امنیت محاسبات ابری

از ویکی‌پدیا، دانشنامهٔ آزاد
پرش به: ناوبری، جستجو

امنیت محاسبات ابری (گاهی اوقات به امنیت ابری تعبیر می شود) که زیر مجموعه ای از امنیت کامپیوتری، امنیت شبکه و در حالت کلی تر امنیت اطلاعات به حساب می آید. این مفهوم شامل مجموعه ای از سیاست ها، تکنولوژی ها و کنترل ها جهت محافظت از داده ها، برنامه ها و زیرساخت های امنیتی در محاسبات ابری است.

مسائل امنیتی مرتبط با محاسبات ابری[ویرایش]

سازمانها از محاسبات ابری در بسیاری از مدل های سرویس دهی از قبیل (نرم‌افزار به عنوان سرویس،زیر ساخت به عنوان سرویس و پلاتفرم به عنوان سرویس) و مدل های گسترش یافته نظیر (خصوصی، عمومی و ترکیبی) استفاده می کنند. مسائل و نگرانی های امنیتی در ارتباط با محاسبات ابری وجود دارد اما تمام این نگرانی ها به 2 دسته کلی تقسیم می شوند: اول، مسائل امنیتی مربوط به فراهم کنندگان محاسبات ابری و دوم، مسائل امنیتی مربوط به مشتریان. در اغلب موارد، فراهم کننده باید از ایمن بودن زیرساختش مطمئن باشد و از داده های مشتریانش و برنامه های کاربردی محافظت کند در حالیکه، مشتری باید از عملکرد فراهم کننده خدمات محاسبات ابری در راستای ایجاد معیارهای امنیتی مناسب برای محافظت از داده هایش مطمئن شود. کابرد گسترده مجازی سازی در پیاده سازی زیرساخت محاسبات ابری نگرانی های امنیتی یکسانی برای مشتریان و خدمات عمومی محاسبات ابری ایجاد کرده است. مجازی سازی، جایگزین ارتباط بین سیستم عامل و سخت افزار در محاسبات، ذخیره سازی ها و حتی شبکه می شود. این امر باعث معرفی لایه جدیدی به نام لایه مجازی میشود که خودش نیاز به تنظیم، مدیریت و امنیت صحیح دارد. نگرانی اصلی در این راستا شامل سازگاری نرم‌افزارهای مجازی یا "hypervisor" است. اگرچه که این نگرانی ها بیشتر به صورت تئوری مطرح می شوند اما می توانند در واقعیت وجود داشته باشند. مثلاً، یک شکاف در ایستگاه کاری مدیریت که از نرم‌افزارهای مدیریتی مجازی استفاده می کند می تواند باعث از کار افتادن یک پایگاه داده یا تنظیم مجدد آن به صورتی مطلوب برای مهاجم شود.

کنترل های امنیتی در محاسبات ابری[ویرایش]

معماری امنیت ابری فقط در صورتی کاراست که پیاده سازی های دفاعی صحیح وجود داشته باشد. یک معماری امنیت ابری کارا باید مسائل امنیتی در سطح مدیریتی را شناسایی کند. مدیریت امنیت مسائل کنترل های امنیتی را نشان می دهد. این کنترل ها برای محافظت از هر نوع ضعفی در سیستم و کاهش اثر یک حمله قرار داده شده اند. اگرچه که بسیاری از انواع کنترل، پشت معماری امنیتی محاسبات ابری وجود دارد، آنها می توانند در دسته های زیر قرار گیرند:

کنترل های بازدارنده[ویرایش]

این کنترل ها به منظور جلوگیری از هر نوع حمله عمدی در یک سیستم محاسبات ابری تنظیم شده است. این کنترل ها، باعث کاهش آسیب پذیری واقعی یک سیستم نمی‌شوند.

کنترل های پیش گیرنده[ویرایش]

این کنترل ها به کمک مدیریت آسیب پذیری ها سبب افزایش قدرت سیستم می شوند. کنترل پیش گیرنده، از آسیب پذیری های سیستم محافظت خواهد کرد، اگر یک حمله اتفاق بیفتد، بعد از آن این نوع از کنترل ها سعی در پوشش حمله و کاهش خرابی امنیت سیستم می کند.

کنترل های تصحیح کننده[ویرایش]

این کنترل سعی در کاهش اثر حمله دارد. برخلاف کنترل پیش گیرنده، کنترل تصحیح کننده در حین وقوع حمله، عکس العمل نشان می دهد.

کنترل شناسایی کننده[ویرایش]

این نوع از کنترل سعی در شناسایی حمله حین وقوع آن دارد. در زمان رخداد حمله، کنترل شناسایی کننده، سیگنالی برای کنترل های پیش گیرنده یا تصحیح کننده برای مشخص کردن مشکل ارسال می کند.

ابعاد امنیت ابری[ویرایش]

کنترل های امنیتی درستی باید برای دارایی ها، تهدیدها و ریسک آسیب پذیری ماتریس های ارزیابی پیاده سازی شوند. اگرچه که نگرانی های امنیتی در محاسبات ابری می توانند به ابعاد مختلفی تقسیم بندی شوند(گارتنر 7 تا از آنها را نام برده و Cloud Security Alliance 14 تا از این نگرانی ها را شناسایی کرده) این ابعاد به 3 دسته کلی تقسیم شده اند: مسائل امنیتی و خصوصی سازی، مسائل پذیرش و مسائل حقوقی و قراردادی.

مسائل امنیتی و خصوصی سازی[ویرایش]

مدیریت هویت هر سازمانی به منظور کنترل دسترسی به اطلاعات و منابع محاسباتی نیاز به سیستم مدیریت هویت خودش دارد. فراهم کنندگان محاسبات ابری یا سیستم مدیریت هویت مشتریان به زیرساخت هایشان را با کمک تکنولوژی SSO یکپارچه می کنند و یا یک راه حل اختصاصی در مدیریت هویت ارائه می دهند. امنیت پرسنلی و فیزیکی ارائه دهنده ها مطمئن هستند که ماشین های فیزیکی به اندازه کافی امن هستند و دسترسی به این ماشین ها و داده های مربوط به مشتریان تنها محدودیت نیست و تمام دسترسی ها مستند می شوند. دسترس پذیری ارائه دهنده ها مطمئن هستند که آهنا دسترسی مرتب و قابل پیش بینی به داده ها و برنامه هایشان دارند. امنیت برنامه ها ارائه دهنده ها مطمئن هستند که برنامه ها به عنوان یک سرویس روی محاسبات ابری که امنیت آنها با پیاده سازی رویه های تست و پذیرش برای به خارج فرستادن یا کد برنامه های پکیج شده در دسترس هستند. همچنین این مکانیزم، نیاز به معیارهایی برای امنیت برنامه ها در محیط کارفرما دارند. خصوصی سازی نهایتاً، فراهم کنندگان محاسبات ابری مطمئن هستند که تمام داده های حساس (برای مثال، شماره کارت های اعتباری) ماسک می شوند و تنها کاربران دارای مجوز، اجازه دسترسی به داده ها را دارند. به علاوه، شناسه های دیجیتالی و گواهی نامه ها باید از هر نوع داده ای که ارائه دهنده، درباره فعالیت های مشتری جمع می کند یا تولید میکند حفظ شود. مسائل قانونی به علاوه، ارائه دهنده ها و مشتریان باید مسائل قانونی از قبیل قراردادها و E-Discovery و قوانین مرتبط که ممکن است در کشورهای مختلف متفاوت باشد را در نظر بگیرند.

توافق ها[ویرایش]

تعداد زیادی از مقررات مربوط به ذخیره سازی و استفاده از داده ها از قبیل: استاندارد امنیت داده ها در صنعت کارت های پرداخت ((Payment Card Industry Data Security Standard (PCI DSS)، بیمه سلامت قابل حمل و حسابرسی ((Health Insurance Portability and Accountability Act (HIPAA)، Sarbanes-Oxley Act. بسیاری از این مقررات، نیاز به گزارش ها و حسابرسی های منظم دارند. ارائه دهندگان محاسبات ابری باید قادر باشند مشتریانشان را مجبور کنند تا این قوانین را رعایت کنند. تداوم کسب و کار و بازیابی اطلاعات ارائه دهندگان محاسبات ابری برنامه هایی برای تداوم کسب و کار و بازیابی داده ها برای اطمینان از اینکه این سرویس می تواند خطرات و ضرورت های از بین رفتن داده ها را دارند. این برنامه ها توسط مشتریان دیده و به اشتراک گذاشته می شوند. گزارش ها و بازرسی ها علاوه بر گزارش ها و بازرسی ها، ارائه کنندگان محاسبات ابری با مشتریان کار میکنند تا مطمئن شوند که این گزارش ها و بازرسی ها به طور درستی امن شده اند، تا زمانیکه مشتریان نیاز دارند نگهداری می شوند و برای سرمایه گذاری های قانونی در دسترس هستند. رعایت نیازمندی های منحصربه‌فرد استفاده از یک فراهم کننده سرویس محاسبات ابری میتواند منجر به نگرانی های امنیتی اضافی درباره صلاحیت داده ها شود چون که مشتریان داده ها روی سیستم یکسان یا مرکز داده مشابه یا درون یک ارائه دهنده محاسبات ابری یکسانی باقی نمی‌مانند.

مسائل حقوقی و قراردادی[ویرایش]

گذشته از امنیت و رعایت مسائل برشمرده شده در بالا، ارائه دهندگان محاسبات ابری و مشتریان آنها درباره مسئولیت هایی مذاکره خواهند کرد از قبیل مشخصه های معنوی و زمان پایان خدمات (زمانیکه داده و برنامه های کاربردی در نهایت به مشتری بازگردانده می شود).

پرونده های عمومی[ویرایش]

مسائل حقوقی نیز ممکن است شامل نیازهایی برای نگهداری سوابق در بخش دولتی، که در آن بسیاری از سازمان ها توسط قانون برای حفظ و ایجاد پرونده های الکترونیکی موجود در یک مد خاص است می باشد. این امر توسط قانونگذاری ممکن است به منظور نیاز سازمان به مطابقت با قوانین و شیوه های تعیین شده توسط آژانس های حفظ سوابق مشخص شود. سازمان های دولتی با استفاده از محاسبات ابری و ذخیره سازی باید این نگرانی ها را به مورد توجه قرار دهند.

منابع[ویرایش]

  • Swamp Computing a.k.a. Cloud Computing". Web Security Journal. 2009-12-28. Retrieved 2010-01-25.
  • Winkler, Vic. "Cloud Computing: Virtual Cloud Security Concerns". Technet Magazine, Microsoft. Retrieved 12 February 2012.
  • Hickey, Kathleen. "Dark Cloud: Study finds security risks in virtualization". Government Security News. Retrieved 12 February 2012.
  • Winkler, Vic (2011). Securing the Cloud: Cloud Computer Security Techniques and Tactics. Waltham, MA USA: Elsevier. p. 59. ISBN 978-1-59749-592-9.
  • Krutz, Ronald L., and Russell Dean Vines. "Cloud Computing Security Architecture." Cloud Security: A Comprehensive Guide to Secure Cloud Computing. Indianapolis, IN: Wiley, 2010. 179-80. Print.
  • Krutz, Ronald L., and Russell Dean Vines. "Cloud Computing Security Architecture." Cloud Security: A Comprehensive Guide to Secure Cloud Computing. Indianapolis, IN: Wiley, 2010. 179-80. Print.
  • Krutz, Ronald L., and Russell Dean Vines. "Cloud Computing Security Architecture." Cloud Security: A Comprehensive Guide to Secure Cloud Computing. Indianapolis, IN: Wiley, 2010. 179-80. Print
  • "4 Cloud Computing Security Policies You Must Know". CloudComputingSec. 2011. Retrieved 2011-12-13.
  • "Gartner: Seven cloud-computing security risks". InfoWorld. 2008-07-02. Retrieved 2010-01-25.
  • "Security Guidance for Critical Areas of Focus in Cloud Computing". Cloud Security Alliance. 2011. Retrieved 2011-05-04.
  • "Cloud Security Front and Center". Forrester Research. 2009-11-18. Retrieved 2010-01-25.

پیوند به بیرون[ویرایش]

مطالعات بیشتر[ویرایش]