Windows Azure Güvenlik Çözümleri: 4 – Genel Güvenlik Yapısı

Bildiğiniz üzere bu yılın BT dünyasının en çok konuşulan konularının arasında ilk sıralarda “Bulut Bilişim” gelmekte.  Dolayısıyla da arkasından gelen bilgi güvenliği konusunda yüzlerce, binlerce soru. Pek de haksız sayılmazsınız. Bilinmeyen bir yerde, bilinmeyen bir personelin işlettiği, bilinmeyen bir sistem.

Güvenlik kısmına geçmeden önce platform ile ilgili kısa bir önbilgi vermek isterim:

Windows Azure, Microsoft’un Genel Bulut uygulama ve altyapı platformudur. Bu platformu pek çok şekilde kullanabilirsiniz. Örneğin Windows Azure ile verilerini Microsoft veri merkezleri üzerinden çalıştıran ve saklayan bir internet uygulaması hazırlayabilirsiniz. Windows Azure’u, verileri kurum içerisinde (yani genel bulut dışında) kullanan uygulamalar için sadece veri depolamak amacıyla da kullanabilirsiniz. Windows Azure’u geliştirme ve test işlemleri veya SharePoint ve diğer uygulamaları çalıştırmak amacıyla sanal makineler oluşturmak için de kullanabilirsiniz. Windows Azure’u çok ama çok sayıda kullanıcıya sahip çok büyük ölçeklendirilebilir uygulamalar oluşturmak için de kullanabilirsiniz. Platform pek çok hizmet sunduğundan tüm bunlar ve çok daha fazlası mümkündür.

Bugüne kadar ziyaret ettiğim müşterilerde buluta geçmek için tereddüt duyulan konuların başında, verisinin kendi kontrolünde olmaması ve ülke dışında tutulmasının geldiğini görüyorum.

Azure_Guv_1

Verinizi taşımamanız demek bulut hizmetlerinden yararlanamayacağınız anlamına gelmez.

Unutmayalım ki Windows Azure veri merkezleri ile şirketiniz arasında kurulacak uçtan uca sanal ağ yardımı ile kritik bulduğunuz verileri şirket içinde tutarken diğer verileri ve uygulamalarınızı buluta taşıyabilirsiniz. Windows Azure’da veri yönetimi dışında da kullanabileceğiniz birçok servis de bulunmaktadır.

Diğer korkulan bir konu ise de veri merkezlerinin fiziksel ve sanal saldırıya açık olması.

Peki, Windows Azure gibi herkesin gözü önünde olan bu veri merkezlerinde ne gibi öğeler tehdit olarak algılanabilir? Aklıma ilk gelen konular arasında:

  • Fiziksel: Veri merkezlerine olabilecek fiziksel saldırı
  • Kullanıcı: Kullanıcı hataları, erişim yetkisi olamayan yerlere erişim çabası, destek personelinin müşteri verisine erişimi… vs.
  • İnternetten gelen saldırılar: DDoS atak, sniffing …vs.
  • İç ağdan gerçekleşen saldırılar: Bir başka Windows Azure müşterisinden gelen saldırılar
  • Sunucular: Sanal makinelerden ana donanıma erişim
  • Uygulamalar: Sanal makine üzerinde koşan uygulamanın işletim sistemine, donanıma ve veriye olan erişim hakları
  • Verim bana özelliği nasıl sağlanıyor?
  • Verimin sürekliliğini ve yedekliliğini nasıl sağlıyorsunuz?
  • Veri merkezi çökerse, verime ne oluyor?
  • Saldırılar nasıl önleniyor?
  • Azure ’da güvenlik duvarı yönetilebilir mi?
  • Verime benden başkasının erişme yetkisi var mı?
  • Veri merkezleri ve müşteri arasındaki bağlantı güvenli mi?
  • Verimi sildiğimde fiziksel olarak silindiğinden nasıl emin olabilirim?

Bu makalede, yukarıdaki tehditlere karşılık Microsoft veri merkezlerinde alınan önlemler, kurulan sistemlerin yanı sıra aşağıda bana en çok sorulan soruları da elimden geldiğince cevaplamaya çalışacağım:

  • Verimin güvenliği nasıl sağlanıyor?
  • Verim bana özelliği nasıl sağlanıyor?
  • Verimin sürekliliğini ve yedekliliğini nasıl sağlıyorsunuz?
  • Veri merkezi çökerse, verime ne oluyor?
  • Saldırılar nasıl önleniyor?
  • Azure ’da güvenlik duvarı yönetilebilir mi?
  • Verime benden başkasının erişme yetkisi var mı?
  • Veri merkezleri ve müşteri arasındaki bağlantı güvenli mi?
  • Verimi sildiğimde fiziksel olarak silindiğinden nasıl emin olabilirim?

 

Tüm bu sorulara verilecek en kolay cevap, Windows Azure ’un genel güvenlik yapısından sizlere biraz bahsetmek olacaktır.

 Genel Windows Azure Mimarisi

Azure_Guv_2

 

  • Windows Azure
  • Veri Merkezi
  • Fabric Controller (FC): Makineleri monitör eden, sağlık kontrolü yapan, provision eden ve kuran bir sistemdir.
  • Hypervisor: Sanallaştırma teknolojisi, bir host makinede aynı anda birden çok işletim sistemini, yani guest sanal makineleri koşturabilen sistemdir
  • Donanım

 

 

 

Genel Windows Azure Güvenlik Katmanları

Azure_Guv_3

 

Bu katmanların bir kısmına biraz daha detaylı değinmek gerekirse:

 

Microsoft Veri Merkezi Altyapısı

Fiziksel katman olarak, Windows Azure sunucuları, en iyi endüstri standartlarını kullanan Global Foundation Services (GFS) tarafından işletilen veri merkezlerinde saklanıyor. Bu standartlar arasında:

  • 24 x 7 güvenli erişim
  • Video kamera gözetimi
  • Hareket sensörleri
  • Güvenlik ihlali alarm
  • Biyometrik kontrollü geçiş sistemleri
  • Gelişmiş yangın ce duman detektörleri

Alınan yönetişim sertifikalar arasında:

  • ISO / IEC 27001:2005
  • PCI (Ödeme Kartları) Veri Güvenlik Sertifika Standardı
  • SSAE 16/ISAE 3402
  • FISMA Sertifika ve Eşitlik Belgesi
  • HIPAA/HITECH Act
  • Çeşitli devlet, Federal ve Uluslararası Gizlilik Kuralları
  • DDoS atak önleyiciler

Windows Azure’da İzolasyon

  • DDoS atak önleyiciler
  • Ağ katmanında, Microsoft VLAN ve paket filtreleri ile iç kullanıcılar arasındaki ağ ve internet erişimini ayırıyor.
  • İletişim FC (Fabric Controller) VLAN’dan ana VLAN’a izin verilir, ancak ana VLAN’dan FC VLAN için bu iletişim başlatılamaz. Ana VLAN’dan, cihaz VLAN’ınına olan iletişimde engellenir.

Azure_Guv_4

 

 

 

 

 

 

  • Misafir sanal sunucular özel bir Windows Server versiyonu kullanırlar. Sunucu rolüne bağlı olarak sınırlı sayıda aygıt sürücülerine sahiptirler.
  • Windows Güvenlik Duvarı her sanal sunucuda etkindir. Sunuculara olan dış ve iç iletişim kullanıcı tarafından tanımlanan portlar ile sağlanır. İç ve dış sistemlere sadece bu portlar ile erişim sağlanabilmektedir.
  • Hypervisor doğrudan donanım üzerinde çalışır ve bir node’u birçok sanal makineye böler. Her node, üzerinde host işletim sistemi koşan bir root sanal makineye sahiptir. Azure, sadece host sanal makinelerin ihtiyacı olan bileşenlere sahip hafifletilmiş bir Windows Server versiyonu kullanır. Bu hem performansını artırmak için hem de saldırı yüzeyini azaltmak için yapılır.
  • Sanal makinelerin ağ ve disklerine olan

    tüm erişime root işletim sistemi aracılık

    eder.

Azure_Guv_5

 

 

 

 

 

  • Hypervisor ’ün sanal ağ switch’i sanal makinelere ve makinelerden olan tüm trafiği filtreler. Aynı zamanda aynı fiziksel hostta bulunan diğer sanal sunuculara olan sniffer bazlı atakları da engeller. Ayrıca broadcast ve multicastleri engeleyen diğer filtrelerde bulunur.

Müşteri Verisine Erişim

  • Müşteri, Windows Azure’u Web Yönetim Portalı veya Uygulama Programlama Ara yüzleri (API) aracılığı ile abonelikleri ve bu aboneliğe bağlı LiveID leri ile erişebilirler. Bu ara yüzlerden tanımladıkları diğer kullanıcılara da erişim hakları verebilirler. Bu kişilerinde operasyonel yaptığı tüm aktiviteler loglanmaktadır. Azure ve müşteri arası iletişim SSL li olabilir tercihe bağlı olarak.

Azure_Guv_6_622

 

  • Müşteri verisi özel ve genel asimetrik şifreleme anahtarları ile transfer ve depolama esnasında şifreli tutulur.
  • Windows Azure müşteri destek personeli, sanal sunucu üzerinde oturum açma hesabı oluşturmadan ve daha sonra bağlantı sağlamak için RDP kullanmadan müşterinin sanal makinesine erişemez. Böylece müşteri tüm bu yapılan aktivitelere event log dan takip edebilir. Kısacası Windows Azure müşteri destek personeli tarafından yapılan tüm erişimlerden müşterinin haberi olur.
  • Müşterinin kendisi dışında müşteri verisine, müşteri onaylı olmak şartıyla sorun çözmek amaçlı müşteri destek personeli de erişebilir. Bu destek personeli iki öğeli kimlik doğrulama sistemi olarak kullanılan Microsoft AD kullanıcısı ve Smart kartlar ile erişim sağlayabilirler. 
  • Tüm erişimler ve aktivitelerin tutulduğu detaylı ISO 27001 denetim raporları müşterilere gizlilik sözleşmeleri altında sunulabilir.

 

Veri Silinmesi ve Yok Edilmesi

  • Müşteri verisi donanım hatalarına karşı, verinin tutulduğu veri merkezinde otomatik olarak eş zamanlı 3 ayrı clusterda yedeklenir. Eğer müşteri dilerse 3 ayrı kopyayı da asenkron başka veri merkezine yedekleyebilir. Toplam 6 kopya tutulabilir.

Azure_Guv_7

 

  • Veri silindiği zaman hemen birincil veri merkezindeki tüm kopyalar ve orijinal veri siliniyor. Asenkron olarak da başka veri merkezinde yedeklenenler siliniyor.
  • Microsoft silme çözümü NIST SP800-88 uyumlu prosedürler kullanıyor. Silinmeyen sürücüler üzerindeki veriler geriye döndürülmeyecek şekilde yok ediliyor.
  • Windows Azure müşterilerinin ham depoya erişim hakları bulunmamaktadır. Müşteri yeni depo kullanmak istediğinde, ancak depo üzerindeki var olan geçmiş veriler üzerine yazıldıktan sonra kullanılabilir halde müşteriye verilir. Deponun üzerine yazılma işlemine dair garanti edilmiş bir tarih bulunmamaktadır. Şifreleme anahtarları veriyi başarılı bir şekilde şifreledikten sonra ve verinin erişilememesinden emin olduktan sonra, bu anahtarların belli bir zaman sonra silinmesi için bir tarih garanti edilebilir.
  • Müşteri aboneliği esnasında verisine istediği zaman erişebilir ve silebilir. Müşteri aboneliği iptal ettikten 90 gün içerisinde verisine erişme hakkına sahiptir. Bu 90 günlük zaman geçtikten sonra 30 gün içerisinde tüm veriler silinir.

 

Dilerseniz sizleri daha fazla teknik detaylarla boğmadan burada duralım. Detay bilgi isterseniz bu bilgilere http://www.windowsazure.com/en-us/support/trust-center/ adresinden de ulaşabilirsiniz.