Из Википедии, бесплатной энциклопедии
  (Перенаправлено из облачной безопасности )
Перейти к навигации Перейти к поиску
Информацию о облачном программном обеспечении безопасности см. В разделе Безопасность как услуга .

Безопасность облачных вычислений или, проще говоря, безопасность облачных вычислений относится к широкому набору политик, технологий, приложений и средств управления, используемых для защиты виртуализированных IP-адресов, данных, приложений, услуг и связанной с ними инфраструктуры облачных вычислений . Это поддомен компьютерной безопасности , сетевой безопасности и, в более широком смысле, информационной безопасности .

Проблемы безопасности, связанные с облаком [ править ]

Облачные вычисления и хранилище предоставляют пользователям возможность хранить и обрабатывать свои данные в сторонних центрах обработки данных . [1] Организации используют облако в различных моделях обслуживания (с такими сокращениями, как SaaS , PaaS и IaaS ) и моделях развертывания ( частных , общедоступных , гибридных и общественных ). [2] Проблемы безопасности, связанные с облачными вычислениями, делятся на две широкие категории: проблемы безопасности, с которыми сталкиваются облачные провайдеры (организации, предоставляющие программное обеспечение , платформу илиинфраструктура как услуга через облако) и проблемы безопасности, с которыми сталкиваются их клиенты (компании или организации, которые размещают приложения или хранят данные в облаке). [3] Однако ответственность разделяется. Поставщик должен обеспечить безопасность своей инфраструктуры и данные и приложения своих клиентов, в то время как пользователь должен принять меры по усилению своего приложения и использовать надежные пароли и меры аутентификации.

Когда организация решает хранить данные или размещать приложения в общедоступном облаке, она теряет возможность иметь физический доступ к серверам, на которых размещена ее информация. В результате потенциально конфиденциальные данные подвергаются риску внутренних атак. Согласно отчету Cloud Security Alliance за 2010 год, внутренние атаки являются одной из семи крупнейших угроз облачных вычислений. [4] Таким образом, поставщики облачных услуг должны обеспечить тщательную проверку данных сотрудников, имеющих физический доступ к серверам в центре обработки данных. Кроме того, центры обработки данных необходимо часто проверять на предмет подозрительной активности.

В целях экономии ресурсов, сокращения затрат и поддержания эффективности поставщики облачных услуг часто хранят данные нескольких клиентов на одном сервере. В результате есть вероятность, что личные данные одного пользователя могут быть просмотрены другими пользователями (возможно, даже конкурентами). Чтобы справиться с такими конфиденциальными ситуациями, поставщики облачных услуг должны обеспечить надлежащую изоляцию данных и логическое разделение хранилища. [2]

Широкое использование виртуализации при реализации облачной инфраструктуры создает уникальные проблемы безопасности для клиентов или арендаторов общедоступной облачной службы. [5] Виртуализация изменяет отношения между ОС и базовым оборудованием - будь то вычисления, хранилище или даже сеть. Это вводит дополнительный уровень - виртуализацию - которая сама должна быть правильно настроена, управляема и защищена. [6] Конкретные опасения включают возможность взлома программного обеспечения виртуализации или «гипервизора». Хотя эти опасения в основном теоретические, они действительно существуют. [7] Например, нарушение на рабочем месте администратора управляющего программного обеспечения программного обеспечения виртуализации может привести к выходу из строя всего центра обработки данных или его переконфигурированию по вкусу злоумышленника.

Контроль безопасности в облаке [ править ]

Архитектура облачной безопасности эффективна только при наличии правильных защитных реализаций. Эффективная архитектура облачной безопасности должна распознавать проблемы, которые могут возникнуть при управлении безопасностью. [8] Управление безопасностью решает эти проблемы с помощью мер безопасности. Эти средства управления используются для защиты любых слабых мест в системе и уменьшения эффекта атаки. Несмотря на то, что за архитектурой облачной безопасности существует множество типов элементов управления, их обычно можно найти в одной из следующих категорий: [8]

Сдерживающий контроль
Эти элементы управления предназначены для уменьшения атак на облачную систему. Подобно предупреждающему знаку на заборе или собственности, средства сдерживания обычно снижают уровень угрозы, информируя потенциальных злоумышленников о том, что в случае их продолжения для них будут неблагоприятные последствия. (Некоторые считают их подмножеством превентивных мер контроля.)
Профилактический контроль
Превентивные меры укрепляют систему против инцидентов, как правило, уменьшая, если не фактически устраняя уязвимости. Например, строгая аутентификация облачных пользователей снижает вероятность того, что неавторизованные пользователи могут получить доступ к облачным системам, и более вероятно, что облачные пользователи будут точно идентифицированы.
Детективный контроль
Детективный контроль предназначен для обнаружения и надлежащего реагирования на любые происшествия. В случае нападения детективный контроль будет сигнализировать о профилактических или корректирующих мерах для решения проблемы. [8] Мониторинг безопасности системы и сети, включая механизмы обнаружения и предотвращения вторжений, обычно используются для обнаружения атак на облачные системы и поддерживающую инфраструктуру связи.
Корректирующий контроль
Корректирующие меры уменьшают последствия инцидента, как правило, путем ограничения ущерба. Они вступают в силу во время или после инцидента. Восстановление резервных копий системы для восстановления скомпрометированной системы является примером корректирующего контроля.

Размеры облачной безопасности [ править ]

Обычно рекомендуется выбирать и внедрять средства управления информационной безопасностью в соответствии с рисками и соразмерно им, обычно путем оценки угроз, уязвимостей и воздействий. Проблемы облачной безопасности можно сгруппировать по-разному; Gartner назвал семь [9], а Cloud Security Alliance выявил двенадцать проблемных областей. [10] Брокеры безопасности доступа к облаку (CASB) - это программное обеспечение, которое находится между пользователями облака и облачными приложениями, чтобы обеспечить видимость использования облачных приложений, защиты данных и управления для мониторинга всей активности и обеспечения соблюдения политик безопасности. [11]

Безопасность и конфиденциальность [ править ]

Управление идентификацией
У каждого предприятия будет своя собственная система управления идентификацией для контроля доступа к информационным и вычислительным ресурсам. Облачные провайдеры либо интегрируют систему управления идентификацией клиента в свою собственную инфраструктуру, используя федерацию или технологию SSO , либо систему идентификации на основе биометрических данных [1], либо предоставляют собственную систему управления идентификацией. [12] CloudID, [1]например, обеспечивает сохраняющую конфиденциальность облачную и межкорпоративную биометрическую идентификацию. Он связывает конфиденциальную информацию пользователей с их биометрическими данными и хранит ее в зашифрованном виде. Используя метод шифрования с возможностью поиска, биометрическая идентификация выполняется в зашифрованном домене, чтобы гарантировать, что поставщик облачных услуг или потенциальные злоумышленники не получат доступа к каким-либо конфиденциальным данным или даже к содержимому отдельных запросов. [1]
Физическая охрана
Поставщики облачных услуг физически защищают ИТ- оборудование (серверы, маршрутизаторы, кабели и т. Д.) От несанкционированного доступа, вмешательства, кражи, пожаров, наводнений и т. Д. И гарантируют, что основные источники снабжения (например, электричество) достаточно надежны, чтобы свести к минимуму возможность сбоев. Обычно это достигается за счет обслуживания облачных приложений в центрах обработки данных «мирового класса» (т. Е. Профессионально определенных, спроектированных, построенных, управляемых, контролируемых и обслуживаемых).
Безопасность персонала
Различные проблемы информационной безопасности, связанные с ИТ и другими специалистами, связанными с облачными сервисами, обычно решаются с помощью мероприятий до, после и после приема на работу, таких как проверка безопасности потенциальных сотрудников, ознакомление с безопасностью и программы обучения, проактивные.
Конфиденциальность
Провайдеры гарантируют, что все важные данные (например, номера кредитных карт) замаскированы или зашифрованы и что только авторизованные пользователи имеют доступ к данным в целом. Более того, цифровые удостоверения и учетные данные должны быть защищены, как и любые данные, которые поставщик собирает или производит о деятельности клиентов в облаке.

Облачная уязвимость и тестирование на проникновение [ править ]

Сканирование облака извне и изнутри с использованием бесплатных или коммерческих продуктов имеет решающее значение, поскольку без усиленной среды ваш сервис считается легкой мишенью. Виртуальные серверы должны быть защищены от утечки данных , вредоносных программ и эксплуатируемых уязвимостей, как и физический сервер . «Потеря или утечка данных составляет 24,6%, а вредоносное ПО, связанное с облаком, составляет 3,4% угроз, вызывающих сбои в работе облака» [13]

Сканирование и тестирование на проникновение изнутри или за пределами облака должно быть авторизовано поставщиком облака. Поскольку облако является общей средой с другими клиентами или арендаторами, пошаговое выполнение правил тестирования на проникновение является обязательным требованием. Нарушение политики допустимого использования может привести к прекращению предоставления услуги. [ необходима цитата ]

Безопасность данных [ править ]

С облачными службами данных связан ряд угроз безопасности: не только традиционные угрозы безопасности, такие как перехват сети , незаконное вторжение и атаки типа «отказ в обслуживании», но и определенные угрозы облачных вычислений, такие как атаки по побочным каналам, уязвимости виртуализации и злоупотребления. облачных сервисов. Следующие ниже требования безопасности ограничивают угрозы. [14]

Конфиденциальность [ править ]

Конфиденциальность данных - это свойство, при котором содержимое данных не предоставляется или не раскрывается незаконным пользователям. Данные, переданные на аутсорсинг, хранятся в облаке и находятся вне прямого контроля владельцев. Только авторизованные пользователи могут получить доступ к конфиденциальным данным, в то время как другие, включая CSP, не должны получать никакой информации о данных. Между тем, владельцы данных рассчитывают полностью использовать облачные сервисы данных, например поиск данных, вычисление данных и совместное использование данных , без утечки содержимого данных к CSP или другим злоумышленникам.

Контроль доступа [ править ]

Управляемость доступа означает, что владелец данных может выполнять выборочное ограничение доступа к своим данным, передаваемым в облако. Законные пользователи могут быть авторизованы владельцем для доступа к данным, в то время как другие не могут получить к ним доступ без разрешения. Кроме того, желательно обеспечить детальный контроль доступа к данным, переданным на аутсорсинг, т. Е. Разным пользователям должны быть предоставлены разные привилегии доступа в отношении разных частей данных. Авторизация доступа должна контролироваться только владельцем в ненадежных облачных средах.

Целостность [ править ]

Целостность данных требует поддержания и обеспечения точности и полноты данных. Владелец данных всегда ожидает, что его или его данные в облаке могут храниться правильно и надежно. Это означает, что данные не должны быть незаконно подделаны, ненадлежащим образом изменены, намеренно удалены или злонамеренно сфабрикованы. Если какие-либо нежелательные операции повреждают или удаляют данные, владелец должен иметь возможность обнаружить повреждение или потерю. Кроме того, когда часть данных, переданных на аутсорсинг, повреждена или потеряна, пользователи данных все равно могут их восстановить.

Шифрование [ править ]

Некоторые передовые алгоритмы шифрования , примененные в облачных вычислениях, повышают защиту конфиденциальности. В практике, называемой крипто-шредингом , ключи можно просто удалить, когда данные больше не используются.

Атрибутное шифрование (ABE) [ править ]

Шифрование на основе атрибутов - это тип шифрования с открытым ключом, в котором секретный ключ пользователя и зашифрованный текст зависят от атрибутов (например, страны, в которой он живет, или типа подписки, которую он имеет). В такой системе дешифрование зашифрованного текста возможно только в том случае, если набор атрибутов ключа пользователя совпадает с атрибутами зашифрованного текста.

Политика шифротекста ABE (CP-ABE) [ править ]

В CP-ABE шифровальщик управляет стратегией доступа. Основная исследовательская работа CP-ABE сосредоточена на проектировании конструкции доступа. [15]

Ключ-политика ABE (KP-ABE) [ править ]

В KP-ABE наборы атрибутов используются для описания зашифрованных текстов, а закрытые ключи связаны с определенной политикой, которая будет использоваться пользователями. [16] [17] [18]

Полностью гомоморфное шифрование (FHE) [ править ]

Полностью гомоморфное шифрование позволяет выполнять вычисления с зашифрованными данными, а также позволяет вычислять сумму и произведение для зашифрованных данных без дешифрования. [19]

Шифрование с возможностью поиска (SE) [ править ]

Шифрование с возможностью поиска - это криптографическая система, которая предлагает функции безопасного поиска по зашифрованным данным. [20] [21] Схемы SE можно разделить на две категории: SE, основанные на криптографии с секретным (или симметричным) ключом, и SE, основанные на криптографии с открытым ключом. Чтобы повысить эффективность поиска, SE с симметричным ключом обычно создает индексы ключевых слов для ответа на запросы пользователей. Это имеет очевидный недостаток, заключающийся в предоставлении маршрутов мультимодального доступа для неавторизованного извлечения данных в обход алгоритма шифрования, подвергая структуру альтернативным параметрам в общей облачной среде. [22]

Соответствие [ править ]

Многочисленные законы и постановления относятся к хранению и использованию данных. В США к ним относятся законы о конфиденциальности или защите данных, Стандарт безопасности данных индустрии платежных карт (PCI DSS), Закон о переносимости и подотчетности медицинского страхования (HIPAA), Закон Сарбейнса-Оксли , Федеральный закон об управлении информационной безопасностью 2002 года (FISMA). , а также Закон о защите конфиденциальности детей в Интернете от 1998 года. Подобные стандарты существуют и в других юрисдикциях, например, Сингапурский стандарт безопасности многоуровневого облака .

Подобные законы могут применяться в разных правовых юрисдикциях и могут значительно отличаться от тех, которые применяются в США. Пользователям облачных сервисов часто необходимо знать о юридических и нормативных различиях между юрисдикциями. Например, данные, хранящиеся у поставщика облачных услуг, могут быть расположены, скажем, в Сингапуре, а зеркальные копии - в США. [23]

Многие из этих правил предписывают определенные меры контроля (такие как строгий контроль доступа и контрольные журналы) и требуют регулярной отчетности. Заказчики облачных услуг должны гарантировать, что их поставщики облачных услуг должным образом выполняют такие требования, что позволяет им выполнять свои обязательства, поскольку в значительной степени они остаются подотчетными.

Непрерывность бизнеса и восстановление данных
У поставщиков облачных услуг есть планы обеспечения непрерывности бизнеса и восстановления данных, чтобы гарантировать, что сервис может поддерживаться в случае аварии или чрезвычайной ситуации, и что любая потеря данных будет восстановлена. [24] Эти планы могут быть переданы их клиентам и рассмотрены ими, в идеале в соответствии с собственными договоренностями о непрерывности работы клиентов. Совместные упражнения на непрерывность могут быть уместны, например, имитируя серьезный сбой в сети Интернет или электроснабжение.
Журнал и контрольный журнал
Помимо создания журналов и аудиторских журналов , облачные провайдеры работают со своими клиентами, чтобы гарантировать, что эти журналы и аудиторские журналы должным образом защищены, поддерживаются столько, сколько требуется клиенту, и доступны для целей судебного расследования (например, eDiscovery ) .
Уникальные требования соответствия
В дополнение к требованиям, предъявляемым к клиентам, центры обработки данных, используемые поставщиками облачных услуг, также могут подчиняться требованиям соответствия. Использование поставщика облачных услуг (CSP) может вызвать дополнительные проблемы с безопасностью в отношении юрисдикции данных, поскольку данные клиентов или арендаторов могут не оставаться в той же системе, в том же центре обработки данных или даже в облаке того же поставщика. [25]
Регламент GDPR Европейского Союза ввел новые требования соответствия для данных клиентов.

Правовые и договорные вопросы [ править ]

Помимо проблем безопасности и соответствия, перечисленных выше, поставщики облачных услуг и их клиенты будут согласовывать условия в отношении ответственности (с указанием, как будут разрешаться инциденты, связанные с потерей или компрометацией данных, например), интеллектуальной собственностью и прекращением обслуживания (когда данные и заявки в конечном итоге возвращаются заказчику). Кроме того, существуют соображения относительно получения данных из облака, которые могут быть вовлечены в судебные разбирательства. [26] Эти вопросы обсуждаются в соглашениях об уровне обслуживания (SLA).

Публичные записи [ править ]

Юридические вопросы могут также включать требования к ведению документации в государственном секторе , где многие агентства по закону обязаны хранить и предоставлять электронные записи определенным образом. Это может быть определено законодательством, или закон может требовать от агентств соблюдения правил и практик, установленных агентством по ведению документации. Государственные учреждения, использующие облачные вычисления и хранилище, должны учитывать эти опасения.

Ссылки [ править ]

  1. ^ a b c d Haghighat, M .; Зоноуз, С .; Абдель-Мотталеб, М. (2015). «CloudID: надежная облачная и межфирменная биометрическая идентификация». Экспертные системы с приложениями . 42 (21): 7905–7916. DOI : 10.1016 / j.eswa.2015.06.025 .
  2. ^ a b Шринивасан, Мадхан (2012). "Современные систематики безопасности облачных вычислений".Современная таксономия безопасности облачных вычислений: классификация проблем безопасности в современной среде облачных вычислений . ACM ICACCI '. п. 470. DOI : 10,1145 / 2345396,2345474 . ISBN 9781450311960.
  3. ^ "Swamp Computing aka Cloud Computing" . Журнал веб-безопасности. 2009-12-28 . Проверено 25 января 2010 .
  4. ^ «Основные угрозы для облачных вычислений v1.0» (PDF) . Альянс облачной безопасности. Март 2010 . Проверено 19 сентября 2020 .
  5. ^ Винклер, Вик. «Облачные вычисления: проблемы безопасности виртуального облака» . Журнал Technet, Microsoft . Проверено 12 февраля 2012 года .
  6. ^ Хикки, Кэтлин. «Темное облако: исследование обнаруживает риски безопасности в виртуализации» . Новости государственной безопасности . Проверено 12 февраля 2012 года .
  7. ^ Винклер, Вик (2011). Защита облака: методы и тактика обеспечения компьютерной безопасности в облаке . Уолтем, Массачусетс, США: Elsevier. п. 59. ISBN 978-1-59749-592-9. Архивировано из оригинала на 2012-07-29 . Проверено 12 февраля 2012 .
  8. ^ a b c Крутц, Рональд Л. и Рассел Дин Вайнс. «Архитектура безопасности облачных вычислений». Облачная безопасность: полное руководство по безопасным облачным вычислениям. Индианаполис, IN: Wiley, 2010. 179-80. Распечатать.
  9. ^ «Gartner: семь рисков безопасности облачных вычислений» . InfoWorld . 2008-07-02 . Проверено 25 января 2010 .
  10. ^ «Основные угрозы для облачных вычислений плюс: отраслевые исследования» . Альянс облачной безопасности. 2017-10-20 . Проверено 20 октября 2018 .
  11. ^ "Что такое CASB (брокер безопасности облачного доступа)?" . CipherCloud. Архивировано из оригинала на 2018-08-31 . Проверено 30 августа 2018 .
  12. ^ «Управление идентификацией в облаке» . Информационная неделя . 2013-10-25 . Проверено 5 июня 2013 .
  13. ^ Thangasamy, Veeraiyah (2017). «Журнал прикладных технологий и инноваций» (PDF) . 1 : 97. Cite journal requires |journal= (help)
  14. Перейти ↑ Jun Tang, Yong Cui (2016). «Обеспечение безопасности и сохранения конфиденциальности для облачных служб данных» (PDF) . ACM Computing Surveys . 49 : 1–39. DOI : 10.1145 / 2906153 . Архивировано из оригинального (PDF) 06.04.2016.
  15. ^ Бетенкур, Джон; Сахай, Амит ; Уотерс, Брент. «Шифрование на основе атрибутов политики шифротекста» (PDF) . Симпозиум IEEE по безопасности и конфиденциальности 2007 . С. 321–334.
  16. ^ Гоял, Випул; Пандей, Омкант; Сахай, Амит ; Уотерс, Брент. «Атрибутное шифрование для точного контроля доступа к зашифрованным данным». Конференция ACM по компьютерной и коммуникационной безопасности 2006 . С. 89–98.
  17. ^ Чейз, Мелисса ; Чоу, Шерман С.М. «Улучшение конфиденциальности и безопасности при шифровании на основе атрибутов с несколькими полномочиями». Конференция ACM по компьютерной и коммуникационной безопасности 2009 . С. 121–130.
  18. ^ Аттракпадунг, Наттапонг; Эрранц, Хавьер; Laguillaumie, Fabien; Либерт, Бенуа; де Панафье, Эли; Рафолс, Карла (09.03.2012). «Схемы шифрования на основе атрибутов с шифротекстами постоянного размера» . Теоретическая информатика . 422 : 15–38. DOI : 10.1016 / j.tcs.2011.12.004 .
  19. ^ Джентри, Крейг. «Полностью гомоморфное шифрование с использованием идеальных решеток». Симпозиум ACM по теории вычислений, STOC 2009 . С. 169–178.
  20. ^ Ван, Цянь; Он, Мэйки; Ду, Минксин; Чоу, Шерман С.М.; Лай, Рассел В.Ф .; Цзоу, Цинь Цзоу (2018). «Шифрование с возможностью поиска по многофункциональным данным». Транзакции IEEE о надежных и безопасных вычислениях . 15 (3): 496–510. DOI : 10,1109 / TDSC.2016.2593444 .
  21. ^ Навид, Мухаммед. «Динамическое шифрование с возможностью поиска через слепое хранилище». IEEE симпозиум по безопасности и конфиденциальности 2014 .
  22. ^ Sahayini, Т (2016). «Повышение безопасности современных систем ИКТ с помощью мультимодальной биометрической криптосистемы и непрерывной аутентификации пользователей». Международный журнал информации и компьютерной безопасности . 8 (1): 55. DOI : 10,1504 / IJICS.2016.075310 .
  23. ^ «Управление юридическими рисками, возникающими из облачных вычислений» . DLA Piper . Проверено 22 ноября 2014 .
  24. ^ «Пришло время изучить преимущества аварийного восстановления на основе облака» . Dell.com. Архивировано из оригинала на 2012-05-15 . Проверено 26 марта 2012 .
  25. ^ Винклер, Вик (2011). Защита облака: методы и тактика обеспечения компьютерной безопасности в облаке . Уолтем, Массачусетс, США: Elsevier. стр. 65, 68, 72, 81, 218–219, 231, 240. ISBN 978-1-59749-592-9. Архивировано из оригинала на 2012-07-29 . Проверено 12 февраля 2012 .
  26. ^ Адамс, Ричард (2013). « ' Появление облачных систем хранения данных и потребность в новой цифровой модели процесса судебно - медицинской экспертизы» (PDF) . Университет Мердока.

Дальнейшее чтение [ править ]

  • Моубрей, Миранда (2009). «Туман над мрачной трясиной: облачные вычисления и закон» . ЗАПИСАНО . 6 (1): 129. DOI : 10,2966 / scrip.060109.132 .
  • Мазер, Тим; Кумарасвами, Субра; Латиф, Шахед (2009). Облако безопасности и конфиденциальности: Предприятие Перспектива рисков и соответствия . ISBN O'Reilly Media, Inc. 9780596802769.
  • Винклер, Вик (2011). Защита облака: методы и тактика обеспечения компьютерной безопасности в облаке . Эльзевир. ISBN 9781597495929.
  • Оттенхеймер, Дави (2012). Безопасность виртуальной среды: как защитить предприятие от атаки . Вайли. ISBN 9781118155486.
  • Хагигат, Мохаммад (2015). «CloudID: надежная облачная и межфирменная биометрическая идентификация». Экспертные системы с приложениями . 42 (21): 7905–7916. DOI : 10.1016 / j.eswa.2015.06.025 .
  • BS ISO / IEC 27017 : «Информационные технологии. Методы безопасности. Свод правил для средств контроля информационной безопасности на основе ISO / IEC 27002 для облачных сервисов». (2015)
  • BS ISO / IEC 27018 : «Информационные технологии. Методы безопасности. Свод правил для защиты информации, позволяющей установить личность (PII), в общедоступных облаках, выступающих в качестве обработчиков PII». (2014)
  • BS ISO / IEC 27036-4 : «Информационные технологии. Методы безопасности. Информационная безопасность для отношений с поставщиками. Руководящие указания по безопасности облачных сервисов» (2016)

См. Также [ править ]

  • Компьютерная безопасность
  • Распространенные уязвимости и подверженности

Внешние ссылки [ править ]

  • Альянс облачной безопасности
  • Check Point Cloud Security
  • Почему для облачной безопасности требуется несколько уровней
  • Руководство по облачной безопасности для новичков
  • Руководство Министерства обороны США по требованиям безопасности облачных вычислений (CC SRG)