujniki śledzenia 3D (akustyczne, podczerwone, ultradźwiękowe, mikrofalowe), SKUD obniżyły ryzyko, ale nie rozwiązały wszystkich problemów. Te środki nie pomogą, gdy prawidłowo wpuszczone do centrum danych osoby z odpowiednim narzędziem coś „złapią”. I, jak to zwykle bywa, przypadkowy incydent przyniesie maksymalne problemy.
Na pracę centrum danych może wpłynąć niezgodne z przeznaczeniem wykorzystanie zasobów jego personelu, na przykład nielegalne kopanie kryptowalut. W takich sytuacjach mogą pomóc systemy zarządzania infrastrukturą centrum danych (DCIM).
Ochrony wymaga także personel, gdyż człowieka często nazywa się najsłabszym ogniwem w systemie ochrony. Ukierunkowane ataki profesjonalnych przestępców najczęściej zaczynają się od wykorzystania metod inżynierii społecznej. Nierzadko najbardziej zabezpieczone systemy padają lub są kompromitowane po tym, jak ktoś gdzieś kliknął/pobrał/robił. Takie ryzyko można zminimalizować, szkoląc personel i wdrażając najlepsze światowe praktyki w zakresie bezpieczeństwa informacji.
Ochrona infrastruktury inżynieryjnej
Tradycyjne zagrożenia dla funkcjonowania centrum danych to awarie zasilania oraz usterki systemów chłodzenia. Na te zagrożenia użytkownicy już się przyzwyczaili i nauczyli się z nimi walczyć.
Nową tendencją jest powszechne wdrażanie "inteligentnego" sprzętu, połączonego w sieć: zarządzane UPS, inteligentne systemy chłodzenia i wentylacji, różnorodne kontrolery i czujniki, podłączone do systemów monitorowania. Przy budowie modelu zagrożeń centrum danych nie można zapominać o prawdopodobieństwie ataku na sieć infrastruktury (a być może również na powiązaną z nią sieć IT centrum danych). Sytuację komplikuje fakt, że część sprzętu (na przykład chillery) może być umieszczona poza centrum danych, np. na dachu wynajmowanego budynku.
Ochrona kanałów komunikacyjnych
Jeśli centrum danych oferuje usługi nie tylko w modelu colocation, trzeba będzie zająć się ochroną chmur. Według danych Check Point, w ubiegłym roku 51% organizacji na całym świecie spotkało się z atakami na struktury chmurowe. Ataki DDoS wstrzymują działalność, wirusy szyfrujące żądają okupu, a celowane ataki na systemy bankowe prowadzą do kradzieży środków z rachunków.
Zagrożenia zewnętrznych intruzji niepokoją także specjalistów ds. bezpieczeństwa informacji w centrach danych. Najbardziej aktualne dla centrów danych są rozproszone ataki, mające na celu przerwanie świadczenia usług, a także zagrożenia włamania, kradzieży lub zmiany danych zawartych w wirtualnej infrastrukturze lub systemach przechowywania.
Do ochrony zewnętrznego perymetru centrum danych służą nowoczesne systemy z funkcjami wykrywania i neutralizacji złośliwego kodu, kontroli aplikacji oraz możliwością importu technologii proaktywnej ochrony Threat Intelligence. W niektórych przypadkach wdrażane są systemy z funkcjonalnością IPS (zapobieganie włamaniom) z automatycznym dostosowaniem zestawu sygnatur do parametrów chronionego środowiska.
Aby chronić przed atakami DDoS, rosyjskie firmy zazwyczaj korzystają z zewnętrznych usług specjalistycznych, które przekierowują ruch do innych węzłów i filtrują go w chmurze. Ochrona po stronie operatora jest znacznie skuteczniejsza niż po stronie klienta, a centra danych pełnią rolę pośredników w sprzedaży usług.
W centrach danych mogą wystąpić również wewnętrzne ataki DDoS: przestępca wkracza do słabo zabezpieczonych serwerów jednej firmy, która umieszcza swoje urządzenia w modelu colocation, i prowadzi atak "odmowy usługi" na innych klientów tego centrum danych poprzez wewnętrzną sieć.
Uwaga dla środowisk wirtualnych
Należy uwzględnić specyfikę chronionego obiektu — wykorzystanie wirtualizacji, dynamikę zmiany infrastruktury IT oraz wzajemne powiązania usług, gdzie udany atak na jednego klienta może zagrażać bezpieczeństwu sąsiednich. Na przykład, łamiąc dokera frontendowego w PaaS opartym na Kubernetes, przestępca może natychmiast uzyskać wszystkie informacje o hasłach, a nawet dostęp do systemu orkiestracji.
Produkty dostarczane w modelu usługowym mają wysoki stopień automatyzacji. Aby nie zakłócać działania biznesu, nałożone środki ochrony informacji również powinny mieć wysoki stopień automatyzacji oraz horyzontalnej skalowalności. Skalowanie powinno być zapewnione na wszystkich poziomach bezpieczeństwa informacji, w tym automatyzacji kontroli dostępu i rotacji kluczy dostępu. Osobnym zadaniem jest skalowanie funkcjonalnych modułów odpowiedzialnych za inspekcję ruchu sieciowego.
Na przykład, filtrowanie ruchu sieciowego na poziomie aplikacji, sieciowym i sesyjnym w centrach danych z wysokim stopniem wirtualizacji powinno być realizowane na poziomie modułów sieciowych hipernadzoru (na przykład, Distributed Firewall firmy VMware) lub poprzez tworzenie łańcuchów usług (wirtualne zapory sieciowe od Palo Alto Networks).
W przypadku słabych punktów na poziomie wirtualizacji zasobów obliczeniowych, wysiłki na rzecz stworzenia kompleksowego systemu bezpieczeństwa informacji na poziomie platformy okażą się nieskuteczne.
Poziomy ochrony informacji w centrach danych
Ogólnym podejściem do ochrony jest wykorzystywanie zintegrowanych, wielowarstwowych systemów zapewnienia bezpieczeństwa informacji, obejmujących makrosegmentację na poziomie zapory sieciowej (wydzielanie segmentów pod różne funkcjonalne kierunki biznesowe), mikrosegmentację opartą na wirtualnych zaporach sieciowych lub oznaczanie etykietami ruchu grup (ról użytkowników lub usług), określonych politykami dostępu.
Następny poziom to identyfikacja anomalii wewnątrz segmentów i między nimi. Analizuje się dynamikę ruchu, która może wskazywać na działalność złośliwą, taką jak skanowanie sieci, próby ataków DDoS, pobieranie danych, na przykład poprzez segmentację baz danych i ich okresowe publikowanie w sesjach, które pojawiają się co jakiś czas. W obrębie centrum danych przechodzi ogromna ilość ruchu, dlatego do identyfikacji anomalii należy używać zaawansowanych algorytmów wyszukiwania, bez analizy pakietów. Ważne jest, aby rozpoznawane były nie tylko oznaki złośliwej i anormalnej aktywności, ale także działanie złośliwego oprogramowania nawet w zaszyfrowanym ruchu, bez jego deszyfrowania, jak proponują rozwiązania Cisco (Stealthwatch).
Ostatnia linia obrony to ochrona urządzeń końcowych sieci lokalnej: serwerów i maszyn wirtualnych, na przykład za pomocą agentów instalowanych na urządzeniach końcowych (maszynach wirtualnych), które analizują operacje wejścia-wyjścia, usuwania, kopiowania i aktywności sieciowe, przekazują dane do , gdzie przeprowadzane są wymagające dużej mocy obliczeniowej obliczenia. Tam przeprowadzana jest analiza za pomocą algorytmów Big Data, budowane są drzewa logiki maszynowej, a anomalie są identyfikowane. Algorytmy uczą się samodzielnie na podstawie ogromnej ilości danych dostarczanych przez globalną sieć sensorów.
Można obejść się bez instalacji agentów. Nowoczesne środki ochrony informacji powinny być bezagentowe i integrować się z systemami operacyjnymi na poziomie hypervisor.
Wymienione środki znacznie zmniejszają ryzyko bezpieczeństwa informacji, ale mogą być niewystarczające dla centrów danych, które zapewniają automatyzację procesów produkcyjnych o podwyższonym ryzyku, na przykład elektrowni jądrowych.
Wymagania regulacyjne
W zależności od przetwarzanych informacji fizyczne i zwirtualizowane infrastruktury centrum danych muszą spełniać różne wymagania dotyczące bezpieczeństwa, sformułowane w ustawodawstwie i standardach branżowych.
Do takich przepisów należy ustawa „O danych osobowych” (152-FZ) oraz wprowadzona w tym roku ustawa „O bezpieczeństwie obiektów KII RF” (187-FZ) — prokuratura już zaczęła interesować się postępami jej wdrożenia. Spory o przynależność centrów danych do podmiotów KII wciąż trwają, ale najprawdopodobniej centra danych, które chcą świadczyć usługi dla podmiotów KII, będą musiały spełniać wymagania nowego prawodawstwa.
Centra danych, które umieszczają u siebie państwowe systemy informacyjne, będą miały trudności. Zgodnie z Rozporządzeniem Rządu RF z dnia 11.05.2017 nr 555, kwestie bezpieczeństwa informatycznego należy rozwiązać przed oddaniem GIS do eksploatacji przemysłowej. A centrum danych, które chce umieścić u siebie GIS, musi wcześniej spełniać wymagania regulatorów.
W ciągu ostatnich 30 lat systemy zapewnienia bezpieczeństwa centrów danych przeszły ogromną drogę: od prostych systemów fizycznej ochrony i środków organizacyjnych, które jednak wciąż są aktualne, do skomplikowanych systemów inteligentnych, w których coraz częściej wykorzystywane są elementy sztucznej inteligencji. Jednak istota podejścia pozostała niezmieniona. Najnowocześniejsze technologie nie uratują bez działań organizacyjnych i szkolenia personelu, a dokumenty — bez rozwiązań programowych i technicznych. Bezpieczeństwa centrum danych nie można zapewnić raz na zawsze, to ciągła, codzienna praca polegająca na identyfikacji priorytetowych zagrożeń i kompleksowym rozwiązywaniu pojawiających się problemów.
Co jeszcze ciekawego można przeczytać na blogu
→
→
→
→
→
Subskrybuj nasz -kanał, aby nie przegapić kolejnego artykułu! Pisaliśmy nie częściej niż dwa razy w tygodniu i tylko w istotnych sprawach. Przypominamy również, że możesz rozwiązania chmurowe Cloud4Y.
Źródło: habr.com
