Вопросы безопасности обработки информации в корпоративных облачных системах Добрица И. В., ФСБ России 23 марта 2012 г. 11-я конференция «Обеспечение доверия и безопасности при использовании ИКТ» марта 2012 г., г. Москва

1. Корпоративные облачные системы (КОС) Основной отличительной особенностью КОС является полный контроль над облаком подразделений ИБ и ИТ организации. Частное облако может быть развернуто либо на площадке организации, либо на площадке у провайдера облачных услуг. Условно КОС можно разделить на три компонента: облачную среду; клиентскую составляющую; среду доступа.

2. Особенности безопасной обработки информации в КОС Безопасность обработки информации в КОС - обеспечение целостности, доступности и конфиденциальности информации. Необходимо: учесть особенности реализованной в среде модели обслуживания (SaaS, PaaS, IaaS); обеспечить безопасность информации при ее обработке на стороне клиентской составляющей; обеспечить безопасность взаимодействия клиентской составляющей с облачной средой.

3. Угрозы безопасности в облачной среде 1. Несанкционированное взаимодействие между виртуальными машинами и хостами. 2. «Побег» виртуальной машины. 3. Слежение со стороны хоста. 4. Слежение со стороны виртуальной машины. 5. Атаки в облаке. 6. Внешние модификации. 7. «Закисшие» виртуальные машины.

4. Механизмы обеспечения целостности и доступности В облачных платформах разработчиками реализуются следующие механизмы защиты: идентификация и аутентификация пользователей; разграничение прав доступа и контроль доступа пользователей к ресурсам; защищённое управление виртуальной инфраструктурой; защищённый доступ к платформе виртуализации; функции журналирования событий безопасности; управление хранением данных и их аварийное восстановление.

5. Механизмы обеспечения конфиденциальности Криптографическая защита информации в КОС - единственная гарантия ее безопасности. Объектами криптографической защиты КОС являются: 1. Виртуальные диски. 2. Записи баз данных. 3. Виртуальные машины. 4. Каналы связи (среда доступа). 5. Данные на клиентской составляющей.

5.1. Шифрование виртуальных дисков В облачной среде виртуальные диски монтируются к ВМ. Шифрование виртуальных дисков может быть реализовано посредством использования: средств шифрования серверных дисков (для этого могут использоваться существующие решения); специализированных средств криптографической защиты, функционирующих в составе каждой пользовательской ВМ (для этого могут использоваться существующие решения); механизмов криптографической защиты, реализованных в составе облачных платформ (таких решений ещё нет).

5.2. Шифрование записей БД Шифрование записей БД может быть реализовано: на уровне СУБД, функционирующей в составе отдельной ВМ или сервера (для этого могут использоваться существующие решения); сервером приложений, который непосредственно работает с БД (для этого могут использоваться существующие решения); механизмами криптографической защиты, реализованных в составе облачных платформ (таких решений ещё нет).

5.3. Шифрование виртуальных машин Виртуальная машина – файл с образом памяти и процессов (иногда и с данными). Шифрование виртуальных машин при их передаче между узлами и при их хранении в неактивном состоянии – важнейшая составляющая безопасности облачной среды. Однако в этом случае механизм шифрования также должен быть реализован на уровне облачной платформы (пока таких решений нет).

5.4. Шифрование каналов связи Шифрование каналов связи может быть реализовано с использованием: специализированных программно-аппаратных средств (криптомаршрутизаторов или ip- шифраторов); криптографических сетевых протоколов, обеспечивающих защищённую идентификацию/аутентификацию между клиентом и облаком, а также защищённый канал передачи данных между клиентом и облаком.

5.5. Шифрование данных на клиенте Данные шифруются на клиенте и в облако передаются уже в зашифрованном виде. В этом случае сводятся на нет преимущества облачных сервисов, поскольку всю обработку данных необходимо будет выполнять на клиенте. Облачный сервис фактически превращается в систему хранения данных в зашифрованном виде. Использовать потенциал облачных сервисов в полном объёме возможно, если взаимодействие клиента с облачной средой осуществлять с использованием сквозного шифрования, однако в настоящее время сквозное шифрования в облачных системах не реализовано.

6. Выводы и предложения I. Безопасность обработки информации в КОС – комплексная проблема, для которой в настоящее время не существует коробочного решения. II. Наиболее перспективным подходом по реализации в КОС сервиса криптографической защиты является встраивание криптографических механизмов (с отечественными криптографическими алгоритмами) в состав облачных сред и программ-клиентов. III. В качестве прототипов можно выбрать облачные платформы и программы-клиенты с открытым исходным кодом, доработанные в рамках мероприятий по созданию Национальной программной платформы.

7. Источники информации 1. Орлов С. От ЦОД к частному облаку. Журнал сетевых решений/LAN 2, ОНил Марк. Контрольный список мер безопасности для облаков. Облачные вычисления 0311, Черняк Л. Безопасность: облако или болото? Открытые системы 01, Самойленко А. Реальная проблема виртуализации – безопасность Защита частного облака Cloud Security Управление хранением данных и обеспечение высокой готовности в облаке. Материалы с сайта 8. Шифрование в облаках Шифрование в облаках Частное облако – правильный выбор. Открытые системы 10, Яремчук Сергей. Защищаем данные в «облаке». Хакер 1/156/2012.

БЛАГОДАРЮ ЗА ВНИМАНИЕ! Вопросы безопасности обработки информации в корпоративных облачных системах Добрица И. В., ФСБ России 23 марта 2012 г. 11-я конференция «Обеспечение доверия и безопасности при использовании ИКТ» марта 2012 г., г. Москва