Дата-центр – относительно новая технология, призванная заменить хостинг-провайдеров в областях, где к информационной безопасности предъявляются повышенные требования. Основной функцией дата-центра является обработка и сохранение больших объемов информации с обеспечением доступа к этой информации посредством всемирной сети Интернет.
На сегодняшний день Интернет – единственное глобальное пространство, позволяющее эффективно предоставлять, сохранять информацию и обмениваться нею. Эффективность сети Интернет обеспечена не только наличием простых и удобных пользователю интерфейсов, но и широким доступом, ведь Интернет доступен практически в любой точке мира.
Невзирая на регулярные сообщения о различного рода «хакерских атаках», которые, если верить СМИ, наносят огромнейшие убытки, все больше и больше организаций и компаний используют Интернет в процессе своей деятельности. Объясняется такая тенденция довольно просто: одним из условий успешного развития бизнеса является использование современных методов работы с информацией, а без Интернета это невозможно. Альтернативы ему нет.
Конечно же, альтернативой Интернету вполне могли бы стать сети Х.25. Однако по ряду причин развитие этих сетей было заморожено, и сегодня их применяют только для решения ограниченного круга задач. Правда следует отметить, что в случае возникновения такой необходимости, через Интернет можно организовывать взаимодействие с сетями Х.25 и с их ресурсами. За счет такого решения появляется возможность приема/передачи телетайпных, телексных и факсимильных сообщений, выхода в банковские сети, пересылки электронной информации традиционной «бумажной» почтой, передачи СМС через e-mail на мобильные телефоны пользователей и т.д.
Уже сейчас Интернет можно назвать пространством, посредством которого осуществляется доступ к корпоративным сведениям и информации, относящейся к категории критичной. Если государственные организации (например, оборонные и дипломатические ведомства) имеют возможность применять сети закрытого типа, то у частных коммерческих компаний подобной возможности нет. Кроме того, применение закрытых сетей, большинству компаний просто не по карману.
В этой связи все большую популярность приобретают услуги дата-центров, обеспечивающие хостинг и предоставляющие широчайшие возможности обеспечения безопасности информации. В частности, например, в процессе работы с приложениями по схеме ASP (аренда приложений) полная безопасность данных обеспечена благодаря комплексной защитной системе, которая содержит в себе: межсетевые экраны, сканеры выявления вторжения, средства аудита всех журнальных файлов, средства анализа статистических параметров трафика и т.п.
Основные задачи информационной безопасности. Основной задачей системы информационной безопасности (как и любой иной системы безопасности) является минимизация ущерба при противоправных воздействиях. Кроме этого задачей информационной безопасности является предсказание и профилактика воздействий, вследствие которых может быть нанесен определенный ущерб.
Базовыми составляющими компонентами информационной безопасности являются:
- выявление тех объектов, на которые могут быть нацелены угрозы;
- определение существующих и наиболее вероятных угроз;
- выявление наиболее вероятных источников возникновения угрозы;
- оценка уровня риска;
- разработка и внедрение методик выявление враждебных воздействий;
- разработка и внедрение методик защиты от уже известных угроз;
- разработка и внедрение средств реагирования при возникновении той или иной ситуации.
Какие объекты в информационной системе подвержены угрозе?
Информация
Прежде всего, угрозе подвержена сама информация. Ее можно: украсть, уничтожить, изменить, заблокировать или скомпрометировать. Однако здесь следует отметить, что по своей сути информация пассивна и для того, чтобы оказывать на нее воздействие требуется повлиять или на носитель или на ту систему, в которой эта информация располагается. С целью обеспечения защиты информации от ее раскрытия или несанкционированного изменения применяют так называемые методики криптозащиты, которые в последние годы активно развиваются и совершенствуются.
Оборудование и различные элементы системы
В данном случае речь идет о серверах, сетевом оборудовании, кабельных системах, устройствах обеспечения электропитания, различных системах вспомогательного характера. Для подобного рода объектов имеет место угроза физического воздействия, которое может стать причиной повреждения объекта, утрате его функциональности или же возникновения в системе чужеродных объектов, негативно влияющих на функционирование всей системы.
Также сюда можно отнести и риск похищения объектов защиты. Это довольно часто встречающееся явление. Так, например, в 2000 году ущерб вследствие кражи лэптопов составил порядка 10 млн. долларов. С целью минимизации рисков хищения используют традиционные средства физической защиты совместно с обеспечением защиты периметра и внедрением: пропускной системы, системы контроля доступа рабочего персонала, системы видеонаблюдения, системы сигнализации.
Что же касается вирусов, способных физически вывести из строя оборудование, то пока это только легенды, не имеющие ничего общего с действительностью.
Программное обеспечение
В данном случае речь идет об операционных системах, прикладных программах и дополнительных сервисах. Именно эти объекты наиболее уязвимы и наиболее часто подвергаются атакам. Атаки на данные объекты могут стать причиной:
1) Краха системы, частичной или полной утрате ею своей функциональности;
2) Выполнения атакующей стороной (благодаря внешнему воздействию) противоправных или непредусмотренных действий внутри всей системы;
3) Получения злоумышленником контроля над работой всей системы или отдельными ее частями.
Защита от неправомерных атак, которые используют уязвимость программного обеспечения, и является главной задачей традиционных систем обеспечения информационной безопасности.
Персонал
Анализ возможности психологического и физического влияния на системного администратора выходит за границы данной статьи. Правда, если рассуждать о безопасности в целом, то администратор информационной системы обязательно должен признаваться объектом защиты. При этом он должен находиться под пристальным вниманием службы безопасности.
Остановимся на том, что случайное или же целенаправленное воздействие на рабочий персонал, который обладает административными полномочиями в системе, вполне может стать причиной серьезных рисков. Также отметим, что для отдельно взятых систем «цена вопроса» вполне может оказаться сопоставимой с общей стоимостью информационной системы.
Кто и что может угрожать информационной системе? Кто может являться субъектом негативного воздействия? Какие средства могут использоваться для несанкционированных воздействий?
"Злоумышленник"- некто, который в силу определенных мотивов осуществляет сознательные действия, способные нанести ущерб. При этом мотив может быть самым различным - начиная с простого «спортивного интереса» и заканчивая самой обыкновенной обидой на работодателя.
"Администратор"- лояльный работник, обладающий полномочиями «суперпользователя», который вследствие определенных обстоятельств непреднамеренно осуществляет действия, которые могут принести ущерб. Причиной может быть недостаточная квалификация, хроническая усталость, длительная непосильная нагрузка.
В качестве примера можно вспомнить о классической команде rm -rf / * (команда предполагает удаление всех файлов, включая вложенные директории, без дополнительного подтверждения) в UNIX. Конечно, данная команда не используется очень часто, тем не менее, периодически ее все же используют. Администратор же имеет практически неограниченные возможности в информационной системе, и даже если какой-либо объем данных защищен от изменения, очень проблематично исключить его уничтожение.
"Вирусы" – под этим понятием можно обобщить все «самовоспроизводящиеся» приложения, разработанные человеком, но порой, живущие собственной жизнью согласно вложенному в них алгоритму. Сюда можно отнести и вирусы, и черви, и очень часто сопутствующих им «троянских коней». Следует подчеркнуть, что контроль над этими программами со стороны создателя может быть как полностью утрачен, так и частично сохранен (Code Red).
В случае вирусной атаки определить начальный источник заражения, точно так же, как и автора вредоносного приложения, во многих случаях не предоставляется возможным. По крайней мере, это выходит за рамки возможностей и обязанностей сотрудников, обеспечивающих безопасность провайдеров и информационных систем.
Конечно же, нельзя забывать и о «форс-мажорных» обстоятельствах, то есть об обстоятельствах непреодолимого характера, выходящих за рамки разумного предвиденья и контроля сторон. К форс-мажорным обстоятельствам относятся катастрофы, стихийные бедствия, террористические акты, действия властей и т.п., и, безусловно, такие обстоятельства представляют определенную угрозу для информационной системы и специалистов, работающей с ней.
Если верить самым последним данным, которые были опубликованы институтом компьютерной безопасности (Computer Security Issues & Trends, 2001 CSI Computer Crime and Security Survey), первое место по количеству несанкционированных атак занимают вирусные программные воздействия. Второе место занимает кража лэптопов. Третье место – действия инсайдеров внутри сети. На четвертом месте – проникновение в сеть извне.
Если же говорить о финансовом ущербе, то в данном случае сведения не столь конкретны – уж слишком много можно списать на хакеров и регулярно распространяющихся в сети червей и вирусов. Кроме этого, далеко не все пострадавшие открыто заявляют о понесенном ущербе, пытаясь таким образом сберечь подпорченную репутацию компании. Разброс цифр достаточно велик: для удаленных атак заявляемая сумма нанесенного ущерба лежит в пределах от 100 долларов до 10 млн. (за каждую атаку) при усредненной величине в 500 долларов. В отношении вирусных атак сумма колеблется от 100 долларов до 20 млн. при усредненном показателе порядка 200 долларов.
Вместе с тем имеют место и такие категории инцидентов, вследствие которых ущерб на самом деле значителен. К таким инцидентам можно отнести финансовое мошенничество и кражу информации. В частности, для мошенничества показатель ущерба оценен практически в 4,5 тыс. долларов (при совокупном заявленном ущербе порядка 100 тыс. долларов). Данные сведения подтверждаются довольно частыми сообщениями банкротства ряда компаний, основной сферой деятельности которых является Интернет-торговля.
Вероятность атаки
Вероятность атаки на сеть хостинг-провайдера или на дата-центр достаточно велика. Обусловлено это прежде всего большим объемом размещенных ресурсов. В случае с дата-центрами немаловажную роль играет также и характер размещаемой информации, стоимость этой информации и ее критичность. Исключать вероятность профессионально подготовленной атаки, направленной на получение или уничтожение информации или же нацеленной на получение контроля над ресурсом, нельзя, даже если за безопасностью следят высококвалифицированные специалисты.
В случае с традиционным хостингом (подразумеваются организации, которые специализируются на предоставлении виртуального веб-хостинга) профессиональная атака менее вероятна. Однако здесь гораздо чаще встречаются так называемые лобовые "brute force" атаки. Также достаточно вероятны атаки на почтовые серверы для последующей незаконной передачи огромного объема спама. Спам – незапрашиваемая информация, в большинстве своем назойливого рекламного характера. Если же вспомнить о профессиональных атаках, то они просто невыгодны, ведь требуют серьезных усилий (иногда даже и участия провайдеров), и в результате могут оказаться дороже полученного эффекта.
Политика безопасности информационных систем
Точно также как формируется система безопасности жилого дома, супермаркета или промышленного предприятия, строится и система информационной безопасности хостинг-провайдера, частной (корпоративной) информационной системы, дата-центра.
Дата-центр или как его еще называют Центр Обработки Данных (ЦОД) – относительно новое явление, развитие которого вызвано активным развитием сети и таким же активным развитием предпринимательской деятельности в сети Интернет. Крупнейшие организации и предприятия, работающие в Интернет, предъявляют повышенные требования не только в отношении качества предоставляемых услуг, но и в отношении обеспечения информационной безопасности.
Вместе с тем большая часть существующих хостинг-компаний нацелена на работу в несколько ином сегменте рынка, обладающем собственной спецификой. Как правило такие хостинг-компании просто не готовы к разрешению задач, связанных с обеспечением информационной безопасности. Если возвратится к нашей метафоре: жилые дома не предназначены для расположения на их территории банков, промышленных площадок и атомных электростанций.
Хостинг-компании возникли раньше дата-центров и в иной экономической ситуации (не только в РФ, но и на Западе). У большей части подобного рода компаний основной задачей является предоставление бюджетных, но довольно профессиональных услуг по размещению и технической поддержке веб-ресурсов и виртуальных почтовых систем. Среди клиентуры хостинг-компаний оказываются частные лица, небольшие предприятия, бюджетные организации, шоу-бизнес и т.п. Крупный же бизнес и крупные компании, которые связаны с властью и управлением, редко сотрудничают с хостинг-компаниями именно из-за их слабой защищенности и ненадежности оказания сетевых услуг.
Задача уменьшения себестоимости во многом определяет структуру информационной системы «традиционного хостера». В большинстве случаев применяются менее «брендовые» серверы, управление которыми осуществляется посредством систем Linux или Free-BSD. Это дает определенную экономическую выгоду, но не может гарантировать нормальную и надежную техническую поддержку от вендоров.
Следует обратить внимание, что во многих случаях «традиционные» хостинг-провайдеры не обладают собственным активным сетевым оборудованием, равно как и собственными каналами связи, применяя при этом инфраструктуру провайдера. С одной стороны такое решение дает возможность существенно уменьшить себестоимость услуг, а с другой – лишает возможности контроля и определенным образом ограничивает уровень информационной безопасности.
В целом же, степень защищенности у среднестатистического хостера вполне адекватен стоимости размещаемых данных и вероятным рискам, и угрозам. Как правило, политика обеспечения безопасности, не проектируется, а все изменения в системе внедряются одним (или несколькими) администраторами. Отсутствие поддержки от вендоров так же, как и небольшие штаты – все это заставляет системного администратора быть всегда в хорошей профессиональной форме, но существенно снижает степень информационной защищенности.
Впрочем, как уже упоминалось немного выше, для различных категорий объектов подходят индивидуальные средства защиты. Нет смысла каждый жилой дом оснащать зениткой и комплексом противоракетной обороны. Кроме того, в задачи охранника дома входит борьба с ворами и хулиганами, но никак не отражение атак спецназа и выявление профессиональных диверсантов.
Если же вспомнить о дата-центрах, то они появились недавно и называть их этапом развития хостинг-компаний было бы несправедливо. Это определенно иная структура, нацеленная на предоставление сложнейших комплексных услуг, которые пользуются спросом у корпоративных заказчиков. При этом основным преимуществом дата-центров является высокий уровень защищенности не только за счет технических средств, но и за счет различного рода организационных мер.
Специфика обеспечения информационной безопасности в дата-центрах
В системе обеспечения информационной безопасности дата-центров присутствует своя специфика. Прежде всего это необходимость в «прозрачном» доступе клиентуры, работающей посредством Интернет в сочетании с соблюдением жестких требований, предъявляемых к вопросам защиты информации. Следующей особенностью является применение различного рода платформ и приложений, что не дает возможности поставить акцент на безопасность какой-либо одной платформы или линейки продуктов. Необходимо обратить внимание на тот факт, что доступ к некой группе клиентской информации должен быть закрыт всем, в том числе и администраторам системы.
Необходимо учитывать также и тот факт, что для большей части коммерческой продукции режим ASP появился совсем недавно. Таким образом, подобная продукция не обладает длительной историей эксплуатации в режиме удаленного доступа, а соответственно не может похвастаться и детальным тестированием на уязвимость.
В этой связи, перед запуском того или иного ASP-продукта требуется достаточно длительная процедура тестирования и конфигурирования. Кроме этого, для определения настроек брандмауэров необходим анализ трафика, выявление диапазона открытых портов, а также исследование статистических параметров трафика в разных режимах.
Основные элементы защиты
Рассмотрим наиболее распространенные методы защиты, их возможные реализации, а также целесообразность использования в той или иной ситуации.
«Нулевой» рубеж обороны – сокрытие структуры сети (так называемая имитационная защита). В данном случае специальное программное обеспечение эмулирует сетевые сегменты сервера. Регулярный контроль за атаками на несуществующую сеть дает возможность определить вероятные источники угроз. Кроме этого имитационная защита вводит в заблуждение потенциального агрессора и затрудняет ему работу по определению реальной структуры системы и планированию программных атак.
Первый рубеж защиты – детектор вторжений. Осуществляя анализ входящего трафика, данная система отслеживает возникновение сигнатур известных видов атак. В некоторых случаях внедряется система адаптивной защиты, благодаря которой в процессе обнаружения сигнатур производится изменение списков доступа на сетевом экране. Следовательно, выполняется оперативное блокирование источника угрозы. Вместе с тем, число проверяемых сигнатур ограничивается, за счет чего повышается быстродействие и существенно снижается вероятность ложных тревог, что является критичным для адаптивной системы. Уменьшение количества обнаруживаемых атак компенсируется посредством использования дополнительных систем выявления вторжений в локальные контура защиты. Чаще всего применяется детектор SNORT, который находится в свободном распространении.
Необходимо обратить внимание, что с внедрением и применением IDS связан целый перечень проблем. Прежде всего, к такие проблемы связаны с ложными срабатываниями. Подобного рода ситуация наблюдалась в ходе «эпидемии» Code Red и NIMDA. Разумеется, проблема ложных срабатываний вполне решаема, однако, в любом случае, контроль над такими событиями должен быть регулярным.
В компаниях, которые занимаются «традиционным» веб-хостингом, аппаратные IDS почти не применяются из-за своей довольно высокой себестоимости. Программные детекторы также используются относительно редко, поскольку они требуют довольно значительных системных ресурсов. Исследование трафика (разбор пакетов) осуществляется при возникновении такой необходимости «вручную» с применением утилит вроде tcpdump. Основную массу вредоносных атак отслеживают в процессе анализа журнальных файлов.
В дата-центрах применение программных и аппаратных IDS является обязательным условием при построении и работе системы обеспечения информационной безопасности.
Второй уровень защиты – разделение зон безопасности, закрытых посредством сетевых экранов, а также распределение трафика за счет применения виртуальных сетей VLAN. Трехуровневую схему: «внешняя зона» - «демилитаризованная зона» - «внутренняя зона» можно назвать стандартным решением. Межсетевые экраны – хорошо описанная классика.
Виртуальные сети в традиционном хостинге применяются гораздо реже 0 в большинстве случаев в силу иной структуры сети и акценте на виртуальный хостинг. Основная задача клиентского трафика в UNIX-системах виртуального хостинга разрешается путем использования программных средств.
Настройка межсетевых экранов при достаточно сложной структуре сети считается нетривиальной задачей. В целом, руководствуются принципом: «запрещено все то, что не разрешено».
Что касается иных методик защиты, применение которых можно назвать неизбежным, то здесь следует выделить антивирусную защиту. Идеальным вариантом считается централизованный антивирусный мониторинг. Что же касается антивирусного контроля почты с автоматическим удалением зараженных вирусом сообщений, то здесь антивирусная защита – довольно сомнительное средство. Это обусловлено тем, что большинство пользователей предпочитают получать электронные письма в неизменном виде. На самом деле, не всегда понятно, когда антивирусная защита молча удаляет сообщения, которые содержат, к примеру, сигнатуры вирусов или же сообщения пользователя о вероятности вирусной атаки с прикрепленным «подозрительным» файлом.
Если же взглянуть на ситуацию с иной стороны, то слабый «гигиенический» уровень большей части пользователей и регулярные вирусные атаки, делает антивирусную защиту почтовых ящиков крайне желательным решением. По крайней мере, у пользователя должен быть выбор и для различных групп пользователей должны использоваться разные способы реагирования.
Исследование и анализ журнальных файлов – неотъемлемая часть системы безопасности вне зависимости от класса и уровня компании. Как правило, уделять особое внимание анализу журнальных файлов нет никакого смысла.
Контроль доступа
Контроль доступа, а также идентификация пользователей является неотъемлемой частью системы безопасности. При этом отдельно следует остановиться на контроле доступа операторов и администраторов, которые наделены в системе определенными полномочиями. Довольно серьезной проблемой можно назвать генерацию и смену паролей так называемых «суперпользователей». Из соображений безопасности пароли рекомендуется менять действительно часто. Достаточно эффективным решением является применение современных методик идентификации пользователя, а также средств контроля доступа.
На сегодняшний день используется несколько современных средств. Например: бесконтактные элементы памяти, смарт-карты, системы биометрического контроля.
Биометрический контроль представляется наиболее эффективным средством, поскольку глаз или палец, потерять гораздо сложнее, нежели брелок с чипом памяти. К тому же только так можно обеспечить гарантию того, что в систему входит именно уполномоченный на это пользователь, а не посторонняя личность, нашедшая ключ доступа.
Из средств биометрического контроля наиболее распространенными являются сканеры отпечатка пальца (Compaq Fingerprint, Identix). На сегодня такие системы не очень дороги и вполне доступны. Что касается сканеров радужной оболочки глаз, то пока что их использование ограничено в силу их дороговизны и ненадежности.
Конечно, перечислять все существующие средства обеспечения безопасности не имеет никакого смысла, поскольку их огромнейшее количество и каждое из них обладает индивидуальными особенностями. Как бы там ни было, прежде всего, необходимо понимать, что технических средств, какими бы совершенными они не были не достаточно для поддержания безопасности даже на минимальном уровне.
Необходимо помнить и понимать, что некорректные действия администратора могут привести к гораздо большему ущербу в сравнении с теми же вирусными атаками. При этом, ошибка пользователя, который самостоятельно администрирует свои приложения, может попросту свести «на нет» все усилия, направленные на создание надежной системы безопасности. Как свидетельствует практика, по-прежнему Логин "demo" и пароль к нему "test" встречаются очень часто.
Наличие политики безопасности и жесткая регламентация документации
Характерной особенностью дата-центров является наличие продуманной политики безопасности, а также системы довольно жесткой регламентации рабочей документации.
Конечно, достаточно жесткая регламентация действий персонала, в том числе и специалистов-администраторов, имеет определенные недостатки, выражающиеся в первую очередь в снижении оперативности и практически полном исключении возможности принятия нестандартных решений. Однако, с другой стороны, благодаря такой регламентации обеспечивается гарантия выполнения необходимых и предписанных действий. Вместе с тем, увольнение сотрудника с административными полномочиями не может повлиять на действительно нормальную работу системы и стать причиной снижения общего уровня безопасности. Более того, наличие собственной системы безопасности дает возможность существенно минимизировать ущерб от вероятных действий персонала, который наделен в системе административными полномочиями.
Важнейшей составляющей, о которой следует вспомнить, является корпоративная политика и этика. В дата-центрах трудится довольно большое количество людей, от которых напрямую зависит многие вопросы, касающиеся обеспечения безопасности. Если технический персонал и администраторы действительно преданы компании и не станут инсайдерами, которые работают на интересы конкурента – это уже весомый вклад в поддержание системы безопасности на должном уровне.
Реагирование на инциденты
Не менее важным вопросом является реагирование на инциденты. Клиентура дата-центров должна быть максимально защищена – в случае возникновения угроз для нее должны приниматься оперативные и адекватные ситуации меры.
Конечно же, далеко не всегда предоставляется возможным выявить истинный источник угрозы. Однако, в большинстве своем это вполне решаемая задача. Именно поэтому пренебрегать административным реагированием нельзя.
Следует также вспомнить и о так называемом сетевом этикете и общепринятых правилах, придерживаться которых обязаны все провайдеры. Если они получают доказательства, подтверждающие атаку на их сети, то реагируют на такое явление адекватно и жестко (правда, лишь в тех случаях, если у них есть действительно неоспоримые доказательства).
Более того, в большинстве ведущих мировых государств предусмотрены специальные организации и подразделения, основной сферой деятельности которых является профилактика и борьба с преступлениями в Сети. В большинстве своем такие организации реагируют в тех случаях, когда преступление совершено на их территории и когда ущерб был нанесен их резидентам. Таким образом, с учетом ужесточения контроля над действиями в сети Интернет и в связи с угрозой терроризма можно не сомневаться, что при совершении серьезных и массовых вредоносных атак расследование будет проведено и все виновные понесут наказание.
Как бы там ни было, любая служба информационной безопасности любого дата-центра обладает возможность реагирования на те или иные инциденты. При определенной настойчивости, знании особенностей национальных и международных органов сетей и общей безопасности, а также знании действующего законодательства шансы на вполне адекватную реакцию довольно велики. Необходимо понимать и помнить, что безопасность это не только технические средства и навыки, но и сбор сведений, их анализ, и их синтез.
В качестве наглядного примера может быть приведена статистика IDS (детектор вложений), который контролирует одну из сетей проекта DATA FORT. Так, только за четыре дня специалистами зафиксировано порядка 50 тыс. сигнатур-атак. Наибольшая доля приходится на «черви» Nimda (