Шифрование данных в публичном облаке — контроль и спокойный сон заказчика

Infrastructure As a Service
Корпоративная безопасность – шифрование данных в облаках под контролем заказчика

В современном мире все больше компаний рассматривают процесс перехода в облако, и многих останавливает от выбора такого пути единственный вопрос – вопрос защищенности данных. Причем источником такого рода опасений являются как представители бизнеса, так и отделы безопасности, традиционно подозрительно относящиеся ко всему новому, особенно если это связано со снижением контроля либо увеличением списка допущенных к данным лиц.

При этом конкретные задачи, которые ставятся перед сервис провайдером – это обеспечение защиты данных заказчика от доступа любых не авторизованных лиц, будь то сотрудники самого сервис-провайдера, либо любые третьи стороны, доступ которых к данным заказчик считает нежелательным.

В качестве решения этой задачи очевидным образом видится шифрование всех данных, расположенных в облаке, однако, как реализовать такое шифрование, когда традиционные решения являются или не поддерживаемыми в виртуальной среде (как например bitlocker для загрузочных дисков) или вообще не поддерживаемыми (как например бесплатный truecrypt), а самое главное – создают огромный management overhead для обеспечения их работоспособности.

Однако, немногие знают, что существуют корпоративные решения данной задачи, которые сочетают высокую степень защиты с удобством управления и использования.

В качестве решения для обеспечения шифрования данных в облаке мы предлагаем использование продукта SecureCloud компании Trend Micro, компании с мировым именем, основным профилем деятельности которой является корпоративная безопасность.

Данное решение обеспечивает управляемое шифрование данных заказчиков, расположенных в публичных облаках и совместимо с большинством предлагаемых типов публичных облаков, в т.ч. облаками VMware vCloud, которые мы используем. Также, данное решение совместимо с большинством операционных систем, которые могут использоваться в виртуальных машинах.

Решение предоставляется непосредственно компанией TrendMicro по модели SaaS, что позволяет с одной стороны, сохранить удобство для заказчика облачного подхода к IT-сервисам, с моделью биллинга «по подписке», отсутствием потребностей к созданию и поддержке собственных серверов, а для такого бизнес-критичного решения, и обеспечению их высокой доступности, и с другой стороны, оставляет управление ключами шифрования и доступом к данным вне контроля сервис-провайдера.

Модель использования решения предполагает, что диски виртуальных машин зашифровываются с использованием ключей шифрования, которые хранятся в системе SecureCloud. Через систему SecureCloud инициируются процессы начального шифрования либо расшифровывания защищаемых дисков. При попытке доступа к данным происходит обращение к системе SecureCloud, в результате которого, в зависимости от определенных системой политик, происходит либо автоматическая разовая выдача ключа шифрования для расшифровки данных (например, для загрузки ОС), либо выдача ключа только после одобрения администратора.

Для использования в облачной среде важно, что возможность применения политик автоматической выдачи ключа позволяют, с одной стороны, повысить доступность сервисов исключив время реакции администратора клиента из процессов перезагрузки машины, например, в случае сбоев оборудования и срабатывания автоматической перезагрузки машин на других серверах, в случаях проведения согласованных плановых работ, связанных с перезагрузкой машин в окна обслуживания, при этом сохраняя невозможность получения ключа каким-либо ПО, кроме непосредственно защищаемой ОС, либо вне заданных условий функционирования, невозможность доступа к offline копиям данных и возможность в любой момент прекратить автоматическую выдачу ключей.

В данной статье мы не будем углубляться в исследование используемых механизмов шифрования, их криптостойкости и т.п. и поднимать hollywar-ы такой тематики. Фактически, все современные решения по шифрованию данных удовлетворяют потребностям типичных клиентов облачных провайдеров, а основной задачей самой системы защиты является ограничение не целевого использования данных, а не противостояние попыткам расшифровки государственных тайн иностранными спецслужбами. Более подробную информацию по деталям используемых технологий можно изучить в Internet. Основные моменты, которым мы уделим внимание – это механизмы управления и интеграции в существующие системы и процессы.

Архитектурно решение состоит из системы управления, предоставляемой как сервис с доступом через консоль управления и агентов, установленных на защищаемых виртуальных машинах. Консоль управления SecureCloud доступна по web по адресу console.securecloud.com/ и выглядит типично для большинства web консолей, а агент доступен для загрузки с сайта компании trendmicro.
Первично для использования сервиса создаются учетные записи пользователей, которые будут управлять шифрованием и допуском к зашифрованным данным (в т.ч. политиками доступа и запросами на доступ).

Создание учетных записей пользователей

Также SecureCloud можно подключить к инсталляции DeepSecurity для обеспечения проверки защищенности машины от вирусов перед принятием решения о выдаче ключа:

Подключение к инсталляции DeepSecurity

Для начала использования системы необходимо установить на виртуальную машину агент и подключить его к системе управления. При этом при использовании заданного в настройках системы управления ключа виртуальная машина будет автоматически добавлена в Inventory:

Виртуальная машина автоматически добавлена в Inventory

Также, можно инициировать начальное шифрование данных (можно сделать это в дальнейшем через консоль управления):

Инициация начального шифрования данных

После конфигурации соответствующая запись становится доступной через консоль управления, прогресс шифрования также отражается в консоли:

Прогресс шифрования отражается в консоли

При необходимости, ключи можно экспортировать для безопасного сохранения на резервном носителе и импортировать.

После окончания процесса данные на дисках оказываются полностью зашифрованными, с ключом, сохраненном только в системе SecureCloud и оперативной памяти ОС виртуальной машины. Для управления процессом доступа к ключам используются политики, которые позволяют определить условия, при которых происходит автоматическая или ручная выдача, или отзыв ключа шифрования. В качестве условий кроме общих, таких как например ip адреса клиента, могут использоваться параметры антивируса TrendMicro:

Использование параметров антивируса TrendMicro

В качестве возможный действий по запросу – ручное или автоматическое одобрение либо отказ в выдаче ключа

Варианты возможных действий по запросу

Также, есть возможность включение периодической проверки соответствия машины условиям, указанным в политике, с применением заданных действий в случае изменения условий.

При загрузке зашифрованной машины, перед ОС происходит загрузка агента, который, устанавливая безопасное соединение с системой SecureCloud, производит запрос ключа для доступа к данным:

Запрос ключа для доступа к данным

Далее, в зависимости от установленных политик, происходит либо автоматическая выдача ключа, либо в системе SecureCloud появляется запрос на ключ, требующий ручной реакции:

Варианты зависят от установленных политик

После одобрения ключа загрузка системы продолжается.

Для обеспечения оперативного реагирования, система SecureCloud поддерживает гибкий механизм нотификаций о событиях, требующих реакции:

Для обеспечения оперативного реагирования, система SecureCloud поддерживает гибкий механизм нотификаций о событиях, требующих реакции

Вся информация о событиях и действиях, совершенных в системе как вручную, так и автоматически, доступна для просмотра через систему логгирования либо для создания регулярных отчетов.

Простота запуска и использования и, одновременно, высокий уровень контроля и безопасности, на наш взгляд, делают данную систему предпочтительной для использования компаниями, с одной стороны заинтересованными в защите своих данных от несанкционированного доступа любого рода, и с другой стороны, заинтересованными в удобстве и бизнес-эффективности применения облачных сервисов в качестве замены или для расширения собственной ИТ инфраструктуры.

Комментарии (0)


Добавление комментариев доступно только зарегистрированным пользователям. Используйте свою существующую учетную запись для авторизации. Если у Вас еще нет учетной записи на сайте ее можно создать пройдя несложную процедуру регистрации. Кстати, для входа на сайт, наравне с учетной записью на cloudzone.ru, можно использовать аккаунт из следующих популярных сервисов: Яндекс, Facebook, Google и LinkedIn