BezpieczeĔstwo wirtualnych chmur obliczeniowych – wybrane aspekty

K. Chellapa² jako jeden z pierwszych juĪ w 1997 roku przyjąá, Īe cloud com-puting to paradygmat przetwarzania, mówiący o tym, iĪ granice zarządzania infor-macjami wynikają z uzasadnienia ekonomicznego, a nie z ograniczeĔ technicznych. Podobną definicjĊ podają R. Giordanelli i C. Mastroianni (Giordanelli, Mastroianni 2010, s. 2–20) oraz Larry Ellison, CEO Oracle. P. àagowski potwierdza, Īe pierw-sze wzmianki o chmurze datowane są na poáowĊ ubiegáego wieku, kiedy to na-ukowcy szukający optymalnych zastosowaĔ informatyki i zwiĊkszenia mocy

Mimo wielu lat funkcjonowania modelu CC w dalszym ciągu brak jednej ogólnie ak-ceptowanej jego definicji.

2 K. Chellapa w artykule Intermediaries in Cloud Computing: A New Computing

Para-digm, INFORMS Annual Meeting. Dallas, TX, October 26, stwierdziá: „Cloud Computing – a

computing paradigm where the boundaries of computing will be determined by economic ra-tionale rather than technical limits” (Chellapa 1997).

Kazimierz W. Krupa, Pavlo Skotnyy, Wojciech Krupa 175

czeniowej komputerów (np. wykorzystujących algorytm Grovera i szanse informa-tyki kwantowej) przewidywali, Īe w przyszáoĞci wiĊkszoĞü zasobów komputero-wych bĊdzie scentralizowana, a ich moc obliczeniowa zostanie udostĊpniona pu-blicznie, w otwartej formie (àagowski 2010, s. 1–8). Idea ta musiaáa jednak pocze-kaü do początku XXI wieku, gdy coraz to taĔszy sprzĊt nowej generacji oraz dostĊp do Internetu sprawiáy, Īe powstaáy pierwsze komputerowe centra masowego prze-twarzania danych (w tym farmy komputerowe), na kilka lat przed sformuáowaniem istoty definicji chmury. Jednak jak siĊ szacuje, juĪ w 2009 roku rynek cloud compu-ting miaá wartoĞü ponad 56 miliardów dolarów, a w 2014 roku rynek ten moĪe byü juĪ warty okoáo 150 miliardów USD. Aktualnie, przykáadowo w nowych genera-cjach reklam³:

– telewizyjnych, np. w kodach QR, – internetowych,

– mobilnych (np. smartfony, tablety),

a gáównie w wearable devices zwykle klient „nieĞwiadomy” dostaje coĞ „gratis w chmurze”. JednoczeĞnie coraz czĊĞciej równieĪ „Ğwiadomy” klient przenosi wiele swoich obliczeĔ do chmury.

Aplikacyjnie zasada dziaáania chmury obliczeniowej (Urban 2014, s. 2–78) polega na przeniesieniu caáego ciĊĪaru Ğwiadczenia usáug IT (danych, oprogramo-wania lub mocy obliczeniowej), zazwyczaj najczĊĞciej, na zewnĊtrzny serwer i umoĪliwienie staáego dostĊpu do zasobów poprzez komputery klienckie. DziĊki temu ich bezpieczeĔstwo nie zaleĪy od tego, co stanie siĊ z komputerem klienckim, a szybkoĞü procesów wynika zwykle z wystarczająco duĪej mocy obliczeniowej serwera i adekwatnej szybkoĞci transmisji (szyna wyjĞcia/wejĞcia). Mobilnie wiĊc wystarczy zalogowaü siĊ z jakiegokolwiek urządzenia z dostĊpem do Internetu, by zacząü korzystaü z dobrodziejstw chmury obliczeniowej. W dalszym ciągu, gáównie z przyczyny ciągáego kreatywnego postĊpu generowanego w firmach komputero-wych, a szczególnie start-upach, pojĊcie chmury nie jest jednoznaczne. W szerokim klasycznym znaczeniu w chmurze jest wszystko przetwarzane na zewnątrz „ognio-wej” zapory sieciowej (firewall), wáączając w to takĪe konwencjonalny outsour-cing. Akceptując najwyĪsze standardy bezpieczeĔstwa, naleĪy przyjąü, iĪ rola fire-walli w CC jest targetowa. W zasadzie dzisiaj zapora sieciowa najnowszej generacji powinna byü najistotniejszym instrumentem zabezpieczania sieci i systemów in-formatycznych przed atakami z zewnątrz i wewnątrz. W takiej sytuacji wspóáczesna definicja CC powinna odnosiü siĊ gáównie do dedykowanego sprzĊtu komputero-wego wraz ze specjalnymi systemami operacyjnymi (dziĞ równieĪ np. nowej wersji

Jak potwierdzają równieĪ nasze badania, prowadzone w 2014 w Dolinie Lotniczej, re-klamy nowej generacji zwykle korzystają z wyrafinowanych opcji BI.

Wspóáczesne aspekty zarządzania w chmurach komputerowych… 176

Androida lub Aliyun OS⁴), aplikacjami uĪytkowymi, coraz czĊĞciej „inteligentny-mi”, oraz oprogramowania (software) blokującego niepowoáany dostĊp do sprzĊtu (hardware). Wspóáczesny firewall peáni wiĊc dziĞ rolĊ poáączenia ochrony sprzĊto-wej i programosprzĊto-wej sieci wewnĊtrznej (LAN) przed wrogim dostĊpem z zewnątrz, tzn. z sieci publicznych (WAN), Internetu, oraz chroni teĪ przed nieuprawnionym wypáywem danych z sieci lokalnej na zewnątrz. NajczĊĞciej uĪywanymi technikami obrony są:

– stosowanie algorytmów identyfikacji uĪytkownika (np. hasáa, cyfrowe cer-tyfikaty),

– zabezpieczanie programów obsáugujących niektóre protokoáy (np. FTP, Telnet),

– filtrowanie pakietów, czyli sprawdzanie pochodzenia pakietów i akcepto-wanie jedynie poĪądanych (np. Firewall SPI).

Firewall SPI i filtr pakietów, np. Zeroshell, stosują szkielet netfilter-a i linu-xowy program sterujący pakietami (iptables). Są one zwykle skonfigurowane do dziaáania jako firewall oraz ochrony sieci LAN przed atakami i skanowaniem por-tów z sieci WAN. Zazwyczaj taki typowy filtr ochronny moĪe pracowaü zarówno jako filtr pakietów, tj. filtrowaü je w oparciu o warunki (zasady) ustanowione dla nagáówków pakietów, lub jako SPI (firewall sprzĊtowy). Zasady te są zapisane na listach zwanych „áaĔcuchami” (input chain, output chain, forward chain). Software tej klasy, funkcjonujące wedáug tych reguá, nadzoruje pakiety przychodzące (pac-kets input), wychodzące (pac(pac-kets output) i tranzytowe (pac(pac-kets in transit). W tym ostatnim przypadku moĪliwe jest ustalenie, czy reguáa ma byü stosowana jedynie do zasobów w routingu, czy równieĪ do pakietów mostkowanych lub dla jednych i drugich. Aby uczyniü sposób konfigurowania zapory bardziej modularnym, nowe listy mogą byü tworzone w oparciu o listy zdefiniowane wczeĞniej przez admini-stratora⁵. Bardzo waĪną funkcją zapory sieciowej w CC jest monitorowanie ruchu sieciowego i zapisywanie najwaĪniejszych zdarzeĔ do dziennika (logu). UmoĪliwia to administratorowi wczesne dokonywanie zmian konfiguracji. Na zaporze moĪna zdefiniowaü strefĊ ograniczonego zaufania, tzn. podsieü, która izoluje od we-wnĊtrznej sieci lokalne serwery udostĊpniające usáugi na zewnątrz. Spotykamy trzy typy zapór sieciowych: a) zapory filtrujące, b) translacja adresów sieciowych (NAT), c) zapory poĞredniczące. Wszystkie kryteria zapór, w tym Stateful Packet Inspection, który posiada moduáy:

- NEW: jest to pakiet naleĪący do nowego poáączenia w warstwie czwartej; - ESTABLISHED: jest to pakiet naleĪący do juĪ nawiązanego poáączenia;

System operacyjny Aliyun OS, opracowany w firmie Alibaba Group Holding Ltd., ofe-rowany jest równieĪ free i aktualnie wykorzystuje go okoáo 2 mld urządzeĔ mobilnych, znajdują-cych siĊ przewaĪnie w Chinach.

5

Kazimierz W. Krupa, Pavlo Skotnyy, Wojciech Krupa 177

- RELATED: jest to pakiet skorelowany z juĪ nawiązanym poáączeniem, np. ICMP;

- INVALID: jest to uszkodzony pakiet;

mogą zostaü zanegowane i wówczas packet filter criteria moĪe dziaáaü jedynie jako kryterium SPI, dziĊki czemu firewall jest bardzo elastyczny. Poprawnie skonfigu-rowany firewall powinien wiĊc w zasadzie odeprzeü wszelkie aktualnie znane typy ataków na CC, w tym równieĪ szczególnie na prywatną chmurĊ obliczeniową.