Ночь. Телефонный звонок. Дежурный администратор ЦОДа, вздрогнув, снимает трубку и заспанным голосом произносит название хостинга компании. Звонит один из клиентов, установил свои «железки» на colocation около недели назад.
— У нас проблемы с оборудованием. Похоже, аппаратный сбой.
— Вам подключить KVM?
— Будет проще посмотреть вживую. Могу ли я сейчас подъехать?
— Да, конечно, так будет даже проще …
Администратору будет менее хлопотно пустить клиента разбираться самому, чем возиться с консолью. Кстати, ставил новый клиент сервера тоже ночью, сославшись на огромную занятость. На самом деле, когда юниты монтировались в стойки, проходила первая, подготовительная часть операции — сбор данных. Сколько людей в дата-центре после полуночи, как защищенный внешний периметр (оказалось, что карточной СКУД), как физически разделенные зоны различных клиентов (оказалось, что никак), где находятся «слепые зоны» видеонаблюдения — вся эта информация была тщательно собрана и обдуманная авантюристами.
Истинной целью визита был сервер БД популярного стартапа, связанного с гостиничным бизнесом, — этакого доработанного booking.com от отечественных мастеров. За два года сервисом воспользовались около 18 000 человек. Не так уж много, но и не мало: создатели впивались самолюбованием, но расширять инфраструктуру еще не было необходимости.
Все клиенты вводили номера своих банковских карт с CVC-кодами, и эта информация (чисто для удобства пользователей) сохранялась в базе данных. Много важного выболтал сам технический директор стартапа. Это было на очередном форуме «профессионалов Рунета» в Рублевском лесу. Потребовалось немного лести, — и он уже, потягивая виски в буфете пансионата «Лесные дали», самодовольно рассказывал об аппаратной части проекта. Например, жесткие диски на сервере БД сконфигурированы в зеркальный массив RAID 1 с поддержкой «горячей замены». О том, что дата-центр хостера находится в подвале офисного здания, «и они, конечно, Раздолбаи, но точно не отключат сервер за задержку оплаты. И к этим ребятам я могу приехать в любое время суток, не заказывая заранее пропуск ».
Вот наш герой и приехал ночью. Приложил карту к считывателю, прошел через турникет и застал на месте двух человек — заспанного администратора и сидит за монитором видеонаблюдения скучающего охранника. Последовал вслед за админом в прохладное от кондиционера помещения с серверными стойками, попросил присоединить к своему юниту монитор и ввел в bash несколько команд. А потом ему понадобился шуроповерты, за которым он тоже обратился к сотруднику ЦОДа. Как только администратор вышел, раздался звук разбитого стекла и вой сигнализации — в окно первого этажа влетела бутылка из-под пива. Опять эта шпана! То зеркала с машины снимут, то окно разобьют. Охранник поморщился, сделал лицо посуровее и пошел разбираться.
Массив RAID 1 с поддержкой «горячей замены» хорош тем, что, если вытащить один диск, то на нем будут цельные, читаются данные. Пользователи при этом ничего не заметят. Действительно, подмену диска в сервере обнаружили только через две недели, когда неназванные преступники уже пили коктейли в Латинской Америке в окружении девушек в бикини. Но даже после этого популярный стартап отрицал свою причастность к краже нескольких миллионов долларов из тысяч банковских карт. Кстати, период перезаписи архива в системе видеонаблюдения ЦОДа к тому времени уже закончился. А договор преступника с хостером был заключен, как выяснилось, за украденном паспорта.
Оцениваем риски
История выдумана, но вполне могла бы произойти в реальности. Сотрудник редакции Security News однажды видел, как на colocation ставят серверы с одним проектом стоимостью в несколько миллионов долларов — так вот, серверная ферма находилась перед внешним периметром офисного здания, где хостер арендовал помещение. И ничего не стоило остаться в дата-центре другу. Но такая халатность, конечно, — все же исключение.
Обеспечение безопасности дата-центра — это всегда большой и сложный проект. Если вы выступаете интегратором, то это ваша работа — разобраться в хитросплетениях специфики объекта. Какие системы и подходы нужны? Как вы (самое главное) можете помочь клиенту в достижении его целей?
Глубокое понимание потребностей клиента и формулировка действительно ценных, экономически выгодных для заказчика предложений поможет вам запол
учить лояльность клиента на все время жизни решения. А потом упростит новую продажу.
Путь к успеху хотя бы одного проекта состоит из множества шагов. Сначала выполните (разумеется, вместе с заказчиком) оценку рисков. По первым наброском эксплуатационных требований обычно проводят анализ и выбор решений. Составьте список того, что может подойти для внедрения. Ключевой термин современной защиты периметров — ярусный подход. Проект по безопасности дата-центра может включать в себя СКУД, видеонаблюдение, охранную сигнализацию, системы противопожарной защиты и контроля безопасности жизнедеятельности. Но на этом он не заканчивается. Если вы работаете в благополучной европейской стране, то вам следует заняться экологией (например, оптимизировать энергопотребление и помочь получить сертификат экологического соответствия) — в Евросоюзе это даст клиенту налоговые отчисления. Политика безопасности, разработка норм и процедур для дата-центра и для всего предприятия, обучение персонала работе с системой — все это тоже забота интегратора. И только теперь можно говорить об обслуживании системы.
Один из внутренних ярусов физической защиты
Начнем с периметра
Определение потребностей дата-центра в системах технической защиты требует предварительной работы и большой предусмотрительности. И начать стоит с подробного обсуждения рисков с заказчиком. Оценка рисков должна применяться как к самому дата-центра, так и всего здания (если в здании находится что-то еще). Если результаты правильно сформулировать, то они станут прекрасной шпаргалкой для проектировщика решений по физической и логической защите. Цель защиты периметра — сдерживать, выявлять и препятствовать проникновению.
Пора определиться с местами для компонентов. Где будут камеры? Дверь следует защитить СКУД? Сколько нужно факторов авторизации, чтобы открыть дверь? Выбор технологии будет вторичным к среде и архитектуре.
…
Полную версию статьи «Превращаем дата-центр в крепость. Системы физической защиты центров обработки данных », читайте в электронном журнале Security Focus.