«Информационная безопасность в облаках» - статья В.Статьева журнале «Connect»

Особенности ИБ в облачных средах

Один из основных принципов, реализуемых в процессе использования современных информационных технологий, – принцип системной безопасности. Он предполагает, что информационно-телекоммуникационные услуги, предоставляемые современными системами с определенным уровнем качества, являются безопасным продуктом, т. е. их использование не приводит к нежелательным для потребителя последствиям в процессе сбора, обработки информации и выработки на ее основе требуемого решения. Это относится прежде всего к таким характеристикам качества информации, как достоверность и полнота, полезность и своевременность ее получения, защита от несанкционированного ее распространения, что и определяет понятие информационной безопасности (ИБ) для потребителей.

Актуальность данного принципа возрастает по мере развития информационных технологий, в рамках которых происходит выделение процессов порождения информации, ее отображения, хранения и обработки в отдельное производство, независимое от остальных процессов. Речь идет в первую очередь о распределенных базах данных, распределенной обработке информации, GRID-технологиях, SOA-архитектурах и, конечно, облачных вычислениях как модели предоставления по требованию удобного сетевого доступа к разделяемому пулу конфигурируемых ресурсов обработки данных (сети, серверы, ресурсы хранения, приложения и сервисы). Как правило, говорят о трех облачных моделях аутсорсинга: инфраструктура как услуга (IaaS), платформа как услуга (PaaS), приложение как услуга (SaaS). В зависимости от варианта реализации с точки зрения категорий потребителей услуг облако может быть публичным, корпоративным или частным.

Реализация различных архитектур в идеологии облачных вычислений обостряет проблему обеспечения информационной безопасности, что обусловлено:

• повышением уровня консолидации разнородной информации различных собственников и потребителей, т. е. повышением цены и критичности последствий в случае реализации угроз информационной безопасности;
• повышением уровня потенциальной доступности информации, отторгаемой от своего собственника, т. е. возникновением новых рисков нарушения информационной безопасности;
• использованием ресурсов коллективного пользования, т. е. возрастанием риска для всех потребителей услуг конкретного ресурса в случае нарушения его информационной безопасности.
  

С точки зрения обеспечения информационной безопасности переход от традиционных информационных технологий к архитектурам, построенным в идеологии облачных вычислений, характеризуется следующими факторами:

•  отсутствует четкий периметр обеспечения информационной безопасности, понятие «объект информатизации» размывается;
• информационная безопасность наряду с традиционными характеристиками начинает ассоциироваться с таким понятием, как уровень доверия к предоставляемым услугам;
• реализуется совместное использование ресурсов разными группами потребителей облачных услуг, для которых существуют различные модели угроз, модели нарушителя и модели защиты;
• одновременная обработка информации различных категорий доступа: от общедоступной до информации конфиденциального характера, подлежащей защите как по решению собственника информации (коммерческая тайна, интеллектуальная собственность), так и в соответствии с некоторыми внешними требованиями (служебная тайна, банковская тайна, медицинская тайна, персональные данные и т. п.);
• потенциальная возможность потери государственно-территориальной принадлежности процесса обработки информации, включая вычислительную обработку и хранение данных, средства программного обеспечения и защиты информации, трансграничная передача данных;
•  доступность, конфиденциальность и целостность информационной поддержки целевых процессов потребителей облачных услуг становятся существенно зависимыми от поставщика услуг.
  

Актуальность перечисленных факторов определяется типом облака (публичное, корпоративное, частное). Все множество факторов характерно для публичного облака.

В рамках облачных вычислений по-новому начинает распределяться и ответственность за обеспечение информационной безопасности, которая зависит от реализуемой модели аутсорсинга (IaaS, PaaS, SaaS). В зону совместной ответственности потребителя и поставщика услуг входят:

• управление идентификационными данными;
• управление аутентификацией;
• соответствие требованиям по ИБ в части сбора и обработки информации;
• установка обновлений ОПО и ППО;
• конфигурирование и обслуживание СЗИ;
• управление функциями безопасности ОПО, ППО;
• мониторинг информационной безопасности в своей зоне ответственности;
• обеспечение физической безопасности инфраструктуры;
• обеспечение информационной безопасности средств виртуализации.
  

Указанные функции перераспределяются от поставщика услуг к их потребителю при переходе от модели аутсорсинга IaaS к PaaS и далее к SaaS.

Модель угроз

Модель угроз облачных вычислений создается путем консолидации трех моделей угроз: аутсорсинга, систем без виртуализации, технологий виртуализации.

Наименее проработанной на сегодняшний день является модель угроз аутсорсинга, имеющая юридический характер. Особенно актуальная для публичного облака, она связана со следующими основными угрозами:

• отсутствие критериев оценки профессионализма и уровня доверия к поставщику услуг;
• некачественное выполнение поставщиком услуг своих функций;
• наличие внутреннего нарушителя у поставщика услуг;
• невозможность оценки со стороны потребителя услуг выполнения поставщиком услуг требований по информационной
• безопасности;
• невозможность поставщика услуг оценить наличие у потребителя услуг злонамеренных целей вхождения в облако;
• потенциальная возможность предоставления поставщиком услуг информации облака по требованию регулятора, включая зарубежного регулятора страны размещения ЦОД, без уведомления собственника этой информации;
• потенциальная возможность выхода поставщика услуг из режима аутсорсинга услуг со всеми вытекающими для потребителя услуг последствиями по конфиденциальности, целостности и доступности информации.
  

Решения перечисленных вопросов могут прорабатываться по следующим направлениям:

• схема лицензирования деятельности поставщика услуг;
• схема аккредитации поставщика услуг;
• новые подходы к сертификации облачных решений
• стандартизация облачных решений;
• создание эталонных архитектур облачных вычислений;
• страхование информационных рисков потребителей услуг.
  

По некоторым из этих направлений наработан определенный международный опыт, который целесообразно использовать при реализации российских облачных вычислений.

Две другие модели угроз (систем без виртуализации, технологий виртуализации) носят технический характер. Модель угроз систем без виртуализации наиболее проработана соответствующими регуляторами и формируется на основе рекомендованного типового перечня угроз. С внедрением технологий виртуализации появились новые угрозы, определяемые спецификой самого процесса виртуализации. Угрозы информационной безопасности, связанные с использованием технологий виртуализации, обусловлены атаками на гипервизор, виртуальные машины и средства управления виртуальной инфраструктурой, в том числе:

• несанкционированный доступ к ресурсам виртуальной машины;
• перехват управления виртуальной машиной;
• перехват данных в сети репликации виртуальных машин;
• захват ресурсов гипервизора;
• перехват управления виртуальной инфраструктурой;
• использование уязвимостей в системе хранения и резервного копирования образов виртуальной инфраструктуры.
  

В зависимости от модели аутсорсинга (IaaS, PaaS, SaaS) изменяются источники угроз. Наиболее значимыми источниками угроз признаются:

• ненадлежащее использование облачных вычислений;
• небезопасные прикладные программные интерфейсы;
• внутренние нарушители;
• уязвимости технологии разделения;
• утечка и/или потеря данных;
• несанкционированный захват учетных записей, сервисов, потоков данных;
• неизвестные профили рисков.
  

Управление безопасностью облачных вычислений

Для управления информационной безопасностью облачных вычислений используются два подхода, отдельно или совместно. Первый подход основан на существующей нормативно-методической базе ФСТЭК и ФСБ России, второй – на стандартах ISO/IEC 27001 и ISO/IEC 17799 (ГОСТ Р ИСО/МЭК 27001-2006, ГОСТ Р ИСО/МЭК 17799-2005), регламентирующих вопросы управления рисками и инцидентами информационной безопасности. Попытка объединить эти подходы предпринимается в рамках отраслевого стандарта СТО БР ИББС Банка России.

В России развитие облачных вычислений в настоящее время не имеет целостного характера и определяется в основном глубиной понимания данного вопроса системным разработчиком. В основу создаваемых архитектур закладываются промышленные решения западных разработчиков, которые не совместимы между собой. Отечественные  промышленные разработки характеризуются фрагментарностью, а российская нормативная база находится в стадии

формирования. Наиболее масштабным проектом облачных вычислений является создание национальной платформы для распределенной обработки данных (НПРОД). В соответствии с распоряжением Правительства Российской Федерации от 21 марта 2011 г. № 453-р национальному оператору ОАО «Ростелеком» поручено проектирование и создание НПРОД, предполагающей предоставление информационно-коммуникационных услуг по моделям IaaS, PaaS, SaaS. На базе НПРОД могут быть развернуты два типа облаков (по отношению к потребителям): публичные и внешние частные.

Дальнейшая судьба облачных вычислений определяется системным развитием:

• нормативно-методической базы, определяющей рамки и возможности использования технологий облачных вычислений;
•  гарантий безопасности услуг облачных вычислений;
• механизмов контроля качества услуг и доверия при использовании облачных вычислений;
• нормативно-методической базы, определяющей права и обязанности поставщиков и потребителей облачных услуг.