поиск по сайту
Привязка облака к земле

Счастный Д. Ю.

Привязка облака к земле

Как театр начинается с вешалки, так и защита облачной инфраструктуры начинается с обеспечения доверенной среды на компьютерах пользователей. Безусловно, облачная инфраструктура является огромной мощной системой, которая объединяет множество сложных подсистем. Не вызывает сомнения тот факт, что в театр люди ходят не для того, чтобы пообщаться с гардеробщиком. Но зачастую отсутствие внимания организаторов театрального зрелища к подобным околотеатральным мелочам смазывает общее впечатление от выхода в театр. И если в театре подобное невнимание в худшем случае приведет к испорченному настроению зрителей, то работа пользователей в недоверенной среде с облачной инфраструктурой может привести к утечкам пользовательских данных и даже к финансовым потерям пользователей.

Типичным заблуждением является мысль о том, что если данные хранятся и обрабатываются в облаке, то защищать клиентские места не нужно. Это заблуждение присуще и организаторам облаков, и пользователям. Да, данные хранятся и обрабатываются в облаке, но пользователь с ними работает со своего рабочего места, он данные получает из облака, как-то их использует и сохраняет обратно в облако. Процесс изменения данных, переход их из одного состояния в другое производит пользователь на своем рабочем месте. И именно здесь важно обеспечить корректность функционирования программного обеспечения: пользователь должен работать именно с тем программным обеспечением, которое правильно подключится к нужному облаку, корректно визуализирует получаемые из облачной инфраструктуры данные, правильно обработает вводимые пользователем данные и сохранит результат именно в том облаке, в котором необходимо. Сбой на любом из перечисленных выше этапов может привести к утечкам пользовательских данных, даже несмотря на то, что облако защищено в центре. На компьютерах пользователей должна быть создана доверенная среда.

Самым простым и надежным средством обеспечения гарантии того, что клиентское программное обеспечение осталось неизменным и соответствует эталону, является Аппаратный Модуль Доверенной Загрузки (АМДЗ). АМДЗ — это специализированный контроллер, устанавливаемый в слот расширения материнской платы компьютера (в настоящее время чаще всего для этой цели используются слоты PCI-Express и mini PCI-Express), стартующий до загрузки операционной системы компьютера и самостоятельно проводящий процедуры контроля целостности программного (исполняемых и конфигурационных файлов, реестра, документов и т. д.) и аппаратного (состав жестких дисков, их настройку, наличие плат расширения и т. д.) обеспечения. Дополнительно АМДЗ проводит аппаратную (с помощью TM-идентификатора или смарт-карты) идентификацию пользователя с последующей аутентификацией по паролю. Применение АМДЗ удобно для пользователя (он привычно прислоняет смарт-карту и вводит пароль) и необременительно для администратора (достаточно один раз настроить контроллер и он каждый день надежно и быстро производит все контрольные процедуры, обеспечивая корректную и безопасную работу компьютера с настроенной пользовательской средой). Стартуя до запуска операционной системы клиентского рабочего места, АМДЗ позволяет создать доверенную среду на компьютере пользователя. АМДЗ широко применяется в корпоративной среде и его также можно применять в облачной инфраструктуре.

Необходимость применения АМДЗ глубоко проработана в научных трудах и подтверждается давней практикой применения. Настолько глубоко и давно, что ФСТЭК разработал и выпустил отдельный документ, посвященный требованиям к средствам доверенной загрузки (СДЗ). В этом документе подробно рассматриваются различные типы СДВ, выделяются классы их защиты, специфицируются профили защиты СДВ. При всем описываемом многообразии и различиях СДВ их объединяет одно общее свойство — считается, что они должны быть постоянно установлены в защищаемые компьютеры. Но для обеспечения доверенной загрузки и последующего создания доверенной среды зачастую достаточно применения мобильных средств защиты. В частности средства защиты информации от несанкционированного доступа «Инаф» или средства обеспечения доверенного сеанса связи (СОДС) «МАРШ!».

Отличие «Инафа» от АМДЗ ровно два: оно устанавливается в usb-разъем компьютера, а не PCI-Express, и идентификация/аутентификация пользователя здесь является опцией. Остальной функционал этих устройств одинаков. То есть, с помощью «Инафа» можно также проверить целостность программного и аппаратного обеспечения компьютера и создать доверенную среду на компьютерах пользователей облачной инфраструктуры. Мобильность, которая присуща «Инафу», позволяет реализовывать разнообразные сценарии работы корпоративных пользователей с облаками без снижения общего уровня защищенности клиентских мест. В частности, можно позволить пользователю быть не привязанным к конкретному рабочему месту в пределах офиса. Для этого достаточно создать в пользовательском устройстве «Инаф» набор контролируемых компьютеров и обеспечить на этих компьютерах доступ к корпоративному облаку. При включении любого такого компьютера пользователь должен будет подключить «Инаф» в usb-порт компьютера свое устройство, оно получит управление до старта основной операционной системы, выполнит все необходимые контрольные процедуры и в случае их успешного завершения предоставит пользователю защищенный доступ к корпоративному облаку.

«Инаф» позволяет пользователю стать мобильным. Но только в пределах офиса. СОДС «МАРШ!» позволяет расширить границы мобильности далеко за пределы офиса за счет изменения логики контроля неизменности программного обеспечения и соответствия его эталону. Суть решения СОДС «МАРШ!» состоит в том, что пользователь носит с собой не средство контроля целостности среды, а саму среду в недоступном для изменения виде. У пользователя есть устройство с интерфейсом usb. Размером со стандартную флешку. И по сути своей являющейся флешкой. Но имеющей ряд особенностей. Во-первых, с этого устройства можно загружать компьютер. Во-вторых, операционная система, которая будет загружаться на компьютере, хранится на диске в режиме «только для чтения». В-третьих, в этой операционной системе предустановленно все необходимое программное обеспечение для доступа к облачной инфраструктуре. Как на прикладном, так и системном уровне. Таким образом, корпоративные пользователи облачной инфраструктуры могут с любого компьютера работать с облаком из доверенной среды.

Создание корпоративного облака, равно как и создание театра — сложный, трудоемкий, длительный процесс, закладывающий фундамент для последующего еще более сложного, не менее трудоемкого и гораздо более продолжительного процесса эксплуатации. И для того, чтобы процесс эксплуатации облака был успешным (равно как и театр был популярным) мало создать ЦОДы, организовать правильное управление и их защитить. Нужно предоставить пользователям удобное и защищенное средство доступа к этому облаку, чтобы пользователи могли комфортно и безопасно получать необходимые им услуги. А не сидели в шубах на галерке.


ФорумФорум
Форум ОКБ САПР
Вопросы специалистовВопросы специалистов
Вопросы, которые нам присылают, и наши ответы на них