Главная-Интернет-Рейтинг безопасности облачных хранилищ данных. Топ облачных хранилищ: какой сервис выбрать? Защита бездействующих виртуальных машин

Рейтинг безопасности облачных хранилищ данных. Топ облачных хранилищ: какой сервис выбрать? Защита бездействующих виртуальных машин

Центр обработки данных (ЦОД) представляет собой совокупность серверов, размещенных на одной площадке с целью повышения эффективности и защищенности. Защита центров обработки данных представляет собой сетевую и физическую защиту, а также отказоустойчивость и надежное электропитание. В настоящее время на рынке представлен широкий спектр решений для защиты серверов и ЦОД от различных угроз. Их объединяет ориентированность на узкий спектр решаемых задач . Однако спектр этих задач подвергся некоторому расширению вследствии постепенного вытеснения классических аппаратных систем виртуальными платформами. К известным типам угроз (сетевые атаки, уязвимости в приложениях операционных систем, вредоносное программное обеспечение) добавились сложности, связанные с контролем среды (гипервизора), трафика между гостевыми машинами и разграничением прав доступа. Расширились внутренние вопросы и политики защиты ЦОД, требования внешних регуляторов. Работа современных ЦОД в ряде отраслей требует закрытия технических вопросов, а также вопросов связанных с их безопасностью. Финансовые институты (банки, процессинговые центры) подчинены ряду стандартов, выполнение которых заложено на уровне технических решений. Проникновение платформ виртуализации достигло того уровня, когда практически все компании, использующие эти системы, весьма серьезно занялись вопросами усиления безопасности в них. Отметим, что буквально год назад интерес был скорее теоретический .
В современных условиях становится все сложнее обеспечить защиту критически важных для бизнеса систем и приложений.
Появление виртуализации стало актуальной причиной масштабной миграции большинства систем на ВМ, однако решение задач обеспечения безопасности, связанных с эксплуатацией приложений в новой среде, требует особого подхода. Многие типы угроз достаточно изучены и для них разработаны средства защиты, однако их еще нужно адаптировать для использования в облаке.

Cуществующие угрозы облачных вычислений
Контроль и управление облаками - является проблемой безопасности. Гарантий, что все ресурсы облака посчитаны и в нем нет неконтролируемых виртуальных машин, не запущено лишних процессов и не нарушена взаимная конфигурация элементов облака нет. Это высокоуровневый тип угроз, т.к. он связан с управляемостью облаком, как единой информационной системой и для него общую защиту нужно строить индивидуально. Для этого необходимо использовать модель управления рисками для облачных инфраструктур.

В основе обеспечения физической безопасности лежит строгий контроль физического доступа к серверам и сетевой инфраструктуре. В отличии от физической безопасности, сетевая безопасность в первую очередь представляет собой построение надежной модели угроз, включающей в себя защиту от вторжений и межсетевой экран. Использование межсетевого экрана подразумевает работу фильтра, с целью разграничить внутренние сети ЦОД на подсети с разным уровнем доверия. Это могут быть отдельно серверы, доступные из Интернета или серверы из внутренних сетей.
В облачных вычислениях важнейшую роль платформы выполняет технология виртуализации. Для сохранения целостности данных и обеспечения защиты рассмотрим основные известные угрозы для облачных вычислений.

1. Трудности при перемещении обычных серверов в вычислительное облако
Требования к безопасности облачных вычислений не отличаются от требований безопасности к центрам обработки данных. Однако, виртуализация ЦОД и переход к облачным средам приводят к появлению новых угроз.
Доступ через Интернет к управлению вычислительной мощностью один из ключевых характеристик облачных вычислений. В большинстве традиционных ЦОД доступ инженеров к серверам контролируется на физическом уровне, в облачных средах они работают через Интернет. Разграничение контроля доступа и обеспечение прозрачности изменений на системном уровне является одним из главных критериев защиты.
2. Динамичность виртуальных машин
Виртуальные машины динамичны. Создать новую машину, остановить ее работу, запустить заново можно сделать за короткое время. Они клонируются и могут быть перемещены между физическими серверами. Данная изменчивость трудно влияет на разработку целостности системы безопасности. Однако, уязвимости операционой системы или приложений в виртуальной среде распространяются бесконтрольно и часто проявляются после произвольного промежутка времени (например, при восстановлении из резервной копии). В средах облачных вычислениях важно надежно зафиксировать состояние защиты системы, при этом это не должно зависить от ее состояния и местоположения.
3. Уязвимости внутри виртуальной среды
Серверы облачных вычислений и локальные серверы используют одни и те же операционные системы и приложения. Для облачных систем угроза удаленного взлома или заражения вредоносным ПО высока. Риск для виртуальных систем также высок. Параллельные виртуальные машины увеличивает «атакуемую поверхность». Система обнаружения и предотвращения вторжений должна быть способна обнаруживать вредоносную активность на уровне виртуальных машин, вне зависимости от их расположения в облачной среде.
4. Защита бездействующих виртуальных машин
Когда виртуальная машина выключена, она подвергается опасности заражения. Доступа к хранилищу образов виртуальных машин через сеть достаточно. На выключенной виртуальной машине абсолютно невозможно запустить защитное программное обеспечение. В данном случаи дожна быть реализована защита не только внутри каждой виртуальной машины, но и на уровне гипервизора.
5. Защита периметра и разграничение сети
При использовании облачных вычислений периметр сети размывается или исчезает. Это приводит к тому, что защита менее защищенной части сети определяет общий уровень защищенности. Для разграничения сегментов с разными уровнями доверия в облаке виртуальные машины должны сами обеспечивать себя защитой, перемещая сетевой периметр к самой виртуальной машине (Рис 1.). Корпоративный firewall - основной компонент для внедрения политики IT безопасности и разграничения сегментов сети, не в состоянии повлиять на серверы, размещенные в облачных средах.
Атаки на облака и решения по их устранению
1. Традиционные атаки на ПО
Уязвимости операционных систем, модульных компонентов, сетевых протоколов и др - традиционные угрозы, для защиты от которых достаточно установить межстевой экран, firewall, антивирус, IPS и другие компоненты, решающие данную проблему. При этом важно, чтобы данные средства защиты эффективно работали в условиях виртуализации.
2. Функциональные атаки на элементы облака
Этот тип атак связан с многослойностью облака, общим принципом безопасности. В статье об опасности облаков было предложено следующее решение : Для защиты от функциональных атак для каждой части облака необходимо использовать следующие средства защиты: для прокси – эффективную защиту от DoS-атак, для веб-сервера - контроль целостности страниц, для сервера приложений - экран уровня приложений, для СУБД - защиту от SQL-инъекций, для системы хранения данных – правильные бэкапы (резервное копирование), разграничение доступа. В отдельности каждые из этих защитных механизмов уже созданы, но они не собраны вместе для комплексной защиты облака, поэтому задачу по интеграции их в единую систему нужно решать во время создания облака.
3. Атаки на клиента
Большинство пользователей подключаются к облаку, используя браузер. Здесь рассматриваются такие атаки, как Cross Site Scripting, «угон» паролей, перехваты веб-сессий, «человек посредине» и многие другие. Единственная защита от данного вида атак является правильная аутентификация и использование шифрованного соединения (SSL) с взаимной аутентификацией . Однако, данные средства защиты не очень удобны и очень расточительны для создателей облаков. В этой отрасли информационной безопасности есть еще множество нерешенных задач.
4. Атаки на гипервизор
Гипервизор является одним из ключевых элементов виртуальной системы. Основной его функцией является разделение ресурсов между виртуальными машинами. Атака на гипервизор может привести к тому, что одна виртуальная машина сможет получить доступ к памяти и ресурсам другой. Также она сможет перехватывать сетевой трафик, отбирать физические ресурсы и даже вытеснить виртуальную машину с сервера. В качестве стандартных методов защиты рекомендуется применять специализированные продукты для виртуальных сред, интеграцию хост-серверов со службой каталога Active Directory, использование политик сложности и устаревания паролей, а также стандартизацию процедур доступа к управляющим средствам хост-сервера, применять встроенный брандмауэр хоста виртуализации. Также возможно отключение таких часто неиспользуемых служб как, например, веб-доступ к серверу виртуализации.
5. Атаки на системы управления
Большое количество виртуальных машин, используемых в облаках требует наличие систем управления, способных надежно контролировать создание, перенос и утилизацию виртуальных машин. Вмешательство в систему управления может привести к появлению виртуальных машин - невидимок, способных блокировать одни виртуальные машины и подставлять другие.
Решения по защите от угроз безопасности от компании Cloud Security Alliance (CSA)
Наиболее эффективные способы защиты в области безопасности облаков опубликовала организация Cloud Security Alliance (CSA) . Проанализировав опубликованную компанией информацию, были предложены следующие решения .
1. Сохранность данных. Шифрование
Шифрование – один из самых эффективных способов защиты данных. Провайдер, предоставляющий доступ к данным должен шифровать информацию клиента, хранящуюся в ЦОД, а также в случаи отсутствия необходимости, безвозвратно удалять.
2. Защита данных при передаче
Зашифрованные данные при передаче должны быть доступны только после аутентификации. Данные не получится прочитать или сделать изменения, даже в случаи доступа через ненадежные узлы. Такие технологии достаточно известны, алгоритмы и надежные протоколы AES, TLS, IPsec давно используются провайдерами.
3. Аутентификация
Аутентификации - защита паролем. Для обеспечения более высокой надежности, часто прибегают к таким средствам, как токены и сертификаты. Для прозрачного взаимодействия провайдера с системой индетификациии при авторизации, также рекомендуется использовать LDAP (Lightweight Directory Access Protocol) и SAML (Security Assertion Markup Language).
4. Изоляция пользователей
Использование индивидуальной виртуальной машины и виртуальную сеть. Виртуальные сети должны быть развернуты с применением таких технологий, как VPN (Virtual Private Network), VLAN (Virtual Local Area Network) и VPLS (Virtual Private LAN Service). Часто провайдеры изолируют данные пользователей друг от друга за счет изменения данных кода в единой программной среде. Данный подход имеет риски, связанные с опасностью найти дыру в нестандартном коде, позволяющему получить доступ к данным. В случаи возможной ошибки в коде пользователь может получить данные другого. В последнее время такие инциденты часто имели место.
Заключение
Описанные решения по защите от угроз безопасности облачных вычислений неоднократно были применены системными интеграторами в проектах построения частных облаков. После применения данных решений количество случившихся инцидентов существенно снизилось. Но многие проблемы, связанные с защитой виртуализации до сих требуют тщательного анализа и проработанного решения. Более детально рассмотрим их в следующей статье.

Для обмена файлами между компьютерами и мобильными гаджетами больше не нужны кабели и флешки. Если устройства имеют доступ в Интернет, файлы могут «летать» между ними «на облаке». Точнее, они могут «поселиться» в облачном хранилище, которое представляет собой совокупность разбросанных по миру серверов (объединенных в один виртуальный — облачный сервер), где пользователи платно или бесплатно размещают свои данные. В облаке файлы хранятся точно так же, как на жестком диске компьютера, но доступны не с одного, а с разных устройств, которые способны к нему подключиться.

Каждый второй-третий Интернет-юзер уже взял технологию облачного хранения данных на вооружение и с удовольствием ею пользуется, но кто-то до сих пор спасается флешками. Ведь не все знают о такой возможности, а некоторые просто не могут определиться, какой сервис им выбрать и как им пользоваться. Что ж, давайте разбираться вместе.

Что представляют собой облачные хранилища с точки зрения пользователя и как они работают

Если взглянуть глазами неискушенного юзера, облачное хранилище — это обычное приложение. Оно только и делает, что создает на компьютере папку под собственным именем. Но не простую. Всё, что вы в нее помещаете, одновременно копируется на тот самый облачный Интернет-сервер и становится доступным с других устройств. Размер этой папки ограничен и может увеличиваться в пределах выделенного вам дискового пространства (в среднем от 2 Гб).

Если приложение облачного хранилища запущено и компьютер (мобильный гаджет) подключен к глобальной сети, данные на жестком диске и в облаке синхронизируются в реальном времени. При автономной работе, а также, когда приложение не работает, все изменения сохраняются только в локальной папке. При подключении машины к Интернету доступ к хранилищу становится возможен в том числе через браузер.

Файлы и папки, загруженные в облако, являются полноценными веб-объектами, такими же, как любой контент интернет-сайтов и ftp-хранилищ. Вы можете ссылаться на них и делиться ссылками с другими людьми, даже с теми, кто не пользуется этим сервисом. Но скачать или увидеть объект из вашего хранилища сможет только тот, кому вы сами это разрешили. В облаке ваши данные скрыты от посторонних глаз и надежно защищены паролем.

Основная масса облачных сервисов имеет дополнительный функционал — средство просмотра файлов, встроенные редакторы документов, инструменты создания скриншотов и т. п. Это плюс объем предоставляемого пространства и создает главные отличия между ними.

— облачный сервис хранения данных, который не нуждается в представлении пользователям Windows. Еще бы, ведь в последних выпусках этой ОС (в «десятке») он прямо-таки лезет поверх всего на экране, так как настроен на автозапуск по умолчанию.

Для пользователей винды преимущество сервиса Microsoft OneDrive перед аналогами, пожалуй, только одно — его не нужно устанавливать. Также не нужно создавать для него отдельный аккаунт — для входа в облако достаточно ввести данные своей учетной записи Microsoft.

Владельцу одной учетки Microsoft OneDrive предоставляет 5 Гб бесплатного дискового пространства для хранения любой информации. Чтобы получить дополнительный объем, придется доплачивать. Максимум составляет 5 Тб и стоит 3 399 рублей в год, однако в этот пакет входит не только дисковое пространство, но и приложение Office 365 (домашний выпуск). Более демократичные тарифные планы — это 1 Тб (2 699 рублей в год — хранилище и Office 365 персональный) и 50 Гб (140 рублей в месяц — только хранилище).

Дополнительные возможности всех тарифов:

  • Поддержка других операционных систем — Mac OS X, iOS и Android.
  • Просмотр и редактирование документов при помощи приложений встроенного пакета Office.
  • Удаленный доступ ко всему содержимому компьютера (не только папки OneDrive), на котором установлен сервис и используется ваша учетная запись Microsoft.
  • Создание фотоальбомов.
  • Встроенный мессенджер (Скайп).
  • Создание и хранение текстовых заметок.
  • Поиск.

Только платных версий:

  • Создание ссылок с ограниченным сроком действия.
  • Автономные папки.
  • Многостраничное сканирование с сохранением документов в файл формата PDF.

В целом сервис неплох, но иногда случаются проблемы со входом в учетную запись. Если вы собираетесь работать с веб-версией хранилища (через браузер) и заходите в него под другим IP-адресом, чем был раньше, Microsoft иногда запускает проверку принадлежности учетной записи вам, что отнимает довольно много времени.

Также были жалобы на удаление пользовательского контента из OneDrive — когда у Microsoft возникали подозрения, что он нелицензионный.

— одно из старейших кроссплатформенных облачных хранилищ. В отличие от предыдущего, оно поддерживает все основные операционные системы, а также некоторые редко используемые, например, Symbian и MeeGo. Сервис очень прост в применении, работает быстро и стабильно.

Бесплатно пользователю DropBox предоставляется всего 2 Гб дискового пространства для хранения личных файлов, но этот объем можно увеличить вдвое, создав и присоединив к своему аккаунту еще один — рабочий (который на самом деле может быть и личным). Вместе получится 4 Гб.

Переключение между личным и рабочим дисковым пространством на сайте DropBox и в приложении осуществляется без выхода из учетной записи (не нужно каждый раз вводить логин и пароль). На компьютере для того и другого аккаунта создается отдельная папка — 2 Гб каждая.

У DropBox, как и положено, тоже есть несколько тарифных планов. Про бесплатный было сказано выше, Платные — это «Plus» (1 Тб, $8,25 в месяц, предназначен для личного использования), «Standard» (2 Тб, $12,50 в месяц, для бизнеса), «Advanced»(неограниченный объем, $20 в месяц за 1 пользователя) и «Enterprise» (неограниченный объем, индивидуально устанавливаемая цена). Различия между двумя последними заключаются в наборе дополнительных опций.

Бесплатным пользователям помимо хранилища доступны:

  • Сервис совместной работы с документами DropBox Paper .
  • Возможность делиться ссылками и создавать общие папки.
  • Журнал изменений файлов с возможностью восстанавливать их к предыдущей версии (до 30 дней).
  • Комментирование файлов — как своих, так и других пользователей, если файл доступен для просмотра.
  • Функция поиска.
  • Получение уведомлений о событиях (настраивается индивидуально).
  • Автоматическая загрузка фотографий с камеры (кстати, за включение этой опции некоторое время назад DropBox предоставлял пользователям дополнительное пространство).
  • Выбор полной либо выборочной синхронизации.
  • Шифрование данных при хранении и передаче.

Возможности платных тарифов можно перечислять очень долго, поэтому отметим только основные:

  • Удаленное уничтожение данных из DropBox на потерянном или украденном устройстве.
  • Ограничение срока действия ссылки.
  • Двухфакторная проверка подлинности аккаунта.
  • Настройка уровней доступа к разным данным.
  • Усиленная защита информации класса HIPAA/HITECH (безопасное хранение медицинской документации).
  • Круглосуточная техническая поддержка.

DropBox если не лучший, то весьма достойный сервис. Несмотря на малый по сегодняшним меркам объем бесплатного места, им пользуются миллионы людей по всему миру.

Mega (Megasynk)

Как понятно из описания, Amazon Web Services ориентирован только на корпоративный сектор и не предназначен для хранения альбомов с фотографиями котиков, хотя не исключено, что кто-то использует его и для этого. Ведь облачное хранилище файлов — Amazon Glacier , как и Яндекс диск, предоставляет пользователям 10 бесплатных Гб. Стоимость дополнительного объема составляет $0,004 за 1 Гб в месяц.

Сравнение Amazon Glacier с веб-ресурсами, о которых рассказано выше, пожалуй, некорректно, поскольку у них несколько разное назначение. Функционал и возможности этого сервиса определяются задачами бизнеса, в числе которых:

  • Бесперебойная работа, повышенная надежность.
  • Соответствие стандартам усиленной защиты данных.
  • Мультиязычный интерфейс.
  • Неограниченный объем (расширение за доплату).
  • Простота использования и гибкость настроек.
  • Интеграция с прочими службами Amazon Web Services.

Те, кого заинтересовали возможности Amazon, могут ознакомиться с полной документацией по продуктам AWS , которая находится на официальной сайте.

Mail.ru

Занимает второе-третье место в рейтинге популярности файловых веб-хранилищ у русскоговорящей аудитории. По набору возможностей оно сопоставимо с Google Drive и Яндекс Диск: в нем, как и в них, присутствуют веб-приложения для создания и редактирования документов (текстов, таблиц, презентаций) и скриншотер (утилита для получения снимков экрана). Оно тоже интегрировано с другими проектами Mail.ru — почтой, соцсетями «Мой мир» и «Одноклассники», сервисом «Mail. Знакомства» и т. д., имеет удобный просмотрщик файлов с флеш-плеером и также весьма доступно по цене (для тех, кому недостаточно выделенного объема).

Размер бесплатного дискового пространства облака Mail составляет 8 Гб (ранее эта цифра несколько раз менялась). Премиальный тариф на 64 Гб стоит 690 рублей в год. За 128 Гб придется отдать 1 490 рублей в год, за 256 Гб — 2 290 рублей в год. Максимальный объем — 512 Гб, обойдется в 3 790 рублей в год.

Прочие функции сервиса мало чем отличаются от ему подобных. Это:

  • Общие папки.
  • Синхронизация.
  • Встроенный поиск.
  • Возможность делиться ссылками.

Клиентское приложение Mail.ru работает на Windows, OS X, iOS и Android.

Облачное хранилище — фирменная веб-служба для владельцев смартфонов и планшетов одноименного производителя. Предназначена для хранения резервных копий данных с мобильных устройств — мультимедийного контента, файлов ОС и прочего на усмотрение пользователя.

Клиентское приложение Samsung Cloud предустановлено на телефонах и планшетах, выпущенных позже второй половины 2016 года (точнее, после выпуска Samsung Galaxy Note 7). Регистрация аккаунта на сервисе возможна только через него, видимо, для отсеивания посторонних.

Объем бесплатного хранилища составляет 15 Гб. Дополнительные 50 Гб стоят $0,99 в месяц, а 200 Гб — $2,99.

iCloud (Apple)

— фаворит среди облачных хранилищ данных у пользователей продукции Apple. Еще бы, ведь он бесплатный (правда, не очень вместительный) и интегрирован с другими яблочными службами. Сервис предназначен для хранения резервных копий данных с iPhone, iPad и iPod, а также пользовательских медиафайлов, почты и документов (последние автоматически синхронизируются с содержимым iCloud Drive).

Вместимость бесплатного хранилища iCloud составляет 5 Гб. Дополнительное пространство продается по цене $0,99 за 50 Гб, $2,99 за 200 Гб и $9,99 за 2 Тб.

Клиентское приложение iCloud поддерживает операционные системы Mac OS X, iOS и Windows. Официального приложения для Android не разработано, но владельцы девайсов на базе этой ОС могут просматривать на своем устройстве почту из облака Apple.

Завершает топ-парад облачных хранилищ китайский сервис . Как видно по скриншоту, для нас с вами он явно не адаптирован. Зачем же он тогда нужен, если существуют более привычные русскоязычному человеку отечественные, европейские и американские аналоги? Дело в том, что Baidu предоставляет пользователям целый терабайт бесплатного дискового пространства. Ради этого и стоит преодолеть трудности перевода и другие препятствия.

Регистрация на Baidu Cloud значительно более трудоемка, чем у конкурентов. Она требует подтверждения кодом, присланным по SMS, а SMS с китайского сервера на российские, белорусские и украинские номера не приходит. Нашим согражданам приходится выкручиваться с помощью аренды виртуального номера телефона, но это еще не всё. Вторая сложность заключается в том, что аккаунт нельзя зарегистрировать на некоторые адреса электронной почты. В частности, на сервисах gmail (Google заблокирован в Китае), fastmail и Яндекс. И третья сложность — это необходимость установки мобильного приложения Baidu Cloud на телефон или планшет, так как именно за это и дается 1 Тб (при регистрации на компьютере вы получите всего 5 Гб). А оно, как вы понимаете, полностью на китайском.

Не испугались? Дерзайте — и будете вознаграждены. Информация, как своими руками создать аккаунт на Baidu, есть в Интернете.

Как и где хранить свои данные? Кто-то использует флешки, кто-то покупает пачками жёсткие диски и обустраивает собственные домашние хранилища, но есть мнение, что самое безопасное место для хранения данных – облако. И это мнение вполне аргументировано.

На данный момент поставщики облачных хранилищ предлагают вам самые совершенные решения в плане безопасности ваших данных и управления. Конечно, можно сколько угодно делать такие громкие заявления, но вот аргументы:

Данные в надёжных “лапах”

О чём переживает пользователь? О личных данных: номерах карт и телефонов, сведениях о действиях и так далее. Облако — это как Администрация Президента: куча охраны, камер видеонаблюдения и замков.

Как бы далеко не находился ноутбук босса с данными всех сотрудников, до него всё равно легко добраться, взломав сеть, к которой тот подключён. Теперь сделайте вывод почему охраняемое и круглосуточно сканируемое различными средствами безопасности облако надёжнее, чем ваш физический носитель.

Все данные в облаке тщательно шифруются, поэтому, даже получив к нему доступ, злоумышленнику придётся иметь дело с этим:

Резервное копирование в облаке — автоматическое и постоянное, поэтому даже разъяренная “барышня”, с которой вы вчера расстались, не способна уничтожить вашу коллекцию немецкого кино, которую вы каталогизировать с далеких 90-х.

Безопасность под рукой

Если вы, к примеру, разработчик ПО и разрабатываете собственное приложение, то наверняка часто его обновляете, ведь без апдейтов оно становится мёртвым грузом. Каждая новая версия связана с отладкой кода, и во время этого очень важного процесса появляются уязвимости, которые могут дать злоумышленнику доступ к личным данным ваших пользователей. Облако может решить эту проблему благодаря своим фишкам:

  • Администратор может определить права и роли каждого пользователя, который работает над проектом
  • Автоматизация некоторых процессов исключает человеческий фактор: случайную или умышленную порчу релизного кода
  • Различные утилиты наподобие Amazon Inspector круглосуточно сканируют систему в поиске брешей
  • Любые действия скрыто записываются в лог-файл — тотальный контроль обеспечен

Google читает мои письма!

Многочисленные слухи о том, что сотрудники Google и Amazon каждый день собираются за круглым столом и начинают читать личные сообщения пользователей — не более чем слухи. Компании не для этого тратят миллионы долларов на поддержание облачной инфраструктуры.

Все файлы хранятся на нескольких жёстких дисках, которые восстанавливаются самостоятельно. Причём один файл может быть разбит по частям на разных дисках.

В конце концов, преимущество облака сводится к минимальному воздействию человеческого фактора, что уже гарантирует безупречную безопасность. Подумайте сами, у кого больше шансов выйти из строя, у вашего жёсткого диска или у целой облачной системы, в которой такие диски используются как расходный материал и постоянно обновляются?

2017. Техносерв запустил сервис синхронизации файлов для бизнеса - ТехноДиск

Системный интегратор Техносерв представил корпоративный сервис облачного хранения и синхронизации файлов ТехноДиск . В отличии от аналогов (Dropbox, Google Drive, Яндекс Диск...) он (по словам разработчиков) обеспечивает повышенную безопасность данных благодаря простой интеграции с системами безопасности клиента. Среди других достоинств компания называет хранение данных на территории России, возможность использования частного облака и расширенное удаленное управление файлами. В ТехноДиске имеется встроенный антивирус. Пользователи могут синхронизировать файлы между ПК и мобильными устройствами на iOS и Android. Например, для компании с 2 тыс. пользователями и общим объемом дискового пространства в 100 тыс. ГБ цена составит около 500 руб. за пользователя в месяц.

2016. Mail.ru запустила облако для архивов


В наборе бизнес-приложений Mail.Ru для Бизнеса появился новый сервис - Облачное хранилище холодных данных. Он подойдет для хранения бекапов, логов, медиаконтента, научных и статистических данных, а также рабочих архивов вашей компании. От обычных облачных хранилищ это отличается тем, что стоит намного дешевле, но данные выдает только по запросу и не мгновенно, а через некоторое время после запроса. При этом, обеспечивается высокий уровень безопасности хранилища, и в отличии от западных альтернатив (Amazon Glacier или Google Nearline), всегда обеспечивается соответствие нормам законодательства (т.е. данные хранятся в российских дата-центрах). ***

2015. Google Compute Engine позволил клиентам использовать собственные ключи шифрования

2015. Microsoft и Google повысили безопасность своих онлайн офисов


Microsoft встроила в свой онлайн офис Office 365 систему управления мобильными устройствами (MDM), которая доступна бесплатно всем коммерческим подписчикам сервиса. Эта система позволяет контролировать данные (email, документы), которые находятся на девайсах сотрудников (iPhone, Android, Windows Phone), централизованно устанавливать права доступа, политики безопасности и удаленно стирать данные (например, если сотрудник уволился). В свою очередь, Google добавил множество настроек для управления правами доступа в облачное хранилище Google Drive for Work. Особенно порадует пользователей возможность расшаривать файлы для внешних контрагентов без необходимости просить этих контрагентов зарегистрировать Гугл-аккаунт. Вот видео: ***

2015. Box стал самым защищенным облачным хранилищем в мире


Облачные хранилища типа Box, Dropbox, Google Drive, OneDrive являются вполне безопасными для хранения бизнес-данных. Однако, в некоторых компаниях требования к безопасности - очень высоки. И их не устраивает, что хотя данные и шифруются при хранении и передаче, сервис-провайдер может получить к ним доступ, зная ключи шифрования. Для таких компаний Box ввел новую услугу Box EKM , которая позволяет самостоятельно создавать и хранить ключи шифрования. А чтобы это не сказалось отрицательно на удобстве сервиса (чтобы админу не пришлось устанавливать мастер ключей на каждом компьютере и смартфоне) - Box интегрировал свое хранилище с сервисом Amazon CloudHSM , который как раз предоставляет услугу облачного хранения ключей. Отметим, что каждый файл, загружаемый в Box, шифруется индивидуальным ключем шифрования. Кроме того, компания получает полный лог доступа к каждому файлу. ***

2013. Dropbox стал более подходящим для бизнеса


Вероятно, вы уже слышали термин "Dropbox для бизнеса "? Чаще всего этот термин применяется не в отношении популярного сервиса Dropbox, а для обозначения его многочисленных конкурентов, которые пытаются создать такой же сервис, только отвечающий корпоративным требованиям (в первую очередь, по безопасности). Но и сам Dropbox не хочет терять бизнес-рынок. У него есть редакция Dropbox for Teams , и ею уже пользуются около 2 млн компаний. Однако, в большинстве случаев, это либо малые бизнесы (где нет админа), либо компании, в которых есть админ, но его игнорируют. Потому, что до сих пор нормально контролировать то, что происходит в Dropbox for Teams ни один админ не мог. Новая версия сервиса практически устраняет эту проблему. ***

2011. DropBox запускает бизнес-версию чтобы конкурировать с Box.net


Популярнейший сервис для онлайн хранения и совместной работы с файлами DropBox наконец-то решил запустить версию для бизнеса - DropBox for Teams . Она отличается от обычной 2 вещами. Во-первых, в ней есть административная панель для управления пользователями и правами доступа. В админке также можно централизованно платить за сервис. Во-вторых, при расшаривании файлов для сотрудника внутри аккаунта DropBox for Teams, объем свободного места у него не уменьшается. (В обычной версии DropBox если, например, для вас расшарили файл 100 Мб, то у вас отнимается 100 Мб свободного места). Однако, DropBox хочет, чтобы при использовании бизнес-версии пользователи вообще не думали о свободном месте на диске. В DropBox for Teams - как минимум 1Тб свободного места. Это в 2 раза больше, чем в бизнес-версии главного конкурента - Box.net ***

2011. Trend Micro представила малому бизнесу решение для хранения, управления и доступа к данным в удаленном режиме

Корпорация Trend Micro, разработчик решений в области защиты интернет-контента, объявила о выпуске нового приложения Trend Micro SafeSync for Business. Это решение, в том числе и для малого бизнеса, обеспечивает безопасное хранение, управление и доступ к цифровым файлам в удаленном режиме, помогая повысить производительность и облегчая обмен данными между сотрудниками и клиентами. SafeSync for Business обеспечивает удобство доступа к данным и обмена ими, гарантируя их безопасность и актуальность; и возможность доступа к ним с различных компьютеров и мобильных устройств посредством инновационной технологии синхронизации. SafeSync также сохраняет в облачном хранилище дополнительную актуальную копию данных, доступ к которой можно получить с любого устройства, способного подключаться к глобальной сети. Это помогает защитить данные от потери в случае сбоя аппаратного обеспечения. SafeSync устраняет необходимость вручную перемещать файлы с одного ПК на другой, экономя время и снижая риск потери ценной информации.

2007. Box.net вышел на рынок корпоративных файлохранилищ

Box.net обратил внимание на корпоративных клиентов и выкатил новое предложение - Box Professional, которое идеально подойдет тем фирмам, где сотрудники берут часть работы на дом. В отличие от традиционных файловых хостингов, в Box Professional компания сможет использовать собственный логотип. И конечно же здесь не будет никакой рекламы. В Box.net упор делают также на безопасности и совместной работе. Пользователи могут объединяться в рабочие группы, которые трудятся над одним проектом. Есть возможность подписаться на получение уведомлений о том, что файл был изменен. Разработчиками также обещаны гибкие административные возможности по управлению пользователями и папками (с определением прав). Учитывая, что Box.net интегрирован с Zoho, данное предложение может заинтересовать многие небольшие фирмы за рубежом. Говорить о перспективах в России, думаю, пока рано. Не все отечественные компании готовы платить $200 в год за удобную удаленную работу своего персонала с файлами.

В какой-то момент мы столкнулись с необходимостью организовать шифрованное хранилище для удаленного размещения файлов. После недолгих поисков нашел легкое облачное решение, которое в итоге полностью устроило. Далее я вкратце опишу это решение и некоторые особенности работы с ним, возможно, кому-нибудь пригодится. На мой взгляд, вариант надежный и вместе с тем достаточно удобный.

Архитектура
За основу я решил взять систему облачного хранения данных . Которая была установлена в OS Debian Linux v7.1 и развернута в виде виртуальной машины под гипервизором Proxmox Virtual Environment v3.1.

Систему облачного хранения данных установил на зашифрованный диск ОС Linux, доступ к данным возможен только по протоколу HTTPS, для авторизации помимо стандартного пароля необходимо ввести также одноразовый пароль (OTP). Регулярно осуществляется резервное копирование. Предусмотрена возможность экстренного отключения и удаления всех данных ownCloud.

Гипервизор Proxmox Virtual Environment
Гипервизор Proxmox Virtual Environment представляет собой специализированный дистрибутив OS Debian Linux v7.1, удаленный доступ к системе возможен по протоколу SSH на стандартном порту TCP 22. Однако основным рабочим инструментом для управления виртуальными машинами является Web-интерфейс.

Раз в сутки происходит генерирование горячей копии (snapshot) виртуальной машины ownCloud с экспортом ее на серверы NFS, используя стандартные возможности Proxmox VE.

На скриншоте, виртуальная машина в Web-интерфейсе имеет идентификатор 100 (ownCloud). Доступ к ее консоли возможен через пункт контекстного меню «Console».

Например, вот так выглядит ввод пароля для шифрованного диска во время загрузки:

Облачное хранилище данных ownCloud
Про установку ownCloud на хабре есть достаточно хорошая статья от пользователя BlackIce13 http://habrahabr.ru/post/208566/ там уже перечислены основные возможности и некоторые плюсы этой платформы.

От себя могу лишь добавить, что, на мой взгляд, существует несколько более простой способ установки ownCloud для дистрибутива ОС Linux Debian и многих других, нежели предложенный автором статьи. Доступны готовые репозитории: http://software.opensuse.org/download/package?project=isv:ownCloud:community&package=owncloud
В этом случае все необходимые зависимости ставятся автоматически, а от вас будет лишь требоваться скорректировать настройки под свою специфику.

OwnCloud развернул на базе ОС Debian Linux v7.1 внутри виртуального контейнера. Удаленный доступ к хранилищу возможен по протоколу SSH на стандартном порту TCP 22.
Основная работа с ownCloud осуществляется через Web-интерфейс, возможно также подключение через протокол WebDAV и использование клиентов синхронизации (Sync).

Кстати, поскольку доступ к ownCloud осуществляется через HTTPS логи доступа и ошибок ведутся сервером Apache в файлах "/var/log/apache2/access.log" и "/var/log/apache2/error.log" соответственно. Также ownCloud имеет свой собственный лог "/var/www/owncloud/data/owncloud.log".

Одноразовые пароли OTP
Для усиления безопасности доступ к ownCloud через Web-интерфейс возможен с использованием двухфакторной авторизации: традиционный пароль и одноразовый пароль OTP. Функционал OTP реализуется с помощью внешнего дополнения One Time Password Backend . Встроенной поддержки OTP у ownCloud нет.

Настройка основных параметров OTP осуществляется в разделе «Admin» под административной учетной записью.

На скриншотах настройки двухфакторной авторизации и одноразовых паролей подобранные для обеспечения совместимости с аппаратными генераторами FEITIAN OTP c200.
Алгоритм: Time-based One Time Password (TOTP)
Количество цифр в пароле: 6
Время жизни пароля: 60 секунд

Чтобы двухфакторная авторизация вступила в действие необходимо назначить пользователю Token Seed. До этого момента он может заходить в ownCloud, используя только лишь обычный пароль. Что собственно необходимо сделать сразу после создания пользователя, перейти в раздел «Personal» и ввести Token Seed в одноименное поле.

Генерировать Token Seed, используя встроенные возможности модуля OTP ownCloud, не рекомендуется, поскольку в алгоритме его работы наблюдаются проблемы. Формат ввода: Base32 (%32) UPPERCASE. Конвертировать Token Seed в разные форматы можно с помощью утилиты www.darkfader.net/toolbox/convert

Конкретно для этого проекта использовался Token Seed вшитый в аппаратный Token FEITIAN OTP c200. В общем случае можно использовать любой генератор паролей, а затем приводить его к нужному формату, используя приведенный в тексте конвертер.

Примером такого приложения для ОС Android может служить Android Token: https://play.google.com/store/apps/details?id=uk.co.bitethebullet.android.token&hl=ru

Проинициализированный Token Seed выглядит следующим образом:

Для отключения OTP достаточно удалить Token Seed из настроек. Если это невозможно, например, по причине того, что генератор OTP утерян, поэтому доступа к личному кабинету пользователя нет, то отключение OTP возможно только путем прямой модификации данных в СУДБ MySQL. Для этого необходимо запустить из командной строки клиент MySQL:
# mysql -uowncloud –p
Enter password:

Затем выполнить запрос аналогичный следующему, изменив значение поля «user» на необходимое:
mysql> delete from owncloud.oc_user_otp where `user` = "test";

Из-за архитектурных ограничений OTP работает только при доступе к ownCloud через Web-интерфейс, но не через WebDAV. Данный недостаток компенсируется тем, что список IP-адресов, которые могут использовать WebDAV, строго ограничен. Отвечают за это директивы «Allow from» в файле настроек сервера Apache "/etc/apache2/conf.d/owncloud.conf". Обратите внимание, что директивы там указываются дважды.

IP-адреса перечисляются через пробел. Необходимо удостоверятся в том, что в списке обязательно присутствуют IP обратной петли 127.0.0.1, а также публичный IP сервера самого ownCloud. В противном случае в работе WebDAV возможны сбои. После изменения настроек Apache его необходимо перезапустить:
service apache2 restart

Защита от брутфорса
В свежих версиях ownCloud ведется лог неудачных попыток авторизации: "/var/log/owncloud/auth.log". Содержимое "/var/log/owncloud/auth.log" контролирует сервис Fail2ban. Если им в течение короткого времени фиксируется 5 или более неудачных попыток авторизации с одного IP-адреса, то он блокируется фильтром пакетов IPTables на 10 минут. Если после автоматической разблокировки, попытки продолжаются, то IP блокируется повторно навсегда. Следит за работой Fail2ban можно в логе "/var/log/fail2ban.log".

Список IP-адресов, которые не должны блокироваться ни при каких обстоятельствах задается параметром «ignoreip» в файле настроек "/etc/fail2ban/jail.conf". IP перечисляются через пробел.

После изменения настроек Fail2ban его необходимо перезапустить:
service fail2ban restart

В случае необходимости вручную разблокировать какой-либо IP, необходимо выполнить на сервере из CLI команду аналогичную следующей, скорректировав в ней адрес:
iptables -D fail2ban-Owncloud -s 187.22.109.14/32 -j DROP

P.S.
Live версию ownCloud можно посмотреть на официальном сайте

Похожие публикации: