Połączone technologie
-
- 16.03.2010
Mariaż technologii
Demonstrowane rozwiązanie łączy uwierzytelnienie wbudowane w mikroprocesory Intela z technologią zbierania danych z infrastruktury fizycznej i wirtualizowanej, opracowaną przez VMware. Zebrane w ten sposób dane są przesyłane do urządzeń platformy bezpieczeństwa firmy RSA, które identyfikują potencjalne zagrożenia związane z naruszeniem bezpieczeństwa lub zgodności z regulacjami i założeniami polityki. Informacja przetworzona przez rozwiązania RSA jest przekazywana do oprogramowania służącego do zarządzania ryzykiem oraz zgodnością z regulacjami (tak zwane GRC) opracowanego przez firmę Archer Technologies (firma ta została niedawno zakupiona przez EMC). Ponieważ EMC posiada firmy RSA, Archer i VMware, współpraca formalnie obejmuje tylko dwa niezależne podmioty - EMC i Intel.
Firma RSA informuje, że dostawcy cloud computing już przygotowują się do świadczenia usług z wykorzystaniem tego modelu bezpieczeństwa. Rynkowe oferty powinny pojawić się w ciągu sześciu miesięcy. Jedną z firm, która zamierza świadczyć takie usługi, jest Terramark.
Audyt i zgodność
Jedną z korzyści takiego rozwiązania jest bardzo dokładna kontrola, która umożliwi wprowadzenie różnych założeń polityki bezpieczeństwa w prywatnych chmurach, w tym także ograniczeń odnośnie typów sprzętu, na którym dana maszyna może pracować. Ograniczenia te mogą dotyczyć także tego, które z maszyn wirtualnych, związanych z aplikacjami różnych działów przedsiębiorstwa, mogą współegzystować na tej samej platformie sprzętowej i dzielić te same zasoby. Jest to szczególnie ważne dla tych organizacji, które łączą przetwarzanie danych o wysokim stopniu wrażliwości (na przykład informacji medycznych lub finansowych związanych z klientami) z pracą innych aplikacji biznesowych. Rozwiązanie demonstruje także sposób automatyzacji zbierania danych, ich analizy oraz raportowania aktywności i zdarzeń na poziomie infrastruktury świadczącej usługi cloud computing. Automatyczne zbieranie danych ma sens, gdyż uniezależnia powstanie zapisów audytowych od pracy ludzi w dziale IT.
Przy rozważaniu wdrożenia technologii cloud computing należy mieć na uwadze znane zagrożenia związane z tą platformą. Po pierwsze, cloud computing może być użyte do masowego uruchamiania botnetów. Podczas konferencji RSA w San Francisco na sesji Cloud Security Alliance (CSA jest to konsorcjum użytkowników i dostawców technologii cloud computing koncentrujące się na bezpieczeństwie tych rozwiązań) przedstawiono udokumentowane wykorzystanie platformy cloud computing do uruchomienia dużego botnetu. Użycie infrastruktury monitorowania i audytu umożliwiłoby wykrycie nie tylko samego ataku, ale także wszelkich przygotowań do niego.
Na tej samej konferencji naświetlono też problem niedostatecznego bezpieczeństwa środowisk i interfejsów programistycznych API, które nie zawsze oferują oczekiwany poziom zabezpieczeń. W pewnych warunkach API posiada lukę w bezpieczeństwie, która umożliwia infiltrację środowiska cloud computing oraz wszystkich informacji w nim hostowanych. Według CSA, odpowiedzią powinien być standard wykorzystywania silnego uwierzytelnienia i kontroli dostępu w połączeniu z szyfrowaniem wszelkiej komunikacji związanej z zarządzaniem platformą. Raport CSA opisuje 10 zagrożeń wraz ze sposobem minimalizacji ryzyka związanego z każdym z nich i powinien być ostrzeżeniem przed pochopnym wdrażaniem technologii cloud computing bez analizy jej wpływu na biznes oraz ryzyka biznesowego, które wiąże się z tak silną konsolidacją zasobów.
