Угрозы облачных вычислений. Семь угроз развитию облачных вычислений. Угрозы со стороны инсайдеров

Как показывают данные современных исследований, психологический климат является комплексной психологической характеристикой, отражающей состояние взаимоотношений и степень удовлетворенности сотрудников различными факторами жизнедеятельности коллектива организации. В психологии часто употребляются схожие категории: «социально-психологический климат», «морально-психологический климат», «психологическая атмосфера коллектива».

Впервые термин «психологический климат» ввел Н.С. Мансуров, изучающий производственные коллективы. Первых из тех, кто раскрыл содержание морально-психологического климата, был В.М. Шепель. По его определению, психологический климат - это межличностные отношения, имеющие особую эмоциональную окраску, возникающие на основе близости членов одного коллектива, их симпатий, совпадения характеров, интересов, склонностей и т.д.

В Педагогическом словаре дается следующее определение. Психологический климат – это совокупность психологических условий, способствующих или препятствующих продуктивной совместной деятельности и всестороннему развитию личности в группе (коллективе).

Б.Ф. Ломов включает в понятие психологический климат систему межличностных отношений, психологических по природе (симпатия, антипатия, дружба), психологические механизмы взаимодействия между людьми (подражание, сопереживание, содействие), систему взаимных требований, общее настроение, общий стиль совместной трудовой деятельности, интеллектуальное, эмоциональное и волевое единство коллектива.

Р.Х. Шакуров рассматривает понятие психологического климата с двух его сторон: психологической, которая раскрывается в эмоциональных, волевых, интеллектуальных состояниях и свойствах группы и социально-психологической, которая проявляется в интегративных особенностях психологии группы, значимых для сохранения ее целостности и для ее функционирования как самостоятельного объединения людей.

По мнению К.К. Платонова и В.Г. Казакова, социально-психологический климат - это такое свойство группы, которое определяется межличностными отношениями, создающими стойкие групповые настроения и мысли от которых зависит степень активности в достижении целей, стоящих перед группой.

В.М. Шепель полагал, что климат отношений между членами одной группы состоит из трех климатических зон.

Во-первых, это зона социального климата. Он определяется тем, насколько в данном коллективе хорошо осознанны цели и задачи общества, насколько здесь гарантированно соблюдение всех конституционных прав и обязанностей работников как граждан.

Во-вторых, это зона морального климата. Он определяется тем, какие моральные ценности приняты в данном коллективе.

В-третьих, это зона психологического климата. Ее составляют те неофициальные отношения, которые складываются между членами коллектива, находящимися в непосредственном контакте друг с другом.

Однако действие зоны психологического климата является более ограниченным, чем климата социального и морального.В целом это явление принято называть социально-психологическим климатом коллектива.

По мнению известного российского психолога В.А. Розановой, понятие «социально-психологический климат коллектива» отражает характер взаимоотношений между людьми, преобладающий тон общественного настроения в коллективе, связанный с удовлетворением условиями жизнедеятельности, стилем и уровнем управления и другими факторами .

А.Н.Лутошкин выделяет следующие функции социально-психологического климата в коллективе:

1) Консолидирующую. Заключается в сплочении членов коллектива, в объединении коллективных усилий на решение учебно-воспитательных задач.

2) Стимулирующую. Состоит в создании «эмоциональных потенциалов» коллектива, его жизненной энергии, которая впоследствии реализуется в педагогической деятельности.

3) Стабилизирующую. Обеспечивает устойчивость внутриколлективных отношений, создает благоприятные условия для успешного вхождения в коллектив новых педагогов.

4) Регулирующую. Реализуется в утверждении прогрессивно – этнических норм взаимоотношений, оценке поведения членов коллектива.

Условия, в которых происходит взаимодействие в образовательном учреждении, влияют на успешность деятельности, на удовлетворенность процессом и результатами труда. В частности, к ним относят санитарно-гигиенические условия, в которых работают сотрудники: температурный режим, влажность, освещенность, просторность помещения, наличие удобного рабочего места и т.д. Огромное значение имеет и характер взаимоотношений в группе, доминирующее в ней настроение. Когда ведут речь о психологическом климате коллектива, подразумевают следующее:

Совокупность социально-психологических характеристик;

Преобладающий и устойчивый психологический настрой;

Характер взаимоотношений;

Благоприятный социально-психологический климат характеризуют оптимизм, радость общения, доверие, чувство защищенности, безопасности и комфорта, взаимная поддержка, теплота и внимание в отношениях, межличностные симпатии, открытость коммуникации, уверенность, бодрость, возможность свободно мыслить, творить, интеллектуально и профессионально расти, совершать ошибки без страха наказания и т.д.

Неблагоприятный социально-психологический климат характеризуют пессимизм, раздражительность, скука, высокая напряженность и конфликтность отношений в группе, неуверенность, боязнь ошибиться или произвести плохое впечатление, страх наказания, неприятие, непонимание, враждебность, подозрительность, недоверие друг к другу, нежелание вкладывать усилия в совместный продукт, в развитие коллектива и организации в целом, неудовлетворенность и т.д.

Руководитель может целенаправленно регулировать характер отношений в образовательном учреждении и влиять на социально-психологический климат. Для этого необходимо знать закономерности его формирования и осуществлять управленческую деятельность с учетом факторов, влияющих на социально-психологический климат.

Социально-психологический климат коллектива является существенным фактором жизнедеятельности человека, оказывающим влияние на всю систему социальных отношений, на образ жизни людей, на их повседневное самочувствие, работоспособность и уровень творческой личностной самореализации. В свою очередь, сам социально-психологический климат зависит от большого числа факторов, положительно или отрицательно воздействующих на него. На некоторые из них руководителю можно оказать влияние, а на некоторые - нет. В.А. Розанова эти факторы разделяет на внешние и внутренние.

Внешние факторы порождаются событиями, происходящими за пределами организации. К ним относят проблемы в семьях, социальные проблемы региона, катастрофы и т. д.Все, что случается в семье, очень быстро сказывается на самочувствии работников. Так как внешние факторы находятся за пределами «прямого» контроля руководителя, то он должен быть очень опытным и внимательным, чтобы по возможности избавиться от их влияния.

К внутренним климатообразующим факторам относятся: стиль руководства, который непосредственно влияет на настроение, поведение людей, на их взаимоотношения. Степень удовлетворенности стилем и его мотивационные последствия формируют отношение к работе.

Отлаженность трудового процесса. Здесь речь идет о субъективно оцениваемых организационно-управленческих, экономических и материально-технических условиях, в которых трудится человек. Недовольство работников образовательного учреждения дела отрицательно сказывается на социально-психологическом климате.

Личные качества работников. Через них преломляются все обстоятельства трудовой деятельности и личной жизни. Лица, склонные конфликтовать, нетерпимые к мнению других, с завышенной самооценкой, необоснованным уровнем притязаний и низкой культурой поведения провоцируют ухудшение социально-психологического климата.

Корпоративная (групповая) культура, которая, будучи фактором группового сознания, утверждает определенные межличностные отношения в коллективе в качестве общей ценности. При сильном групповом самосознании лица, посягающие на общую ценность, подвергаются осуждению, чем социально-психологический климат страхуется от нарушений.

Психологическая совместимость, которая означает способность людей к взаимодействию в связи с их социальными и психофизиологическими качествами. Психологическая совместимость определяется совокупностью личностных качеств. Трудности взаимодействия порождают стресс, который сказывается на общем настрое отдельных людей и группы в целом.

Соотношение мужчин и женщин в коллективе иногда также оказывает влияние на климат. Психологи рекомендуют при возможности смешанные по половому составу коллективы. Женские коллективы более подвержены колебаниям социально-психологического климата, чем мужские. А педагогический коллектив традиционно считается женским коллективом.

Размеры первичного коллектива. Оптимальными психологи считают средние коллективы от 10 до 20 человек. Большие первичные коллективы (более 25 человек), к которым относятся и дошкольные образовательные учреждения, склонны распадаться на отдельные группировки, в меньших затрудняется нахождение психологически совместимых лиц по причине ограниченности выбора.

Возрастная структура коллектива. Опытом установлено, что для большей стабильности коллектива желательно комплектовать его разными по возрасту работниками. Сочетание в педагогическом коллективе людей разного опыта, профессионального мастерства, как правило, дает положительный результат, «размыкая» это сосредоточие педагогов на себе самих и своей деятельности.

Физическая удаленность работающих членов коллектива. Человек, работающий рядом, чаще воспринимается как лучший друг, чем тот, кто работает дальше.

Социально - экономическая эффективность труда при прочих равных условиях находиться в прямой зависимости от уровня сплоченности коллектива. Сплоченность коллектива означает единство поведения его членов, основанное на общности интересов, ценностных ориентаций, норм, целей и действий по их достижению. Сплоченность является важнейшей социологической характеристикой коллектива.

К.К. Платонов отмечает, что на социально - психологический климат в трудовом коллективе, безусловно, влияет коллективное мнение и настроение.

Коллективное мнение - совокупные оценки, желания, требования, в которых выражается отношение членов коллектива к определенным, затрагивающим их интересы и потребности вопросам, явлениям, событиям, фактам. Человек не только лично переживает впечатление от воспринятого события, а делится этим впечатлением с окружающими, сопоставляет свою точку зрения со взглядами других. Происходит сложный процесс взаимодействия и синтез индивидуальных мнений, в результате которых одни суждения отсеиваются, другие обогащаются, уточняются. Так складывается коллективное мнение, поддерживаемое если не всеми, то большинством, при этом влияя на социально - психологический климат в трудовом коллективе.

Коллективное настроение - это совместное переживание, длительное эмоциональное состояние, влияющее на проявление личности, качество общей и индивидуальной работы. В коллективном настроении на первый план выступает общая эмоциональная реакция на окружающие события. От настроения людей зависит их поведение, результаты деятельности и воспитательных воздействий. Настроение одного человека передается другому.

В свою очередь и настроение коллектива способно влиять на его членов. Настроение зависит от мировоззрения, характера, темперамента, опыта человека, и поэтому в одной и той же обстановке индивидуальные настроения могут быть разными. В то же время общность условий деятельности, задач и качеств людей их взаимоотношения содействуют формированию коллективного настроения. Причины, влияющие на настроение трудового коллектива, могут быть относительно постоянными (свойства личности, установленный в организации порядок) и переменными (ход действий, складывающиеся ситуации и т. д.). На коллективное настроение накладывают отпечаток юмор, шутки, яркие жизненные факты. При этом на коллективное настроение значительно может повлиять и настроение руководителя.

Традиции - это социально-психологический фактор, стабилизирующий жизнь, деятельность, взаимоотношения, структуру коллектива. Они образуют слой устойчивых форм активности организации, характерные черты которых - саморегуляция, ориентация на удовлетворение потребностей сотрудников, развитие и воспроизводство духовных ценностей.Традиции формируются по мере накопления опыта совместной жизни и олицетворяют устойчивость, относительную независимость культуры организации от смены персонального состава. Внешне они проявляются через комплекс групповых и межличностных действий, которые направлены на удовлетворение коллективных и индивидуальных потребностей.

Также на формирование социально-психологического климата влияют национальный состав, религиозные, расовые и другие обстоятельства.

Психологическое самочувствие педагога также оказывает непосредственное влияние на всю атмосферу дошкольного учреждения, снижающую эффективность воспитания и обучения детей, повышают конфликтность во взаимоотношениях с воспитанниками, родителями, коллегами, разрушают психическое здоровье, обуславливают высокую напряженность, агрессивную самозащиту, подавляют творческую активность.

Юлия Князева
Психологический климат коллектива педагогов

Психологический климат коллектива педагогов , прежде всего, проявляется в настроении его членов и определяет их работоспособность, психологическое и физическое самочувствие формируют эмоциональный настрой и работоспособность детей.

К числу условий, зависящих от самого педагога , относятся психологическая установка и эмоциональный настрой.

Психологическая установка создаётся тем, что педагог мысленно представляет себе группу и объект работы.

Эмоциональный настрой - это активизация чувств, обусловленных содержанием учебного процесса.

Массовое обследование показало, что эмоциональный настрой нужен всем воспитателям и педагогам . Для эмоционального настроя необходимо "окунуться" в материал НОД, войти в мир тех научных категорий или художественных образов, с которыми предстоит работать, представить их в сознании как бы наглядно. Если педагог не успеет перед занятием вызвать у себя эмоциональный настрой, соответствующий теме, то привычные хорошие и правильные слова не захватят учащихся, не вызовут ответных чувств, урок станет формальной передачей информации.

Однако на создание рабочего самочувствие влияют и условия, не зависящие от педагога . Здесь уместна аналогия между трудом педагога и актёра . Бережное отношение к самочувствию актёра перед спектаклем стало общепринятым законом : тот момент, когда актёр "священнодействует" с гримом, костюмом, готовясь к выходу на сцену, "вход постороннему за кулисы запрещён". К педагогу же , может обратиться кто угодно и с каким угодно поручением, вопросом, распоряжением.

Роль педагога нисколько не легче , чем роль актёра. Более того, педагог - и сценарист , и режиссёр, и декоратор, и главное действующее лицо своей группы. Бережное отношение к самочувствию педагога возможно в условиях творческой атмосферы в детском саду, благоприятных взаимоотношений в педагогическом коллективе .

В конечном итоге настроение педагогов определяется всегда особенностями руководства. Возможности руководителей в управлении эмоциональной атмосферой педагогического коллектива очень велики .

Одной из главных социально-психологических функций директора является сплочение педагогического коллектива . Сплочённость коллектива способствует повышению его воспитательных возможностей, сокращению текущих кадров. Сплочённый коллектив - коллектив устойчивый , способный противостоять действию внутренних и внешних сил, направленных на ослабление или разрушение связей между его членами.

Итак, эмоциональное благополучие педагога в коллективе во многом определяется стилем руководства данным коллективом со стороны администрации.

Психологический климат коллектива также зависит от отсутствия или наличия в нём творческой атмосферы.

Творческий рост педагога может отвечать требованиям сегодняшнего дня лишь при условии, если в его основе лежит поиск наиболее эффективных методов работы, вытекающий из стремления личности к самосовершенствованию. Но руководителям становится всё труднее следить за последними новинками педагогической науки и практики . Поэтому, видимо, главная функция руководителей должна заключаться не только в научно-методическом просвещении педагогов (хотя эта функция не теряет своей актуальности, а в создании в коллективе такой атмосферы , которая побуждает каждого работника неустанно повышать свой теоретический уровень и педагогическое мастерство .

Для решения поставленных задач по исследованию мною использовалась следующая совокупность методов исследования :

1. Теоретические :

а) анализ и синтез социологической, психолого- педагогической , методической и специальной литературы по проблеме исследования;

б) теоретико-методологический анализ состояния проблемы исследования.

2. Экспериментальные : наблюдение, анкетирование, беседа, тестирование, обобщение независимых характеристик.

Экспериментальной базой исследования явился МКДОУ Яменский детский сад. В исследовании приняли участие

Научная новизна исследования состоит в том, что проведен теоретический и эмпирический анализ сущности и специфики психологического климата в педагогическом коллективе МКОУ ; выделены ведущие факторы, влияющие на его состояние; выявлены личностные свойства и качества, обеспечивающие оптимальное протекание процесса установления взаимоотношений.

Психологический климат в педагогическом коллективе в рамках данного исследования трактуется как комплексное эмоционально-психологическое состояние коллектива , отражающее степень удовлетворенности его членов различными факторами жизнедеятельности.

Специфика обусловлена особенностями самой профессиональной деятельности и современными тенденциями в образовании.

Динамика состояния психологического климата в исследуемом коллективе в ходе экспериментальной работы отслеживалась мной с помощью специально разработанной анкеты.

Для диагностики психологического климата в коллективе МКОУ и решения исследовательских задач я использовала методы наблюдения, опроса и методику "Оценка психологического климата в педагогическом коллективе ". Она позволяет определить уровень социально-психологического климата в коллективе . Она также диагностирует уровень сформированности группы как коллектива .

Это опросник состоит из 13 вопросов, в которых предлагалось всем сотрудникам педколлектива по шкале от - 3 до +3 оценить климат в своем коллективе

Оценка психологического климата в педагогическом коллективе

Прочтите сначала предложенный текст слева, затем – справа и после этого знаком «+» отметьте в верхней части листа ту оценку, которая соответствует истине, по Вашему мнению.

/3 2 1 0 –1 -2-3/

Преобладает бодрый, жизнерадостный тон настроения Преобладает подавленное настроение

Доброжелательность в отношениях, взаимные симпатии Конфликтность в отношениях и антипатии

3 В отношениях между группировками внутри коллектива существует взаимное расположение, понимание Группировки конфликтуют между собой

4. Членам коллектива нравится вместе проводить время, участвовать в совместной деятельности Проявляют безразличие к более тесному общению, выражают отрицательное отношение к совместной деятельности.

5. Успехи или неудачи товарищей вызывают сопереживание, искреннее участие всех членов коллектива Успехи или неудачи товарищей оставляют равнодушными или вызывают зависть, злорадство

6. С уважением относятся к мнению друг друга Каждый считает свое мнение главным, нетерпим к мнению товарищей.

7. Достижения и неудачи коллектива переживаются как свои собственные Достижения и неудачи коллектива не находят отклика у членов коллектива

8. В трудные минуты для коллектива происходим эмоциональное единение «один за всех и все за одного» В трудные минуты коллектив «раскисает» , возникают ссоры, потерянность, взаимные обвинения

9. Чувство гордости за коллектив , если его отмечают руководители К похвалам и поощрениям коллектива здесь относятся равнодушно

10. Коллектив активен , полон энергии Коллектив инертен и пассивен

11. Участливо и доброжелательно относятся к новым членам коллектива , помогают им освоиться в коллективе Новички чувствуют себя чужими, к ним часто проявляют враждебность

12. Совместные дела увлекают всех, велико желание работать коллективно Коллектив невозможно поднять на совместное дело, каждый думает о своих интересах

13. В коллективе существует справедливое отношение ко всем членам, поддерживают слабых, выступают в их защиту Коллектив заметно разделяется на «привилегированных» , пренебрежительное отношение к слабым

Обработка полученных данных.

Осуществляется в несколько этапов.

Первый этап : необходимо сложить все абсолютные величины сначала (+, потом (-) оценок, данных каждым участником опроса. Затем из большей величины вычесть меньшую. Получается цифра с положительным или отрицательным знаком. Так обрабатывают ответы каждого члена коллектива .

Второй этап : все цифры, полученные после обработки ответов каждого ученика (педагога , необходимо сложить и разделить на количество отвечающих. Затем полученную цифру сравнивают с «ключом» методики :

22 и более - это высокая степень благоприятности социально-психологического климата ;

от 8 до 22 - средняя степень благоприятности социально-психологического климата ;

от 0 до 8 - низкая степень (незначительная) благоприятности;

от 0 до (- 8) - начальная неблагоприятность социально-психологического климата ;

от (-8) до (-10) - средняя неблагоприятность;

от (- 10) и ниже в отрицательную сторону - сильная неблагоприятность.

Такой подсчет можно сделать по каждому свойству :

а) записать, а затем сложить оценки, данные отдельному свойству каждым участником опроса;

б) полученную цифру разделить на число участников. Когда будут подсчитаны индексы по каждому свойству, выстраивают ранжированный ряд из этих цифр по степени убывания их величины. Таким образом, мы выявляем свойства, способствующие как сплочению коллектива (положительные, так и его разобщению (свойства с отрицательным знаком) .

Описанная методика диагностирует уровень сформированности группы как коллектива и позволяет (при многократном исследовании) проследить динамику его развития (тех свойств, которые «заложены» в опросном листе).

Когда Эрик Шмит, ныне глава Google, впервые употребил термин "облако" по отношению к распределенной вычислительной веб-системе он вряд ли догадывался, что это одно из тех слов, которые часто встречаются в легендах. Практически во всех мифах народов мира божественные существа обитают очень близко к небу - на облаках. В результате, термин "облачные вычисления" очень понравился маркетологам, поскольку дает пространство для творчества. Попытаемся и мы вербализировать эти мифы, и понять насколько они органично сочетаются с ИТ.

Смерть Мерлина

Одним из персонажей цикла легенд о короле Артуре и его Круглом столе является маг и волшебник Мерлин, который помогал Артуру в его правлении. Показательно, что кончил Мерлин тем, что был заточен в облаках. Он, желая похвалиться перед молодой волшебницей и показать свою магическую силу, построил замок из облаков и предложил своей пассии его осмотреть. Однако волшебница оказалась хитра и заточила мага в его собственном облачном замке. После этого Мерлина уже ни кто не видел, поэтому считается, что он умер где-то там - в выстроенном им же самим облачном замке.

Сейчас "маги от ИТ" также построили целую мифологию вокруг распределенных вычислений, поэтому чтобы не быть заточенными в этих "замках" стоит вначале разобраться что же представляют из себя эти облака, то есть отделить маркетинг от котлет.

Изначально облако было только одно - именно этим символом традиционно обозначали сеть Интернет. Это облако обозначало совокупность всех компьютеров, объединенных протоколом IP и имеющих собственный IP-адрес. Со временем в Интернет начали выделять серверные фермы, которые устанавливались у провайдеров и на которых базировались веб-проекты. При этом для обеспечения высокой нагрузки и отказоустойчивости наиболее крупные веб-системы становились многоуровневыми и распределенными.

В типовой такой системе можно было выделить следующие уровни: обратный прокси, выполняющий также роль балансировщика нагрузки и дешифратора SSL, собственно веб-сервер, далее сервер приложений, СУБД и систему хранения. При этом на каждом уровне могло быть несколько элементов, выполняющих одинаковые функции, и поэтому не всегда было понятно какие именно компоненты используются для обработки пользовательских запросов. А когда непонятно, то это и есть облака. Поэтому начали говорить, что пользовательские запросы выполняются где-то в "облаке" из большого количества серверов. Так и появился термин "облачные вычисления".

Хотя изначально облачные вычисления были связаны с общедоступными веб-проектами - порталами, однако по мере развития распределенных отказоустойчивых веб-систем их начали использовать и для решения внутрикорпоративных задач. Это было время бума на корпоративные порталы, которые были основаны на веб-технологиях, отработанных в публичных системах. В то же время корпоративные системы начали консолидироваться в центры обработки данных, которые было проще и дешевле обслуживать.

Однако выделять на каждый элемент облака отдельный сервер было бы неэффективно - не все элементы облака нагружены одинаково, поэтому параллельно начала развиваться индустрия виртуализации. В публичных облаках она оказалась достаточно популярной, поскольку позволила разграничивать права доступа и обеспечивала быстрый перенос элемента распределенной системы на другой аппаратный носитель. Без виртуализации облачные вычисления были бы менее динамичными и масштабируемыми, поэтому сейчас облака, как правило, состоят из виртуальных машин.

Облачные вычисления в основном связывают с арендой приложений, определяя три типа таких услуг: IaaS - инфраструктура как сервис, PaaS - платформа как сервис и SaaS - программное обеспечение как сервис. Иногда и услуги "безопасность как сервис" также сокращают до SaaS, однако, чтобы не путать облачные услуги безопасности с арендой ПО лучше называть ее ISaaC - Information Security as a Cloud. Такие услуги также начинают предоставляться. Однако не следует путать аутсорсинг приложений и облачные вычисления, поскольку облака могут быть внутрикорпоративные, публичные и гибридные. У каждого из этих типов облаков есть свои особенности при организации системы защиты.

Три шага Вишну

Бог Вишну в индуистской мифологии известен тем, что именно он завоевал пространство для жизни людей с помощью трех шагов: первый был сделан на земле, второй - в облаках, а третьим - в высшей обители. В соответствии с "Риг-ведой" именно этим действием Вишну отвоевал все эти пространства для людей.

Современные ИТ также делают аналогичный "второй шаг" - с земли в облака. Однако, чтобы с этих облаков не свалиться еще на земле стоит позаботиться о безопасности. В первой части я так подробно разобрал структуру облака для того, чтобы было понятно какие угрозы существуют для облачных вычислений. Из описанного выше следует выделить следующие классы угроз:

Традиционные атаки на ПО . Они связанные с уязвимостью сетевых протоколов, операционных систем, модульных компонент и других. Это традиционные угрозы, для защиты от которых достаточно установить антивирус, межсетевой экран, IPS и другие обсуждаемые компоненты. Важно только, чтобы эти средства защиты были адаптированы к облачной инфраструктуре и эффективно работали в условиях виртуализации.

Функциональные атаки на элементы облака . Этот тип атак связан с многослойностью облака, общим принципом безопасности, что общая защита системы равна защите самого слабого звена. Так успешна DoS-атака на обратный прокси, установленный перед облаком, заблокирует доступ ко всему облаку, не смотря на то, что внутри облака все связи будут работать без помех. Аналогично SQL-инъекция, прошедшая через сервер приложений даст доступ к данным системы, не зависимо от правил доступа в слое хранения данных. Для защиты от функциональных атак для каждого слоя облака нужно использовать специфичные для него средства защиты: для прокси - защиту от DoS-атак, для веб-сервер - контроль целостности страниц, для сервера приложений - экран уровня приложений, для слоя СУБД - защиту от SQL-инъекций, для системы хранения - резервное копирование и разграничение доступа. В отдельности каждые из этих защитных механизмов уже созданы, но они не собраны вместе для комплексной защиты облака, поэтому задачу по интеграции их в единую систему нужно решать во время создания облака.

Атаки на клиента . Этот тип атак отработан в веб-среде, но он также актуален и для облака, поскольку клиенты подключаются к облаку, как правило, с помощью браузера. В него попадают такие атаки как Cross Site Scripting (XSS), перехваты веб-сессий, воровство паролей, "человек посредине" и другие. Защитой от этих атак традиционно является строгая аутентификации и использование шифрованного соединения с взаимной аутентификацией, однако не все создатели "облаков" могут себе позволить столь расточительные и, как правило, не очень удобные средства защиты. Поэтому в этой отрасли информационной безопасности есть еще нерешенные задачи и пространство для создания новых средств защиты.

Угрозы виртуализации . Поскольку платформой для компонент облака традиционно являются виртуальные среды, то атаки на систему виртуализации также угрожают и всему облаку в целом. Этот тип угроз уникальный для облачных вычислений, поэтому его мы подробно рассмотрим ниже. Сейчас начинают появляться решения для некоторых угроз виртуализации, однако отрасль эта достаточно новая, поэтому пока сложившихся решений пока не выработано. Вполне возможно, что рынок информационной безопасности в ближайшее время будет вырабатывать средства защиты от этого типа угроз.

Комплексные угрозы "облакам" . Контроль облаков и управление ими также является проблемой безопасности. Как гарантировать, что все ресурсы облака посчитаны и в нем нет неподконтрольных виртуальных машин, не запущено лишних бизнес-процессов и не нарушена взаимная конфигурация слоев и элементов облака. Этот тип угроз связан с управляемостью облаком как единой информационной системой и поиском злоупотреблений или других нарушений в работе облака, которые могут привести к излишним расходам на поддержание работоспособности информационной системы. Например, если есть облако, которое позволяет по представленному файлу детектировать в нем вирус, то как предотвратить воровство подобных детектов? Этот тип угроз наиболее высокоуровневый и, я подозреваю, что для него невозможно универсального средства защиты - для каждого облака ее общую защиту нужно строить индивидуально. Помочь в этом может наиболее общая модель управления рисками, которую нужно еще правильно применить для облачных инфраструктур.

Первые два типа угроз уже достаточно изучены и для них выработаны средства защиты, однако их еще нужно адаптировать для использования в облаке. Например, межсетевые экраны предназначены на защиты периметра, однако в облаке непросто выделить периметр для отдельного клиента, что значительно затрудняет защиту. Поэтому технологию межсетевого экранирования нужно адаптировать к облачной инфраструктуре. Работу в этом направлении сейчас активно ведет, например, компания Check Point.

Новым для облачных вычислений типом угроз является проблемы виртуализации. Дело в том, что при использовании этой технологии в системе появляются дополнительные элементы, которые могут быть подвергнуты атаке. К ним можно отнести гипервизор, систему переноса виртуальных машин с одного узла на другой и систему управления виртуальными машинами. Рассмотрим подробнее, каким же атакам могут подвергнуться перечисленные элементы.

Атаки на гипервизор . Собственно ключевым элементом виртуальной системы является гипервизор, который обеспечивает разделение ресурсов физического компьютера между виртуальными машинами. Вмешательство в работу гипервизора может привести к тому, что одна виртуальная машина может получить доступ к памяти и ресурсам другой, перехватывать ее сетевой трафик, отбирать ее физические ресурсы и даже совсем вытеснить виртуальную машину с сервера. Пока мало кто из хакеров понимает, как именно работает гипервизор, поэтому атак подобного типа практически нет, однако это еще не гарантирует, что они не появятся в будущем.

Перенос виртуальных машин . Следует отметить, что виртуальная машина представляет собой файл, который может быть запущен на исполнение в разных узлах облака. В системах управления виртуальными машинами предусмотрены механизмы переноса виртуальных машин с одного узла на другой. Однако файл виртуальной машины можно и вообще украсть и попытаться запустить ее за пределами облака. Вынести физический сервер из ЦОДа невозможно, а вот виртуальную машину можно украсть по сети, не имея физического доступа к серверам. Правда, отдельная виртуальная машина за пределами облака не имеет практической ценности - воровать нужно как минимум по одной виртуальной машине из каждого слоя, а также данные из системы хранения для восстановления аналогичного облака, тем не менее, виртуализация вполне допускает воровство частей или всего облака целиком. То есть вмешательство в механизмы переноса виртуальных машин порождает новые риски для информационной системы.

Атаки на системы управления . Огромное количество виртуальных машин, которые используются в облаках, особенно в публичных облаках, требует таких систем управления, которые могли бы надежно контролировать создание, перенос и утилизацию виртуальных машин. Вмешательство в системы управления может привести к появлению виртуальных машин невидимок, блокирование одних машин и подстановка в слои облака неавторизованных элементов. Все это позволяет злоумышленникам получать информацию из облака или захватывать его части или все облако целиком.

Следует отметить, что пока все перечисленные выше угрозы являются чисто гипотетическими, поскольку сведений о реальных атаках этого типа практически нет. В то же время, когда виртуализация и облака станут достаточно популярными, все эти типы нападений могут оказаться вполне реальными. Поэтому их стоит иметь в виду еще на этапе проектирования облачных систем.

За седьмым небом

Апостол Павел утверждал, что знал человека, который был восхищен на седьмое небо. С тех пор словосочетание "седьмое небо" прочно закрепилось для обозначения рая. Впрочем, далеко не все христианские святые сподобились побывать даже на первом небе, тем не менее, нет такого человека, который не мечтал бы хоть одним глазком взглянуть на седьмое небо.

Возможно, именно эта легенда и подвигла создателей компании Trend Micro назвать один из своих проектов по защите облаков Cloud Nine - девятое облако. Это ведь явно выше седьмого. Впрочем, сейчас этим именем названы самые разнообразные вещи: песни, детективы, компьютерные игры, однако вполне возможно, что это имя было навеяно христианской легендой Павла.

Впрочем, пока к омпания Trend Micro опубликовала только сведения о том, что Cloud Nine будет связан с шифрованием данных в облаке. Именно шифрование данных и позволяет защититься от большинства угроз данным в публичном облаке, поэтому подобные проекты сейчас будут активно развиваться. Давайте пофантазируем, какие инструменты защиты еще могут пригодиться для снижения описанных выше рисков.

В первую очередь нужно обеспечить надежную аутентификацию, как пользователей облака, так и его компонентов. Для этого можно, скорее всего, применять уже готовые системы однократной аутентификации (SSO), которые базируются на Kerberos и протокол взаимной аутентификации оборудования. Далее потребуются системы управления идентификационной информацией, которые позволяют настраивать права доступа пользователей к различным системам с помощью ролевого управления. Конечно, придется повозиться с определением ролей и минимальных прав для каждой роли, но, один раз настроив систему, ее можно будет эксплуатировать достаточно долго.

Когда все участники процесса и их права определены нужно следить за соблюдением этих прав и обнаружением ошибок администрирования. Для этого нужны системы обработки событий от средств защиты элементов облака и дополнительных защитных механизмов, таких как межсетевые экраны, антивирусы, IPS и другие. Правда, стоит использовать те их варианты, которые могут работать в среде виртуализации - это будет эффективней.

Кроме того, стоит также использовать какую-нибудь фрод-машину, которая позволяла бы выявлять мошенничество в использовании облаков, то есть снизить самый сложный риск вмешательства в бизнес-процессы. Правда, сейчас на рынке, скорее всего, нет фрод-машины, которая позволяла работать с облаками, тем не менее, технологии выявления случаев мошенничества и злоупотребления уже отработаны для телефонии. Поскольку в облаках придется внедрять биллинговую систему, то и фрод-машину к ней стоит присоединить. Таким образом, можно будет хотя бы контролировать угрозы для бизнес-процессов облака.

Какие же еще защитные механизмы можно использовать для защиты облаков? Вопрос пока остается открытым.

В первый день открывшегося в Сан-Франциско традиционного ежегодного форума RSA Сonference, посвященного вопросам безопасности, организация Cloud Security Alliance (CSA) и корпорация Hewlett-Packard представили документ “Top Threats to Cloud Computing V1.0” (“Главные угрозы развитию облачных вычислений”). Он составлен по результатам проведенного исследования и адресован как провайдерам облачных сервисов, так и их пользователям. Отметим также, что вклад в его подготовку внесли представители целого ряда известных компаний, включая Bank of America, CloudSecurity.org, HP, Microsoft, Rackspace, Oracle, Trend Micro, Verizon Business и др., так что говорить о чьей-либо особой заинтересованности в данном случае не приходится.

Индекс V1.0 в названии документа подчеркивает, что выпущена первая его версия, которая будет со временем обновляться. Как отмечают авторы, было довольно много дебатов относительно того, что следует отразить в первой версии, но в конечном счете было решено сфокусироваться на уникальных угрозах, присущих именно сфере облачных вычислений, а также на тех, которые существенно прибавили в своей значимости благодаря характерным особенностям организации облачной среды. Что же это за угрозы?

1. Злоупотребления и нечестная игра при использовании облачных ресурсов

Привлекая клиентов обещаниями неограниченных компьютерных и сетевых ресурсов и возможностей для хранения данных, IaaS-провайдеры предлагают им очень простую процедуру регистрации (пройти её может любой, у кого есть действующая кредитная карточка), а также зачастую и возможность бесплатного тестирования услуги в течение некоторого периода времени. Злоупотребляя сравнительной анонимностью процедуры регистрации и использования облачных ресурсов, спамеры, авторы зловредных кодов и другие злоумышленники получили возможность безнаказанно использовать облачные сервисы для своих целей. Ранее с подобного рода “неприятностями” сталкивались главным образом PaaS-провайдеры, но теперь стало очевидно, что все чаще целью для злоумышленников становятся и поставщики услуг IaaS. В дальнейшем можно ожидать, что их ресурсы могут использоваться для вскрытия паролей и ключей, DDoS-атак, хостинга вредоносных кодов, построения так называемых радужных таблиц (rainbow table) и инструментов обхода CAPTCHA-средств.

В частности, как было установлено, сервисы IaaS использовались для формирования ботсети Zeus, распространения трояна InfoStealer и эксплойтов для приложений Microsoft Office и Adobe PDF. А в результате противодействия распространению спама в черные списки попали целый блоки сетевых адресов IaaS-провайдеров.

2. Небезопасные интерфейсы и API

Для работы с облачными сервисами провайдеры предоставляют клиентам специальные программные интерфейсы и API. От того, как в этих инструментах реализованы меры обеспечения информационной безопасности (аутентификация, контроль доступа, шифрование, мониторинг активности), во многом зависит безопасность и самого сервиса. Проблема усложняется в случае, если на базе облачных ресурсов одного провайдера сторонняя компания строит и предлагает дополнительные услуги и ответственность перед заказчиком за меры безопасности оказывается распределенной. Так что перед тем, как начать пользоваться облачными сервисами, следует убедиться в безопасности предложенных провайдером инструментов, чтобы не подвергать свою компанию неоправданным рискам.

3. Злоумышленники из числа инсайдеров

Инсайдерские угрозы представляют опасность для любой компании, но для пользователей облачных сервисов они возрастают многократно, поскольку предоставляемые разным заказчикам сервисы базируются на единой, тесно интегрированной ИТ-инфраструктуре, а реализованные провайдером процессы и процедуры управления ею в значительной степени непрозрачны. В частности, провайдер может не раскрывать, чем лимитирован доступ его сотрудников к физическим и виртуальным ИТ-ресурсам, как организован контроль за деятельностью сотрудников, каким образом удовлетворяются требования регулирующих органов и т. д. В результате может сложиться весьма благоприятная ситуация для разного рода злоумышленников, промышленного шпионажа или даже нежелательного вмешательства государственных органов. Последствия для пользователя сервисов в таком случае могут быть весьма серьезными как в имиджевом плане, так и в финансовом.

4. Совместное использование ресурсов

Эффективную масштабируемость своих услуг IaaS-провайдеры обеспечивают за счет того, что эти услуги базируются на единой ИТ-инфраструктуре, ресурсы которой могут быть перераспределены между заказчиками. Однако многие компоненты такой инфраструктуры (в частности, графические процессоры, кэш-память центральных процессоров и т. д.) проектировались без учета необходимости строгой изоляции ресурсов, выделяемых разным пользователям. Эта проблема решается с помощью гипервизоров, образующих промежуточный слой между гостевыми ОС и физическими компонентами, однако и гипервизоры имеют свои недостатки, из-за чего не всегда исключена ситуация, когда гостевая ОС получает недопустимый уровень контроля за аппаратными средствами. Чтобы пользователи сервисов не могли проникнуть на “чужую” территорию, меры безопасности должны охватывать все уровни ИТ-инфраструктуры и обеспечивать надежный мониторинг использования вычислительных и сетевых компонентов и систем хранения.

5. Утрата или утечка данных

И при использовании традиционной инфраструктуры возникает масса ситуаций, чреватых утратой или кражей данных (например, при преждевременном удалении файлов, резервные копии которых еще не были созданы в ходе плановой процедуры резервного копирования, при утрате ключей шифрования данных и т. д.). В случае использования облачной инфраструктуры вероятность такого рода инцидентов и компрометации данных может оказаться еще более высокой в силу принципиальных отличий такой инфраструктуры от традиционной или, что еще хуже, в силу каких-либо архитектурных или операционных характеристик конкретной облачной среды.

6. Несанкционированное использование учетной записи или сервиса

Случаи, когда учетными записями и сервисами помимо их владельца пользуются еще и злоумышленники, которым удалось украсть учетные данные, отнюдь не редки — этот вид угроз сегодня занимает место в списке наиболее распространенных. Ситуация усугубляется еще и тем, что пользователи часто используют для доступа к разным услугам одни и те же пароли. Облачные же решения добавляют свои краски в эту безрадостную картину. Если злоумышленник получает доступ к учетной записи пользователя облачных сервисов, то у него появляется возможность отслеживать пользовательские транзакции, манипулировать данными, перенаправлять клиентов на другие сайты и т. д. Чтобы избежать этого, провайдер услуг должен применять надежные технологии аутентификации, строгие политики безопасности и мощные средства мониторинга процессов.

7. Неизвестный уровень рисков

Облачные сервисы весьма привлекательны для компаний, поскольку позволяют им сократить свой парк аппаратных и программных средств и сфокусироваться на собственном бизнесе. Тем не менее и в этом случае вопросы безопасности должны оставаться на первом плане. Своевременная установка обновлений, соблюдение политики безопасности, учет обнаруженных уязвимостей ПО, выявление попыток несанкционированного доступа к корпоративным ресурсам — все это компании должны постоянно иметь в виду. И ни в коем случае нельзя обойтись минимальным набором мер — этого может оказаться недостаточно, чтобы оставаться на плаву.

Большинство ИТ-организаций не знают каким образом осуществляется защита корпоративных данных в облаке. В результате этого компании подвергают рискам как учетные записи и конфиденциальную информацию своих пользователей, так и информацию о работе данного предприятия.

В рамках исследования, которое получило название, «Проблемы управления информацией в облаке: глобальное исследование безопасности данных», было опрошено более 1800 специалистов во всём мире по ИТбезопасности. Опрос показал, что организации стали активнее использовать многие возможности облачных вычислений, но подразделения ИТ корпораций сталкиваются с проблемами при управлении данными предприятия и обеспечении их безопасности в облаке. Также исследование демонстрирует, что всего в 38% предприятий четко определены роли и ответственности за обеспечение защиты в облаке конфиденциальной информации. Ухудшает ситуацию то, что 44% данных организаций, хранящихся в облаке, не подконтролируются подразделениями ИТ и не управляются ими.

Однако большинство проинтервьюированных, их составляет 70%, соглашается, что выдерживают требования по сохранению секретности данных и их защите в облаке становится всё труднее. Кроме того, респонденты выделяют, что риску потерь более всего подвержены адреса электронной почты, данные о потребителях и заказчиках и платежная информация. Внедрение более половины всех облачных сервисов в организациях осуществляется силами сторонних департаментов, а не ИТ-отделами данных фирм, и в среднем около 44% корпоративных данных, размещенных в облаке, не контролируется и не управляется ИТ-подразделениями.

Существует множество угроз безопасности облачных вычислений, в связи с которыми предприятия преграждают внедрение облачных технологий. Ниже рассмотрим некоторые из них, такие как кража личных данных, их удаление и восстановление, утечка, отказ в обслуживании, манипулирование данными клиента, вредоносное создание ВМ (виртуальной машины) и небезопасный ее перенос, спуфинг виртуальной сети.

При краже личностных данных атакующий может совершать запрещенные действия, которые могут поставить под опасность данные, манипулирование ими и перенаправление любой операции. Эта угроза происходит, когда предлагают услуги, которые могут быть доступны через интерфейсы программирования приложений (SOAP, REST или HTTP) . Безопасность облака зависит от этих интерфейсов. Похитители могут иметь возможность восстановить удаленные данные, так как эти данные все еще могут существовать на устройстве. Утечка данных происходит, когда информация обрабатывается неправильно во время передачи, обработки, хранения или ее аудита.

Отказ в обслуживании происходит из-за уязвимости в пределах небезопасных интерфейсов и неограниченном распределении ресурсов. Виртуальная машина может создать образ с помощью действительной учетной записи. Образ может содержать вредоносный код. При небезопасном переносе ВМ злоумышленник может получить доступ к данным незаконно, в процессе переноса виртуальной машины ненадежному обладателю. При спуфинге виртуальной сети злоумышленник может использовать ВМ, чтобы отслеживать виртуальные сети и даже использовать протокол разрешения адресов для перенаправления пакетов из других ВМ или в другие ВМ, что приводит соединению МАС-адреса с сетевым IP .

В целях сохранения безопасности предприятия, применяемые облачные технологии, должны доводить до сотрудников основные проблемы, связанные с использованием облачных вычислений. Необходимо разрабатывать комплексные политики по управлению данными и по соблюдению законодательных требований. А также разрабатывать рекомендации и правила в отношении того, какие данные можно хранить в облаке, а какие не стоит. ИТ-подразделениям предприятия необходимо реализовать меры по обеспечению безопасности данных, например, внедряя шифрование данных. Тем самым позволяя централизованно управлять защитой данных в облаке. ИТ-подразделениям предприятия необходимо применять эффективные механизмы для контроля доступом пользователей. Например, использовать механизм многофакторной аутентификации. Решения многофакторной аутентификации могут обеспечивать более защищенный доступ ко всем приложениям и данным.

Облачные вычисления предоставляют целый ряд весьма привлекательных возможностей для повышения эффективности совместной, удаленной и распределенной работы и для сокращения затрат. Несмотря на то, что миграция в облако сопряжена с определенными рисками, эти риски не превышают тех, которые имеют место при хостинге услуг внутри организации. Основное различие заключается в том, что облачная среда предоставляет злоумышленникам новое поле для атак. Если потратить время на понимание того, какие уязвимости существуют в облачной среде и что можно сделать для предотвращения использования этих уязвимостей злоумышленниками, облачные сервисы могут стать такими же защищенными, как и любые другие сервисы, предоставляемые в локальной или распределенной сети организации.