6.1. Основные проблемы безопасности «облачной» инфраструктуры

Рассмотрим основные проблемы безопасности облачной инфраструктуры [78]:

• защита периметра и разграничение сети;

• динамичность виртуальных машин;

• уязвимости и атаки внутри виртуальной среды;

• защищенность данных и приложений;

• доступ системных администраторов к серверам и приложениям;

• защита бездействующих виртуальных машин;

• влияние традиционной безопасности на производительность;

• управление обновлениями.

Защита периметра и разграничение сети. При использовании облачных вы­числений периметр корпоративной сети размывается, а то и вовсе исчезает. Это приводит к тому, что защита наименее защищенной составляющей сети опреде­ляет общий уровень защищенности. Корпоративный межсетевой экран, основнойкомпонент для внедрения политики безопасности и разграничения сегментов сети, не в состоянии повлиять на серверы, размещенные в облачных средах. Кро­ме того, теряется возможность сегментировать сеть межсетевым экраном и даже использовать аппаратные средства защиты, поскольку большая часть трафика пе­ремещается между виртуальными машинами (ВМ) (внутри физических серверов). Для разграничения сегментов с разным уровнем доверия в облаке виртуальные машины должны сами обеспечивать себя защитой, фактически перемещая сете­вой периметр к самой виртуальной машине. Единственное решение - разместить все средства безопасности внутри каждой ВМ с централизованным управлением защитой.

При подобном подходе только внедрение специализированной защиты для виртуальных сред, например такой, как Deep Security компании Trend Micro, позволяет безболезненно произвести виртуализацию ЦОД и переход к облачным вычислениям.

Динамичность виртуальных машин. Виртуальные машины по своей природе динамичны. В считанные секунды можно ввести в эксплуатацию новую маши­ну, приостановить ее работу, запустить заново. Виртуальные машины предельно просто клонируются и не менее просто могут быть перемещены между физичес­кими серверами. Подобная изменчивость сильно усложняет создание целостной системы безопасности, поскольку традиционная модель предполагает опреде­ленную стабильность ИТ - инфраструктуры. Уязвимости ОС или приложений в виртуальных средах могут распространяться бесконтрольно, проявляясь после произвольного промежутка времени (например, при восстановлении из резервнойкопии). Поэтому в средах облачных вычислений необходимо иметь возможность надежно зафиксировать состояние защиты системы независимо от ее местополо­жения и состояния.

Уязвимости и атаки внутри виртуальной среды. Серверы облачных вычислений используют те же ОС и те же приложения, что и локальные виртуальные и физические серверы. Соответственно, для облачных систем угроза удаленного взлома или заражения вредоносным кодом так же высока. На самом деле риск для виртуальных систем даже больше - параллельное существование множества виртуальных машин существенно увеличивает «атакуемую поверхность». Поэтому система обнаружения и предотвращения вторжений должна быть способнаопределять вредоносную активность на уровне виртуальных машин, вне зависимости от расположения ВМ в облачной среде.

Защищенность данных и приложений. В традиционных ЦОД защита данных строится на основе физической защиты доступа к аппаратным или программнымресурсам, но в облаке происходит то, что называют депериметризацией - все расставленные по периметру барьеры теряют смысл. Чтобы сохранить защищен­ность, соответствующие методы должны стать информационно - центричными (information-centric). Такого рода защищенность предполагает перенос методов защиты непосредственно к данным - доступ может получить только тот, кто обла­дает нужными правами, в нужное время и в нужном месте. Предприятия должны обладать возможностью проверить, что ресурсам не нанесен вред и системы не скомпрометированы, особенно в ситуации, когда они размещаются в разделяемойфизической среде. Защищенность ОС и файлов приложений должны контроли­роваться.

Доступ системных администраторов к серверам и приложениям. Одна из ключевых характеристик облачных вычислений - самообслуживание, то есть доступ через Интернет к управлению вычислительной мощностью. В традицион­ных ЦОД доступ инженеров к серверам контролируется на физическом уровне, в облачных средах они работают через Интернет. Критически важными становятсястрогий контроль доступа для администраторов, а также обеспечение контроля и прозрачности изменений на системном уровне.

Защита бездействующих виртуальных машин. В отличие от физической ма­шины, когда виртуальная машина выключена, остается возможность ее комп­рометации или заражения. Для этого достаточно доступа к хранилищу образов виртуальных машинчерез сеть. Более того, на выключенной виртуальной машине абсолютно невозможно запустить защитное программное обеспечение. Предпри­ятиям, которые используют виртуализацию, следует рассмотреть внедрение таких средств, какDeep Security, где реализована защита не только внутри каждой ВМ,но и на уровне гипервизора. Предприятиям, использующим сервисы облачных вычислений, следует убедиться в том, что провайдер имеет подобные средства безопасности в своей среде виртуализации.

Влияние традиционной безопасности на производительность. Большинство существующих решений безопасности создавалось до широкого распростране­ния систем виртуализации и проектировалось без учета работы в виртуальной среде. В облачной системе, где виртуальные машины пользователей разделяют единые аппаратные ресурсы, единовременный запуск, допустим, процедуры ска­нирования приведет к катастрофическому снижению общей производительности.Единственный выход для владельцев виртуализированных ЦОД и провайдеров облачных вычислений - использование специализированных средств защиты, учитывающих виртуализацию.

Управление обновлениями. Услуги облачных вычислений предполагают са­мообслуживание, что может создать путаницу в управлении обновлениями. Как только компания оформила заказ на облачный сервис, например создание веб-сервера из шаблонов, установка обновлений на платформу и веб-сервер уже не находятся в ведении провайдера. С этого момента за обновление отвечает клиент, Если оперативная установка обновлений невозможна или непрактична, то необходимо рассмотреть альтернативный подход - использование «виртуальных заплат» Технология «виртуальных заплат» предполагает блокировку нацеленныхна уязвимости атак непосредственно на сетевом уровне.