Сигурност

Динамика на сигурността – какво следва от адаптацията на ИКТ инфраструктурата към облачен компютинг

CIO Media

Традиционно, ИТ обкръжението се разполага зад защитната стена на организацията и всички сървери, виртуализарани или не, са профилирани в услуга на специфичен вид бизнес. Органът, които поддържа системата за сигурост на това обкръжение има възможност да подбира компонентите за защита измежду множество наложени и утвърдени продукти – защитни стени, антивирусни системи, сървъри за журнализация, управление на ъпдейтите, прокси сървъри и други. Това дава възможност да се постигне висока степен на контрол върху сигурността на ИТ средата и да се покрият изискванията на различни стандарти за сигурност.

При облачната инфраструктура сървърите са виртуализирани и са поделени между различни организации с различни видове бизнес. В случай, че се наложи екипът на една организация да обедини ресурси от публичен облак, който се намира в Сингапур например, с частният и облак намиращ се в Англия то той не може да използва утвърдени, зрели, наложени на пазара продукти за да конструира сигурността на това свързване. Това намалява доверието в сигурността при облачното обкръжение [3].

Например

Нека организацията, която разглеждаме има изградена защита на системата си от ИКТ и тя включва развити подсистеми за:

- прилагане на ъпдейти към всички операционни системи, приложения, мрежови устройства, принтери, дори UPS-и;

- управление на активите, като води на отчет всички платформи с подробности за хардуера, инсталирания софтуер и ютилизацията му.

С появата на облачния компютинг изискванията към функциите на горните подсистеми се променят. В този случай архитектурата е основана на два или повече отдалечени дейта центъра и хипервайзори с виртуални машини в тях. Виртуалните машини могат да бъдат активни, спрени или в състояние на снапшот.

Подсистемата за ъпдейти трябва да отчита всички виртуални машини от всички дейта центрове на доставчика и да въздейства върху тях, тъй като при преместването на една виртуална машина от един дейта център в друг тя може да бъде пропусната и да остане без ъпдейти. Процесът на обновяване трябва да е свързан с подсистемата за управление на активите, тъй като при поредното налагане на ъпдейти ще бъдат пропуснати всички спрени машини и тези в състояние снапшот.

Считам, че подсистемата за управление на активите, комбинирана с фукция за мониторинг на динамиката на виртуалните машини и във вид съобразен с облачната инфраструктура, може да бъде вторият стълб след ъпдейтите, на който да се основе цялостна схема за управление на сигурността на виртуалните машини.

В таблица 1 са представени основните процеси, които водят до нови изсквания към налагането на ъпдейтите и мониторинг на сигурността на виртуалните машини в динамиката, характерна за жизненият им цикъл в средата на облачния компютинг.

Отражението на еластичността

Ключова разлика между облачния компютинг и конвенционалните дейта центрове е еластичността. Тя по същество е характерна черта за виртуализацията. Сървърите вече са във вид на файлове и изпълними задачи и могат да бъдат подлагани на различни операции – копиране, преместване, преоразмеряване на елементите оперативна памет, дисково пространство, брой мрежови контролери, поддържане на снапшоти, резервиране на шаблони с цел последващо архивиране.

Еластичността дава възможност на организациите да “роят” сървърите: броят им лесно се увеличава заедно с това и наличната мощност за компютинг. Това увеличава рисковете от компрометиране тъй като:

- при копиране на сървър се дублират и неоткритите и експонираните му уязвимости;

- с копирането на сървърите драматично и за минути се увеличава общата повърхност за атаки на дейта центъра.

Неактивните образи на сървърите както и снапшотите са виртуални машини, които са записани във файлове и са предназначени за последващо реактивиране или служат за шаблони за нови сървъри. Това удобство се заплаща с цената на сигурността: тъй като тези машини не са активни когато се инсталират поправки по сигурността, те остават незащитени от новооткритите уязвимости, без промените в конфигурациите при изменения в политиките, както и не се отразява смяната на правата за достъп на потребителите [6].

Един неправилно конфигуриран сървър може да бъде мултиплициран при клониране на нови сървъри и да се превърне в огнище на зараза цялата сървърна ферма на доставчика.

Еластичността влече проблеми по сигурността, които не съществуват в традиционните дейта центрове. Появява се необходимост от функции за мониторинг на сигурността, който включват:

  • ААА контроли, които да контролират кой може да иска допълнителни ресурси от пуловете с поделени ресурси или да освобождава заети ресурси;

  • Осъществяване на мониторинг и одит на заявките за получаване и освобождаване на ресурси за да се гарантира, че квотите са спазени и услугите остават налични;

  • Осигуряване на гарантирано заличаване на остатъчните данни от всички компоненти от пула с освободени, консумирани от наемателя, ресурси .

От гледна точка на наемателя е необходимо да има усещане за безкраен капацитет на ресурсите. От гледна точка на доставчика на облачни услуги той е собственик на пул с фиксирани размери, който съдържа поделените между наемателите ресурси и трябва да се управлява така, че да са изпълнени условията за качество на услугата [8].

Готовите виртуални машини

В последните години всички производители на устройства за защита – защитни стени – IDS/IPS, UTM, антиспам устройства, антивирусни устройства започнаха за предлагат готови виртуални машини [1] за тестване на продуктите си и за реално приложение в среди за виртуализация. Отделно съществуват множество малки и големи производители на готови виртуални машини, които могат да се копират от Интернет и да се приложат директно в среди за виртуализация.

Големите производители предлагат инструменти за подготовка на собствени виртуални машини [1], и виртуализация на съществуващи производствени платформи върху реален хардуер, които се прехвърлят в среда на хипервайзор поради най-различни причини, например тенденция за нарастващи хардуерни проблеми [7]. Производството на виртуални машини с готови инсталирани приложения и предлагането им на пазара носи заплахи [4], които по наше мнение в повечето случаи са аналогични на заплахите от неконтролирано копиране на софтуер от сайтове в Интернет и инсталирането му в служебните компютри.

Готовите виртуални машини с появата си бяха предназначени за традиционните дейта центрове със сървъри за виртуализация, но днес фокусът на приложението им се измества в облачния компютинг [2],[3]. До какви последствия може да доведе това?

В средата на доставчика на облачни услуги може да попадне машина, която е компрометирана или такава, която е подготвена и съдържа инструменти за изпълнение на атаки от най-различен тип. Публикации по този въпрос споменават възможности за имплементиране на инструменти за bot-net, DLP, DdoS, кражба на криптиращи ключове [4]

Какъв може да бъде подхода към тази заплаха? Например използване приложения за откриване на вируси върху образи на виртуални машини, които са офлайн или тестване в изолирана среда.

Тук е мястото да си представим колко полезна може да бъде системата за управление на активите, която може да води и то в динамика отчета на всички виртуални машини с заедно с приложенията върху тях и дори лицензите им. Независимо, за колко време са съществували.

Съжителството на много наематели в една облачна среда е друг аспект на сигурността на виртуалните машини. Съвместно битуване на виртуални машини, които са собственост на различни наематели, в една облачна среда, крие набор от опасности, на които ще се спрем в следваща статия.

Велиян Димитров е професионалист с богат опит в областта на информационната сигурност. Работил е като преподавател във Военна академия «Г. С. Раковски» до 1993 г. Участвал е в проекта за цифровизацията на Стационарната КИС на БА като експерт. Бил е архитект и проектант на АСУ в Българската армия (Национален Военен Команден Център, АСУ “Странджа”). Участвал е в изграждането на елементи от информационната сигурност в Президентство на РБ, БНБ, НСИ, Министерство на Здравеопазването, Военномедицинска академия, Бърза помощ, Управление Митници, Общинска банка и други организации. Научните му интереси в последните години са насочени към информационната сигурност при облачния компютинг.

[1] Build a virtual appliance. How to Build a Virtual Appliance, http://www.vmware.com/appliances/getting-started/build/how/:Accesed 18.09.2012, 2012.

[2] BitNami Carlos. How to start a bitnami machine image (ami)? http://wiki.bitnami.org/cloud/How_to_start_a_BitNami_Machine_Image_(AMI)%3f, December 2011.

[3] Intel IT center. What’s holding back the cloud? In Intel Survey on Increasing IT Professionals Confidence in Cloud Security. Intel Corporation., May 2012.

[4] Claudia Eckert. Cloud computing new challenges for it security. In Fraunhofer Institute for Secure Information Technology (SIT), February 2010.

[5] RAPID7 Corporate Headquarters. The dynamic nature of virtualization security. In The need for real-time vulnerability management and risk assessment, 2012.

[6] Inteligence and National Security Aliance. Risks and benefits of cloud computing for the intelligence community. http://insaonline.com/assets/files/Press%20Releases/RisksAndBenefitsofCloudComputingfortheIC.pdf, March 2012.

[7] Transworld Data Research. Transworld data case study. In Building Workload Images for IBM System z with SUSE Studio, 2012.

[8] Deb Shinder. http://www.windowsecurity.com/articles/security-considerations-cloud-computing-part5.html. Security Considerations for Cloud Computing (Part 5) - Rapid Elasticity, June 2012.


X