چالشهای امنیتی رایانش ( محاسبات ) ابری

«رایانش ابری» اصطلاحی است عمومی برای اشاره به هر چیزی که مستلزم ارائه «سرویس‌های میزبانی شده» بر روی اینترنت است. این سرویس‌ها عموما به سه طبقه تقسیم می‌شوند:

• زیرساختار به مثابه سرویس (IaaS)
• پلت فرم به مثابه سرویس (PaaS)
• نرم‌افزار به مثابه سرویس (SaaS)

نام رایانش ابری در واقع الهام گرفته از نماد ابر است که اغلب برای اشاره به اینترنت در نمودارها و دیاگرام‌ها استفاده می‌شود. هر سرویس ابری دارای سه ویژگی خاص است که آن را از «میزبانی سنتی» متمایز می‌کند. این ویژگی‌ها عبارتند از: بر اساس تقاضا فروخته می‌شود (عموما بر حسب دقیقه یا ساعت)؛ منعطف است؛ هر کاربر می‌تواند هر سرویس را به اندازه مورد نیاز خود در هر زمان زیاد یا کم دریافت کند؛ و سوم اینکه این سرویس کاملا تحت مدیریتا شرکت ارائه‌کننده آن قرار دارد (مصرف کننده برای استفاده از آن نیاز به هیچ کاری ندارد بلکه فقط یک رایانه شخصی می‌خواهد و دسترسی به اینترنت). نوآوری‌های چشم‌گیر در «مجازی‌سازی»، «رایانش توزیع شده» و همینطور افزایش دسترسی به اینترنت با سرعت بالا و اقتصادهای ضعیف، همگی از جمله عواملی هستند که باعث افزایش گرایش به رایانش ابری شده است.

هر رایانش ابری می‌تواند عمومی باشد یا خصوصی. در رایانش عمومی، سرویس‌ها از طریق اینترنت به هرکسی که خواستار آن باشد فروخته می‌شود (در حال حاضر سرویس وب آمازون بزرگترین ارائه‌کننده رایانش عمومی است). رایانش خصوصی متشکل از یک شبکه یا مرکز داده‌های شخصی است که اقدام به ارائه سرویس‌های میزبانی شده به تعداد محدودی از کاربران می‌کند. وقتی یک شرکت ارائه کننده سرویس اینترنتی از رایانش عمومی برای ارائه سرویس رایانش خصوصی استفاده کند نتیجه کار «رایانش خصوصی-مجازی» نامیده می‌شود. هدف رایانش ابری صرف نظر از اینکه خصوصی باشد یا عمومی ایجاد سهولت، دسترسی روان به امکانات رایانش و سرویس‌های فناوری اطلاعات است.

«زیرساختار به مثابه سرویس» مثل سرویس وب آمازون اقدام به ارائه «مورد سرویس مجازی» برای شروع، توقف، دسترسی و پیکربندی سرورها و ذخیره مجازی آنها می کند. در این کار رایانش ابری به هر شرکت این امکان را می‌دهد تا فقط در ازای آن ظرفیتی که نیاز دارد، پول پرداخت و این ظرفیت را در زودترین زمان ممکن آنلاین کند. از آنجا که این الگوی «پرداخت در ازای مقدار مصرف» شبیه روش مصرف برق، سوخت و آب است، اغلب از آن با عنوان «رایانش مصرفی» نیز یاد می‌شود.

پلت فرم به مثابه سرویس در حوزه رایانش ابری مجموعه‌ای از ابزارهای تولیدی و نرم‌افزاری که روی زیرساخت ارائه کننده میزبان نصب شده‌اند. برنامه‌نویسان اقدام به نوشتن اپلیکشن‌هایی روی پلت فرم شرکت ارائه کننده در اینترنت می کنند. شرکت‌های ارائه‌کننده این نوع سرویس ممکن است از APIs، پورتال ها یا نرم‌افزارهای «گیت وی» که روی رایانه مصرف کننده نصب شده است، استفاده کنند. وب سایت فورس که در واقع نسخه ارتقا یافته است و همچنین «گوگل اپس» نمونه‌هایی از پلت‌فرم به مثابه سرویس هستند. برنامه‌نویسان باید بدانند که در حال حاضر استانداردی برای قابلیت «درون عملیاتی» یا گردش‌پذیری داده‌ها در رایانش وجود ندارد. برخی از شرکت‌های ارائه‌کننده هرگز اجازه نمی دهند نرم‌افزارهایی که کاربران ایجاد کرده‌اند از پلت‌فرم آنها حذف شود.

تقسیم‌بندی رایانش ابری از دیدگاه گارتنر

Saas: Google Apps, Salesforce.com, Netsuite,Lotus, WebFillings, Zoho, YahooMail, Hotmail, ...
PaaS: Google App Engine, Force.com, Windows Azure,Long Jump, Rollbase, Amazon Elastic Beanstalk, VMware, Cloud Foundry
IaaS: Amazon EC2, Rackspace,VMware, Joyent, Google Cloud Storage, ...

در مدل ابری نرم‌افزار به مثابه سرویس، ارائه‌کننده سرویس اقدام به تامین زیرساختارهای سخت‌افزاری و محصولات نرم‌افزاری کرده و با کاربران از طریق یک پورتال جلویی تعامل می‌کنند. نرم‌افزار به مثابه سرویس یک بازار بسیار گسترده‌تر است و سرویس‌های آن می‌توانند شامل هر چیزی باشند: از ایمیل‌های وب‌محور گرفته تا کنترل موجودی و پردازش پایگاه‌داده‌ها. از آنجا که شرکت‌های ارائه‌کننده سرویس هم اپلیکیشن‌ها را میزبانی می کنند هم داده‌ها را کاربران آزادند سرویس‌های موردنظر خود را در هرکجا که باشند، بگیرند.

ریسکهای بالقوه امنیت ابر و گامهای احتمالی کاهش این ریسکها

امروزه محاسبات ابری توجهات زیادی را به خود جلب کرده است. محاسبات ابری این پتانسیل را داراست که در چند سال آتی روش انجام محاسبات در سازمانها را تغییر دهد. مزایای محاسبات ابری به سادگی قابل شناسایی است، این روش حافظه بیشتر، انعطاف پذیری بیشتر و و از همه مهمتر کاهش هزینه ها را به دنبال خواهد داشت. تمامی این مزایا برای کمک به رشد یک تجارت موفق لازم هستند. امتیازات بارز ابرها توجه بسیاری از سازمان­ها را به خود جلب کرده است، اما جنبه ای که هنوز باعث عقب نشینی بسیاری از سازمان­ها در برابر این فن آوری می­گردد، نحوه امن سازی داده ها در ابر و اطمینان از امنیت محیط است.

داده های شما کجا قرار گرفته اند؟

در هنگام استفاده از فن آوری ابر، این موضوع که یک نفر موقعیت داده ها، محل میزبانی آنها یا حتی کشوری را که داده های وی در آن واقع شده اند نداند، بسیار محتمل است. یک گام برای امن کردن داده ها این است که با ارائه دهنده سرویس ابر به این توافق برسید که داده های شما را در یک محدوده جغرافیایی خاص نگهداری کرده و پردازش نماید. شما همچنین می­توانید با استفاده از الزامات قانونی آنها را ملزم به رعایت تمامیت داده های خود نمایید. به این منظور شما باید این قوانین را شناخته و نحوه اعمال آن را بدانید.

آیا داده های شما جدا سازی می­گردد؟

فن آوری ابر قادر است داده های بسیاری از سازمان­ها را در یک محیط اشتراکی ذخیره نماید و در نتیجه هزینه ها را کاهش دهد. بنابراین داده های مشتریان در یک ابر در کنار هم قرار دارند. ارائه دهنده سرویس ابر باید اطمینان حاصل کند که این داده ها جدا سازی شده اند و ریسک­های امنیتی کاهش یافته است. یک راه برای انجام این کار استفاده از روش­های رمزنگاری برای رمز کردن داده ها و اعطای مجوز دسترسی به کلیدها به افراد خاص است. این روش­های رمزنگاری باید کاملا در محیط تست گردند تا از تاثیرگذاری آنها اطمینان حاصل گردد.

آیا حق دسترسی کاربر قابل اعمال است؟

داده های حساس که در خارج از سازمان نگهداری می­شوند دارای یک ویژگی خطرناک امنیتی هستند، چراکه سرویس­های برون سپاری شده از زیر معیارهای امنیتی که دپارتمان­های فن آوری اطلاعات به صورت داخلی اجبار می­نمایند، شانه خالی می­کنند. در اینجا اعتماد ما به افراد خارج از سازمان است و در نتیجه آنها به درون سازمان می آیند. برای کاهش خطر، شما می­توانید تا بیشترین حد امکان اطلاعات مربوط به افرادی که در تماس با داده های شما هستند و نیز اطلاعاتی در مورد چگونگی کنترل دسترسی داده ها را جمع آوری نمایید.

آیا ارائه دهنده سرویس ابری از مقررات لازم پیروی می­نماید؟

در نهایت این سازمان شما است که در برابر امنیت و قابلیت اعتماد داده های خود مسئول است، حتی اگر این داده ها بیرون از شرکت و درون ابر نگهداری گردند. برای اطمینان از رعایت مقررات لازم، ارائه دهنده سرویس ابر باید با شفافیت در تمامی فعالیت­های ابری مرتبط با داده های هر سازمان، به ناظران خارجی اثبات نماید که داده های این سازمان­ها امن است.

گزینه های خروج از بحران

یک سازمان باید با ابزارهای مناسب، آماده مقابله با بحران و خروج از آن باشد. ارائه دهنده سرویس ابر باید قادر باشد در زمان بحران در مورد مسائل لازم به شما اطلاع رسانی نماید. باید چندین سایت وجود داشته باشد که چند نسخه کپی از داده ها و زیرساخت­های برنامه ای در آنها به طور مکرر نگهداری گردد.

چگونه درباره فعالیت نامناسب یا غیرقانونی در ابر تحقیق کنیم؟

تحقیق در سرویس­های ابری مشکل بوده یا در مواردی تقریبا غیرممکن است. با توجه به طبیعت این سرویس­ها، داده های ثبت شده بیش از یک مشتری ممکن است باهم پیدا شوند و احتمالا دسترسی به هریک به طور مجزا مشکل است، همچنین میزبان­ها و مراکز داده نیز به طور مداوم در حال تغییر هستند. در نتیجه پروسه تحقیق تقریبا غیرممکن است، مگر اینکه ارائه دهنده سرویس ابری روشی امتحان شده داشته باشد که قابل اثبات و موثر باشد.

انعطاف پذیری سرور

همانطور که قبلا اشاره شد، یکی از امتیازات فن آوری ابر این واقعیت است که این فن آوری، انعطاف پذیری بالایی را به همراه می آورد. این مساله می­تواند مشکل زا باشد. برخی سرورها ممکن است اغلب بدون اطلاع قبلی شما مجددا پیکربندی گردند. این مساله می­تواند برای برخی فن آوری­های داخل ابر که سازمان شما بر آنها متکی است چالش ساز باشد، چراکه محیط، خود استاتیک نیست. این مساله در زمان امن سازی داده ها مشکل ساز می­گردد، زیرا روش­های سنتی امن سازی داده ها مبتنی بر درک زیرساخت شبکه است، به هر حال اگر این تغییرات به طور مداوم اعمال گردد، این معیارهای امنیتی سودمند نخواهند بود.

مدت زمان از کار افتادن ارائه دهنده سرویس

یک معیار اساسی امنیتی وجود دارد که اغلب نادیده گرفته می­شود. مدت زمان از کار افتادن یک ارائه دهنده سرویس می­تواند برای سازمان شما مضر باشد. قابلیت اعتماد با توجه به این مساله ضروری است.

قابلیت حیات در طولانی مدت

یک مساله در مورد یک ارائه دهنده سرویس ابری، قابلیت حیات در طولانی مدت است. اینکه شما با چه احتمالی دیگر قادر به استفاده از یک ارائه دهنده سرویس ابری خاص نخواهید بود، چه مسیرهایی برای انتقال امن داده های شما به یک ارائه دهنده سرویس ابری دیگر مورد استفاده قرار می­گیرد و نیز اینکه شما چگونه قادر به تامین تمامیت داده های خود خواهید بود، باید در نظر گرفته شود.

شرکتها نه تنها نیاز به یک ارتباط قابل اعتماد با ارائه دهنده سرویس ابر دارند، بلکه باید حداکثر اطلاعات ممکن را درباره شرکتهای دیگر مرتبط با آن ابر به دست آورند. یک شرکت همچنین باید شرکت میزبان مورد استفاده ارائه دهنده سرویس ابر را بشناسد. هرچه دید عمیقتری از ریسکهای بالقوه داشته باشید، جلوگیری، حداقل کردن و کنترل این ریسکها راحتتر خواهد بود.