Превращаем дата-центр в крепость. Системы физической защиты центров обработки данных

Ночь. Телефонный звонок. Дежурный администратор ЦОДа, вздрогнув, снимает трубку и заспанным голосом произносит название хостинговой компании. Звонит один из клиентов, установивший свои «железки» на colocation около недели назад.

— У нас проблемы с оборудованием. Похоже, аппаратный сбой.

— Вам подключить KVM?

— Будет проще посмотреть вживую. Могу я сейчас подъехать?

— Да, конечно, так будет даже проще...

Администратору будет менее хлопотно пустить клиента разбираться самому, чем возиться с консолью. Кстати, ставил новый клиент серверы тоже ночью, сославшись на огромную занятость. На самом деле, когда юниты монтировались в стойки, проходила первая, подготовительная часть операции — сбор данных. Сколько людей есть в дата-центре после полуночи, как защищён внешний периметр (оказалось, что карточной СКУД), как физически разделены зоны разных клиентов (оказалось, что никак), где находятся «слепые зоны» видеонаблюдения — вся эта информация была тщательно собрана и обдумана авантюристами.

Истинной целью визита был сервер БД популярного стартапа, связанного с гостиничным бизнесом, — этакого доработанного booking.com от отечественных мастеров. За два года сервисом воспользовались приблизительно 18 000 человек. Не так уж и много, но и не мало: создатели упивались самолюбованием, но расширять инфраструктуру ещё не было нужды.

Все клиенты вводили номера своих банковских карт с CVC-кодами, и эта информация (сугубо для удобства пользователей) сохранялась в базе данных. Много важного выболтал сам технический директор стартапа. Это было на очередном форуме «профессионалов Рунета» в рублёвском лесу. Потребовалось чуть-чуть лести, — и он уже, потягивая виски в буфете пансионата «Лесные дали», самодовольно рассказывал об аппаратной части проекта. Например, что жёсткие диски на сервере БД сконфигурированы в зеркальный массив RAID 1 с поддержкой «горячей замены». О том, что дата-центр хостера находится в подвале офисного здания, «и они, конечно, раздолбаи, но точно не отключат сервер за задержку оплаты. И к этим ребятам я могу приехать в любое время суток, не заказывая заранее пропуск».

Вот наш герой и приехал ночью. Приложил карточку к считывателю, прошёл через турникет и застал на месте двух человек — заспанного администратора и сидящего за монитором видеонаблюдения скучающего охранника. Проследовал вслед за админом в прохладное от кондиционера помещение с серверными стойками, попросил подсоединить к своему юниту монитор и ввел в bash несколько команд. А потом ему понадобился шуроповёрт, за которым он тоже обратился к сотруднику ЦОДа. Как только администратор вышел, раздался звук разбитого стекла и вой сигнализации — в окно первого этажа влетела бутылка из-под пива. Опять эта шпана! То зеркала с машины снимут, то окно разобьют. Охранник поморщился, сделал лицо посуровее и пошёл разбираться.

Массив RAID 1 с поддержкой «горячей замены» хорош тем, что, если вытащить один диск, то на нём будут цельные, читаемые данные. Пользователи при этом ничего не заметят. Действительно, подмену диска в сервере обнаружили только через две недели, когда неназванные преступники уже пили коктейли в Латинской Америке в окружении девушек в бикини. Но даже после этого популярный стартап отрицал свою причастность к краже нескольких миллионов долларов с тысяч банковских карт. Кстати, период перезаписи архива в системе видеонаблюдения ЦОДа к тому времени уже истёк. А договор преступника с хостером был заключен, как выяснилось, по украденному паспорту.

Оцениваем риски

История вымышленная, но вполне могла бы произойти в реальности. Сотрудник редакции Security News однажды видел, как на colocation ставят серверы с одним проектом стоимостью в пару миллионов долларов — так вот, серверная ферма находилась перед внешним периметром офисного здания, где хостер арендовал помещение. И ничего не стоило остаться в дата-центре одному. Но такая халатность, конечно, — всё же исключение.

Обеспечение безопасности дата-центра — это всегда большой и сложный проект. Если вы выступаете интегратором, то это ваша работа — разобраться в хитросплетениях специфики объекта. Какие системы и подходы требуются? Как вы (самое главное) можете помочь клиенту в достижении его целей?

Глубокое понимание нужд клиента и формулировка действительно ценных, экономически выгодных для заказчика предложений поможет вам заполучить лояльность клиента на всё время жизни решения. А затем упростит новую продажу.

Путь к успеху хотя бы одного проекта состоит из множества шагов. Сначала выполните (разумеется, вместе с заказчиком) оценку рисков. За первым наброском эксплуатационных требований обычно проводят анализ и выбор решений. Составьте список того, что может подойти для внедрения. Ключевой термин современной защиты периметров — ярусный подход. Проект по безопасности дата-центра может включать в себя СКУД, видеонаблюдение, охранную сигнализацию, системы противопожарной защиты и контроля безопасности жизнедеятельности. Но на этом он не заканчивается. Если вы работаете в благополучной европейской стране, то вам следует заняться экологией (например, оптимизировать энергопотребление и помочь получить сертификат экологического соответствия) — в Евросоюзе это даст клиенту налоговые вычеты. Политика безопасности, разработка норм и процедур для дата-центра и для всего предприятия, обучение персонала работе с системой — всё это тоже забота интегратора. И только теперь можно говорить об обслуживании системы.

Один из внутренних ярусов физической защиты

Начнем с периметра

Определение потребностей дата-центра в системах технической защиты требует предварительной работы и большой предусмотрительности. И начать стоит с подробного обсуждения рисков с заказчиком. Оценка рисков должна применяться как к самому дата-центру, так и ко всему зданию (если в здании находится что-то ещё). Если результаты правильно сформулировать, то они станут прекрасной шпаргалкой для проектировщика решений по физической и логической защите. Цель защиты периметра — сдерживать, выявлять и препятствовать проникновению.

Пора определиться с местами для компонентов. Где будут камеры? Какие двери следует защитить СКУДом? Сколько нужно факторов авторизации, чтобы открыть дверь? Выбор технологии будет вторичным к среде и архитектуре.

Дата-центр — идеальный объект для иллюстрирования ярусного подхода к защите. Работайте от периферии к центру. От ворот парковки к ядру инфраструктуры. Разделение прав доступа по уровням — это действительное, а не мнимое повышение безопасности. Добавить ещё один уровень можно с помощью нового фактора авторизации. Карта и PIN-код лучше, чем просто карта. Сотрудники передают карты сторонним лицам или теряют их. Если вы добавите ещё и PIN-код, это уменьшит вероятность несанкционированного проникновения.

Карточный терминал + PIN-код + биометрический считыватель — ещё более надёжное решение. Люди не могут обменяться отпечатками пальцев, поэтому «обмануть» такую систему безопасности практически невозможно. Безусловно, некоторые приложения могут быть весьма дорогими — и определить (если хотите, обосновать) их целесообразность поможет, опять же, развёрнутая оценка рисков. Чтобы сэкономить, используйте только карточки или карточки вместе с PIN-кодом для большинства внешних дверей, а в качестве второго уровня защиты применяйте видеонаблюдение и переговорную систему.

Есть условное правило: прежде чем добраться до ядра дата-центра, человек должен пройти авторизацию семь раз. Начните с карточного считывателя (или вахты с охранником) на внешнем периметре и повышайте строгость авторизации для каждого следующего уровня доступа. Используйте биометрию, считыватель карт и PIN-код для доступа к ядру дата-центра. Тщательно обсудите с вашим заказчиком разделение ЦОДа на зоны безопасности и ограничивайте права доступа пользователей только теми зонами, которыми им необходимо пользоваться.

Авторизуйте всех посетителей и курьеров на внешней стороне «кожи» здания — попадать внутрь должны только авторизованные люди и проверенные объекты. Выберите PSIM-систему (Physical security information management — управление обменом данными в системах физической безопасности) с функциями по защите периметра от вторжения (или ту, которая может интегрироваться с системой защиты периметра). Пользовательский интерфейс решения должен подтверждать, что на объекте находятся только проверенные люди.

Вход в зону размещения серверов неплохо бы защитить биометрическими средствами

Как быть с клиентами хостинговой компании?

Если ваш клиент — хостинговая компания, то перед вами — непростая задача. Как разделять доступ клиентов в зоне серверов?

Тщательно разберитесь в устройстве серверной фермы. Каждый сервер должен быть ограждён от посторонних людей и, в некоторых случаях, персонала. Клиент должен иметь защищённый физический доступ к своему серверу без возможности доступа к соседним серверам (например, у одного хостера может стоять оборудование нескольких конкурирующих компаний). В некоторых ЦОДах используются внутренние ограждения или даже стены между оборудованием разных клиентов.

Каждому клиенту выдаётся удостоверение (или удостоверение и PIN-код). Хостинговая компания отслеживает и логирует перемещения клиента. Пользователь, таким образом, может быть уверен, что его оборудование находится в безопасности, но он всегда получит к нему доступ. А хостер знает, что контролирует клиентов. Посещающие дата-центр пользователи не смогут добраться до чужих серверов.

Расписываем, кто, когда и что должен делать

Вместе с представителем заказчика вам надо будет составить политику (программу) безопасности, которая удовлетворит индивидуальным потребностям его компании. Не постесняйтесь предложить свою помощь в определении правил и процедур — и, желательно, в их внедрении. Вместе оцените различные меры по сдерживанию и детектированию несанкционированного проникновения и вместе решите, какие из них подойдут к корпоративной культуре и потребностям заказчика.

...