Введите электронную почту или логин вашего аккаунта, вам будет выслана ссылка для восстановления пароля.

Данный пользователь не зарегистрирован на сайте
Введите код: капча  Обновить Неверный ввод

Вообразим ситуацию: конкуренты планируют атаку на серверы крупного агрегатора авиабилетов. Задача минимум — нарушить деятельность компании накануне сезона отпусков. Задача максимум — скопировать всю ценную для бизнеса информацию. Давайте подумаем, какие шаги может предпринять злоумышленник и как от них защититься?

 

Сразу условимся: просто так попасть в  здание ЦОДа не получится. Допустим, что на объекте имеется круглосуточная охрана, по периметру размещены круглосуточные камеры видео-наблюдения и датчики движения. Для контроля и авторизации персонала и  посетителей используются шлюзовая комната и  автоматизированная система контроля доступа на основе магнитных ключей, а  в  отдельных случаях  — даже отпечатков пальцев. В  общем, решить дело с  наскока не выйдет — придется действовать более тонко…

 

SCADA под ударом

Первым уязвимым узлом может стать система диспетчерского управления и сбора данных — SCADA. Такие решения применяются в  ЦОДах все чаще. Но в то же время в специализированной литературе нередко поднимается вопрос о том, что подобные решения, а точнее, их недостаточная защищенность от преступного и  несанкционированного влияния извне, могут превратиться в  угрозу для транспортных и  промышленных объектов. К  дата-центрам это относится в не меньшей степени, ведь инфраструктура ЦОДа включает в  себя: прецизионные системы охлаждения, ИБП, средства пожаротушения, генераторы, насосные станции и многое другое. Как правило, всем этим и  управляют автоматизированные системы диспетчеризации управления (АСДУ), среди разработчиков которых лидерами являются компании Siemens, Schnieder Electric, InduSoft. При этом большинство компонентов АСДУ можно купить в свободной продаже. Наряду с недостаточной изолированностью технологической сети, которая наблюдается в  большинстве дата-центров, и нечастым выпуском фирменных обновлений безопасности это дает возможность злоумышленнику проникнуть во внутреннюю сеть ЦОДа, взять под контроль отдельные подсистемы или устроить аварию.

Согласно прогнозу Эда Ансетта из компании i3 Solutions Group, в течение ближайших пяти лет для всех предприятий и правительственных центров обработки данных аудит информационной безопасности инженерных систем станет обязательным. Характерный случай невнимания к проблемам ИТ-защищенности MEP-инфраструктуры (Mechanical/Electrical/Plumbing) произошел в 2013 году. В результате взлома системы были украдены данные 70  млн пользователей у  шестого по величине ретейлера США — компании Target. Уязвимость была найдена злоумышленниками на стыке между сетью торговой организации и компании, обслуживающей ее системы вентиляции. Убытки составили $ 162 млн. Атаки на SCADA не являются чем-то новым. Три года назад некий иранский хакер с помощью Google dorking наткнулся на сервер, который позволял удаленно управлять механизмами плотины в  штате Нью-Йорк. Об этом писала газета The Wall Street Journal. О  другом похожем случае в  марте 2016 года сообщила компания Verizon: хакеры получили доступ к SCADA-системе водоочистной станции и изменили уровень используемых для очистки воды химических веществ. И таких происшествий становится все больше. По данным IBM X-Force, за последние два года число кибератак на SCADA-системы выросло на 636 %. Для исключения подобных ситуаций любой проект по автоматизации управления ЦОДом должен включать многоуровневый аудит информационной безопасности  — начиная от проверки сегментации технологической сети, стойкости парольной политики, безопасности PLC-контроллеров и заканчивая оценкой защищенности мобильных приложений для удаленной диспетчеризации.

 

Опасный инсайдер

Это один из наиболее простых и  эффективных методов проникновения и совершения диверсии, тем не менее он требует некоторой предварительной подготовки. Центры обработки данных регулярно набирают в  штат стажеров, например, в отделы эксплуатации. Такие специалисты осуществляют мониторинг элементов инженерной инфраструктуры ЦОДа (кондиционирование, электропитание и  т.д.), обслуживают серверы, оперируют коммутационными кабелями и выполняют другую механическую работу. В то же время сотрудник-инсайдер, атакующий из пользовательского сегмента сети, достаточно легко может получить несанкционированный привилегированный доступ ко всем критически важным ресурсам. Для этого не обязательно нанимать Кевина Митника, так как уровень сложности атак даже на серверы крупных организаций, как правило, не требует высокой хакерской квалификации. Наиболее распространенные причины такой ситуации — недостаточный уровень защиты привилегированных учетных записей, использование слабых паролей, устаревшее программное обеспечение с общеизвестными уязвимостями и т.д. Что может сделать мотивированный внутренний злоумышленник? К примеру, изменить конфигурацию различных подсистем. В  2015  году ошибка при конфигурировании в  одном из коммерческих дата-центров, поддерживающих облачную платформу Amazon Web Services (AWS), привела к  тому, что сервис был недоступен для пользователей в течение шести часов. Это в  свою очередь привело к  перебоям в работе ресурса GitHub. Вредоносным инсайдером может выступить и  собственный штатный сотрудник, либо подкупленный конкурентами, либо просто недовольный условиями труда. Но защититься от действий инсайдера вполне возможно. Наиболее эффективным методом является четкое разграничение полномочий сотрудников, детально прописанные должностные инструкции, политики доступа и  многоуровневая идентификация.

 

Аренда стойки как угроза

В коммерческих дата-центрах нередко можно наблюдать ситуацию, когда, скажем, в одном шкафу работают проекты стоимостью в  миллионы долларов, а рядом, без какого-либо ограждения, размещены серверные стойки других клиентов. В таком случае злоумышленнику достаточно арендовать стойку по соседству со стойкой, принадлежащей интересующей его компании, и  получить право регулярно появляться в  машинном зале. Дальнейшее зависит от его навыков в области социальной инженерии. Наличие в зале камер видеонаблюдения тоже не всегда способно помочь. Во-первых, поскольку речь, как правило, идет об IP-камерах, злоумышленник вполне может взломать сеть и  перехватить видеопоток. Это, кстати, проще, чем кажется, поскольку во многих случаях владельцы дата-центров уделяют недостаточно внимания, так сказать, «безопасности систем безопасности». Тем не менее их тоже необходимо защищать от проникновения извне. Камеры содержат уязвимости, которые позволяют атакующему перехватить видеопоток и, например, изучить расписание работы службы безопасности. Да и  вообще, зачастую записи с видеокамер используются постфактум — для разбора инцидентов, когда все уже произошло. Если средств защиты слишком много (биометрические и  RFID-считыватели, электромагнитные замки), в  дело может пойти план Б: проникновение в технологическую сеть изнутри с использованием все той же недостаточной сегментированности. В целом этот метод атаки похож на действия инсайдера с  той лишь разницей, что у  злоумышленника будет меньше времени для совершения диверсии. Следовательно, методы защиты здесь те же, что и в предыдущем пункте. Хотя, конечно, наиболее эффективным методом будет физическое разделение клиентских зон и внедрение комплексных средств аутентификации клиента.

 

Атака на беспроводную сеть

Радиосети — еще один способ проникнуть в  дата-центр. Беспроводные датчики используются в  системах управления инфраструктурой ЦОДа (DCIM) как часть механизма контроля состояния инженерной инфраструктуры. Они осуществляют мониторинг физического оборудования в режиме реального времени, распределяя нагрузку в  ЦОДе, управляя ресурсами и  мощностью подсистем. Точки доступа Wi-Fi присутствуют в комнате для дежурных системных администраторов, посменно обслуживающих по 100–200 серверов. Известны случаи, когда в крупных компаниях находили десятки несанкционированных устройств для доступа в  ЛВС и  съема информации. Поэтому в первую очередь необходимо запланировать мероприятия для контроля радиосреды и выявления чужеродных устройств. Есть несколько основных стратегий: аутентификация и  авторизация всех пользователей сети WiFi, разделение трафика по принципу «гости — сотрудники» или назначение различных приоритетов доступа. Также поможет формирование более тонких настроек безопасности при использовании межсетевых экранов на уровне сетевых портов, включение средств защиты конечных устройств в общую политику безопасности. Беспроводную сеть можно очень хорошо защитить при условии грамотного проектирования.

 

Стоимость ошибки

Получение доходов и  успешное ведение электронной коммерции для большинства компаний сегодня полностью зависит от работоспособности дата-центра, в  котором размещено вычислительное оборудование и в котором работают бизнес-сервисы. Какова цена аварии в  ЦОДе? По оценкам Ponemon Institute, средняя стоимость минуты простоя крупной площадки составляет $ 7,9 тыс., а  среднестатистический дата-центр простаивает около 119 минут в год, что выливается в ежегодные потери примерно $ 900 тыс. Ущерб от несанкционированного доступа к  данным обходится еще дороже. Упомянутый выше Ponemon Institute в  своем ежегодном исследовании Cost of Data Breach сообщил, что в  2013  году среднегодовые финансовые убытки компаний от утечки и потери данных для разных стран составили: США — $ 5,4 млн; ФРГ — $ 4,8 млн; Соединенное Королевство — $ 3,1 млн; Япония  — $ 2,28  млн. При этом 37 % сбоев пришлось на долю злонамеренных атак, 35 % — на человеческий фактор и лишь 29 % — на сугубо технические сбои, не зависящие от прямого вмешательства человека. Конечно, это ориентировочные показатели, и в каждом конкретном случае эта величина отличается. Но вполне очевидно, что любой простой или сбой в  работе коммерческого ЦОДа грозит неприятностями как владельцам площадки, так и ее клиентам. Также следует помнить, что со временем цена ошибки возрастает, ведь благодаря повсеместному применению виртуализации и облачных технологий растет плотность вычислений. Обеспечение информационной безопасности на столь сложном объекте, как современный ЦОД, имеет свою специфику. Для выявления возможных недоработок или скрытых недостатков в  защите комплекса рекомендуется в  обязательном порядке проводить специализированный аудит информационной и физической безопасности как владельцам дата-центров, так и компаниям, размещающим свои серверы на арендованных площадках. В  конечном итоге потраченные деньги и  время окупят себя с лихвой. Главное, не пускать процесс обеспечения безопасности дата-центра на самотек.

 

Нестеров Игорь Александрович, генеральный директор ООО «ХэдЛайт Секьюрити», генеральный директор ЗАО "АКОД".

Статья опубликована в журнале ЦОДы.РФ,  Выпуск №16 сентябрь 2016 г.