Хотя основные принципы информационной безопасности остаются теми же, способ, которым обеспечиваются и предоставляются услуги безопасности, должен измениться. Gartner прогнозирует, что к 2015 году 40% средств ИТ-безопасности, используемых в корпоративных ЦОДах, будут виртуализированы против менее чем 5% в 2010 г.

«Для большинства организаций виртуализация даст основу и ступеньку к переходу к частному "облаку", - отметил Томас Биттман, вице-президент и ведущий аналитик Gartner. - Но нельзя проглядеть необходимость ИТ-безопасности, которая не должна быть "привинчена" потом, в процессе перехода к частному "облаку"».

Идет ли речь о защите физических, виртуализированных ЦОДов или частного «облака», основные принципы информационной безопасности - конфиденциальность, целостность и достоверность данных, контроль доступа, проверка информации и рабочих нагрузок - не должны измениться, подчеркнул Биттман. Однако будут значительные перемены в том, каким путем обеспечивается безопасность. Будь то защита частного, общедоступного «облака» или того и другого, ИТ-безопасность должна стать адаптивной, обеспечив поддержку модели, где рабочие нагрузки не привязаны к физическому оборудованию, на котором выполняются, а динамически распределены по связной архитектуре вычислительных ресурсов.

«Политики безопасности, привязанные к физическим атрибутам, таким как сервер, IP-адрес, MAC-адрес, или где отдельность физического хоста служит для обеспечения изоляции, рушатся с приходом частного "облака", - пояснил Нил Макдональд, вице-президент Gartner. - Для многих организаций виртуализация средств безопасности даст основу, чтобы защитить инфраструктуру частного "облака", но самого по себе этого недостаточно, чтобы создать защищенное частное "облако"».

Для создания защищенного частного «облака» ИТ-безопасность должна иметь следующие характеристики. Она должна быть неотъемлемой, но отдельно конфигурируемой частью связной архитектуры частного «облака», реализованной как набор эластичных и программируемых сервисов по требованию, конфигурируемых посредством политик, привязанных к логическим атрибутам, чтобы создать адаптивные зоны доверия, способные к разделению множества рабочих нагрузок.

Макдональд указал шесть необходимых атрибутов инфраструктуры безопасности частного «облака»:

1. Набор эластичных сервисов по требованию

Безопасность должна обеспечиваться не как набор отдельных программных пакетов, воплощенных внутри физических устройств, а как набор сервисов, доступных «по требованию», чтобы защитить рабочие нагрузки и информацию там и тогда, где и когда это требуется. Эти сервисы должны быть интегрированы в процессы предоставления и администрирования частного «облака» и быть доступными для любого типа нагрузки - сервера или десктопа. Соответствующая политика безопасности будет ассоциирована с данной нагрузкой на протяжении всего ее жизненного цикла - пока эти нагрузки предоставляются, переносятся, модифицируются, клонируются и, в конце концов, снимаются с исполнения.

2. Программируемая инфраструктура

Инфраструктура безопасности, которая предоставляет сервисы защиты, должна стать «программируемой», т. е. эти сервисы будут открыты для их программирования. По определению, инфраструктура общедоступного и частного «облака» потребляется с использованием стандартов Интернета. В случае программируемой инфраструктуры безопасности сервисы обычно доступны модифицированию через API-интерфейсы REST (репрезентативной передачи состояния), которые независимы от языка программирования и платформы. Открывая эти сервисы безопасности через API, инфраструктура точки реализации политики безопасности становится программируемой из точек администрирования политик и принятия решений по политикам. Эта перемена даст возможность персоналу ИТ-безопасности сосредоточить внимание на управлении политиками, а не программировании инфраструктуры.

3. Политики, основанные на логических, а не физических атрибутах, и способные учитывать текущий контекст в решениях по защите в реальном времени

Характер политик безопасности, которые направляют автоматическое конфигурирование программируемой инфраструктуры, также должен измениться. По мере того, как организации переходят к виртуализированным ЦОДам и затем к инфраструктуре частного «облака», политики безопасности всё в большей степени должны быть привязаны к логическим, а не физическим атрибутам. Отделение и абстрагирование всей ИТ-структуры и перенос в модели частного и общедоступного «облака» означает, что рабочие нагрузки и информация больше не будут привязаны к конкретным устройствам, фиксированным IP- или MAC-адресам, что рушит статичные политики безопасности, основанные на физических атрибутах. Чтобы дать возможность быстрой и более точной оценки того, следует ли разрешить или же запретить данное конкретное действие, в момент принятия решения по защите должно быть также учтено больше контекстной информации в реальном времени.

4. Адаптивные зоны доверия, способные к высоконадежному разделению разных уровней доверия

Вместо администрирования политик безопасности на основе отдельных виртуальных машин (ВМ), будут использоваться политики на основе логических атрибутов, чтобы создать зоны доверия - логические группы рабочих нагрузок со сходными требованиями безопасности и уровнями доверия. Поскольку политики привязаны к группам ВМ, а не физической инфраструктуре, эти зоны адаптируются на протяжении жизненного цикла ВМ, пока отдельные ВМ перемещаются и вводятся новые нагрузки, попадая в ту или иную зону доверия. Инфраструктура частного «облака» потребует такие сервисы безопасности, которые должны будут обеспечить разделение, с высокой надежностью, рабочих нагрузок разных уровней доверия. По оценке Gartner, к 2015 году у 70% организаций серверные нагрузки разных уровней доверия будут исполняться на одном и том же физическом оборудовании в их ЦОДе - кроме тех, что прямо запрещены требованиями регулирующих органов или аудитора.

5. Отдельно конфигурируемое управление политиками безопасности

ИТ-безопасность не должна ослабнуть, будучи виртуализирована и включена в инфраструктуру «облака». В инфраструктуре частного «облака» должно быть реализовано четкое разделение обязанностей и сферы внимания между текущим сопровождением и функциями безопасности - так же как сегодня в физической инфраструктуре и виртуализированной среде. Это разделение имеет место на многих уровнях. Если средства управления программным обеспечением виртуализированы, то мы не должны потерять разделение обязанностей, которое имелось в физическом мире. Для этого требуется, чтобы вендоры виртуализации и платформ частного «облака» предоставили возможность разделить создание политик безопасности и работу виртуальных машин, обеспечивающих безопасность, и создание политик администрирования и работу всех других ВМ ЦОДа.

6. «Объединяемые» политики безопасности и защита идентификации

Инфраструктура частного «облака» будет внедряться постепенно, а не вся сразу. Она будет «вырисовываться» в существующих ЦОДах, где сначала лишь часть будет преобразована в частное «облако». В идеале, инфраструктура безопасности частного «облака» будет способна передавать и заимствовать политики из инфраструктуры безопасности другого ЦОДа, виртуализированной и физической, и средства управления безопасностью, размещенные по всей физической и виртуализированной инфраструктуре, смогут разумно сотрудничать в проверке рабочей нагрузки. Более того, политики безопасности, предназначенные защитить рабочие нагрузки, выполняясь автономно на местах, в идеале будут также способны к объединению с провайдерами общедоступного «облака». В настоящее время еще нет твердых стандартов для этого, хотя API-интерфейс VMware vCloud может служить началом, равно как и деятельность Рабочей группы по управлению настольными системами (DMTF) по расширению открытого формата виртуализации (OVF) для задания политики безопасности.

Дизайн и поддержка: Silicon Taiga

Обратиться по техническим вопросам