Microsoft Azure: безопасность в облаке

Введение

Шляпа Microsoft в кольце облачной безопасности — Azure, сервисная платформа, с помощью которой организации могут создавать, развертывать, управлять и распространять веб-приложения в локальной сети (частное облако) или через Интернет. Но предложат ли эти приложения и услуги безопасную вычислительную среду? В этой статье мы рассмотрим, что делает Microsoft для устранения самых больших «горячих точек» облачной безопасности.

Безопасность: самое большое препятствие для внедрения облачных сервисов

Облачные вычисления предлагают ряд привлекательных аспектов. Это может быть гораздо более рентабельно, чем использование локальных серверов, поскольку устраняет или уменьшает необходимость покупать оборудование. Его легко увеличивать или уменьшать по мере изменения рабочей нагрузки компании. Однако, наряду с надежностью, безопасность является одной из самых больших проблем для компаний, которые рассматривают возможность перехода на облачные вычисления.

Мысль о том, что конфиденциальные бизнес-данные «плавают повсюду», заставляет людей нервничать. По своей природе ИТ-администраторы, как правило, помешаны на контроле, и поэтому им совсем не комфортно, когда они не знают, где именно физически находятся их данные, зашифрованы ли они и каким образом, насколько именно они перемешаны с данными других клиентов облачного поставщика. и кто имеет к ней доступ.

Azure: что это такое и как это работает

Ряд провайдеров конкурируют на облачном рынке. Платформа облачных сервисов Microsoft называется Azure, и ей суждено стать крупным игроком на этом рынке. Платформа Azure включает:

• Windows Azure (операционная система как услуга)
  
• SQL Azure (облачная база данных)
  
• .NET-сервисы
  

Платформа может использоваться приложениями, работающими в облаке (программное обеспечение как услуга) или на локальном компьютере (программное обеспечение плюс услуги). Служба в настоящее время находится на этапе предварительного просмотра технологии сообществом, и ее запуск планируется в ноябре 2009 года. Microsoft вложила значительные средства в свои облачные разработки и строит центры обработки данных в разных частях мира для поддержки службы. Windows Azure работает на этих машинах, и к ней можно получить доступ через Интернет. Разработчики могут создавать приложения на VB, C++, C# и т. д. для работы на платформе Azure. Данные хранятся в службе хранилища Azure или, если данные необходимо хранить в реляционной базе данных, в базе данных SQL Azure, основанной на SQL Server.

Windows Azure использует преимущества виртуализации. Как правило, каждый экземпляр приложения работает на отдельной виртуальной машине в Windows Server 2008. Виртуальные машины работают на гипервизоре, разработанном Microsoft специально для среды облачных вычислений. Приложения можно разрабатывать с использованием экземпляра веб-роли или экземпляра рабочей роли. Те, которые реализованы как экземпляры рабочих ролей, не имеют IIS, работающих на своих виртуальных машинах, и не могут иметь входящие сетевые подключения. У него могут быть исходящие соединения, по которым он может отправлять информацию наружу. Экземпляры веб-роли принимают входящие запросы HTTP или HTTPS.

Как насчет безопасности?

Одной из проблемных областей является проблема безопасности, связанная с облачной службой, которая позволяет сторонним разработчикам создавать приложения и размещать их в облаке Azure. Microsoft разработала платформу Azure с учетом требований безопасности, предусмотрев ряд различных функций безопасности. Важным аспектом защиты данных является проверка личности тех, кто запрашивает доступ к ним. У Microsoft есть служба управления доступом.NET, которая работает с веб-службами и веб-приложениями, чтобы обеспечить способ интеграции общих удостоверений. Сервис будет поддерживать популярных поставщиков удостоверений.

Приложения определяют, разрешен ли пользователю доступ, на основе маркеров языка разметки утверждений безопасности (SAML), которые создаются службой маркеров безопасности (STS) и содержат информацию о пользователе. STS предоставляет цифровую подпись для каждого токена. Приложения имеют списки цифровых сертификатов для STS, которым они доверяют. Отношения доверия могут быть созданы между доверенной службой маркеров безопасности и службой маркеров безопасности, которая выдает токен для предоставления федерации удостоверений. Служба контроля доступа — это STS, работающая в облаке. Эта STS проверяет подпись токена SAML, отправляемого клиентским приложением (например, веб-браузером), а также создает и подписывает новый токен, который клиентское приложение представляет облачному приложению.

Примечание:
Чтобы узнать больше о компонентах Azure и о том, как они работают, а также подробное описание службы управления доступом, см. технический документ «Знакомство с платформой Windows Azure».

Безопасность и соответствие нормативным требованиям

Как поставщик услуг Microsoft должна соблюдать нормативные требования государственных органов, в юрисдикции которых работает Azure, а также отраслевые нормы, которые распространяются на многие компании в определенных областях. Платформа соответствия Microsoft предназначена для решения этой проблемы. Безопасностью облачной инфраструктуры Microsoft управляет группа обеспечения безопасности и соответствия требованиям онлайн-сервисов, которая поддерживает структуру контроля безопасности и разрабатывает политики и программы для обеспечения соответствия требованиям и управления рисками безопасности.

Облако Microsoft проходит ежегодные аудиты на соответствие PCI DSS, SOX и HIPAA, а также внутренние оценки в течение года. Облако Microsoft прошло сертификацию ISO/IEC 27001:2005 и аттестацию SAS 70 Type 1 и II.

Примечание:
ISO/EC 27001:2005 — это стандарт, определяющий требования к созданию, внедрению, эксплуатации, мониторингу, анализу, обслуживанию и совершенствованию документированной системы управления информационной безопасностью. Вы можете узнать больше об этом здесь.

Заметка 2:
Заявление о стандартах аудита (SAS) 70 — это стандарт аудита, разработанный Американским институтом сертифицированных общественных бухгалтеров, который содержит рекомендации для независимых аудиторов по выдаче заключения о раскрытии службой или организацией сведений о своем контроле над деятельностью и процессами. Узнайте больше об этом здесь.

Безопасность в облаке Microsoft

Подход Microsoft к безопасности в своей облачной среде изложен в официальном документе «Защита облачной инфраструктуры Microsoft».

Примечание:
Чтобы подробнее прочитать о подходе Microsoft к облачной безопасности, щелкните здесь.

Подводя итог, можно сказать, что компания применяет механизмы безопасности на разных уровнях облачной инфраструктуры для реализации подхода глубокоэшелонированной защиты. Эти многоуровневые механизмы включают:

• Физическая охрана дата-центров (замки, камеры, биометрические устройства, картридеры, сигнализация)
  
  
• Брандмауэры, шлюзы приложений и IDS для защиты сети
  
  
• Списки контроля доступа (ACL), применяемые к виртуальным локальным сетям (VLAN) и приложениям
  
  
• Аутентификация и авторизация лиц или процессов, которые запрашивают доступ к данным
  
  
• Усиление защиты серверов и экземпляров операционной системы
  
  
• Резервная внутренняя и внешняя инфраструктура DNS с ограниченным доступом на запись
  
  
• Защита объектов виртуальных машин
  
• Защита статических и динамических контейнеров для хранения

Активы классифицируются по уровню требуемой безопасности в зависимости от потенциального ущерба. Высокочувствительные активы защищены более строгими механизмами, такими как многофакторная аутентификация (смарт-карты, биометрические данные, аппаратные токены). Соблюдается принцип наименьших привилегий, согласно которому лицам и процессам предоставляется самый низкий уровень доступа, необходимый им для выполнения своей работы, и не более того.

Группы онлайн-сервисов Microsoft применяют к онлайн-сервисам принципы жизненного цикла разработки безопасности (SDL) (безопасность по дизайну, безопасность по умолчанию и безопасность при развертывании + обмен данными). Чтобы узнать больше о принципах SDL и SD ³ +C, перейдите по этой ссылке.

Windows Azure развертывается в центрах обработки данных Global Foundation Services и, таким образом, пользуется преимуществами сетевой безопасности, предоставляемыми GFS. Разработчики приложений несут ответственность за обеспечение безопасности данных приложения на уровне приложения. Таким образом, разработчик приложения должен определить, должны ли/какие данные быть зашифрованы.

Безопасность в SQL Azure очень похожа на безопасность локального SQL Server, поэтому администраторы SQL обнаружат, что управление безопасностью на уровне базы данных является знакомой задачей. Администрирование на уровне сервера немного отличается, поскольку базы данных могут охватывать более одной физической системы.

Примечание:
Чтобы узнать больше об управлении безопасностью в SQL Azure, посетите веб-сайт MSDN.

Создание безопасных приложений на платформе Azure

Разработчики могут найти проверенные методы создания безопасных приложений для работы на платформе Azure в базе знаний по безопасности Azure здесь.

Учебный семинар для разработчиков по модели безопасности SQL Azure будет доступен по запросу с 30 ноября здесь!