Решения для обеспечения безопасности центров обработки данных

Обзор решения ЦЕНТРЫ ОБРАБОТКИ ДАННЫХ CISCO ДЛЯ ПРЕДПРИЯТИЙ: РЕШЕНИЯ ДЛЯ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ЦЕНТРОВ ОБРАБОТКИ ДАННЫХ Интегрированный подход к обеспечению безопасности консолидированных центров обработки данных на всех уровнях КРАТКОЕ СОДЕРЖАНИЕ Центры обработки данных (ЦОД) привлекают внимание многих злоумышленников. Центр обработки данных, не имеющий надлежащей защиты, является объектами атак со стороны взломщиков и проникновения Интернет-червей, которые могут внести хаос в работу центра и причинить значительный материальный ущерб.

К сожалению, при быстром внедрении центров обработки данных в период экономического бума 1990-х годов вопросам обеспечения их безопасности уделялось недостаточно внимания, и построенные в то время многочисленные "островки" приложений и хранилищ чаще всего уязвимы для атак и взлома. Частично, высокая скорость распространения Интернет-червей и вирусов обусловлена и тем фактом, что в центрах обработки данных по всему миру используются недостаточные или неадекватные технологии и процедуры обеспечения безопасности.

ЗАДАЧИ Администраторы, занимающиеся консолидацией ресурсов центров обработки данных для повышения эффективности работы центров, должны учитывать влияние, оказываемое вносимыми изменениями, на безопасность. Cisco предлагает интегрированную стратегию обеспечения безопасности центра обработки данных на всех уровнях, позволяющую администраторам разделять центры обработки данных на "зоны" безопасности, в которых для каждого приложения применяются соответствующие политики безопасности, тем самым, ограничивая проникновение вирусов или Интернет- червей, которые могут нарушать систему безопасности.

В этой стратегии используются преимущества, предлагаемые архитектурой Business Ready Data Center ("Центр обработки данных для предприятий") и средства обеспечения безопасности, которые интегрированы в сетевые решения Cisco В соответствии с основными задачами управления предприятием, среди которых можно выделить обеспечение безопасности работы, оптимизацию бизнес-процессов и расширение сферы деятельности, многие ИТ-организации стремятся консолидировать ресурсы центров обработки данных: серверы, хранилища данных, сети и приложения.

При проведении такой консолидации сотрудники ИТ-отделов и сетевые администраторы должны учитывать влияние вносимых изменений на средства обеспечения безопасности и на отказоустойчивость приложений. Раньше при обеспечении безопасности администраторы полагались на физическую изоляцию приложений или на средства обеспечения безопасности периметра. Сегодня эти меры уже не способны защитить ресурсы и приложения от атак, которые постоянно становятся все более изощренными и опасными. Любой начинающий злоумышленник может загрузить средства для взлома с одного из многочисленных web-сайтов, воспользоваться загруженной программой и нанести серьезный ущерб слабо защищенному центру обработки данных.

Способы нападения совершенствуются быстрее, чем когда-либо. Сегодня ущерб, нанесенный всего за несколько секунд, может превышать ущерб, который пять лет назад мог бы быть нанесен только за несколько дней. На распространение по всему миру червей Slammer, Blaster и MyDoom потребовалось несколько минут. Теперь понятно, что центрам обработки данных нужна такая защита, которая обеспечивала бы предотвращение успешной реализации совершенно новых атак, в которых используются пока неизвестные широкому кругу специалистов уязвимости (так называемые, атаки типа "0 day").

Угрозы изнутри предприятия могут характеризоваться даже более разрушительными последствиями, так как в этом случае злоумышленникам доступна подробная информация об организации, и они могут непреднамеренно или умышленно нанести предприятию серьезный материальный ущерб. В число злоумышленников могут входить сотрудники предприятия, временные работники и консультанты. Для обеспечения надежной защиты приложений администраторам ЦОД следует использовать современные технологии, позволяющие предоставлять пользователям доступ только к тем ресурсами, которые действительно необходимы для выполнения должностных обязанностей.

Важно, чтобы специалисты по обеспечению безопасности и сетевые администраторы сообща прорабатывали конкретные уязвимости и угрозы нарушения безопасности ресурсов ЦОД, только так они смогут разработать надежную архитектуру обеспечения сетевой безопасности. Уязвимости и угрозы могут усложнять доступ пользователей к критически важным приложениям, нарушать работу приложений либо приводить к раскрытию конфиденциальной или ценной информации. Среди сетевых угроз можно выделить следующие:

● Атаки на критически важные приложения, сервера приложений, базы данных, сервера баз данных и ресурсы хранилища данных, с использованием переполнения буфера приложений, вредоносных червей, вирусов и методов несанкционированного получения прав администратора. ● Использование уязвимостей, вызванных ошибками в конфигурации систем и использованием некорректного или устаревшего программного обеспечения. Предотвращение таких атак – это трудоемкий процесс, заставляющий ИТ-менеджеров тратить большое количество времени на установку обновлений операционной системы и приложений, что может приводить к перебоям в работе системы и снижению производительности работы предприятия.

© Cisco Systems, Inc., 1992–2006 г.г. С сохранением всех прав. Стр. 1 из 10

Стр. 1

Обзор решения ● Несанкционированное получение прав администратора при проведении атак на элементы и устройства сети, например, на маршрутизаторы, коммутаторы и межсетевые экраны. ● Угрозы нарушения безопасности сетевой инфраструктуры с помощью распределенных атак типа "отказ в обслуживании" (например, атак типа "syn flood"). ЦЕНТР ОБРАБОТКИ ДАННЫХ CISCO ДЛЯ ПРЕДПРИЯТИЙ Концепция ЦОД Cisco для предприятий представляет единую архитектуру, обеспечивающую решение первоочередных задач ЦОД: выполнение консолидации ресурсов, обеспечение непрерывности работы и обеспечения безопасности деятельности предприятия.

При этом предусмотрено использование новые технологий сервис-ориентированной сетевой архитектуры (SONA) и предоставления вычислительных ресурсов как сервиса (utility computing): использование блейд серверов, обеспечение виртуализации, активное использование Web-сервисов и механизмов распределенных вычислений (GRID). Такая архитектура ЦОД, предложенная мировым лидером в области сетевых технологий – компанией Cisco, предоставляет сетевым администраторам всеобъемлющие стратегии обеспечения безопасности на всех уровнях и решения, позволяющие предотвращать сетевые атаки на ЦОД или ограничивать их распространение.

Центр обработки данных Cisco для предприятий, построенный на базе интеллектуальной сети, готов к борьбе с прямыми угрозами нарушения безопасности, кроме того, предусмотрены возможности перехода на современные сетевые системы, такие как самозащищающаяся сеть. В помощь ИТ-администраторам, занимающимся внедрением этой архитектуры, Cisco предлагает испытанные и проверенные эталонные архитектуры, проверенные принципы проектирования, а также стандартные шаблоны конфигурации и шаблоны, оптимизированные с учетом использования решений партнеров Cisco, что позволяет снизить риск, уменьшить временные и финансовые затраты.

Гибкость архитектуры Cisco дает предприятию возможность внедрять те технологии коммутации, хранения данных и программного обеспечения, которые наилучшим образом соответствуют целям предприятия и предоставляют возможности по внедрению новых сервисов и приложений с большей эффективностью. Внедряя решение на базе адаптивной архитектуры сети ЦОД , ИТ-организации получают превосходный задел для решения задач управления предприятием, среди которых можно выделить обеспечение безопасности работы, оптимизацию бизнес-процессов и расширение сферы деятельности.

Архитектура ЦОД Cisco для предприятий предлагает средства для защиты важных приложений и конфиденциальных данных, позволяет повысить эффективность работы центра обработки данных и быстро создавать новые безопасные среды для работы приложений, обеспечивающих поддержку новых производственных процессов. Используя отказоустойчивый эффективный ЦОД на базе адаптивной сети, предприятия могут перераспределять свои ресурсы, выделенные на развитие организации, адекватно реагируя на действия конкурентов, расширяя рынок своих сервисов, а также ускорения процесс разработки новых сервисов. В архитектуре ЦОД Cisco для предприятий предусмотрены три уровня (см. рис. 1):

● УРОВЕНЬ БАЗОВОЙ ИНФРАСТРУКТУРЫ включает инфраструктуру IP-сети, современные средства хранения данных и обеспечения доступа к ЦОД. ● УРОВЕНЬ ИНТЕЛЛЕКТУАЛЬНЫХ СЕТЕВЫХ МЕХАНИЗМОВ включает средства обеспечения безопасности, оптимизации доставки данных, управления, а также обеспечения доступности. ● УРОВЕНЬ ВСТРОЕННЫХ ПРИЛОЖЕНИЙ И СЕРВИСОВ ХРАНЕНИЯ включает средства виртуализации хранилища, тиражирования и распространения данных, а также расширенные сервисы приложений. © Cisco Systems, Inc., 1992–2006 г.г. С сохранением всех прав. Стр. 2 из 10

Стр. 2

Обзор решения Рисунок 1. И нтегр ация средств безопасности в архитектуру ЦОД предприятия Стратегии Cisco по обеспечению безопасности ЦОД разработаны с учетом того факта, что обеспечение безопасности является непрерывным процессом, который должен быть интегрирован с работой ЦОД, понятен сообществу пользователей и принят им, а также встроен в культуру производства и способ ведения деятельности, принятые в организации. В эффективных стратегиях обеспечения безопасности используется концепция "обеспечения безопасности на всех уровнях" с учетом различных уровней и введением дополнительных функций, что позволяет снизить риск нарушения безопасности в масштабе всего ЦОД.

МНОГОУРОВНЕВАЯ СТРАТЕГИЯ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ЦОД Любая стратегия обеспечения безопасности начинается с выбора политики безопасности, в которой учитываются требования производственного процесса и задачи обеспечения безопасности, а также определяются процессы и средства для решения этих задач. Одна из составляющих такой политики безопасности должна учитывать специфические требования к обеспечению безопасности ЦОД, особенности приложений ЦОД, а также описывать процедуру аутентификации групп пользователей и правила разграничения доступа для каждого приложения.

Эффективная политика безопасности может быть создана только в результате сотрудничества всех сторон, заинтересованных в работе ЦОД, т.е. команд менеджеров ЦОД, совета директоров, а также групп пользователей во всех подразделениях организации. Политика задает архитектуру безопасности, процессы управления, а также технологии, позволяющие реализовать внедрение и обеспечение выполнения политики безопасности, причем такая политика не является установленной раз и навсегда без возможности модификации. Корректное введение политики безопасности подразумевает регулярное уточнение и доработку политики при изменении ситуации в сфере безопасности.

Оценка текущей ситуации в области обеспечения безопасности может помочь выявить конкретные уязвимости и риски в существующей системе, а также дать рекомендации относительно того, как их уменьшить. Эти рекомендации следует включить в политику безопасности и неуклонно обеспечивать их выполнение. Сеть является средством, которое обеспечивает взаимодействие приложений и пользователей, на этом основании она является важным компонентом системы обеспечения безопасности. Сеть должна обеспечивать защиту системы на первом рубеже и дополнять средства обеспечения безопасности, предусмотренные на уровне операционной системы и на уровне приложений.

Сеть используется для обеспечения безопасной рабочей среды не только на периметре, но также в зонах безопасности в самом ЦОД. Разделение сети на виртуальные сегменты позволяет администраторам безопасности эффективно консолидировать ресурсы и обеспечивать разграничение доступа пользователей приложениям. Безопасность обмена данными в рамках всего центра обработки данных Cisco для предприятий, его производительность и надежность функционирования средств управления обеспечиваются за счет © Cisco Systems, Inc., 1992–2006 г.г. С сохранением всех прав. Стр. 3 из 10

Стр. 3

Обзор решения интеграции средств обеспечения безопасности непосредственно в инфраструктуру сети. Для достижения поставленной цели используются расширенные возможности интегрированных средств обеспечения безопасности коммутаторов Cisco Catalyst® и платформ для построения интеллектуальных сетевых хранилищ данных Cisco MDS. Интегрированные программные модули для обеспечения безопасности и сервисные модули коммутаторов Cisco Catalyst серии 6500 позволяют реализовывать на их базе межсетевой экран и систему обнаружения вторжений, выполнять обмен данными по протоколу SSL и предоставлять сервисы IPSec VPN с высоким уровнем производительности.

Это необходимо для сетей ЦОД, которые предъявляют повышенные требованиями к пропускной способности сети. В сети хранения данных коммутатор класса "директор" Cisco MDS 9000 Series предлагает сервисы организации виртуальных сетей хранения данных (VSAN) и расширенные сервисы безопасности. Для дополнения этих интегрированных средств обеспечения безопасности могут использоваться разнообразные технологии обеспечения безопасности, которые можно разбить на следующие категории: ● Защита от угроз.

Технологии предназначены для отслеживания подозрительного поведения сетевых объектов; примерами могут послужить межсетевые экраны и системы обнаружения/предотвращения вторжений (IDS/IPS); ● Управление доверительными отношениями и проведение идентификации. Технологии предназначены для предоставления или предотвращения доступа к сервисам со стороны устройств и пользователей и действуют на основании политик; примерами могут послужить серверы контроля доступа RADIUS; ● Обеспечение безопасного взаимодействия . Технологии предназначены для обеспечения конфиденциальности каналов передачи информации; примером может послужить виртуальная частная сеть, в которой используются средства шифрования.

Более подробную информацию об этих решениях см. в параграфе " Решения Cisco для обеспечения безопасности " ниже. ПРЕИМУЩЕСТВА ДЛЯ ПРЕДПРИЯТИЯ Стратегия Cisco по обеспечению безопасности ЦОД предоставляет предприятиям следующие преимущества: ● Защита на всех уровнях. Снижает известные и неизвестные риски и предотвращает реализацию угроз на многих уровнях; ● Безопасная консолидация. Разделение консолидированной инфраструктуры на зоны безопасности позволяет ограничить зону распространения сетевой атаки и позволяет использовать развитые средства контроля и разграничения доступа; ● Снижение риска успешного проведения атак на "неизвестные уязвимости" (0-day) .

Обеспечивает путем обнаружения и блокирования подозрительного поведения объектов сети; ● Повышение степени целостности сервисов. Средства обеспечения целостности информации выполняют защиту и проверку правильности конфиденциальных данных на серверах и в системах хранения данных; ● Более простые средства управления, меньшая стоимость владения . Средства централизованного управления позволяют автоматизировать процессы конфигурирования и мониторинга, эффективно выполнять внедрение новых технологий, а также обеспечивать выполнение политик безопасности в пределах всего центра обработки данных; ● Гибкость. Быстрая адаптация к новым угрозам; ● Снижение капиталовложений.

Достигается за счет консолидации и виртуализации функций обеспечения безопасности на меньшем количестве физических устройств. АРХИТЕКТУРА БЕЗОПАСНОСТИ Для обеспечения безопасности ЦОД необходимо, чтобы представителя высшего руководящего звена провели экономическую оценку задач обеспечения безопасности и выделили набор приоритетных задач. Располагая четко сформулированной политикой безопасности, администраторы безопасности совместно с администраторами ЦОД и сетевыми администраторами смогут разработать архитектуру безопасности, обеспечивающую надежную защиту консолидированного ЦОД.

Для разработки оптимальной архитектуры ЦОД с интегрированными сервисными модулями для обеспечения безопасности Cisco рекомендует администраторам ЦОД реализовать специальный уровень "сервисов", функционирующий между уровнями доступа и опорной сети. Такой подход позволяет обеспечить наиболее эффективную и производительную работу распределенных сервисов обеспечения безопасности. © Cisco Systems, Inc., 1992–2006 г.г. С сохранением всех прав. Стр. 4 из 10

Стр. 4