1.2. Bulutli texnologiyalarda axborotlarga tahditlar
Eng mashhur noto'g'ri tushunchalardan biri shuki, kompaniya ichidagi IT
xavfsizligi bulutga qaraganda xavfsizroq. Shu bilan birga, ommaviy bulutlarni
boshqaradigan professional provayderlar ko'p hollarda salohiyati cheklangan
9
kompaniyalarning AT bo'limlariga qaraganda ko`proq xavfsizlik, ishlash va
nazoratga e'tibor qaratadilar. Shuning uchun, mijoz o'zining mahalliy
infratuzilmasiga (kamroq pul sarflash maqsadida) nisbatan jiddiy provayderning
bulut xizmatlaridan foydalanib, qoida tariqasida, o'z tizimlarini yuqori himoya
darajasini va barqarorligini oladi [5].
Buning asosiy sabablari quyidagilardir:
mijoz virtual muhitining xavfsizligi - bulutli provayder biznesining asosiy
elementlaridan biri;
provayderning
mijoz-kompaniyaga
bo'lgan
mas'uliyati
xizmat
darajasining kelishuvi (SLA) tomonidan boshqariladi;
Bulutli provayder ma'lumotlarni muhofaza qilish va xavfsizlik tizimlarini
rivojlantirishga katta mablag' sarflaydi. Bu dastur mahsulotlarini va apparatini,
shuningdek, IT-mutaxassislarning operatsion nazoratini bulutning ishlashi bilan
qamrab olishi mumkin.
Bulutda mijozlar ma'lumotlarini himoya qilishni ta'minlash uchun
provayderlar mutaxassislari quyidagi funksiyalarni bajaradilar:
uskunalar uzluksiz ishlashini ta'minlash;
jismoniy infratuzilmaning xavfsizligini ta'minlash;
xost boshqaruvi.
Foydalanuvchiga xizmat ko'rsatuvchi bulutning asosiy komponentlaridan
biri uning xavfsizli mas’ulligidir: tarmoqlar, drayvlar, serverlar va virtualizatsiya
uning asosiy elementlari hisoblanadi. Mijozning bulutli infratuzilmasi ichidagi
ichki va tashqi tahditlarning oldini olish – to'g'ridan-to'g'ri kompaniyaning IT-
mutaxassislarining vazifasidir. Ularning vazifalari quyidagilardir:
boshqarish va nazorat tizimiga xizmat ko`rsatish;
foydalanuvchi siyosati va foydalanish huquqlarini boshqarish, jumladan
parolni himoyalash;
standart OT va dasturlarni yangilashni boshqarish;
ro'yxatga olish jurnallarini saqlash va tahlil qilish;
10
foydalanuvchi faoliyatini monitoring qilish.
Boshqa
mashxo’r
noto'g'ri
tushunchalardan
biri,
go`yoki
bulut
ma'lumotlarining kompaniya ichidan ko'ra o'g'irlash osonligi. Biroq global tajriba
shuni ko'rsatadiki, ichki xavfsizlik xavflari tashqi xavflardan ustunlik qilmoqda.
Kompaniyaning AT-tizimlari uchun xavflarning yuqori manbai endi hakerlar yoki
zararli dastur emas, balki kompaniyaning o'z xodimlaridir.
1.2-rasm. Tashkilotda ehtimolli xavflarning manbaalari
Ma’lumotlarni yo`qolishi, behosdan, noto'g'ri harakatlar va xodimlar
tomonidan maqsadli sabotajdan kelib chiqishi mumkin. Misol uchun,
raqobatchilarga ma'lumot sotish, maxfiy axborotni olib tashlash yoki ma'muriy
xavfsizlik siyosatini sabotaj qilish. Ushbu tendensiya butun dunyo bo'ylab ko'plab
tadqiqotlar bilan tasdiqlangan. Har yili AQShda o'tkaziladigan CSI Computer
Crime and Security Survey 2010/2011 tadqiqotlari natijalariga ko'ra,
respondentlarning faqat 17 foizi DoS hujumlariga duch keldi va 25 foizida
xodimlar
tomonidan
qilingan
zararli
harakatlarga
duch
keldi.
RSA
konferensiyasida 2013 yil fevral oyida o'tkazilgan so'rov natijalariga ko'ra,
xavfsizlik mutaxassislarining 63% bugungi kunda xodimlarni kompaniyalar uchun
eng xavfli xavf deb hisoblashadi. Axborot xavfsizligi yechimlarini ishlab
chiquvchi
Promisec
2013-yilda
yuqori
texnologiyali
bozorning
asosiy
tendensiyalaridan biri sifatida ichki axborot xavfsizligi xatarlarini aniqladi [6].
Ushbu ma'lumotlar ikkita fikrga asoslangan holda juda mantiqiy va
tushunarli ko'rinishga ega. Birinchidan, ko'plab kompaniyalar uzoq vaqtdan beri
25%
23%
10%
42%
Buyurtma asosidagi xujumlar
Buzg'unchilik harakatlari
Xakkerlarning hujumlari
Hodimlarning yondoshuvi
11
tashqi tahdidlarni minimallashtirishga yordam beradigan dasturiy ta'minot va
apparat yechimlaridan faol foydalanmoqda. Ikkinchidan, BYOD harakati ortib
borayotgan omili tashkilotning yangi zaifliklarning paydo bo'lishiga olib keldi. Eng
sodda misol: har qanday ishlaydigan qurilma u ishlayotgan ba'zi tijorat
ma'lumotlarini saqlab qolishi mumkin, ammo hech kim uning hayotiy
davomiyligini va uning nusxalari sonini kuzatib bormaydi. Hech kim bu
ma'lumotlarni uchinchi shaxslar tomonidan yo'qotishi yoki yo'q qilinishiga kafolat
berolmaydi, masalan, agar qurilma o'g'irlangan holatda. RSA konferentsiyasida
o'tkazilgan so'rov natijalariga ko'ra, respondentlarning 67,5 foizi xodimlarning o'z
qurilmalarini xavfsizlik tizimlariga xavf tug'dirayotganligi bilan izohladi.
1.3-rasm. Tarmoqda ishlovchi dasturlar, qurilmalar va foydalanuvchilarning ortishi bilan yuzaga
keladigan muammolar darajalari
Fokusni tashqaridan ichki tahdidlarga almashtirish tendentsiyasi klassik
model va IaaS modeliga hosdir. Ta'kidlash joizki, bulutli provayder turli apparat va
dasturiy vositalardan foydalanish orqali yetarli darajadagi himoyani ta'minlaydi.
Bulut, BYOD bilan bog'liq xatarlarni kamaytirishga yordam berishi mumkin,
ammo mijoz-kompaniyalarning hodimlari yetarli darajada xavfsiz parollardan
foydalanishlari yoki uchinchi shaxslarga kirishni ta'minlasalar, ularning barchasi
oqibatlarini bartaraf etishdir [7].
Bulut klassik mijoz-server arxitekturasidan va odatiy hostingdan ajralib
turadigan noyob xususiyatlarga ega. IT infratuzilmalarini bulut infratuzilmasiga
0%
10%
20%
30%
40%
50%
60%
70%
80%
Zaifliklarning
soni
Tarmoq
xavfsizligiga
talablarning
murakkabligi
Sifatning
pasayishi
Tarmoq
ishlashida
xatoliklarning
yuzaga kelishi
Dasturiy ta'minot
ishlashida
xatoliklarning
yuzaga kelishi
12
joylashtirishda, mijoz IAAS provayderidan foydalanadigan jismoniy asbob-
uskunalardan voz kechmasligi sababli infratuzilmaning bir qismini nazorat qiladi.
Tarmoqlar boshqaruvi, serverlar va ma'lumotlarni saqlash tizimlari, shu jumladan
infratuzilma tarkibiy qismlarini boshqarish uchun muntazam javobgarlik
provayderga o'tkaziladi. Endilikda u qurilmaning barqarorligi va xavfsizligi uchun
to'liq javobgar. Mijoz, shuningdek, uskunani kuzatish va sozlash, uni yangilash va
ta'mirlash zarurligini bartaraf etadi. Uning ishlashi kerak bo'lgan resurslar endi
mavjud uskunalarning jismoniy imkoniyatlari bilan chegaralanib qolmaydi, bu
foydalanuvchilar va kompaniyaning butun faoliyati samaradorligini sezilarli
darajada yaxshilaydi.Bulut klassik mijoz-server arxitekturasidan va oddiy
hostingdan ajralib turadigan noyob xususiyatlarga ega. IT infratuzilmalarini bulut
infratuzilmasiga joylashtirishda, mijoz IAAS provayderidan foydala- nadigan
jismoniy asbob-uskunalardan voz kechmasligi sababli infratuzilmaning bir qismini
nazorat qiladi. Tarmoqlar boshqaruvi, serverlar va ma'lumotlarni saqlash tizimlari,
shu jumladan infratuzilma tarkibiy qismlarini boshqarish uchun muntazam
javobgarlik provayderga o'tkaziladi. Endilikda u qurilmaning barqarorligi va
xavfsizligi uchun to'liq javobgar. Mijoz, shuningdek, uskunani kuzatish va sozlash,
uni yangilash va ta'mirlash zarurligini bartaraf etadi. Uning ishlashi kerak bo'lgan
resurslar endi mavjud asboblarning jismoniy imkoniyatlari bilan chegaralanmaydi,
bu esa foydalanuvchilar va kompaniyaning umuman samaradorligini sezilarli
darajada yaxshilaydi.
Antivirus va
Tarmoqlararo
ekranlarni qo’llashni
rad etish
Yetarli bo’lmagan
dasturiy himoya
Inson omili
Shaxsni o’rganishdan
va foydalanishga
ruhsat berishni rad
etish
Komponentlarni
zaxiralashni rad etish
Yetarli bo’lmagan
apparat himoya
Aloqa kanallarida
yetarli bo’lmagan
himoya
Shifrlash va
ulanishlarni
tekshirishni rad etish
1.4-rasm. Xavfsizlikni buzilishining asosiy omillari
13
IaaS modelidagi bu vazifalar va mas'uliyatlarning bu ajratilishi, bir
tomondan, kompaniyalar uchun juda foydalidir va boshqa tomondan, bulutga
o'tishda faqat virtual infratuzilmaga xos bo'lgan nuanslarni hisobga olish kerak
(1.4-rasm).
Dostları ilə paylaş: |