Все знают, что информационная безопасность — это состояние защищенности, при котором обеспечиваются три характеристики: конфиденциальность, целостность и доступность информации. Облачные вычисления в этом смысле не отличаются новизной — обеспечение безопасности облачной среды предполагает, с одной стороны, полную доступность облака для легитимного пользователя из любой точки и в любое время, а с другой — конфиденциальность облачных данных для злоумышленника. При этом необходимо обеспечить целостность данных (например, невозможность их изменения тем же провайдером, от которого тоже надо защищаться).

Одним из тормозящих факторов развития облачных систем в России до сих пор является отсутствие уверенности потенциальных заказчиков в безопасности облаков. В чем же особенности безопасности облачных сред, если облака строятся на тех же ИТ, для которых имеются отработанные методики защиты? Ответ лежит на поверхности. В облачной среде появляются новые объекты и новая модель потребления ресурсов, это создает новые угрозы и требует новых методов защиты.

Облака по NIST’у

Для того чтобы понять, какие именно объекты появляются, опишем базовые принципы облачной среды. Мы предлагаем опираться на определение NIST (National Institute of Standards and Technology — Национальный институт стандартов и технологий США).

NIST в своем документе “The NIST Definition of Cloud Computing” определяет следующие характеристики облаков:

  • возможность самообслуживания без участия человека со стороны провайдера;
  • наличие широкополосного доступа к сети;
  • сосредоточенность ресурсов на отдельных площадках для их эффективного распределения;
  • быстрая масштабируемость — ресурсы могут неограниченно выделяться и высвобождаться с большой скоростью в зависимости от потребностей;
  • управляемый сервис — система управления облаком автоматически контролирует и оптимизирует выделение ресурсов, основываясь на измеряемых параметрах сервиса (размер системы хранения, ширина полосы пропускания, число активных пользователей и т. д.).

При этом выделяются три сервисные модели:

  • SaaS (Software as a Service) — приложение как услуга;
  • PaaS (Platform as a Service) — платформа как услуга;
  • IaaS (Infrastructure as a Service) — инфраструктура как услуга.

А также четыре модели развертывания облаков:

  • частное облако (private cloud);
  • публичное облако (public cloud);
  • гибридное облако (hybrid cloud);
  • коллективное облако (community cloud).

Особенности и объекты облачных технологий

Говоря об облачной инфраструктуре, нужно учитывать несколько ее особенностей с точки зрения информационной безопасности.

Во-первых, наличие системы самообслуживания. Основной риск, который появляется с возможностью потребителя управлять выделенными ресурсами облака без участия провайдера, — это риск нарушения безопасности всего облака через выделенный пул ресурсов. Для нивелирования этого риска используются средства защиты в виде межсетевых экранов, которые разграничивают выделенные пулы ресурсов между разными потребителями на уровне системы виртуализации. Таким образом, потребители сервиса не могут повлиять на работоспособность самого облака и не могут создать угрозу безопасности друг друга. То же самое касается системы управления облачной инфраструктурой, ее надо защищать как от внешних злоумышленников, так и от потребителей ресурсов, поскольку у последних априори больше прав доступа.

Во-вторых, облачные технологии, в силу необходимости быть доступными “отовсюду”, обязаны иметь выход в сеть общего доступа (Интернет), вследствие чего число потенциальных злоумышленников резко возрастает, а также упрощается возможность проведения атак (не требуется преодолевать физические преграды). В таком случае единственной преградой между злоумышленником и конфиденциальными данными, как правило, является система аутентификации и авторизации. Помимо того, что механизмы аутентификации должны быть надежными, для отражения атак также необходимо обязательное использование средств обнаружения и предотвращения вторжений (IDS/IPS). Такие средства позволяют отразить сетевые атаки на сервисы и в большинстве случаев атаки типа “отказ в обслуживании” (DoS, Denial of Service). Также одним из наиболее серьезных решений для защиты доступа к облаку из Интернета является технология создания шифрованных туннелей (VPN и SSL VPN).

В-третьих, появляется система управления облачной инфраструктурой в условиях сосредоточенности ресурсов на площадках. При получении доступа к системе управления компрометируется большой объем ресурсов, находящихся на площадке. Поэтому систему управления необходимо защищать с особым вниманием. Для защиты системы управления имеются сторонние средства защиты с функциями дополнительного контроля доступа к настройкам облачной среды, а также средства усиленной аутентификации и, как ни странно, физической защиты рабочего места управления.

Зоны ответственности

Важным вопросом безопасности облачных сред является разделение ответственности при разных сервисных моделях. Рассмотрим все три сервисные модели.

IaaS

При данной модели потребителю облака предлагается готовая инфраструктура, на которой он имеет возможность разворачивать платформы и приложения. В таком случае защиту платформ и приложений обеспечивает сам потребитель, а провайдер облака должен организовать защиту инфраструктуры. Если это перевести на язык методов защиты, то провайдер должен обеспечить:

  • надежный контроль доступа к самой инфраструктуре;
  • отказоустойчивость инфраструктуры.
  • При этом потребитель облака берет на себя намного больше функций по защите:
  • межсетевое экранирование в рамках инфраструктуры;
  • защиту от вторжений в сеть;
  • защиту операционных систем и баз данных (контроль доступа, защита от уязвимостей, контроль настроек безопасности);
  • защиту конечных приложений (антивирусная защита, контроль доступа).

Таким образом, большая часть мер по защите ложится на плечи потребителя. Провайдер может предоставить типовые рекомендации по защите или готовые решения, чем упростит задачу конечным потребителям.

PaaS

Когда облако для заказчика представлено в виде платформы, на которой остается развернуть необходимые приложения, провайдер обязан дополнительно к защите инфраструктуры обеспечить защиту самих платформ самостоятельно. Таким образом, потребитель должен позаботиться об обеспечении защиты приложений, которые будут развернуты на предоставленных платформах, что тоже не всегда является тривиальной задачей.

SaaS

Данная модель, как известно, предполагает доступ к приложениям как к сервису. То есть провайдер защищает теперь и приложения, беря на себя ответственность за защиту всего стека. Ответственность на конечном пользователе лежит только за сохранность параметров доступа (логинов, паролей и т. д.) и выполнении рекомендаций провайдера по безопасным настройкам приложений.

Регулятивные требования

Несмотря на сложности с информационной безопасностью, популярность облаков в России растет, и это вполне естественно. Провайдеры активно разрабатывают и продвигают защищенные облачные решения, повышая доверие бизнеса к этим технологиям.

Однако в связи с ростом популярности возникает новый очень важный вопрос — как соответствовать регулятивным требованиям по защите информации в новых облачных реалиях. Ведь никуда не исчезли требования, например, Федерального закона № 152 “О персональных данных” и Стандарта Банка России СТО БР ИББС.

На текущий момент регуляторы не имеют четких рекомендаций и требований по защите облачных сред. Вопрос защиты облаков пока решается в рамках существующих, не учитывающих облачную модель, способов. То есть реализуются все типовые подсистемы безопасности, при необходимости в сертифицированном по требованиям регулятора исполнении.

Справедливости ради надо признать, что российские регуляторы озабочены вопросом защиты облачных и виртуальных сред и заявляют, что в обозримом будущем появятся рекомендации и требования, учитывающие современные ИТ.

Автор статьи — руководитель группы ИБ в IBS Platformix