Теоретический интерес к облакам начинает обрастать реальной практикой, оценками эффективности, разочарованиями и работой над ошибками, в том числе в области информационной безопасности
Постепенно облачные сервисы обретают очертания новых аутсорсиновых отношений, заставляя задуматься о новых способах создания приложений. Необходимость этого обусловлена тем, что традиционная виртуализация ориентировалась на поддержку прежних, уже имеющихся приложений, тогда как сейчас приходится задумываться о приложениях, специально созданных для работы в виртуализированных облачных инфраструктурах. Для обеспечения информационной безопасности таких приложений потребуются новые подходы.
Изменения на уровне поставщиков услуг требуют изменений в архитектуре безопасной доставки облачных сервисов. По мнению Николая Романова, технического консультанта компании Trend Micro в России и СНГ, можно выделить несколько факторов, влияющих на безопасность в облаке: «Защита строится главным образом исходя из того, что все среды мы должны принимать как ненадежные. Каждый элемент инфраструктуры, на базе которой обеспечивается реализация облачных сервисов, должен иметь собственную защиту. Даже в случае использования традиционных решений необходимы такие механизмы, как локальный мониторинг целостности приложений, контроль и защита от уязвимостей, брандмауэр и IDS/IPS. Опасность есть со стороны как внешних каналов, так и поставщиков облачных услуг».
Алексей Белкин, заместитель директора по работе с клиентами в России и странах СНГ компании Parallels, отмечает, что в схеме предоставления облачных сервисов есть три участника: разработчик, провайдер и пользователь: «Теоретически информационная безопасность должна быть обеспечена всеми участниками процесса, но фактически основная ответственность лежит на разработчике приложения и провайдере. Сервис-провайдер должен защитить сеть от недружественного проникновения и позаботиться об устойчивости аппаратной базы, на основе которой предоставляется сервис. Разработчик должен заложить в приложение изолированность пользовательских сред, а также обеспечить на базовом уровне защиту от внешних вторжений. Пользователю остается лишь проследить за корректным распространением аутентификационных данных (пользовательских записей), предоставленных провайдером».
Антон Антич, глава представительства компании VMware в России и СНГ, склонен рассматривать облака как возможность управлять динамической адаптирующейся виртуальной инфраструктурой: «В элементы системы безопасности, конечно, вносятся свои поправки, но связаны они в первую очередь с технологиями виртуализации, а не с местонахождением серверов, приложений или данных».
Алексей Чередниченко, директор по продажам в телекоме и нефтегазовой отрасли компании McAfee в России и СНГ, считает, что облачные технологии не отличаются принципиально от территориально распределенных. Разница лишь в том, что эта инфраструктура не своя, а внешняя, предоставляемая как услуга, поэтому сохраняются все те же угрозы, что и ранее. «По мере распространения этих технологий и роста их популярности произойдет трансформация угроз, — считает Чередниченко. — Скорее всего появятся гибридные варианты, использующие уязвимости облаков для проникновения на компьютеры пользователей, после чего будет осуществляться “стандартная” вредоносная активность с применением уже отработанных механизмов. Основная опасность кроется в быстром распространении таких угроз. Сама среда будет способствовать этому».
Нельзя оставить без внимания и тот факт, что при обсуждении темы облачных сервисов крайне мало внимания уделяется вопросам сетевых инфраструктур (cloud networking). По словам Виктора Солодкова, регионального директора компании Juniper Networks в России и СНГ, пренебрежение к этим аспектам, скорее всего, связано с недопониманием общей концепции облачных вычислений: «Сетевая инфраструктура — это, по сути, фундамент для качественного быстрого и динамического предоставления услуг приложений, платформ и инфраструктуры в рамках облачной обработки данных. Игнорируя эту составляющую, будет сложно получить все преимущества облаков. Сомневаюсь, что вообще удастся реализовать облачные вычисления, не подготовив предварительно сетевую инфраструктуру».
Формально аспекты информационной безопасности остаются теми же самыми: контроль доступа, авторизация действий и обеспечение целостности данных и приложений. Тем не менее для злоумышленников открываются широкие возможности применения новых каналов уязвимостей. Дополнительные сложности накладывает то обстоятельство, что в облачной среде на сегодняшний день практически невозможно провести расследование инцидентов. Значит, заметать следы злоумышленникам становится значительно проще, это делает облачные технологии еще более привлекательными для киберпреступников.
Вход-выход в облаках
Важно не только уметь отдавать сервисы в среду облачных вычислений, но и забирать обратно без потерь. К сожалению, вопросов здесь гораздо больше, чем ответов. В самом деле, как сохранить требуемый уровень безопасности данных предприятия, если ему придется перейти в облако другого провайдера? Как этот вопрос отразить в договорных отношениях?
«Миграция к другому провайдеру облачных сервисов — действительно узкое место экосистемы cloud computing, — отмечает Белкин. — Каких-то общих регламентов и стандартов по «переезду» от одного провайдера к другому не существует. Такие проекты либо выполняются самостоятельно, либо под них нанимаются консалтинговые компании, которые для каждого корпоративного клиента разрабатывают свои уникальные сценарии. Это дорогая процедура. Задача консультанта при этом — обеспечить безопасность данных, когда они «вынуты» из облака одного провайдера и еще не перенесены в облако другого. Методы в данном случае достаточно стандартные: промежуточные серверы должны иметь ту же степень безопасности, какую предлагает сервис-провайдер. Средства защиты данных принадлежат оператору миграции. И конечно, в договоре надо зафиксировать ответственность оператора миграции за безопасность данных».
Сложность этой задачи отмечает и Чередниченко. По его мнению, вопросы ответственности обеспечения ИБ при использовании облачных технологий сродни вопросам, связанным с хостинговыми услугами: «Схемы на сегодняшний день не проработаны. Слабая стандартизация в этой области не дает возможности применять специально разработанные защитные механизмы и делает эти технологии уязвимыми. Вопросы разделения данных разных клиентов и обеспечения их целостности стоят очень остро».
Все чаще на вопросы ИБ влияют требования регуляторов. Как им соответствовать при использовании облачных вычислительных ресурсов? Например, в законопроекте «О национальной платежной системе» в нынешней редакции, где речь идет о процессинговых центрах, говорится, что такой центр «...не вправе передавать информацию, касающуюся переводов денежных средств, осуществляемых на территории Российской Федерации, на территорию иностранных государств или предоставлять доступ к ней с территории иностранных государств». Как провайдеру облаков убедить клиентов в том, что при использовании их услуг данные не покинут пределов одной страны?
По мнению Романова, гарантировать, что данные будут располагаться только на узлах, физически находящихся в пределах какой-то территории, в общем случае невозможно. «Теоретически ничто не мешает образовать массив мощностей, расположенный в одном государстве, но тогда будет нивелировано основное достоинство облачного подхода — мы, по сути, вернемся к предоставлению ресурсов, ограниченных одной или несколькими площадками. Откровенно говоря, в целом такая постановка вопроса вызывает большие сомнения. На практике для клиента важно не то, в какой стране физически расположен сервер, хранящий данные или участвующий в коммуникационной цепочке их передачи. Важно, как служба облачного доступа к данным обеспечивает их целостность, доступность и конфиденциальность, какие используются технические средства, насколько регулярно проводятся аудиты ИБ, реализуется ли соответствие применяемым стандартам».
«Давайте будем реалистами, — поддерживает Белкин. — Убедить клиента сервис-провайдера в том, что все его данные находятся на территории России и тем самым полностью соответствуют приведенной цитате из закона, — в большинстве случаев вопрос маркетинга. Крупный сервис-провайдер, имеющий разветвленную сеть ЦОДов (в том числе за рубежом), сможет при желании перевести данные в любую точку мира, причем это будет сделано незаметно и для пользователя, и для регулятора. И регулятору, и пользователю технологически невозможно будет отследить расположение данных. Если в договоре будет указано, что информация хранится на территории России, с точки зрения закона все формальности будут соблюдены».
По мнению Антича, в подобных вопросах не так много сложностей, как кажется на первый взгляд, и в их решении будут доминировать исключительно рыночные механизмы: «Никому не выгодно “подставлять” клиентов, терять будущий бизнес, тем более никому не нужны проблемы с государством. Под очень неудобные для всех западных вендоров поправки об импорте ПО все подстроились, а по сравнению с этой проблемой местонахождение данных сложностей не представляет».
По всей вероятности, наступление облачных сервисов станет вызовом всему ИТ-сообществу. Слишком много привычных практик придется пересматривать и адаптировать под новые модели предоставления услуг. Как бы там ни было, излишне драматизировать ситуацию не стоит. По мнению Белкина, популярность облачных сервисов на Западе доказывает, что они очень серьезно защищены: «Информационная безопасность большинства известных облаков сравнима (а иногда и превосходит) с информационной безопасностью ведущих банков. Сведений о взломах Salesforce, Amazon и WebEx практически не было, хотя хранящиеся на серверах разработчиков и провайдеров услуг данные клиентов представляют колоссальную рыночную ценность. Это говорит о высокой информационной безопасности облаков. Кроме того, не стоит забывать, что не все приложения средний и малый бизнесы перенесут в облака. Наиболее критичная часть вполне может остаться на стороне заказчика».