Безопасность облачных вычислений

[Carder]

Введение​

Этот документ разработан, чтобы помочь группе по кибербезопасности организации, архитекторам облачных вычислений и представителям бизнеса совместно выполнять оценку рисков и безопасно использовать облачные сервисы.
Эксперты, проверяющие состояние безопасности облачной службы, предлагаемой поставщиками облачных услуг (CSP), и CSP, которые хотят предлагать безопасные облачные службы, должны обращаться к сопутствующему документу «Безопасность облачных вычислений для поставщиков облачных услуг».
Облачные вычисления, как это определено Национальным институтом стандартов и технологий США [1], предлагают организациям потенциальные преимущества, такие как улучшение результатов бизнеса.
Снижение рисков, связанных с использованием облачных сервисов, является обязанностью, разделяемой между организацией (именуемой «арендатором») и поставщиком облачных услуг, включая их субподрядчиков (именуемыми «CSP»). Однако в конечном итоге ответственность за защиту своих данных и обеспечение их конфиденциальности, целостности и доступности несут организации.
Перед использованием облачных сервисов организациям необходимо выполнить оценку рисков [2] и реализовать соответствующие меры по их снижению. Риски различаются в зависимости от таких факторов, как чувствительность и критичность данных, которые должны храниться или обрабатываться, от того, как облачный сервис реализуется и управляется, как организация намеревается использовать облачный сервис, а также от проблем, связанных с организацией своевременного обнаружения инцидентов и реагирования на них. Организациям необходимо сравнить эти риски с объективной оценкой рисков, связанных с использованием собственных компьютерных систем, которые могут быть плохо защищены, иметь недостаточную доступность или не соответствовать современным бизнес-требованиям.
Сфера применения этого документа охватывает инфраструктуру как услугу (IaaS), платформу как услугу (PaaS) и программное обеспечение как услугу (SaaS), предоставляемые CSP как часть общедоступного облака, облака сообщества и, в меньшей степени, гибридное облако или внешнее частное облако.
В этом документе основное внимание уделяется использованию облачных сервисов для хранения или обработки конфиденциальных и высокочувствительных данных. Для субъектов Содружества и для целей этого документа конфиденциальные данные определены как ОФИЦИАЛЬНЫЕ: Конфиденциальные. К особо конфиденциальным данным относятся данные, классифицированные как ЗАЩИЩЕННЫЕ. Кроме того, этот документ может помочь в снижении рисков для доступности и целостности неконфиденциальных данных, определенных для субъектов Содружества как неклассифицированные общедоступные данные. Смягчающие меры перечислены без определенного порядка приоритета.

Безопасность облачных вычислений для арендаторов​

Риск	Справка	Смягчения
Наиболее эффективные меры по снижению рисков, относящиеся ко всем типам облачных сервисов
Общая неспособность обеспечить конфиденциальность, целостность и доступность данных арендатора	1. Генеральный	Используйте облачный сервис, который был оценен по ISM на соответствующем уровне классификации, с учетом смягчения последствий в документе «Безопасность облачных вычислений для поставщиков облачных услуг».
2 - Общие	Внедрение управления безопасностью с участием высшего руководства, направляющего и координирующего действия, связанные с безопасностью, включая надежное управление изменениями [3], а также наличие технически квалифицированного персонала для выполнения определенных ролей в области безопасности.
3 - Общие	Внедрить и ежегодно тестировать план реагирования на инциденты, охватывающий разливы данных, обнаружение электронных средств, а также способы получения и анализа доказательств, например журналов с синхронизацией по времени, образов жесткого диска, снимков памяти и метаданных [4] [5].
Данные арендатора были скомпрометированы при передаче злонамеренной третьей стороной	4 - Общие	Используйте одобренные ASD средства криптографического контроля для защиты данных, передаваемых между клиентом и CSP, например TLS уровня приложений или IPsec VPN с утвержденными алгоритмами, длиной ключа и управлением ключами.
5 - Общие	Используйте одобренные ASD средства криптографического контроля для защиты данных, находящихся на хранении на носителях, при передаче почтой / курьером между арендатором и CSP при передаче данных в рамках приема на работу или за ее пределами.
Учетные данные учетной записи облачной службы клиента скомпрометированы злонамеренной третьей стороной [6] [10] [7] [8]	6 - Общие	Используйте одобренный и защищенный корпоративный компьютер, многофакторную аутентификацию, надежную парольную фразу , наименьшие права доступа и зашифрованный сетевой трафик для администрирования (и, при необходимости, доступа) облачной службы.
7 - Общие	Защитите учетные данные для аутентификации, например, избегайте раскрытия ключей аутентификации Application Programming Interface (API), размещенных на незащищенных компьютерах или в исходном коде программного обеспечения, доступном неавторизованным третьим лицам.
8 - Общие	Получайте и оперативно анализируйте подробные синхронизированные журналы и предупреждения в реальном времени для учетных записей облачных служб клиента, используемых для доступа и особенно для администрирования облачных служб.
Данные арендатора скомпрометированы злонамеренным персоналом CSP или злонамеренной третьей стороной	9 - Общие	Получайте и оперативно анализируйте подробные синхронизированные по времени журналы и предупреждения в реальном времени, создаваемые облачной службой, используемой клиентом, например, журналы операционной системы, веб-сервера и приложений.
10 - Общие	Избегайте предоставления CSP учетных данных (или возможности авторизации доступа) к конфиденциальным системам за пределами облака CSP, таким как системы в корпоративной сети клиента.
Данные клиента скомпрометированы другим вредоносным / скомпрометированным клиентом [14] [15] [16] [17] [18] [19] [20] [21] [22] [23]	11 - Общие	Используйте механизмы мультитенантности, предоставляемые CSP, например, чтобы отделить веб-приложение клиента и сетевой трафик от других клиентов, используйте виртуализацию гипервизора CSP вместо виртуального хостинга программного обеспечения веб-сервера.
Данные арендатора недоступны из-за повреждения, удаления [24] или прекращения действия учетной записи / службы CSP.	12 - Общие	Выполняйте актуальные зашифрованные резервные копии в формате, исключающем блокировку CSP, хранящемся в автономном режиме на территории клиента или на втором CSP, требующем многофакторной аутентификации для изменения / удаления данных. Ежегодно тестируйте процесс восстановления.
Данные арендатора недоступны или скомпрометированы из-за банкротства CSP или других юридических действий	13 - Общие	Сохраняйте законное право собственности на данные арендатора по договору. Выполните комплексную проверку контракта и финансовой жизнеспособности CSP в рамках оценки конфиденциальности и юридических рисков [25].
Облачная служба недоступна из-за неадекватного сетевого подключения клиента к облачной службе	14 - Общие	Реализуйте достаточно высокую пропускную способность [26] , низкую задержку, надежное сетевое соединение между клиентом (включая удаленных пользователей клиента) и облачной службой, чтобы удовлетворить требования клиента к доступности.
Облачная служба недоступна из-за ошибки CSP, планового отключения, неисправного оборудования или стихийных бедствий	15 - Общие	Используйте облачную службу, отвечающую требованиям доступности клиента. Оцените штрафы в соответствии с Соглашением об уровне обслуживания, а также количество, серьезность, новизну и прозрачность запланированных и внеплановых отключений CSP.
16 - Общие	Разрабатывать и ежегодно тестировать план аварийного восстановления и обеспечения непрерывности бизнеса для удовлетворения требований клиента к доступности, например, если это возможно для простых архитектур, временно используйте облачные сервисы от альтернативного CSP.
Финансовые последствия реального всплеска спроса или отказа в обслуживании пропускной способности / ЦП	17 - Общие	Управляйте стоимостью реального всплеска спроса или отказа в обслуживании с помощью договорных лимитов расходов, отказа в услугах по смягчению последствий и разумного использования пропускной способности инфраструктуры CSP, например ограничений на автоматическое масштабирование.
Наиболее эффективные меры по снижению рисков, особенно актуальные для IaaS
Виртуальная машина клиента (ВМ) скомпрометирована третьим злоумышленником [27]	1 - IaaS	Безопасно настраивайте, укрепляйте и обслуживайте виртуальные машины с помощью средств управления безопасностью на уровне хоста, например брандмауэра, системы предотвращения вторжений, ведения журналов, антивирусного программного обеспечения и быстрого исправления программного обеспечения, за которое отвечает клиент.
2 - IaaS	Используйте одобренный корпорацией и защищенный компьютер для администрирования виртуальных машин, которым требуется доступ с IP-адреса клиента, зашифрованного трафика и пары ключей SSH / RDP PKI, защищенных надежной парольной фразой.
3 - IaaS	Используйте только образы шаблонов виртуальных машин, предоставленные надежными источниками, чтобы избежать случайного или преднамеренного присутствия вредоносных программ и учетных записей пользователей бэкдора. Защитите образы шаблонов виртуальных машин клиента от несанкционированных изменений.
4 - IaaS	Реализуйте сетевую сегментацию и сегрегацию, например, многоуровневую архитектуру, используя межсетевые экраны на основе хоста и средства управления доступом к сети CSP, чтобы ограничить входящие и исходящие сетевые подключения виртуальных машин только необходимыми портами / протоколами.
5 - IaaS	Используйте методы безопасного программирования для программного обеспечения, разработанного арендатором [28] [29] [30].
Облачная служба недоступна из-за ошибки CSP, планового отключения, неисправного оборудования или стихийных бедствий	6 - IaaS	Создавайте архитектуру для удовлетворения требований доступности, например, минимальных единичных точек отказа, репликации данных, автоматического переключения при отказе, нескольких зон доступности, географически разделенных центров обработки данных и мониторинга доступности в реальном времени.
Облачная служба недоступна из-за реального всплеска спроса или отказа в обслуживании пропускной способности / ЦП	7 - IaaS	Если требуется высокая доступность, внедрите кластеризацию и балансировку нагрузки, сеть доставки контента для общедоступного веб-контента, автоматическое масштабирование с адекватным максимальным значением масштабирования и мониторинг доступности в реальном времени.
Наиболее эффективные меры по снижению рисков, особенно актуальные для PaaS
Веб-приложение клиента взломано третьей стороной.	1 - PaaS	Надежно настраивайте и своевременно устанавливайте исправления для всего программного обеспечения, за которое отвечает арендатор.
2 - PaaS	Используйте методы безопасного программирования для программного обеспечения, разработанного арендатором [33] [31] [32].
Облачная служба недоступна из-за ошибки CSP, планового отключения, неисправного оборудования или стихийных бедствий	3 - PaaS	Создавайте архитектуру для удовлетворения требований доступности, например, минимальных единичных точек отказа, репликации данных, автоматического переключения при отказе, нескольких зон доступности, географически разделенных центров обработки данных и мониторинга доступности в реальном времени.
Облачная служба недоступна из-за реального всплеска спроса или отказа в обслуживании пропускной способности / ЦП	4 - PaaS	Если требуется высокая доступность, внедрите кластеризацию и балансировку нагрузки , сеть доставки контента для общедоступного веб-контента, автоматическое масштабирование с адекватным максимальным значением масштабирования и мониторинг доступности в реальном времени.
Наиболее эффективные меры по снижению рисков, особенно актуальные для SaaS
Данные арендатора скомпрометированы злонамеренным персоналом CSP или злонамеренной третьей стороной	1 - SaaS	Используйте меры безопасности, характерные для облачной службы, например токенизацию для замены конфиденциальных данных неконфиденциальными данными или одобренное ASD шифрование данных (не требующее обработки) и избегайте раскрытия ключа дешифрования.
Облачная служба недоступна из-за реального всплеска спроса или отказа в обслуживании пропускной способности / ЦП	2 - SaaS	Если требуется высокая доступность, там, где это возможно и целесообразно, внедрите дополнительные облачные службы, обеспечивающие многоуровневое предотвращение отказа в обслуживании, где эти облачные службы могут предоставляться сторонними CSP.