НАВІЩО ПОТРІБНА ЦЯ СТАТТЯ?

Дана стаття написана для тих, хто бажає зрозуміти в цілому, наскільки безпечна робота з віртуальною хмарою (та й взагалі з будь-якими даними через Інтернет) з точки зору захисту інформації. По можливості, ми намагалися не зариватися в технічні деталі, але для тих, кому цікаво саме це, наводяться посилання на цікаві та корисні матеріали по темі (не завжди «два в одному»).

МЕРЕЖЕВА БЕЗПЕКА: ПОЛЕ БОЮ АБО НАЛАГОДЖЕНИЙ МЕХАНІЗМ?

Щоб розібратися в тому, наскільки взагалі небезпечна або безпечна робота з даними через Інтернет, необхідно спочатку визначитися з основною термінологією і концептуально зрозуміти, що відбувається при роботі з хмарою. Далі ми розберемо окремі складові цього процесу та їх взаємодію, разом позначаючи необхідні механізми організації правильної роботи. Після цього наведемо класичні «проколи», що зводять нанівець функціонування налагоджених систем, і завершимо філософськими роздумами про кордон між логічними діями і параноєю.

КОСМІЧНИЙ МАСШТАБ. ОСНОВНІ СУТНОСТІ ТА ЇХ ВЗАЄМОДІЯ



В цілому робота з будь-якими даними через мережу виглядає таким чином (див. рис. 1): у точці А є якийсь сервер, на якому зберігаються і обробляються певні дані, а в точках B, C, D і т.д. - користувальницькі пристрої, з яких ці дані вводяться і на яких вони обробляються (іноді) і відображаються. Для зв'язку з A використовуються канали передачі інформації.

РІВНЕМ НИЖЧЕ: РОЗБИРАЄМО БЛОКИ

ДАТА-ЦЕНТР

Мабуть, самим захищеним є блок, найбільш віддалений від користувача, - віртуальна машина в дата-центрі (п.1 на рис. 2). Чому? По-перше, сам бізнес дата-центрів побудований на використанні високонадійного обладнання (відмовостійкість, резервування і т.д.), а фахівці дата-центрів - це професіонали, заточені під виконання конкретних завдань. Домогтися такого ж рівня функціонування в «домашніх» умовах практично неможливо. По-друге, самі дані захищені як від втручання співробітників дата-центрів (див. нижче відомості про віртуалізацію і шифрування дисків), так і від крадіжки / вилучення з боку, скажімо так, недобросовісних конкурентів, оскільки периметр і сам дата-центр захищені не гірше (а іноді і краще) солідних банків.





ІНТЕРНЕТ

Наступний блок - канали передачі даних (п.2 на рис. 2). Якщо брати аналогію з банківською сферою - то саме тут визначається, як будуть перевозитися гроші: за допомогою захищеної інкасаторської машини або на громадському транспорті. У термінології Інтернет-безпеки захищеним транспортом (протоколом) є IPSec, громадським транспортом - звичайний IP. У банківській сфері, крім захищеної машини бажано також використовувати секретний маршрут пересування. Його ІТ-аналог - віртуальна приватна мережа (VPN). Що це означає? Це означає, що навіть якщо зловмисник якимось чином перехопить інформацію («інкасаторську машину»), то він виявить, що дані зашифровані («перебувають у сейфі»), причому ключ для розшифровки знаходиться не тут, а у власника даних.

БЕЗДИСКОВИЙ КОРИСТУВАЦЬКИЙ ПРИСТРІЙ

І, нарешті, користувальницькі пристрої. Тут можливі варіанти залежно від того, які вимоги ставляться до обчислювальної потужності (наприклад, аналіз великих масивів даних, прорахунок програм і т.д. логічніше виконувати на сервері, а для веб-серфінгу і набору документів часто достатньо потужності слабенького смартфона / планшета) та зберігання даних (зберігати корпоративну базу даних на комп'ютері всіх працівників, мабуть, недоцільно). Дуже часто (особливо в корпоративному середовищі) користувальницькі пристрої взагалі не мають власне жорсткого диска (п.3 на рис. 2), а використовуються тільки для введення, обробки і відображення інформації. У таких випадках відключення пристрою від джерела живлення розриває канал зв'язку з сервером, а отже, і доступ до інформації.

ПРИСТРОЇ З ДИСКОВИМИ НАКОПИЧУВАЧАМИ

Якщо ж для користувача пристрій має власний накопичувач (карту пам'яті, жорсткий диск, інше), обов'язково необхідно його шифрувати (див. нижче), доступ до нього - закривати паролем, а на сам пристрій (п.4 на рис. 2) - ставити маячки і різні програми захисту від крадіжки (як приклади можна навести апаратні засоби, якими забезпечені деякі бізнес-ноутбуки, а також поширені програмні засоби захисту від крадіжки для смартфонів). Також варто згадати і про процес включення пристрою і доступ до інформації. Враховуйте, що ваш пристрій можете включати не ви, і якщо передбачена така можливість - утрудните зловмисникові доступ в систему (складні паролі, відбитки пальців або сітківки, токени та інші засоби ідентифікації користувачів).

ДИЯВОЛ В ДЕТАЛЯХ, АБО ЯК НЕ ПОГОРІТИ НА ДРІБНИЦЯХ



Начебто всі про це знають, але все одно основні проколи трапляються не на апаратному, а на людському рівні. Не важливо, наскільки хороша схема шифрування, якщо пароль доступу записаний на папірці, поряд з робочим місцем, або якщо його реально витягти з співробітника / секретаря / адміна.



Якщо ви не знаєте, що таке соціальна інженерія, то рекомендуємо ознайомитися. Якщо знаєте, але чомусь забули, то радимо застосовувати розподілені двох-і більше рівневі системи, коли доступ до одного джерела закритої інформації (ноутбуку, людини, паролю) не означає автоматичного доступу до всієї інформації в зрозумілому людині вигляді.

ЗАХИСТ ІНФОРМАЦІЇ? А ЩО ЦЕ?



Нарощуючи рівні захисту, впроваджуючи криптостійкі алгоритми, складні паролі і заплутані політики безпеки, головне - вчасно зупинитися (див. рекомендовану літературу), зрозуміло, якщо ваш бізнес не складається саме з впровадження подібних систем. Чому? Тому що зламати можна все. Питання тільки в можливостях зломщика. Якщо зовнішня розвідка однієї з сусідніх держав захоче дізнатися кількість бананів на віртуальній фермі вашої секретарки - вона це зробить. Але це не означає, що про безпеку та шифруванні потрібно забути взагалі. Зовсім ні! Адже крім розвідок, є недоброзичливці нижчі рангом, що володіють простішою логікою і нижчими можливостями. А от від них описані вище базові методи є дуже навіть адекватним захистом.



До речі, з нашого досвіду участі в профільних заходах і спілкування з клієнтами: раніше скептики говорили, що хмари не приживуться, оскільки наші люди звикли тримати всю інформацію при собі. Але, як виявилося, нашим людям потрібен доступ до інформації. Постійний, зручний, з будь-якого місця. А ось ТРИМАТИ ЇЇ ПРИ СОБІ - якраз загроза. Се ля ві!

ЛІТЕРАТУРА

Власне, ця стаття спочатку планувалася саме для розповіді про конкретні техніки і алгоритми шифрування, але про них так добре написано у Вікіпедії, що ми вирішили просто залишити це тут. Якщо вам потрібна більш докладна технічна або математична консультація - звертайтесь, розпишемо детально.

BitLocker - програма для шифрування дисків (може застосовуватися як на користувацьких пристроях, так і на серверах з віртуальними машинами)
TrueCrypt - ще одна хороша програма для шифрування
IPsec - захищений протокол передачі даних

МАТЕРІАЛИ НАДАНІ ЗА ПІДТРИМКИ ЛІДЕРА НА РИНКУ ХМАРНИХ СЕРВІСІВ TUCHA