• Новости
• Блоги
• Аналитика
• Новости компаний
• В СНГ и в мире
• Анонсы

Спецзащита для облачных сред

Для руководства компаний первым барьером на пути внедрения облачных сред становится поддержание надлежащего уровня безопасности. Но многие технологии защиты в облачной инфраструктуре становятся помехой и не позволяют реализовать необходимую для бизнеса функциональность.

ИТ и ИБ-руководители убеждены, что предоставление корпоративных данных и серверов стороннему ЦОДу неотвратимо приведет к нарушению нормального функционирования системы безопасности их компании, потере контроля над ней и доступа к информации регистрации и аудита.

Основная причина негативного отношения профессионалов к облачным вычислениям описывается одним словом: «депериметризация». Но, возможно, термин «репериметризация» будет более точным. Ведь периметр безопасности не исчезает в виртуализованной среде, где виртуальные машины с различным уровнем доверия используют один и тот же гипервизор, он не исчезает и в облачной среде с большим количеством владельцев. Разумеется, термин «периметр» все еще присутствует, но в него уже не вкладывается такой сакральный смысл, и его использование должно быть пересмотрено.

Кардинальное различие в подходах к безопасности виртуализованных сред лучше всего иллюстрирует подход к конфигурированию межсетевого экрана, традиционного средства обеспечения сетевой безопасности ЦОДа. Поставщики облачных услуг вынуждены при его настройке следовать принципу «наименьшего общего знаменателя», т. е. устанавливать наименее жесткую политику с целью избежать неполадок у некоего гипотетического клиента. Очевидно, что ни для одного реального клиента такая настройка не будет оптимальной по уровню безопасности. Кроме того, кабели, коммутаторы, полосу пропускания, платформы виртуализации и сети хранения данных в облачной инфраструктуре следует рассматривать как ресурсы, находящиеся в совместном пользовании, и поэтому они не могут считаться доверенными. Некоторые аспекты традиционной инфраструктуры объединены в гипервизоре или на уровне абстракции виртуализованной сети хранения данных; многие технологии обеспечения безопасности в новой инфраструктуре становятся помехой и не позволяют реализовать необходимую для бизнеса функциональность.

Разумеется, описанная выше ситуация не может не подорвать доверие потенциальных заказчиков к облачным технологиям.

Безопасность инфраструктуры или безопасная инфраструктура

Переход на облачные среды влечет за собой не только изменения технической архитектуры; он требует и существенных перемен в работе корпоративных команд ИТ-специалистов. Зачастую на крупных предприятиях и даже у системных интеграторов разные команды инженеров работают над проектами обособленно. В таких условиях сначала завершается одна из составляющих проекта информатизации, например, монтаж физической сети или размещение серверов, и лишь затем к проекту подключаются специалисты по безопасности, обеспечивающие защиту построенной инфраструктуры.

Изоляция команд специалистов порождает принципиальные трудности. В мае прошлого года даже технологический гигант HP поднял тревогу по этому поводу. Говоря о развертывании проектов интеллектуальных grid-сетей, Ян Миттон, директор подразделения по работе с промышленностью компании HP, пояснил: «Наши наблюдения показали, что безопасность должна быть обеспечена заранее, но на практике несколько запаздывает. Это не может не вызывать определенного беспокойства. Складывается ситуация, когда разработчики проектов, словно бы спохватываясь, восклицают: “О Боже мой! А как же безопасность?”».

Почему же недостаточное взаимодействие между командами так принципиально? Виртуализация серверов и рабочих станций (VDI) в ЦОДе, услуги IaaS, PaaS и SaaS изменили архитектуру корпоративных информационных систем больше, чем любое другое нововведение за последние 15 лет. Вместе с тем с переходом к новым технологиям ни одна из базовых проблем безопасности не исчезла. Наоборот, возникли новые угрозы, не имеющие аналогов среди своих физических предшественников, например на уровне виртуальной архитектуры. Ключевая причина указанных сложностей – репериметризация, так как во многих аспектах исчезло традиционное разделение ИТ-инфраструктуры на сеть, платформу, приложения и т. д. Сейчас недостаточно быть экспертом в области только инфраструктуры или информационной безопасности. Необходимо концентрировать усилия не на обеспечении безопасности существующей, а на создании безопасной инфраструктуры.

Специфически облачные угрозы

Размещение виртуальных серверов и данных в облачной среде, т. е. совместно с серверами и данными других пользователей, конкурентов, возможно, даже злоумышленников (вспомним криминальную деятельность в облаке Amazon EC2), вызывает множество новых проблем. Невозможность установить обновления на временно выключенную виртуальную машину приводит к тому, что в течение некоторого времени после загрузки она оказывается совершенно не защищенной от самых популярных атак – на широко известные уязвимости. С другой стороны, даже если виртуальный сервер постоянно включен и обновления регулярно загружаются, их установка может потребовать перезагрузки сервера, а облачная инфраструктура никак не помогает минимизировать подобный вынужденный простой. Поток данных, передаваемый от машины к машине одного и того же гипервизора, не затрагивает физическую сеть, поэтому традиционные технологии обеспечения сетевой безопасности не способны распознать угрозу. В виртуализованной среде появляется новая мишень для злоумышленников и вирусов – сама платформа виртуализации, но опять же никаким традиционным средством защиты невозможно предотвратить эту угрозу. Непростым вопросом является разграничение доступа к данным, так как они, несомненно, доступны техническому персоналу поставщика облачных услуг.

Для обеспечения безопасности облачных сред средства защиты должны функционировать, реконфигурироваться и контролироваться на уровне самой виртуальной машины. Ключевыми технологиями здесь являются программные межсетевые экраны с глубоким анализом пакетов и предотвращение проникновения на уровне приложений.

Уязвимый уровень приложений

Согласно докладу IBM X-Force о тенденциях и угрозах за первое полугодие 2010 г., более половины (55%) всех обнаруженных уязвимостей были выявлены в веб-приложениях. В целом количество новых обнаруженных уязвимостей оказалось самым высоким, а максимальное число уязвимостей пришлось на межсайтовый скриптинг и SQL-инъекции. Подобные атаки в облачных средах открывают возможность масштабных утечек конфиденциальной информации, а при неблагоприятном стечении обстоятельств завершаются внедрением вредоносного кода. Брандмауэры должны действовать на уровне веб-приложений и блокировать любой аномальный трафик до того, как данным или серверам будет нанесен вред.

Даже если для обнаруженной уязвимости уже выпущена заплата, eе зачастую непросто оперативно применить на серверах, где простои могут быть крайне нежелательны. Во многих случаях виртуальные машины функционируют в средах, где окна для обновления программ минимальны или вовсе отсутствуют. Это делает виртуальную машину уязвимой для атак и взлома как изнутри, так и снаружи. Необходимо обеспечить неуязвимость системы, даже если исправления еще не были применены. Здесь могут помочь средства предотвращения проникновения на уровне хоста и технология «виртуальных заплат».

Нетрадиционные средства

Обеспечение безопасности виртуальных сред осложняется тем, что многие виды традиционных средств защиты неэффективны в новых условиях, хотя виртуальный компьютер специально создается так, чтобы работать аналогично физическому. Типичный пример: антивирусы создают недопустимо большую нагрузку на систему виртуализации, особенно во время запланированной проверки всей системы. Традиционные средства антивирусной защиты не способны сканировать и обновлять выключенные виртуальные машины. В результате при включении этих машин файлы вирусных сигнатур также оказываются устаревшими, что означает повышение риска заражения сразу после старта. Обнаружение в 2010 г. уязвимости в системе VMware, когда проникновение вредоносной программы на виртуальную машину позволило исполнить код на физическом компьютере, существенно подняло ставки (и дало исследователям вредоносного ПО массу пищи для размышлений).

Но не все так плохо. Виртуальная среда дает новые возможности для защиты, хотя это требует разработки новых антивирусных продуктов. Обычно программное обеспечение системы безопасности функционирует в той же среде, что и угроза, и должно присутствовать на той же машине, которая может быть взломана. В физических сетях просто нет иных вариантов. Анонсированная компанией VMware технология VMsafe позволяет создавать системы безопасности в виртуальных средах, даже более надежные, чем их физические аналоги. В последних версиях VMware механизмы обеспечения безопасности можно помещать в виртуальное устройство, логически отделенное от защищаемых машин. Эта технология обеспечит безопасность, включая систему предотвращения вторжений (IPS) и, что важно, защиту от вредоносного ПО, в реальном времени без установки антивирусного пакета на каждой машине, нуждающейся в защите. Таким образом, даже если машина все-таки будет взломана, злоумышленники не смогут отключить сам механизм защиты.

Индустрия обеспечения безопасности должна способствовать продвижению облачных сред – более дешевых, динамичных и экологичных. Необходимо убедиться в том, что мы создаем технологию, тесно интегрирующуюся в новую бизнес-среду, готовую к использованию в виртуальных и физических средах с единым набором средств управления и, разумеется, способную обеспечить корректную политику безопасности вне зависимости от физического расположения находящегося под защитой сервера. В противном случае в погоне за снижением текущих расходов и увеличением гибкости бизнеса в первую очередь пострадает эффективность средств обеспечения безопасности.