Как сделать «облака» безопасными
Классификация проблем безопасности в Cloud-сервисах
Корпоративные Cloud-сервисы: продолжаем декомпозицию
Платформа: проблемы доверия и функциональности
Endpoint: трудности остаются… и даже возрастают
Концепция «облачных» вычислений (Cloud Computing), которой грезит едва ли не вся современная ИТ-общественность, имеет массу неоспоримых преимуществ по сравнению с традиционными моделями распространения и использования программного обеспечения (ПО). Но для того, чтобы концепция Cloud Computing стала доминировать на рынке, ей необходимо пройти долгий путь в плане не только технологий, но и восприятия потенциальными заказчиками. Пока же большинству из них Cloud Computing кажется интересной, но не слишком безопасной идеей.
Если посмотреть на эволюцию идеи Cloud Computing (которая, кстати, значительно старше, чем кажется), то можно увидеть ее тесную взаимосвязь с вопросами информационной безопасности. Как справедливо указывает основатель и главный технолог компании Enomaly (разработчик программных Cloud-платформ) Рювен Коэн (Reuven Cohen), концепция Cloud Computing впервые была реализована киберпреступниками, которые создавали «варезные» сети еще лет десять назад. Прошло немало времени, прежде чем Cloud Computing стала применяться в мирных целях, и только сейчас эта технология приближается к начальной стадии зрелости.
Определяем «облако»
Прежде чем говорить о современных аспектах безопасности в Cloud Computing, уместно дать формальное определение этой концепции. Единое и общепризнанное определение «облачных» вычислений отсутствует в ИТ-отрасли до сих пор, и каждый эксперт, аналитик и просто рядовой пользователь подразумевает под термином Cloud Computing что-то свое.
Чтобы дать точное определение, необходимо сделать шаг от общего к частному. С высоты птичьего полета «облачные» вычисления — это концепция, в рамках которой различные вычислительные ресурсы (будь то приложения, платформы или инфраструктуры) предоставляются пользователям через Интернет. Именно в этом, казалось бы, весьма общем определении сосредоточена суть Cloud Computing.
Однако на практике использовать такую дефиницию не очень удобно — в силу ее абстрактности и общности. При желании под это определение можно подогнать практически всё, что хоть как-то связано с Интернетом. Поэтому определение необходимо конкретизировать, и, чтобы сделать это, посмотрим на него с позиции научно-экспертного сообщества.
В фундаментальной работе «Above the Clouds», опубликованной исследовательской лабораторией RAD Lab Университета Беркли (Калифорния), указаны три типичных признака Cloud Computing:
- иллюзия бесконечных, доступных по требованию (on-demand) ресурсов;
- возможность изменить уровень потребления ресурсов практически мгновенно;
- возможность оплатить использование ресурсов в краткосрочный период в соответствии с выбранным уровнем потребления.
Технические особенности построения Cloud-платформ, такие как виртуализация, глобальная распределенность и масштабируемость, не являются характеристиками «облачных» вычислений, а всего лишь позволяют реализовать эту парадигму на практике. В частности, применение технологий виртуализации помогает добиться той самой «иллюзии бесконечных ресурсов», о которой говорилось выше.
Ключевой характеристикой любого Cloud-сервиса является тип ресурсов, которые предоставляются пользователю через Интернет. В зависимости от того, какие именно ресурсы предоставляются, все сервисы можно распределить на несколько категорий (рис. 1). Каждая из них носит название *aaS, где звездочка может быть заменена на буквы S, P, I или D, а аббревиатура aaS означает выражение as-a-Service («как услуга»).
Рис. 1. Онтология Cloud-сервисов (на основе работы: Lamia Youseff. Toward a Unified Ontology
of Cloud Computing// http://www.cs.ucsb.edu/~lyouseff/CCOntology/CloudOntology.pdf)
Итак, Cloud Computing — это концепция предоставления ресурсов через Интернет, обладающая тремя указанными выше фундаментальными признаками. В качестве типа предоставляемого ресурса может выступать программное обеспечение (SaaS), платформа (PaaS), инфраструктура (IaaS) или ресурсы хранилища (DaaS).
Классификация проблем безопасности в Cloud-сервисах
Практически каждый отраслевой эксперт, рассуждающий на тему безопасности Cloud Computing, делает это с точки зрения своих представлений о сути «облачных» вычислений. В результате, после изучения множества опубликованных материалов на эту тему, может сформироваться впечатление отсутствия какой-либо систематизации. Вопросы безопасности Skype, типичного консьюмерского Cloud-сервиса, перемешиваются с бизнес-аспектами внедрения SaaS, а технология Microsoft Live Mesh уже становится головной болью предприятий, которые даже не планировали ее применять. Поэтому представляется весьма логичным провести декомпозицию проблем безопасности Cloud Computing на несколько высокоуровневых категорий. В итоге все аспекты безопасности Cloud-сервисов могут быть рассмотрены в рамках одного из четырех наиболее значимых аспектов:
- проблемы безопасности консьюмерских Cloud- и Web 2.0-сервисов — как правило, эти проблемы сводятся не столько к безопасности, сколько к теме приватности и защиты персональных данных. С подобными проблемами сталкивается большинство крупных провайдеров интернет-сервисов — достаточно вспомнить периодические обвинения в слежке за пользователями, которые раздаются в адрес компаний Google и Microsoft;
- проблемы безопасности корпоративного масштаба, связанные с ростом популярности тех же самых консьюмерских Cloud-сервисов, — «мои сотрудники сидят в MySpace и разбазаривают там корпоративные секреты»;
- проблемы безопасности Cloud Computing при корпоративном использовании данной концепции, в частности при применении SaaS;
- вопросы использования концепции Cloud Computing в решениях по информационной безопасности.
В дальнейшем во избежание путаницы и логических противоречий мы будем касаться только третьей проблемы из приведенного списка, поскольку именно она представляется наиболее серьезной для обеспечения ИБ корпоративных информационных систем. Консьюмерские Cloud-сервисы уже приобрели массу пользователей, и никакие проблемы безопасности не смогли помешать этой тенденции. Сейчас самый горячий вопрос: насколько быстро Cloud Computing сумеет стать корпоративной платформой, привлекательной не только для средних и малых компаний, но и для крупных международных организаций?
Корпоративные Cloud-сервисы: продолжаем декомпозицию
Аналитики компании IDC, выступавшие на конференции IDC Cloud Computing Forum в феврале текущего года, назвали информационную безопасность в качестве главного опасения компаний, которые хотят использовать Cloud Computing. По данным этой фирмы, проблемы безопасности Cloud-сервисов беспокоят 75% ИТ-менеджеров.
- Чтобы разобраться, почему так происходит, необходимо продолжить декомпозицию проблем безопасности. В рамках корпоративного использования Cloud-сервисов все аспекты безопасности можно разделить на три основные части:
- безопасность платформы, которая располагается на площадке провайдера сервиса;
- безопасность рабочих станций (endpoints), которые находятся непосредственно у заказчика;
- безопасность данных, которые передаются от рабочих станций к платформе.
Последняя проблема, связанная с безопасностью передающихся данных, де-факто уже решена с помощью технологий шифрования данных, защищенных соединений и VPN. Практически все современные Cloud-сервисы поддерживают такие механизмы, и передачу информации от рабочих станций к платформе можно считать вполне безопасным процессом.
Платформа: проблемы доверия и функциональности
Очевидно, что именно вопросы безопасности, связанные с функционированием платформы сервиса, вызывают наибольшую головную боль у современных ИТ-менеджеров. Многим из них действительно не очень понятно, как можно поручиться за безопасность того, что нельзя непосредственно проконтролировать. А ведь платформа типичного Cloud-сервиса располагается не просто в сторонней организации, а в неизвестном дата-центре и даже неизвестной стране мира.
Другими словами, основная проблема безопасности Cloud Computing сводится к вопросам доверия (и проверки доверия) заказчиков к провайдерам сервиса и является продолжением тех же вопросов, которые возникают при любом другом виде аутсорсинга: специалисты и руководство компаний просто не привыкли отдавать на аутсорсинг самое святое — безопасность бизнес-информации. Однако эта проблема, несомненно, будет преодолена, поскольку иные формы аутсорсинга тех же ИТ-процессов и ресурсов уже не вызывают существенных вопросов.
На чем зиждется эта уверенность? Во-первых, провайдерам Cloud-сервисов гораздо проще обеспечить безопасность тех дата-центров, где размещены разделяемые ресурсы. Это связано с масштабом фирмы: поскольку провайдер сервиса обслуживает достаточно много клиентов, он обеспечивает безопасность каждого из них одновременно и, как следствие, может применять более сложные и эффективные методы защиты. Понятно, что у компаний Google и Microsoft больше возможностей обеспечить безопасность платформы, чем у фирмы-заказчика небольшого размера и даже крупной корпорации с собственным дата-центром.
Во-вторых, использование Cloud-сервисов между организацией-заказчиком и провайдером всегда базируется на соответствующих соглашениях об уровне качества Cloud-услуг (NDA, SLA и т.п.), в которых прямо устанавливается ответственность провайдера за те или иные проблемы информационной безопасности.
В-третьих, бизнес провайдера напрямую зависит от его репутации, поэтому он будет стремиться обеспечить безопасность в первую очередь и на самом высоком уровне.
Помимо вопросов проверки и доверия клиенты Cloud-платформ испытывают опасения за их функциональную полноту в области ИБ. И если большинство in-house-систем в результате многолетней эволюции уже поддерживают этот функционал, то с Cloud-сервисами ситуация гораздо сложнее.
В брошюре «Assessing the Security Risks of Cloud Computing»4, опубликованной исследовательской компанией Gartner, приводятся семь наиболее значимых проблем безопасности Cloud-сервисов, большая часть которых напрямую связана с функциональными особенностями «облачных» систем. В частности, Gartner советует рассматривать функционал Cloud-систем с точки зрения разделения прав доступа, возможностей восстановления данных, проведения ретроспективных расследований и аудита.
Существуют ли какие-то концептуальные ограничения, не позволяющие реализовать эти требования на практике? Безусловно, их нет — всё, что можно сделать внутри организации, технически может быть воспроизведено в «облаке». В конечном счете проблемы с функционалом ИБ упираются в развитие конкретных Cloud-продуктов и услуг.
В контексте обсуждения безопасности платформенной части Cloud Computing уместно упомянуть еще об одной важной проблеме, связанной с нормативными актами и регулированием. Трудность заключается в том, что в рамках Cloud Computing происходит разделение информации между заказчиком и провайдером сервиса, что часто усложняет процессы обеспечения соответствия различным нормативным актам и стандартам. Данная проблема, безусловно, носит серьезный характер, но, несомненно, рано или поздно будет решена. По мере роста популярности Cloud Computing, с одной стороны, будут совершенствоваться технологии обеспечения их соответствия законодательным требованиям, а с другой — законодателям придется учитывать технические особенности данной концепции в новых редакциях регулирующих документов.
Резюмируя замечания по информационной безопасности платформенной части Cloud Computing, можно сделать вывод о том, что все те проблемы, на которых концентрируются потенциальные заказчики, безусловно, существуют, но в то же время успешно решаются. Концептуальных ограничений по использованию парадигмы «облачных» вычислений на практике нет.
Endpoint: трудности остаются… и даже возрастают
В идеальном теоретическом «облачном» мире безопасность Cloud Computing заканчивается на уровне платформы и коммуникаций с оконечными устройствами, поскольку внутри самих устройств данные не хранятся. На практике использовать такую модель пока еще слишком рано: та информация, которая попадает на платформу, де-факто создается, обрабатывается и хранится на уровне рабочих станций. Получается, что проблемы безопасности оконечных устройств при использовании Cloud Computing никуда не исчезают. На самом деле они даже обостряются. Чтобы понять, почему так происходит, рассмотрим концептуальные схемы традиционной in-house ИТ-модели и концепции Cloud Computing (рис. 2 и 3).
Рис. 2. Угрозы безопасности для традиционной модели использования ПО
Легко заметить, что в каждом из рассматриваемых случаев основная масса угроз направлена из Глобальной сети в корпоративную инфраструктуру организации заказчика. Но если в случае in-house-систем основной удар приходится на платформу, то в случае Cloud Computing страдают практически беззащитные рабочие станции. Злоумышленникам бесполезно атаковать защищенные «облака» провайдеров, поскольку, как уже отмечалось, уровень защищенности глобальных СС-платформ типа Google и Microsoft, в силу концентрации возможностей и профессиональной экспертизы, а также неограниченности ресурсов, будет существенно выше информационной защищенности любой отдельной корпоративной ИТ-системы. Выходит, злоумышленникам не останется ничего другого, кроме как штурмовать оконечные устройства. Сама концепция Cloud Computing, предполагающая доступ к платформе откуда угодно и когда угодно, повышает вероятность сценариев такого рода.
Рис. 3. Угрозы безопасности корпоративных Cloud-сервисов
Однако, учитывая увеличение количества атак разной природы на endpoint-компьютеры, корпоративные службы ИБ вынуждены будут сконцентрироваться на защите оконечных устройств — именно эта задача, по всей видимости, станет одной из главных в области корпоративной информационной безопасности.
С точки зрения компании «Смарт Лайн Инк», производителя программных систем защиты от утечек данных через порты и периферийные устройства endpoint-компьютеров, эта тенденция представляется чрезвычайно важной. Такие системы, как DeviceLock, приобретают особую ценность в мире Cloud Computing, поскольку позволяют снизить риск утечки корпоративных данных через рабочие станции, которые становятся основным направлением деятельности служб ИБ организаций в условиях использования Сloud-услуг.
Вместо заключения
Директор направления Cloud Computing компании Acеnture Джозеф Тобольски (Joseph Tobolski) как-то заявил, что большинство требований по безопасности, предъявляемых к данной концепции, имеют ярко выраженный эмоциональный подтекст5. Исполнительный директор компании Schumacher Group Даг Менефи (Doug Menefee) знает об эмоциональном подтексте не понаслышке — его же собственные подчиненные принесли ему список из ста требований к Cloud-провайдеру, большая часть которых не была реализована даже в собственном дата-центре компании6.
Подписаться на использование Cloud Computing — это как в первый раз сесть за руль автомобиля. С одной стороны, многие коллеги уже сделали то же самое, с другой — выехать на оживленную магистраль впервые всё равно страшно. Особенно когда по телевизору постоянно показывают репортажи о серьезных авариях. Однако на самом деле оказывается, что ездить на машине не намного опаснее, чем пить кофе в купе поезда или стоять на автобусной остановке.
Ситуация с Cloud Computing, по большому счету, такая же, как и в классической модели использования программных средств. Концепция Cloud Computing требует внимания к информационной безопасности, но все проблемы вполне решаемы. При использовании «облачных» вычислений появляются собственные нюансы защиты, главный из которых связан со смещением приоритетов от периметральной защиты к защите оконечных устройств. Если производители средств защиты информации помогут организациям решить эту проблему, то будущее «облаков» будет светлым и безопасным.
 |
|
