Файл: Защита информации при использовании облачных сервисов.pdf

28 через точку обмена можно в разы уменьшить загрузку внешних каналов и сократить время передачи данных между участниками. Для безопасной обработки данных обязательным условием является их шифруемая передача. В целях защиты данных в публичном облаке используется туннель виртуальной частной сети (VPN), связывающей клиента и сервер для получения публичных облачных услуг. В качестве средства передачи данных в публичных облаках
VPN - соединение использует общедоступные ресурсы, такие как Интернет.
Процесс основан на режимах доступа с шифрованием при помощи двух ключей на базе протокола Secure Sockets Layer (SSL).
Большинство протоколов SSL и VPN в качестве опции поддерживают использование цифровых сертификатов для аутентификации, посредством которых проверяется идентификационная информация другой стороны, причем еще до начала передачи данных. Такие цифровые сертификаты могут храниться на виртуальных жестких дисках в зашифрованном виде, и используются они только после того, как сервер управления ключами проверит идентификационную информацию и целостность системы. Следовательно, такая цепочка взаимозависимостей позволит передавать данные только тем облачным серверам, которые прошли предварительную проверку[15].
Зашифрованные данные при передаче должны быть доступны только после аутентификации. Данные не получится прочитать или сделать изменения в них, даже в случае доступа через ненадежные узлы. Такие технологии достаточно известны, алгоритмы и надежные протоколы AES, TLS, IPsec давно используются провайдерами.
2.2.2 Аутентификация
Решение проблемы безопасности пользователя в облачных вычислениях часто зависит от выбранных механизмов аутентификации. Самым популярным методом решения до сих пор является пароль. Большинство клиентов выбирают для пароля слова, которые легче запомнить, имена и номера

29 телефонов. Для получения подобного пароля злоумышленнику достаточно совершить перебор по словарю.
Альтернативой данного метода защиты считается двухфакторная аутентификация. На данный момент наиболее распространена технология двухфакторной аутентификации, использующая, одноразовые пароли (One
Time password). Такие пароли могут генерироваться либо специальными программами, либо дополнительными устройствами, либо сервисами, с пересылкой пользователю по SMS и действуют в течение ограниченного времени. Суть этого метода — пароль действителен только для одного входа в систему, при каждом следующем запросе доступа требуется новый пароль. В настоящее время существует несколько реализаций технологии одноразовых паролей. Для ее использования могут применяться такие средства, как:

Виртуальные токены (Mobile-OTP);

Аппаратных токены (Aladdin eToken PASS);

Аутентификация через SMS (RSA Mobile);

Аутентификация One Time Matrix (OTM).
Рассмотрим подробнее каждый из способов реализации технологии одноразовых паролей.
1) Принцип работы виртуальных токенов.
На устройство пользователя устанавливается специальное приложение – программный токен. Он работает на принципе двухфакторной аутентификации.
После установки приложения, пользователю необходимо пройти процесс регистрации своего устройства на сервере организации, к ресурсам которой требуется осуществить доступ. Далее для генерирования одноразового пароля пользователю необходимо ввести PIN код в приложении на своем устройстве.
Полученный одноразовый пароль пользователь может использовать для входа в систему.
2) Принцип работы аппаратных токенов.

30
Как правило аппаратный токен представляет собой компактное устройство, предназначенное для идентификации его владельца и упрощения аутентификации.
Для генерирования одноразового пароля должна существовать синхронизация между токеном клиента и сервером аутентификации. Основными недостатками токенов этого типа являются ограниченный срок службы, возможность рассинхронизации и утери.
3) Принцип работы технологии аутентификации через SMS.
Основное отличие облачной инфраструктуры заключается в том, что доступ пользователя в систему не должен быть территориально ограничен.
Именно поэтому на первый план выходит использование мобильных устройств для получения одноразовых паролей, которые сегодня есть в наличии практически у каждого. В самом простом случае одноразовый пароль будет сгенерирован специальным сервером аутентификации и выслан в SMS на мобильный телефон пользователя после ввода правильного статического пароля на страницу доступа к облачному сервису. Для прозрачного взаимодействия провайдера с системой идентификации при авторизации, также рекомендуется использовать протокол LDAP (Lightweight Directory Access
Protocol) и язык программирования SAML (Security Assertion Markup Language).
Плюсом данного метода аутентификации является замена токена или любого другого аналогичного устройства текстовым SMS-сообщением, которое приходит на ваш мобильный телефон, снимая необходимость закупки, поддержки и замены вышедших из строя токенов.
4) Принцип работы технологии аутентификации One Time Matrix.
Одноразовая матрица (One-Time Matrix, OTM) — это разновидность технологии одноразовых паролей, которая не требует никаких дополнительных устройств для использования. В основе технологии доступа OTM лежит использование одноразового пароля, который формируется путем распознавания заданного шаблона (матрицы) и последовательного считывания цифр, отображенных в ячейках шаблона. Под шаблоном понимается

31 последовательность произвольно выбранных пользователем ячеек одноразовой матрицы, которую пользователь должен сохранить в системе, и используемая в качестве эталонного аутентификатора. Набор цифр в ячейках матрицы генерируется случайным образом при каждой попытке аутентификации, что исключает возможность повторного использования одного и того же кода доступа.
Наиболее перспективной на данный момент является технология биометрической аутентификации. Это форма аутентификации, в которой физиологические черты человека используются для идентификации или проверки подлинности пользователя. На данный момент биометрическая аутентификация еще не получила должного распространения в связи с технологической сложностью системы.
2.2.3 Шифрование
Шифрование – один из самых эффективных способов защиты данных.
Провайдер, предоставляющий доступ к данным, должен шифровать информацию клиента, хранящуюся в центрах обработки данных, а также в случае отсутствия необходимости, безвозвратно удалять. При шифровании данных самым важным вопросом является месторасположение ключей. Их хранение на облачном сервере является бессмысленным, поскольку каждый, кто имеет доступ к облачным серверам или шаблонам, может получить доступ к ключу и расшифровать данным. Набор пароля при запуске системы, как это принято в локальных решениях для шифрования данных, невозможен в связи с отсутствием консоли ввода. Поэтому физический ввод ключа заменяется запросом, который облачный сервер отправляет внешнему источнику — серверу управления ключами (Key Management Server, KMS). Решающим фактором для обеспечения безопасности такого решения является раздельная эксплуатация облачного сервера и сервера управления ключами: если оба размещены у (одного и того же) провайдера облачных сервисов, то вся

32 информация оказывается собранной в одном месте. Хорошей альтернативой является установка сервера KMS в локальном ЦОД или в качестве внешней услуги у другого сервис-провайдера[16].
2.2.4 Изоляция пользователей
При использовании облачных вычислений периметр сети компании может размыться или и вовсе исчезнуть. Это приводит к тому, что защита каждого отдельного пользователя определяет общий уровень защищенности.
Но важно не только предоставить пользователям безопасный способ обработки данных, но и защитить информацию. В том числе и от инсайдеров.
Корпоративный firewall — основной компонент для внедрения политики IT безопасности и разграничения сегментов сети, не в состоянии повлиять на серверы, размещенные в облачных средах. Поэтому важно, чтобы виртуальные сети были развернуты с применением таких технологий, как VPN (Virtual
Private Network), VLAN (Virtual Local Area Network) и VPLS (Virtual Private
LAN Service)[17].
Также провайдеры могут изолировать данные пользователей друг от друга за счет изменения кода в единой программной среде. Этот подход имеет риски, связанные с опасностью найти дыру в нестандартном коде, позволяющем получить доступ к данным. В случае возможной ошибки в коде пользователь может получить доступ к информации другого пользователя. В последнее время такие инциденты часто имели место.
Безопасность не всегда обеспечивается только защитой. Она может быть достигнута также соответствующими организационными правилами поведения и взаимодействия объектов и высокой профессиональной подготовкой персонала. Конфиденциальность информации – это принцип аудита, заключающийся в том, что аудиторы обязаны обеспечивать сохранность документов, получаемых или составляемых ими в ходе аудиторской деятельности, и не вправе передавать эти документы или их копии каким бы то

33 ни было третьим лицам, либо разглашать устно, содержащиеся в них сведения без согласия собственника экономического субъекта. За исключением случаев, предусмотренных законодательными актами.

34 3 Выбор оптимальных методов защиты облачных ресурсов
3.1 Сравнения облачных технологий
Так как клиенты часто не интересуются степенью ответственности поставщика за предоставляемые ресурсы, первым этапом является выбор облачного сервиса, наиболее подходящего критериям потребителя. В настоящее время существует множество как платных, так и бесплатных облачных сервисов, предоставляющих разные наборы услуг. Выбор облачной инфраструктуры в первую очередь зависит от нужд клиентов. Поэтому, организации или частному лицу в первую очередь необходимо определиться с моделью обслуживания. Как уже упоминалось ранее, существует три основных вида моделей IaaS, PaaS и SaaS.
Если компании необходимы дополнительные вычислительные мощности и нет возможности покупки дополнительных серверных машин, то наиболее удачным решением является выбор IaaS модели. На данный момент этот тип услуги предлагают такие провайдеры, как IBM SmartCloud Enterprise, VMWare,
Amazon EC2, Windows Azure, Google Cloud Storage, Parallels Cloud Server и многие другие. Но так немногие компании согласятся доверить свои данные серверам, расположенным в других странах, первым критерием стало территориальное расположение дата-центров.
Безусловным лидером виртуализации серверных ресурсов для корпоративного сегмента сегодня является VMware, благодаря функции «High
Availability», поддержке требуемых ОС, возможности по сопряжению с собственной виртуальной инфраструктурой и возможности использования функциональности SRM[18]. Поэтому здесь будут рассмотрены только провайдеры, поддерживающие эту технологию виртуализации. Сравнительный анализ российских провайдеров приведен в таблице 1.

35
Таблица 1
Сравнительная стоимость HDD у российских провайдеров
Провайдер
IaaS
Системы хранения данных
Стоимость
HDD при статической модели, руб/мес
Стоимость
HDD при динамической модели, руб/мес
1
IT-GRAD
NetApp FAS
6240 30 44 2
Dataline
NetApp FAS
6210, HP
MSA P2000 20 40 3
Cloudone
NetApp FAS
2040, NetApp
FAS 3240 14 нет
4
ONLANTA
HDS HUS
32 нет
5
SafeData
NetApp FAS
3250 24 30 6
Cloud4Y
NetApp FAS
3250 38 нет
7
Croc
EMC VNX
5700 26 40 8
I-Teco
3PAR 10400,
IBM
Storewize
7000, IBM
XIV
30 нет
9
MegaFon
HP EVA 8400 28 нет

36 10
RTComm-
Sibir
EMC VNX
30 нет
11
SoftLine
NetApp FAS
2240 30 44 12
DEPO
Electronics
NetApp E- series
26 нет
Из представленных вариантов невозможно выделить оптимальное решение, так как каждая компания индивидуально выбирает параметры, которым будет уделено наибольшее внимание.
Для организаций, занимающихся созданием нового программного обеспечения, могут потребоваться значительные вычислительные ресурсы, Но они не всегда заинтересованы в администрировании баз данных и операционных систем, так как необходимым является только ограниченный набор продуктов. В этом случае идеальным решением является модель PaaS. В настоящее время данная услуга предоставляется такими компаниями, как:

IBM SmartCloud Application Services;

Amazon Web Services;

Windows Azure;

Boomi;

Cast Iron;

Google App Engine и другие.
При выборе управляющей моделью компании следует опираться на такие критерии, как:

Количество создаваемых приложений;

Какой тип приложений разрешен;

Базы данных какого типа поддерживаются;

Поддерживается ли протокол SSL (HTTPS).
Ниже приведена сравнительная таблица PaaS платформ.

37
Таблица 2
Сравнение PaaS платформ
Платформа
Поддерживаемые языки програмирования
Поддерживаемые базы данных
Стоимость, $
Beanstalk
Java, .NET, PHP,
Node.js, Python, Ruby,
Go и Docker
Amazon Relational
Database
Service (Amazon RDS),
Amazon DynamoDB или Microsoft SQL
Server, Oracle от 0.05 до 4.10 за час
Force.com
HTML, CSS, and
JavaScript
Oracle Database
75 за пользователя в месяц
Heroku
Ruby, Java, Node.js,
Scala, Clojure, Python,
Go и PHP
Cloudant (англ.),
Membase (англ.),
MongoDB и Redis[7], помимо основной —
PostgreSQL от 0.05 до $0.10 за час
Microsoft Azure
Java, PHP, Ruby,
Node.js, C
SQL Server от 0.02 до 0.64 за час
OpenShift
.NET Core 1.0 .NET
Core 1.1 Node.js 0.10
Node.js 4 PHP 5.5 PHP
5.6 Python 2.7 Python
3.3 Python 3.4 Python
3.5 Ruby 2.0 Ruby 2.2
Ruby 2.3 Perl 5.16 Perl
5.20 Tomcat 7 Tomcat
8
MariaDB 10.1
MongoDB 2.4
MongoDB 2.6
MongoDB 3.2 MySQL
5.5 MySQL 5.6
PostgreSQL 9.2
PostgreSQL 9.4
PostgreSQL 9.5 от 0.02 до 0.10 за час
App Engine
Python, Java, Go, PHP
- от 0.05 за час
Engine Yard
Ruby, JRuby, REE,
Rubiniu, Node.js, PHP
MySQL и PostgreSQL от 0.05 до 2.19 за час

38
Также существует решение, для конечных пользователей, у которых есть необходимость работы с конкретным приложением, которое по тем или иным причинам не может быть установлено на их рабочей станции или необходим удаленный доступ. Такие функции реализованы в модели SaaS. Примерами
SaaS являются Gmail, Google Docs, Netflix, Photoshop.com, Acrobat.com, Intuit
QuickBooks Online, IBM LotusLive, Unyte, Salesforce.com, Sugar CRM и WebEx.
Значительная часть растущего рынка мобильных приложений также является реализацией SaaS.
В то время как использование таких сервисов как Gmail, Google Docs,
Netflix, Photoshop.com зависит от конкретных целей пользователя и их сравнение не представляется возможным из-за выполнения совершенно различных функций, сравнение облачных хранилищ данных не имеет смысла из-за небольших различий, состоящих в цене и объеме предоставляемого места.
Именно этот тип инфраструктуры наиболее подвержен существованию вероятности завладения злоумышленником данных, а также поставщик наименее заинтересован в сохранении конфиденциальности хранимой или обрабатываемой информации пользователей или даже претендует на принадлежность ему всех полученных файлов. Для того чтобы пользователь смог безопасно хранить и передавать свои данные, он должен в первую очередь установить безопасное соединение с удаленным центром обработки данных.
3.2 Сравнительные характеристики типов подключения
Так как возможные атаки на сеть и маршрутизаторы непосредственно не учитываются поставщиком при построении облачной инфраструктуры, клиенты часто не являются достаточно компетентными в вопросах информационной безопасности или забывают о необходимости защиты своей сети.
Подобная неосведомленность клиентов о том, каким образом и через какие сетевые узлы проходят их запросы к распределенной системе облака,

39 создает возможность проникновения извне и является первой уязвимостью, подлежащей устранению. Особенно это актуально для компаний, имеющих в своем распоряжении только рабочие станции и использующих серверные ресурсы внешнего облака.
Для практической реализации методов защиты от угроз этого типа целесообразно применять межсетевой экран, а также шифровать канал передачи данных и проводить аутентификацию пользователей. Немаловажным фактором в то же время является разграничение прав доступа пользователей и контроль над равномерным распределением их полномочий в порядках установленного регламента. При этом основной проблемой остается поиск подобных средств защиты, адаптированных под условия работы в облачной инфраструктуре. Для выбора наиболее подходящего типа подключения была составлена сравнительная таблица (Приложение 1).
Выбор конечного решения зависит от того, какая именно модель обслуживания является для пользователя наиболее актуальной и соотносится с предоставляемыми провайдером услугами.
Практически любой из предложенных методов способен обеспечить безопасную передачу данных потребителя облачных сервисов. Однако любой из этих типов подключения не является гарантией того, что данные не будут изменены и похищены непосредственно из облачной системы. Для того чтобы полностью обезопасить свои данные рекомендуется также дополнительно шифровать файлы.
3.3 Выбор облачного сервиса для тестирования
Хотя в настоящее время многие облачные сервисы защищают информацию пользователя от проникновения извне, важно также обеспечить безопасность и от сотрудников компании провайдера. Особенно это важно при использовании приложений хранения данных. Поэтому к облачным сервисам, на которых будут тестироваться способы шифрования, были выдвинуты следующие требования: