المشكلة رقم 1. سحابة مع اتصال بالإنترنت
أنشأ البنك السحابة الخاصة بواسطة فريق تكنولوجيا المعلومات الداخلي لقطاع شبكة معين. بمرور الوقت ، قدرت الإدارة فوائدها وقررت توسيع مفهوم السحابة الخاصة ليشمل بيئات وقطاعات أخرى من البنك. هذا يتطلب المزيد من المتخصصين والخبرة القوية في السحب الخاصة. لذلك ، تم تكليف فريقنا بتحديث السحابة.
كان التدفق الرئيسي لهذا المشروع هو إنشاء أجهزة افتراضية في جزء إضافي من أمن المعلومات - في المنطقة منزوعة السلاح (DMZ). وهنا تتكامل خدمات البنك مع أنظمة خارجية خارج البنية التحتية المصرفية.
لكن هذه الميدالية كان لها أيضًا جانب سلبي. كانت الخدمات من المنطقة المجردة من السلاح متوفرة "من الخارج" وهذا ينطوي على مجموعة كاملة من مخاطر أمن المعلومات. بادئ ذي بدء ، هذا هو التهديد باختراق النظام ، والتوسع اللاحق في مجال الهجوم في المنطقة المجردة من السلاح ، ثم اختراق البنية التحتية للبنك. لتقليل بعض هذه المخاطر ، اقترحنا استخدام أداة حماية إضافية - حل التجزئة الدقيقة.
حماية التجزئة الدقيقة
يبني التقسيم الكلاسيكي حدودًا آمنة عند حدود الشبكة باستخدام جدار حماية. مع التجزئة الدقيقة ، يمكن فصل كل جهاز افتراضي فردي إلى قطاع معزول شخصي.
هذا يعزز أمن النظام بأكمله. حتى إذا اقتحم المهاجمون خادم DMZ واحد ، فسيكون من الصعب للغاية عليهم نشر الهجوم عبر الشبكة - سيتعين عليهم اختراق العديد من "الأبواب المغلقة" داخل الشبكة. يحتوي جدار الحماية الشخصي لكل جهاز افتراضي على قواعده الخاصة فيما يتعلق به ، والتي تحدد حق الدخول والخروج. قدمنا التجزئة المصغرة باستخدام جدار الحماية الموزع VMware NSX-T. ينشئ هذا المنتج قواعد جدار الحماية مركزيًا للأجهزة الافتراضية ويوزعها عبر البنية التحتية الافتراضية. لا يهم نظام التشغيل الضيف المستخدم ، يتم تطبيق القاعدة على مستوى اتصال الأجهزة الافتراضية بالشبكة.
المشكلة N2. بحثا عن السرعة والراحة
نشر آلة افتراضية؟ سهل! بضع نقرات وانتهيت. ولكن بعد ذلك تبرز العديد من الأسئلة: كيف يمكن الوصول من هذا الجهاز الظاهري إلى نظام آخر أو نظام؟ أو من نظام آخر يعود إلى VM؟
على سبيل المثال ، في أحد البنوك ، بعد طلب VM على بوابة سحابية ، كان من الضروري فتح بوابة دعم فني وتقديم طلب لتوفير الوصول الضروري. خطأ في التطبيق تحول إلى مكالمات ومراسلات لتصحيح الموقف. في الوقت نفسه ، يمكن أن يكون لـ VM 10-15-20 وصولًا ، واستغرق تطوير كل منها وقتًا. عملية شيطانية.
بالإضافة إلى ذلك ، فإن "تنظيف" آثار نشاط الآلات الافتراضية البعيدة يتطلب عناية خاصة. بعد إزالتها ، ظلت الآلاف من قواعد الوصول على جدار الحماية ، وتحميل المعدات. هذا يمثل عبئًا إضافيًا وثغرات أمنية.
لا يمكنك القيام بذلك مع القواعد في السحابة. هذا غير مريح وغير آمن.
لتقليل وقت توفير الوصول إلى الأجهزة الافتراضية وجعلها ملائمة لإدارتها ، قمنا بتطوير خدمة لإدارة الوصول إلى الشبكة لأجهزة افتراضية.
يحدد المستخدم على مستوى الجهاز الظاهري في قائمة السياق عنصرًا لإنشاء قاعدة وصول ، ثم في النموذج المفتوح يشير إلى المعلمات - من أين ، وأين ، أنواع البروتوكول ، وأرقام المنافذ. بعد ملء النموذج وإرساله ، يتم إنشاء التذاكر الضرورية تلقائيًا في نظام دعم العملاء استنادًا إلى HP Service Manager. يأتون إلى المسؤولين عن الموافقة على هذا الوصول أو ذاك ، وإذا تمت الموافقة على الوصول ، إلى المتخصصين الذين يؤدون جزءًا من العمليات ، والتي لم تتم بعد آليًا.
بعد اكتمال مرحلة العملية التجارية بمشاركة المتخصصين ، يبدأ هذا الجزء من الخدمة الذي ينشئ تلقائيًا قواعد على جدران الحماية.
باعتباره الوتر الأخير ، يرى المستخدم طلبًا مكتملًا بنجاح على البوابة. هذا يعني أنه تم إنشاء القاعدة ويمكنك التعامل معها - العرض والتغيير والحذف.
درجة الفائدة النهائية
في الواقع ، لقد قمنا بتحديث جوانب صغيرة من السحابة الخاصة ، لكن البنك كان له تأثير ملحوظ. يمكن للمستخدمين الآن الوصول عبر الإنترنت فقط من خلال البوابة ، وليس التعامل المباشر مع مكتب الخدمة. حقول النموذج الإلزامية ، والتحقق من صحتها من أجل صحة البيانات المدخلة ، والقوائم المعدة مسبقًا ، والبيانات الإضافية - كل هذا يساعد في تكوين طلب دقيق للوصول ، والذي سيتم النظر فيه بدرجة عالية من الاحتمال ولن يتم اختتامه بواسطة موظفي أمن المعلومات بسبب أخطاء الإدخال. لم تعد الأجهزة الافتراضية مربعات سوداء - يمكنك العمل معها بشكل أكبر عن طريق إجراء تغييرات على البوابة.
ونتيجة لذلك ، أصبح لدى متخصصي تكنولوجيا المعلومات في البنك اليوم أداة أكثر ملاءمة للوصول إليها ، ولا يشارك في هذه العملية سوى هؤلاء الأشخاص ، ومن المستحيل الاستغناء عنها بالتأكيد. فيما يتعلق بتكاليف العمالة ، يعد هذا إعفاء من الحمل اليومي الكامل لشخص واحد على الأقل ، بالإضافة إلى عشرات الساعات التي يتم توفيرها للمستخدمين. أتاحت أتمتة إنشاء القواعد إمكانية تنفيذ حل التجزئة المصغر الذي لا يشكل عبئًا على موظفي البنك.
أخيرًا ، أصبحت "قاعدة الوصول" حسابًا سحابيًا. أي ، تقوم السحابة الآن بتخزين المعلومات حول القواعد لجميع الأجهزة الافتراضية وتنظيفها عند حذف الأجهزة الافتراضية.
وسرعان ما انتشرت فوائد التحديث إلى سحابة البنك بالكامل. لقد صعدت أتمتة إنشاء الأجهزة الظاهرية والتجزئة الصغيرة خارج المنطقة المجردة من السلاح واستولت على بقية الأجزاء. وقد أدى هذا إلى زيادة أمان السحابة ككل.
الحل الذي تم تنفيذه مثير للاهتمام أيضًا لأنه يسمح للبنك بتسريع عمليات التطوير ، مما يجعله أقرب إلى نموذج شركات تكنولوجيا المعلومات وفقًا لهذا المعيار. بعد كل شيء ، عندما يتعلق الأمر بتطبيقات الهاتف المحمول والبوابات وخدمات العملاء ، فإن أي شركة كبيرة اليوم تسعى جاهدة لتصبح "مصنعًا" لإنتاج المنتجات الرقمية. وبهذا المعنى ، تلعب البنوك عمليا على قدم المساواة مع أقوى شركات تكنولوجيا المعلومات ، وتواكب إنشاء تطبيقات جديدة. ومن الجيد أن تسمح لك إمكانات البنية التحتية لتكنولوجيا المعلومات المبنية على نموذج السحابة الخاصة بتخصيص الموارد اللازمة لذلك في بضع دقائق وبأمان قدر الإمكان.
المؤلفون:
فياتشيسلاف ميدفيديف ، رئيس قسم الحوسبة السحابية لأنظمة المعلومات النفاثة ؛
إيليا كويكين ، المهندس الرئيسي لقسم الحوسبة السحابية لأنظمة المعلومات النفاثة