Новые смыслы. Проблематика информационной безопасности в гибридной облачной инфраструктуре в условиях нулевого доверия

Новые смыслы. Проблематика информационной безопасности в гибридной облачной инфраструктуре в условиях нулевого доверия

Облачные технологии в последние годы занимают лидирующие позиции в среде информационных технологий. Доля компаний, владеющих облачными ресурсами, с каждым годом возрастает. Развитие и перевод инфраструктуры в облачные среды происходят практически в двух третях предприятий финансовой, промышленной, образовательной, медицинской отраслей, включая коммерческие и некоммерческие предприятия.

Рынок облачных технологий и сервисов развивается уже достаточно давно. Пандемия коронавируса дала этому развитию мощный толчок, связанный с необходимостью создания условий полноценной удалённой работы для большинства компаний всех уровней. Эта задача наложилась на общие тенденции цифровизации и цифровой трансформации бизнес-процессов и процессов управления, которые в последнее время являются определяющими в отрасли информационных технологий. В этих условиях облачные технологии наполнились новыми смыслами, позволяющими реализовать цифровую трансформацию в условиях удалённой работы, обеспечивая при этом сокращение расходов на реализацию бизнес-процессов за счёт перевода капитальных затрат в операционные, а также за счёт отказа от доработок собственных ИТ-инфраструктур, требующих материальных вложений на этапах внедрения, поддержки и модернизации сервисов.

При этом указанные задачи необходимо решить в условиях обеспечения концепции нулевого доверия как к объектам внутренней ИТ-инфраструктуры, включающим пользователей, устройства (узлы) и ПО, так и к облачным приложениям и хранилищам данных.

Безопасность облачной инфраструктуры

Говоря об инфраструктуре организации, необходимо сделать акцент на сегменте IaaS, который предоставляет потребителям возможность получать вычислительные ресурсы как на публичной основе (публичное облако), так и на частной основе (частное облако).

Поставщик публичного облака является владельцем центров обработки данных (ЦОД) и управляет ими. Вся ответственность за обслуживание оборудования и инфраструктуры, а также обеспечение быстрого доступа к приложениям и данным лежит на нём. За счёт правильного перераспределения вычислительных ресурсов между потребителями обеспечивается масштабируемость, гибкость и высокая доступность сервисов, а также удовлетворение различных требований рабочей нагрузки [1].

Частным облаком является облачная инфраструктура, которая используется одним клиентом. Провайдер может как предоставлять вычислительные ресурсы в собственных центрах обработки данных, обеспечивая необходимые меры для единоличного использования инфраструктуры, так и разворачивать её в центрах обработки данных клиента с учётом заключённого договора на предоставление услуг. Такой подход позволяет пользоваться всеми преимуществами «облака» и при этом обеспечивать достаточно высокий уровень безопасности, контроль над всеми ресурсами и выполнение нормативных требований, поскольку для таких инфраструктур отсутствуют проблемы с разграничением доступа между множеством клиентов, что характеризует публичные облака, и могут быть приняты комплексные меры по приведению в соответствие требованиям стандартов, реализацию которых не нужно разделять с облачным провайдером.

В части информационной безопасности публичные облака имеют некоторые преимущества, например, выполнение части мероприятий по защите информации в рамках облачной инфраструктуры, что снимает с клиентов задачи по реализации этих функций [2]. Однако использование публичного облака влечёт за собой также и значительные риски в случае, когда клиенту требуется хранить и обрабатывать конфиденциальную информацию, например персональные данные различных категорий.

Гибридная облачная инфраструктура

Текущий уровень развития информационных технологий и потребности общества обуславливает невозможность использования крупными организациями только одной выбранной модели облачной инфраструктуры, поскольку такой подход повлёк бы за собой появление стоп-факторов при расширении, модернизации и внедрении новых сервисов.

В таких случаях предлагается применять «гибридное облако». Это архитектурная модель, которая одновременно включает в себя частную и публичную облачную инфраструктуру, объединённую в единую унифицированную платформу. Такое решение обеспечивает максимальную гибкость при развитии компаний и их бизнеса. При грамотной организации и управлении указанной инфраструктурой компании могут успешно совмещать использование частного облака, а также множества сервисов публичного облака. Частная инфраструктура будет обеспечивать функционирование основных информационных систем, а в публичной — могут размещаться вычислительные ресурсы для тестирования новых решений или средств, аналитики больших данных или выполнения иных задач, требующих динамического выделения ресурсов и более высоких затрат при реализации в частной инфраструктуре. Также возможно перераспределение мощностей или перенос данных между облачными ресурсами в зависимости от объёмов вычислений, нагрузки на сеть или же колебаний стоимости ресурсов.

Основной проблемой в использовании гибридной модели облачной инфраструктуры является сложность в унификации компонентов, обеспечивающей эффективность её использования, управление распределёнными информационными системами и сервисами и контроль этих сервисов. Эти задачи должны решаться за счёт совместимости компонент гибридного облака, сопоставимости их функциональных возможностей, возможностей мониторинга и контроля.

Вопросы обеспечения информационной безопасности гибридной облачной инфраструктуры в основном определяются степенью защищённости публичного облака с учётом защиты процессов обмена информацией между ним и частным облаком. Степень защищённости частного облака значительно превышает степень защищённости публичного облака. Например, реализация мониторинга информационной безопасности может быть реализована системами частного облака, но не может быть реализована ресурсами, предоставляемыми по моделям PaaS и SaaS, поскольку сервисы информационной безопасности таких ресурсов обеспечиваются облачным провайдером.

Значительные различия существуют в уровнях аутентификации и авторизации пользователей в частном и публичном облаках. Они должны быть сопоставимы и не позволять эксплуатировать уязвимости, связанные с повышением привилегий или несанкционированным доступом. Наиболее сложным аспектом безопасности являются процессы управления уязвимостями, которые в публичных сервисах могут в принципе отсутствовать и тем самым существенно повышать риски использования подобных сервисов, предоставляя потенциальному злоумышленнику пути для нанесения ущерба всей инфраструктуре.

Таким образом, аспектами информационной безопасности, которые требуют тщательной проработки в гибридной облачной инфраструктуре, являются:

• обеспечение и контроль доступа пользователей к информационным ресурсам;
• автоматизированное управление и контроль доступа к ресурсам;
• контроль целостности и защищённости информационной инфраструктуры;
• инвентаризация и мониторинг информационных ресурсов;
• построение защищённых каналов связи и защита сетевого трафика;
• организация внутренних и внешних интеграционных взаимодействий;
• антивирусная защита и защита от угроз на конечных точках;
• защита информации на мобильных и персональных устройствах;
• мониторинг событий и инцидентов информационной безопасности, а также хищения финансовых средств;
• управление операционными рисками и рисками информационной безопасности.

На рисунке 1 представлено распределение опций безопасности с точки зрения сложности их реализации в частном и публичном облаках, представленном всеми моделями предоставления (IaaS, PaaS, SaaS).

Рисунок 1. Распределение опций безопасности по сложности их реализации

Подходы к обеспечению безопасности гибридной инфраструктуры

В случае использования публичных облачных ресурсов традиционный подход, подразумевающий построение защищённого периметра, за которым размещается вся информационная инфраструктура, является неэффективным, так как строгий периметр фактически перестаёт существовать. Одним из основных концептов, который используется организациями при использовании публичных платформ и сервисов, является концепция нулевого доверия. Она базируется на постулатах расширенного управления идентификацией и аутентификацией, логической и сетевой сегментации и предлагает сосредоточиться на обеспечении безопасности пользователей, активов и информационных ресурсов, а не на построении строго ограниченного сетевого периметра.

Для гибридной облачной инфраструктуры характерно применение смешанного подхода, который предусматривает как построение традиционного периметра безопасности, так и использование принципов концепции нулевого доверия при организации удалённого доступа, в том числе доступа с портативных и мобильных устройств. Подавляющее большинство систем и средств защиты не позволяет элиминировать угрозы, связанные с применением облачных сервисов, предоставляемых провайдерами. Некоторые из этих сервисов не несут значимых рисков и успешно внедряются в информационные и технологические процессы финансовых организаций, а некоторые требуют принятия рисков информационной безопасности и тщательной проработки компенсирующих мер, в том числе с использованием организационных мер контроля.

Степень доверия к уровню безопасности сервисов PaaS и SaaS до сих пор находится на довольно низком уровне, поскольку вопросы безопасности и их решение остаются на стороне провайдера. Среди проблем с безопасностью публичных сервисов выделяются следующие:

• процессы управления аутентификацией провайдера не соответствуют принятым политикам либо не поддерживаются существующими в компаниях процессами;
• инфраструктура облачного провайдера не имеет сертификации на соответствие национальным (отраслевым) стандартам;
• облачный провайдер не предоставляет сведения о применяемых методах и средствах защиты информации, а также не может гарантировать безопасность обработки и хранения чувствительных данных;
• подключение к сервисам облачного провайдера не может подвергаться контролю в достаточной степени;
• инфраструктура и системы хранения данных провайдера физически расположены на территориях иностранных государств либо на вычислительных ресурсах иных облачных провайдеров.

Иной подход к защите гибридной информационной инфраструктуры

Информационные инфраструктуры, изначально построенные по модели локальной инфраструктуры или частного облака, не предполагают возможности использования публичных облачных сервисов без нарушения установленных требований и стандартов в области информационной безопасности. При этом постоянно развивающиеся облачные сервисы, применение которых несёт организациям и в первую очередь бизнесу преимущества, будут продолжать создавать сложности и проблемы в области ИБ. Это, в свою очередь, требует проведения исследований в части безопасного применения облачных сервисов не в рамках рассмотрения существующих средств защиты, а на уровне инфраструктуры информационной системы.

Предлагается рассмотреть подход, который предполагает использование концептуально иной модели построения гибридной информационной инфраструктуры и, в частности, системы защиты информации. За её основу может быть взята модель безопасности нулевого доверия, на основании которой строятся механизмы защиты, и брокер безопасности, который выступает посредником всех взаимодействий с облачными сервисами. Он играет роль интеграционного решения, обеспечивающего управление и идентификацию доступа, реализацию и контроль политик безопасности, управление событиями безопасности и ряд процессов реагирования на инциденты [3].

В основе гибридной системы защиты лежат принципы нулевого доверия, а именно:

• обеспечение безопасного и подтверждённого каждого пользователя (устройства)к информационным ресурсам;
• использование модели минимально необходимых привилегий и контроля доступа;
• мониторинг действий и активности пользователей за счёт аналитики данных.

Управление и контроль доступа пользователей к информационным ресурсам является одними из наиболее важных процессов в данной модели. Все конечные устройства являются потенциально недоверенными субъектами доступа, права доступа которых не превышают минимально необходимых. Для субъектов, требующих более широких полномочий или административного доступа, подразумевается приведение в соответствие определённым требованиям информационной безопасности. Помимо пользователей, недоверенным считается и доступ со стороны тех частей инфраструктуры, которые расположены вне защищённого периметра.

Внедрение промежуточного слоя, включающего брокера безопасности, между потребителями, публичной облачной инфраструктурой и инфраструктурой организации позволит обеспечить значительно более высокий уровень защищённости, поскольку все взаимодействия с недоверенными и публичными сервисами должны быть реализованы через проксирующий слой, который призван реализовать большую часть тех функций информационной безопасности, которые не могут быть обеспечены на стороне облачного провайдера.

Концептуальный план разрабатываемой в рамках данного исследования архитектуры, представленный на рисунке 2, должен решить задачи управления, контроля и защиты гибридной информационной инфраструктуры.

Рисунок 2. Архитектурная концепция обеспечения безопасности гибридной облачной инфраструктуры

Данный подход к построению системы защиты подразумевает организацию трёх основных уровней (периметров) защиты:

1. Уровень сетевого периметра частной инфраструктуры (частное облако или локальная инфраструктура);
2. Уровень системы защиты гибридной инфраструктуры;
3. Уровень конечных устройств (клиентов доступа).

Первый уровень защиты подразумевает защищённую по традиционной модели инфраструктуру организации, которая требует доработок в части подключения ко второму уровню защиты, основному элементу архитектурной концепции – уровню системы защиты гибридной инфраструктуры.

Второй уровень представляет собой комплекс средств защиты, развёрнутый на выделенной информационной инфраструктуре и физическом оборудовании и расположенный вне частной инфраструктуры организации. Фактически данный уровень защиты представляет собой комплексную защищённую интеграционную платформу, которая реализует на своей основе принципы нулевого доверия и различные функции, связанные с защищённым доступом пользователей к информационным ресурсам гибридной информационной инфраструктуры, а также интеграцией с различными внешними ресурсами и внутри инфраструктуры.

Третий уровень защиты представляет собой пользовательские устройства с разной степенью защищённости. К ним относятся защищённые АРМ, на которых установлен комплекс средств защиты, позволяющий пользователям при работе на этих устройствах заниматься задачами администрирования или работать с конфиденциальными данными, базовые АРМ, на которых установлен минимально достаточный комплекс средств защиты, а также основная часть – потенциально незащищённые устройства.

Основной акцент при построении второго уровня защиты должен быть сделан на следующих аспектах безопасности:

1. Реализация процессов предоставления безопасного доступа к информационным ресурсам с различной степенью конфиденциальности;
2. Обеспечение единообразного процесса создания интеграционных взаимодействий, а также контроля и управления взаимодействиями;
3. Выявление различных угроз безопасности в инспектируемом трафике, а также мониторинг аномального поведения пользователей.

Предложенная архитектура системы защиты информации должна решить задачи реализации гибридной облачной инфраструктуры в части обеспечения достаточного уровня защищённости при использовании публичных облачных сервисов, а также предоставить возможности управления и контроля уровня информационной безопасности инфраструктуры в целом. Она базируется на следующих фундаментальных положениях:

• использование облачных сервисов с сохранением высокого уровня защищённости;
• целостность и унификация политик для всех облачных сервисов;
• расширение и усиление инфраструктуры безопасности;
• широкие возможности предоставления безопасного доступа для пользователей;
• обеспечение возможности работы с личными устройствами пользователей.

Основная задача при создании данной гибридной системы защиты — адаптация классических информационных инфраструктур к условиям гетерогенности внутренних и внешних взаимодействий, применения облачных сервисов, предоставляемых в рамках различных моделей, а также специфического пользовательского доступа. Дальнейшие исследования в данной области будут направлены в сторону реализации основных аспектов безопасности с учётом специфики работы с облаком, а также обеспечения работы всей системы в целом.

[1] IBM Cloud Learn Hub // [Электронный ресурс]: IBM Cloud Education. URL: https://www.ibm.com/cloud/learn/public-cloud (дата доступа: 20.02.2022).

[2] What is a public cloud? Public vs. private cloud // [Электронный ресурс]: Cloudflare. URL: https://www.cloudflare.com/learning/cloud/what-is-a-public-cloud/ (дата доступа: 23.02.2022).

[3] Information Technology. Gartner Glossary // [Электронный ресурс]: URL: https://www.gartner.com/en/information-technology/glossary/cloud-access-security-brokers-casbs.