Вопросы безопасности для облачных вычислений (часть 4) — объединение ресурсов

• Соображения безопасности для облачных вычислений (часть 6) — измеряемые услуги

Введение

В этой серии статей о безопасности частного облака мы уже говорили о том, что определяет частное облако, а затем рассмотрели две основные характеристики облачных вычислений: широкий доступ к сети и самообслуживание по требованию. Мы обсудили, как каждый из них влияет на ваши соображения безопасности и как они влияют на безопасность частного облака. В этой статье мы продолжим тему и рассмотрим третью важную характеристику облачных вычислений: объединенные ресурсы.

Что такое объединение ресурсов?

Пул ресурсов в частном облаке позволяет гипервизору переназначать арендаторов в разные места в облаке для оптимизации использования ресурсов; это то, что могут сделать VMware DRS и Hyper-V PRO. Решение для виртуализации должно очищать любые ресурсы, особенно хранилище и оперативную память, прежде чем переназначать их другому арендатору. Данные, принадлежащие исходному арендатору, не должны открываться новому арендатору. В частном облаке автоматизация позаботится об очистке и распределении ресурсов арендаторам.

Влияние на безопасность

Пул ресурсов в частном облаке по-разному повлияет на вашу систему безопасности. Вы можете столкнуться с некоторыми или всеми из следующих категорий проблем:

• Проблемы, связанные с повторным использованием ресурсов разными клиентскими приложениями
• Проблемы, связанные с совместным размещением служб, принадлежащих разным арендаторам на одном сервере.
• Проблемы, связанные с автоматизированными процессами, которые обрабатывают выделение и отмену распределения ресурсов.

В типичном частном облаке ресурсы, используемые арендатором, могут размещаться на любом из устройств в облаке, которые предлагают этот ресурс. Например, когда потребитель облачной службы подготавливает и запускает виртуальную машину в частном облаке, эта виртуальная машина может размещаться на любом из серверов в частном облаке. Одним из следствий такого расположения является то, что на одном и том же компьютере могут размещаться приложения и службы, принадлежащие к разным зонам безопасности, и эти приложения и службы сами могут включать в себя разные возможности безопасности, такие как аутентификация и авторизация.

Устранение эскалации проблем с привилегиями

Ваш проект должен учитывать риск того, что сервис с низким уровнем влияния на бизнес может быть легко скомпрометирован, и тогда злоумышленник сможет использовать эту уязвимость для атаки на сервисы с более высоким уровнем влияния на бизнес. Атака может быть попыткой украсть данные с большим влиянием на бизнес или сделать ценную услугу недоступной, создав отказ в обслуживании на службе с меньшим влиянием на бизнес.

Уровень инфраструктуры обычно включает мониторинг сетевого трафика. Мониторинг сетевого трафика и IDS/IPS могут выявлять необычный трафик, который может указывать на атаку на инфраструктуру или на то, что какой-то элемент в облаке скомпрометирован.

Сетевая абстракция с использованием виртуализации

Гипервизоры поддерживают виртуализацию сетевых аспектов инфраструктуры, что позволяет разделить логический и физический сетевой трафик. Это может привести к ситуации, когда сетевой трафик не проходит через физический коммутатор и, следовательно, не может быть отслежен. Это создает риск того, что ваши инструменты сетевого анализа не смогут получить доступ ко всему сетевому трафику. Вы должны определить, является ли этот риск приемлемым или вы должны уменьшить его, предприняв одно или несколько из следующих действий:

• Направляйте весь сетевой трафик через свои физические сетевые устройства и не разрешайте внутрисерверный трафик между виртуальными машинами только через виртуальные соединения.
• Добавьте функции мониторинга на каждый сервер, чтобы контролировать каждую виртуальную сеть с помощью сетевого программного обеспечения, аналогичного физическим устройствам мониторинга.
• Используйте решение для виртуализации, которое позволяет виртуализированные устройства мониторинга сетевого трафика, такие как расширяемый виртуальный коммутатор, который, как ожидается, будет доступен в следующей версии Windows Server.

Сетевой трафик между виртуальными машинами должен быть зашифрован для защиты данных при передаче. Шифрование по сети означает, что решения IDS/IPS не смогут проверять трафик. Однако вы можете использовать IPsec только для проверки подлинности без шифрования, что является новой возможностью IPsec, включенной в Windows Server 2008 R2.

Шифрование диска

Шифрование всего тома (например, BitLocker и другие подобные технологии) может защитить физические носители данных в случае, если злоумышленник получит доступ к физической инфраструктуре хранения данных из виртуальной среды. Следует также отметить, что виртуальные машины должны иметь доступ только к тем виртуальным устройствам хранения, которые им выделены, и не иметь явного доступа к массивам хранения, на которых они могут располагаться.

Вам нужно будет оценить относительные преимущества и недостатки безопасности по сравнению с производительностью, с которыми вам придется иметь дело при использовании любого метода шифрования. Различные алгоритмы шифрования по-разному влияют на производительность и обеспечивают разные уровни защиты. Не весь трафик необходимо шифровать или аутентифицировать. Для информации с незначительным влиянием на бизнес может потребоваться только аутентификация без шифрования. Информация, имеющая большое значение для бизнеса, может быть зашифрована по сети и потребовать проверки подлинности и авторизации на сетевом уровне.

Безопасность основной инфраструктуры

Всем виртуальным машинам в частном облаке потребуются вычислительные ресурсы, память, хранилище и сетевые ресурсы, собранные из пула. Используемый гипервизор должен обеспечивать разделение или изоляцию этих ресурсов для каждого арендатора. Это может быть достигнуто разными способами.

Примером может служить то, как Hyper-V поддерживает преднамеренную изоляцию между памятью и вычислительными ресурсами всех виртуальных машин, работающих в одной и той же операционной системе хоста, позволяет вам определять изолированные виртуальные коммутаторы и позволяет каждой виртуальной машине использовать свои собственные виртуальные жесткие диски, не затрагивая диски других ВМ. Если нескольким клиентским приложениям, размещенным на разных виртуальных машинах, требуется доступ к общему ресурсу, необходимо управлять совместным доступом таким образом, чтобы только авторизованные приложения имели доступ, а все виды доступа и использования активно контролировались.

Хотя для защиты виртуальных машин и абстрактных аппаратных элементов необходимо создать политики, применимые к уровню инфраструктуры, вы всегда должны использовать глубокую защиту и предполагать, что злоумышленники обнаружат уязвимость в вашей инфраструктуре и попытаются получить доступ к платформе (или виртуальные машины, работающие в инфраструктуре).

С этой точки зрения вы можете включить два ключевых элемента управления:

• Межсетевые экраны виртуальных машин должны быть настроены на блокировку сетевых атак из внешних сетей, внутримашинных виртуальных машин или других компонентов инфраструктуры.
• Хост-брандмауэры должны разрешать входящий и исходящий трафик от и к определенным машинам, с которыми они должны взаимодействовать, и запрещать связь со всеми другими физическими и виртуальными машинами.

IPsec можно использовать для логической изоляции групп размещенных виртуальных машин, чтобы они не могли подключаться к другим машинам. Например, если у вас есть многоуровневое приложение в частном облаке, вы можете использовать IPsec, чтобы убедиться, что сервер базы данных может быть подключен только к серверу среднего уровня, а сервер среднего уровня может быть подключен только к с внешнего веб-сервера.

Решение проблем безопасности в программном обеспечении

Защитить данные для служб и приложений, работающих в частном облаке, можно несколькими способами. Разработчики приложений, а не разработчики облачной инфраструктуры, несут ответственность за разработку функций безопасности. Поставщик облачных услуг (CSP) должен работать с разработчиками приложений, чтобы помочь им узнать о службах защиты данных и других функциях безопасности, предоставляемых облачной инфраструктурой. Любые функции облачной инфраструктуры, которые могут повлиять на дизайн приложения или службы, также должны быть свободно предоставлены разработчику приложения.

Приложения клиента могут шифровать данные в хранилище, данные в ОЗУ и данные во время обработки, чтобы затруднить кражу или изменение данных в приложении или службе клиента, даже если они получили аутентифицированный и авторизованный доступ к среде клиента. Помните, что в частном облаке мы очень обеспокоены ущербом, который может нанести аутентифицированный и авторизованный пользователь.

Технологии шифрования требуют закрытого ключа для выполнения шифрования и дешифрования в сценарии алгоритма симметричного шифрования или дешифрования в сценарии асимметричного алгоритма. Облачная инфраструктура может перемещать клиентские приложения на другие хост-серверы или даже в другие центры обработки данных, чтобы оптимизировать доступность услуг в случае сбоев оборудования или оптимизировать производительность приложений или перераспределить использование ресурсов. Методы шифрования, используемые клиентскими приложениями для защиты данных, должны оставаться эффективными в этих сценариях.

Автоматизированные процессы, отвечающие за перемещение приложений и служб на другие устройства, должны гарантировать, что криптографические ключи, используемые для защиты данных приложений, по-прежнему доступны для приложений и служб по мере необходимости; если для этого требуется копирование ключей между местоположениями, то автоматизированные процессы должны гарантировать безопасность этого процесса передачи.

Резюме

В этой части 4 или серии статей о том, как важная характеристика облачных вычислений может повлиять на безопасность и решения, которые вы принимаете в отношении безопасности в частном облаке, мы обсудили объединение ресурсов. Объединение ресурсов создает ряд проблем, связанных с необходимостью изолировать рабочие нагрузки и абстрагированные аппаратные элементы во всей виртуализированной инфраструктуре, чтобы объединение оставалось средством реализации, а не быстрым путем к компрометации арендаторов и данных, управляемых этими арендаторами. Проблемы включают повышение привилегий, абстрагирование сети с помощью виртуализации, шифрование дисков, безопасность базовой инфраструктуры и проблемы безопасности в программном обеспечении. В следующем выпуске этой серии мы рассмотрим, как такая важная характеристика облака, как быстрая эластичность, создает собственный набор проблем безопасности.

• Вопросы безопасности для облачных вычислений (часть 5) — быстрая эластичность
• Соображения безопасности для облачных вычислений (часть 6) — измеряемые услуги