Во всей сегодняшней шумихе вокруг «облаков», одна из ключевых, просто таки «культовых», тем – тема безопасности. Чего только не пишут и не говорят, но правда проста – в конечном итоге «облачные» технологии не безопаснее и не опаснее, нежили установка на своей площадке, и безопасность в каждом конкретном случае зависит от конкретного, отдельно взятого, решения. Но у есть у «облаков» одна собственная слабость – «детская» болезнью новизны, это болезнь возрастная и распространяется не только на безопасность, но и на много иное (кастомизация, наработаность бизнес-функционала и пр.), однако наш информационный мир так устроен, что технологии взрослеют со сказочной быстротой.
Чтобы понять, что мы имеем ввиду под «детской» болезнью новизны, мы кратко пройдемся по общей ситуации с безопасностью «облаков», а затем обратимся к самой ,jktpyb.
«Облачная безопасность»
Итак, какие угрозы существуют? И чего опасаются пользователи бизнес ПО?
1.Утрата конфиденциальности данных, путем подкупа сотрудника с административным доступом. В наше время конкуренты (злоумышленники) для получения информации пытаются найти выходы на сотрудников и администраторов предприятия, и это самый эффективный путь. А вот до сотрудников провайдера SaaS добраться много труднее, ведь они трудятся в другой, нежили ваши конкуренты, области экономики, а значит имеют меньше общих знакомых. Хотя конечно, подкупить можно сотрудника любой компании. Но тут нет никаких новых угроз, SaaS даже немного безопаснее, в силу удаленности от конкурентов.
2.Утрата конфиденциальности данных при передаче. Тут SaaS с первого взгляда уступает системам стоящим на площадке компании, но для территориально распределенной компании, опять же никаких новых угроз, поскольку приходится использовать одни и те же каналы связи. И методы борьбы прежние - шифрование канала, построение VPN и т. д....
3.Утрата конфиденциальности данных из-за проблем с разделением прав доступ, применения политик безопасности. Опять же SaaS тем безопаснее, что его безопасность и правильное администрирование обеспечивает целиком специализированная компания, чьи специфичные возможности превосходят ИТ возможности компании среднего размера, не говоря уж про малый бизнес. Уточним, если это правильно построенный провайдер услуг.
4.Недоступность данных из-за проблем обеспечением работоспособности серверного оборудования. См. пункт выше.
5.Недоступность данных из-за проблем с каналом. Тут то SaaS проигрывает, но и то, только в том случае, если компания целиком находится в одном месте, а при распределенной структуре никакой разницы нет.
6.Нарушения целостности данных. Опять же смотри пункт 3, про преимущества провайдера услуг, как специализированной компании.
Простейший, и очень поверхностный анализ, показывает что страхи насчет безопасности «облаков» во многом надуманы. И можете смело перемещать в «облака» свой ASoftCRM или TeamWox или 1С или, что там у Вас; и если Ваши данные критичны для бизнеса, а собственная ИТ структура состоит из трех серверов, стоящих в углу каморки с сисадминами, то Вы даже выгадаете в смысле безопасности.
Однако статью писать не стоило, если все было так просто; в конце концов провайдеры облачных услуг в своей рекламе Вам объяснят, как все радужно, и - готовьте деньги, господа...
Мы же знаем, что у "облачных" технологий есть ахиллесова пята - их молодость и незрелость, и далее рассказ, в чем выражается эта "детская" болезнь новизны.
«Детская» болезнь новизны
Согласитесь, "облака" только вылупились из яйца технологий, но поскольку сами технологии уже развиты и развиты технологии электронных преступлений, то "облака" унаследовали комплекс проблем и инструментов борьбы с таковыми; вот только не успели их адаптировать под свои специфические потребности. Рассмотрим по пунктам:
·Функциональные атаки на элементы "облака". Например, DoS-атака, которая способна заблокировать доступ ко всему "облаку". SQL-инъекция, которая при успехе даст доступ ко всем данным БД. И т.д.. Для защиты от функциональных атак для каждого слоя "облака" можно использовать специфичные для него средства защиты. В отдельности каждые из этих защитных механизмов уже созданы, но они пока не собраны вместе, для комплексной защиты "облака", и это одно из проеквлений "детскости", но та болезнь которую грамотный провайдер успешно лечит. Вопрос, как мы уже говорили, в выборе правильного провайдера...
·"Дыры" оставленные при внедрении интеграторами. Надеюсь, все понимают - сложный бизнес софт сложно внедряют, "облака" там или не "облака". Одним взмахом запускают простые сервисы. Вроде тут ничего нового, но мало кто уже имеет навык внедрять такие приложения, примеров облачных интеграторов совсем немного, отсюда повышенные риски. Раз уж мы начали говорить об облачных интеграторах, то укажем сразу, что в основе современных SaaS решений лежит архитектура, предполагающая полную изоляцию рабочей среды каждого потребителя в рамках единой платформы. По сути, система вполне кастомизируется под заказчика и при этом она остается SaaS. А там, где предполагается кастомизация, там будут и люди под кастомизацию, сиречь облачные интеграторы.
·SLA. Одно из основных преимуществ «облаков», перед приходящим администратором или собственным единственным администратором, это то, что провайдер гарантирует круглосуточную обработку инцидентов и закрепленные в Соглашении об уровне сервиса (SLA) сроки восстановления работоспособности. Гарантирует теоретически, т.к. сейчас расплатилось множество мелких провайдеров, которые ничего гарантировать не могут. Так что анализируйте при выборе сервисов уровень поставщиков услуг, либо советуйтесь с облачными интеграторами. И помните, что:
| При выборе поставщика услуг аренды бизнес-приложений необходимо учитывать следующую информацию: ·история провайдера, сколько лет существует на рынке, репутация; ·существующие клиенты, success stories; ·открытая политика в области физической инфраструктуры (количество и качество ЦОДов, дублированные системы кондиционирования и электропитания, современные системы пожаротушения, физического доступа, видеонаблюдения). Неплохо, если есть возможность сходить на экскурсию; ·используемое серверное оборудование; ·наличие, описание и качество системы внешней информационной безопасности (Firewall, системы обнаружения и предотвращения атак); ·численность и квалификация персонала; ·наличие соглашения об уровне сервиса (SLA), описывающей параметры оказания услуг, сроки и ответственность за их нарушение; ·наличие соглашения о конфиденциальности (NDA) и его параметры; ·подтверждение компетенции провайдера от производителей программного обеспечение на возможность предоставления услуг по аренде этого программного обеспечения. Так, например, при оказании услуг аренды бизнес-приложений Microsoft важно наличие компетенции Hosting Solutions, Advanced Infrastructure Solutions и др.; ·режим работы, скорость реакции и доброжелательность службы поддержки, возможности «эскалации» проблем; ·оформление документов в соответствии с законодательством РФ. (Здесь и далее — цитаты из опубликованных статей, так или иначе затрагивающих тему SaaS) |
Страшно, сложно? Так либо идите на громкое имя провайдера (хоть какая то гарантия), либо начинайте проект внедрения и кастомизации с предпроектного анализа силами облачного интегратора, или попадете, как одна крупная торговая компания, которая при внедрении облачного решения, вынуждена была бегать от провайдера к провайдеру. Ситуация просто напрашивается к определению – мелкий бизнес налево (к имени), средний / крупный направо (к интегратору), наличие которого важно еще в одной ситуации:
| У неких неизвестных лиц оказались данные пользователей, перечисливших средства в поддержку проекта Роспил.Инфо. Очевидно, что утечка произошла в ФСБ, куда платежная система «Яндекс Деньги» передала информацию в ответ на официальный запрос. Условия ведения бизнеса в России таковы, что «Яндекс. Деньги» обязана была предоставить эту информацию. С тем, что у государства должна быть возможность использовать данные в электронном виде при проведении расследований никто не спорит. Однако мы не договаривались о том, что данные могут официально изыматься, а затем продаваться по сходной цене конкурентам или политическим противникам. СОРМ — не уникальное российское явление. Подобные положения действуют в США, странах Евросоюза и других регионах мира. Однако очевидным образом предполагается: ·Данные передаются в рамках уголовного/гражданского дела по постановлению суда ·Государство гарантирует конфиденциальность переданных данных, по крайней мере, до тех пор, пока они не будут использованы во время открытого судебного процесса. К сожалению, оба этих пункта не работают в России. В случае с данными жертвователей Навального утекли довольно невинные данные — те, кто жертвовал на Роспил.Инфо часто сами сообщали об этом. Этот случай хорошо демонстрирует, что средства СОРМ успешно используются в политической и финансовой борьбе. Сегодня кого-то заинтересовали 6 миллионов на счете Навального. При этом ему пока никто не предъявлял обвинений и не возбуждал уголовного дела. Что будет завтра? 6 млн. рублей — в сущности, очень маленькая сумма. Если цена слива, через СОРМ позволяет работать с подобными суммами, то угроза касается всех — малый бизнес, ИП, благотворительные организации. От внимания ФСБ избавлены разве, что «доширакеры». При обсуждении безопасности облачных решений, всегда возникает тема возможной утечки данных третьим лицам. В том числе утечка данных государству. В автоматизированных системах часто хранится намного более дорогостоящая и опасная информация, чем данные о платежах: ноу-хау и методические разработки, управленческая бухгалтерия, действительные зарплаты сотрудников, данные клиентов попадающие под действие договоров NDA и т.д. В отличие от Навального многим компаниям есть, что скрывать. К провайдерам облачных решений возникает один вопрос: «А ваши сервера находятся не на территории России?». Потому что от ЦРУ, ФБР, германских БФФ/БНД и т.д. российским предпринимателям скрывать нечего — в международный терроризм они не вовлечены. В сущности тех, кто хотел бы скрыть свои данные от ФСБ тоже немного. А вот третьи лица, которые могут воспользоваться услугами СОРМ, представляют реальную угрозу. (Здесь и далее — цитаты из опубликованных статей, так или иначе затрагивающих тему SaaS) |
Итак, если Вы хотите защитить свои данные от такой угрозы, то Вам еще больше нужен облачный интегратор, так как это означает обращение к западным провайдерам, а у западных вендоров присутствуют только западные SaaS, и встает вопрос о локализации этих самых западных SaaS. Сами вендоры не очень то локализируют и в результате в "облачных" решениях зачастую нет - русского интерфейса, рублевых счетов и других востребованных нашими пользователями, возможностей. Для вендора SaaS главное - тиражирование типового решения, а кастомизация, это то чем приходиться заниматься в нагрузку и без большой охоты. Зато там - у западных провайдеров шире представленный набор решений, от столь родных SaaS решений CRM, до, новых для России, но уже привычных в Штатах, интеграционных решений.
Идем дальше, к новым "детским" болезням:
·Атаки на браузер. Перехваты Web-сессий, воровство паролей и другие. Защитой от этих атак традиционно является строгая аутентификации и использование шифрованного соединения, однако не все создатели "облаков" могут себе позволить столь расточительные средства защиты, как мы помним сейчас расплодилось множество мелких провайдеров, которые гиганские комплексные решения не поднимут. Так что в этой области информационной безопасности есть еще пространство для создания новых средств защиты, менее тяжеловесных. Кстати, это актуально, для любых, распределенных систем.
·Угрозы виртуализации. О, это большая и сложная тема, актуальная не только для "облаков", но и для всего современного ИТ, однако "облака" без виртуализации не "облака". Сейчас начинают появляться решения от некоторых угроз виртуализации, однако отрасль эта достаточно новая, поэтому пока сложившихся решений не выработано. Вполне возможно, что рынок информационной безопасности, в ближайшее время, предоставит новые средства защиты от этого типа угроз. Дело в том, что при использовании этой технологии в системе появляются дополнительные элементы, которые могут быть подвергнуты атаке. К ним можно отнести гипервизор, систему переноса виртуальных машин и систему управления виртуальными машинами. Рассмотрим подробнее, каким опасностям могут подвергаться перечисленные элементы:
oАтаки на гипервизор. В центре виртуальной системы стоит гипервизор, который обеспечивает разделение физических ресурсов между виртуальными машинами. Перехват контроля гипервизора может привести к тому, что одна виртуальная машина может получить доступ к памяти и ресурсам другой. Пока мало кто из хакеров понимает, как именно работает гипервизор, поэтому атак подобного типа практически нет, однако это еще не гарантирует, что они не появятся в будущем. Но уже появились инструменты, для защиты от подобных атак, но только у кого из провайдеров они уже стоят, бог весть...
oПеренос виртуальных машин. Уточним, виртуальная машина представляет собой файл, который может быть запущен на исполнение в разных узлах облака. В системах управления виртуальными машинами предусмотрены механизмы переноса виртуальных машин с одного узла на другой. Однако файл виртуальной машины можно украсть и попытаться запустить ее за пределами "облака". Вынести физический сервер из серверной можно, ну а виртуальную машину можно украсть по сети. Пока, правда, прецедентов не было, может по тому, что такой файл фактически размазан по различным слоям "облака" (по крайней мере у грамотных провайдеров), и технологии кражи совсем не проста...
oАтаки на системы управления. Огромное количество виртуальных машин, которые используются в облаках, особенно в публичных облаках, требует таких систем управления, которые могли бы надежно контролировать создание, перенос и утилизацию виртуальных машин. Вмешательство в системы управления может привести к появлению виртуальных машин невидимок, блокирование одних машин и подстановка в слои облака неавторизованных элементов. Все это позволяет злоумышленникам получать информацию из "облака" или захватывать его части, или все "облако" целиком.
Заключение
Покажем пример здоровой краткости, и скажем:
Не пугайтесь за безопасность в "облаках", просто - анализируйте предлагаемые сервисы и площадки их размещения с различных сторон, не стесняйтесь обращаться к интеграторам и помните, что завтра станет еще лучше, нежили сегодня.
