Vvmebel.com

Новости с мира ПК
0 просмотров
Рейтинг статьи
1 звезда2 звезды3 звезды4 звезды5 звезд
Загрузка...

Безопасность центра обработки данных

Физическая безопасность в центрах обработки данных

Для многих предприятий ключевые компоненты их инфраструктуры ИТ обладают такой же ценностью, как драгоценности из королевской казны для королевы Англии. Разница лишь в том, что от кражи, неправомерного использования или уничтожения их защищают не стены Лондонского Тауэра, а средства безопасности центров обработки данных. Но самый лучший брандмауэр окажется бесполезным, если кто-то сможет беспрепятственно и незаметно попасть в серверную с камерофоном и перочинным ножиком. Поэтому для защиты центров обработки данных от шпионажа, природных катастроф или диверсий в первую очередь применяются физические меры безопасности

Работа по обеспечению безопасности центра обработки данных (ЦОД) начинается с выбора участка, на котором стоит или будет возводиться здание. В первую очередь следует избегать территорий, затопляемых наводнениями или паводковыми водами, равно как и участков, регулярно подвергающихся землетрясениям. Не менее важным фактором является «правильное» соседство. Ведь расположенные неподалеку хранилища взрывчатых веществ точно так же угрожают центру данных, как и предприятия, выбрасывающие большое количество вредных веществ. Помимо этого, нежелательна близость к аэропортам, электростанциям, путям транспортировки опасных грузов и источникам электромагнитного излучения. Если рядом нередко проводятся массовые мероприятия или конференции по безопасности, то меры по их защите тоже могут нанести ущерб деятельности ЦОД. Уместно избегать каких-либо вывесок с указаниями на сам центр обработки данных и его принадлежность определенной компании, даже если это ущемляет гордость руководства предприятия.

Когда подходящий участок найден, рекомендуется соблюдать минимальное расстояние от здания ЦОД до ближайшей улицы. Защитная зона шириной не менее 30 м необходима для того, чтобы с помощью деревьев, кустарников или каменных глыб скрыть от любопытных глаз как само здание ЦОД, так и специальные ограждения и камеры наблюдения. В то же время эти ландшафтные меры не позволяют транспорту приближаться опасно близко к зданию.

Те, кому при организации ЦОД приходится довольствоваться уже существующим зданием, безусловно, не обладают той степенью свободы при планировании, как в случае создания нового центра с нуля. Тем не менее, это здание должно отвечать минимальным требованиям безопасности: в идеале оно предназначается только для ЦОД, а другие арендаторы отсутствуют. Если автомобильная парковка находится здесь же (на крыше или нижнем этаже), то использовать строение в качестве ЦОД нельзя. Место парковки надо располагать на достаточном расстоянии, чтобы минимизировать угрозу от аварии или — в худшем случае — бомбы, заложенной в автомобиле.

На форму и характеристики кирпичной кладки, окон и дверей существуют соответствующие нормы и директивы, как и для защиты от пожаров и дыма (см. Таблицу 1). В зависимости от степени угрозы, внешние стены должны противостоять экстремальным погодным условиям и преднамеренным повреждениям, вплоть до мощного взрыва. Поскольку окна всегда являются слабым местом, при устройстве ЦОД от них следует отказаться, насколько это возможно. В офисных помещениях, если таковые предусмотрены проектом, окна должны выходить только на охраняемую территорию и по возможности изготавливаться из бронированного стекла. От доступа в ЦОД из офисных помещений необходимо отказаться. Критически важные зоны вычислительного центра размещают в тех местах, где нет окон, наружных стен, потолочных ламп или дверей, ведущих на улицу. Наиболее приемлемый вариант — наличие всего двух входов: главный для персонала ИТ, а второй, в задней части здания, для обслуживающего персонала и разгрузки/погрузки оборудования.

Особое внимание рекомендуется уделить конструкции полов и потолков, особенно в существующих строениях: при наличии двойного пола или подвесного потолка возрастает опасность распространения огня при пожаре. Если внутренние стены сплошные — от нижнего пола до верхнего потолка, это предотвращает возможность несанкционированного проникновения. При выборе и планировании здания следует учитывать и допустимую нагрузку на перекрытие. Хотя требования здесь определяются индивидуальными нуждами, рекомендуется, чтобы перекрытия выдерживали как минимум тонну веса на 1 м 2 площади.

Для всей территории ЦОД надо предусмотреть различные зоны безопасности по классическому принципу луковицы (см. Рисунок 1): по мере продвижения к наиболее значимым зонам требования, предъявляемые к системам безопасности, возрастают. За территорией вокруг здания, а также всеми входами и выходами рекомендуется следить посредством камер видеонаблюдения. Для контроля обширных пространств применяют вращающиеся и поворотные камеры, текущую зону видимости которых потенциальный взломщик определить не в состоянии. Эти камеры хорошо сочетаются с детекторами движения или скрытыми в земле сенсорами. К примеру, если незваный гость преодолеет забор, то такой сенсор немедленно срабатывает, камера наводится на указанную им зону и начинает запись. Одновременно система безопасности сигнализирует об инциденте дежурному диспетчеру. Постоянное видеонаблюдение имеет смысл вести и внутри вычислительного центра во всех критически важных инфраструктурных помещениях, а записи хранить в течение
90 дней. При просмотре видеоматериала следует учитывать требования, предъявляемые к защите данных и обрабатывать их только с разрешения руководства предприятия и/или руководителя отдела эксплуатации (Facility Management).

Параллельно с видеонаблюдением все окна и двери могут охраняться посредством системы сигнализации с применением сенсоров. Помимо разбитого стекла, датчики сообщают, закрыты ли двери и окна. К примеру, если дверь открыта более 60 сек, сигнал тревоги будет отправлен в диспетчерскую — это помещение, как и все остальные критически важные компоненты ЦОД, должно оснащаться избыточно и обслуживаться круглосуточно. При наличии резервного ЦОД поставщики услуг ИТ могут использовать диспетчерскую одного ЦОД, чтобы контролировать другой центр данных. Но все сообщения и видеоданные должны поступать сразу в обе диспетчерские. Особенно важен постоянный контроль проникновения в ЦОД, в таком случае система контроля доступа сначала идентифицирует личность входящего (как правило, путем проверки пропуска), а затем уточняет, когда и куда он имеет право входить.

Для того чтобы предотвратить использование потерянного или украденного пропуска, следует хотя бы в ключевых зонах ЦОД осуществлять двухфакторную аутентификацию. При этом доступ контролируется либо посредством дополнительного PIN-кода, либо путем определения биометрических характеристик человека с целью подтверждения прав на предъявляемый пропуск. Биометрические методы, такие как проверка геометрии руки или отпечатков пальцев (см. Рисунок 2), являются более предпочтительными, так как PIN-код можно вычислить или передать другому лицу. Чтобы избежать опасений сотрудников относительно соблюдения конфиденциальности в случае централизованного хранения биометрических данных, информационный центр IZB, к примеру, использует для идентификации личности обычный пропуск. Верификация его владельца осуществляется при помощи считывающего устройства, сравнивающего информацию об отпечатке, хранящуюся на пропуске (так называемый шаблон), с только что считанным отпечатком. Централизованное хранение биометрических параметров, таким образом, не используется. Попытки манипулирования сканером отпечатков предотвращаются установкой дополнительных датчиков движения и видеокамер. Если кто-либо задержится у сканера более чем на 30 сек, в диспетчерской прозвучит сигнал тревоги. Проход «безбилетников» совместно с лицами, имеющими право доступа в важные зоны, можно пресечь с помощью так называемых «шлюзов одиночного прохода».

При планировании и обеспечении безопасности ЦОД приходится принимать во внимание множество других моментов, выходящих за рамки данной статьи. Так, TV Informationstechnik в своих контрольных списках для сертификации Trusted Site Infrastructure (TSI) делает различия между следующими сферами: окружающая среда, строительная конструкция, защита от возгорания, системы сигнализации и тушения, энергоснабжение, системы вентиляции помещений, организация и документация. Каждый из этих разделов имеет многочисленные подпункты. При планировании и проверке ЦОД могут оказаться полезными существующие нормы и сертификации. Дополнительную информацию предлагают каталоги базовых мер защиты Федерального министерства безопасности информационных технологий Германии, институт TV Informationstechnik, а также стандарт TIA-942 от Telecommunications Industry Associations (TIA), где даются практические и четкие указания относительно создания надежного ЦОД.

Предприятия, для которых содержание собственного ЦОД кажется слишком обременительным с финансовой точки зрения, могут переложить все обязанности, начиная с хостинга отдельных компонентов ИТ и заканчивая управлением целой инфраструктурой, на специализированного внешнего поставщика услуг. Если он возьмет на себя не только размещение компонентов, но и производственную ответственность за целые процессы, то собственному отделу ИТ предприятия не придется заниматься проектированием и эксплуатацией ЦОД. При этом поставщик услуг должен предоставить свидетельства безопасности принадлежащих ему центров данных в виде соответствующих сертификатов.

Штефан Болингер — руководитель отдела Facility Management информационного центра IZB.

Информационная безопасность ЦОД: подходы

Информационная безопасность ЦОД: подходы

Информационная безопасность ЦОД: подходы

Дмитрий Костров
Дирекция информационной безопасности ОАО «МТС»

ЦОД: состав, виды

Центр обработки данных (ЦОД) — это отказоустойчивая комплексная централизованная система, обеспечивающая автоматизацию бизнес-процессов с высоким уровнем производительности и качеством предоставляемых сервисов.

Обычно в состав ЦОД входят:

  • высоконадежное серверное оборудование;
  • системы хранения и передачи данных, включая системы резервного копирования;
  • системы энергообеспечения, кондиционирования и физического размещения;
  • системы мониторинга и управления;
  • системы безопасности;
  • резервные центры обработки информации;
  • решения по виртуализации ресурсов;
  • решения по консолидации.

Определены преимущества создания собственного ЦОД (или его аренды) — это предоставление отказоустойчивых инфраструктурных сервисов в режиме 24х7, повышение эффективности и надежности эксплуатации вычислительных ресурсов, упрощенное централизованное администрирование, снижение издержек на предоставление инженерных коммуникаций, высокий уровень защиты информационной системы, централизованное управление и учет ресурсов, контроль доступа к ЦОД (а также подключения в рамках применения специальных разъемов), простое и удобное масштабирование вычислительных ресурсов.

Обычно выделяют три основных вида ЦОД:

  1. Основной ЦОД — это специально подготовленное помещение (здание), оборудованное комплексом инженерных систем (разрабатывается индивидуально, исходя из конфигурации предоставленных помещений и потребностей заказчика).
  2. Комплексный ЦОД (от производителя).
  3. Мобильный (контейнерный).

Непрерывность работы любого ЦОД обычно измеряется в процентах рабочего времени в год. При наиболее распространенном уровне «три девятки» (99,9%) функционирование не должно прерываться в целом более чем на восемь часов в год. «Четыре девятки» (99,99%) допускают перерыв не более часа, «пять девяток» (99,999%) — это почти 100%-ная непрерывность, остановка не превышает и минуты. Объективной оценкой возможностей ЦОД можно считать только независимый аудит. При этом можно воспользоваться определенными стандартами для оценки. Это могут быть: ISO 17799, FISMA, Basel II, COBIT, HIPAA, NIST SP800-53.

Информационная безопасность ЦОД: анализ уровня зрелости

Если подходить к обеспечению безопасности информации, хранимой (обрабатываемой) в ЦОД, мы должны исходить из требований конфиденциальности, доступности и целостности. Необходимо отметить, что цель обеспечения безопасности и защиты функциональных приложений, сервисов и данных (информации) — сведение к приемлемому минимуму (анализ рисков, аппетит рисков) ущерба при возможных внешних и внутренних воздействиях.

Вопросы информационной безопасности ЦОД могут быть описаны только после проведения анализа текущего уровня, разработки проектного и стратегического уровней зрелости процесса управления непрерывностью бизнеса (BCM) в отношении критичных технологических процессов современной телекоммуникационной компании. Данный анализ уровня зрелости должен выполняться для ключевых областей процесса BCM в соответствии с методологией Института непрерывности бизнеса и проводиться по следующим областям:

  1. Анализ последствий для деятельности (BIA).
  2. Оценка рисков (RA).
  3. Корпоративная стратегия BCM.
  4. Уровень зрелости процесса BCM.
  5. Стратегия BCM в части восстановления ресурсов.
  6. План непрерывности бизнеса.
  7. Решения и планы восстановления ресурсов.
  8. План кризисного управления.
  9. Тренировки по BCM, культура, развитие осведомленности.
  10. Испытание процесса BCM.
  11. Поддержка и сопровождение процесса BCM.
  12. Аудит процесса BCM.
  13. Управление процессом BCM.
  14. Политика BCM.
  15. Верификация и валидация процесса BCM.
Читать еще:  Политика безопасности это

Основная цель управления функциональной стабильностью технологических процессов — обеспечить выполнение бизнес-функций компании в условиях воздействия дестабилизирующих факторов. Для выполнения анализа уровня зрелости компании в аспекте BCM разработана система оценки, основанная на материалах Института непрерывности бизнеса (BCI), Международной организации по стандартизации (ISO) и методологии CobIT Ассоциации аудита и контроля информационных систем (ISACA).

После проведения работ в рамках проекта ВСМ делаются выводы о том, нужен ли вообще ЦОД; строить собственный или арендовать; делать ли дублирующий. На этом этапе возникает вопрос обеспечения информационной и технологической безопасности с учетом анализа рисков всей компании.

Вопрос обеспечения информационной безопасности ЦОД можно формально разделить на безопасность сетевой части, серверной части и части хранения данных.

Этапы обеспечения безопасности ЦОД, объекты защиты

Основные этапы обеспечения безопасности ЦОД:

  • построение модели угроз;
  • выделение объектов, на которые могут быть направлены угрозы;
  • построение модели действий нарушителя;
  • оценка и анализ рисков;
  • разработка и внедрение в системы ЦОД методов и средств защиты.

Анализируя вышесказанное, становится ясно, что без построения СУИБ (системы управления информационной безопасностью) как всего предприятия, так и элемента (ЦОД) адекватной защиты не обеспечить.

Перечислим основные объекты защиты в ЦОД:

  • информация, циркулирующая в системе;
  • оборудование (элементы);
  • программное обеспечение.

Модель PDCA

Специалисты информационной безопасности уже прекрасно знают модель «Планирование-реализация-проверка-совершенствование» («Plan-Do-Check-Act» — PDCA), которая применена для структурирования всех процессов СУИБ.

Сегодня многие организации, занимающие лидирующие позиции в области обеспечения ИБ, разрабатывают (согласно ФЗ «О техническом регулировании») корпоративный стандарт «Обеспечение информационной безопасности организаций», где в полной мере должны быть отражены и требования по ИБ ЦОД, которые должны обеспечить непрерывное выполнение бизнес-функций компании.

Отклонение от реализации данной модели чревато ошибками в реализации защиты, что приведет к потерям предприятия (утечка информации и т.п.).

Из чего должна состоять сетевая часть?

ЦОД может работать (обычно) как с Интернетом, так и с сетью на базе VPN-MPLS, поэтому в сетевой части должен стоять межсетевой экран (желательно в режиме failover), устройство, обеспечивающее шифрование трафика (особенно при соединении с Интернетом), системы обнаружения вторжения IDS/IPS, проходной антивирус. Кроме того, в сетевой части находятся корневые маршрутизаторы, балансировщик нагрузки и так называемый aggregation switch (работает на уровне 2 или 3, может агрегировать данные от нескольких физических портов).

Серверная часть

Серверная часть состоит из коммутаторов. Тут хорошо применять технологию VLAN для разграничения доступа и информационных потоков. Обычно именно эта часть отвечает за связь с центром управления сетью. В центре управления сетью может размещаться центр управления безопасностью (SOC). Здесь ставится система контроля доступа и идентификации (IDM).

Информационная безопасность ЦОД

Основными объектами защиты при обеспечении информационной безопасности ЦОДа являются: информационные ресурсы (данные); процессы сбора, обработки, хранения и передачи информации; пользователи системы и обслуживающий персонал; информационная инфраструктура, включающая технические и программные средства обработки, передачи и отображения информации, в том числе каналы информационного обмена, системы защиты информации и помещения. Зона ответственности ЦОДа зависит от модели предоставляемых услуг (табл. 1).

Важнейшая часть разработки политики информационной безопасности — построение модели угроз и нарушителей (табл. 2).

Анализ рисков — выявление потенциальных угроз и оценка масштабов последствий их реализации — поможет правильно выбрать перво­очередные задачи, которые должны решать специалисты по информационной безопасности ЦОДа, спланировать бюджеты на покупку технических и программных средств.

Обеспечение безопасности — непрерывный процесс, который включает этапы планирования, реализации и эксплуатации, мониторинга, анализа и совершенствования системы ИБ. Для создания систем менеджмента информационной безопасности используют так называемый цикл Деминга.

Важной частью политик безопасности является распределение ролей и ответственности персонала за их выполнение. Следует постоянно пересматривать политики с учетом изменений законодательства, новых угроз и появляющихся средств защиты. И, конечно, доводить требования к информационной безопасности до персонала и проводить его обучение.

Некоторые эксперты скептически относятся к «бумажной» безопасности, считая главным умение взламывать системы. Практический опыт работы по обеспечению информационной безопасности в банках говорит об обратном. Специалисты по ИБ могут иметь отличную экспертизу в деле выявления и снижения рисков, но если персонал ЦОДа не будет выполнять их указания, все будет напрасным.

Безопасность, как правило, не приносит денег, а лишь минимизирует риски. Поэтому к ней часто относятся как к чему-то мешающему и второстепенному. Требования специалистов по безопасности нередко приводят к конфликтам с персоналом и руководителями эксплуатационных подразделений.

Наличие отраслевых стандартов и требований регуляторов помогает безопасникам отстаивать свои позиции на переговорах с руководством, а утвержденные политики ИБ, положения и регламенты позволяют добиваться от персонала выполнения изложенных там требований, подводя базу под про­ведение зачастую непопулярных решений.

При предоставлении ЦОДом услуг по модели colocation на первый план выходит обеспечение физической безопасности и контроля доступа к оборудованию клиента. Для этого используются выгородки (огороженные части зала), которые находятся под видеонаблюдением клиента и к которым доступ персонала ЦОДа крайне ограничен.

В государственных вычислительных центрах с физической безопасностью и в конце прошлого века дела обстояли неплохо. Был пропускной режим, контроль доступа в помещения, пусть без компьютеров и видеокамер, системы пожаротушения — в случае возгорания в машинный зал автоматически пускался фреон.

В наше время физическая безопасность обеспечивается еще лучше. Системы контроля и фотоуправления доступом (СКУД) стали интеллектуальными, внедряются биометрические методы, например контроль входа в машзал по руке человека в ЦОДе IXcellerate или специальная кабинка, сканирующая человека при доступе в машзал ЦОДа Сбербанка в Сколково.

Более безопасными для персонала и оборудования стали системы пожаротушения, среди которых можно выделить установки пожаротушения тонкораспыленной водой. Наряду с обязательными системами противопожарной защиты в ЦОДах часто используется система раннего обнаружения пожара аспирационного типа.

Для защиты дата-центров от внешних угроз — пожаров, взрывов, обрушения конструкций здания, затопления, коррозийных газов — стали использоваться комнаты и сейфы безопасности, в которых серверное оборудование защищено практически от всех внешних повреждающих факторов.

«Умные» системы видеонаблюдения, датчики объемного слежения (акустические, инфракрасные, ультразвуковые, микроволновые), СКУД снизили риски, но не решили всех проблем. Эти средства не помогут, например, когда правильно допущенные в ЦОД люди с правильно пронесенным инструментом что-нибудь «зацепят».

На работе дата-центра может сказаться нецелевое использование персоналом его ресурсов, например нелегальный майнинг. Помочь в этих случаях могут системы управления инфраструктурой ЦОДа (DCIM).

Защиты требует и сам персонал. Целевые атаки профессиональных преступников чаще всего начинаются с использования методов социальной инженерии. Что подобные риски можно минимизировать, обу­чая персонал и внедряя лучшие мировые практики в области информационной безопасности.

Защита инженерной инфраструктуры

Традиционные угрозы функционированию дата-центра — сбои электропитания и отказы систем охлаждения. К таким угрозам уже привыкли и научились с ними бороться.

Новой тенденцией стало повсеместное внедрение «умного» оборудования, объединенного в сеть: управляемые ИБП, интеллектуальные системы охлаждения и вентиляции, разнообразные контроллеры и датчики, подключенные к системам мониторинга. При построении модели угроз ЦОДа не стоит забывать о вероятности атаки на сеть инфраструктуры (а, возможно, и на связанную с ней ИТ-сеть ЦОДа). Усугубляет ситуацию то, что часть оборудования, например чиллеры, может быть вынесена за пределы ЦОДа, скажем, на крышу арендуемого здания.

Если дата-центр предоставляет услуги не только по модели colocation, то придется заниматься защитой облаков. По данным Check Point, только в прошлом году 51% организаций по всему миру столкнулись с атаками на облачные структуры. DDoS-атаки останавливают бизнес, вирусы-шифровальщики требуют выкуп, целевые атаки на банковские системы приводят к хищению средств с корсчетов. Угрозы внешних вторжений беспокоят и специалистов по информационной безопасности дата-центров. Наиболее актуальны для ЦОДов распределенные атаки, нацеленные на прекращение предоставления услуг, а также угрозы взлома, кражи либо изменения данных, содержащихся в виртуальной инфраструктуре или системах хранения.

Для защиты внешнего периметра ЦОДа служат современные системы с функциями выявления и нейтрализации вредоносного кода, контроля приложений и возможностью импорта технологии проактивной защиты Threat Intelligence. Некоторые пользователи разворачивают системы с функционалом IPS (предотвращения вторжений) c автоматической подстройкой сигнатурного набора под параметры защищаемого окружения.

Для защиты от DDoS-атак российские компании, как правило, используют внешние специализированные сервисы, которые уводят трафик на другие узлы и фильтруют его в облаке. Защита на стороне оператора выполняется гораздо эффективнее, чем на стороне клиента, а ЦОДы выступают в качестве посредников по продаже услуг.

В ЦОДах возможны и внутренние DDoS-атаки: злоумышленник проникает на слабо защищенные серверы одной компании, размещающей свое оборудование по модели colocation, и с них по внутренней сети проводит атаку «отказ в обслуживании» на других клиентов этого дата-центра.

Внимание виртуальным средам

Нужно учитывать специфику защищаемого объекта — использование средств виртуализации, динамичность изменения ИТ-инфра­струк­тур, взаимосвязанность сервисов, когда успешная атака на одного клиента может угрожать безопасности соседей. Например, взломав front-end докер при работе в PaaS на базе Kubernetes, злоумышленник сразу может получить всю парольную информацию и даже доступ к системе оркестрации.

Продукты, предоставляемые по сервисной модели, имеют высокую степень автоматизации. Чтобы не мешать бизнесу, не меньшую степень автоматизации и горизонтального масштабирования должны иметь наложенные средства защиты информации. Масштабирование должно обеспечиваться на всех уровнях ИБ, включая автоматизацию контроля доступа и ротацию ключей доступа. Особняком стоит задача масштабирования функциональных модулей, осуществляющих инспекцию сетевого трафика. Например, фильтрация сетевого трафика на прикладном, сетевом и сеансовом уровнях в ЦОДах с высокой степенью виртуализации должна выполняться на уровне сетевых модулей гипервизора (например, Distributed Firewall компании VMware) либо путем создания цепочек сервисов (виртуальные межсетевые экраны от Palo Alto Networks).

При наличии слабых мест на уровне виртуализации вычислительных ресурсов усилия по созданию комплексной системы информационной безопасности на уровне платформы будут затрачены впустую.

Уровни защиты информации в ЦОДе

Общий подход к защите — использование интегрированных, многоуровневых систем обеспечения ИБ, включающих макросегментацию на уровне межсетевого экрана (выделение сегментов под различные функциональные направления бизнеса), микросегментацию на базе виртуальных межсетевых экранов или маркирования метками трафика групп (ролей пользователей или сервисов), определенных политиками доступа.

Читать еще:  Политика безопасности сети

Следующий уровень — выявление аномалий внутри сегментов и между ними. Анализируется динамика трафика, которая может свидетельствовать о наличии вредоносных активностей, таких как сканирование сети, попытки DDoS-атак, скачивание данных, например путем нарезки файлов базы данных и вывода их периодически появляющимися сессиями через длительные промежутки времени. Внутри ЦОДа проходят гигантские объемы трафика, так что для выявления аномалий нужно использовать продвинутые алгоритмы поиска, причем без пакетного анализа. Важно, чтобы распознавались не только признаки вредоносной и аномальной активности, но и работа вредоносного ПО даже в зашифрованном трафике без его расшифровки, как это предлагается в решениях Cisco (Stealthwatch).

Последний рубеж — защита оконечных устройств локальной сети: серверов и виртуальных машин, например, с помощью агентов, устанавливаемых на оконечные устройства (виртуальные машины), которые анализируют операции ввода-вывода, удаления, копирования и сетевые активности, передают данные в облако, где и проводятся требующие больших вычислительных мощностей расчеты. Там производится анализ с помощью алгоритмов Big Data, строятся деревья машинной логики и выявляются аномалии. Алгоритмы самообучаются на базе огромного количества данных, поставляемых глобальной сетью сенсоров.

Можно обойтись и без установки агентов. Современные средства защиты информации должны быть безагентными и интегрироваться в операционные системы на уровне гипервизора.

Перечисленные меры значительно снижают риски информационной безопасности, но этого может быть недостаточно для дата-центров, обеспечивающих автоматизацию производственных процессов повышенной опасности, например, атомных станций.

Эксперты «Московского завода «Физприбор», разрабатывающего аппаратные системы противоаварийной защиты (ПАЗ) для атомных станций, предлагают отделить автоматизированную систему безопасности от системы АСУ ТП. Системы верхнего уровня могут использовать программно определяемые устройства, гиперконвергентные системы — в общем, все возможности современных информационных технологий. А система ПАЗ, не позволяющая ни при каких условиях произойти аварии, будет работать по жестко заданному неизменяемому алгоритму, задействуя максимально упрощенные и надежные контроллеры.

В зависимости от обрабатываемой информации физические и виртуализованные инфраструктуры дата-центра должны удовлетворять разным тре­бованиям по безопасности, сформулированным в законах и отраслевых стандартах.

К таким законам относится закон «О персональных данных» (152-ФЗ) и вступивший в этом году в силу закон «О безопасности объектов КИИ РФ» (187-ФЗ) — прокуратура уже стала интересоваться ходом его выполнения. Споры о принадлежности ЦОДов к субъектам КИИ еще идут но, скорее всего, дата-центрам, желающим предоставлять услуги субъектам КИИ, придется выполнять требования нового законодательства.

Непросто придется ЦОДам, размещающим у себя государственные информационные системы. Согласно Постановлению Правительства РФ от 11.05.2017 № 555 вопросы информационной безопасности следует решить до ввода ГИС в промышленную эксплуатацию. Соответственно ЦОД, который хочет размещать у себя ГИС, заранее должен соответствовать требованиям регуляторов.

За последние 30 лет системы обеспечения безопасности ЦОДов проделали огромный путь: от простых систем физической защиты и организационных мер, не потерявших, впрочем, своей актуальности, к сложным интеллектуальным системам, в которых все чаще используются элементы искусственного интеллекта. Но суть подхода при этом не поменялась. Самые современные технологии не спасут без организационных мер и обучения персонала, а бумаги — без программных и технических решений. Безопасность ЦОДа нельзя обеспечить раз и навсегда, это постоянный ежедневный труд по выявлению первоочередных угроз и комплексному решению возникающих проблем.

Обеспечение информационной безопасности ЦОД и дата-центров

Современные системы информационной безопасности ЦОД отличаются от тех, которые использовались 30 лет назад. На смену простым физическим мерам защиты пришли сложные технологии с использованием искусственного интеллекта. Не изменилась лишь суть подхода: он по-прежнему комплексный и все так же предполагает организационные мероприятия и обучение персонала.

Роль Банка России в регулировании системы безопасности ЦОД

Информационные системы банков подвергаются атакам злоумышленников в первую очередь, ведь речь идет о больших деньгах. Неудивительно, что инициатива о внедрении дополнительных уровней защиты данных исходит от финансовых структур, которые разрабатывают стандарты безопасности, подходящие для других отраслей.

Так, в 2010 г. появился первый отраслевой стандарт обеспечения информационной безопасности СТО БР ИББС-1.0-2010. Он включает комплекс документов Банка России, в которых описан единый подход к построению системы безопасности организаций банковской сферы с учетом российского законодательства. Стандарт распространяется и на дата-центры коммерческих банков.

Для внедрения и поддержания информационной безопасности, согласно Стандарту, необходимо реализовать четыре процесса:

  • планирование;
  • реализацию;
  • мониторинг и анализ (проверку);
  • поддержку и улучшение (совершенствование).

В Стандарте указаны основные источники угроз информационной безопасности, а также сформулированы требования к системе ИБ – при управлении доступом и регистрацией, при использовании ресурсов интернета, при применении средств криптографической защиты данных. Перечислены и требования к обеспечению работы банковских платежных и информационных процессов, а также множество других моментов, регламентирующих работу банковской системы ИБ на всех уровнях.

Законодательство о защите ЦОД

Требования, предъявляемые к ЦОД, представлены в таких нормативных документах:

  • ФЗ-152 «О персональных данных» от 26 июля 2006 г.

Согласно закону, операторы персональных данных (организации и физлица, имеющие дело с персональными данными) обязаны выполнить ряд требований по их сохранности.

Поправка от 2011 г. наделила Банк России правами разрабатывать отраслевые нормативные документы по отдельным вопросам обработки персональных данных, после чего Стандарт СТО БР ИББС был узаконен в качестве отраслевого.

№ 21 от 18 февраля 2013 г. «О мерах по обеспечению безопасности персональных данных во время их обработки в ИС»;

№ 17 от 11 февраля 2013 г. «О требованиях к защите информации в государственных ИС, которая не составляет государственной тайны»;

№ 31 от 14 марта 2014 г. «О требованиях к защите информации на критически важных и потенциально опасных объектах».

  • Приказ ФСБ России № 378 от 10 июля 2014 г. «О требованиях к криптографической защите информации».
  • Федеральный закон ФЗ-256 от 21 июля 2011 г. «О безопасности объектов топливно-энергетического комплекса».
  • Требования Банка России – в соответствии с положениями стандарта СТО БР ИББС-1.0-2010.

В чем актуальность защиты ЦОД

Центры обработки данных – это сложная иерархическая система, которая включает комплекс IT-решений и реализуется на базе высокотехнологичного оборудования. Как хранилище ценной информации ЦОД часто подвергаются атакам и противоправным действиям, поэтому одна из составляющих иерархии – система безопасности. Она направлена на защиту следующих компонентов системы:

  • информационных ресурсов;
  • процессов сбора, обработки, хранения и передачи данных;
  • пользователей и обслуживающего персонала;
  • информационной инфраструктуры – технических и программных средств, в том числе каналов информационного обмена и системы защиты помещений.

Сфера ответственности ЦОД

ЦОД предоставляет клиентам услуги на основе одной из распространенных моделей:

  • Colocation – размещение и подключение к каналам связи серверного или другого оборудования клиента в ЦОД или дата-центре.
  • IaaS (Infrastructure-as-a-Service – инфраструктура как услуга). Потребитель может самостоятельно управлять предоставляемыми сервисами.
  • PaaS (Platform-as-a-Service – платформа как услуга). Клиенты используют облачную инфраструктуру поставщика для установки собственного программного обеспечения. Доступ к управлению имеет только провайдер, который задает набор доступных потребителю настроек, платформ и услуг.
  • SaaS (Software-as-a-Service – программное обеспечение как услуга). Поставщик сервиса использует свое интернет-приложение и предоставляет возможность пользоваться им через интернет. Клиенты не платят за обновление, установку и обслуживание аппаратного и программного обеспечения

Зона ответственности ЦОД

Комментарий: В модели SaaS за все отвечает провайдер: от помещения и персонала до платформы и приложений. В модели PaaS за приложения отвечает клиент, в IaaS – помимо приложений клиент отвечает еще за данные и за платформу. В модели Colocation зона ответственности клиента гораздо обширнее, чем провайдера.

Согласно закону ФЗ-152, ответственность за сохранность персональных данных несет оператор – арендатор места в ЦОД или облачном ресурсе. Заказчик может делегировать часть ответственности провайдеру. В таких случаях в договоре закрепляется объем регламентных работ и технических мер по защите, которые обязан выполнить провайдер.


Модели угроз и нарушителей информационной безопасности

Чтобы разработать эффективную политику информационной безопасности, сформулировать первоочередные задачи и спланировать бюджет, необходимо проанализировать риски и четко определить, откуда исходит потенциальная угроза.

Существуют несколько моделей угроз и нарушителей, прописанных в Стандарте СТО БР ИББС-1.0-2010:

  • неблагоприятные события природного, техногенного и социального характера;
  • террористы, криминальные элементы;
  • зависимость от провайдеров, партнеров, клиентов;
  • сбои в работе, отказы, повреждения программных и технических средств;
  • внутренний фактор (сотрудники ЦОД, использующие легально предоставленные им полномочия с неправомерной целью);
  • попытки нелегального использования прав и полномочий сотрудниками ЦОД;
  • попытки несанкционированного доступа и неразрешенных действий;
  • несоответствие информационной системы требованиям надзорных и регулирующих органов, действующему законодательству.

Что включает в себя защита информационных систем

Залог эффективной системы безопасности – слаженная работа специалистов по ИБ и персонала ЦОД. Поэтому пристальное внимание уделяется письменному закреплению отраслевых стандартов и требований. Документация помогает мотивировать сотрудников центра действовать согласно указаниям экспертов по безопасности.

2. Защита помещений

Эта услуга выходит на первый план в модели Colocation. Оборудование клиента защищают с помощью выгородок: огороженных частей зала, которые находятся под постоянным видеонаблюдением. Доступ персонала ЦОД к ним ограничен.

Сегодня с этой целью используют:

  • интеллектуальные системы контроля доступа;
  • биометрические методы, например контроль входа по руке или сканирование человека;
  • безопасные установки пожаротушения тонкораспыленной водой;
  • системы раннего обнаружения пожара аспирационного типа;
  • комнаты и сейфы безопасности для защиты дата-центров от внешних угроз (пожаров, взрывов, затоплений, обрушений зданий и др.).

3. Учет человеческого фактора

Атаки систем безопасности включают методы социальной инженерии, направленные на персонал ЦОД. Эти риски также можно минимизировать путем обучения сотрудников и внедрения мировых практик. Подобные мероприятия также предупредят нецелевое использование ресурсов дата-центра персоналом.

4. Предотвращение сбоев электропитания и отказа системы охлаждения

Достигается внедрением «умного» оборудования, объединенного в сеть. В нее входят управляемые источники бесперебойного питания, интеллектуальные системы охлаждения и вентиляции, другие составляющие промышленной автоматизации, в том числе набор контроллеров и датчиков, подключенных к системе мониторинга.

5. Защита каналов связи

Актуально для дата-центров, которые предоставляют услуги по моделям IaaS, PaaS, SaaS. Более половины организаций этого сегмента сталкиваются с атаками облачных структур, а в случае с банковскими системами речь идет о хищении крупных средств с корпоративных счетов. Для защиты используют системы с функцией выявления и нейтрализации вредоносного кода. Есть и другие эффективные методы, например перенаправление трафика на другие узлы и его фильтрация в облаке специализированных внешних сервисов.

Уровни защиты в ЦОД

Полноценная защита ЦОД предполагает использование интегрированной многоуровневой системы обеспечения ИБ.

  • Первый уровень – разделение на макро- и микросегменты, которые охватывают разные функциональные направления бизнеса, группы пользователей, сервисы.
  • Второй – выявление аномалий внутри сегментов и между ними, обеспечение безопасности на уровне гипервизора и сетевом. Для анализа трафика используют продвинутые алгоритмы поиска, способные распознать признаки вредоносной и аномальной активности, а также наличие вредоносного ПО в зашифрованном трафике.
  • Финишный рубеж – защита оконечных устройств (серверов, виртуальных машин) с помощью специальных агентов или безагентным способом.
Читать еще:  Нужен ли антивирус на андроид смартфон

На объектах с производственными процессами повышенной опасности этих уровней может быть недостаточно. Но для большинства дата-центров они существенно повышают степень информационной безопасности при условии грамотной разработки и внедрения.

Центры обработки данных и их безопасность

По мере большого скачка эффективности роста IT -технологий, люди все больше и больше задумываются о трансформации своего бизнеса. Организации не только занимаются внедрением ИТ для своих основных операций, но и вовлекают в работу автоматизацию и робототехнику. Наше время близко к тому, что робототехника, благодаря своему искусственному интеллекту, может полностью заменить людей. Что стоит за всеми этими изменениями?

Сегодня ИТ-гиганты, такие как Amazon, Alphabet (материнская компания Google), Apple, Microsoft и Facebook, имеют петабайты данных пользователей и их деятельности. Эти компании контролируют и монополизируют рынок. Несмотря на монополию, услуги, предлагаемые этими ИТ-гигантами, сделали повседневную жизнь несколько легче. Сколько из нас выберет жизнь без Google Search, Amazon One Day Delivery или новостной ленты Facebook. Хотя эти услуги кажутся бесплатными, пользователи непреднамеренно платят, предоставляя свои личные данные. Эти данные уточняются в своих центрах обработки данных и используются в коммерческих целях, поэтому в конце концов ничего не происходит.

Объект центра обработки данных может содержать сетевую компьютерную систему, телекоммуникационное оборудование, системы передачи данных и резервное питание. Он также имеет средства контроля окружающей среды, такие как кондиционирование воздуха, контроль температуры, подавление огня и фильтрация воздуха. Концепция центров обработки данных начала приобретать популярность в 1990-х годах, когда микрокомпьютеры начали расти и создавались мейнфреймы, которые начали занимать отдельные помещения. Эти серверные комнаты можно было назвать первыми центрами обработки данных, однако они полностью отличались от современных центров.

В 2002 году Amazon приступила к разработке своих веб-сервисов на облаке, включая функции хранения и вычисления. Усилия Amazon дали свои плоды для коммерческого предложения в 2006 году в виде веб-сервисов. За это время облачные вычисления стали привлекать внимание предприятия. Опираясь на огромную мощь своих центров обработки данных, Google начал предлагать приложения на основе браузера в 2009 году как для коммерческого, так и для личного использования, что стало очередным толчком в облачных вычислениях. В 2013 году Google инвестировала 7,35 млрд долларов в расширение своей глобальной сети центров обработки данных. Это были, пожалуй, самые большие капитальные затраты в истории центров обработки данных.

Как влияют центры обработки данных на нашу повседневную жизнь?

Их роль в повседневной жизни обычно остается незамеченной. Центры обработки данных работают за кадром круглосуточно, поэтому мир вокруг нас выглядит «связанным», упорядоченным. Для достижения этого потребовались десятилетия усилий по работе и управлении потоком информации. Но факт гарантии безопасности данных все же оставался под вопросом. Google первоначально собирал пользовательские данные для рекламных целей. Позже, с расширением услуг, новых продуктов, аналитики и интеллекта эти данные стали самым ценным достоянием для него. В то время никто не понимал, насколько велика прибыль, основанная на персонализированной рекламе. Сделайте быстрый поиск продукта на каком-нибудь коммерческом веб-сайте, и этот продукт будет следить за Вами в каждом онлайн-объявлении и на сайтах, которые Вы посещаете. Это огромная сила данных, которые проходят через сложные алгоритмы в центрах обработки данных.

«О чем ты думаешь?» — этот вопрос не задан специально на вашей странице Facebook. Вы просто делитесь на своей странице о своих планах, и моментально реклама, уже связанная неким образом с ними будет Вас преследовать. Хотите отпуск в Италии? Поделились своими планами на Facebook, ввели несколько запросов в Google? Ну, этого будет вполне достаточно, веб-реклама начала следовать за вами по всему Интернету. Одновременно это и удобно и немного тревожно. Благодаря цифровым значениям, обрабатываемым в центрах обработки данных, они знают все о Вас и о том, что Вы делаете. В настоящее время, вероятно, ни один коммерческий веб-сайт не является исключением, когда речь заходит о том, чтобы вычислять ваши цифровые «следы». Данные, полученные миллионами пользователей, хранятся и обрабатываются в центрах обработки данных для предоставления ими же продуктов и услуг. Помимо коммерческих услуг, огромный объем данных также создается метеорологическими датчиками, спутниками, ядерными реакторами, финансовыми операциями, военными операциями и другими государственными усилиями. Все это стало возможным благодаря интеллектуальным программам, работающим на серверах центров обработки данных.

Безопасность в центрах обработки данных

Люди, работающие на нефтеперерабатывающем заводе, знают важность безопасности. Они понимают, как одна искра может взорвать весь объект, который может не только понести огромные потери, но и стоить жизни человека и последствия для окружающей среды. Как и нефтеперерабатывающий завод, центр обработки данных не может пойти на компромиссы с безопасностью. Данные не загорятся, как нефть, но искра нарушения безопасности может привести к тому, что целая система встанет на колени, затронет миллионы людей и даже ставит под угрозу национальную безопасность. Например: NSA имеет огромные данные, связанные с национальной безопасностью Соединенных Штатов Америки, если они попадают под угрозу, может стоить жизни людей. Другой пример: если злонамеренный пользователь получает доступ к системе управления ядерным реактором и манипулирует процедурами безопасности, он может оказаться следующим Чернобылем.

Все меры безопасности центра обработки данных фактически реализованы для защиты данных. Защита данных является основной причиной всех усилий по обеспечению безопасности. Физическая безопасность также имеет огромное значение и должна быть реализована в качестве меры первой степени для защиты центра обработки данных от угроз. Физическая безопасность не только отводит потенциальных злоумышленников, но и защищает объект и ресурсы от стихийных бедствий, террористических атак, кибер-атак, вандализма, краж, саботажа и других злонамеренных действий. Физическая безопасность работает лучше, когда реализована в несколько слоев, так что возможная угроза должна проходить через различные уровни контрмер до получения доступа или контроля ресурсов.

Внешние и внутренние угрозы безопасности центров обработки данных

Внешние угрозы создаются внешним лицом или лицом, у которого нет законного доступа к центру обработки данных или его ресурсам. Если внешняя угроза приходит через компьютерные сети (например из Интернета), она может возникнуть из любой точки мира. Меры безопасности должны иметь возможность отслеживать угрозу и смягчать ее, чтобы предотвратить ее возникновение в будущем. Внешние угрозы могут быть смягчены с помощью подхода, основанного на оценке риска к физической безопасности, где все угрозы и потери анализируются с их потенциальной вероятностью.

Физическая безопасность также учитывает внутренние или инсайдерские угрозы, которые могут представлять большой риск для безопасности центров. Внутренние угрозы обычно возникают у людей, которые уже имеют определенный уровень доступа к объекту. Внутренние угрозы не всегда могут быть преднамеренными. Сотрудники могут компрометировать конфиденциальную информацию, даже не зная об этом. По данным американской группы реагирования в чрезвычайных ситуациях (US-CERT), около 40 процентов нарушений в сфере ИТ-безопасности совершаются своими же сотрудниками. Контрмеры безопасности должны иметь возможность рассматривать, как преднамеренные, так и непреднамеренные инциденты.

Важность проверки подлинности в ЦОД

Центры обработки данных часто выглядят не особо заметно, дабы не привлекать к себе внимание. Обычно это малоэтажные здания с маленькими вывесками или совсем без вывесок. Но когда дело доходит до безопасности – идентификация, аутентификация и ограничение уровня доступа являются обязательным процессом для сотрудников и посетителей персонала центра обработки данных. Все сотрудники должны носить значок для идентификации и показывать уровень доступа. Непрерывно ведутся видео- и аудиозаписи всего персонала центра. Идентификация и аутентификация играют жизненно важную роль во всех усилиях по обеспечению безопасности центра обработки данных. Чтобы пользователи могли получить доступ к объекту, им могут быть предоставлены следующие, к примеру, способы аутентификации:

  • · PIN-коды, пароли, вопросы безопасности, комбинации блокировок относятся к этой категории. Они дешевы для реализации, но представляют собой несанкционированный доступ к рискам, если кто-то другой приобретет эти знания.
  • · Карты, ключей, значков и карт доступа подпадает под эту категорию. Этот метод можно использовать для доступа к менее чувствительным объектам. Недостатком этого метода аутентификации является то, что люди могут потерять их, а также они могут быть использованы неавторизованным лицом для доступа к системе или объекту.
  • · Физиологические: структура лица, радужная оболочка глаза, сетчатка, отпечатки пальцев, ДНК, голос и походка. Метод аутентификации, основанный на любом из этих или их комбинаций, называется биометрией.

Биометрическая аутентификация для центра обработки данных

Биометрия может значительно улучшить всю практику аутентификации и управления идентификацией в области безопасности ЦОД. Биометрическая аутентификация не зависит от владения информацией или физическими предметами, такими как коды доступа или карты доступа. Это уникальный естественный измеримый шаблон, который не изменяется со временем и может использоваться как доверенный аутентификатор. Дублирование физиологических и поведенческих характеристик является практически невозможным.

Биометрия может использоваться на всех уровнях безопасности, где требуется идентификация, аутентификация или процедура блокировки-разблокировки: доступ к серверу, в определенные помещения и т.д. Системы управления оснащены возможностью мониторинга в реальном времени попыток блокировки / разблокировки, предупреждений о безопасности и возможности создания контрольных маршрутов. Биометрический доступ к серверам может помочь предотвратить инсайдерские угрозы. Для высшей меры безопасности биометрическое сканирование необходимо вводить в контролируемую область или систему, и если отсканированный объект исследования соответствует тому, что хранится в базе системы – человек получает доступ к объекту.

Мир теперь управляется данными и обойтись без центров обработки данных, которые управляют этим огромным объемом информации, будет невозможно. Центры обработки данных не только хранят эти данные, но и помогают расшифровать их. Датчики погоды и спутники производят огромное количество данных, и только после обработки этих данных прогнозируются прогнозы погоды. Если ураганы и цунами достигают нас непредсказуемо, они будут стоить жизни людей и огромные потери. Мы зависимы уже от этой огромной системы, и наша безопасность, напрямую зависит от того, насколько правильно и точно центры обработки данных функционируют. Именно поэтому центры обработки данных становятся заманчивой мишенью для злоумышленников. Поэтому безопасность центров обработки данных является исключительно важной.

Ссылка на основную публикацию
Adblock
detector
×
×