Превращаем дата-центр в крепость. Системы физической защиты центров обработки данных
Ночь. Телефонный звонок. Дежурный администратор ЦОДа, вздрогнув, снимает трубку и заспанным голосом произносит название хостинговой компании. Звонит один из клиентов, установивший свои «железки» на colocation около недели назад.
- У нас проблемы с оборудованием. Похоже, аппаратный сбой.
- Вам подключить KVM?
- Будет проще посмотреть вживую. Могу я сейчас подъехать?
- Да, конечно, так будет даже проще...
Администратору будет менее хлопотно пустить клиента разбираться самому, чем возиться с консолью. Кстати, ставил новый клиент серверы тоже ночью, сославшись на огромную занятость. На самом деле, когда юниты монтировались в стойки, проходила первая, подготовительная часть операции - сбор данных. Сколько людей есть в дата-центре после полуночи, как защищён внешний периметр (оказалось, что карточной СКУД), как физически разделены зоны разных клиентов (оказалось, что никак), где находятся «слепые зоны» видеонаблюдения - вся эта информация была тщательно собрана и обдумана авантюристами.
Истинной целью визита был сервер БД популярного стартапа, связанного с гостиничным бизнесом, - этакого доработанного booking.com от отечественных мастеров. За два года сервисом воспользовались приблизительно 18 000 человек. Не так уж и много, но и не мало: создатели упивались самолюбованием, но расширять инфраструктуру ещё не было нужды.
Все клиенты вводили номера своих банковских карт с CVC-кодами, и эта информация (сугубо для удобства пользователей) сохранялась в базе данных. Много важного выболтал сам технический директор стартапа. Это было на очередном форуме «профессионалов Рунета» в рублёвском лесу. Потребовалось чуть-чуть лести, - и он уже, потягивая виски в буфете пансионата «Лесные дали», самодовольно рассказывал об аппаратной части проекта. Например, что жёсткие диски на сервере БД сконфигурированы в зеркальный массив RAID 1 с поддержкой «горячей замены». О том, что дата-центр хостера находится в подвале офисного здания, «и они, конечно, раздолбаи, но точно не отключат сервер за задержку оплаты. И к этим ребятам я могу приехать в любое время суток, не заказывая заранее пропуск».
Вот наш герой и приехал ночью. Приложил карточку к считывателю, прошёл через турникет и застал на месте двух человек - заспанного администратора и сидящего за монитором видеонаблюдения скучающего охранника. Проследовал вслед за админом в прохладное от кондиционера помещение с серверными стойками, попросил подсоединить к своему юниту монитор и ввел в bash несколько команд. А потом ему понадобился шуроповёрт, за которым он тоже обратился к сотруднику ЦОДа. Как только администратор вышел, раздался звук разбитого стекла и вой сигнализации - в окно первого этажа влетела бутылка из-под пива. Опять эта шпана! То зеркала с машины снимут, то окно разобьют. Охранник поморщился, сделал лицо посуровее и пошёл разбираться.
Массив RAID 1 с поддержкой «горячей замены» хорош тем, что, если вытащить один диск, то на нём будут цельные, читаемые данные. Пользователи при этом ничего не заметят. Действительно, подмену диска в сервере обнаружили только через две недели, когда неназванные преступники уже пили коктейли в Латинской Америке в окружении девушек в бикини. Но даже после этого популярный стартап отрицал свою причастность к краже нескольких миллионов долларов с тысяч банковских карт. Кстати, период перезаписи архива в системе видеонаблюдения ЦОДа к тому времени уже истёк. А договор преступника с хостером был заключен, как выяснилось, по украденному паспорту.
Оцениваем риски
История вымышленная, но вполне могла бы произойти в реальности. Сотрудник редакции Security News однажды видел, как на colocation ставят серверы с одним проектом стоимостью в пару миллионов долларов - так вот, серверная ферма находилась перед внешним периметром офисного здания, где хостер арендовал помещение. И ничего не стоило остаться в дата-центре одному. Но такая халатность, конечно, - всё же исключение.
Обеспечение безопасности дата-центра - это всегда большой и сложный проект. Если вы выступаете интегратором, то это ваша работа - разобраться в хитросплетениях специфики объекта. Какие системы и подходы требуются? Как вы (самое главное) можете помочь клиенту в достижении его целей?
Глубокое понимание нужд клиента и формулировка действительно ценных, экономически выгодных для заказчика предложений поможет вам заполучить лояльность клиента на всё время жизни решения. А затем упростит новую продажу.
Путь к успеху хотя бы одного проекта состоит из множества шагов. Сначала выполните (разумеется, вместе с заказчиком) оценку рисков. За первым наброском эксплуатационных требований обычно проводят анализ и выбор решений. Составьте список того, что может подойти для внедрения. Ключевой термин современной защиты периметров - ярусный подход. Проект по безопасности дата-центра может включать в себя СКУД, видеонаблюдение, охранную сигнализацию, системы противопожарной защиты и контроля безопасности жизнедеятельности. Но на этом он не заканчивается. Если вы работаете в благополучной европейской стране, то вам следует заняться экологией (например, оптимизировать энергопотребление и помочь получить сертификат экологического соответствия) - в Евросоюзе это даст клиенту налоговые вычеты. Политика безопасности, разработка норм и процедур для дата-центра и для всего предприятия, обучение персонала работе с системой - всё это тоже забота интегратора. И только теперь можно говорить об обслуживании системы.
Один из внутренних ярусов физической защиты
Начнем с периметра
Определение потребностей дата-центра в системах технической защиты требует предварительной работы и большой предусмотрительности. И начать стоит с подробного обсуждения рисков с заказчиком. Оценка рисков должна применяться как к самому дата-центру, так и ко всему зданию (если в здании находится что-то ещё). Если результаты правильно сформулировать, то они станут прекрасной шпаргалкой для проектировщика решений по физической и логической защите. Цель защиты периметра - сдерживать, выявлять и препятствовать проникновению.
Пора определиться с местами для компонентов. Где будут камеры? Какие двери следует защитить СКУДом? Сколько нужно факторов авторизации, чтобы открыть дверь? Выбор технологии будет вторичным к среде и архитектуре.
...
Полную версию статьи «Превращаем дата-центр в крепость. Системы физической защиты центров обработки данных», читайте в электронном журнале Security Focus.