Файл: Программно-аппаратные средства защиты информации.pdf

Разрастание образа виртуальной машины

Безопасное управление образами виртуальных машин является важным требованием в среде облачных вычислений. Каждый образ виртуальной машины на самом деле представляет собой полный программный стек, содержащий установленные и настроенные приложения, которые используются для загрузки виртуальной машины в исходное состояние или состояние некоторой предыдущей контрольной точки^[39]. Они обрабатываются как данные, и поэтому их легко клонировать, расширять и снимать. Таким образом, образы виртуальных машин растут в количестве и могут вызвать разрастание образов виртуальных машин^[40]. Еще одна критическая проблема заключается в том, что многие образы виртуальных машин предназначены для совместного использования разными и часто несвязанными пользователями. Если хранилища изображений не находятся под тщательным управлением и контролем, совместное использование образов виртуальных машин может создавать угрозу конфиденциальности и безопасности^[41]. Более того, поскольку образ может содержать код и данные о праве собственности, владелец образа рискует непреднамеренно раскрыть конфиденциальную информацию. Злоумышленники будут стремиться изучить образ, чтобы обнаружить лазейки в системе безопасности. Злоумышленники могут также внедрить вредоносные коды в образ виртуальной машины или предоставить совершенно новый образ виртуальной машины, содержащий вредоносное ПО^[42].

Вывод

Угрозы и уязвимости ИБ облачных вычислений пересекаются с угрозами и уязвимостями ИБ традиционных вычислений, однако особенности архитектуры облака добавляют новые точки для атаки злоумышленников. Также факт того, что облачные сервисы доступны из любой точки мира через веб-браузер, делает облачные сервисы более подверженными к атакам.

2.3 Сравнительный анализ архитектуры облачных сервисов с точки зрения обеспечения информационной безопасности

Как уже было описано выше, в облачных вычислениях существуют три модели обслуживания: облачное программное обеспечение как услуга (SaaS – Software as a Service), облачная платформа как услуга (PaaS – Platform as a Service) и облачная инфраструктура как услуга (IaaS – Infrastructure as a Service) (Рис. 4).

Рисунок 4. Модели обслуживания облачных вычислений

---

Рассмотрим подробнее угрозы и уязвимости каждой модели.

Облачное программное обеспечение как услуга (SaaS)

SaaS предоставляет прикладные услуги по запросу, такие как электронная почта, программное обеспечение для проведения конференций и бизнес-приложения, такие как ERP, CRM и SCM^[43]. Пользователи SaaS имеют наименьший контроль над безопасностью среди трех основных моделей обслуживания в облаке. Интеграция приложений SaaS может вызвать некоторые проблемы безопасности.

Безопасность приложений

SaaS-приложения обычно разворачиваются через Интернет с помощью веб-браузера^[44]. Однако недостатки в веб-приложениях могут создавать уязвимости для приложений SaaS. Злоумышленники используют Интернет для компрометации компьютеров пользователей и выполнения злонамеренных действий, таких как кража конфиденциальных данных^[45]. Проблемы безопасности в SaaS-моделях не отличаются от проблем безопасности в любых веб-приложениях, но традиционные решения данных проблем не обеспечивают эффективной защиты от атак. Возникает необходимость создания новых методов.

Мультитенантность (Мультиарендность)

SaaS-приложения классифицированы как модели зрелости. Классификация основывается на следующих характеристиках: масштабируемость, конфигурируемость с помощью метаданных и мультитенантность ^[46]. В первой модели у каждого пользователя свой собственный экземпляр программы. У данной модели есть свои недостатки, однако при такой конфигурации возникает меньше угроз ИБ. Во второй модели поставщик также предоставляет каждому пользователю свой экземпляр программы, но все экземпляры создаются с помощью одного и того же кода. В данной модели пользователи могут менять некоторые аспекты конфигурации. В третьей модели зрелости используется ​​многопользовательская аренда — один экземпляр обслуживает всех пользователей. Данный подход позволяет более продуктивно распределять ресурсы, однако минусом является ограниченность масштабируемости. Основной проблемой является риск утечки информации между пользователями, так как их данные хранятся в одной базе данных на одном сервере. Необходимо создать и внедрить политики безопасности для обеспечения безопасности данных пользователей. Проблема с масштабированием решается с помощью переноса приложения на другой, более мощный сервер.

---

Безопасность информации

Любая технология сталкивается с проблемами обеспечения безопасности информации, но они становятся более серьезной проблемой в моделях SaaS, так как пользователям приходится полагаться на поставщика в вопросах обеспечения ИБ. Зачастую в данной модели обслуживания данные пользователей обрабатываются в незашифрованном виде и хранятся на облаке. Вся ответственность за безопасность информации во время обработки и хранения лежит на провайдере. Также необходимо создавать резервные копии данных, но это добавляет уязвимостей ИБ. Еще одной проблемой является то, что поставщики решений SaaS могут обращаться к третьим лицам по вопросам предоставления платформ PaaS или IaaS.

Облачная платформа как услуга (PaaS)

Сервисы PaaS упрощают развертывание облачных приложений. Они сокращают затраты, так как нет необходимости тратить ресурсы на покупку, установки и поддержание работы ПО. Как и в все модели обслуживания, PaaS сильно зависит от обеспечения безопасности сети и браузера. Так как платформы PaaS включают в себя два уровня, то и вопросы безопасности нужно рассматривать касательно этих двух уровней: безопасность самого сервиса, который предоставляет услуги PaaS, и безопасность пользовательских приложений на платформе PaaS^[47]. Соответственно за безопасность самого сервиса и механизма по развертыванию пользовательских приложений отвечает поставщик, за безопасность самих приложений – пользователи.

Третьи лица

PaaS не только позволяет использовать классические языки программирования, но также данные и элементы со сторонних сервисов, используя мэшап. В мэшап объединяется более одного элемента из разных источников в один общий блок. Следовательно, сервисы PaaS наследуют уязвимости ИБ гибридных приложений. Также пользователи PaaS сталкиваются с проблемами безопасности как инструментов разработки, так и сторонних сервисов, к которым обращаются поставщики.

Жизненный цикл разработки

Одним из основных вопросов при создании веб-приложения является вопрос обеспечения его безопасности. Разработчикам нужно учитывать, что их приложение будет размещено в Интернете, что добавляет уязвимостей ИБ. Скорость изменения приложений будет влиять как на разработку самой системы, так и на средства обеспечения ее безопасности^[48]. Разработчики нужно понимать, что сервисы PaaS часто изменяются и обновляются, при создании приложений нужно учитывать данный аспект и разрабатывать достаточно гибкую конфигурацию, чтобы успевать за изменениями сервиса. Однако разработчики должны осознавать, что изменения в сервисе PaaS могут привести к возникновению новых уязвимостей и угроз безопасности. Помимо разработки приложений с учетом их безопасности, разработчики также должны знать о нормативных аспектах обеспечения ИБ.

---

Центральная инфраструктура безопасности

Сервисы PaaS не предоставляют разработчикам доступ к нижним уровням системы, поэтому за обеспечение безопасности базовой инфраструктуры и приложений пользователей ответственны поставщики. Даже если пользователи уверены в безопасности созданных ими приложений, он не могут быть уверены в безопасности самой системы PaaS.

Сервисы SaaS предлагают пользователям ПО, которое можно использовать через Интернет, когда PaaS предлагает инструменты разработки приложений SaaS. Однако оба вида моделей могут использовать мультиарендность для сокращения затрат, что приводит к тому, что одним и тем же экземпляром ПО пользуются несколько пользователей одновременно. В сервисах SaaS и PaaS информация зависит от приложения находящемся и работающем в облаке. От поставщика степени обеспечения ИБ сервиса зависит безопасность данных во время их обработки и хранения.

Облачная инфраструктура как услуга (IaaS)

IaaS предлагает различные сервисы: серверы, хранилища данных, сети и другое. Модель IaaS предоставляет доступ к данным сервисам в форме виртуализированных систем, доступным через Интернет. Пользователям предоставляется право разворачивать любое ПО, имея полный контроль над выделенными им ресурсами. В сравнении с остальными моделями обслуживания, пользователи IaaS имеют наибольший контроль в вопросах ИБ, так как они контролируют само ПО, которое они устанавливают на свои виртуальные машины. Также сами пользователи несут ответственность за создание правильных политик безопасности. Провайдерами контролируется базовая архитектура сервиса.

Описав угрозы безопасности для каждой модели, проведем сравнительный анализ (табл. 2). Уязвимости и угрозы сравниваются по тому, на ком лежит ответственность за безопасность в каждом конкретном случае, и по сути – как каждая уязвимость отражена в каждой модели.

Таблица 2. Сравнение уязвимостей и угроз облачных вычислений.

Угроза	Аспект сравнения	SaaS	PaaS	IaaS
Безопасность приложений	Ответст- венность	Провайдер	Пользователь	Пользователь
	Суть	Так как в SaaS модели провайдер предоставляет приложения, ответственность за их безопасность лежит на нем	Пользователь сам создает приложения в данной модели, ответственность за их безопасность лежит на нем	Пользователь сам создает приложения в данной модели, ответственность за их безопасность лежит на нем
Мульти-аренды	Ответст-венность	Провайдер	Провайдер	Провайдер
	Суть	Один экземпляр приложения используется несколькими пользователями.	Для сокращения затрат несколько приложений могут быть размещены на одном сервере, что повышает угрозы безопасности	Виртуальные машины могут быть размещены на одном физическом сервере.
Безопасность данных	Ответст-венность	Провайдер	Провайдер / Пользователь	Провайдер / Пользователь
	Суть	Пользователи полагаются на провайдеров в вопросах обеспечения безопасности их данных	Со стороны пользователя данные внутри приложения должны быть защищены, со стороны провайдера должно быть защищено само приложение	Со стороны пользователя данные внутри виртуальной машины должны быть защищены, со стороны провайдера должна быть защищена сама виртуальная машина
Третьи лица	Ответст-венность	Провайдер	Провайдер	Не является проблемой
	Суть	SaaS-модель строится на PaaS, которая в свою очередь основывается на IaaS. Провайдер SaaS может арендовать PaaS у третьих лиц.	PaaS основывается на IaaS. Провайдер PaaS может арендовать IaaS у третьих лиц.
Жизненный цикл разработки	Ответст-венность	Провайдер	Провайдер / Пользователь	Провайдер / Пользователь
	Суть	Облачные сервисы – быстро меняющиеся структуры. С каждым изменением нужно учитывать вопросы безопасности.	Облачные сервисы – быстро меняющиеся структуры. Пользователи при разработке должны учитывать изменения в системе.	Виртуальные машины могут выключены и приостановлены, что затрудняет обнаружение вредоносного ПО.
Основная инфраструктура безопасности	Ответст-венность	Провайдер	Провайдер	Не является проблемой
	Суть	Пользователь может быть уверен в безопасности данных со своей стороны, но не знать о проблемах безопасности со стороны провайдера	Пользователь может быть уверен в безопасности данных со своей стороны, но не знать о проблемах безопасности со стороны провайдера
Виртуализация	Ответст-венность	Провайдер	Провайдер	Провайдер
	Суть	Облачные сервисы имеют большее количество точек доступа чем системы традиционных вычислений, что увеличивает риски.	Облачные сервисы имеют большее количество точек доступа чем системы традиционных вычислений, что увеличивает риски.	Облачные сервисы имеют большее количество точек доступа чем системы традиционных вычислений, что увеличивает риски.
Монитор виртуальной машины	Ответст-венность	Провайдер	Провайдер	Провайдер
	Суть	Если провайдер предлагает несколько приложений, то ответственность за их разделение лежит на нем.	Если провайдер предлагает несколько различных платформ, то ответственность за их разделение лежит на нем	МВМ разделяет виртуальные машины, созданные пользователями. Провайдер должен следить за безопасностью МВМ.
Публичный репозиторий образов виртуальных машин	Ответст-венность	Не является проблемой	Провайдер	Провайдер
	Суть		При создании приложения пользователь может воспользоваться уже имеющимся образом в репозитории провайдера. За безопасность репозитория отвечает провайдер.	При создании виртуальной машины пользователь может воспользоваться уже имеющимся образом в репозитории провайдера. За безопасность репозитория отвечает провайдер.
Откат виртуальной машины	Ответст-венность	Не является проблемой	Не является проблемой	Пользователь / Провайдер
	Суть			При возникновении проблемы пользователь может откатить машину к предыдущему состоянию, однако это может привести к возвращению уже решенных проблем.

---

Заключение

В данной работе были проанализированы угрозы и уязвимости ИБ облачных вычислений, а также проведен сравнительный анализ безопасности трех моделей обслуживания: SaaS, PaaS и IaaS.

Обзор нормативных документов и научной литературы показал, что вопросы ИБ облачных вычислений регулируются также, как и традиционные, несмотря на разницу в архитектуре.

Поскольку облачные вычисления используют многие технологии, они также наследуют их проблемы безопасности. Угрозы и уязвимости ИБ облачных вычислений пересекаются с угрозами и уязвимостями ИБ традиционных вычислений, однако особенности архитектуры облака добавляют новые точки для атаки злоумышленников. Также факт того, что облачные сервисы доступны из любой точки мира через веб-браузер, делает облачные сервисы более подверженными к атакам.

Каждая модель облачного сервиса имеет свои собственные недостатки безопасности; тем не менее, они также разделяют некоторые проблемы, которые затрагивают их всех. Любая атака на любой уровень облачных сервисов может поставить под угрозу верхние уровни. PaaS, а также SaaS размещаются поверх IaaS; таким образом, любое нарушение в IaaS повлияет на безопасность как PaaS, так и SaaS-сервисов. Также сравнительный анализ моделей обслуживания показал, что в SaaS-моделях ответственность за ИБ облачного сервиса лежит на провайдере, тогда как в IaaS и PaaS-моделях она разделена между пользователем и провайдером.

Список использованной литературы

1. A.S. Ibrahim, J. Hamlyn-Harris, and J. Grundy. Emerging Security Challenges of Cloud Virtual Infrastructure. // APSEC Cloud Workshop. 2016
2. B. Grobauer, T. Walloschek, and E. Stocker. Understanding Cloud Computing Vulnerabilities. IEEE Security & Privacy. 2017
3. C. Dabrowski and K. Mills. VM Leakage and Orphan Control in Open-Source Clouds. // 3rd IEEE International Conference on Cloud Computing Technology and Science (CloudCom). 2015.
4. Cloud Computing: Benefits, risks and recommendations for information security // European Network and Information Security Agency (ENISA), 2014
5. Cyber Security Breaches Survey 2018: Statistical Release // Department for Digital, Culture, Media and Sport. 2018
6. Cyber Security Breaches Survey 2018: Statistical Release // Department for Digital, Culture, Media and Sport // 2018
7. D. Reimer, A. Thomas, G. Ammons, T. W. Mummert, B. Alpern, and Vasanth Bala. Opening Black Boxes: Using Semantic Information to Combat Virtual Machine Image Sprawl. // VEE. 2014.
8. Disterer G. ISO/IEC 27000, 27001 and 27002 for Information Security Management // Journal of Information Security. - 2013.
9. F. Lombardi and R. D. Pietro. Secure Virtualization for Cloud Computing. // Journal of Network and Computer Applications. 2016.
10. F. Sabahi. Secure Virtualization for Cloud Environment Using Hypervisor-based Technology. // Int. Journal of Machine Learning and Computing. 2017
11. F. Sabahi. Secure Virtualization for Cloud Environment Using Hypervisor-based Technology. // Int. Journal of Machine Learning and Computing. 2017.
12. Ferraiolo D. Cloud Computing [Электронный ресурс] // NIST - URL: https://csrc.nist.gov/projects/cloud-computing (дата обращения: 15.04.2019)
13. ISO 27002 “Информационные технологии - Методы защиты – Свод рекомендуемых правил для управления информационной безопасностью”. Введ. 2013-10-01.
14. ISO/IEC 27001 "Информационные технологии — Методы обеспечения безопасности — Системы управления информационной безопасностью — Требования". Введ. 2005
15. J. Wei, X. Zhang, G. Ammons, V. Bala, and P. Ning. Managing Security of Virtual Machine Images in a Cloud Environment. // CCSW. 20016.
16. J.C. Roberts II, W. Al-Hamdani. Who Can You Trust in the Cloud? A Review of Security Issues Within Cloud Computing // Information Security Curriculum Development Conference. 2016
17. Ju J, Wang Y, Fu J, Wu J, Lin Z: Research on Key Technology in SaaS // In International Conference on Intelligent Computing and Cognitive Informatics (ICICCI), Hangzhou, China. 2015
18. K. Zunnurhain and S. Vrbsky. Security Attacks and Solutions in Clouds // 3rd International Conference on Cloud Computing. 2016
    • 1. Liu, Y. Yuan, and A. Stavrou. QLProb: A Proxybased Architecture towards Preventing SQL Injection Attacks. // SAC. 2015
19. M. Jensen, N. Gruschka, and Ralph Herkenh¨oner. A Survey of Attacks on Web Services // Computer Science - R&D. 2015
    1. M. Khalil, A. Khreishah, and M. Azeem. Cloud Computing Security: A Survey // Computers. 2014
20. M. Le and Y. Tamir. ReHype: Enabling VM Survival Across Hypervisor Failures. // VEE. 2016.
21. M. Pearce, S. Zeadally, and R. Hunt. Virtualization: Issues, security threats, and solutions // ACM Comput. Surv. 2017.
22. M.A. Morsy, J. Grundy, and I. Muller. An Analysis of the Cloud Computing Security Problem. // APSEC Cloud Workshop. 2015
23. Mather T, Kumaraswamy S, Latif S: Cloud Security and Privacy // O’Reilly Media, Inc.; 2017
24. Meiko Jensen, Nils Gruschka, Jörg Schwenk, Luigi Lo Iacono On Technical Security Issues in Cloud Computing // IEEE International Conference on Cloud Computing. 2015.
25. Morsy MA, Grundy J, Müller I: An analysis of the Cloud Computing Security problem. // APSEC 2016 Cloud Workshop. 2016
26. Open Cloud Manifesto - A call to action for the worldwide cloud community. 2009
27. Owens D: Securing elasticity in the Cloud // Commun ACM 2017
28. Peter Mell Effectively and Securely Using the Cloud Computing Paradigm // NIST, Information Technology Laboratory. - 2009
29. Peter Mell, Timothy Grance The NIST Definition of Cloud Computing // National Institute of Standards and Technology. - 2011.
30. R. Bhadauria and S. Sanyal. Survey on Security Issues in Cloud Computing and Associated Mitigation Techniques. 2015.
31. R. Schwarzkopf, M. Schmidt, N. Fallenbeck, and B. Freisleben. Multi-layered Virtual Machines for Security Updates in Grid Environments. // EUROMICRO-SEAA. 2014.
32. Ramgovind S The Management of Security in Cloud Computing // Information Security for South Africa. Sandton, Johannesburg, South Africa: IEEE. 2010
33. Rittinghouse JW, Ransome JF: Security in the Cloud. In Cloud Computing. Implementation, Management, and Security // CRC Press; 2016.
34. S. Luo, Z. Lin, X. Chen, Z. Yang, and J. Chen. Virtualization Security for Cloud Computing Services. // Int. Conf on Cloud and Service Computing. 2015.
35. T. Ristenpart, E. Tromer, H. Shacham, and S. Savage. Hey, You, Get Off of My Cloud: Exploring Information Leakage in Third-Party Compute Clouds. // ACM Conference on Computer and Communications Security. 2009.
36. The Notorious Nine Cloud Computing Top Threats in 2013 // Cloud Security Alliance, 2013.
37. W. Jansen and T. Grance. Guidelines on Security and Privacy in Public Cloud Computing Special Publication
38. W.A. Jansen. Cloud Hooks: Security and Privacy Issues in Cloud Computing. // 44th Hawaii International Conference on Systems Science. 2015.
39. Wayne Jansen, Timothy Grance Guidelines on Security and Privacy in Public Cloud Computing // NIST, 2014
40. Y. Zhang, M. Ion, G. Russello, and B. Crispo. Cross-VM Side Channels and their Use to Extract Private Keys.
41. Zhang Y, Liu S, Meng X: Towards high level SaaS maturity model: methods and case study // In Services Computing conference. IEEE Asia-Pacific: APSCC; 2016
42. ГОСТ Р ИСО/МЭК 27000-2012 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Общий обзор и терминология. Введ. 2013-12-01
43. ГОСТ Р ИСО/МЭК 27002-2012 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Свод норм и правил менеджмента информационной безопасности. Введ. 2014-01-01.
44. Закон Российской Федерации "ФЕДЕРАЛЬНЫЙ ЗАКОН ОБ ИНФОРМАЦИИ, ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЯХ И О ЗАЩИТЕ ИНФОРМАЦИИ" от 8.07.2006 № N 149-ФЗ
45. Мультитенантная архитектура для SaaS приложений // Habr URL: https://habr.com/ru/company/microsoft/blog/145027/ (дата обращения: 08.05.2019).
46. Родичев Ю.А. Нормативная база и стандарты в области информационной безопасности. Учебное пособие. - СПб.: Питер, 2017.

---