Специфика угроз информационной безопасности и защиты от них в цод. Защищенность ЦОДов: физическая и юридическая

Центр Обработки Данных (или Дата Центр) по праву называют сердцем корпоративной сети современной компании – промышленной, телекоммуникационной или работающей в области финансов.

Основное предназначение ЦОД состоит в консолидированной обработке и хранении данных, поддержании заданного режима автоматизации бизнес-задач предприятия, а также в обеспечении сохранности корпоративных баз данных и иной информации, как правило, представляющей высокую коммерческую ценность. ЦОД - стратегически важный для компании объект, требующий особого подхода и особых правил, поэтому это понятие включает в себя:

• масштабируемый комплекс программных и аппаратных средств, сосредоточенных в специально оснащенном помещении,
• специально разработанный свод организационных мер и политик безопасности,
• соответствующим образом подготовленный персонал.

Для многих организаций наличие ЦОД является признаком выхода на качественно новый уровень зрелости и управления - на первых этапах развития они отдают предпочтение серверным комнатам, организованным, как правило, в непосредственной близости от головного офиса. Однако наступает момент, когда в компании "вдруг" лавинообразно возрастает объем информации, количество узлов, где она концентрируется, а также численность применяемых бизнес-приложений. Использование мощных ERP- и CRM-систем, СУБД, внутренних и публичных порталов, средств корпоративного обмена данными начинает диктовать высокие требования к универсальности, надежности, бесперебойности работы и защищенности ИТ-инфраструктуры компании – при одновременном снижении стоимости владения. Это - верный признак того, что пришла пора задуматься о модернизации исторически сложившейся ИТ-архитектуры и перейти к использованию "взрослого" ЦОД.

В ряде случаев компании изначально строят свой бизнес и ИТ-инфраструктуру с использованием преимуществ ЦОД. Как правило, это крупные телекоммуникационные, финансовые, промышленные структуры, активно развивающие свою региональную сеть.

Различают корпоративные и хостинговые Дата Центры (ДЦ или ЦОД). В первом случае ЦОД изначально создается для решения задач автоматизации бизнес-процессов самого заказчика и владельца ЦОД. Во втором – владелец ЦОД выделяет организациям стойко-места или кластеры, которые заполняются оборудованием арендатора. При этом все заботы по поддержанию благоприятного для оборудования климата и энергообеспечения принимает на себя владелец ЦОД. Возможны варианты так называемых смешанных ЦОД, при которых одна часть Дата Центра ориентирована на обеспечение бизнес-процессов владельца, а другая – для решения задач арендаторов.

Есть еще один критерий, по которому отличают целевое назначение ЦОД – его текущую загрузку. С этой точки зрения ЦОД может быть основным, резервным или вынесенным за пределы региона или даже страны. Основной ЦОД, как это и следует из его статуса, принимает на себя всю нагрузку в штатном режиме. Он – ядро информационной и телекоммуникационной системы Резервный служит для того, чтобы обеспечить привычный режим предоставления сервисов в случае выхода из строя, профилактики или горячей замены оборудования, установленного в основном ЦОД. Третий вариант ЦОД – для тех организаций, которые полностью исключают для себя возможность отказов в обслуживании своих клиентов.

Совершенно очевидно, что, несмотря на разный статус и режим функционирования, ЦОД всегда является стратегически важным объектом , к оснащению и безопасности которого предъявляются особые требования. Эти требования зафиксированы в международном стандарте TIA 942 , на который сегодня ориентируются специалисты, работающие в России.

В современных условиях комплексная система безопасности должна не только решать основные задачи безопасности - обеспечения защиты от пожара и защиты от проникновения посторонних, но и способствовать повышению трудовой дисциплины, автоматизировать кадровый учет.
Одним из важнейших компонентов ЦОД является система технической безопасности. Дорогостоящее оборудование должно быть надежно защищено от несанкционированного проникновения, от возникновения пожара. Обслуживающий персонал ЦОД должен быть защищен от пожара, непредвиденных внештатных ситуаций. Комплексная система безопасности ЦОД объединяет в себе систему видеонаблюдения (СВН), систему контроля и управления доступом (СКУД), систему охранной сигнализации (СОС), систему голосового оповещения (СГО) о пожаре и систему пожарной сигнализации (СПС), интегрированную с системой газового, либо порошкового пожаротушения (ГПТ).

Для обеспечения безопасности персонала ЦОД, в здании установлена автоматическая система светозвукового оповещения о пожаре, которая, в случае возгорания и получения информации от системы пожарной сигнализации, будет передавать звуковые сигналы при помощи сирен, установленных в помещении здания, и указывать эвакуационные выходы при помощи световых табло «Выход».
При проектировании и создании системы пожарной сигнализации, входящей в состав комплексной системы безопасности, используется в основном оборудование и технологии компании НВП «БОЛИД». Информация с дымовых и ручных пожарных извещателей поступает на панель управления пожарной сигнализации. Установленное в системе сигнализации программное обеспечение организует автоматическую работу системы в случаях задымления или возгорания в помещениях, которые контролирует система безопасности.
В частности, при поступлении тревоги от любого извещателя системы, прибор пожарной сигнализации подает команду на включение системы оповещения о пожаре, отключает систему вентиляции и открывает двери, которые оборудованы системой контроля и управления доступом. В случае поступления тревожной информации от системы пожаротушения, прибор пожарной сигнализации будет отрабатывать ту же самую последовательность действий.

Для контроля и фиксации событий на территории ЦОД комплексная система безопасности использует возможности системы видеонаблюдения, которая позволяет сотрудникам службы безопасности осуществлять дистанционный визуальный контроль над всеми зонами объекта, а также записывать и хранить всю видеоинформацию. Цифровые системы видеонаблюдения - самый эффективный метод охраны. Автоматическая система видео наблюдения работает одинаково эффективно в любое время суток, регистрируя все внештатные ситуации. Архивирование данных производится в папки с указанием даты и времени записи. При просмотре видеозаписи пользователь получает полную картину событий, происходящих в охраняемой зоне.
Есть еще один немаловажный аспект видеоконтроля - сотрудники, находящиеся под непрерывным наблюдением начинают работать гораздо эффективнее.

Автоматическая система пожаротушения это один из самых эффективных способов (методов) экстренного пожаротушения. Автоматическая система пожаротушения воздействует на очаг возгорания, в самом его зарождении, таким образом можно избежать распространения огня и соответственно огромного ущерба от пожара.В качестве огнетушащего вещества - системы используют двуокись углерода, инертные газы, а также различные составы фторосодержащих углеводородов. Установка автоматического пожаротушения позволяют обезопасить, а затем предотвратить пожар на ранней стадии возгораний.

Функциональные возможности комплексной системы безопасности:

• Фиксация и оповещение службы безопасности о возникновении задымления или пожара на территории предприятия с указанием адреса тревожного помещения.
• Автоматическое включение системы пожаротушения в местах возникновения пожара.
• Управление входными дверьми.
• Отключение системы вентиляции при поступлении сигнала тревоги с пожарных извещателей.
• Звуковое оповещение персонала ЦОД о пожаре и указание безопасных путей их эвакуации.
• Круглосуточное видеонаблюдение за охраняемой территорией с записью видеоинформации на цифровые устройства комплексной системы безопасности.
• Архивирование видеозаписей по помещениям ЦОД с возможностью по кадрового воспроизведения записей тревог, в том числе по дате, времени суток, по камере и т.п.
• Управление системой контроля и управления доступом для регулирования санкционированного входа/выхода сотрудников ЦОД и учета рабочего времени каждого сотрудника.

Защищенность ЦОДов: физическая и юридическая

Решение задачи хранения растущих объемов информации сегодня берут на себя ЦОДы, а значит, на них ложится и обязанность обеспечить ее сохранность.

Сегодня процесс обмена данными практически полностью перешел в сферу интернета. Информация стала ценным продуктом на мировом рынке: многие компании готовы платить за сведения о клиентах, конкурентах, своих сотрудниках и т.д., что увеличивает риск похищения таких данных. К тому же с каждым днем объем информации увеличивается, проблемы ее хранения становятся все острее - и все чаще решение этой задачи берут на себя ЦОДы.

В первую очередь клиенты оператора ЦОДа заинтересованы в получении качественных услуг и высоком уровне отказоустойчивости инфраструктуры, но это далеко не все. Одним из существенных критериев при выборе дата-центра является уровень защищенности информации.

Вопреки представлению многих клиентов ЦОДа, средства безопасности не ограничиваются только системами, защищающими данные от хакерских атак, взломов и прочих способов получения несанкционированного удаленного доступа к информации. Есть еще проблема физической защищенности ЦОДа, поскольку он должен обеспечить сохранность информации клиентов, размещенной на серверах в его машинных залах. Причем, в отличие от организации информационной безопасности телекоммуникационных сетей, которая должна соответствовать законодательству и нормативным требованиям РФ (это, например, Федеральный закон №149-ФЗ от 27 июля 2006 г., указ Президента Российской Федерации от 17 марта 2008 г. № 351, постановление правительства №531 от 31 августа 2006 г. и т.д.), физическая защита ЦОДа практически полностью передается в ведение его оператора, поэтому перед клиентом встает ответственная задача выбора надежного дата-центра для хранения своей информации.

Проблема защищенности ЦОДа охватывает множество существенных аспектов, которые заказчику нужно тщательно проанализировать. В целом их можно разделить на две основные группы: физическая защищенность ЦОДа и его юридическая защищенность.

Физическая защищенность

Основная задача физической защиты ЦОДа - предотвратить несанкционированный доступ посторонних лиц к информации, хранящейся на серверах клиентов. Уже при строительстве ЦОДа огромное внимание должно уделяться организации безопасности и контроля доступа на его территорию, включая размещение КПП, установку камер видеонаблюдения, организацию процедуры доступа и т.д. Рассмотрим ключевые аспекты организации системы физической безопасности.

Охрана объекта. Опе-ра-тору ЦОДа необходимо ответственно подойти к выбору охранного предприятия. В соответствии с законодательством РФ частные охранные предприятия (ЧОП) вправе оказывать профессиональные услуги в области охраны объекта, в том числе с применением огнестрельного оружия. Само-стоятельный набор персонала охраны «с улицы» лишит оператора ЦОДа квалифицированных специалистов, отлаженной системы взаимодействия, а также контроля со стороны профессионального руководителя службы безопасности.

При выборе предприятия оператору ЦОДа необходимо обратить внимание на следующие моменты: как долго ЧОП работает на рынке охранных услуг, какие проекты он уже обслуживает, имеются ли необходимые лицензии и разрешения, сменность кадрового состава за прошедший год и т.д. Проведение юридической экспертизы (due diligence) ЧОПа на этапе его выбора обезопасит оператора ЦОДа от возможных проблем с охраной объекта.

Видеонаблюдение . Система видеонаблюдения должна полностью охватывать всю площадь внутренних помещений ЦОДа и прилегающую территорию. Поскольку ЦОД функционирует беспрерывно и доступ для клиентов и провайдеров обеспечивается круглосуточно, в системе наблюдения должен быть организован не только постоянный контроль со стороны службы безопасности, но и продолжительная видеозапись. Для ЦОДа, оказывающего услуги премиум-уровня, недостаточно только системы видеонаблюдения с большой емкостью хранения файлов: необходимо дополнительное архивирование и продолжительное хранение всех видеозаписей, сроком примерно до 5 лет, что позволит оператору ЦОДа, его клиентам и провайдерам услуг при необходимости оперативно восстановить события любого дня. Такой уровень хранения видеозаписей незаменим при расследованиях попыток несанкционированного проникновения в ЦОД.

Системы безопасности доступа . Организация доступа в здание и непосредственно в машинные залы ЦОДа должна включать несколько уровней защиты. Наиболее распространенные сейчас системы защиты используют биометрические данные посетителей (отпечатки пальцев, рисунок радужной оболочки глаза и т.д.).

Оснащение дата-центра мощными противопожарными дверями и тамбур-шлюзами также увеличивает надежность ЦОДа.

Помимо защиты самого здания перед оператором ЦОДа стоит задача ограничить доступ на прилегающую к дата-центру территорию. Для этого можно использовать надежные ограждения с противоподкопной защитой.

В машинных залах можно дополнительно установить ограждения вокруг серверных стоек клиентов.

Защита данных от потери . Помимо риска похищения данных, существует и риск их уничтожения. Поэтому здание ЦОДа должно быть не только неприступной крепостью, но и бункером, полностью оборудованным всеми необходимыми системами защиты. В частности, ЦОД, обеспечивающий премиум-услуги, должен быть оснащен новейшими системами сверхраннего обнаружения возгорания и газового пожаротушения, которые не причиняют ущерба оборудованию клиента, а также высокоточным температурным контролем и системой охлаждения оборудования. Контроль за всей инфраструктурой дата-центра должен вестись из диспетчерской, расположенной непосредственно в том же здании, - тем самым исключается риск получения несанкционированного контроля за системой управления ЦОДа.

Юридическая защищенность

Обеспечение юридической защиты ЦОДа должно быть реализовано не только на протяжении всех этапов его строительства, но и в ходе эксплуатации. Такие меры обеспечат защиту оператора ЦОДа, клиентов и провайдеров от претензий третьих лиц и от посягательства на право собственности на здание дата-центра. Очевидно, что такие посягательства могут не только привести к потере контроля над ЦОДом, но и поставить под удар надежность защиты данных клиентов.

Фактически вся хозяйственная деятельность оператора ЦОДа должна быть направлена на предотвращение потенциальных рисков посягательства на данные клиентов. При выборе подрядчиков и поставщиков услуг для ЦОДа необходимо провести подробный due diligence контрагентов на предмет возникновения рисков несанкционированного доступа к информации клиентов.

Выделим некоторые существенные аспекты юридической защищенности ЦОДа.

Анализ правовых рисков. При выборе территории для строительства ЦОДа необходимо провести подробный due diligence на предмет наличия любых обременений и споров, связанных с земельным участком. Подъезды к ЦОДу должны быть организованы по дорогам общего пользования, что обеспечивает независимость оператора ЦОДа от собственников соседних участков и зданий. В противном случае оператор может столкнуться со сложностями при получении сервитута на проезд по территории соседних участков.

Мониторинг соседних земельных участков. В связи с тем, что инфраструктура ЦОДа (кабельная канализация, электросети и т.д.) выходит за границы территории земельного участка, необходимо организовать постоянный мониторинг правового положения соседних земельных участков и зданий. Не исключена ситуация, когда владелец соседнего участка при проведении строительных работ неумышленно может повредить кабельную канализацию ЦОДа. По этой причине любое изменение в использовании земельных участков и зданий или изменение в структуре собственников соседних территорий должно сопровождаться оперативным due diligence на предмет потенциальных рисков и конфликтов.

Защищенная правовая структура собственности. В отношении структуры собственности ЦОДа юридическая безопасность обеспечивается путем передачи права собственности и права аренды в отношении здания ЦОДа разным юридическим лицам, входящим в одну группу лиц с оператором ЦОДа. Таким образом, оператор ЦОДа обеспечивает юридическую защиту здания от неправомерных попыток захвата собственности, а также грамотно распределяет риски, связанные с эксплуатацией здания и оказанием услуг colocation.

Готовность к любым проверкам. Для юридической безопасности ЦОДа существенна качественная и проработанная процедура взаимодействия с контролирующими государственными органами. Поскольку многие из них наделены полномочиями приостанавливать деятельность организации при обнаружении нарушений, оператор ЦОД в первую очередь должен гарантировать полное и всестороннее исполнение требований законодательства. Например, если для обеспечения отказоустойчивости ЦОДа используются дизельные генераторные установки, то оператор ЦОДа обязан принять меры для постановки объекта на учет в Рос-при-род-надзоре и разработки проекта предельно допустимых выбросов, в противном случае ему грозит проверка и возможная приостановка деятельности ЦОДа.

Как правило, оператор ЦОДа, оказывающего премиум-услуги, предоставляет своим клиентам дополнительные гарантии в случае приостановки ЦОДа по решению государственных органов.

Надежная защита информации увеличивает ее ценность, и операторы ЦОДов способны в этом помочь. С другой стороны, постоянно появляются новые способы похищения информации, поэтому непрерывное улучшение физической и юридической защищенности объекта - безусловный приоритет операторов дата-центров, особенно премиум-уровня. Нередко операторы ЦОДов экономят на организации безопасности и отказоустойчивости, и в результате уровень защищенности ЦОДа не гарантирует полную защиту информации клиентов. Но если информационную безопасность телеком-сетей можно постоянно совершенствовать, то физическая безопасность изначально должна соответствовать высокому уровню надежности - и об этом важно помнить клиенту при выборе ЦОДа.

Увеличение числа угроз и объема трафика заставляет владельцев центров обработки данных применять различные решения для их защиты, что, в свою очередь, приводит к бурному росту соответствующего рынка. Так, по данным Markets and Markets, общие продажи продуктов безопасности для ЦОДов должны составить в 2016 году 6,3 млрд долларов, а к 2021 году ожидается двукратное увеличение - до 12,9 млрд долларов, то есть приращение более 15% ежегодно. Схожие цифры приводят и другие аналитические агентства - например, Transparency Market Research прогнозирует ежегодный прирост в 12,6%.

В широком смысле обеспечение безопасности ЦОДа можно разделить на физическую и логическую защиту. Несмотря на всю важность первой, главные усилия сосредоточены на второй. Так, согласно Transparency Market Research, еще в 2013 году на логические компоненты тратилось 85% всех средств, направляемых на устранение риска угроз для ЦОДов. При этом из-за повсеместного перехода к облачным вычислениям и необходимости ускорения разработки приложений принципы защиты приходится пересматривать.

Актуальные темы защиты центров обработки данных обсуждались на секции «Безопасность» во время проведения форума «МИР ЦОД – 2016. Услуги. Облака».

АВТОМАТИЗИРОВАННАЯ ЗАЩИТА ОТ DDoS

DDoS-атаки привлекают, пожалуй, наибольшее внимание из-за их широкомасштабных последствий. Так, недавняя атака на серверы компании Dyn, контролирующей значительную часть инфраструктуры DNS, привела к недоступности множества известных сайтов в США и Европе. Это была самая крупная атака с использованием зараженных устройств, которые сейчас принято относить к Интернету вещей (в данном случае цифровых камер и DVD-плееров). Мощность атаки с использованием сети 100 тыс. ботов Mirai составила, по некоторым оценкам, 1,2 Тбит/с, что вдвое больше, чем когда-либо ранее (см. рис. 1).

Как отмечается в недавнем отчете Nexusguard (службы защиты от DDoS), число атак во II квартале 2016 года по сравнению с аналогичным периодом 2015 года уменьшилось почти на 40%, зато их интенсивность значительно возросла. Чтобы защититься от массированных атак, одних мер безопасности на уровне ЦОДа недостаточно. Между тем, как отмечает Антон Шевчук, менеджер по продукции Arbor Networks в компании Netwell, до сих пор есть заказчики, уверенные в том, что они могут уберечься от DDoS-атаки с помощью межсетевых экранов и систем предотвращения вторжений. Как свидетельствует статистика, свыше половины организаций, у которых были установлены эти устройства, столкнулись со сбоями сети в результате атак DDoS. Помимо использования специализированных средств, необходимо организовать эшелонированную оборону.

В ходе DDoS-атаки ресурсы ЦОДа подвергаются «бомбардировке» путем направления к ним множества специфических запросов и в конечном итоге перестают справляться с нагрузкой. Всего можно выделить три больших класса атак: массированные атаки на переполнение интернет-канала; атаки на устройства с контролем состояния, такие как балансировщики нагрузки, межсетевые экраны, серверы приложений; атаки на уровне приложений, небольшие по мощности, но не менее эффективные - как правило, они нацелены на конкретные уязвимости. DDoS-атаки легко организовать, а стоимость соответствующих предложений начинается от 5 долларов в час.

Концепция эшелонированной обороны для защиты от DDoS, предложенная компанией Arbor Networks, предполагает установку двух специализированных компонентов - в ЦОДе и у оператора. Первый позволяет блокировать все типы атак, однако, когда масштаб атаки на канал становится сопоставимым с имеющейся пропускной способностью, он обращается за помощью к компоненту, установленному у оператора. Поэтому, как отмечает Антон Шевчук, очень важно, чтобы эти компоненты «умели» взаимодействовать друг с другом.

Когда атака на канал достигает предопределенной мощности, компонент в ЦОДе сообщает оператору о необходимости очистки трафика, который направляется на определенный префикс. Кроме того, в идеале такое двухсоставное решение должно синхронизировать черные и белые списки, а также профили защиты. Ориентируясь на черные списки, оператор может осуществлять предварительную фильтрацию трафика, снижая нагрузку на систему защиты ЦОДа. Таким образом, клиенту (оператору ЦОДа) не нужно обращаться к провайдеру с просьбой о принятии срочных мер для блокирования атаки - защита включается автоматически, а время простоя сводится к минимуму.

У Arbor Networks есть различное оборудование - с производительностью от 100 Мбит/с до 160 Гбит/с на устройство. Эти решения могут разворачиваться и в виде виртуальных машин. В России услуги по защите от DDoS-атак на базе оборудования Arbor Networks предоставляют «Ростелеком», Orange, RETN, «Акадо» и другие операторы, а значит, уже сейчас эту модель можно реализовывать в подключенных к ним ЦОДах. Как заявляет Антон Шевчук, только такой подход позволяет предприятиям обеспечить защиту и доступность своих ресурсов.

ЗАЧЕМ НАМ АГЕНТ?

По оценкам зарубежных экспертов, общая величина потерь от взлома системы безопасности составляет в среднем около 4 млн долларов. В России цифры сопоставимые. Так, согласно отчету Русского международного банка, 21 января 2016 года на него была совершена хакерская атака, в результате которой с корсчета банка в ЦБ похищено 508 млн руб. Многие атаки начинаются с того, что злоумышленник получает доступ, в том числе с помощью социальной инженерии, к рабочему месту, одной ВМ, а с нее уже инициируются атаки.

В новой, виртуальной реальности те решения, которые использовались десятилетиями для защиты физических сред, перестают работать. По мнению Юрия Бражникова, генерального директора 5nine Software по России и СНГ, подобные инциденты, во всяком случае заметная их часть, связаны именно с тем, что многие компании продолжают использовать старые средства управления и защиты для сред виртуализации, которые основаны на агентском подходе. При этом на каждую защищаемую единицу (ВМ) устанавливается агент, что не всегда оправданно, тем более что его можно отключить. К тому же при непосредственной защите конечных точек потребляется большое количество ограниченных ресурсов, из-за чего существенно снижаются производительность и эффективность ЦОДа.

Старая модель была сфокусирована на защите конечных точек, но теперь многие нагрузки перемещаются на серверы и в облака. Между тем, по словам Юрия Бражникова, известные производители продолжают воспроизводить в виртуальной среде архитектуру информационной безопасности, изначально разработанную для физической среды. Это приводит к тому, что новые уязвимости на уровне гипервизора и ОС оказываются незащищенными. Так, например, атаки на уровне виртуальной сети или с одной ВМ на другую не определяются аппаратными средствами, контролирующими физическую среду.

Внутри виртуальной среды надо использовать новые способы защиты. Так, в соответствии с рекомендациями ЦБ РФ по обеспечению информационной безопасности при использовании технологии виртуализации, предпочтительным решением является применение средств защиты от воздействия вредоносного кода на уровне гипервизора без установки агентского ПО на виртуальные машины. Однако такой подход возможен, только если разработчик имеет доступ на уровень виртуального коммутатора, внутри которого и проходят все пакеты, которые потом доставляются в ВМ. Будучи партнером по разработке решений для защиты и управления виртуальными средами на базе Microsoft Hyper-V, компания 5nine Software имеет доступ к виртуальному коммутатору Hyper-V, на уровне которого и реализуется защита (см. рис. 2).

Такой подход позволяет сэкономить до 30% ресурсов сервера, а антивирусное сканирование выполняется в 70 раз быстрее. В числе других преимуществ безагентского подхода Юрий Бражников называет устранение зависимости от действий персонала и клиентов, поскольку систему защиты нельзя отключить на уровне ВМ. Кроме того, общая трудоемкость обеспечения безопасности в результате снижается, поскольку теперь не нужно заботиться о каждой ВМ. Политику можно настроить на хосте или в центре управления, а затем очень быстро масштабировать ее в рамках ЦОДа, ведь виртуальная среда чрезвычайно динамична - ВМ постоянно создаются, переносятся и ликвидируются.

Благодаря интеграции 5nine Cloud Security Plugin в System Center, провайдеры могут предоставить своим клиентам не только средства управления инфраструктурой, но и инструменты контроля за безопасностью. «Любой клиент сможет самостоятельно обеспечивать и контролировать безопасность своих решений, - говорит Юрий Бражников. - Если вы пользуетесь ресурсами нескольких ЦОДов (например, собственного и принадлежащего хостинг-провайдеру), политики безопасности синхронизируются, так что при миграции в случае аварии или перераспределения нагрузки из одного центра в другой будут сохраняться все настройки корпоративной безопасности».

Если на начальном этапе в облако переносились емкие, но не самые ценные ресурсы, то теперь, когда на повестке дня встал вопрос о переносе критичных ресурсов, камнем преткновения оказывается вопрос обеспечения ИБ. Когда клиент передает свои ключевые бизнес-сервисы в облако, он хочет быть уверен в поддержании такой политики безопасности, которая удовлетворяет его требованиям.

БЕЗОПАСНОСТЬ - ЭТО СЕТЬ

Резонансные взломы системы безопасности с очевидностью продемонстрировали, что традиционная защита периметра, фокусирующаяся на трафике «север - юг» (межсетевые экраны, системы обнаружения и предотвращения, защищающие от атак извне), не способна оградить от неприятностей центр обработки данных, где между серверами преобладает трафик «восток - запад», не выходящий за его пределы. По некоторым оценкам, на последний приходится три четверти всего объема трафика ЦОДа.

Действенным решением проблемы разграничения трафика внутри центра обработки данных является микросегментация: разделение на многочисленные защищенные зоны. Благодаря современным виртуализированным решениям практически каждая виртуальная машина может быть снабжена собственным межсетевым экраном, что позволяет создать сеть с нулевым уровнем доверия внутри ЦОДа. Однако, как уже отмечалось в предыдущем разделе, гораздо более эффективным решением оказывается реализация средств безопасности на уровне гипервизора - речь идет о встроенном в этот гипервизор виртуальном коммутаторе.

Появление такого устройства стало ответом на потребность в обеспечении оперативного развертывания и динамической миграции виртуальных машин и приложений. Например, при развертывании нового приложения после запуска ВМ нужно было вручную задать VLAN, сконфигурировать маршрутизацию в физической сети, настроить политики МСЭ. Все эти операции занимали время, и к тому же они оказывались уникальными для каждой аппаратной платформы, на которой построен ЦОД. Иначе говоря, приложения и ВМ были привязаны к конкретной физической сети. Необходимо было устранить эту привязку, то есть виртуализировать сеть. Теперь, как отмечает Александр Кренев, руководитель направления сетевой виртуализации в московском офисе VMware, у каждой платформы виртуализации есть свой коммутатор, который является для нее «родным». Например, для гипервизора ESXi такой виртуальный распределенный коммутатор - Distributed Virtual Switch, для KVM в масштабах ЦОДа таковым можно считать Open Virtual Switch и т. д.

Поверх виртуального коммутатора на программном уровне реализуютcя базовые сетевые функции: коммутация, маршрутизация, брандмауэр и балансировка нагрузки. Каждый физический сервер с гипервизором становится не просто вычислительной платформой, на которой можно выделить ресурсы виртуальным машинам, но еще и многогигабитным коммутатором и маршрутизатором (старый слоган «сеть - это компьютер» получает новый смысл). Чтобы эти функции работали, нужна базовая IP-связность между серверами. На физической сети больше не нужно тратить время на настройку VLAN - достаточно один раз настроить транспортную сеть. Для передачи трафика через физическую сеть используется инкапсуляция VxLAN.

Использование виртуальных коммутаторов позволяет автоматизировать рутинные операции по настройке сети, ускорить аварийное восстановление и, конечно, повысить эффективность защиты. «Когда функции безопасности и фильтрации трафика выполняются на уровне виртуальной платформы, на уровне гипервизора, приложения можно защитить независимо от нижележащей физической архитектуры, - объясняет Александр Кренев. - Наверняка многие слышали о микросегментации или о модели нулевого доверия. Построить такую модель на платформе сетевой виртуализации очень просто, для этого не потребуется развертывать множество МСЭ».

Если отойти от вопросов безопасности и взглянуть чуть шире, то виртуализация сети открывает путь к реализации полностью программно определяемых центров обработки данных (см. рис. 3).

НА ЗАЩИТУ ПРИЛОЖЕНИЙ

В своем прогнозе на 2017 год среди 10 ключевых технологических тенденций Gartner называет адаптивную архитектуру защиты. Правда, по сравнению с прогнозом на текущий 2016-й, она теперь находится не на седьмом месте, а на десятом, что объясняется скорее эффектом потери новизны, чем снижением актуальности. Как отмечается в комментарии, «многоуровневая защита и анализ поведения пользователей и объектов станут обязательными требованиями для каждого предприятия».

Адаптивная защита предполагает встраивание мер безопасности во все бизнес-процессы - реализация их постфактум означает создание проблем самому себе. Соответственно, специалисты по безопасности должны тесно взаимодействовать с архитекторами решений и разработчиками приложений для включения мер безопасности еще на этапе проектирования решений и разработки приложений. Последние все чаще становятся объектом целенаправленных атак.

Как отметил в своем выступлении Рустэм Хайретдинов, заместитель генерального директора InfoWatch и руководитель проекта Appercut, все научились неплохо защищать свою сеть, поэтому атаки постепенно переносятся на прикладной уровень. К сожалению, они не детектируются с помощью традиционных средств, неспособных определить, где запрограммированная функция, а где просмотренная ошибка, - то есть нет аномалий, по которым можно решить, что идет атака.

При развертывании облачных сервисов большее внимание уделялось возможностям, но не рискам. «Теперь же настала пора фиксировать успехи, - призывает Рустэм Хайретдинов, - и думать об угрозах, которые начинают захлестывать сервисы, построенные без учета такой опасности». Выстроенная защита, ориентированная на монолитные приложения, безусловно, позволяет нивелировать часть из них, потому что старые атаки никуда не делись. Однако нападению подвергается не только сервис в целом (что выражается в попытках заблокировать канал или реализовать какие-то другие известные атаки), но и отдельные приложения в нем.

Эта ситуация усугубляется тем, что провайдеры не имеют контроля за предоставляемыми приложениями, которые к тому же часто обновляются. Ведь облако - неважно IaaS, PaaS или SaaS - это, по сути, некоторый набор приложений, создаваемых другими людьми. «Не зная, как устроены конкретные приложения, отражать новые атаки против них, при организации которых используется специфика их написания и проектирования, становится все труднее», - предостерегает он.

Злоумышленники используют ошибки и уязвимости в тех приложениях, которые пишутся быстро в соответствии с гибкой методологией разработки (agile). Скорость вывода на рынок новых функций оказывается важнее обеспечения их безопасности, к тому же старые методы защиты просто не успевают за скоростью разработки. Так, тест на проникновение (pentest) занимает несколько недель, и к моменту его завершения можно быть уверенным лишь в том, что позапрошлая версия сайта была безопасной.

Разработка ускоряется, практически «идет с колес» - изменения происходят каждые две недели, а такие проверки, как тест на проникновение, выполняются раз в полгода. В сложившейся ситуации есть лишь один выход - интеграция систем защиты с самим объектом. Однако пока подобная возможность реализована только в крупнейших сервисах уровня Amazon, где отдельной службы безопасности нет: имеются ответственные за безопасность в команде разработчиков и представители той же команды, например, в подразделении, обеспечивающем доступность.

Таким образом, подход к защите приложений кардинально меняется (см. рис. 4). «Я думаю, что к 20-м годам парадигмы разработки и защиты приложений полностью обновятся. Они сольются и будут развиваться вместе. Эта тенденция явно прослеживается, - заключает Рустэм Хайретдинов. - Сейчас мы находимся на промежуточном этапе, который характеризуется реализацией адаптивной безопасности, когда средство защиты не только изучает тот или иной защищаемый объект, но и подстраивается под него, а также подстраивает объект под свои требования. Однако пока здесь больше вопросов, чем ответов».

КАК ЗАЩИТИТЬ ЦОД

Атаки становятся многослойными, многоэтапными и многоуровневыми, они осуществляются с разных сторон, с разведкой, с отвлечением, с прикрытием. Сейчас уже нет чистой DDoS- или чистой хакерской атаки. Поэтому те, кто проектирует средства защиты, должны разбираться в видах атак. Только в рамках ЦОДа серьезного хостинг-провайдера можно собрать компетенции и оборудование такого уровня, которое сможет противостоять атакам DDoS и прочим видам наиболее тяжелых и разрушительных для бизнеса и репутации компании действий. О том, как организована защита реального ЦОДа, в своем выступлении рассказал Владимир Малиновский, руководитель продаж решений дата-центра Lattelecom, национального латвийского провайдера телекоммуникационных и облачных услуг.

Провайдеры облачных услуг находятся в основной группе риска - именно против них направлена основная доля атак DDoS. Однако даже провайдеру невозможно реализовать сразу все меры защиты, поэтому их внедрение происходило поэтапно. Построенный в 2013 году центр обработки данных Dattum отвечает базовым требованиям к физической защите ЦОДа уровня Tier III: отделенный периметр вокруг помещений ЦОДа, круглосуточная физическая охрана, комбинированный контроль доступа с использованием RFID и биометрии, а также удаленное видеонаблюдение с ведением архива записей. Однако, как отмечает Владимир Малиновский, физическая защита представляет собой лишь небольшую часть мер по обеспечению безопасности.

Прежде всего в Lattelecom классифицировали имеющиеся данные по критериям их критичности и доступности и свели все в таблицу, которая позволяет наглядно видеть, для чего требуется обеспечить приоритетную защиту (см. рис. 5). «Составив такую таблицу, вы уже более-менее понимаете, какими системами нужно заниматься в первую очередь», - объясняет Владимир Малиновский. Кроме этого, для ЦОДа в целом были определены основные источники угроз, к которым отнесены DDoS-атаки, хакеры, нелояльные сотрудники и клиенты хостинга.

На следующий год после введения ЦОДа в эксплуатацию были реализованы меры по обеспечению соответствия требованиям PCI DSS. Cертификация по PCI DSS нужна для тех клиентов, кто проводит финансовые транзакции. Этот сложный процесс предполагает реализацию целой программы, состоящей из более чем 250 пунктов. Для защиты сетевого периметра было развернуто решение AlientVault. Платформа AlienVault Security Management (USM) позволяет контролировать пять основных функций безопасности с единой консоли: инвентаризацию активов, оценку уязвимостей, мониторинг поведения, обнаружение вторжения и корреляцию событий безопасности (SIEM).

Толчком к внедрению следующего уровня защиты стало председательство Латвии в ЕС - требовалось обезопасить Интернет в национальном масштабе. Для защиты от DDoS-атак было внедрено решение RADware, однако для компании оно оказалось избыточным, поэтому на его базе было организовано предоставление услуг для банков. Реальный спрос на них появился только после того, как банки подверглись атакам. «Когда банки стали получать «письма счастья» от хакеров с предложением заплатить деньги, на следующий день почти все они приходили к нам и заключали договоры, и мы успешно устранили все угрозы», - рассказывает Владимир Малиновский.

Наконец, в этом году была реализована система RAPID 7, которая позволяет проводить тестирование уязвимостей в ОС и сервисах, выявлять ошибки в конфигурации, проверять соответствие политикам безопасности. Она же позволяет имитировать взлом, оценить уровень готовности системы к работе и составить отчет с рекомендациями о внесении требуемых улучшений. Lattelecom предлагает услуги по выявлению уязвимостей своим клиентам: «Казалось бы, можно один раз выполнить сканирование и на этом успокоиться. На самом деле после любого изменения в ОС и установки любой заплаты сканирование необходимо проводить снова. Так что заказчикам оказывается выгоднее подписаться на услугу», - резюмирует представитель Lattelecom.

МЕЧ И ЩИТ

Вечное противостояние между нападением и защитой выходит на новый уровень. Атаки быстро роботизируются, а боты уже имеют признаки искусственного интеллекта: они действуют автономно, сами находят приложения с уязвимостями, которые они умеют вскрывать, и начинают действовать по определенной программе. Такие концепции, как адаптивная архитектура защиты, предполагают переход от пассивных мер к активному противодействию в стремлении переиграть киберпреступников на их поле. Как выражаются в Gartner, защита должна стать «подвижной и адаптивной».

Однако на завершавшей форум дискуссии «Модель угроз для дата-центра. Чего бояться и что защищать в первую очередь» много говорилось о том, что применяемые меры защиты все же недостаточны: исключить на 100% вероятность успешной атаки неспособно ни одно техническое средство, если существует обмен данными с какой-то внешней системой и информация передается вовне. Для сведения ущерба к минимуму одним из решений могут быть принятие модели минимального доверия в ЦОДе, разграничение и ограничение прав администраторов, микросегментация сети.

Более-менее крупные компании стремятся построить свои ЦОДы и обеспечить их защиту собственными силами - такая критичная функция, как безопасность, делегируется весьма неохотно. Как известно, одной из самых больших угроз для любой ИС является тот, кто ее эксплуатирует. Однако, как указывают провайдеры услуг ЦОДов, облачные ресурсы более абстрагированы от конкретного персонала, чем корпоративные. К тому же провайдеры целенаправленно накапливают необходимые компетенции для организации профессиональной и потому эффективной защиты.

Обеспечивать безопасность самому или довериться провайдерам услуг ИБ - каждый выбирает в зависимости от своих приоритетов и возможностей, но угнаться в гонке кибервооружений за злоумышленниками становится все сложнее. И погоня оказывается совсем безнадежным делом, если пытаться обойтись лишь устаревшими методами периметральной защиты.

Дмитрий Ганьжа , главный редактор «Журнала сетевых решений/LAN»

Cегодня мы решили обратить внимание на тему «жизненного цикла» центров обработки данных, рассказать о том, что это такое и как правильное управление им позволяет компаниям сократить не только текущие, но и капитальные затраты. Учитывая современные тенденции к внедрению все новых решений (включая гиперконвергентные системы) и сервисов, значительные трудности в этом процессе могут быть связаны с изменением и адаптацией физической инфраструктуры дата-центров.

Жизненный цикл ЦОДа включает в себя поэтапный процесс развития инженерной инфраструктуры в соответствии с задачами бизнеса и ИТ-процессами и может быть разделен на несколько этапов:

1. Подготовительный : понимание целей создания, формирование концепции решения, выбор площадки;
2. Проектирование в соответствии с выбранной концепцией и характеристиками площадки;
3. Строительство ;
4. Эксплуатация ;
5. Оценка соответствия и анализ эффективности.

Требования бизнеса к ИТ-сервисам постоянно меняются, и завершающая данный цикл оценка соответствия как раз и помогает понять, насколько эффективно ЦОД позволяет решать текущие задачи, и способен ли он справиться с новыми, готов ли он к росту. Далее следует планирование доработки или модернизации площадки под новые задачи и все последующие этапы – круг замыкается.

Проектирование и строительство

Сегодня требуется четко формировать техническое задание, описывая в нём корректные и оптимальные решения, отвечающие задачам бизнеса в перспективе как минимум 5-8 лет. Помочь в подготовке грамотных специалистов может Центр обучения вендора, обладающего соответствующей компетенцией. Так задачей Центра обучения Schneider Electri c является ознакомление партнеров и клиентов с технически сложной продукцией компании, особенностями ее применения, установки и эксплуатации в реальных условиях.
ЦОД, как правило, физически не привязан к потребителям его услуг, однако, важно учитывать, что размещение его в неподходящем здании радикально увеличивает стоимость инфраструктуры площадки. Стоит помнить и о том, что окружение ЦОДа может влиять на его надежность.

Типичные ошибки, совершаемые на подготовительном этапе:

1. Проектирование ЦОДа как офиса, в то время как это промышленный объект;
2. Ошибки в резервировании систем, компонентов, коммуникаций;
3. Ошибки в расчете размера выделяемой площади под инженерные системы и вспомогательные помещения, с оценкой веса оборудования и его габаритов, с обеспечением автономности объекта.

Важным является понимание ключевых метрик ЦОДа, перспектив его развития, так как инженерные системы должны «пережить» 2-3 поколения ИТ-оборудования. Службу эксплуатации редко вовлекают в проект на этапе строительства. Между тем специалисты по электроснабжению и системам охлаждения должны привлекаться еще на этапе проектных работ и присутствовать в рабочих группах.

Эксплуатация

В ИТ-отделе могут быть и свои, внутренние проблемы. Когда разные ИТ-подразделения отвечают за разные компоненты (серверы, СХД, сетевое оборудование, системы охлаждения и пр.) и при этом не имеют четких регламентов и разделения зон ответственности, на площадке возникает хаос.

Оценка и оптимизация

Различные улучшения, такие как построение систем изоляции воздушных коридоров, реорганизация плит фальшпола, устранение в стойках мест с неправильной циркуляцией воздушных потоков с последующей перенастройкой систем кондиционирования, позволяет сократить энергопотребление ЦОДа в реальных проектах на 10-20%. Окупается такая оптимизация (если брать в расчет только энергопотребление) за 3-3,5 года.

Еще один эффект оптимизации – улучшение работы систем охлаждения, когда эффективнее используется установленное ранее оборудование , к примеру, становится возможной установка в стойку большего числа серверов. «Коэффициент полезного использования ЦОДа» можно довести с 70-75% до 90-95%. Такая оптимизация окупается примерно за полгода.

Аналитика данных помогает найти конкретное решение для снижения стоимости эксплуатации устройств на площадке заказчика, выбрать наиболее энергоэффективный режим или оптимизировать использование ресурсов. Или понять, что пришла пора модернизации.

Модернизация ЦОДа не всегда означает установку нового оборудования и в первую очередь представляет собой повышение КПД систем и эффективности их использования.

Оценка ситуации помогает понять, что нужно сделать, чтобы ЦОД вновь работал эффективно. У одного из заказчиков такая проблема была решена с помощью создания закрытых холодных коридоров и блокирования воздушных потоков там, где они снижали эффективность отвода тепла. Причем работа выполнялась без остановки систем дата-центра.

Во многих проектах работа ведется на стыке этапов эксплуатации и оценки. Сегодня у многих заказчиков появляются новые ИТ-задачи, идет информатизация, цифровизация бизнеса, приходится решать различные эксплуатационные проблемы. Справиться с ними помогает помощь экспертов на этапе оценки и проведение аудита ЦОДа. Созданный Schneider Electric в России Региональный центр разработки приложений (Regional Application Center) занимается комплексными решениями для дата-центров. Его основная задача – создание и поддержка устойчивого и эффективного функционирования ЦОДа на всех этапах его жизненного цикла.

Специалисты Schneider Electric принимают участие в проектировании, строительстве, комплексных испытаниях и вводе объектов в эксплуатацию, в последующей поддержке и модернизации дата-центра. На каждом этапе заказчику обеспечивается отказоустойчивость и эффективность работы ЦОДа. При росте масштабов и скорости цифровых технологий предлагаемые нами решения помогут компаниям, провайдерам облачных, телекоммуникационных сервисов и коммерческих площадок смотреть в будущее с уверенностью.