Kështu duket qendra e monitorimit e vendosur në Moskë në Qendrën e Të Dhënave NORD-2
Keni lexuar disa herĂ« pĂ«r masat qĂ« merren pĂ«r tĂ« siguruar sigurinĂ« informative (IB). Ădo profesionist IT e respekton me lehtĂ«si 5-10 rregulla tĂ« IB. Cloud4Y propozon tĂ« flasim pĂ«r sigurinĂ« informative tĂ« qendrave tĂ« tĂ« dhĂ«nave.
Objektet më "të mbrojtura" në sigurimin e sigurisë informative të Qendrës së Të Dhënave janë:
- burimet informative (të dhënat);
- proceset e mbledhjes, përpunimit, ruajtjes dhe transferimit të informacionit;
- përdoruesit e sistemit dhe personeli mbështetës;
- infrastruktura informative, e cila përfshin mjetet teknike dhe programore për përpunimin, transferimin dhe shfaqjen e informacionit, duke përfshirë kanalet e shkëmbimit të informacionit, sistemet e mbrojtjes dhe ambienteve.
Zona e përgjegjësisë së Qendrës së Të Dhënave varet nga modeli i shërbimeve të ofruara (IaaS/PaaS/SaaS). Si duket, shihni figurën më poshtë:
Fusha e politikës së sigurisë së Qendrës së Të Dhënave në varësi të modelit të shërbimeve të ofruara
Një pjesë e rëndësishme e zhvillimit të politikës së sigurisë informative është ndërtimi i një modeli kërcënimesh dhe shkelësish. Cilat mund të jenë kërcënimet për qendrën e të dhënave?
- Ndodhi të pafavorshme të karakterit natyror, teknologjik dhe social
- Terroristë, elementë kriminalë etj.
- Varësia nga furnizuesit, ofruesit, partnerët, klientët
- Dështime, defekte, shkatërrime, dëmtime të mjeteve programore dhe teknike
- Punonjësit e Qendrës së Të Dhënave që realizojnë kërcënimet e IB duke përdorur të drejtat dhe fuqitë e dhëna atyre (shkelësit e brendshëm të IB)
- Punonjësit e Qendrës së Të Dhënave që realizojnë kërcënimet e IB jashtë të drejtave dhe fuqive të ligjshme të dhëna atyre, si dhe individë që nuk përkasin në personelin e Qendrës së Të Dhënave, por që përpiqen të aksesojnë pa leje dhe të kryejnë veprime të paautorizuara (shkelësit e jashtëm të IB)
- Mos përputhja me kërkesat e organeve mbikëqyrëse dhe rregullatore, legjislacionin aktual
Analiza e rreziqeve â identifikimi i kĂ«rcĂ«nimeve potenciale dhe vlerĂ«simi i shkallĂ«ve tĂ« pasojave tĂ« realizimit tĂ« tyre â do tĂ« ndihmojĂ« nĂ« zgjedhjen e detyrave prioritare qĂ« specialistĂ«t e sigurisĂ« informative tĂ« QendrĂ«s sĂ« TĂ« DhĂ«nave duhet tĂ« zgjidhin, duke planifikuar buxhetet pĂ«r blerjen e mjeteve teknike dhe programore.
Sigurimi i sigurisë është një proces i vazhdueshëm që përfshin fazat e planifikimit, zbatimit dhe eksploitimit, monitorimit, analizës dhe përmirësimit të sistemit të IB. Për krijimin e sistemeve të menaxhimit të sigurisë informative përdoren ashtuquajturi "».
Një pjesë e rëndësishme e politikave të sigurisë është ndarja e roleve dhe përgjegjësive të personelit për realizimin e tyre. Duhet që politikat të rishikohen vazhdimisht në përputhje me ndryshimet në legjislacion, kërcënime të reja dhe mjete mbrojtëse që shfaqen. Dhe, natyrisht, të komunikojnë kërkesat për sigurinë informative te personeli dhe të organizojnë trajnime për ta.
Masat organizative
Disa ekspertë janë skeptikë ndaj "sigurisë së dokumenteve", duke e konsideruar si të rëndësishme aftësitë praktike për të kundërshtuar përpjekjet për të depërti. Eksperienca reale e punës në sigurimin e sigurisë informative në banka tregon të kundërtën. Specialistët e IB mund të kenë ekspertizë të shkëlqyer në identifikimin dhe reduktimin e rreziqeve, por nëse personeli i Qendrës së Të Dhënave nuk e ndjekë udhëzimin e tyre, gjithçka do të jetë e kotë.
Siguria, në përgjithësi, nuk sjell para, por vetëm minimizon rreziqet. Prandaj, shpesh e perceptojnë si diçka penguese dhe dytësore. Dhe kur specialistët e sigurisë fillojnë të protestojnë (të drejtë për t'u shqetësuar), shpesh ndodhin konflikte me personelin dhe drejtuesit e divizioneve operative.
Prania e standardeve të industrisë dhe kërkesave të rregullatorëve ndihmon siguruesit të mbrojnë pozitat e tyre në negociatat me menaxhimin, ndërsa politikat e miratuara të IB, dispozitat dhe rregulloret lejojnë arritjen e përmbushjes së kërkesave të paraqitura atje nga personeli, duke krijuar një bazë për realizimin e vendimeve shpesh të papopulluar.
Mbrojtja e ambienteve
Kur një qendër e të dhënave ofron shërbime sipas modelit colocation, siguria fizike dhe kontrolli i aksesit te pajisjet e klientit vijnë në plan të parë. Për këtë, përdoren ndarje (pjesë të mureve të dhomës) që janë nën mbikëqyrjen e kamerave nga klienti dhe aksesit të personelit të Qendrës së Të Dhënave është i kufizuar.
NĂ« qendrat shtetĂ«rore tĂ« kompjuterĂ«ve me siguri fizike, gjĂ«rat po shkonin mirĂ« nĂ« fundin e shekullit tĂ« kaluar. Ekzistonin kontrolle pĂ«rkalimi, kontrolli i aksesit nĂ« ambiente, ndonĂ«se pa kompjuterĂ« dhe kamera, si dhe sisteme pĂ«r fikjen e zjarrit â nĂ« rast zjarri, freoni aktivizohej automatikisht nĂ« dhomĂ«n e makinave.
Në kohët tona, siguria fizike është shtuar akoma më shumë. Sistemet e kontrollit dhe menaxhimit të aksesit (SKUD) janë bërë inteligjente, duke përfshirë metoda biometrike për kufizimin e aksesit.
Sistemet e fikjes së zjarrit janë bërë më të sigurta për stafin dhe pajisjet, duke përfshirë instalimet për inhibimin, izolimin, ftohjen dhe ndikimin hipoksik në zonën e zjarrit. Përveç sistemeve të detyrueshme të mbrojtjes nga zjarri, qendrat e të dhënave shpesh përdorin sisteme për zbuluar zjarri me aspiracion.
PĂ«r mbrojtjen e qendrave tĂ« tĂ« dhĂ«nave nga kĂ«rcĂ«nimet e jashtme â zjarret, shpĂ«rthimet, shembjet e strukturave tĂ« ndĂ«rtesave, pĂ«rmbytjet, gazrat korrozive â janĂ« krijuar dhoma dhe kasaforta sigurie, ku pajisjet server janĂ« mbrojtur praktikisht nga tĂ« gjitha faktorĂ«t e jashtĂ«m qĂ« shkaktojnĂ« dĂ«me.
Pika e dobĂ«t â njeriu
Sistemet âe mençuraâ tĂ« video-nbikĂ«s, sensorĂ«t pĂ«r ndjekjen volumetrike (akustik, infra tĂ« kuqe, ultrazĂ«rit, mikrovalĂ«), SKUD kanĂ« ulur rrezikshmĂ«rinĂ«, por nuk kanĂ« zgjidhur tĂ« gjitha problemet. KĂ«to mjete nuk do tĂ« ndihmojnĂ«, pĂ«r shembull, kur njerĂ«zit e lejuar nĂ« qendrĂ«n e tĂ« dhĂ«nave me mjete tĂ« lejuara ndonjĂ«herĂ« befas âpĂ«rplasenâ. Dhe, siç ndodh shpesh, njĂ« pĂ«rplasje e rastĂ«sishme sjell shumĂ« probleme.
Disa përdorime të paqëllimshme nga stafi mund të ndikojnë në punën e qendrës së të dhënave, si p.sh. minimi i paligjshëm. Në këto raste mund të ndihmojnë sistemet e menaxhimit të infrastrukturës së QTD-së (DCIM).
Stafi gjithashtu ka nevojë për mbrojtje, pasi njeriu shpesh quhet pika më e dobët në sistemin e mbrojtjes. Sulmet e targetuara nga kriminelë profesionist zakonisht fillojnë me përdorimin e metodave të inxhinierisë sociale. Shpesh, sistemet më të mbrojtura bien ose kompromentohen pasi dikush e ka klikuar/ngarkuar/bërë diçka. Këto rreziqe mund të minimizohen duke trajnuar stafin dhe duke zbatuar praktikat më të mira në fushën e sigurisë informative.
Mbrojtja e infrastrukturës inxhinierike
KĂ«rcĂ«nimet tradicionale ndaj funksionimit tĂ« qendrĂ«s sĂ« tĂ« dhĂ«nave â ndĂ«rprerjet e energjisĂ« elektrike dhe dĂ«shtimet e sistemeve tĂ« ftohjes. TĂ« tilla kĂ«rcĂ«nime janĂ« mĂ«suar dhe janĂ« bĂ«rĂ« tĂ« njohura.
NjĂ« tendencĂ« e re Ă«shtĂ« shpĂ«rndarja e pajisjeve âtĂ« mençuraâ, tĂ« lidhura nĂ« njĂ« rrjet: UPS tĂ« menaxhuar, sisteme inteligjente ftohjeje dhe ventilimi, kontrollorĂ« dhe sensorĂ« tĂ« ndryshĂ«m tĂ« lidhur me sistemet e monitorimit. Kur ndĂ«rtojmĂ« njĂ« model kĂ«rcĂ«nimesh pĂ«r qendrĂ«n e tĂ« dhĂ«nave, nuk duhet tĂ« harrojmĂ« mundĂ«sinĂ« e njĂ« sulmi ndaj rrjetit tĂ« infrastrukturĂ«s (ndoshta edhe ndaj rrjetit tĂ« TI tĂ« lidhur me QTD-nĂ«). SituatĂ«n e vĂ«shtirĂ«son fakti se njĂ« pjesĂ« e pajisjeve (siç janĂ« chillers) mund tĂ« kenĂ« dalĂ« jashtĂ« QTD-sĂ«, p.sh. nĂ« çatinĂ« e njĂ« ndĂ«rtese nĂ« qira.
Mbrojtja e kanaleve të komunikimit
Nëse qendra e të dhënave ofron shërbime jo vetëm sipas modelit të kolokimit, atëherë do të jetë e nevojshme të merret me mbrojtjen e mjeteve në cloud. Sipas të dhënave nga Check Point, vetëm vitin e kaluar, 51% e organizatave në të gjithë botën u përballën me sulme ndaj strukturave cloud. Sulmet DDoS ndalojnë biznesin, viruset që enkriptojnë kërkojnë shpërblime, dhe sulmet e targetuara ndaj sistemeve bankare çojnë në vjedhjen e fondeve nga llogaritë e korrespondencës.
Kërcënimet e invazioneve të jashtme shqetësojnë gjithashtu specialistët e sigurisë informative të qendrave të të dhënave. Më shumë se gjithçka tjetër, për QTD-të janë të rrezikshme sulmet e shpërndara, të bazuara në ndërprerjen e shërbimeve, si dhe kërcënimet e thyerjes, vjedhjes ose ndryshimit të të dhënave që përmbahen në infrastrukturën virtuale ose sistemet e ruajtjes.
Për mbrojtjen e perimetrave të jashtëm të QTD-së, shërbejnë sisteme moderne me funksione për identifikimin dhe neutralizimin e kodeve të dëmshme, kontrollin e aplikacioneve dhe mundësinë e importit të teknologjisë për mbrojtje proaktive Threat Intelligence. Në disa raste, instalohet sisteme me funksionalitete IPS (parandalimin e invazioneve) me rregullimin automatik të setit të nënshkrimeve sipas parametrave të mjedisit që mbrohet.
Për mbrojtjen nga sulmet DDoS, kompania ruse zakonisht përdorin shërbime të specializuara të jashtme, të cilat kanalisin trafikun në nyje të tjera dhe e filtrojnë atë në cloud. Mbrojtja në anën e operatorit kryhet ndjeshëm më efektivisht sesa në anën e klientit, ndërsa QTD-të veprojnë si ndërmjetës për shitjen e shërbimeve.
Në qendrat e të dhënave mund të ndodhin gjithashtu DDoS sulme të brendshme: një sulmues depërton në serverët që janë të mbrojtur dobët të një kompanie që vendos pajisjet e saj sipas modelit të colocation, dhe nga aty kryen një sulm "mosfunksionimi" ndaj klientëve të tjerë të këtij qendrat të të dhënave përmes rrjetit të brendshëm.
Vëmendje për ambientet virtuale
Duhet tĂ« merret parasysh specifika e objektit qĂ« mbron â pĂ«rdorimi i mjeteve tĂ« virtualizimit, dinamikat e ndryshimit tĂ« infrastrukturave IT, ndĂ«rvarĂ«sitĂ« e shĂ«rbimeve, kur njĂ« sulm i suksesshĂ«m ndaj njĂ« klienti mund tĂ« kĂ«rcĂ«nojĂ« sigurinĂ« e tĂ« tjerĂ«ve. PĂ«r shembull, duke komprometuar njĂ« docker frontend gjatĂ« funksionimit nĂ« PaaS mbi Kubernetes, sulmuesi mund tĂ« fitojĂ« menjĂ«herĂ« tĂ« gjitha informacionet e fjalĂ«kalimit dhe madje akses nĂ« sistemin e orkestrimit.
Produktet që ofrohen sipas modelit të shërbimit kanë një shkallë të lartë automatizimi. Për të mos penguar biznesin, një shkallë e ngjashme automatizimi dhe shtrirjeje horizontale duhet të kenë dhe mjetet e mbrojtjes së informacionit. Shtrirja duhet të sigurohet në të gjitha nivelet e sigurisë së informacionit, duke përfshirë automatizimin e kontrollit të qasjes dhe rotacionin e çelësave të qasjes. Një detyrë e veçantë është shtrirja e modulave funksionale që kryejnë inspektimin e trafikut rrjetor.
Për shembull, filtrimi i trafikut rrjetor në nivelet aplikative, rrjetore dhe seancore në qendrat e të dhënave me një shkallë të lartë virtualizimi duhet të kryhet në nivelin e moduleve rrjetore të hipervizorit (për shembull, Distributed Firewall nga VMware) ose përmes krijimit të zinxhirëve shërbimesh (të virtualizuarat firewall nga Palo Alto Networks).
Nëse ka pika të dobëta në nivelin e virtualizimit të burimeve kompjuterike, përpjekjet për krijimin e një sistemi kompleks të sigurisë së informacionit në nivelin e platformës do të jenë të pasuksesshme.
Nivelet e mbrojtjes së informacionit në qendrat e të dhënave
Qasja e pĂ«rgjithshme pĂ«r mbrojtjen â pĂ«rdorimi i sistemeve tĂ« integruara dhe shumĂ«-nivele tĂ« sigurisĂ« sĂ« informacionit, duke pĂ«rfshirĂ« makrosegmentimin nĂ« nivelin e firewall-it (ndarjen e segmenteve pĂ«r drejtime tĂ« ndryshme funksionale tĂ« biznesit), mikrosegmentimin nĂ« bazĂ« tĂ« firewalls virtuale ose etiketimin e grupeve tĂ« trafikut (rolit tĂ« pĂ«rdoruesve ose shĂ«rbimeve), tĂ« pĂ«rcaktuara sipas politikave tĂ« qasjes.
Niveli tjetĂ«r â identifikimi i anomalive brenda segmenteve dhe midis tyre. Analizohet dinamika e trafikut, e cila mund tĂ« tregojĂ« prani aktiviteteve tĂ« dĂ«mshme, si skanimi i rrjetit, pĂ«rpjekjet pĂ«r DDoS sulme, shkarkimin e tĂ« dhĂ«nave, pĂ«r shembull pĂ«rmes ndarjes sĂ« skedarĂ«ve tĂ« bazĂ«s sĂ« tĂ« dhĂ«nave dhe nxjerrjes sĂ« tyre pĂ«rmes sesioneve qĂ« shfaqen herĂ« pas here me intervale tĂ« gjata. Brenda qendrĂ«s sĂ« tĂ« dhĂ«nave kalojnĂ« volumet gjigante tĂ« trafikut, kĂ«shtu qĂ« pĂ«r identifikimin e anomalisĂ« duhet tĂ« pĂ«rdoren algoritme tĂ« avancuara kĂ«rkimi, pa analizĂ«n e paketave. ĂshtĂ« e rĂ«ndĂ«sishme qĂ« tĂ« identifikohen jo vetĂ«m shenjat e aktiviteteve tĂ« dĂ«mshme dhe anomale, por edhe funksionimi i malware edhe nĂ« trafik tĂ« enkriptuar pa e dekriptuar atĂ«, siç propozohet nĂ« zgjidhjet Cisco (Stealthwatch).
Ruba i fundit â mbrojtja e pajisjeve pĂ«rfundimtare tĂ« rrjetit lokal: serverĂ«t dhe makinat virtuale, pĂ«r shembull, me ndihmĂ«n e agentĂ«ve qĂ« instalohet nĂ« pajisjet pĂ«rfundimtare (makinat virtuale), tĂ« cilat analizojnĂ« operacionet e hyrjes/deljes/kopjimit dhe aktivitetet rrjetore, duke dĂ«rguar tĂ« dhĂ«nat nĂ« , ku bĂ«hen llogaritjet qĂ« kĂ«rkojnĂ« kapacitet tĂ« lartĂ« computues. Atje kryhet analiza me algoritme tĂ« Big Data, ndĂ«rtimin e pemĂ«ve tĂ« logjikĂ«s makinerike dhe identifikimin e anomalisĂ«. Algoritmet vetĂ«simudhohen mbi bazĂ«n e njĂ« sasi tĂ« madhe tĂ« dhĂ«nash qĂ« siguruan rrjeti global i sensorĂ«ve.
Mund të shpëtohet edhe pa instalimin e agjentëve. Mjetet moderne për mbrojtjen e informacionit duhet të jenë pa agjentë dhe të integrohen në sistemet operative në nivelin e hipervizorit.
Masat e përmendura ndjeshëm zvogëlojnë rreziqet e sigurisë së informacionit, por kjo mund të jetë e pamjaftueshme për qendrat e të dhënave që ofrojnë automatizimin e proceseve prodhuese me rrezik të lartë, si për shembull centralet bërthamore.
Kërkesat e rregullatorëve
Në përputhje me informacionin e përpunuar, infrastrukturat fizike dhe të virtualizuara të qendrës së të dhënave duhet të përmbushin kërkesa të ndryshme për siguri, të formuluara në ligje dhe standarde të industrisë.
Ligjet si ligji "Për të dhënat personale" (152-FZ) dhe ligji që hyri në fuqi këtë vit "Për sigurinë e objekteve KII të RF" (187-FZ) tashmë kanë marrë vëmendjen e prokurorisë për mënyrën e zbatimit të tyre. Ende ka debate mbi përfshirjen e qendrave të të dhënave si subjekte KII, por me sa duket, qendrat e të dhënave që dëshirojnë të ofrojnë shërbime për subjektet KII do të duhet të përmbushin kërkesat e legjislacionit të ri.
Qendrat e të dhënave do të kenë sfida të mëdha, nëse ato strehojnë sisteme informative shtetërore. Sipas Vendimit të Qeverisë së RF Nr. 555 datë 11.05.2017, çështjet e sigurisë informative duhet të zgjidhen përpara se GIS të hyjë në funksionimin industrial. Ndërsa qendra e të dhënave që dëshiron të ndajë hapësirën e saj për GIS duhet të përmbushë paraprakisht kërkesat e rregullatorëve.
Gjatë 30 viteve të fundit, sistemet e sigurisë për qendrat e të dhënave kanë ndjekur një dhe të madhe përparim: nga sistemet e thjeshta të mbrojtjes fizike dhe masat organizative, të cilat ende mbeten të rëndësishme, deri tek sistemet komplekse inteligjente që gjithnjë e më shpesh përdorin elemente të inteligjencës artificiale. Por thelbi i qasjes nuk ka ndryshuar. Teknologjitë më moderne nuk do ta shpëtojnë një sistem të dhënash pa masa organizative dhe trajnimin e personelit, as dokumentet pa zgjidhje software dhe teknike. Siguria e qendrës së të dhënave nuk mund të sigurohet një herë e përgjithmonë; ajo kërkon një punë të vazhdueshme dhe ditore për të identifikuar kërcënimet kryesore dhe për të zgjidhur problemet komplekse që shfaqen.
ĂfarĂ« tjetĂ«r tĂ« dobishme mund tĂ« lexoni nĂ« blog
â
â
â
â
â
Regjistrohuni në kanalin tonë -kanalin, për të mos humbur artikujt e ardhshëm! Shkruajmë jo më shpesh se dy herë në javë dhe vetëm për çështje të rëndësishme. Gjithashtu kujtojmë se mund të zgjidhjet cloud Cloud4Y.
Burimi: habr.com
