An ninh, an toàn thông tin trong điện toán đám mây

Người trình bày: Lê Trung Nghĩa

Hội thảo: CIO với thách thức từ công nghệ mới.

Chương trình Hỗ trợ doanh nghiệp Ứng dụng CNTT phục vụ hội nhập và phát triển giai đoạn 2010 – 2015, do VCCI và Bộ Thông tin và Truyền thông tổ chức tại Hà Nội ngày 28/06/2010 và Thành phố Hồ Chí Minh ngày 30/06/2010 với sự tài trợ của Intel.

1. Định nghĩa và các khái niệm liên quan tới điện toán đám mây (ĐTĐM)

   1. ĐTĐM là điện toán dựa trên Internet, khi các tài nguyên, phần mềm và thông tin chia sẻ được cung cấp cho các máy tính và các thiết bị khác theo yêu cầu, như mạng lưới điện vậy.

Ảnh: ĐTĐM (Nháy vào đường link để xem)

2. Một mô hình mới về phân phối và sử dụng các dịch vụ công nghệ thông tin dựa trên Internet, đặc trưng bởi việc cung cấp các tài nguyên thường được ảo hóa như một dịch vụ trên Internet.

3. Hầu hết hạ tầng và nền tảng của điện toán đám mây cấu tạo từ các dịch vụ, được phân phối thông qua các trung tâm dữ liệu và được xây dựng trên các máy chủ.

4. Các đám mây thường là những điểm truy cập duy nhất cho tất cả các nhu cầu điện toán của người tiêu dùng.

Ảnh: Mô hình trực giác định nghĩa của ĐTĐM (Nháy vào đường link để xem)

1. Giải nghĩa một số khái niệm trong mô hình trực giá định nghĩa của ĐTĐM:

   • Truy cập mạng rộng rãi: bằng các thiết bị, phương tiện khác nhau.

   • Tính mềm dẻo cao: dễ mở rộng, thu hẹp phạm vi khi cần. Người sử dụng với yêu cầu số lượng bất kỳ và bất cứ lúc nào.

   • Dịch vụ được đo đếm: tự kiểm soát và tối ưu hóa việc sử dụng tài nguyên.

   • Tự phục vụ theo yêu cầu: sử dụng dịch vụ không có sự tương tác giữa người sử dụng và nhà cung cấp dịch vụ.

   • Bòn rút tài nguyên: để phục vụ được nhiều người cùng một lúc theo yêu cầu của người sử dụng. Việc bòn rút tài nguyên được thực hiện ngay cả trong mô hình đám mây riêng với các tài nguyên của các bộ phận khác nhau trong cùng một tổ chức.

1. Kiến trúc mô hình tham chiếu đám mây

Ảnh: Kiến trúc mô hình tham chiếu đám mây (Nháy vào đường link để xem)

• IaaS chứa toàn bộ các tài nguyên hạ tầng trang thiết bị và phần cứng, các tài nguyên ảo hóa (nếu có), phân phối các kết nối vật lý và logic cho các tài nguyên này, cung cấp một tập hợp các APIs cho phép quản lý và tạo nên sự tương tác với hạ tầng của người sử dụng. Nó là nền tảng của tất cả các dịch vụ ĐM, PaaS và SaaS được xây lần lượt trên nó, thừa hưởng mọi rủi ro an ninh của nó.

• PaaS, so với IaaS, bổ sung thêm lớp tích hợp để xây dựng các ứng dụng trên nền tảng có sẵn: PM trung gian, ngôn ngữ & công cụ lập trình.

• SaaS đưa ra môi trường điều hành để phân phối cho người sử dụng nội dung, cách trình bày, các ứng dụng và khả năng quản lý.

• Nhà cung cấp ĐTĐM dừng càng thấp bao nhiêu trong mô hình kiến trúc này, thì trách nhiệm triển khai và quản lý về an ninh của người sử dụng càng cao bấy nhiêu.

• Phân nhỏ trong kiến trúc → phân nhỏ trong trách nhiệm. Ví dụ, từ IaaS → Lưu trữ như một dịch vụ (Storage as a Service) → Phân loại dịch vụ trong ĐTĐM → 'XYZ as a Service'.

3. Khái niệm an ninh điện toán đám mây (ĐTĐM)

   1. An ninh ĐTĐM (an ninh đám mây) là một lĩnh vực tiến hóa của an ninh máy tính, an ninh mạng và, ở mức độ rộng lớn hơn, an ninh thông tin.

   2. Nó tham chiếu tới một tập hợp lớn các chính sách, các công nghệ, và những kiểm soát được triển khai để bảo vệ các dự liệu, các ứng dụng và hạ tầng có liên quan tới ĐTĐM.

   3. Phạm vi ảnh hưởng của an ninh ĐTĐM trong 3 lĩnh vực chung:

      • An ninh và Tính riêng tư

      • Sự tuân thủ

      • Pháp lý hoặc Hợp đồng.

4. Cái gì, khi nào và cách nào để chuyển lên đám mây

   1. Xác định tài sản của tổ chức trong ĐTĐM:

      • Dữ liệu

      • Ứng dụng - Chức năng - Qui trình

Được cung cấp theo mô hình Phần mềm - Nền tảng - Hạ tầng SPI (Software -, Platform-, Infrastructure-) như một dịch vụ

1. Đánh giá tài sản bằng các câu hỏi: Chúng ta có thể bị thiệt hại như thế nào nếu:

   • Tài sản trở nên công khai một cách rộng rãi và được phân phối một cách rộng rãi?

   • Nhân viên của nhà cung cấp dịch vụ đám mây truy cập được vào tài sản của chúng ta?

   • Qui trình hoặc chức năng bị điều khiển bởi một người lạ bên ngoài?

   • Qui trình hoặc chức năng không cung cấp được những kết quả như mong muốn?

   • Thông tin/Dữ liệu bị thay đổi không như mong muốn?

   • Tài sản không sẵn sàng trong một khoảng thời gian nào đó?

2. Bản chất của sự đánh giá qua các câu hỏi trên:

• Đánh giá tính cơ mật, tính toàn vẹn và những yêu cầu về tính sẵn sàng đối với tài sản;

• Chúng bị ảnh hưởng thế nào nếu tất cả hoặc một phần của tài sản bị điều khiển trong đám mây.

• Điều này rất tương tự như việc đánh giá một dự án thuê ngoài làm.

1. Người sử dụng đánh giá các rủi ro theo các lớp SPI

   • Mức độ kiểm soát tại mỗi lớp SPI - như một dịch vụ phải triển khai là khác nhau

   • Nếu có những yêu cầu riêng về kiểm soát thì phải đưa vào trong đánh giá này.

   • Tìm hiểu lưu trình của dữ liệu của tổ chức trong mối tương tác với nhà cung cấp ĐTĐM tại bất kỳ nút khách hàng nào (nếu có), lối vào và ra của các dữ liệu để đánh giá rủi ro.

2. Chọn mô hình phù hợp sau khi đánh giá tài sản

• Công cộng

• Riêng, nội bộ

• Riêng, thuê ngoài (bao gồm cả hạ tầng chuyên dụng và được chia sẻ)

• Cộng đồng: tính tới vị trí hosting, nhà cung cấp dịch vụ tiềm năng và xác định các thành viên khác của cộng đồng.

• Hỗn hợp. Để hiệu quả, ít nhất phải biết kiến trúc sơ bộ về đâu là nơi chứa các thành phần, các chức năng và các dữ liệu.

5. Một số mô hình liên quan tới an ninh ĐTĐM

   1. Mô hình kiểm soát an ninh ĐTĐM:

Ảnh: Mô hình kiểm soát an ninh ĐTĐM (Nháy vào đường link để xem)

Việc kiểm soát an ninh với ĐTĐM, là tương tự như vẫn được làm đối với các hệ thống mạng, cộng thêm những đặc tính của ĐTĐM.

2. Mô hình tuân thủ (Mỹ)

Ảnh: Mô hình tuân thủ - Mỹ (Nháy vào đường link để xem)

PCI: (Payment Card Industry Data Security Standard) - Chuẩn An ninh Dữ liệu Công nghiệp Thẻ Thanh toán PCI DSS

HIPAA: (Health Insurance Portability and Accountability Act, 1996) - Luật về Trách nhiệm và Tính khả chuyển của Bảo hiểm Y tế.

GLBA: (Gramm-Leach-Bliley Act, 1999) - Luật này đã cấm bất kỳ cơ quan nào hành động như một sự kết hợp giữa một ngân hàng đầu tư, một ngân hàng thương mại và một công ty bảo hiểm.

SOX: (Sarbanes–Oxley Act, 2002) - Luật đã được ban hành như một phản ứng đối với những vụ scandal kiểm toán của các công ty gây ảnh hưởng như Enron, Tyco International, WorrldCom... Những vụ scandal này tước đi hàng tỷ USD của các nhà đầu tư khi giá cổ phiếu của các công ty bị ảnh hưởng sụp đổ, gây sốc cho sự tín nhiệm của công chúng vào các thị trường an ninh quốc gia.

3. Kết hợp mô hình đám mây vào mô hình kiểm soát an ninh và mô hình tuân thủ

Ảnh: Kết hợp mô hình đám mây vào mô hình kiểm soát an ninh và mô hình tuân thủ (Nháy vào đường link để xem)

• Kết hợp mô hình đám mây vào mô hình kiểm soát an ninh và mô hình tuân thủ, tìm ra những kẽ hở về an ninh và giải quyết chúng.

• Câu hỏi thường trực: Nếu có rủi ro mất hoặc lộ thông tin - dữ liệu, ai phải chịu trách nhiệm bồi thường và bồi thường như thế nào?

1. Hợp đồng và trách nhiệm pháp lý

Bên cạnh các vấn đề an ninh và tuân thủ nêu trên, các nhà cung cấp đám mây và các khách hàng của họ sẽ thương thảo về những điều khoản xung quanh trách nhiệm pháp lý:

1. Qui định cách thức mà những sự cố liên quan tới việc mất dữ liệu hoặc tổn hại sẽ được giải quyết như thế nào?

2. Sở hữu trí tuệ của bên nào, cụ thể đối với những cái gì?

3. Kết thúc dịch vụ, khi dữ liệu và các ứng dụng cuối cùng sẽ phải trả lại cho khách hàng hoặc sự chuyển dịch dữ liệu sang một đám mây khác.

1. Các lĩnh vực sống còn nằm ngoài kiến trúc ĐTĐM

TT	Lĩnh vực	Chỉ dẫn làm việc với ...
Các lĩnh vực quản lý (5)
1	Quản lý rủi ro của doanh nghiệp và chính phủ	Khả năng của tổ chức, doanh nghiệp cai quản và đo đếm được rủi ro của ĐTĐM. Các khái niệm như thủ tục pháp lý đối với những lỗ hổng về hợp đồng thỏa thuận, khả năng các tổ chức của người sử dụng (NSD) đánh giá đúng rủi ro của nhà cung cấp (NCC) đám mây, trách nhiệm bảo vệ các dữ liệu nhạy cảm khi cả NSD và NCC gặp lỗi, vấn đề đường biên giới quốc tế có thể ảnh hưởng tới như thế nào.
2	Để lộ về điện tử và pháp lý	Các vấn đề pháp lý tiềm ẩn khi sử dụng ĐTĐM như: những yêu cầu bảo vệ thông tin và các hệ thống máy tính, các luật về để lộ các lỗ hổng an ninh, các yêu cầu điều chỉnh pháp luật, các yêu cầu về tính riêng tư, các luật quốc tế, ...
3	Sự tuân thủ và kiểm toán	Duy trì và chứng minh sự tuân thủ khi sử dụng ĐTĐM: Đánh giá cách mà ĐTĐM ảnh hưởng tới sự tuân thủ với các chính sách an ninh nội bộ, các yêu cầu tuân thủ (điều chỉnh pháp luật...). Đưa ra được những phương hướng chứng minh sự tuân thủ khi kiểm toán.
4	Quản lý vòng đời thông tin	Quản lý dữ liệu đặt trong đám mây: Xác thực và kiểm soát dữ liệu trong đám mây; kiểm soát về mặt vật lý khi chuyển dữ liệu tới đám mây; Ai chịu trách nhiệm về tính bí mật, tính toàn vẹn, và tính sẵn sàng của dữ liệu? (từ lúc sinh tới lúc xóa).
5	Tính khả chuyển và tương hợp	Khả năng chuyển các dữ liệu/dịch vụ từ một nhà cung cấp này sang nhà cung cấp khác, hoặc mang nó về nhà hoàn toàn. Các vấn đề xung quanh tính tương hợp giữa các nhà cung cấp ĐTĐM với nhau. Chuẩn mở là sống còn.
Các lĩnh vực hoạt động (7)
6	An ninh truyền thống, tính liên tục của công việc và phục hồi thảm họa	Cách mà ĐTĐM ảnh hưởng tới các qui trình và thủ tục vận hành hiện đang được sử dụng để triển khai an ninh, tính liên tục của công việc và phục hồi thảm họa. Thảo luận và xem xét những rủi ro có thể của ĐTĐM để đưa ra được những mô hình quản lý rủi ro tốt hơn của doanh nghiệp. Giúp mọi người xác định đâu là nơi mà ĐTĐM có thể hỗ trợ trong việc làm giảm bớt những rủi ro an ninh nhất định nào đó, hoặc gây ra sự gia tăng trong những lĩnh vực khác.
7	Vận hành của Trung tâm dữ liệu	Cách thức đánh giá kiến trúc và sự vận hành trung tâm dữ liệu (TTDL) của NCC. Tập trung trợ giúp NSD xác định những đặc điểm chung của TTDL mà có thể có hại cho những dịch vụ đang hoạt động, cũng như những đặc tính mà chúng là cơ bản cho sự ổn định lâu dài.
8	Phản ứng, thông báo và xử lý tình huống	Dò tìm, phản ứng, thông báo và xử lý tình huống phù hợp và thích đáng. Giải quyết các vấn đề tại chỗ từ cả NCC và NSD để tạo điều kiện cho việc xử lý thích đáng tình huống và các vấn đề pháp lý liên quan. Giúp hiểu được những phức tạp đối với chương trình xử lý tình huống hiện hành khi sử dụng ĐTĐM.
9	An ninh các ứng dụng	Việc đảm bảo an ninh cho các phần mềm ứng dụng đang chạy hoặc đang được phát triển trong đám mây. Liệu có phù hợp để chuyển đổi hoặc thiết kế một ứng dụng để chạy trong đám mây hay không, và nếu có, thì dạng nền tảng đám mây nào là phù hợp nhất (SaaS, PaaS, hay IaaS).
10	Mã hóa và quản lý khóa	Xác định sử dụng mã hóa nào và quản lý khóa có thể mở rộng phạm vi như thế nào là phù hợp. Vì sao chúng là cần thiết và xác định các vấn đề nảy sinh trong sử dụng, cả đối với việc bảo vệ sự truy cập tới các tài nguyên và bảo vệ các dữ liệu.
11	Nhận dạng và quản lý truy cập	Quản lý các dịch vụ thư mục và nhận dạng để kiểm soát truy cập. Các vấn đề xảy ra khi mở rộng sự nhận dạng các tổ chức trong đám mây. Hiểu biết trong đánh giá tính sẵn sàng của các tổ chức để tiến hành nhận dạng và quản lý truy cập (IAM) dựa trên đám mây.
12	Ảo hóa	Sử dụng công nghệ ảo hóa trong ĐTĐM. Giải quyết các vấn đề như: những rủi ro liên quan tới nhiều người thuê, cách ly máy ảo VM, cùng trú ngụ của máy ảo, các chỗ bị tổn thương khi giám sát, … An ninh của sự ảo hóa hệ thống/phần cứng.

8. Kết luận

   1. Kiến trúc đám mây ảnh hưởng tới kiến trúc an ninh; Cân đối giữa kiểm soát an ninh và vận hành;

   2. Cần xây dựng khung công việc đánh giá và quản lý rủi ro, trên cơ sở đó xây dựng các tiêu chuẩn tuân thủ.

   3. Hiểu cách mà kiến trúc, công nghệ, qui trình và những yêu cầu đầu tư con người thay đổi hoặc giữ y nguyên khi triển khai các dịch vụ ĐTĐM là sống còn. Nếu hiểu không rõ về những ảnh hưởng của kiến trúc, thì không thể giải quyết được các vấn đề chi tiết hơn một cách hợp lý.

   4. Hiểu khái quát về kiến trúc, cùng với 12 lĩnh vực trọng tâm sống còn khác, sẽ cung cấp một nền tảng vững chắc cho việc đánh giá, vận hành, quản lý và chế ngự an ninh trong các môi trường ĐTĐM.

   5. Một số chuẩn: Trong bộ các chuẩn ISO/IEC 27K (hiện có khoảng hơn 20 chuẩn đã và đang được xuất bản) liên quan tới các hệ thống quản lý an ninh thông tin, có ISO/IEC 27036: Các chỉ dẫn về an ninh thuê ngoài làm (dự thảo). Chuẩn về giao thức mạng cho việc quản lý hạ tầng ĐTĐM gọi là Giao diện ĐTĐM Mở - OCCI (Open Cloud Computing Interface) ...

   6. Hoàn toàn mới với Việt Nam cả từ phía cơ sở pháp lý, các tiêu chuẩn kỹ thuật công nghệ..., cần có những nghiên cứu công nghệ, tiêu chuẩn và bổ sung pháp lý liên quan cho phù hợp.

9. Một số ví dụ mất an ninh những năm qua

   1. Năm 2010

      • Tháng 06/2010: AT&T để lộ thông tin của 114,000 người sử dụng iPad, chủ yếu là các quan chức nhà nước và quốc phòng Mỹ.

   2. Năm 2009

      • Tháng 12/2009: chiến dịch Aurora của Trung Quốc tấn công vào mạng của Google và hơn 20 công ty Mỹ khác lấy đi các thông tin về bằng sáng chế và địa chỉ thư điện tử các khách hàng của Google.

      • Tháng 12/2009 một cơ sở dữ liệu các mật khẩu RockYou đã bị lộ chứa 32 triệu tên và mật khẩu dạng văn bản thường của người sử dụng, gây tổn thương xa hơn cho việc sử dụng các mật khẩu yếu vì bất kỳ lý do gì.

      • Tháng 01/2009 các hệ thống thanh toán của Heartland đã thông báo rằng họ là “nạn nhân của một vụ tấn công về an ninh bên trong hệ thống xử lý của mình”, có lẽ một phần của một “chiến dịch gian lận không gian mạng toàn cầu”. Sự thâm nhập trái phép này đã được coi là vụ tội phạm lớn nhất đối với các dữ liệu thẻ từ trước tới nay, với ước tính tới 100 triệu thẻ từ hơn 650 công ty dịch vụ tài chính bị tổn thương.

   3. Năm 2008

      • Tháng 01/2008, GE Money, một đơn vị của General Electric, đã phát hiện rằng một băng từ chứa 150,000 số an ninh xã hội và thông tin thẻ tín dụng trong kho từ 650,000 khách hàng bán lẻ được cho là đã mất từ một cơ sở lưu trữ tại Iron Mountain Incorporated. Có 230 nhà bán lẻ bị ảnh hưởng.

   4. Năm 2007: Vụ TJ Maxx, dữ liệu của 45 triệu tài khoản thẻ tín dụng và thẻ nợ bị lộ

   5. Năm 2006:

      • Vụ của Bộ Cựu chiến binh: lộ thông tin của 28,600,000 cựu binh, quân dự bị

      • Ernst & Young, tháng 05/2006, các khách hàng của Hotels.com (sau một vụ mất dữ liệu của 38,000 nhân viên của các khách hàng của Ernst & Young vào tháng 02)

      • Boeing, tháng 12/2006, 382,000 nhân viên (sau vụ mất dữ liệu của 3,600 nhân viên hồi tháng 04/2006 và 161,000 nhân viên hồi tháng 11/2005)

   6. Năm 2005: Ameriprise Financial, máy xách tay bị ăn cắp, tháng 12/2005, 24,260,000 hồ sơ khách hàng bị lộ

10. Một số phát ngôn nổi tiếng và gần đây

    1. Giám đốc Thông tin Liên bang Mỹ Vivek Kundra: “Những gì quan trọng ngày nay là [sự phát triển và các tiêu chuẩn] trong lĩnh vực an ninh, tính tương hợp và tính khả chuyển của dữ liệu để đảm bảo các thông tin được bảo vệ, các đám mây và các ứng dụng máy tính mà chúng hỗ trợ có thể làm việc được cùng nhau, và nội dung có thể di chuyển được bên trong và giữa các đám mây khác nhau mà không có việc gây nguy hiểm cho sự truy cập tới hoặc tính toàn vẹn của các dữ liệu”. Nguồn: 25/05/2010.

    2. Một số nghị sĩ của Hạ viện Mỹ cũng đã “nhấn mạnh tới việc không có các tiêu chuẩn về an ninh, tính tương hợp và tính khả chuyển của dữ liệu, thì giá thành sẽ vượt trội, sẽ có sự chậm trễ và một kế hoạch chuyển đổi không rõ ràng của chính phủ” sang điện toán đám mây. Nguồn: 09/06/2010.

    3. Larry Ellison, CEO của Oracle: ĐTĐM được xác định như “mọi thứ mà chúng ta đã làm” và nó sẽ không có hiệu quả nào ngoại trừ “để thay đổi cách gọi trong một số quảng cáo của chúng ta”. Nguồn: 26/09/2008.

    4. Richard Stallman: ĐTĐM chỉ đơn giản là một cái bẫy nhắm tới việc ép nhiều người hơn bị khóa trói vào các hệ thống sở hữu độc quyền mà có thể họ phải trả giá ngày một lớn hơn qua thời gian. “Điều này thật ngu ngốc. Nó còn tệ hơn là ngu ngốc: nó là một chiến dịch cường điệu hóa quảng cáo”. Nguồn: 29/09/2008.