Бизнес-модель оплаты не за сам товар, а за услуги по его использованию становится по-настоящему массовой. Бизнес все чаще прибегает к услугах ИТ-аутсорсеров и облачных провайдеров. В результате растут риски, связанные с использованием распределенных информационных систем: внешние атаки, НСД, саботаж и ошибки персонала и т.д. В статье мы проанализируем возможные технические меры минимизации этих рисков.
2. Риски распределенного производства
3. Контроль как средство защиты
Введение
Концепция четвертой промышленной революции — революции управления данными и предоставления сервисов — постепенно захватывает умы предпринимателей. Действительно, удобнее покупать не сам продукт, например автомобиль, а услугу на его основе — доставку человека или груза из пункта А в пункт Б. В этом случае создаются широкие возможности для выбора и конкуренции: для каждой поездки можно подобрать оптимальный способ доставки и не возить стройматериалы на спортивных машинах. Такой метод предоставления услуг даже получил название «уберизации», поскольку именно компания Uber впервые применила его.
При этом и сама сборка автомобилей может быть реализована как услуга — изделия собираются под конкретный заказ на ближайшем арендном производстве сразу с учетом требований заказчика. Такой способ изготовления сложных продуктов позволяет решать проблемы поточной массовой сборки — кризисы перепроизводства. Минимум лишних действий и производства невостребованной продукции.
Основу такого способа производства составляют сложные информационные системы, которые обеспечивают интеллектуальный анализ потребностей производства, логистику необходимых компонентов и планирование собственно производства. При этом подобный распределенный способ производства продукции требует участия большого количества наемных работников, а качество исполнения заказов нужно строго контролировать, чтобы не допускать простоев. В результате все зависит от данных, хранящихся в различных информационных системах, доступ к которым нужно обеспечить большому кругу лиц — в том числе наемным и временным работникам.
Риски распределенного производства
Конечно, все информационные системы, которые управляют распределенным производством, могут быть приватными, работать из-за специально отстроенного периметра и строго контролироваться службой безопасности. Однако это идеологически не соответствует духу производства, управляемого данными. Такое производство может включать в том числе и арендованные программные системы, работающие в облаке. При этом арендованных систем может быть несколько, и располагаться они могут на серверах самых различных поставщиков услуг. Понятно, что создать единый периметр для защиты всего этого богатства будет проблематично. Поэтому и сами системы защиты для подобных случаев должны быть облачными с возможностью делегирования полномочий арендаторам или нанятым ими администраторам.
Понятно, что если данные являются основой управления распределенным производством, то без их защиты обойтись невозможно. При этом участников, которые могут повлиять на работу облачных систем, много. Это и собственные сотрудники, и нанятые специалисты, и работники операторов облачных сервисов, и любые посторонние хакеры. Каждый из них имеет собственные права на доступ к распределенным системам и поэтому может представлять свой набор угроз. Рассмотрим, какие риски существуют для информационных систем четвертой промышленной революции:
- Вмешательство в бизнес-процессы. Наиболее опасным для распределенного производства является нарушение самого процесса производства. Простои и неправильное планирование могут привести к массовым нарушениям контактов и большим потерям. Возможно даже возникновение эффекта домино, когда проблема в одном месте приводит к деградации всего производства в целом. При этом на процессы могут повлиять все — от хакеров до собственных сотрудников. Важно вовремя обнаружить вмешательство и оперативно его компенсировать, для чего нужно фиксировать все действия контрактников, протоколировать их и выявлять в них потенциально опасные. Это может защитить как от внутренних злоумышленников, так и от внешних хакеров.
- Саботаж. Одним из способов влияния на рабочий процесс является саботаж, то есть сознательный вывод из строя какой-то системы, которая является основой для распределенного производства. Затягивание сроков и некачественное выполнение обязательств по контракту также можно отнести к этому типу угроз. В этом случае важно вовремя выявить сотрудника или компанию, которые пытаются саботировать работу всей системы, и вовремя заменить на других, которые предоставляют более качественный сервис. Этот же функционал можно использовать в том числе и для оценки качества предоставляемых услуг, что полезно в случае заключения SLA-соглашения.
- Нарушение конфигурации. В сложных системах подчас возникает много скрытых взаимосвязей, которые не всегда можно оценить заранее. В результате даже внешне безобидные действия администраторов могут привести к рассинхронизации работы различных систем. При этом каждая система в отдельности может работать корректно, но в целом комплекс ведет себя не так, как задумывали его создатели. Такие проблемы могут возникать как после действий собственных сотрудников, так и после вмешательства специалистов облачного оператора или нанятых сотрудников. Важно оперативно восстановить последовательность действий всех участников процесса и постараться вернуть конфигурацию к работоспособному состоянию. Иногда полезно досконально разобраться с проблемой, чтобы в дальнейшем она не возникала вновь.
- Внешние атаки на компоненты. Поскольку облачные системы, как правило, располагаются на общедоступных ресурсах, то они могут быть выведены из строя внешними хакерами, например с помощью DDoS-атак или эксплуатации известных уязвимостей. Защититься от этого можно с помощью специальных сервисов, однако дополнительной мерой может служить сокрытие внутренней структуры информационных систем за специальными шлюзами, которые затруднят злоумышленникам поиск тех ресурсов, которые необходимо атаковать.
- Перехват идентификации. Классической атакой хакеров является авторизация в системе с учетными данными легитимных пользователей. Это можно сделать с помощью перехвата или подбора паролей, воровства cookies, MITM-атак или других ухищрений. Для защиты от воровства личности рекомендуется использовать зашифрованные соединения, двухфакторную аутентификацию и системы SSO (Single Sign-On - технология единого входа). Впрочем, два последних типа атак характерны не только для распределенных облачных сервисов, но и вообще для любых информационных систем.
Контроль как средство защиты
Если проанализировать представленные выше вектора атак, то можно отметить, что они могут блокироваться следующими механизмами: системой строгой и однократной аутентификации типа SSO, шифрованием всех коммуникаций и контролем над действиями пользователей. Все эти механизмы можно объединить в единый облачный продукт, который позволит существенно снизить риски использования распределенных облачных систем, оставляя их при этом общедоступными, гибкими и удобными. Каждый компонент защиты решает следующие задачи:
- SSO. Система однократной аутентификации позволяет скрыть от злоумышленников, как внешних, так и внутренних, идентификационные данные для доступа к конкретным приложениям. Это с одной стороны не позволяет украсть личность при доступе к приложениям, с другой — обеспечивает строгую авторизацию пользователей, работающих в системе. Даже если пароль был передан другому человеку или украден, система позволит вычислить скомпрометированные учетные записи и быстро заблокировать их. Также система SSO, как правило, может использовать самые разнообразные типы аутентификации — от простых паролей до сложных схем с применением аппаратных идентификаторов.
- Контроль действий. Система, которая позволяет записывать все действия пользователя, как правило, является шлюзом, через который подходят все коммуникации пользователей с информационными системами компании — как внутренними, так и облачными. При этом все действия записываются, что позволяет оперативно выявлять саботаж и попытки вмешательства в бизнес-процессы. Кроме того, в случае возникновения сложных проблем запись действий пользователей позволяет восстановить последовательность событий и помогает вернуть систему в работоспособное состояние. Во всех трех указанных случаях запись и SSO позволяют провести расследование, установить виновного в инциденте и применить для него организационные меры. Запись действий при использовании дополнительных механизмов выявления аномалий также позволяет установить факт воровства личности — сейчас подобные механизмы разрабатываются.
- Шифрование. Защита внутренних коммуникаций между шлюзом записи действий пользователей и функциональными системами, как внутрикорпоративными, так и облачными, позволяет скрыть от внешних злоумышленников внутреннюю структуру корпоративных приложений. Это не позволит им применить известные уязвимости в платформах или разрушить распределенную систему с помощью DDoS-атак на отдельные компоненты.
Например, компания «АйТи Бастион» предлагает решение, которое содержит все указанные компоненты. Оно называется «Система контроля действий поставщиков ИТ-услуг» (СКДПУ) и существует как в облачном исполнении, так и в виде программно-аппаратного комплекса. По самому названию понятно, что оно изначально разрабатывалась для контроля действий пользователей не только в локальной сети, но и в распределенной с использованием операторов ИТ-услуг. При этом продукт имеет все перечисленные выше функции и может быть использован в том числе и для защиты распределенных облачных приложений — он имеет и функционал SSO и контроля действий пользователей и обеспечивает защиту коммуникаций с облачными и приватными информационными системами. Кроме того, СКДПУ получил сертификат ФСТЭК России на НДВ по четвертому уровню контроля, то есть может использоваться в том числе и для защиты систем обработки персональных данных.
В частности, компания DataLine, ведущий провайдер облачных решений в России, запустила в 2015 году Cloud-152 – сервис облачного хранения персональных данных россиян на базе отказоустойчивой платформы виртуализации VMware vSphere. Конфигурации Cloud-152 позволяют размещать персональные данные любого уровня защищенности — от 4 до 1. В архитектуре community cloud, развернутого для размещения данных 4-2 уровней защищенности, используется решение СКДПУ. Данное решение аттестовано ФСТЭК России, а функционал прокси-сервера включает управление доступом и контроль действий администраторов системы. Это позволяет гарантировать защиту информационной системы от несанкционированного доступа, отслеживать действия администраторов в соответствии с уровнем допуска и организовать хранение персональных данных согласно действующему законодательству.
В принципе, сервис СКДПУ может использовать сам интегратор безопасности для предоставления клиенту сведений о проделанной работе. Практически все российские интеграторы имеют собственные ЦОДы, где могут развернуть СКДПУ и настроить его для контроля всех действий администраторов, как своих, так и компании клиента. Это позволит оперативно разбирать конфликтные ситуации и решать проблемы, попутно выясняя, кто именно допустил ошибку. Возможно, таким способом можно будет доказать, что собственные администраторы клиента имеют меньшую квалификацию и чаще ошибаются. На западе подобная практика становится нормой, а у нас пока является исключением.
Выводы
Хотя четвертая промышленная революция в России еще не случилась и вряд ли случится в ближайшее время, компании, в том числе и в России, уже развивают бизнес с прицелом на эту концепцию. Все чаще они нанимают аутсорсинговых специалистов, все чаще пользуются услугами облачных провайдеров, все чаще начинают брать деньги не за сам товар, но за услуги по его использованию. В результате потребность в средствах контроля распределенных информационных систем постепенно возрастает. И чем раньше компания начнет изучать возможности по построению подобной системы управления, тем больше у нее шансов не отстать от общемировых тенденций.
Переходу на аутсорсинговую модель бизнеса также способствует и кризис — компании выгодно сконцентрировать внимание на основных компетенциях, передавая поддерживающие службы в аутсорсинг. В результате возникает потребность в распределенной системе предоставления услуг и, соответственно, в средствах защиты подобной системы.
Следует отметить, что система контроля может пригодиться как тем, кто планирует использовать внешних наемных работников для администрирования собственных ИТ-решений, так и операторам облаков. В последнем случае контроль действий пользователей позволит разбирать конфликты с клиентами и выявлять сложные взаимосвязи между продуктами.
