Вопросы безопасности для облачных вычислений (часть 2)

• Вопросы безопасности для облачных вычислений (часть 5) — быстрая эластичность
• Соображения безопасности для облачных вычислений (часть 6) — измеряемые услуги

Введение

В первой части этой серии, посвященной безопасности частного облака, мы рассмотрели, что представляет собой частное облако. Многие люди думают о частном облаке как о чем-то, что мало чем отличается от того, что у них уже есть, а другие могут подумать, что облако — это просто виртуализированный центр обработки данных. Оба эти предположения ложны, и мы рассмотрели причины этого в первой части этой серии статей.

Подводя итог, можно сказать, что облако (частное или общедоступное) должно обеспечивать следующие пять основных характеристик, чтобы считаться облаком:

• Самообслуживание по требованию
• Широкий доступ к сети
• Совместное использование объединенных ресурсов
• Быстрая эластичность
• Услуги по счетчику

Хотя традиционный центр обработки данных может обладать некоторыми из этих характеристик, маловероятно, что он будет содержать их все. И если центр обработки данных поддерживает все пять из них, вполне вероятно, что некоторые возможности разрознены, и поэтому вся система не выиграет от тесной интеграции всех пяти из этих основных характеристик, составляющих определение облака.

Прежде чем мы перейдем к сути сегодняшнего обсуждения, которое касается соображений безопасности в частном облаке, я хотел бы внести ясность в отношении частного облака Microsoft. Возможно, вы читали о частном облаке Microsoft, и у вас может сложиться впечатление, что частное облако Microsoft — это всего лишь Hyper-V и System Center Virtual Machine Manager. Хотя это важные компоненты для включения частного облака Microsoft, это не так. Хотя я думаю, что Microsoft пытается сделать свое сообщение довольно простым, они также понимают, что частное облако Microsoft намного сложнее, чем просто Hyper-V и SCVMM. Детали частного облака Microsoft выходят за рамки сегодняшнего обсуждения, но если вы хотите получить более полное представление о том, как Microsoft создает частное облако, и обо всех ключевых характеристиках частного облака Microsoft, ознакомьтесь с эталонной архитектурой для частного облака. на вики-сайте TechNet.

Теперь, что насчет безопасности? Безопасность в частном облаке очень похожа на безопасность в традиционном центре обработки данных. Вам по-прежнему нужно беспокоиться о сетевой безопасности, аутентификации, авторизации и аудите, вам нужно заботиться об управлении идентификацией и вам необходимо учитывать вопросы безопасности на каждом уровне сети и вычислительного стека. В безопасности частного облака нет ничего волшебного или революционного. Тем не менее, есть несколько особенностей частного облака, которые должны заставить вас переориентировать свои приоритеты безопасности в определенных областях.

Один из способов подумать о проблемах безопасности, более специфичных для частного облака, — подумать о влиянии на безопасность пяти основных характеристик, определяющих решение облачных вычислений. Как вы должны думать о безопасности в мире вычислений самообслуживания? А как насчет проблем безопасности, связанных с широким доступом к сети? А как насчет проблем безопасности, связанных с совместным использованием абстрактных объединенных ресурсов? Именно такой подход мы будем применять к безопасности частного облака в сегодняшнем обсуждении.

Как самообслуживание по требованию влияет на безопасность частного облака?

Самообслуживание по запросу позволяет потребителям частного облачного решения получать нужные им вычислительные, сетевые ресурсы, память и ресурсы хранения в зависимости от их способности платить за эти ресурсы. Кроме того, если вы развертываете PaaS (платформа как услуга) или SaaS (программное обеспечение как услуга) в своем частном облаке, то потребители облачной службы также могут получить платформу для разработки и готовые услуги. Каковы последствия самообслуживания и как они влияют на безопасность?

Первое, что приходит на ум, это тот факт, что вы больше не полностью контролируете рабочие нагрузки в своем центре обработки данных или даже операционные системы, работающие в вашем центре обработки данных. В отличие от дней традиционных центров обработки данных, где вы размещали, складывали и устанавливали операционную систему, а затем устанавливали программное обеспечение для рабочей нагрузки, с частным облаком самообслуживания по запросу потребители ваших облачных услуг будут запускать новые операционные системы, создавать новые приложений и запускать готовые услуги в зависимости от моделей услуг, которые вы хотите сделать доступными для своих клиентов.

Это создает ситуацию, когда у вас больше нет глубокого понимания того, что происходит в вашем центре обработки данных. В прошлом у вас был практический опыт работы с большинством компонентов, и вы настроили свои системы мониторинга так, чтобы они были направлены на известные системы, созданные вами и вашей командой. В частном облаке вы по большей части совершенно не знаете, что ваши клиенты делают с ресурсами, которые вы им предоставляете в своей частной облачной инфраструктуре.

Это означает, что вам нужно более активно использовать возможности мониторинга, оповещения и отчетности. Облачная инфраструктура должна быть в состоянии информировать вас о том, как ваши клиенты используют инфраструктуру, и должна быть в состоянии предупредить вас, когда имеет место неправомерное использование или какая-либо другая деятельность, не соответствующая политике. Кроме того, вам необходимы подробные отчеты на ежедневной или даже более частой основе, чтобы вы могли выполнять подробный анализ тенденций, чтобы предотвратить истощение ваших объединенных ресурсов из-за чрезмерного обязательства перед вашими клиентами облачных служб.

Инструменты мониторинга, оповещения и отчетности необходимо будет обновить и заменить, чтобы поддерживать частную облачную инфраструктуру с самообслуживанием по запросу. Большинство инструментов, которые мы используем сегодня, предназначены для работы в центрах обработки данных, где ИТ-отдел контролирует аппаратную и программную инфраструктуру, а рабочие задания создаются для запроса ИТ-отдела на предоставление любых необходимых вычислительных услуг. В частном облаке критически важным фактором самообслуживания по запросу является отсутствие требований к административному взаимодействию между потребителем облачных услуг и администраторами облачной инфраструктуры. Пользователи просто выбирают то, что им нужно из вашего каталога услуг, и все готово!

Ваши новые инструменты должны быть осведомлены о новых рабочих нагрузках автоматически и без какого-либо вмешательства с вашей стороны. Хотя бы по какой-то другой причине, большие частные облака могут легко поддерживать тысячи или даже десятки тысяч виртуальных машин. Сюда входят виртуальные машины, которые развертываются, те, которые были развернуты, и те, которые находятся в процессе вывода из эксплуатации (в соответствии с политикой или ручным вмешательством со стороны потребителя облака).

Другие соображения безопасности, связанные с самообслуживанием по запросу

Хотя инфраструктура мониторинга, оповещения и отчетности, вероятно, является наиболее важным фактором при рассмотрении характеристик самообслуживания по требованию в частном облаке, есть несколько других вопросов, которые следует учитывать. Некоторые из них включают:

• Как вы будете решать, у кого есть права на использование облачных сервисов?
• Насколько детализированными вы хотите быть при назначении прав на использование облачных сервисов?
• Поддерживает ли ваша AAA (аутентификация, авторизация и учет) и облачная инфраструктура возможность предоставления прав на определенные предложения в вашем каталоге услуг, или каждый, у кого есть права на получение облачных услуг, будет иметь право получать что-либо в каталоге услуг?
• Есть ли у вас способ автоматизировать реакцию системы безопасности на возможные ситуации DoS (отказ в обслуживании), когда потребитель облачных служб пытается переподписать систему?
• Есть ли у вас доступный механизм, гарантирующий, что клиенты самообслуживания не смогут «вырваться» из своей роли клиента в роль облачного администратора?
• Есть ли у вас способ контролировать поведение операционной системы и служб, которые будут устанавливать ваши клиенты самообслуживания?
• Есть ли у вас способ идентифицировать клиентов самообслуживания, которые могут представлять потенциальную угрозу, например клиентов, использующих украденные учетные данные?

Это лишь некоторые из вопросов безопасности, которые необходимо учитывать при работе в новой ИТ-среде, где ваши клиенты, а не вы, управляют работой центра обработки данных. Автоматизация станет для вас критическим фактором, когда вы попытаетесь сохранить контроль над средой самообслуживания. Автоматизация будет использоваться для мониторинга, оповещения и отчетности, а автоматизация также потребуется для защиты рабочих нагрузок, выполняемых в облачной инфраструктуре. Автоматизация также имеет решающее значение, поскольку реагирование на инциденты не требует вмешательства администратора облачной инфраструктуры.

Резюме

В этой статье мы представили идею рассмотрения безопасности частного облака в контексте каждой из пяти основных характеристик, определяющих облачное решение. Мы начали с первой важной характеристики — самообслуживания по запросу. Основная проблема безопасности с самообслуживанием по запросу связана с тем, что ИТ-отдел больше не имеет полного контроля над тем, какие операционные системы и рабочие нагрузки выполняются в центре обработки данных. Эти решения будут принимать клиенты облачных сервисов. Из-за этого администратор облачной инфраструктуры должен будет полагаться на новые инструменты, ориентированные на облако, чтобы можно было выполнять мониторинг, оповещение и отчетность в массивной инфраструктуре, которая постоянно раскручивает и останавливает рабочие нагрузки; при этом эти рабочие нагрузки по большей части не определяются ИТ. В дополнение к мониторингу, оповещению и сообщениям о проблемах безопасности существует несколько других проблем, связанных с самообслуживанием по запросу, большинство из которых связаны с авторизацией и аутентификацией отдельных лиц для получения облачных услуг. В 3-й части этой серии мы рассмотрим, как важная характеристика частного облака «доступ к широкой сети» влияет на вашу систему безопасности. Тогда увидимся! -Деб.

• Вопросы безопасности для облачных вычислений (часть 5) — быстрая эластичность
• Соображения безопасности для облачных вычислений (часть 6) — измеряемые услуги