Problemy bezpieczeństwa w chmurze

Cloud computing ma wiele zalet, ale stanowi też prawdziwe wyzwanie dla tradycyjnych schematów ochrony i zarządzania tożsamością.

W tradycyjnych centrach danych wdraża się procedury i środki kontroli, w celu ochrony infrastruktury i danych. Taka konfiguracja jest relatywnie łatwa do zarządzania, ponieważ organizacje mają kontrolę nad swoimi serwerami i wykorzystują sprzęt fizyczny wyłącznie do własnych celów. W prywatnej czy publicznej chmurze granice ochrony zacierają się, a kontrola nad bezpieczeństwem jest ograniczona w sytuacji, gdy zasoby przemieszczają się dynamicznie, a sprzęt współdzielony jest z nieznajomymi.

Zobacz również:

• Dzięki temu standardowi będziemy wiedzieć, że śledzi nas jakieś obce urządzenie Bluetooth
• KE zamierza oskarżyć kolejny raz Microsoft o złamanie ustawy antymonopolowej
• Ransomware - liczba ataków spada, ale są bardziej kosztowne

Polecamy Cztery kroki do dobrego backupu

Publiczna natura chmury stawia wyjątkowe wymagania w zakresie prywatności i poufności danych. Przemieszczając dane ze statycznych serwerów fizycznych do wolumenów wirtualnych, nadaje się im cechę mobilności - dane przechowywane w chmurze wiodą żywot w wirtualnym świecie, trudnym do konkretnego zlokalizowania. Administratorzy mogą łatwo przenosić dane użytkownika w różne miejsca, aby umożliwić np. konserwację serwera, bez przerywania usługi czy powiadamiania właściciela danych.

Polecamy Jeden prosty krok do lepszego bezpieczeństwa sieci

Termin "cloud" oznacza, że usługa może być dostępna nawet globalnie, z wieloma punktami źródłowymi i docelowymi. Ścisła lokalizacja zasobów komputerowych dla danej chmury może nie być bezpośrednio identyfikowalna zarówno przez klienta, jak i dostawcę usług. To stawia nowe wyzwania: jak chronić dane nie wiedząc, gdzie się fizycznie znajdują? Jak dostawca ma identyfikować dane klienta (na potrzeby prawne i inne)? Jak dostawca ma usuwać dane klienta, kiedy klient przestanie korzystać z usługi? Jak dane poszczególnych klientów są chronione przed opuszczeniem goszczącego je kraju pochodzenia, jeżeli operator chmury nie wie, gdzie te dane się znajdują?

Bezpieczeństwo i wirtualizacja

Nierzadko można się spotkać z poglądem, że środowisko wirtualne nie wnosi nic nowego do problemu bezpieczeństwa, ponieważ wirtualizowane serwery rezydują wewnątrz sieci danej organizacji i dlatego są automatycznie chronione przez już działające rozwiązania ochronne. W wielu przypadkach wirtualizacja zmienia jednak reguły gry w zakresie bezpieczeństwa i w związku z tym organizacje muszą dostosować swoje strategie ochrony do nowej sytuacji.Platformy wirtualizacji tworzą całkiem odmienne i dużo bardziej dynamiczne powiązania między zasobami IT, w porównaniu z tymi, jakie można znaleźć w tradycyjnych środowiskach, a to ma istotny wpływ na bezpieczeństwo.

Polecamy Wpadki, błędy i ataki - kronika bezpieczeństwa IT 2011

Środowiska wirtualne są częścią sieci wewnętrznej i ponieważ są podatne na zagrożenia bezpieczeństwa, muszą być odpowiednio chronione, tak jak reszta sieci. Główną wadą tradycyjnych urządzeń zabezpieczających (appliance), jest to, że nie mogą "zaglądać" do wnętrza środowiska wirtualnego. Mogą podglądać każdy pakiet, który wchodzi lub opuszcza środowisko wirtualne, ale nie są w stanie obserwować ruchu wewnątrz tego środowiska. Innymi słowy, jeżeli maszyna wirtualna jest zainfekowana, może przenosić tę infekcję na całe środowisko wirtualne - bez możliwości wykrycia tego przez fizyczne urządzenie zabezpieczające.

Bez względu na to, jaką przyjęto strategię bezpieczeństwa w środowisku fizycznych urządzeń, powinna być ona powielona także na poziomie wirtualnym. Jeżeli dysponujemy wewnętrznymi zaporami między aplikacjami i segmentami sieci oraz zaczynamy wirtualizować aplikacje i segmenty sieci - wówczas do nowego środowiska wirtualnego należy przenieść wszystkie tego typu zabezpieczenia.