Location via proxy:   [ UP ]  
[Report a bug]   [Manage cookies]                
SlideShare a Scribd company logo

Облака в Украине и ЕС как инструменты защиты ИТ: практические аспекты

•
•
De Novo
De Novo

Презентация доклада Евгения Осинского , руководителя отдела по продаже облачных сервисов De Novo на конференции INFORMATION SECURITY DAY 2015: Plan-Do-Check-Act.

1 of 21
De Novo© 2015 Облака в Украине и ЕС как инструменты защиты ИТ практические аспекты Докладчик: Директор по развитию бизнеса «Облачные сервисы» Осинский Евгений
Чего опасаются отечественные пользователи облачных сервисов? 2 N = 151 Какие опасения у Вас вызывает начало использование облачных сервисов? С какими проблемами приходится сталкиваться в процессе использования облачных сервисов? 20 23 25 34 37 40 40 56 71 0 20 40 60 80 запрет службы безопасности на использование внешних облаков несоответствие украинским регуляторным требованиям соответствие уровня предлагаемых сервисов нашим потребностям нехватка у персонала ИТ-службы навыков работы с облачными решениями незрелость облачных технологий и недостаточное доверие к ним качество работы службы поддержки провайдера зависимость от внешнего провайдера вопросы интеграции с существующей инфраструктурой утрата конфиденциальных данных Источник: IDC Украина
Как выбирают провайдера отечественные пользователи? 3 N = 151 9. Какие факторы являются для Вас определяющими в принятии решения о выборе провайдера облачных сервисов? 5 7 10 17 20 20 20 22 29 29 31 32 43 47 68 74 0 10 20 30 40 50 60 70 80 возможность оплаты банковской картой цена и получение скидки при увеличении объема приобретенных ресурсов совместимость с технологией виртуализации, которую Вы уже используем возможность размещать в облаке «большие» ВМ соответствие украинским регуляторным требованиям финансовая ответственность за нарушение SLA отнесение платежей провайдеру на расходы по бухучету возможность изменения условий контракта и SLA с учетом Ваших корпоративных политик возможность использования облачных сервисов без заключения контракта возможность полного контроля над сетевым ландшафтом модель оплаты (за выделенные, за фактически использованные ресурсы) месторасположение датацентра провайдера методы обеспечения безопасности данных (сохранности и конфиденциальности) качество работы службы поддержки уровень доступности сервиса репутация (надежность и известность) провайдера Источник: IDC Украина
Безопасность и непрерывность ИТ: модель угроз Безопасность и непрерывность ИТ Физические деструктив- ные факторы Локальные отказы оборудования Логическое разрушение данных Сетевые угрозы Локальные и региональные катастрофы Нарушение конфиден- циальности
Безопасность: не все Облака одинаково полезны… Модель «Public Cloud» – облако для широких масс  Максимально облегченный доступ для широкой и заранее не определенной клиентской аудитории  Возможность анонимного доступна, оплата on-line  Интернет как единственный вариант телеком транспорта  Стандартный SLA (не обсуждается) с ограниченной ответственностью Модель «Trusted Cloud» – облако для корпоративного сектора  Доступно для ограниченной и заранее определенной клиентской аудитории, все клиенты надежно идентифицированы  Ограниченное и контролируемое взаимодействие с Интернет, приоритетное использование выделенных каналов как телекоммуникационного транспорта  Контракт в локальном правовом поле, обсуждаемый SLA с значимой финансовой ответственностью (до 6-ти месячного платежа) за его нарушение Коммерческое Облако De Novo построено по модели «Trusted Cloud»
Compute & Storage Resources Инструменты управления безопасностью в Облаке De Novo Cloud Operation System IaaS service interface UserProvider Tenant A Internet LAN 1 LAN 2 Application Landscape Tenant B Internet LAN 1 LAN 2 Application Landscape Физические угрозы ЦОД De Novo Отказы оборудования Резервное оборудование + HA-функции Cloud OS Сетевые угрозы Edge Gateway, Virtual Cisco ASA Разрушение данных Snapshots, Backup as a Service Катастрофы Disaster Recovery as a Service Нарушение конфиден- циальности Управление ключами SecureCloud
Аппаратная архитектура Облака De Novo: нерезервированные точки отказа отсутствуют Сетевая инфраструктура • дублирование сетевого оборудования (уровень резервирования 2N) • использование технологии cross-device агрегации каналов - LACP, cross-stack etherchannel, virtual Port Channel (vPC) • четырехкратное резервирование интернет-каналов – BGP-взаимодействие с 4-мя магистральными операторами на двух площадках (ЦОД De Novo и Леонтовича 9) Системы хранения данных • дисковые массивы midrange-класса А-бренд, VMWare vSAN • СХД не содержит нерезервированных точек отказа (уровень резервирования 2N) и имеет возможность проведения обновлений, реконфигураций и ремонтно- восстановительных работ без остановки ввода-вывода • защита от отказа дисков – RAID6 и RAID DP (уровень резервирования N+2) Серверная инфраструктура • блейд-серверы корпоративного класса А-бренд • избыточные серверные кластеры (уровень резервирования N+1) • технологии высокой доступности на уровне операционной системы облака – VMWare HA, vMotion, Storage vMotion 7
Безопасность сети: L3-топология и инструменты защиты периметра Надежная изоляция сетевых ландшафтов пользователей на уровне Cloud OS • основная технология L2-изоляции - VLAN • полный контроль конечного пользователя над топологией сети на уровнях L2 и L3 • возможность использования выделенных каналов и полной изоляции от Интернет Edge Gateway – универсальное сетевое устройство • до 10-ти сетевых интерфейсов с возможностью маршрутизации между ними • полностью контролируется пользователей и выполняет функции DHCP, DNS-relay, DNAT/SNAT, 5-tuple statefull firewall, IPSec Site-2-Site VPN, load balancer • кластерный режим с сохранением контекста Virtual Cisco ASA • полностью аналогична аппаратной ASA по функциональности и интерфейсу управления • реализована как «virtual security context» на аппаратной ASA в кластерной конфигурации • полностью контролируется пользователем и может быть использована для защиты как Интернет-подключения, так и выделенных каналов и выделенных зон безопасности 8
Логическое разрушение данных: инструменты противодействия Мгновенные копии (snapshots): защита в реальном времени • быстрое создание и восстановление (секунды) даже для больших объемов данных (терабайты) • удобный инструмент оперативной защиты при внесении изменений в операционные среды (обновление версий, установка patch’ей, потенциально опасные массовые операции с БД) Backup as a Service: глубоко эшелонированная гранулярная защита • полная прозрачность - отсутствует необходимость остановки VM на время выполнения резервного копирования, установки агентов или развертывания служебных VM; все операции копирования и восстановления выполняются на уровне операционной системы Облака • удобство использования - каждая VM попадает под защиту в момент создания и автоматически удаляется из расписания резервного копирования в момент удаления • полнота решения - для использования услуги не нужен выделенный репозитарий резервных копий т.к. он уже является ее частью • настраиваемая глубина хранения – от недели до месяца • гранулярность восстановления – от отдельного файла до всего виртуального датацентра 9
Основная площадка DRaaS 10 OSOSOSOSOSOS APP APP APP APP APP APP APP APP APP APP APP APP OSOSOSOSOSOS Облако
Технологии DRaaS: в чем разница?  Подходит для безагентной защиты множества VM (десятки и сотни)  Репликация на уровне гипервизора  Интегрируется непосредственно в виртуальную инфраструктуру VMWare  Автоматическая активация РЦ по сценарию  Возможность недеструктивного тестирования  В штатном режиме вычислительные ресурсы РЦ (Облака) не используются HV-Based DRaaS  Подходит для защиты физических и виртуальных машин по технологии active/stanby  Гранулярная попарная репликация на уровне операционной системы  Совместима с любыми гипервизорами  Агенты для различных популярных приложений (MS SQL, Exchange, SharePoint, Oracle DB, File Server и др.)  Требует ручной поддержки синхронности версий ПО между сайтами OS-Based DRaaS
Модели использования DRaaS Площадка Заказчика B-Cloud Вильнюс H-Cloud Киев
1. Облачная СХД (vStorage) как репозитарий резервных копий • В случае потери основного ЦОД прикладной ландшафт можно восстановить из резервной копии на новом оборудовании или в Облаке. 13 RPO ~4-24 часа, RTO ~1-15 дней H-Cloud / B-Cloud
2. Зеркальный прикладной ландшафт в Облачном Датацентре (App-Based) • Репликация данных и механизм восстановления основан на функциональности прикладного ПО (Oracle DB, MS AD, Exchange, SQL Server). Возможна защита как виртуальных, так и физических операционных сред. Недеструктивное тестирование невозможно. Высокая сложность и потребление облачных ресурсов. Применимо не для всех ИТ-сервисов. 14 RPO ~0-15 мин, RTO ~1-2 часа H-Cloud / B-Cloud
3. Зеркальные операционные среды в Облачном Датацентре (OS-Based, GeoCluster DRaaS) • Геокластерная технология + репликация данных на уровне операционной системы. Возможна защита как виртуальных, так и физических операционных сред. Ограниченные возможности недеструктивного тестирования. 15 RPO ~0-15 мин, RTO ~1-2 часа H-Cloud / B-Cloud
4. Зеркальная виртуальная инфраструктура (Zerto HV-Based DRaaS) • Репликация данных на уровне гипервизора. Возможна защита только виртуальных операционных сред VMware. Возможно недеструктивное автоматизированное тестирование. Автоматизация актуализации и исполнения DR-плана. 16 RPO ~0-15 мин, RTO ~1-2 часа VMware скоро и для Hyper-V H-Cloud / B-Cloud
5. Inter-Cloud Disaster Recovery (IC DRaaS) • Репликация данных на уровне гипервизора между локациями Облака De Novo (Киев <-> Вильнюс). Возможно недеструктивное автоматизированное тестирование. Автоматизация актуализации и исполнения DR-плана. 17 RPO ~0-15 мин, RTO ~1-2 часа H-Cloud / Киев B-Cloud / Вильнюс
6. Geo BaaS • Вариант услуги Backup as a Service с хранением резервных копий на удаленной локации Облака De Novo и возможности восстановления прикладного ландшафта на ее базе. 18 RPO ~24 часа, RTO ~4-6 ч. Продуктив Back-ups H-Cloud / Киев B-Cloud / Вильнюс
Конфиденциальность данных: технология SecureCloud Базовая идея: сохранение конфиденциальности путем разделения областей возможностей и ответственности трех юридически и физически разных субъектов: клиента, облачного оператора, провайдера KMS (Key Management System). Клиент. Управляет генерацией и политиками выдачи ключей для работы VM с защищенными данными (дисками). НЕ хранит ключи в собственной информационной системе (возможно хранение резервных копий ключей на безопасном носителе). Провайдер KMS. Обеспечивает хранение и выдачу ключей VM в соответствии с определенными клиентами политиками. Не имеет доступа к защищенным дискам. Облачный оператор. Обеспечивает ресурсы для функционирования VM и хранения защищенных данных. Не имеет доступа к ключам (ключ хранится только в оперативной памяти VM). 19
De Novo H-Cloud Клиент Провайдер KMS Архитектура SecureCloud Agent Secure Cloud Portal Key Management System Политики Запрос ключа при старте VM Проверка соответствия Подтверждение соответствия Доставка ключа Доступ к данным получен
Хотите попробовать? Для этого нужно… Желание. О его наличии достаточно сообщить по адресу h-cloud@de-novo.biz . Вам объяснят как действовать дальше. Время. Чтобы «почувствовать» функциональность Облака и его полезность для решения ваших задач необходимо как минимум 15-20 часов рабочего времени в течении месяца. Интернет. Использование site-2-site VPN позволяет задействовать всю функциональность Облака без создания выделенных каналов. 21 Приходите, пробуйте, решайте.

More Related Content

Облака в Украине и ЕС как инструменты защиты ИТ: практические аспекты

  • 1. De Novo© 2015 Облака в Украине и ЕС как инструменты защиты ИТ практические аспекты Докладчик: Директор по развитию бизнеса «Облачные сервисы» Осинский Евгений
  • 2. Чего опасаются отечественные пользователи облачных сервисов? 2 N = 151 Какие опасения у Вас вызывает начало использование облачных сервисов? С какими проблемами приходится сталкиваться в процессе использования облачных сервисов? 20 23 25 34 37 40 40 56 71 0 20 40 60 80 запрет службы безопасности на использование внешних облаков несоответствие украинским регуляторным требованиям соответствие уровня предлагаемых сервисов нашим потребностям нехватка у персонала ИТ-службы навыков работы с облачными решениями незрелость облачных технологий и недостаточное доверие к ним качество работы службы поддержки провайдера зависимость от внешнего провайдера вопросы интеграции с существующей инфраструктурой утрата конфиденциальных данных Источник: IDC Украина
  • 3. Как выбирают провайдера отечественные пользователи? 3 N = 151 9. Какие факторы являются для Вас определяющими в принятии решения о выборе провайдера облачных сервисов? 5 7 10 17 20 20 20 22 29 29 31 32 43 47 68 74 0 10 20 30 40 50 60 70 80 возможность оплаты банковской картой цена и получение скидки при увеличении объема приобретенных ресурсов совместимость с технологией виртуализации, которую Вы уже используем возможность размещать в облаке «большие» ВМ соответствие украинским регуляторным требованиям финансовая ответственность за нарушение SLA отнесение платежей провайдеру на расходы по бухучету возможность изменения условий контракта и SLA с учетом Ваших корпоративных политик возможность использования облачных сервисов без заключения контракта возможность полного контроля над сетевым ландшафтом модель оплаты (за выделенные, за фактически использованные ресурсы) месторасположение датацентра провайдера методы обеспечения безопасности данных (сохранности и конфиденциальности) качество работы службы поддержки уровень доступности сервиса репутация (надежность и известность) провайдера Источник: IDC Украина
  • 4. Безопасность и непрерывность ИТ: модель угроз Безопасность и непрерывность ИТ Физические деструктив- ные факторы Локальные отказы оборудования Логическое разрушение данных Сетевые угрозы Локальные и региональные катастрофы Нарушение конфиден- циальности
  • 5. Безопасность: не все Облака одинаково полезны… Модель «Public Cloud» – облако для широких масс  Максимально облегченный доступ для широкой и заранее не определенной клиентской аудитории  Возможность анонимного доступна, оплата on-line  Интернет как единственный вариант телеком транспорта  Стандартный SLA (не обсуждается) с ограниченной ответственностью Модель «Trusted Cloud» – облако для корпоративного сектора  Доступно для ограниченной и заранее определенной клиентской аудитории, все клиенты надежно идентифицированы  Ограниченное и контролируемое взаимодействие с Интернет, приоритетное использование выделенных каналов как телекоммуникационного транспорта  Контракт в локальном правовом поле, обсуждаемый SLA с значимой финансовой ответственностью (до 6-ти месячного платежа) за его нарушение Коммерческое Облако De Novo построено по модели «Trusted Cloud»
  • 6. Compute & Storage Resources Инструменты управления безопасностью в Облаке De Novo Cloud Operation System IaaS service interface UserProvider Tenant A Internet LAN 1 LAN 2 Application Landscape Tenant B Internet LAN 1 LAN 2 Application Landscape Физические угрозы ЦОД De Novo Отказы оборудования Резервное оборудование + HA-функции Cloud OS Сетевые угрозы Edge Gateway, Virtual Cisco ASA Разрушение данных Snapshots, Backup as a Service Катастрофы Disaster Recovery as a Service Нарушение конфиден- циальности Управление ключами SecureCloud
  • 7. Аппаратная архитектура Облака De Novo: нерезервированные точки отказа отсутствуют Сетевая инфраструктура • дублирование сетевого оборудования (уровень резервирования 2N) • использование технологии cross-device агрегации каналов - LACP, cross-stack etherchannel, virtual Port Channel (vPC) • четырехкратное резервирование интернет-каналов – BGP-взаимодействие с 4-мя магистральными операторами на двух площадках (ЦОД De Novo и Леонтовича 9) Системы хранения данных • дисковые массивы midrange-класса А-бренд, VMWare vSAN • СХД не содержит нерезервированных точек отказа (уровень резервирования 2N) и имеет возможность проведения обновлений, реконфигураций и ремонтно- восстановительных работ без остановки ввода-вывода • защита от отказа дисков – RAID6 и RAID DP (уровень резервирования N+2) Серверная инфраструктура • блейд-серверы корпоративного класса А-бренд • избыточные серверные кластеры (уровень резервирования N+1) • технологии высокой доступности на уровне операционной системы облака – VMWare HA, vMotion, Storage vMotion 7
  • 8. Безопасность сети: L3-топология и инструменты защиты периметра Надежная изоляция сетевых ландшафтов пользователей на уровне Cloud OS • основная технология L2-изоляции - VLAN • полный контроль конечного пользователя над топологией сети на уровнях L2 и L3 • возможность использования выделенных каналов и полной изоляции от Интернет Edge Gateway – универсальное сетевое устройство • до 10-ти сетевых интерфейсов с возможностью маршрутизации между ними • полностью контролируется пользователей и выполняет функции DHCP, DNS-relay, DNAT/SNAT, 5-tuple statefull firewall, IPSec Site-2-Site VPN, load balancer • кластерный режим с сохранением контекста Virtual Cisco ASA • полностью аналогична аппаратной ASA по функциональности и интерфейсу управления • реализована как «virtual security context» на аппаратной ASA в кластерной конфигурации • полностью контролируется пользователем и может быть использована для защиты как Интернет-подключения, так и выделенных каналов и выделенных зон безопасности 8
  • 9. Логическое разрушение данных: инструменты противодействия Мгновенные копии (snapshots): защита в реальном времени • быстрое создание и восстановление (секунды) даже для больших объемов данных (терабайты) • удобный инструмент оперативной защиты при внесении изменений в операционные среды (обновление версий, установка patch’ей, потенциально опасные массовые операции с БД) Backup as a Service: глубоко эшелонированная гранулярная защита • полная прозрачность - отсутствует необходимость остановки VM на время выполнения резервного копирования, установки агентов или развертывания служебных VM; все операции копирования и восстановления выполняются на уровне операционной системы Облака • удобство использования - каждая VM попадает под защиту в момент создания и автоматически удаляется из расписания резервного копирования в момент удаления • полнота решения - для использования услуги не нужен выделенный репозитарий резервных копий т.к. он уже является ее частью • настраиваемая глубина хранения – от недели до месяца • гранулярность восстановления – от отдельного файла до всего виртуального датацентра 9
  • 10. Основная площадка DRaaS 10 OSOSOSOSOSOS APP APP APP APP APP APP APP APP APP APP APP APP OSOSOSOSOSOS Облако
  • 11. Технологии DRaaS: в чем разница?  Подходит для безагентной защиты множества VM (десятки и сотни)  Репликация на уровне гипервизора  Интегрируется непосредственно в виртуальную инфраструктуру VMWare  Автоматическая активация РЦ по сценарию  Возможность недеструктивного тестирования  В штатном режиме вычислительные ресурсы РЦ (Облака) не используются HV-Based DRaaS  Подходит для защиты физических и виртуальных машин по технологии active/stanby  Гранулярная попарная репликация на уровне операционной системы  Совместима с любыми гипервизорами  Агенты для различных популярных приложений (MS SQL, Exchange, SharePoint, Oracle DB, File Server и др.)  Требует ручной поддержки синхронности версий ПО между сайтами OS-Based DRaaS
  • 13. 1. Облачная СХД (vStorage) как репозитарий резервных копий • В случае потери основного ЦОД прикладной ландшафт можно восстановить из резервной копии на новом оборудовании или в Облаке. 13 RPO ~4-24 часа, RTO ~1-15 дней H-Cloud / B-Cloud
  • 14. 2. Зеркальный прикладной ландшафт в Облачном Датацентре (App-Based) • Репликация данных и механизм восстановления основан на функциональности прикладного ПО (Oracle DB, MS AD, Exchange, SQL Server). Возможна защита как виртуальных, так и физических операционных сред. Недеструктивное тестирование невозможно. Высокая сложность и потребление облачных ресурсов. Применимо не для всех ИТ-сервисов. 14 RPO ~0-15 мин, RTO ~1-2 часа H-Cloud / B-Cloud
  • 15. 3. Зеркальные операционные среды в Облачном Датацентре (OS-Based, GeoCluster DRaaS) • Геокластерная технология + репликация данных на уровне операционной системы. Возможна защита как виртуальных, так и физических операционных сред. Ограниченные возможности недеструктивного тестирования. 15 RPO ~0-15 мин, RTO ~1-2 часа H-Cloud / B-Cloud
  • 16. 4. Зеркальная виртуальная инфраструктура (Zerto HV-Based DRaaS) • Репликация данных на уровне гипервизора. Возможна защита только виртуальных операционных сред VMware. Возможно недеструктивное автоматизированное тестирование. Автоматизация актуализации и исполнения DR-плана. 16 RPO ~0-15 мин, RTO ~1-2 часа VMware скоро и для Hyper-V H-Cloud / B-Cloud
  • 17. 5. Inter-Cloud Disaster Recovery (IC DRaaS) • Репликация данных на уровне гипервизора между локациями Облака De Novo (Киев <-> Вильнюс). Возможно недеструктивное автоматизированное тестирование. Автоматизация актуализации и исполнения DR-плана. 17 RPO ~0-15 мин, RTO ~1-2 часа H-Cloud / Киев B-Cloud / Вильнюс
  • 18. 6. Geo BaaS • Вариант услуги Backup as a Service с хранением резервных копий на удаленной локации Облака De Novo и возможности восстановления прикладного ландшафта на ее базе. 18 RPO ~24 часа, RTO ~4-6 ч. Продуктив Back-ups H-Cloud / Киев B-Cloud / Вильнюс
  • 19. Конфиденциальность данных: технология SecureCloud Базовая идея: сохранение конфиденциальности путем разделения областей возможностей и ответственности трех юридически и физически разных субъектов: клиента, облачного оператора, провайдера KMS (Key Management System). Клиент. Управляет генерацией и политиками выдачи ключей для работы VM с защищенными данными (дисками). НЕ хранит ключи в собственной информационной системе (возможно хранение резервных копий ключей на безопасном носителе). Провайдер KMS. Обеспечивает хранение и выдачу ключей VM в соответствии с определенными клиентами политиками. Не имеет доступа к защищенным дискам. Облачный оператор. Обеспечивает ресурсы для функционирования VM и хранения защищенных данных. Не имеет доступа к ключам (ключ хранится только в оперативной памяти VM). 19
  • 20. De Novo H-Cloud Клиент Провайдер KMS Архитектура SecureCloud Agent Secure Cloud Portal Key Management System Политики Запрос ключа при старте VM Проверка соответствия Подтверждение соответствия Доставка ключа Доступ к данным получен
  • 21. Хотите попробовать? Для этого нужно… Желание. О его наличии достаточно сообщить по адресу h-cloud@de-novo.biz . Вам объяснят как действовать дальше. Время. Чтобы «почувствовать» функциональность Облака и его полезность для решения ваших задач необходимо как минимум 15-20 часов рабочего времени в течении месяца. Интернет. Использование site-2-site VPN позволяет задействовать всю функциональность Облака без создания выделенных каналов. 21 Приходите, пробуйте, решайте.