डाटा सेंटर सूचना सुरक्षा

यह मॉस्को में स्थित NORD-2 डेटा सेंटर का निगरानी केंद्र जैसा दिखता है

सूचना सुरक्षा (आईएस) सुनिश्चित करने के लिए क्या उपाय किए जाते हैं, इसके बारे में आपने एक से अधिक बार पढ़ा है। कोई भी स्वाभिमानी आईटी व्यक्ति 5-10 आईएस नियमों को आसानी से नाम दे सकता है। Cloud4Y डेटा केंद्रों की सूचना सुरक्षा के बारे में बात करने की भी पेशकश करता है।

डेटा केंद्र सूचना सुरक्षा सुनिश्चित करते समय, सबसे "संरक्षित" ऑब्जेक्ट हैं:

• सूचना संसाधन (डेटा);
• सूचना के संग्रह, प्रसंस्करण, भंडारण और प्रसारण के लिए प्रक्रिया;
• सिस्टम उपयोगकर्ता और रखरखाव स्टाफ;
• सूचना का बुनियादी ढांचा, सूचना विनिमय चैनलों, सूचना सुरक्षा प्रणालियों और परिसरों सहित प्रसंस्करण के लिए हार्डवेयर और सॉफ्टवेयर, सूचना प्रसारित करना और प्रदर्शित करना।

डेटा सेंटर की जिम्मेदारी का क्षेत्र प्रदान की गई सेवाओं (IaaS / PaaS / SaaS) के मॉडल पर निर्भर करता है। यह कैसा दिखता है, नीचे दी गई तस्वीर देखें:


प्रदान की गई सेवाओं के मॉडल के आधार पर डेटा सेंटर सुरक्षा नीति का दायरा

सूचना सुरक्षा नीति विकसित करने का सबसे महत्वपूर्ण हिस्सा खतरों और उल्लंघनों का मॉडल तैयार करना है। डेटा सेंटर के लिए क्या खतरा बन सकता है?

1. एक प्राकृतिक, तकनीकी और सामाजिक प्रकृति की प्रतिकूल घटनाएँ
2. आतंकवादी, आपराधिक तत्व इत्यादि।
3. आपूर्तिकर्ताओं, प्रदाताओं, भागीदारों, ग्राहकों पर निर्भरता
4. विफलताओं, विफलताओं, विनाश, सॉफ्टवेयर और हार्डवेयर को नुकसान
5. डेटा केंद्र के कर्मचारियों को कानूनी रूप से उन्हें (आंतरिक आईएस उल्लंघनकर्ताओं) को दी गई अधिकारों और शक्तियों का उपयोग करके आईएस के खतरों का एहसास है
6. डेटा सेंटर के कर्मचारियों को यह अधिकार है कि उन्हें कानूनी तौर पर दिए गए अधिकारों और शक्तियों से बाहर का खतरा है, साथ ही साथ डेटा सेंटर के कर्मियों से संबंधित संस्थाएं नहीं हैं, लेकिन जो अनधिकृत पहुंच और अनधिकृत कार्यों (बाहरी आईएस उल्लंघनकर्ताओं) का प्रयास कर रहे हैं
7. पर्यवेक्षी और नियामक निकायों, लागू कानून की आवश्यकताओं के साथ गैर-अनुपालन

जोखिम विश्लेषण - संभावित खतरों की पहचान करना और उनके कार्यान्वयन के परिणामों की भयावहता का आकलन करना - डेटा केंद्र सूचना सुरक्षा विशेषज्ञों द्वारा हल किए जाने वाले प्राथमिकता कार्यों को चुनने में मदद करेगा, हार्डवेयर और सॉफ्टवेयर की खरीद के लिए बजट।

सुरक्षा एक सतत प्रक्रिया है जिसमें सूचना सुरक्षा प्रणाली के नियोजन, कार्यान्वयन और संचालन, निगरानी, ​​विश्लेषण और सुधार के चरण शामिल हैं। सूचना सुरक्षा प्रबंधन प्रणाली बनाने के लिए, तथाकथित " डेमिंग चक्र " का उपयोग किया जाता है।

सुरक्षा नीतियों का एक महत्वपूर्ण हिस्सा उनके कार्यान्वयन के लिए कर्मियों की भूमिकाओं और जिम्मेदारियों का वितरण है। विधायी परिवर्तन, नए खतरों और उभरते उपायों को ध्यान में रखने के लिए नीतियों की लगातार समीक्षा की जानी चाहिए। और, ज़ाहिर है, कर्मचारियों को सूचना सुरक्षा आवश्यकताओं को लाने और उनके प्रशिक्षण का संचालन करने के लिए।

संगठनात्मक उपाय

कुछ विशेषज्ञ "पेपर" सुरक्षा पर संदेह करते हैं, हैक करने के प्रयास का विरोध करने के लिए मुख्य व्यावहारिक कौशल पर विचार करते हैं। बैंकों में सूचना सुरक्षा सुनिश्चित करने में वास्तविक अनुभव इसके विपरीत है। सूचना सुरक्षा विशेषज्ञों को जोखिमों की पहचान करने और उन्हें कम करने में उत्कृष्ट विशेषज्ञता हो सकती है, लेकिन अगर डेटा सेंटर के कर्मचारी उनके निर्देशों का पालन नहीं करते हैं, तो सब कुछ व्यर्थ हो जाएगा।

सुरक्षा, एक नियम के रूप में, पैसा नहीं लाती है, लेकिन केवल जोखिमों को कम करती है। इसलिए, इसे अक्सर कुछ हस्तक्षेप और माध्यमिक के रूप में माना जाता है। और जब सुरक्षा विशेषज्ञ नाराज होने लगते हैं (ऐसा करने का पूरा अधिकार), तो अक्सर परिचालन इकाइयों के कर्मचारियों और प्रबंधकों के साथ टकराव पैदा होता है।

उद्योग के मानकों और नियामकों की आवश्यकताओं की उपस्थिति सुरक्षा गार्डों को प्रबंधन के साथ बातचीत में अपने पदों की रक्षा करने में मदद करती है, और अनुमोदित आईएस नीतियों, विनियमों और नियमों से हमें वहां उल्लिखित आवश्यकताओं को पूरा करने के लिए कर्मचारियों को प्राप्त करने की अनुमति मिलती है, जो अक्सर अलोकप्रिय फैसलों का आधार है।

कमरे की सुरक्षा

जब कॉलोकोलेशन मॉडल के साथ एक डेटा सेंटर प्रदान करते हैं, तो भौतिक सुरक्षा और क्लाइंट उपकरणों तक पहुंच नियंत्रण सामने आते हैं। इसके लिए, विभाजन (हॉल के फंसे हुए हिस्सों) का उपयोग किया जाता है, जो ग्राहक की वीडियो निगरानी में होते हैं और जिसके लिए डेटा सेंटर कर्मियों की पहुंच सीमित होती है।

भौतिक सुरक्षा वाले राज्य कंप्यूटर केंद्रों में, पिछली शताब्दी के अंत में, चीजें खराब नहीं थीं। एक्सेस कंट्रोल, परिसर तक पहुंच नियंत्रण, कंप्यूटरों और वीडियो कैमरों के बिना यद्यपि, आग बुझाने की प्रणाली - आग की स्थिति में, स्वचालित रूप से मशीन रूम में लॉन्च किया गया था।

आजकल, शारीरिक सुरक्षा भी बेहतर है। अभिगम नियंत्रण और प्रबंधन प्रणाली (एसीएस) बुद्धिमान हो गए हैं, बायोमेट्रिक एक्सेस प्रतिबंध विधियां पेश की जा रही हैं।

आग बुझाने की प्रणाली कर्मियों और उपकरणों के लिए सुरक्षित हो गई है, जिसके बीच इग्निशन ज़ोन पर अवरोध, अलग करने, ठंडा करने और हाइपोक्सिक प्रभाव के लिए इंस्टॉलेशन हैं। डेटा केंद्रों में अनिवार्य अग्नि सुरक्षा प्रणालियों के साथ-साथ, आकांक्षा प्रकार की एक प्रारंभिक अग्नि पहचान प्रणाली अक्सर उपयोग की जाती है।

डेटा केंद्रों को बाहरी खतरों से बचाने के लिए - आग, विस्फोट, भवन संरचनाओं के ढहने, बाढ़, संक्षारक गैसों - कमरे और सुरक्षा तिजोरी का उपयोग करना शुरू हुआ, जिसमें सर्वर उपकरण लगभग सभी बाहरी हानिकारक कारकों से सुरक्षित है।

कमजोर कड़ी - आदमी

"स्मार्ट" सीसीटीवी सिस्टम, वॉल्यूमेट्रिक ट्रैकिंग सेंसर (ध्वनिक, अवरक्त, अल्ट्रासोनिक, माइक्रोवेव), एसीएस ने जोखिम कम कर दिया, लेकिन सभी समस्याओं का समाधान नहीं किया। ये उपकरण मदद नहीं करेंगे, उदाहरण के लिए, जब लोगों को सही ढंग से किए गए उपकरण "हुक" के साथ डेटा सेंटर में सही तरीके से भर्ती कराया जाता है। और, जैसा कि अक्सर होता है, एक यादृच्छिक हुक अधिकतम समस्याएं लाएगा।

डेटा सेंटर का काम कर्मियों द्वारा संसाधनों के दुरुपयोग से प्रभावित हो सकता है, उदाहरण के लिए, अवैध खनन। डेटा सेंटर इंफ्रास्ट्रक्चर मैनेजमेंट सिस्टम (DCIM) इन मामलों में मदद कर सकता है।

कार्मिक को भी सुरक्षा की आवश्यकता होती है, क्योंकि एक व्यक्ति को अक्सर सुरक्षा प्रणाली में सबसे कमजोर कड़ी कहा जाता है। पेशेवर अपराधियों द्वारा लक्षित हमले सबसे अधिक बार सामाजिक इंजीनियरिंग विधियों के उपयोग से शुरू होते हैं। अक्सर, किसी के द्वारा क्लिक किए गए / डाउनलोड / किए जाने के बाद सबसे संरक्षित सिस्टम गिर जाते हैं या समझौता हो जाता है। इस तरह के जोखिमों को प्रशिक्षण कर्मियों द्वारा कम से कम किया जा सकता है और सूचना सुरक्षा के क्षेत्र में विश्व की सर्वोत्तम प्रथाओं को पेश किया जा सकता है।

इंजीनियरिंग के बुनियादी ढांचे की सुरक्षा

डेटा सेंटर के कामकाज के लिए पारंपरिक खतरे बिजली की विफलता और शीतलन प्रणाली की विफलताएं हैं। हम इस तरह के खतरों के आदी हो चुके हैं और उनसे निपटना सीख चुके हैं।

एक नया चलन "स्मार्ट" उपकरण, नेटवर्क: नियंत्रित यूपीएस, बुद्धिमान शीतलन और वेंटिलेशन सिस्टम, मॉनिटरिंग सिस्टम से जुड़े विभिन्न प्रकार के नियंत्रक और सेंसर का व्यापक परिचय रहा है। डेटा सेंटर के खतरे के मॉडल का निर्माण करते समय, किसी को इंफ्रास्ट्रक्चर नेटवर्क (और संभवतः इससे जुड़े डेटा सेंटर आईटी नेटवर्क पर) पर हमले की संभावना के बारे में नहीं भूलना चाहिए। स्थिति इस तथ्य से जटिल है कि किराए के भवन की छत पर उपकरण का हिस्सा (उदाहरण के लिए, चिलर्स) को डेटा सेंटर के बाहर ले जाया जा सकता है, कहते हैं।

संचार चैनल संरक्षण

यदि डेटा सेंटर न केवल कॉलोकोलेशन मॉडल के अनुसार सेवाएं प्रदान करता है, तो आपको क्लाउड सुरक्षा से निपटना होगा। चेक प्वाइंट के अनुसार, केवल पिछले वर्ष, दुनिया भर के 51% संगठनों ने क्लाउड संरचनाओं पर हमलों का सामना किया। DDoS के हमले व्यवसाय को रोकते हैं, रैंसमवेयर वायरस को फिरौती की आवश्यकता होती है, बैंकिंग सिस्टम पर लक्षित हमलों से संवाददाता खातों से धन की चोरी होती है।

डेटा केंद्रों पर सूचना सुरक्षा विशेषज्ञों के लिए बाहरी घुसपैठ के खतरे भी चिंताजनक हैं। सेवाओं के प्रावधान को रोकने के उद्देश्य से वितरित हमले, साथ ही वर्चुअल इंफ्रास्ट्रक्चर या स्टोरेज सिस्टम में निहित डेटा की हैकिंग, चोरी या परिवर्तन के खतरे डेटा सेंटरों के लिए सबसे अधिक प्रासंगिक हैं।

डेटा सेंटर की बाहरी परिधि की सुरक्षा के लिए, दुर्भावनापूर्ण कोड का पता लगाने और बेअसर करने के कार्यों के साथ आधुनिक सिस्टम, अनुप्रयोगों की निगरानी और सक्रिय रक्षा तकनीक थ्रेट इंटेलिजेंस को आयात करने की क्षमता। कुछ मामलों में, IPS (घुसपैठ की रोकथाम) कार्यक्षमता वाले सिस्टम को संरक्षित वातावरण के मापदंडों पर सेट किए गए हस्ताक्षर के स्वचालित समायोजन के साथ तैनात करते हैं।

DDoS के हमलों से बचाने के लिए, रूसी कंपनियां, एक नियम के रूप में, बाहरी विशेष सेवाओं का उपयोग करती हैं जो ट्रैफ़िक को अन्य नोड्स में ले जाती हैं और इसे क्लाउड में फ़िल्टर करती हैं। ग्राहक पक्ष की तुलना में ऑपरेटर पक्ष पर सुरक्षा बहुत अधिक प्रभावी है, और डेटा केंद्र सेवाओं की बिक्री के लिए मध्यस्थ के रूप में कार्य करते हैं।

डेटा केंद्रों में आंतरिक DDoS हमले भी संभव हैं: एक हमलावर एक कंपनी के कमजोर संरक्षित सर्वर में प्रवेश करता है, जो अपने उपकरणों को कॉलोकोलेशन मॉडल का उपयोग करके होस्ट करता है, और उनमें से एक आंतरिक नेटवर्क के माध्यम से इस डेटा सेंटर के अन्य ग्राहकों के खिलाफ सेवा हमले से इनकार करता है।

आभासी वातावरण पर ध्यान दें

संरक्षित ऑब्जेक्ट की बारीकियों को ध्यान में रखना आवश्यक है - वर्चुअलाइजेशन का उपयोग, आईटी इन्फ्रास्ट्रक्चर को बदलने की गतिशीलता, सेवाओं की परस्पर संबद्धता, जब एक ग्राहक पर एक सफल हमले से पड़ोसियों की सुरक्षा को खतरा हो सकता है। उदाहरण के लिए, कुबेरनेट्स-आधारित PaS में काम करते समय एक फ्रंटेंड डॉकटर को हैक करके, एक हमलावर तुरंत सभी पासवर्ड की जानकारी प्राप्त कर सकता है और यहां तक ​​कि ऑर्केस्ट्रेशन सिस्टम तक पहुंच सकता है।

सेवा मॉडल द्वारा प्रदान किए गए उत्पादों में स्वचालन की एक उच्च डिग्री है। व्यापार में हस्तक्षेप न करने के लिए, स्वचालन और क्षैतिज स्केलिंग की कोई कम डिग्री में सूचना सुरक्षा उपकरण नहीं लगाए जाने चाहिए। पहुँच नियंत्रण के स्वचालन और पहुँच कुंजी के रोटेशन सहित सूचना सुरक्षा के सभी स्तरों पर स्केलिंग प्रदान की जानी चाहिए। एक विशेष चुनौती कार्यात्मक मॉड्यूल की स्केलिंग है जो नेटवर्क ट्रैफ़िक का निरीक्षण करती है।

उदाहरण के लिए, अनुप्रयोग में नेटवर्क ट्रैफ़िक को फ़िल्टर करना, वर्चुअलाइज़ेशन के उच्च स्तर वाले डेटा केंद्रों में नेटवर्क और सत्र स्तरों को हाइपरविज़र के नेटवर्क मॉड्यूल (उदाहरण के लिए, वीएमवेयर के वितरित फ़ायरवॉल) या सर्विस चेन (पालो ऑल्टो नेटवर्क से वर्चुअल फ़ायरवॉल) बनाकर प्रदर्शन किया जाना चाहिए।

यदि कंप्यूटिंग संसाधनों के वर्चुअलाइजेशन के स्तर में कमजोरियां हैं, तो प्लेटफॉर्म स्तर पर एक एकीकृत सूचना सुरक्षा प्रणाली बनाने के प्रयास अप्रभावी होंगे।

डेटा सेंटर में डेटा सुरक्षा स्तर

सुरक्षा के लिए सामान्य दृष्टिकोण एकीकृत, बहु-स्तरीय आईएस सुरक्षा प्रणालियों का उपयोग है, जिसमें फ़ायरवॉल स्तर पर मैक्रो विभाजन (व्यवसाय के विभिन्न कार्यात्मक क्षेत्रों के लिए विभाजन), वर्चुअल फायरवॉल पर आधारित माइक्रो विभाजन या पहुंच नीतियों द्वारा परिभाषित समूहों (उपयोगकर्ता भूमिकाओं या सेवाओं) के ट्रैफ़िक लेबल के साथ अंकन शामिल है। ।

अगला स्तर खंडों के भीतर और भीतर की विसंगतियों की पहचान है। ट्रैफ़िक की गतिशीलता का विश्लेषण किया जाता है, जो दुर्भावनापूर्ण गतिविधियों की उपस्थिति का संकेत दे सकता है, जैसे कि नेटवर्क स्कैनिंग, DDoS हमले, डेटा डाउनलोड करना, उदाहरण के लिए, डेटाबेस फ़ाइलों को स्लाइस करके और लंबे समय के अंतराल पर सत्र प्रदर्शित करके उन्हें समय-समय पर आउटपुट करना। ट्रैफ़िक के विशाल मात्रा डेटा सेंटर के अंदर से गुजरते हैं, इसलिए विसंगतियों की पहचान करने के लिए आपको उन्नत खोज एल्गोरिदम का उपयोग करने की आवश्यकता होती है, और बैच विश्लेषण के बिना। यह महत्वपूर्ण है कि न केवल दुर्भावनापूर्ण और असामान्य गतिविधि के संकेतों को मान्यता दी जाती है, बल्कि यह भी कि यह बिना डिक्रिप्ट किए हुए एन्क्रिप्टेड ट्रैफ़िक में भी मैलवेयर काम करता है, जैसा कि सिस्को समाधान (स्टेलवॉच) में प्रस्तावित है।

अंतिम सीमा स्थानीय नेटवर्क पर टर्मिनल उपकरणों की सुरक्षा है: सर्वर और वर्चुअल मशीन, उदाहरण के लिए, टर्मिनल डिवाइस (वर्चुअल मशीन) पर स्थापित एजेंटों का उपयोग करके जो I / O का विश्लेषण करते हैं, हटाते हैं, कॉपी करते हैं, और नेटवर्क गतिविधियों को क्लाउड पर डेटा स्थानांतरित करते हैं, जहां गणना की आवश्यकता होती है जिसमें बड़ी कंप्यूटिंग शक्ति की आवश्यकता होती है। वहां, बिग डेटा एल्गोरिदम का उपयोग करके एक विश्लेषण किया जाता है, मशीन लॉजिक के पेड़ बनाए जाते हैं, और विसंगतियों का पता लगाया जाता है। एल्गोरिदम वैश्विक सेंसर द्वारा आपूर्ति किए गए डेटा की एक बड़ी मात्रा के आधार पर स्वयं-सीखते हैं।

आप एजेंटों को स्थापित किए बिना कर सकते हैं। सूचना संरक्षण के आधुनिक साधन एजेंट रहित होने चाहिए और हाइपरविजर स्तर पर ऑपरेटिंग सिस्टम में एकीकृत होने चाहिए।
ये उपाय सूचना सुरक्षा जोखिमों को काफी कम कर देते हैं, लेकिन यह उन डेटा केंद्रों के लिए पर्याप्त नहीं हो सकता है, जो बढ़े हुए खतरे की उत्पादन प्रक्रियाओं का स्वचालन प्रदान करते हैं, उदाहरण के लिए, परमाणु ऊर्जा संयंत्र।

विनियामक आवश्यकताएँ

संसाधित की जा रही जानकारी के आधार पर, डेटा सेंटर के भौतिक और वर्चुअलाइज्ड इन्फ्रास्ट्रक्चर को कानूनों और उद्योग मानकों में तैयार विभिन्न सुरक्षा आवश्यकताओं को पूरा करना चाहिए।

इन कानूनों में "व्यक्तिगत डेटा पर कानून" (152-“) और कानून" आरएफ केआईआई आरएफ की वस्तुओं की सुरक्षा पर "(187-that) शामिल हैं जो इस वर्ष लागू हुए - अभियोजक के कार्यालय पहले से ही इसके कार्यान्वयन की प्रगति में रुचि रखते हैं। KII विषयों के लिए डेटा केंद्रों से संबंधित विवाद अभी भी जारी हैं, लेकिन सबसे अधिक संभावना है, KII विषयों को सेवाएं प्रदान करने के इच्छुक डेटा केंद्रों को नए कानून की आवश्यकताओं को पूरा करना होगा।

राज्य सूचना प्रणालियों की मेजबानी करने वाले डेटा केंद्रों के लिए यह आसान नहीं होगा। रूसी संघ की सरकार की डिक्री के अनुसार दिनांक ११.०५.२०१ 55 नंबर ५५५, जीआईएस को वाणिज्यिक परिचालन में डालने से पहले सूचना सुरक्षा मुद्दों को हल किया जाना चाहिए। और एक डेटा सेंटर जो जीआईएस की मेजबानी करना चाहता है, उसे पहले से नियामकों की आवश्यकताओं को पूरा करना चाहिए।

पिछले 30 वर्षों में, डेटा सेंटर सुरक्षा प्रणालियों ने एक लंबा सफर तय किया है: सरल शारीरिक सुरक्षा प्रणालियों और संगठनात्मक उपायों से, जो कि, अपनी बुद्धिमानी को जटिल बुद्धिमान प्रणालियों के लिए खो दिया है जो कृत्रिम बुद्धि के तत्वों का तेजी से उपयोग करते हैं। लेकिन दृष्टिकोण का सार नहीं बदला है। सबसे आधुनिक प्रौद्योगिकियां संगठनात्मक उपायों और कर्मचारियों के प्रशिक्षण के बिना नहीं बचाएंगी, और कागज - बिना सॉफ्टवेयर और तकनीकी समाधान के। डेटा सेंटर की सुरक्षा को एक बार और सभी के लिए सुनिश्चित नहीं किया जा सकता है, यह प्राथमिकता के खतरों और उभरती समस्याओं के व्यापक समाधान की पहचान करने के लिए एक निरंतर दैनिक कार्य है।

Cloud4Y ब्लॉग पर पढ़ने के लिए और क्या उपयोगी है

→ GNU / Linux में शीर्ष विन्यास
→ साइबरसिटी में सबसे आगे पेंटेस्टर्स
→ एक शानदार विचार से वैज्ञानिक उद्योग के लिए कृत्रिम बुद्धि का मार्ग
→ बादल में बैकअप पर बचाने के लिए 4 तरीके
→ मठ की कहानी

हमारे टेलीग्राम चैनल को सब्सक्राइब करें ताकि कोई और आर्टिकल याद न हो! हम सप्ताह में दो बार से अधिक और केवल व्यापार पर नहीं लिखते हैं। हम आपको यह भी याद दिलाते हैं कि आप Cloud4Y क्लाउड सॉल्यूशंस को मुफ्त में टेस्ट कर सकते हैं।