Вестник цифровой трансформации

Главные ошибки в области виртуальной безопасности

Грубейшие ошибки в области информационной безопасности частных облаков и виртуализованных инфраструктур, а также как их избежать

19:12 12.01.2016  |  Михаил Зырянов | Грубейшие ошибки в области информационной безопасности частных облаков и виртуализованных инфраструктур, а также как их избежать3242 просмотров



Грубейшие ошибки в области информационной безопасности частных облаков и виртуализованных инфраструктур, а также как их избежать.

Все больше предприятий развертывают у себя виртуализированную инфраструктуру, некоторые строят частные и гибридные облака. Какие наиболее грубые ошибки при этом совершаются, к каким последствиям они могут привести и как их избежать?

Самая большая ошибка заключается в том, что о безопасности очень часто просто забывают — вспоминают, когда уже все выстроено и кто-то из специалистов ИБ вдруг начинает указывать на недостатки, считает Евгений Дружинин, ведущий эксперт по информационной безопасности компании «Крок».

Как следствие, ИБ-специалисты не вовлекаются в проект по виртуализации или миграции в облако уже в самом его начале, отмечает Юрий Сергеев, руководитель группы проектирования центра информационной безопасности компании «Инфосистемы Джет». Последствия в этом случае зависят от масштабов созданной инфраструктуры и используемых в ней технологий.

Еще одна грубая, по мнению Дружинина, ошибка связана с тем, что к вопросам информационной безопасности относятся формально: «Некоторые системы устанавливаются ради того, чтобы соответствовать нормативным требованиям, но о том, как это будет работать и что конкретно защищать, часто не думают».

«Основная ошибка — это неспособность обеспечить оптимальный уровень безопасности, — указывает Павел Эйгес, региональный директор Intel Security в России и СНГ. — То, что внешний или внутренний оператор облачного сервиса работает в соответствии со стандартами и имеет сертификаты такого соответствия, зачастую лишь позволяет ему поддерживать минимально необходимый уровень защиты. Однако многие считают, что такого уровня им вполне хватит, — в этом и есть их основная ошибка, ведь угрозы совершенствуются каждый день и стандарты регуляторов просто не могут поспевать за ними».

Частые ошибки

Впрочем, те, кто заботятся об информационной безопасности своих виртуализованных и облачных сред, делают и немало других грубых ошибок. В частности, отмечает Алексей Грачев, руководитель направления консалтинга компании ЕМС в России и СНГ, как правило, не приводят к успеху попытки самостоятельно создать надежную и защищенную платформу из подручных средств, к тому же это влечет за собой значительные риски. Еще одна группа серьезных рисков, обусловленных человеческим фактором, связана с тем, что администратор виртуальной инфраструктуры получает очень широкие полномочия. Известны случаи, когда месть уволенного администратора приводила к краху платформы и потере данных.

«По нашим наблюдениям, многие проблемы являлись следствием неоправданной экономии на элементах ИТ-инфраструктуры или операционных расходах, включая привлечение компетентных специалистов, их мотивацию и зарплату, — добавляет Грачев. — Экономить можно, только очень хорошо ориентируясь в предмете, понимая возможные последствия и ответственно принимая риски».

Сергеев также отмечает ситуации, когда при достаточной плотности размещения виртуальных машин не используются функции безопасности, предоставляемые платформой виртуализации, которая обычно позволяет применять механизмы защиты оптимальным способом на уровне гипервизора. Еще одна ошибка в том, что под защитой частного облака в некоторых случаях специалисты подразумевают лишь защиту слоя виртуализации, при этом совсем не рассматриваются вопросы безопасности уровней оркестрации, портала доступа конечных пользователей услуги и администраторов.

Алексей Сабанов, заместитель генерального директора компании «Аладдин Р.Д.», выделяет еще несколько часто встречающихся серьезных ошибок. Так, известные и хорошо исследованные уязвимости позволяют злоумышленникам проникнуть к информационным ресурсам посредством удаленного доступа по паролям. Исправить ситуацию можно, обеспечив переход на доменную структуру и управление доступом (в том числе удаленным) только с применением цифровых сертификатов доступа. Другая ошибка — размещение баз данных (в том числе персональных данных) на виртуальных серверах в незащищенном виде. Уменьшить на порядок возникающие в этом случае риски можно путем шифрования критически важных колонок баз данных и предоставления доступа к этим данным только по сертификатам с управлением криптоключами внутри защищенного периметра. Наконец, нередки проблемы совместимости используемых средств защиты с системным и прикладным программным обеспечением.

По наблюдениям Сабанова, если в организации налажен процесс управления рисками, то ошибки выявляются на ранних стадиях и фатальных последствий удается избежать: «Проблема в том, что для некоторых процессов менеджмент рисков пока не развит. Например, мало кто умеет оценивать риски идентификации и аутентификации».

Итак, виртуальную и облачную инфраструктуру можно сделать гораздо более безопасными, если практически одновременно с началом проектирования этой инфраструктуры начать управление рисками, которые появятся. В противном случае ее безопасность получится неорганичной и ненадежной — рассчитывать на эффективную защиту данных и приложений в виртуальной среде будет сложно.

Внедряя компенсационные меры по противодействию рискам ИБ, необходимо учитывать результаты оценки рисков ИБ для компании. Если такая оценка не проводилась, то разумно сначала сосредоточиться на наименее трудоемких мерах. Используя профессиональный подход к внедрению компенсационных мер, можно достичь более высокого уровня конфиденциальности, целостности и доступности информационных систем, чем применяя классический подход при использовании раздельных аппаратных сред.

Традиционная практика и виртуальные среды

Виртуализация инфраструктуры, несомненно, несет дополнительные угрозы для безопасности компании, считает Кирилл Карманов, руководитель департамента ИТ компании «Сосьете Женераль Страхование Жизни». Он уверен, что традиционные стратегии и практики информационной безопасности не могут в полной мере минимизировать возникающие риски. Тем не менее он советует удостовериться в том, что по крайней мере основы ИБ в компании выстроены, и в дальнейшем учесть специфику виртуализации и частных облаков (см. табл. 1). Если в компании есть и реально работают все базовые элементы ИБ, то уровень защищенности виртуальной инфраструктуры можно считать близким к достаточному.

Табл. 1. Базовые элементы ИБ в привязке к особенностям виртуализации

Главные ошибки в области виртуальной безопасности

Необходимо также оценить, какие существенные отличия добавляет виртуализация по сравнению с классическим подходом к обеспечению ИБ, и изучить наиболее очевидные методики компенсации этих рисков (см. табл. 2). Комбинация проверенных и специфичных для виртуализации методов позволяет эффективно защитить такого рода информационные системы.

Табл. 2. Особенности ИБ в виртуализованной среде и способы компенсации рисков

Главные ошибки в области виртуальной безопасности

Внедряя компенсационные меры по противодействию рискам ИБ, необходимо учитывать результаты оценки рисков ИБ для компании. Если такая оценка не проводилась, то разумно сначала сосредоточиться на наименее трудоемких мерах. Используя профессиональный подход к внедрению компенсационных мер, можно достичь более высокого уровня конфиденциальности, целостности и доступности информационных систем, чем применяя классический подход при использовании раздельных аппаратных сред.

 

Теги: CSO