Security in cloud computing

Икономически университет – Варна
Център „Магистърско обучение“

по Безопасност и защита на тема:

Безопасност и защита при Cloud Computing

Изготвил: Проверил:
Даниела Димитрова, доц. д-р Стефан Дражев
спец. Информатика, курс V х. ас. Видилина Кръстева
гр. 59, фак. № 10689

Варна
2013


Съдържание

Въведение .................................................................................................................................. 3
1. Модели на облачните услуги .............................................................................................. 5
2. Видове облаци .................................................................................................................... 6
3. Нормативно съответствие и одит ...................................................................................... 7
4. Управление на жизнения цикъл на информацията ........................................................... 8
5. Информационна сигурност на приложенията ................................................................. 11
6. Криптиране и управление на криптографски ключове .................................................... 13
6.1. Криптиране на информацията при съхранението й на дисков масив или в база от
данни ..................................................................................................................................... 14
6.2. Криптиране на информация при съхранение на данни върху лентови носители ...... 14
7. Сигурност на центъра за обработка на данни (ЦОД) ...................................................... 15
8. Управление на идентичността и контрола на достъпа ................................................... 17
9. Виртуализация .................................................................................................................. 18
10. Заплахи в cloud computing ............................................................................................... 19
11. Сигурност в облака от физическа гледна точка ............................................................. 24
Заключение .............................................................................................................................. 26
Терминологичен речник ........................................................................................................... 27
Използвана литература: .......................................................................................................... 29

Даниела Димитрова, спец. „Информатика“ Стр. 2 - 29


Въведение

В последните години се появява нов модел на компютърни технологии,
наричан “облачни компютърни технологии”, като облакът е метафора за
технологии и услуги, достъпни през Интернет. Изчислителният "облак" всъщност е
концепция от 60-те години на миналия век, но навлиза в IT сферата в последното
десетилетие на този век. Облакът е възможно най-ефективният начин за
използване на информационните технологии.
С изобретяването на новия бизнес-технологичен модел организациите
масово преструктурират своите IT системи от традиционния модел клиент/сървър
към облачен технологичен модел, при който всичко се предлага като услуга без
значение дали става въпрос за софтуер, хардуер или съхраняване на
информационни масиви.
Облачната технология е модел, който прави възможен мрежовия достъп до
споделени ресурси като интернет мрежи, сървъри, хранилища за масиви от данни
и софтуерни приложения с минимално участие или управление от доставчика на
услугата.
С навлизането на този технологичен бизнес модел, потребителите могат да
достъпват тежки по отношение на разхода на ресурс приложения дори чрез леки
преносими устройства като мобилни телефони, смартфони, лаптопи и PDA
устройства. Облачните технологии преместват изчислителната мощ и
информацията от десктоп компютрите и преносимите устройства в мега мощни
центрове за данни, което намалява разходите и формира нов по-гъвкав подход за
реализиране на бизнес.
В понятието „cloud computing“, т.е. облачни изчисления, облачни технологии,
се включва предлагането на компютинга като услуга, а не като продукт. Т.е.
приложения, платформи, IT инфраструктура, намиращи се отдалечено от дадена
организация, но в същото време достъпвани през Интернет. Най-често облачните
услуги се асоциират с ползване на външно дисково пространство, процесорна мощ
и софтуерни приложения, за което се заплаща определена месечна такса.
Поддръжката на използваните от компанията ресурси в тази технология не е
ангажимент на организацията. Т.е. облачната технология е собствена услуга при



поискване, с неограничен мрежов достъп, споделен и наличен ресурс, светкавична
еластичност и заплащане само на използвания ресурс.
Облакът изглежда изключително привлекателен за средни и малки бизнеси, тъй
като те много бързо могат да получат инфраструктура, услуга, без да инвестират
значителни суми в изграждането на тази инфраструктура. Именно затова
облачните технологии са толкова примамливи и привлекателни.
Облакът може да се определи като виртуализирана инфраструктура, която се
използва максимално. Основните му характеристики са:
 Мрежов достъп
 Гъвкавост
 Измеримост
 Самообслужване
 Извличане на ресурси
Съществуват различни модели на облачните услуги, както и различни видове
облаци.



1. Модели на облачните услуги

 IaaS (Infrastructure as a Service) – Инфраструктура като
услуга

 SaaS (Software as a Service) – Софтуер като услуга

 PaaS (Platform as a Service) – Платформа като услуга

IaaS дава възможност да се използва компютърна инфраструктура „под наем“.
Вместо да си купуват собствени хардуерни сървъри, сървърен софтуер, дискови
масиви за съхранение на данните, мрежово оборудване, техника за аклиматизация
и т.н., компаниите могат да използват всичко това под формата на услуга –
аутсорсинг продукт. Подобна услуга обичайно се заплаща на принципа на
комуналните услуги – като тока и водата. Цената зависи от обема на ресурсите,
които са били консумирани. Иначе казано, цената отразява нивото на активност на
самия потребител. Според някои специалисти, това е следващото еволюционно
ниво след популяризирането на уеб хостинга и виртуалните частни сървъри.
Примери: Amazon AWS, RackSpace Cloud, Savis

При SaaS модела софтуерът е инсталиран при доставчика и потребителите го
достъпват чрез Интернет. Този модел особено много се разпространи с появата на
Уеб услугите (Web Services) и ориентираната към услуги архитектура (Service-
Oriented Architecture - SOA). Разплащането в SaaS, обикновено, е на абонаментен
принцип. Има две разновидности на SaaS. Първият вариант е аналогичен на
модела „доставчик на приложни услуги“ (Application Service Provider - ASP), при
който комерсиално достъпният софтуер е инсталиран при доставчика. При втория
вариант на SaaS се използва единствено копие на софтуера, което е инсталирано
при доставчика и е специално разработено за SaaS.
Примери: Google App, Microsoft Office Live, YouTube, SalesForce.com



PaaS моделът за доставяне на облачни услуги предоставя възможност на
потребителя да разработва и развива върху облачната инфраструктура
потребителски ориентирани приложения и интерфейси, като ползва програмни
езици, библиотеки, поддържащи услуги и специализирани инструменти,
осигурявани от доставчика на облачни услуги. PaaS е платформа, върху която
може да се разработва софтуер и да се тества. Този модел е предназначен
основно за фирми, които се занимават с писане на софтуер, тестване и системна
администрация.
Примери: Google App Engine, Microsoft Azure, Facebook F8, Force.com, Heroku.

2. Видове облаци
Начините за реализация на облачните технологии се разделят на различни
видове облаци:
 Публичен (Public) - Инфраструктурата на облака се предоставя на
широката общественост или на голяма отраслова група и е
собственост на организацията
 Частен (Private) - Инфраструктурата на облака се използва
изключително за конкретната организация. Тя може да се управлява
от организацията или от трета страна и може да съществува в
помещенията или извън помещенията на организацията. Трябва да се
отбележи, че „частният облак" разчита като минимум на определени
технологии, които са типични и за „публичните облаци" – в това число,
по-специално, виртуализационни технологии, които подпомагат
реорганизацията на архитектурата за обработка на данните.
 Хибриден (Hybrid) - съставен е от два или повече облака
(частни, общностни или публични)
 Общностен, колективен (Community) - инфраструктурата на облака се
споделя от няколко организации и служи за поддържането на
специфична общност от потребители, които споделят обща мисия,
обща политика, общи изисквания към информационната сигурност и
др.
Независимо от модела на доставка на облачни технологии или вида на облака,
то съществуват заплахи за сигурността на съхраняваната информация и облачната



инфраструктура трябва да бъде съобразена с действащата нормативна уредба и
регулаторни изисквания.

3. Нормативно съответствие и одит
В момента силно развиващите се облачни технологии и инфраструктури не
подлежат на самостоятелна регулация, което прави ситуацията още по-сложна,
защото всички действащи регулации за конвенционална ИКТ1 трябва да бъдат
транслирани към облачната инфраструктура. Отговорът на въпроса дали една
облачна инфраструктура е в нормативно съответствие се получава след извършен
одит или проверка от независима организация и конкретна регулаторна
институция. Резултатите от одит или проверка за съответствие са индикаторът,
който всеки потребител на облачни решения трябва да търси.
Доставчикът трябва да е съобразил управлението и предоставянето на
своите услуги с действащото законодателство на територията на Република
България. При организации, които имат изключително строги регулаторни и/или
законодателни изисквания доставчикът има ресурса да осигури допълнителни
механизми за контрол, както и да преразгледа SLA (Service Level Agreement) и
договори, за да се постигнат бизнес изискванията на организацията. Свързващото
звенo между информацията и приложенията на организацията, и самата
организация, е облачната инфраструктура на доставчика, затова той предоставя
възможността самата организация и/или наета от нея трета страна да извърши
одит на предоставяната облачна услуга, респективно на ресурсите и активите,
които осигуряват тази услуга.
Доставчикът има внедрена Система за управление на информационната
сигурност (СУИС), съгласно ISO/IEC27001, което кореспондира с това, че той може
да представя облачни услуги, които управляват критични услуги и чувствителна
информация. За да се постигне съответствие с регулаторни и/или законодателни
изисквания доставчикът съдейства на организацията при преговори с регулаторния
орган, за да се докаже обективно, че ползването на избраната облачна услуга няма
да повлияе негативно върху конфиденциалността, целостта и наличността на
информацията, дори напротив ще повиши нивата на сигурност на информацията.
Има данни и приложения, които на този етап не могат да „живеят” в облачна среда,
1
Информационни и комуникационни технологии



но при избора на подходящите облачни модели за доставяне и разгръщане част от
информацията и приложенията на организацията могат да бъдат мигрирани към
облачната инфраструктурата, а чувствителните активи да продължат да оперират
на територията на организацията. При SaaS модела за доставяне на услуги в
облака, доставчикът поема цялата отговорност зa внедряване и управление на
механизмите за контрол. Това е модел, при който не се налагат сериозни
регулаторни и законодателни изисквания към организацията, която ползва облачни
услуги. При PaaS модела за доставяне на услуги в облака, отговорността за
внедрените механизми за контрол се разпределя между доставчика и потребителя.
Това е модел, при който се налагат регулаторни и законодателни изисквания към
организацията, като те трябва да бъдат организирани и управлявани двустранно.
При IaaS модела за доставяне на услуги в облака, доставчикът поема
отговорността за внедряване и управление на механизми за контрол, свързани с
Център за обработка на данни (ЦОД), с ниво Tier 4, съгласно TIA-942, мрежова
свързаност, хардуер и хипервайзор. Това е модел, при който се налагат сериозни
регулаторни и законодателни изисквания към организацията, като тя сама
внедрява и управлява механизмите за контрол, свързани с операционната
система, СУБД2, приложенията и данните. Доставчикът на услуги управлява
непрекъснат процес за събиране и съхранение на обективни доказателства, които
доказват наличието на съответствие с регулаторни и/или законодателни
изисквания.

4. Управление на жизнения цикъл на информацията
Основната цел на информационната сигурност в облачната среда е да
защити данните на абонатите, които се управляват от приложенията и
информационните системи в облачна инфраструктурата. При мигриране към
облачна среда, традиционните методи за защита на данните се заменят с облачно
базирани решения за гарантиране на сигурността на информацията. Жизненият
цикъл на данните преминава през следните етапи:
 Създаване
 Съхранение
 Ползване
2
Система за управление на бази данни



 Споделяне
 Архивиране
 Унищожаване
Ключовите предизвикателства в управлението на жизнения цикъл на
информацията са:
 Сигурност на информацията, при която трябва да се осигурят
конфиденциалност, цялостност, наличност, автентификация,
автентичност, оторизация
 Физическото разполагане на информацията, при което трябва изрично да
е споменато къде ще се разположи физически информацията,
включително на дисковите системи за съхранение на данни и бекъп
(backup) медиите.
 Смесване на информация от различни класификационни нива, при което
трябва изрично да са внедрени механизми за контрол, които не
позволяват информация на различни потребители и различни
класификационни нива да бъде смесвана.
 Прозрачно резервиране и възстановяване на информацията, при което
данните трябва да бъдат резервирани и възстановявани съгласно
утвърдени и ефективни схеми.
 Разкриване на информация, при което трябва да се внедрят
необходимите физически, логически и административни механизми за
контрол на информацията, съхранявана и обработвана в облачната
инфраструктура да не бъде разкривана без съгласието на нейния
собственик.
 Доставчикът осигурява целостта и конфиденциалността на
информацията и декларира механизмите за контрол, които гарантират
невъзможността за компрометиране на целостта и конфиденциалността,
като докладват инцидентите на потребителя.
 Доставчикът осигурява пълна прозрачност на приетата и изпълнявана
политика за сигурност на информацията в облачната си инфраструктура
през целия жизнен цикъл на информацията.
 Доставчикът отразява в SLA и в договор физическото място и/или
местата, върху които може информацията да бъде обработвана и



съхранявана, ЦОД, физически или виртуален информационен ресурс,
система за съхранение на данни, бeкъп медиите и т.н.
 Доставчикът е разработва предварително система за обезщетения,
ако информацията на потребителя не е налична, нарушена е
целостта й или поверителността е компрометирана.
Отговорност на абоната е да информира и да отрази в споразумението си с
доставчика на услуги, а в последствие и да актуализира, кой може да има достъп
до информацията, какви са неговите права и привилегии и при какви условия
предните се осигуряват. Абонатът определя схемата за класификация на
информацията и класифицира информацията съгласно утвърдената схема.
Доставчикът прилага утвърдената схема за класификация, като избира
подходящите механизми за контрол, чрез които управлява и наблюдава достъпа до
информацията на потребителя. Всички детайли са документирани в SLA и в
договора, като е осигурена възможност за одитиране и контрол.
Доставчикът внедрява множество механизми за контрол, които предоставят
възможността информацията да бъде съхранявана и предавана в криптиран вид.
Доставчикът предварително идентифицира и определя периметри на сигурност, в
които информацията е защитена от неоторизирано разкриване, модифициране
и/или повреда.
Доставчикът предоставя услуги в облака, които гарантират логическо или
физическо изолиране на абонатите. След изготвени анализ и оценка на риска,
абонатът може сам да определи кой тип отделяне да избере. Доставчикът
осигурява архивиране на информацията на абоната в специално организирани за
абоната ресурси, без каквато и да било възможност за смесване на архивни данни
на други абонати на инфраструктурата. Осигурена е възможност потребителската
информация да бъде напълно унищожена след приключване на нейния жизнен
цикъл.
След прекратяване на договорените взаимоотношения, освен ако не е
договорено друго, потребителската информация би трябвало да бъде напълно
унищожена от всички медии в облачната инфраструктурата: системи за
съхранение на данни – дискови масиви, ленти и т.н. Доставчикът извършва
периодични тестове за възстановяване на информацията от архиви, като
предварително съгласува действията си с абоната, и само след изрично



одобрение. Доставчикът управлява лог файлове, журнални файлове и дебъгинг
файлове с изключително внимание, тъй като в тях може да има чувствителна
информация.

5. Информационна сигурност на приложенията
Приложенията заедно с функциите и процесите, които поддържат, са един от
основните активи в облачната среда, заедно с данните на абонатите. Внедрените в
облачната инфраструктура приложения ще бъдат подложени на заплахи, които по
нищо не се различават от заплахите в конвенционалната ИКТ среда, която се
поддържа от всяка организация. Известно е, че повечето приложения са пуснати в
експлоатация с недостатъци и уязвимости, които ако бъдат открити от агент на
заплаха могат да бъдат експлоатирани и да причинят вреди за самото приложение
и/или за управляваната чрез него информация на потребителя. Информационната
сигурност на приложенията е отговорност, която се разпределя в различно
съотношение между доставчика и абоната, при различните модели на услугите –
софтуер, платформа, инфраструктура.
При SaaS модела голяма част от отговорността се пада на доставчика. Той
определя, внедрява и поддържа механизмите за контрол и осигурява
възможността да се проверява тяхната ефективност.
При PaaS модела отговорността е споделена, като доставчикът предлага
набор от механизми, които могат да бъдат внедрени от абоната.
При IaaS модела отговорността за сигурността на приложенията е на
абоната. Той сам определя какви механизми за контрол ще бъдат внедрени и как
ще ги управлява и наблюдава.
Доставчикът се стреми да внедрява в своята облачна инфраструктура
приложения, които са разработени и изпитани от водещи доставчици на софтуерни
решения. Всички приложения, поддържани в облачната инфраструктура на
доставчика, са периодично подлагани на тестове за уязвимости (vul tests).
Тестовете предоставят обратна връзка за нивото на сигурност, което е постигнато
и възможните уязвими места във функциониращите приложения. Когато
производителят на приложението открие уязвимост в своите продукти предоставя
официален пач, който се изпитва в тестова облачна среда и при успешно
приключил тест се интегрира в оперативната облачна инфраструктура. В



облачната инфраструктурата времето за обновяване на работещо приложение е
сведено до текущия работен ден. Когато доставчикът разработва собствени
приложения ползва конкретен SDLC (Software Development Life Cycle) модел за
всяко приложение, което внедрява в своята облачна инфраструктура. В етапите на
SDLC се проектират всички механизми за контрол и сигурността на приложението.
В конвенционалните IT решения, голяма част от механизмите за информационна
сигурност не се залагат в архитектурата на приложението, а се разчита на
различни алтернативни решения. Съвременните облачни приложения трябва да
бъдат налични от всяко едно географско място, от всяко възможно устройство и по
всяко едно време, така че те са изложени на абсолютно всички възможни заплахи
и е задължително да бъдат гарантирани с най-високо ниво на информационна
сигурност. Препоръчително е внедряване на допълнителни механизми в
приложенията за контрол относно валидацията и верификацията, за да са
надеждни предлаганите от доставчика услуги в облака.
Всички приложения, в облачната инфраструктура, са логически или
физически изолирани едно от друго, по този начин доставчикът гарантира, че
информацията управлявана от едно приложение не може да се смеси с
информация от друго приложение. Вътрешният обмен на информация (интер-
хостовите връзки, независимо дали са върху едно и също хардуерно устройство,
между устройства в един ЦОД или между устройства в два ЦОД-а) е стриктно
контролиран в облачната инфраструктура. Същият процес при стандартните ИКТ
инфраструктури е силно подценяван.
Идентификацията и автентификацията са изключително важни при работата
с облачни приложения. Възможно е използването на двуфакторна автентификация
чрез смарт карти, които отключват достъпа до тях само след коректно въвеждане
на ПИН.
Доставчикът разрешава на всеки потребител да извършва отдалечени vul
тестове и оценка на уязвимостта на приложенията си, но след изрично
допълнително споразумение или предварително регламентиране в SLA и в
договор.
Организациите се доверяват на доставчика при наличие на обективни
доказателства за високо ниво на информационната сигурност в управляваните



услуги в облака, затова е осигурено контролирано разпространение на докладите
от vul тестовете.

6. Криптиране и управление на криптографски ключове
Днес криптирането на информацията е от изключително значение, както в
конвенционалната ИКТ, така и в облачната инфраструктура. Надеждното
криптиране на данни заедно с управлението на идентичността и контрола на
достъп са ключовите механизми за контрол, които предпазват чувствителната
информация от повреда, неоторизирана модификация, неоторизирано ползване
и/или кражба. Абонатите на услуги в облака имат опасения, че върху техните данни
могат да въздействат: служителите, които управляват облачната
инфраструктурата, злонамерени лица извън доставчика на облака (пример хакери,
наети атакуващи и др.) или други абонати на multitenant инфраструктурата. В
зависимост от модела на консумация, абонатът може да избере дали криптирането
на данни и управлението на криптографските ключове да бъде отговорност на
доставчика и/или на абоната.
Доставчикът интегрира със своите услуги необходимите механизми за
криптиране и декриптиране на информацията, като се осигуряват следните
възможности:
 Криптиране на информацията при предвижването й от и към облачната
инфраструктура
 Доставчикът осигурява криптирани сесии (SSL/TLS), тунели (SSL/IPSec) и
защитени обвивки (SSH) за комуникиране на информацията през
Интернет мрежата.
Всяка транзакция, която пренася многократно ползвана (multi-use)
чувствителна информация (номера на кредитни/дебитни карти, пароли, фрази и
симетрични ключове), задължително се криптира. Важно е да се отбележи, че
информацията е криптирана не само до входно-изходната точка на
инфраструктурата, а и в самата облачна инфраструктура. Началото на
криптираната връзка е информационната система на абоната, а края е
приложението - в облачната инфраструктура.



6.1. Криптиране на информацията при съхранението й на дисков масив
или в база от данни
Чрез криптиране на информацията върху дисковия масив, доставчикът
предпазва данните от злонамерени действия или човешка грешка от страна на
служители на доставчика и от недобронамерени действия от страна на друг абонат
на облачната инфраструктура. Доставчикът предоставя възможността на абоната
информацията да бъде криптирана още в информационната система на абоната и
след това да бъде комуникирана и съхранена в облачната инфраструктурата върху
дисков масив в криптиран вид. По този начин потребителят управлява
самостоятелно процеса на криптиране и декриптиране на информацията върху
собствената си ИКТ инфраструктура.

6.2. Криптиране на информация при съхранение на данни върху
лентови носители
Криптирането на данни ще предотврати неоторизирания достъп до
информацията, ако бекъп медията бъде случайно загубена или открадната.
Доставчикът извършва криптирането на информацията на потребителя върху
лентовите носители прозрачно.
Криптирането на информацията при IaaS e изцяло под контрола на
потребителя, той може да избере собствени инструменти за криптиране или
предложените му от доставчика. При PaaS потребителят задължително ползва
инструментариума за криптиране, предоставен от доставчика, като може да
разчита на специфични потребителски настройки, които задължително трябва да
бъдат предварително договорени.
При SaaS потребителят разчита изцяло на предварително заложените в
дизайна на приложението криптографски механизми за контрол. Когато абонатът
ползва избрани от него инструменти за криптиране и управлението на процеса и
криптографските ключове са при него, доставчикът не носи отговорност за данни,
които не могат да бъдат декриптирани.
Доставчикът има отговорност чувствителната информация да не се предава
и съхранява в явен вид в неговата инфраструктура при SaaS модела, а при PaaS
модела - отговорността е поделена между доставчика и абоната. Когато се
използва IaaS среда, отговорността е изцяло на ИТ персонала на абоната.



Криптирането на информацията е регулирано по различни начини в различните
държави. За да се избегнат различни тълкования, доставчикът регламентира в SLA
и договора алгоритмите за криптиране, ползваните криптосистеми и управлението
на криптографските ключове. Криптирането на информацията във всяка една ИКТ
и облачна инфраструктура има смисъл, само ако управлението на криптографските
ключове се реализира сигурно и надеждно.
В повечето ИКТ инфраструктури не се отделя сериозно внимание на
управлението на криптографските ключове, което включва задължително:
 Генериране
 Разпространение
 Подновяване и прекратяване на жизнения цикъл за всеки ключ
Доставчикът трябва да внедри специализиран софтуер за управление на
жизнения цикъл на всички криптографски ключове и следи утвърдена процедура
съгласно интегрираната СУИС. Доставчикът е акцентирал върху:
 Специално обособени сигурни хранилища за ключовете
 Контролиран достъп до хранилищата, респективно ключовете
 Надеждно архивиране на ключовете и при нужда възстановяване
 Управляван жизнен цикъл за всяка група ключове
За да се постигне високо ниво на изолация и диференциране, доставчикът
ползва различни дискови и лентови ресурси за съхранение на криптографските
ключове, които са различни от дисковите и лентовите ресурси за съхранение на
данните на абоната. Доставчикът предоставя уникален/уникални криптографски
ключ/ключове за всеки потребител при избор на multitenant инфраструктура, на
ниво сторидж, бекъп медия, хипервайзор, операционна система, база данни и
приложение. Доставчикът управлява процесите на жизнен цикъл на паролите и
криптографските ключове, необходими за всяко приложение.

7. Сигурност на центъра за обработка на данни (ЦОД)
ЦОД, заедно с технологиите за виртуализация и в частност мрежовите
комуникации са основните елементи на една облачна инфраструктура. ЦОД е
мястото, където се разполагат всички хардуерни активи, върху които функционират
управляваните услуги в облака. Чрез ЦОД се осигурява физическата сигурност и се
гарантира сигурността на обкръжението за хардуерните активи на облачната



инфраструктура. Рядко се среща ситуация, в която конвенционалната ИКТ
инфраструктура на една организация да се доближава до нивата на сигурност и
надеждност, които се осигуряват в модерния ЦОД, който е оптимизиран за
модерните информационни системи. Подценяването на сигурността на
обкръжението води до загуба на ресурси. С помощта на ЦОД, поддържаната
облачна инфраструктура и избраните технологии на лидери в своята област, като
IBM, Microsoft, VMWare, Citrix, Cisco, Juniper, Symantec - доставчикът може да
осигури основните характеристики на услугите в облака:
 Самообслужване
 Широколентов достъп
 Еластичност
 Пул от ресурси (вкл. Multitenancy)
 Показатели за оразмеряване на услугите
За да има резервираност и балансиране на ресурсите, доставчикът най-
често разпределя активите от своята инфраструктура в система от няколко
центъра за обработка на данни. Всеки ЦОД е модерно съоръжение, оптимизирано
за нуждите на доставчиците на услуги в облака и отговарящо на изискванията за
Tier 4, съгласно стандарта TIA-942.
Всички съоръжения в ЦОД са 100% резервирани по схемата (N+1) и
физически отделени едно от друго. ЦОД разполага с двойно резервирана система
за електрическо захранване, резервирано охлаждане, пожарогасене и
пожароизвестяване.
Много центрове за обработка на данни разполагат със самостоятелна
въоръжена физическа охрана, която допуска само предварително оторизирани и
идентифицирани посетители на съоръжението. На територията на всеки ЦОД се
реализира и система за контрол на достъпа с RFID идентификация3, която е
конфигурирана съгласно установените физически периметри за сигурност.
Доставчикът осигурява възможност на всеки потребител да извърши
самостоятелен одит или да инициира одит от трета страна на съоръженията, които
поддържат ЦОД: HVAC4, пожароизвестяване, пожарогасене, захранване,
видеонаблюдение, физическа охрана и т.н. Всички съоръжения и ресурси от

3
Радиочестотна идентификация
4
heating, ventilation and air conditioning - Отопление, вентилация, климатизация



инфраструктурата на доставчика са застраховани в полица за електронно
оборудване. Облачната инфраструктура, разположена в ЦОД, е в обхвата на
СУИС5 на доставчика.
Доставчикът е приел политика непрекъснато да наблюдава, подобрява и
технологично да обновява обкръжението и инфраструктурата в центъра за
обработка на данни, като всички параметри на обкръжението и активите,
функциониращи в него, са класифицирани и се следят техните стойности.
Специализирана мониторинг система следи за стойностите на ресурсите и
уведомява дежурния служител по поддръжката, при наличие на сигнали за
възможен предстоящ инцидент.

8. Управление на идентичността и контрола на достъпа
Управлението на идентичността и контрола на достъп за съвременните
сложни приложения е един от сериозните проблеми в информационната сигурност.
В конвенционалната ИКТ не се обръща особено внимание на управлението на
идентичността, защото не е налице multitenancy6 свойството. Съвременните
облачни инфраструктури са немислими без стриктен процес за управление на
идентичността и контрола на достъп (Identity and Access Management - IAM).
Динамиката при IAM в облачната среда се свежда до:
 Осигуряване/премахване на идентичност
 Автентификация
 Федерация
 Оторизация
 Управление на потребителския профил
Миграцията на потребителските профили от конвенционалната ИКТ
инфраструктура към облачна инфраструктурата повишива нивото на сигурност
относно идентификацията и контрола на достъп. Процесът на идентификация
обхваща приложения и процеси. Целта е да има обща идентификация за
поддържаната облачна инфраструктура и услугите в нея. Доставчикът обособява
две направление:
 идентификация на служители на абоната
5
Система за управление на информационната сигурност
6
технология за споделяне на ИТ ресурси сигурно сред множество приложения и наематели
(предприятия, организации и др.), които използват облака.



 идентификация на служители на доставчика
Когато се ползват SaaS и PaaS моделите, автентификацията на корпоративните
потребители е възможна през техния Identity Provider (IdP) и установяване на
доверие чрез федерация. Автентификацията за индивидуални потребители е
възможна чрез ориентираната към крайни потребители (user-centric)
автентификация на Google, Yahoo и т.н. Когато се ползва IaaS моделът се
установява самостоятелна VPN свързаност, за да се осигури достъп до
информационните системи.
Доставчикът предлага набор от различни технологии за надеждна
автентификация:
 One-Time Passwords – еднократни пароли
 Биометрични данни
 Tokens
 Смарткарти
 Цифрови сертификати
 Kerberos

9. Виртуализация
Виртуализацията е основният елемент от една инфраструктура, която
позволява по сигурен начин тя да бъде споделена между множество потребители
(multitenant). Голям брой организации избират софтуер за виртуализиране, който
инсталират и конфигурират в своята ИКТ инфраструктура, с което подлагат
приложенията и данните си на голям риск от загуба и/или невъзможност да бъде
достъпвана за определен период от време.
Виртуализирането на сървърни и десктоп операционни системи е лесно
реализуем процес, но осигуряването, изолирането и резервирането на всяка
виртуална информационна система е изключително сложен и непрекъснат процес,
който изисква допълнителни софтуерни продукти, квалифициран персонал и
сигурна платформа за наблюдение и управление на всички виртуални ресурси.
Всеки доставчик на услуги в облака избира хипервайзорите, с които ще осигурява
виртуалните ресурси за нуждите на своите потребители. Съвременните заплахи са
насочени изцяло към хипервайзорите и техните компоненти за управление,
защото, ако те успеят да третират уязвимо място, ще имат пълен контрол върху



инфраструктурата на всеки доставчик на услуги в облака. Самият процес на
виртуализиране увеличава нуждата от по-голяма мрежова сигурност в интер-хост
комуникациите, защото виртуалните информационни системи обменят данни през
хардуерния заден панел, а не през LAN. Доставчикът трябва да е внедрил
механизми за контрол, които предоставят детайлен контрол на комуникациите
между виртуалните машини. Препоръчително е елиминиране на нуждата от
отделни хардуерни устройства и обособени VLAN, за да се отделят различни групи
с конкретно ниво на информационна сигурност. Би трябвало да е оптимизирано
натоварването на хардуерните ресурси, като в същото време да е гарантирано
високо ниво на информационната сигурност. Доставчикът трябва да осигурява
защитна стена и site-to-site VPN. Добре е да е налице ефективно управление на
трафика между виртуалните информационни системи чрез виртуално устройство
за разпределяне на натоварването. Доставчикът трябва да защитава
виртуализираните приложения срещу вътрешни мрежово базирани заплахи (DoS,
DDoS) и да намалява риска от нарушаване на политиката по информационна
сигурност в периметрите на облачната инфраструктура. Доставчикът на облачни
услуги трябва да контролира целостта на всеки имидж на виртуална
информационна система, който е създаден в облачната инфраструктурата.
Административният достъп до виртуалните информационни системи обикновено е
комбиниран със силна автентификация и управлението на идентичността, както и с
инструменти, които следят целостта. За постигане на ефикасност, се обособяват
различни зони за съхранение на данни и за десктоп виртуалните информационни
системи/сървърните виртуални информационни системи.

10. Заплахи в cloud computing
Пред клауд технологиите стоят редица заплахи като:
 Излагането на конфиденциална информация пред неоторизиран
достъп
 Изтичане на информация
 Загуба на информация
 Уязвимост към кибер атаки
 Прекъсване на операции



За справяне с тези заплахи са необходими различни умения, като някои от
тях са:
 Детайлно разбиране на клауд компютинга
 Много добро техническо познание
 Познаване на нови протоколи, технологии и други

Основни функционални предизвикателства за сигурността се оказват
множеството потребителски имена и пароли, липсата на прозрачност
(потребителят не знае къде се намират сървърите, какво представлява
инфраструктурата и къде е разположена, както и кой има достъп до нея), ръчното
провизиране на акаунти, неоторизираният достъп до данни, споделянето на
доверието.
От друга страна основни рискове за сигурността са несигурни приложения,
DoS атаки, “man in the middle“ атаките и т.нар. code injection.
В клауда е налице споделено наемане на ресурси, което води до:
 Атаки срещу виртуалните машини
 Изпълнение на зловреден код
 Смесване на данни за клиенти
Разкриването на поверителна информация (увреждане на поверителността
и тайната на данни (вкл. и лични данни)), съхранявана от облачния доставчик,
може да се окаже пагубна за дадена организация.
Възможна е крайна загуба на данни или невъзможност организационни
данни да бъдат достъпвани. Голям проблем се оказва заплахата от вътрешни за
облака хора. Често те се пораждат от неадекватни практики за сигурност от страна
на облачния доставчик. Грубоватият контрол на достъпа от страна на клауд
доставчика увеличава и броя на откраднатите акаунти.
За да бъдат решени тези проблеми, трябва да се приложат механизми за
контрол на работата с външни страни, за одитиране, проверка и съответствие, за
управление на идентичности, за контрол на достъпа, управление на инциденти,
защита от зловреден и мобилен код, както и за защита на данните.
Подходящи продукти за това са: Novell Cloud Security Services, CA Arcot
Webfort, CyberArk Software Privileged Identity Manager, Symlified и много други.



Решение при загуба или изтичането на данни се оказва поддръжката на
означаване и класифициране на информацията, идентификация на чувствителни
данни, контекстното сканиране на текст за наличие на конфиденциални данни.
Продуктите, които могат да бъдат полезни в този случай са: Blue Coat, Imperva,
Symantec, Zscaler, Websense. Zscaler предлага пълни решения в облака по
отношение на сигурността и е добре позициониран в България.
Разглеждайки уеб сигурността в облака, се оказва, че заплахи за нея са:
„кeylogger“-и, malware, spyware, спам, вируси, фишинг, загубата на данни, bot
мрежи. Има решения и за тези проблеми, които включват уеб филтриране,
програми за анализиране и блокиране на Malware, Spyware и bot Network, Phishing
site blocker, програми, сканиращи Instant Messaging, предоставящи E-mail защита,
предотвратяващи загуба на данни и измами през уеб, контролиращи достъпа до
уеб.
Производители на софтуер, работещ и развиващ се в тази насока са: Blue Coat,
Trend Micro, Zscaler , WebSense.
Конкретно за E-mail сигурността често срещаните заплахи са: malware, спам,
фишинг, spyware, address spoofing и Intrusion.
Мерките, които могат да се вземат за увеличаване на сигурността са:
 Акуратно филтриране на спам и фишинг
 Дълбока защита срещу вируси и spyware, преди те да навлязат в
периметъра на организацията
 Гъвкави политики за дефиниране на mail поток и криптиране
 Богато, интерактивно и относително в реално време изготвяне на
доклади
 Дълбоко сканиране на съдържанието за прилагане на политики
 Опция за криптиране на някои или на всички имейли, базирано на
политики
 Интеграция с различни решения за mail сървъри
В тези случаи на помощ на организациите и потребителите, ползващи клауд
услуги, се отзовават Barracude с продукта си Barracude Networks, Symantec със
Symantec Cloud, Zscaler със Zscaler Email Security, Google с Postini, Microsoft с
We`re all in (Microsoft Cloud Services).



Често срещан проблем на сигурността в облака е, че липсва процес на
оценка на текущото ѝ състояние. Т.е. не се търсят проблемите, съответно не се
предприемат мерки за тяхното решение. Проблемите при оценяването на
сигурността са липса на непрекъснат мониторинг, неточен инвентар, невъзможност
да се докаже съответствието с фирмените изисквания, наличие на несигурни
процеси, липса на корелация на информацията, незащитени, податливи на атака
конфигурации, незащитени архитектури.
Възможните решения на тези проблеми са:
 Създаване на политики за сигурност
 Управление на риска
 Тестване на възможностите за проникване
 Автоматизиран „auditing“ на конкретни приложения
 Оценка на уязвимостта
 Intrusion detection - Откриване на прониквания
 Patch мениджмънт
 Intrusion prevention – предотвратяване на прониквания
 Защита от Malware
Известни на софтуерния пазар продукти за защита са: Modulo, Agiliance, Core
Security, Veracode – сканира кода за уязвимости, WhiteHat, Qualys, Metasploit - за
оценка на уязвимостта – open source
Проблемите, срещани при Intrusion мениджмънт са Intrusion и Malware.
Съответно какво може да се направи, за да бъдат предотвратени или преодоляни:
 Да се идентифицират нарушенията
 Както автоматично, така и ръчно да се преодоляват проблемите
 Да се обръща внимание на ъпдейти, адресиращи нови уязвимости
 Да се използва VM Image Repository Monitoring, както и Integrity Monitoring
VMM/Hypervisor
Продукти, предлагащи тези решения, са: Cymtec, Sourcefire – 3D System, Trend
Micro Deep Security, XO Enterprise Cloud Security
Съществуват проблеми и за информацията за сигурността и управлението на
събития (Security information & Event Management). Тези проблеми са:
 Споделените технологии
 Вътрешна заплаха (например служител на организацията)



 Account hijacking
 Service hijacking
 Измама (най-вече във финансовия сектор)
 Загуба на информация
 Изтичане на информация
 Несигурни интерфейси и приложения
Решенията са:
 Създаване на логове в реално време (събиране, нормализиране,
агрегиране на събития (events) и визуализиране в реално време)
 Нормализиране на логовете
 Корелация на събития в реално време (Real-time event correlation)
 Откриване на E-mail аномалии
Известни продукти, извършващи това, са: AccelOps, Loglogic, Q1 Labs, Splunk.
Възможно е в облака да възникнат проблеми и с криптирането на данните.
Наблюдават се:
 Улавяне на некриптиран мрежов трафик
 Смекчаване на вътрешната и външната заплаха на данни
 Невъзможност да се изпълнят регулаторните изисквания за
съгласуваност
Решенията в тези случаи са:
 Защита на данните
 Message Authentication Integrity
 Message Data Integrity
 Identity validation (сертификати)
 Електронни подписи
 Hashing на лог файлове
 Унищожаване на данни
 Генериране и управление на ключове и сертификати
Подходящи продукти предлагащи тези възможности са: Cipher cloud,
Credant, ProtectV (на SafeNet), Vormetric.
Проблеми в клауд компютинга възникват и в мрежовата сигурност, които се
изразяват в заплахи на данните, заплахи на контрола на достъпа, уязвимост на
приложенията, кибер война. Поради тези заплахи е добре да се контролира



достъпа и автентикацията, да се използват продукти за защита като : Server Tier
Firewall, File Integrity Monitoring, Anti-virus, Anti-spam; да се извършва мониторинг на
мрежовия трафик, да съществува интеграция със слоя на хипервайзора; да има
защита от DoS; да се използва Security Gateway (firewalls, WAF, SOA/API, VPN); да
се имплементира DNSSEC (DNS Security Extensions )
CloudFlare, Imperva – Incapsula и Stonesoft са софтуер, подходящ за тези
цели.
До тук беше разгледана сигурността на софтуера. Физическата сигурност на
оборудването, съхраняващо потребителските данни в облака, е толкова важна,
колкото и сигурността на софтуера.

11. Сигурност в облака от физическа гледна точка
Често срещана практика е всички сървъри на организацията, предлагаща
облачни услуги, да се съхраняват в отделни осигурени зони в рамките на центъра
за данни, достъпни само за упълномощени служители. Всеки център за данни
също така използва и последни поколения противопожарни, водни и електрически
системи, осигуряващи физическата сигурност и непрестанна работа на сървърите.
Препоръчително е захранващото окабеляване да е положено под повдигнат
антистатичен компютърен под. Окабеляването, свързано с данните, да e положено
в подтаванни клетки. Цялостното окабеляване e под надзор за гарантиране на
качество и предотвратяване на аварийно прекъсване в клауд услугите.
Микроклиматът на зоната за данни се контролира стриктно, за да се осигури
надеждност и функционалност.
Надеждното захранване е един от ключовите компоненти за доставчик на
истински високодостъпен клауд. В случай на срив в захранването, центърът за
данни би трябвало да разполага и с:
 Дублиращи се захранвания с двойна UPS защита.
 Дизелов генератор, предоставящ пълно захранване за пресметнат срив
от 24 часа.
 Двойни аварийни UPS 230V AC.
Всички захранващи системи е добре да се наблюдават чрез уникална
мониторингова система.



Факт е, че хардуерът като цяло страда и от сривове във времето, за които
причина е срив в захранването на сървърите. За да се предотврати ресурсна
загуба или загуба на данни, изключително необходимо е да се осигури колкото се
може по-значимо кризисно осигуряване, елиминирайки и единична възможност за
срив.
Сървърите трябва да притежават и функционално дублиращи се мрежови
карти. Така срив в една от мрежовите карти няма да засегне наличността на този
сървър.
Добре е сървърите да притежават IPMI карти, позволяващи на инженерите
да наблюдават постоянно всеки сървър във всяка композиция. В допълнение, в
малко вероятен случай на хардуерен срив или софтуерно „забиване“, служителите
са информирани автоматично по е-мейл и SMS.
Всички суичове и рутери в рамките на клауда трябва да са обезпечени. Срив
в даден суич/рутер не трябва да засяга функционалността на който и да е
компонент в рамките на клауда.
Би трябвало да е налице и обезпечена IP свързаност.
Препоръчително е клаудът да използва оптични мрежи за създаване на
високоскоростни връзки, както и за минимизиране на мрежовите закъснения и
максимизиране на функционалността.
Освен това, преди да внедри една или друга облачна услуга, организацията
трябва да бъде в състояние да оцени нейната безопасност. Голяма част от
облачните услуги в значителна степен са непрозрачни, което прави трудна
оценката на тяхната степен за безопасност и анализа за съблюдаване на
рисковете. Отсъствието на прозрачност е свързано с това, че често услугата е
изградена чрез интеграция на решения от множество провайдери във връзка с
използване на относително нови технологии, както и географски разпределени
центрове за данни.



Заключение

Защитата и безопасността в cloud computing е комплексна задача, изискваща
много усилия и компетентност в облачните технологии. Основната цел е
сигурността на данните, която включва тяхната достъпност, достоверност и
поверителност. Защитата на данните, обаче, не се ограничава само до сигурността
на данните, а включва и прозрачност, изолация, възможност за интервенция и
преносимост, които са в подкрепа на правата на лицата за защита на техните
данни.
Съществуват твърдения, според които клауд услугите не са за
предпочитане, поради не голямата им сигурност. Това обаче не важи в днешни
дни, защото модерните центрове за данни разполагат с различни инструменти за
физическа защита, в това число достъп с пръстови отпечатъци, камери за
видеонаблюдение и други. Инвестицията в средства за защита е
правопропорционална на стойността на онова, което трябва да се пази. Поради
тази причина е напълно логично един център за данни да е по-добре защитен от
една средна или малка компания.
Гаранцията, че информацията на организацията няма да бъде използвана
неправомерно, се поема от наличието на различни стандарти за информационна
сигурност. На IT пазара съществуват и редица софтуерни продукти, които са
създадени именно за по-голяма защита на клауд компютинга.



Терминологичен речник

ИКТ - Информационни и комуникационни технологии
Account hijacking – присвояване на чужд акаунт
Bot network - мрежа от компютри, съдържащи троянски коне или друг зловреден
код, които работят заедно, за да изпълняват задачите, които са възложени от
създателя на мрежата или контролера
Code injection - вмъкване на нежелан код

DoS (Denial of Service) атака - означава отказ на услуги и има за цел да спре
достъпа до определена част от сайт или самия сайт ,а също така и големи
компютърни мрежи
Instant Messaging (букв. софтуер за мигновени/незабавни съобщения) – чат
програми; системи за размяна на текстови съобщения между подател и получател.
Man in the middle атака – мрежова атака, реализирана чрез активно подслушване;
работи чрез установени връзки между устройствата на потребителите и
препредаващите се съобщения между тях. В случай като този жертвата вярва, че
комуникира директно с друг потребител, а всъщност комуникационният поток до
хоста се пренасочва.
Malware - Malware са част от така наречените „злонамерени програми“, чиято цел е
придобиване на неоторизиран достъп до вашия компютър, кражба на ценна
информация, увреждане на вашия компютър и много други.
Patch – софтуерен пакет, чието предназначение е да разреши един или повече
проблеми, които възникват масово върху големи групи машини. Препоръчително е
пачовете да се инсталират веднага след тяхното появяване, особено тези, които са
със статус “сигурност“ или „критичен“.
Patch Management – управление на пачове
Phishing - Phishing” e техника за измама по интернет, която представлява
изпращане на имейл съобщения на случаен принцип. Съобщенията обикновено
претендират, че са изпратени от автентични компании (банки, търговски фирми,
кредитни компании и др.), функциониращи в интернет пространството. Целта им е
да примамят клиентите на тези компании да разкрият информация на управляван
от измамници фалшив уеб сайт.



Spyware (шпионски софтуер) – вид компютърни програми, които тайно, без
разрешение или знание на потребителя, събират информация за него или неговия
компютър и я изпращат на автора на spyware.



Използвана литература:

1. Димитров, Велиян. Облачен компютинг - метаморфози на периметровата
сигурност, CIO 12/2012 и CIO 1/2013

2. CSA. Security Guidance for critical areas of focus of cloud computing v.3.0, 2011.
3. CSA, The Notorious Nine Cloud Computing Top Threats in 2013, February 2013.
4. Димитров, Людмил. Сигурност на облака – 2011, stonedoit
5. Mather, Tim, Kumarasaswamy, Subra, Latif, Shahed. Cloud Security and Privacy
– An enterprise perspective on risks and compliance, O`Reilly.
6. McGrath, Michael P.. Understanding PaaS, O`Reilly, 2012.
7. http://newhorizons.bg/blog/


Security in cloud computing

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (20)

Similaire à Security in cloud computing

Similaire à Security in cloud computing (20)

Security in cloud computing