An ninh, an toàn thông tin trong điện toán đám mây

Ngườitrình bày: Lê Trung Nghĩa

Hộithảo: CIO với thách thức từ công nghệ mới.

Chươngtrình Hỗ trợ doanh nghiệp Ứng dụng CNTT phục vụ hộinhập và phát triển giai đoạn 2010 – 2015, do VCCI và BộThông tin và Truyền thông tổ chức tại Hà Nội ngày28/06/2010 và Thành phố Hồ Chí Minh ngày 30/06/2010 với sựtài trợ của Intel.

1. Định nghĩa và các khái niệm liên quan tới điện toán đám mây (ĐTĐM)

   1. ĐTĐM là điện toán dựa trên Internet, khi các tài nguyên, phần mềm và thông tin chia sẻ được cung cấp cho các máy tính và các thiết bị khác theo yêu cầu, như mạng lưới điện vậy.

Ảnh: ĐTĐM(Nháy vào đường link để xem)

1. Một mô hình mới về phân phối và sử dụng các dịch vụ công nghệ thông tin dựa trên Internet, đặc trưng bởi việc cung cấp các tài nguyên thường được ảo hóa như một dịch vụ trên Internet.

2. Hầu hết hạ tầng và nền tảng của điện toán đám mây cấu tạo từ các dịch vụ, được phân phối thông qua các trung tâm dữ liệu và được xây dựng trên các máy chủ.

3. Các đám mây thường là những điểm truy cập duy nhất cho tất cả các nhu cầu điện toán của người tiêu dùng.

Ảnh:Môhình trực giác định nghĩa của ĐTĐM (Nháy vào đườnglink để xem)

1. Giải nghĩa một số khái niệm trong mô hình trực giá định nghĩa của ĐTĐM:

   • Truy cập mạng rộng rãi: bằng các thiết bị, phương tiện khác nhau.

   • Tính mềm dẻo cao: dễ mở rộng, thu hẹp phạm vi khi cần. Người sử dụng với yêu cầu số lượng bất kỳ và bất cứ lúc nào.

   • Dịch vụ được đo đếm: tự kiểm soát và tối ưu hóa việc sử dụng tài nguyên.

   • Tự phục vụ theo yêu cầu: sử dụng dịch vụ không có sự tương tác giữa người sử dụng và nhà cung cấp dịch vụ.

   • Bòn rút tài nguyên: để phục vụ được nhiều người cùng một lúc theo yêu cầu của người sử dụng. Việc bòn rút tài nguyên được thực hiện ngay cả trong mô hình đám mây riêng với các tài nguyên của các bộ phận khác nhau trong cùng một tổ chức.

1. Kiến trúc mô hình tham chiếu đám mây

Ảnh:Kiếntrúc mô hình tham chiếu đám mây (Nháy vào đườnglink để xem)

• IaaS chứa toàn bộ các tài nguyên hạ tầng trang thiết bị và phần cứng, các tài nguyên ảo hóa (nếu có), phân phối các kết nối vật lý và logic cho các tài nguyên này, cung cấp một tập hợp các APIs cho phép quản lý và tạo nên sự tương tác với hạ tầng của người sử dụng. Nó là nền tảng của tất cả các dịch vụ ĐM, PaaS và SaaS được xây lần lượt trên nó, thừa hưởng mọi rủi ro an ninh của nó.

• PaaS, so với IaaS, bổ sung thêm lớp tích hợp để xây dựng các ứng dụng trên nền tảng có sẵn: PM trung gian, ngôn ngữ & công cụ lập trình.

• SaaS đưa ra môi trường điều hành để phân phối cho người sử dụng nội dung, cách trình bày, các ứng dụng và khả năng quản lý.

• Nhà cung cấp ĐTĐM dừng càng thấp bao nhiêu trong mô hình kiến trúc này, thì trách nhiệm triển khai và quản lý về an ninh của người sử dụng càng cao bấy nhiêu.

• Phân nhỏ trong kiến trúc → phân nhỏ trong trách nhiệm. Ví dụ, từ IaaS → Lưu trữ như một dịch vụ (Storage as a Service) → Phân loại dịch vụ trong ĐTĐM → 'XYZ as a Service'.

1. Khái niệm an ninh điện toán đám mây (ĐTĐM)

   1. An ninh ĐTĐM (an ninh đám mây) là một lĩnh vực tiến hóa của an ninh máy tính, an ninh mạng và, ở mức độ rộng lớn hơn, an ninh thông tin.

   2. Nó tham chiếu tới một tập hợp lớn các chính sách, các công nghệ, và những kiểm soát được triển khai để bảo vệ các dự liệu, các ứng dụng và hạ tầng có liên quan tới ĐTĐM.

   3. Phạm vi ảnh hưởng của an ninh ĐTĐM trong 3 lĩnh vực chung:

      • An ninh và Tính riêng tư

      • Sự tuân thủ

      • Pháp lý hoặc Hợp đồng.

2. Cái gì, khi nào và cách nào để chuyển lên đám mây

   1. Xác định tài sản của tổ chức trong ĐTĐM:

      • Dữ liệu

      • Ứng dụng - Chức năng - Qui trình

Đượccung cấp theo mô hình Phần mềm - Nền tảng - Hạ tầngSPI (Software -, Platform-, Infrastructure-) như một dịch vụ

1. Đánh giá tài sản bằng các câu hỏi: Chúng ta có thể bị thiệt hại như thế nào nếu:

   • Tài sản trở nên công khai một cách rộng rãi và được phân phối một cách rộng rãi?

   • Nhân viên của nhà cung cấp dịch vụ đám mây truy cập được vào tài sản của chúng ta?

   • Qui trình hoặc chức năng bị điều khiển bởi một người lạ bên ngoài?

   • Qui trình hoặc chức năng không cung cấp được những kết quả như mong muốn?

   • Thông tin/Dữ liệu bị thay đổi không như mong muốn?

   • Tài sản không sẵn sàng trong một khoảng thời gian nào đó?

2. Bản chất của sự đánh giá qua các câu hỏi trên:

• Đánh giá tính cơ mật, tính toàn vẹn và những yêu cầu về tính sẵn sàng đối với tài sản;

• Chúng bị ảnh hưởng thế nào nếu tất cả hoặc một phần của tài sản bị điều khiển trong đám mây.

• Điều này rất tương tự như việc đánh giá một dự án thuê ngoài làm.

1. Người sử dụng đánh giá các rủi ro theo các lớp SPI

   • Mức độ kiểm soát tại mỗi lớp SPI - như một dịch vụ phải triển khai là khác nhau

   • Nếu có những yêu cầu riêng về kiểm soát thì phải đưa vào trong đánh giá này.

   • Tìm hiểu lưu trình của dữ liệu của tổ chức trong mối tương tác với nhà cung cấp ĐTĐM tại bất kỳ nút khách hàng nào (nếu có), lối vào và ra của các dữ liệu để đánh giá rủi ro.

2. Chọn mô hình phù hợp sau khi đánh giá tài sản

• Công cộng

• Riêng, nội bộ

• Riêng, thuê ngoài (bao gồm cả hạ tầng chuyên dụng và được chia sẻ)

• Cộng đồng: tính tới vị trí hosting, nhà cung cấp dịch vụ tiềm năng và xác định các thành viên khác của cộng đồng.

• Hỗn hợp. Để hiệu quả, ít nhất phải biết kiến trúc sơ bộ về đâu là nơi chứa các thành phần, các chức năng và các dữ liệu.

1. Một số mô hình liên quan tới an ninh ĐTĐM

   1. Mô hình kiểm soát an ninh ĐTĐM:

Ảnh:Môhình kiểm soát an ninh ĐTĐM (Nháy vào đường link đểxem)

Việckiểm soát an ninh với ĐTĐM, là tương tự như vẫn đượclàm đối với các hệ thống mạng, cộng thêm những đặctính của ĐTĐM.

1. Mô hình tuân thủ (Mỹ)

Ảnh: Môhình tuân thủ - Mỹ (Nháyvào đường link để xem)

PCI:(Payment Card Industry Data Security Standard) - Chuẩn An ninh Dữliệu Công nghiệp Thẻ Thanh toán PCI DSS

HIPAA:(Health Insurance Portability and Accountability Act,1996) - Luật về Trách nhiệm và Tính khả chuyển củaBảo hiểm Y tế.

GLBA:(Gramm-Leach-BlileyAct, 1999)- Luật này đã cấm bất kỳ cơ quan nào hành động nhưmột sự kết hợp giữa một ngân hàng đầu tư, mộtngân hàng thương mại và một công ty bảo hiểm.

SOX:(Sarbanes–Oxley Act, 2002) - Luật đã được ban hành nhưmột phản ứng đối với những vụ scandal kiểm toán củacác công ty gây ảnh hưởng như Enron, Tyco International,WorrldCom... Những vụ scandal này tước đi hàng tỷ USD củacác nhà đầu tư khi giá cổ phiếu của các công ty bịảnh hưởng sụp đổ, gây sốc cho sự tín nhiệm củacông chúng vào các thị trường an ninh quốc gia.

1. Kết hợp mô hình đám mây vào mô hình kiểm soát an ninh và mô hình tuân thủ

Ảnh: Kếthợp mô hình đám mây vào mô hình kiểm soát an ninh và môhình tuân thủ (Nháyvào đường link để xem)

• Kết hợp mô hình đám mây vào mô hình kiểm soát an ninh và mô hình tuân thủ, tìm ra những kẽ hở về an ninh và giải quyết chúng.

• Câu hỏi thường trực: Nếu có rủi ro mất hoặc lộ thông tin - dữ liệu, ai phải chịu trách nhiệm bồi thường và bồi thường như thế nào?

Bêncạnh các vấn đề an ninh và tuân thủ nêu trên, các nhàcung cấp đám mây và các khách hàng của họ sẽ thươngthảo về những điều khoản xung quanh trách nhiệm pháplý:

1. Qui định cách thức mà những sự cố liên quan tới việc mất dữ liệu hoặc tổn hại sẽ được giải quyết như thế nào?

2. Sở hữu trí tuệ của bên nào, cụ thể đối với những cái gì?

3. Kết thúc dịch vụ, khi dữ liệu và các ứng dụng cuối cùng sẽ phải trả lại cho khách hàng hoặc sự chuyển dịch dữ liệu sang một đám mây khác.

1. Các lĩnh vực sống còn nằm ngoài kiến trúc ĐTĐM

1. Kết luận

   1. Kiến trúc đám mây ảnh hưởng tới kiến trúc an ninh; Cân đối giữa kiểm soát an ninh và vận hành;

   2. Cần xây dựng khung công việc đánh giá và quản lý rủi ro, trên cơ sở đó xây dựng các tiêu chuẩn tuân thủ.

   3. Hiểu cách mà kiến trúc, công nghệ, qui trình và những yêu cầu đầu tư con người thay đổi hoặc giữ y nguyên khi triển khai các dịch vụ ĐTĐM là sống còn. Nếu hiểu không rõ về những ảnh hưởng của kiến trúc, thì không thể giải quyết được các vấn đề chi tiết hơn một cách hợp lý.

   4. Hiểu khái quát về kiến trúc, cùng với 12 lĩnh vực trọng tâm sống còn khác, sẽ cung cấp một nền tảng vững chắc cho việc đánh giá, vận hành, quản lý và chế ngự an ninh trong các môi trường ĐTĐM.

   5. Một số chuẩn: Trong bộ các chuẩn ISO/IEC 27K (hiện có khoảng hơn 20 chuẩn đã và đang được xuất bản) liên quan tới các hệ thống quản lý an ninh thông tin, có ISO/IEC 27036: Các chỉ dẫn về an ninh thuê ngoài làm (dự thảo). Chuẩn về giao thức mạng cho việc quản lý hạ tầng ĐTĐM gọi là Giao diện ĐTĐM Mở - OCCI (Open Cloud Computing Interface) ...

   6. Hoàn toàn mới với Việt Nam cả từ phía cơ sở pháp lý, các tiêu chuẩn kỹ thuật công nghệ..., cần có những nghiên cứu công nghệ, tiêu chuẩn và bổ sung pháp lý liên quan cho phù hợp.

2. Một số ví dụ mất an ninh những năm qua

   1. Năm 2010

      • Tháng 06/2010: AT&T để lộ thông tin của 114,000 người sử dụng iPad, chủ yếu là các quan chức nhà nước và quốc phòng Mỹ.

   2. Năm 2009

      • Tháng 12/2009: chiến dịch Aurora của Trung Quốc tấn công vào mạng của Google và hơn 20 công ty Mỹ khác lấy đi các thông tin về bằng sáng chế và địa chỉ thư điện tử các khách hàng của Google.

      • Tháng 12/2009 một cơ sở dữ liệu các mật khẩu RockYou đã bị lộ chứa 32 triệu tên và mật khẩu dạng văn bản thường của người sử dụng, gây tổn thương xa hơn cho việc sử dụng các mật khẩu yếu vì bất kỳ lý do gì.

      • Tháng 01/2009 các hệ thống thanh toán của Heartland đã thông báo rằng họ là “nạn nhân của một vụ tấn công về an ninh bên trong hệ thống xử lý của mình”, có lẽ một phần của một “chiến dịch gian lận không gian mạng toàn cầu”. Sự thâm nhập trái phép này đã được coi là vụ tội phạm lớn nhất đối với các dữ liệu thẻ từ trước tới nay, với ước tính tới 100 triệu thẻ từ hơn 650 công ty dịch vụ tài chính bị tổn thương.

   3. Năm 2008

      • Tháng 01/2008, GE Money, một đơn vị của General Electric, đã phát hiện rằng một băng từ chứa 150,000 số an ninh xã hội và thông tin thẻ tín dụng trong kho từ 650,000 khách hàng bán lẻ được cho là đã mất từ một cơ sở lưu trữ tại Iron Mountain Incorporated. Có 230 nhà bán lẻ bị ảnh hưởng.

   4. Năm 2007: Vụ TJ Maxx, dữ liệu của 45 triệu tài khoản thẻ tín dụng và thẻ nợ bị lộ

   5. Năm 2006:

      • Vụ của Bộ Cựu chiến binh: lộ thông tin của 28,600,000 cựu binh, quân dự bị

      • Ernst & Young, tháng 05/2006, các khách hàng của Hotels.com (sau một vụ mất dữ liệu của 38,000 nhân viên của các khách hàng của Ernst & Young vào tháng 02)

      • Boeing, tháng 12/2006, 382,000 nhân viên (sau vụ mất dữ liệu của 3,600 nhân viên hồi tháng 04/2006 và 161,000 nhân viên hồi tháng 11/2005)

   6. Năm 2005: Ameriprise Financial, máy xách tay bị ăn cắp, tháng 12/2005, 24,260,000 hồ sơ khách hàng bị lộ

3. Một số phát ngôn nổi tiếng và gần đây

   1. Giám đốc Thông tin Liên bang Mỹ Vivek Kundra: “Những gì quan trọng ngày nay là [sự phát triển và các tiêu chuẩn] trong lĩnh vực an ninh, tính tương hợp và tính khả chuyển của dữ liệu để đảm bảo các thông tin được bảo vệ, các đám mây và các ứng dụng máy tính mà chúng hỗ trợ có thể làm việc được cùng nhau, và nội dung có thể di chuyển được bên trong và giữa các đám mây khác nhau mà không có việc gây nguy hiểm cho sự truy cập tới hoặc tính toàn vẹn của các dữ liệu”. Nguồn: 25/05/2010.

   2. Một số nghị sĩ của Hạ viện Mỹ cũng đã “nhấn mạnh tới việc không có các tiêu chuẩn về an ninh, tính tương hợp và tính khả chuyển của dữ liệu, thì giá thành sẽ vượt trội, sẽ có sự chậm trễ và một kế hoạch chuyển đổi không rõ ràng của chính phủ” sang điện toán đám mây. Nguồn: 09/06/2010.

   3. Larry Ellison, CEO của Oracle: ĐTĐM được xác định như “mọi thứ mà chúng ta đã làm” và nó sẽ không có hiệu quả nào ngoại trừ “để thay đổi cách gọi trong một số quảng cáo của chúng ta”. Nguồn: 26/09/2008.

   4. Ric-hard Stallman: ĐTĐM chỉ đơn giản là một cái bẫy nhắm tới việc ép nhiều người hơn bị khóa trói vào các hệ thống sở hữu độc quyền mà có thể họ phải trả giá ngày một lớn hơn qua thời gian. “Điều này thật ngu ngốc. Nó còn tệ hơn là ngu ngốc: nó là một chiến dịch cường điệu hóa quảng cáo”. Nguồn: 29/09/2008.