Широкое распространение облачных технологий решает множество проблем, в том числе и застарелых, которые иными путями решить просто невозможно. С другой стороны, кардинальная смена ИТ-ландшафта в ходе их внедрения ставит множество вопросов, как технических, так и организационных. И обеспечение безопасности относится к важнейшим из этих вопросов.

И действительно, как показывают все без исключения исследования, именно опасения, связанные с обеспечением безопасности, являются основным препятствием для распространения облачных технологий и сервисов. Это если говорить об облаках публичных. В частном облаке и, в более широком смысле, в виртуализованных средах подходы к обеспечению безопасности и непрерывности существенно отличаются от привычных. Это также не всеми осознано и может приводить к существенным издержкам. И данное обстоятельство не привело к серьезным инцидентам лишь по недосмотру или технической неграмотности потенциальных злоумышленников, а не вследствие отсутствия потенциальных «дыр» в защите.

Виртуализация и переход в облако повышают риски

Виртуализация серверов уже давно стала широко используемой технологией, повышающей эффективность использования оборудования. Как показало исследование Ponemon Institute текущего года, четверть продуктивных серверов работает в виртуальных средах. Стоимость хранимых в виртуальных средах данных при этом практически та же, что и в традиционных. И в текущем году ожидается, что средние компании превысят крупные по уровню использования виртуализации за счет более высоких темпов роста. Если в крупных компаниях к концу 2012 г. треть серверов будут виртуальными, то в средних этот уровень достигнет уже 38%.

Но при этом подавляющее большинство виртуальных серверов защищены хуже, чем физические (Безопасность и виртуализация//Intelligent Enterprise, № 5/2010). В 2010 г. исследование Gartner показало, что данная ситуация имела место в 60% компаний. И если этот уровень с того времени и снизился, то на ничтожную величину. Такой вывод напрашивается, поскольку сам факт повышенного риска до сих пор не осознан.

Данную ситуацию эксперты Gartner связали с несколькими факторами. Прежде всего с размытием ответственности за виртуальные серверы, которые часто создают «на всякий случай», а потом долгое время не используют. Это ведет, в частности, к появлению «заброшенных» виртуальных машин, где система и средства защиты давно не обновлялись и стали уязвимы. Также бывают уязвимости, связанные с взаимодействием виртуальных систем, включая незащищенные, между собой, что дает возможность злоумышленнику атаковать с их помощью и продуктивные системы. В конце концов, можно получить доступ к данным, просто подключив нужную виртуальную машину, которая физически представляет собой лишь несколько файлов, к соответствующему гипервизору. При этом традиционные средства разграничения доступа к файлам не работают.

Данная ситуация усложняется и тем, что многие традиционные средства защиты, например антивирусное ПО, уже упомянутые выше инструменты разграничения доступа к файлам или средства аутентификации пользователей, в облачных средах малоэффективны или вовсе неэффективны. Это усугубляется еще и другими факторами, такими как, например, рост затрат на лицензирование или снижение производительности виртуальных систем. Столкнувшись с такого рода проблемами, многие просто отказываются от любой защиты. При этом системы, ориентированные на использование в виртуализованных средах и частном облаке, есть, и их становится все больше. Некоторые из них сами являются облачными сервисами.

Кроме того, появляются системные платы, где гипервизор виртуализации записан в ПЗУ, что открывает весьма широкие возможности для потенциальных злоумышленников. Причем этот факт хорошо известен в соответствующих сообществах. Также облачные среды весьма уязвимы перед DDOS-атаками. А их организация не требует высокой квалификации исполнителей и значительных ресурсов, и они могут стать весьма серьезным инструментом в межкорпоративных и даже межгосударственных конфликтах или при банальном вымогательстве. При этом последствия будут непредсказуемыми.

В реальности все еще более усугубляется. Так, например, Евгений Акимов, заместитель директора Центра информационной безопасности компании «Инфосистемы Джет», не раз сетовал на то, что в проектах, связанных с внедрением технологий виртуализации и облаков, вопросы безопасности не поднимались вообще или решались по остаточному принципу.

Также, как показало исследование Ponemon Institute, треть компаний среднего бизнеса выполняли резервное копирование данных с виртуальных серверов реже, чем с физических. При этом хуже всего обстояли дела в европейских странах (Британии, Италии, Франции), а также в Бразилии, где данный показатель был почти вдвое выше (около 60%). И только в 37% компаний эта про­цедура выполняется ежедневно.

В крупных компаниях ситуация не лучше. Как показало исследование Symantec «О практике применения резервного копирования», полностью удовлетворены системами резервного копирования 58% опрошенных руководителей компаний. При этом в четверти компаний SLA к резервному копированию в виртуальных средах был менее строгим. При этом 39% сетовали на недостаточную скорость проведения резервного копирования, а треть — на медленное восстановление данных. При этом в среднем использовалось четыре программных средства для резервного копирования физических систем и три — для виртуальных. И это обстоятельство, наряду с такими факторами, как большой объем данных и недостаточная пропускная способность каналов связи, называлось в качестве одной из причин сложившейся ситуации с резервным копированием.

Ключевой вопрос — доверие

Тема обеспечения безопасности облачных вычислений и виртуализированных сред не исчерпывается одной лишь технической составляющей. Не менее остро стоит вопрос доверия к персоналу, как собственному, так и провайдеров услуг. На 14-м Национальном форуме информационной безопасности «Инфофорум-2012» эта тема прозвучала в целом ряде выступлений. В частности, об этом заявил Николай Макаров, начальник Генерального штаба ВС РФ, первый заместитель министра обороны. Однако это не только российское явление. Так, по данным исследования Ponemon Institute, именно отсутствие доверия к поставщику называлось главным сдерживающим фактором. Особенно остро проблему ставили в Швеции, Франции, Италии, Норвегии и Бразилии, где на нее указало от 19% до четверти опро­шенных.

При этом попытки исправить ситуацию могут вести к прямо противоположному результату. Тем более что роль администратора в облачной среде, как подчеркнул, в частности, заместитель начальника Управления 8 Центра ФСБ России Евгений Хасин в своем выступлении на «Инфофоруме-2012», существенно выше, чем в традиционной. Это происходит просто потому, что именно администратор знает, как устроена облачная или виртуализованная среда и где именно хранятся те или иные данные.

Так, например, все чаще приходится слышать, что при подборе кадров предпочтение отдается не более квалифицированным, а заведомо лояльным сотрудникам, пусть и с меньшим уровнем теоретических знаний и практических навыков. И это обстоятельство, по мнению многих аналитиков, будет способствовать усилению многих тенденций, описанных выше, просто потому, что на решение тех или иных проблем банально не хватило знаний. Или, что хуже, система защиты не адекватна угрозам. И с этим многие уже сталкиваются. Кроме того, внедрение технологий виртуализации и частного облака зачастую ведет к росту нагрузки на ИТ-персонал, и менее квалифицированные сотрудники могут с ней просто не справиться.

Однако уже сейчас результаты исследования Ponemon Institute показывают, что именно ошибки персонала являются основной причиной потери данных. Так происходило в 60% случаев. Вторая по важности причина — последствия обновлений ПО (56%) и проблемы с поддержанием надлежащего режима эксплуатации оборудования (44%).

Много опасений вызывает и передача части ИТ-инфраструктуры на аутсорсинг. А это далеко не редкость и при внедрении частного облака. И действительно, у заказчиков отсутствуют механизмы контроля над подбором кадров у провайдера. При этом сотрудники последнего могут иметь полный доступ к оборудованию и данным. Отмечены случаи, когда подобного рода инциденты имели место. Так, например, в 2006 г. индийский аутсорсинговый оператор Acme Tele Power допустил утечки данных своих клиентов, что привело к прямым убыткам в 166 млн долл.

Кроме того, провайдер облачных услуг порой сам обращается к услугам внешних компаний, где ситуация с обеспечением безопасности может обстоять очень плохо и где средств контроля со стороны конечного заказчика нет вовсе. И эта цепочка бывает весьма длинной. Ведь внятных стандартов по многим аспектам функционирования облачных сред до сих пор нет, что серьезно мешает решению многих технических проблем, в том числе и не связанных напрямую с обеспечением безопасности и непрерывности. Это усиливает и многие юридические риски, к примеру, связанные с обработкой данных, подпадающих под действие различных законов, в частности, российского «О персональных данных» или требований ЕС, которые запрещают вывод финансовой информации за его пределы. Такие вопросы, как подчеркнул директор по информационной безопасности Microsoft в России Владимир Мамыкин в своем выступлении на «Инфофоруме-2012», требуют серьезной проработки, в том числе юридической. Впрочем, следует отметить, что неменьшую угрозу могут представлять действия сервисных компаний, которые осуществляют техническое обслуживание и ремонт оборудования. Это усугубляется еще и тем, что требования по уничтожению информации на локальных дисках систематически нарушаются даже в военных структурах. В случае передачи оборудования на внешнее обслуживание риск также усиливается.

Облака — не только угроза

Вместе с тем было бы неправильным рассматривать облака или, шире, среды с высоким уровнем использования виртуализации, лишь как угрозу. В ряде случаев, наоборот, использование таких подходов позволит повысить уровень безопасности и сохранность данных.

Например, согласно результатам исследования Symantec, 45% компаний использует облачные сервисы для резервного копирования данных. В текущем году доля их должна составить уже 51%. Да и многие стандарты по обеспечению непрерывности требуют хранить резервные копии вне офиса, и перенос в облако вполне отвечает данному требованию. В исследовании Ponemon Institute это обстоятельство назвали одним из ключевых факторов роста к использованию облачных сервисов в среднем бизнесе по всему миру, наряду со снижением затрат и простотой выделения ресурсов.

Кроме того, новые средства управления ИТ-ин­фраструктурой существенно упрощают очень многие процедуры, например, установку всяческих патчей и обновлений системного и прикладного ПО. Причем делать это оказалось даже проще, чем в традиционной среде, за счет наличия средств автоматизации перезапуска по расписанию.

Очень много потенциальных проблем с безопасностью может решить внедрение технологий на базе инфраструктуры виртуальных рабочих столов (VDI). Как подчеркнул Евгений Хасин, сочетание VDI и тонких клиентов позволяет закрыть массу каналов для потенциальных утечек информации при минимуме затрат и неудобств.