Противоречивые облака

Мария Сидорова
заместитель руководителя направления
"Защита виртуальных инфраструктур"
компании "Код Безопасности"

Понятие облачных вычислений тесно связывают с понятием виртуализации, так как в большинстве случаев именно она обеспечивает технологическую составляющую этого явления. На текущий момент законодательство не делает различий между физической и виртуальной средой обработки данных, как и не создает принципиальных препятствий для обработки персональных данных во внешнем облаке. Согласно Федеральному закону № 152-ФЗ "О персональных данных" обработка персональных данных и их защита могут быть поручены третьим лицам, в том числе и облачным провайдерам. Однако обработка информации в виртуальной среде имеет свои специфические особенности, отсутствующие в физической среде. В связи с чем и требования к защите персональных данных должны выполняться с учетом этих особенностей.

В чем сложность?

В чем же заключаются сложности приведения виртуальной инфраструктуры в соответствие с № 152-ФЗ "О персональных данных"? Во-первых, традиционные   средства   защиты информации не всегда совместимы со средой виртуализации, поскольку изначально проектировались для физической среды. Например, для обеспечения контроля целостности конфигурации и доверенной загрузки обычно используются аппаратно-программные модули доверенной загрузки. Если для серверов виртуализации такой способ приемлем, то для виртуальных машин такие средства вряд ли применимы (по причине отсутствия аппаратной части). Во-вторых, традиционные средства защиты информации не обеспечивают защиты от новых специфичных угроз, присущих виртуальной среде. Гипервизор и средства управления виртуальной инфраструктурой являются потенциальными каналами утечки, посредством которых нарушитель может получить доступ к обрабатываемым на виртуальных машинах данным.

С их помощью злоумышленник может перехватить потоки данных, идущие с виртуальных машин на устройства, или получить непосредственный доступ к дискам хранилища с файлами виртуальных машин даже при использовании традиционных средств защиты информации. Причем злоумышленник может получить доступ к дискам хранилища даже в том случае, если виртуальные машины выключены или не работают, без участия программного обеспечения этих виртуальных машин. Кроме того, администраторы виртуальной инфраструктуры, обладающие широкими полномочиями по манипуляциям с виртуальными машинами и их файлами (получение доступа к хранилищу, просмотр и копирование файлов виртуальных машин и т.д.), являются, по сути, суперпользователями, ошибки или злонамеренные действия которых могут стать угрозой информационной безопасности.

Необходимость выполнения требований

Согласно приказу ФСТЭК России № 58 должна быть выполнена "идентификация и проверка подлинности пользователя при входе в систему по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов". В условиях виртуальной среды данное требование должно распространиться не только на пользователей, непосредственно работающих с персональными данными на виртуальных машинах, но и на администраторов виртуальной инфраструктуры. Ведь они также могут получить доступ к персональным данным при администрировании виртуальной среды. Соответственно требования к "идентификации терминалов, технических средств, узлов сети, каналов связи, внешних устройств по логическим именам" и к "идентификации программ, томов, каталогов, файлов, записей, полей записей по именам" необходимо выполнить в том числе и для объектов виртуальной инфраструктуры (серверов виртуализации, сетевой подсистемы, систем хранения данных, виртуальных машин).

Требования к подсистеме регистрации и учета также не учитывают специфику виртуальной среды. Согласно требованиям ФСТЭК России должны регистрироваться: вход/выход пользователя в систему (из системы), запуск (завершение) программ и процессов (заданий, задач), предназначенных для обработки персональных данных, попытки доступа программных средств (программ, процессов, задач, заданий) к защищаемым файлам, а также к дополнительным защищаемым объектам доступа (терминалам, техническим средствам, узлам сети, линиям (каналам) связи, внешним устройствам, программам, томам, каталогам, файлам, записям, полям записей). Очевидно, что вышеуказанные требования должны выполняться непосредственно для самой виртуальной машины, где работают информационные системы персональных данных. Кроме того, доступ к персональным данным возможен посредством гипервизора (причем даже при выключенной виртуальной машине). В связи с этим дополнительно должны регистрироваться события попыток доступа к файлам виртуальных машин, их копирования, переноса, клонирования виртуальных машин и т.д. Требования к очистке (обнулению, обезличиванию) освобождаемых областей оперативной памяти информационной системы и внешних накопителей в условиях виртуальной среды также должны быть дополнены такими операциями, как очистка освобождаемых областей оперативной памяти после завершения работы виртуальных машин и дисков виртуальных машин при их удалении.

Таким образом, традиционные средства защиты информации не всегда эффективны в виртуальной среде. Как же тогда выполнить требования законодательства по защите персональных данных?

Поможет комбинация

Необходимо использовать комбинацию из традиционных средств защиты, которые наверняка уже используются в компании, и средств защиты, которые позволят деактуализировать специфические угрозы среды виртуализации и должны быть также сертифицированы ФСТЭК России. При этом формального выполнения требований регуляторов недостаточно, необходимо строить комплексную систему безопасности, учитывающую специфические угрозы и уязвимости виртуальной инфраструктуры.

Облачные вычисления несут явные преимущества как для пользователей, так и для поставщиков услуг. Однако, не применяя специализированные средства защиты, пользователи рискуют утратить контроль над своими данными, размещенными в облаке; миграция от одного поставщика услуг к другому также может оказаться более сложным процессом, чем смена традиционного программного обеспечения. Очевидно, что во избежание подобных проблем необходима разработка согласованных стандартов, регламентирующих документов и лучших практик. Публичные облака имеют хорошие перспективы развития в сферах с обработкой информации открытого доступа и информации, к защите которой не предъявляется строгих требований. Частные облака, в свою очередь, будут развиваться в компаниях, для которых крайне важна безопасность информации. В конечном счете, какие бы облака ни использовались в компании, требуется очень внимательно относиться к защите тех данных, которые в них обрабатываются.