Giáo trình Điện toán đám mây (Xuất bản lần thứ hai): Phần 1

Giáo trình Điện toán đám mây (Xuất bản lần thứ hai): Phần 1 tài liệu, giáo án, bài giảng , luận văn, luận án, đồ án, bài...

HUỲNH QUYẾT THẮNG (Chủ biên) NGUYEN HUU DUC - DOAN TRUNG TÙNG NGUYEN BINH MINH ~ TRAN VIET TRUNG ĐIỆN TOÁN ĐÁM MÂY (Xuất lần thứ hai) NHÀ XUẤT BẢN BÁCH KHOA HÀ NỘI oA ^ & Ä vị & ` om Biên mục xuât phẩm Thư viện Quốc gia Việt Nam 'Điện Toán đám mây / Huỳnh Quyết Thắng (ch.b.), Nguyễn Hữu Đức, Doãn Trung Tùng - H : Bách khoa Hà Nội, 2020 - 138tr : hình vẽ, bảng ; 24cm: : ‘Thu muc:.ir, 135 Điện toán đám mây Giáo trình 004.6782 - dc23 So ee BKD0005p-CIP LỜI MỞ ĐẦU Với phát triển bùng nỗ công nghệ thông tin ứng dụng đời sống, điện tốn đám mây trở nên có tầm quan trọng thời Sự Giáo trình Điện fốn đâm mây biên soạn cho đỗi tượng học viên cao học chuyên ngành Công nghệ thông tin Sinh viên năm cuối trường đại học kỹ thuật sử dụng giáo trình tài liệu tham khảo để phát triển ứng dụng cho nghiên cứu, cho đỗ án tốt nghiệp Các tác giả hy vọng thông qua giáo trình cung cấp cho người đọc tiếp cận tổng thể tới khái niệm điện toán đám mây, van đề lưu trữ xử lý liệu, đề an toàn bảo mật, địch vụ, kiến trúc dịch vụ, hệ giám sát, số chủ đề nâng cao gợi mở đề nghiên cứu lĩnh vực điện tốn đám mây Giáo trình kết tổng hợp nội dung nghiên cứu khuôn khổ để tài tiến sỹ tác giả học tập nước ngoài, số kết nghiên cứu triển khai đề tài khoa học công nghệ cấp Nhà nước: “Nghiên cứu làm chủ công nghệ dịch vụ đảm mây (fạo lập cung cấp dịch vụ, cung cấp nội dung số, quản lý truy cập)” mã số KC.01.01/11—15 kiến thức, kinh nghiệm qua nhiều năm giảng dạy Đại học ` Bách Khoa Hà Nội Một số nội dung giảng dạy thử nghiệm cho khóa thạc sỹ 2012, 2013 Viện Công nghệ Thông tin & Truyền thông sau chỉnh sửa để phù hợp với thay đổi cơng nghệ Giáo trình xuất lần đầu nên không tránh khỏi khiếm khuyết định Ngồi ra, đo tính chất đặc thù phát triển nhanh chóng lĩnh vực điện tốn đám mây, nên nội dung giáo trình chưa hồn toản cập nhật, đọng, thiếu diễn giải tiết, nhiều để chí nêu mà chưa minh họa Chúng mong nhận nhiều ý kiến đóng góp cụ bạn độc giá để sửa chữa, bổ sung làm tốt lần xuất sau Tập thể tác giả xin bảy tỏ cám ơn chân thành tới Bộ Khoa học Công nghệ, Bộ Giáo dục Đào tạo, Trường Đại học Bách Khoa Hà Nội tạo điều kiện để phát triển nghiên cứu chuyên sâu Chúng đặc biệt cám ơn bạn đồng nghiệp Viện Công nghệ Thông tin & Truyền thơng có góp ý chân thành để giáo trình hồn thiện Mọi ý kiến đóng góp xin gửi tập thể tác giả theo địa sau: PGS TS Huỳnh Quyết Thắng, TS Nguyễn Hữu Đức Phịng 504, nhà B1, Viện Cơng.nghệ:Thơng tín & Truyền thông, Trường Đại học Bách Khoa Hà Nội, sô I Đại Cô Việt, Hai Bà Trưng, Hà Nội Email: thang huynhquyetŒhustedu.vn đuc.nguyenhuu@)hust.edu.vn tủng.đoantrang(Đhust.eđuVn ” ˆ mỉnh.nguyenbinh@)hust.edu.vn trung.tranviet@hust.edu.vn Các tác giả MỤC LỤC LỜI MỞ ĐẦU sssssveesesnseslennsvevoesesses CHUONG MO BAU TONG QUAN DIEN TOAN DAM MÂY .- A Lich sử đời điện todn dm mAY scsssssssssecisssssssssssssstscsssseefntssscveeetet B Khái niệm điện tốn đám mây, C Các đặc tính điện tốn đám mây D Sơ lược cơng nghệ ứng dụng điện toán đám mây E Ưu nhược điểm điện toán đám mây F Giới thiệu số đám mây sử dung/trién khai phổ biến G Nội dung giáo trình CHƯƠNG ph 1, : 1.2 1.3 -1.4 1,5 NÊN TẢNG VÀ PHÂN LOẠI em "_—.- 15 Trung tâm đữ liệu lớn Cơng nghệ ảo hóa Phân loại mơ hình điện tốn đám mây Kiến trúc đám mây hướng thị trường Các cơng cụ mơ phóng đám mây 1.6 Câu hỏi tập CHƯƠNG LƯU TRỮ VÀ XỬ LÝ DỮ LIỆU ccc-c.ee-occcoccceszerose 29 2.1 Hệ thống lưu trữ phân tán đồng nhớ NES, AFS 29 2.2 2.3 2.4 2.5 Hệ thông lưu trữ HDES, GFS Cơ sở đữ liệu NoSQL Điện toán đám mây đữ liệu lớn Câu hỏi tập CHƯƠNG AN TOÀN VÀ BẢO MẬTT «ccccsscrerreerrerredsotrsesrterrrsserrorsre 45 3.1 Các vấn đề an toàn bảo mật điện toán đám mây 3.2 Một số phương pháp đảm bảo an toàn cho dịch vụ đám mây 3.3 Thiết kế kiến trúc hệ thống đám mây nhằm đảm bảo an toàn bảo mật 3.4 Câu hỏi tập CHUNG SU DUNG DICH VU cccccssssssssssssssssscsssssssesssssssssssssesssusencecessnnreceseee 65 4.1 Sử dụng địch vụ phần mềm 4.2 Sử dụng dịch vụ tảng 4.3 Sử dụng dịch vụ hạ tầng TaaS, 4.4 Câu hỏi tập CHƯƠNG GIAM SÁT, TRÁNH LỖI VÀ ĐÂM BẢO CHẤT LƯỢNG 3.1 Các hệ thống, địch vụ giám sát ˆ_ 5.2 Giám sát địch vụ : 5.3, Dam bao chat lugng dich vu 5.4 Kiểm soát lỗi dịch vụ độ tin cậy 5.5 Cậu hỏi tập CHƯƠNG CÁC CHỦ ĐẺ NÂNG CAO 6.1 Tinh tương kết đám mây va dich vu dim mây 6.2 Các tiên chuân điện tốn đám mây 6.3 Liên bang đám mây 6.4 Mơ hình mơi giới dich vu dam may 6.5 Các ứng dụng hỗ trợ cho điện toán đám mây 6.6 Câu hỏi bải tập TÀI LIỆU THAM KHÁO “ dễ gree 121 Chương mở đầu TONG QUAN DIEN TOAN BAM MAY A LICH SU RA DOL CUA DIEN TOAN DAM MAY Khái niệm điện toán đám mây đời từ năm 1950 máy chủ tính tốn quy mô lớn (large-scale mainftame computers) triển khai số sở giáo đục tập đoàn lớn Tài ngun tính tốn hệ thống máy chủ truy cập từ máy khách cuối (thin clients, terminal compufers), từ khai sinh khái niệm “chia sẻ thời gian” (Hme-sharing) đặc tả việc cho phép nhiều người sử dụng chia sẻ đồng thời tài nguyên tính tốn chung Trong năm 1960 — 1990, xuất luồng tự tưởng coi máy tính hay tài nguyên cơng nghệ thơng tin tổ chức nhự hạ tầng địch vụ cơng cộng (public utility) Điện tốn dam may cung cấp tài ngun tính tốn dạng dịch vụ tạo cảm giác cho người dùng nguồn cung ứng vô tận Đặc tính so sánh tới đặc tính ngành công nghiệp tiêu dùng dịch vụ công cộng điện nước Khi sử dụng điện hay nước, người dùng không cần quan tâm tới tài nguyên đến từ đâu, xử lý, phân phối nào, họ việc sử dụng dịch vụ trả tiền cho nhà cung cấp theo lượng tiêu đùng Những năm 1990, công ty viễn thông từ chỗ cung ứng kênh truyền đữ liệu điểm tới điểm (point-to-point data circuits) riêng biệt bắt đầu cung ứng địch vụ mạng riêng ảo với giá thấp Thay đổi tạo tiền để để công ty viễn thông sử đụng hạ tằng băng thông mạng hiệu Điện toán đám mây mở rộng khái niệm chia sẻ băng thông mạng qua việc cho phép chia sẻ tài nguyên máy chủ vật lý việc cung cấp máy chủ áo Amazon cung cap tảng Amazon Web Services (AWS) vào năm 2006, đánh dấu việc thương mại bóa điện tốn đám mây Từ đầu năm 2008, Eucalyptus duoc gidi thiệu tang điện tốn đám mây mã nguồn mở đầu tiên, tương thích với API AWS Tính tới thời điểm tại, có nhiều sản phẩm điện tốn đám mây đưa Google App Engine, Microsoft Azure, Nimbus, B KHAI NIEM VE DIEN TOAN DAM MAY Điện tốn đám mây (cloud eomputing) xu hướng cơng nghệ nỗi bật thể giới năm gần có bước phát triển nhảy vọt chất lượng, quy mô cung cấp loại hình dịch vụ;:với loạt nhà cung cấp nỗi tiếng Google, Amazon, Salesforce, Microsofi, Điện toán đám mây mơ hình điện tốn mâ giải pháp liên quan đến công nghệ thông tin cung cấp dạng dịch vụ qua mạng Internet, giải phóng người sử dụng khói việc phải đầu tr nhân lực, công nghệ hạ tầng để triển khai hệ thống Từ điện tốn đám mây giúp tối giản phí thời gian triển khai, tạo điều kiện cho người sử dụng táng điện toán đám mây tập trung tối đa nguồn lực vào công việc chun mơn Tượi ích điện tốn đám mây mang lại khơng gói gọn phạm vi người sử dụng tang điện tốn đám mây mà cịn từ phía nhà cung cấp dịch vụ điện tốn Theo đánh giá nhóm IBM ClouđBurst năm 2009, mơi trường điện tốn phân tán có đến 85% tổng lực tính tốn trạng thái nhàn rỗi, thiết bị lưu trữ tăng 54% năm, khoảng 70% phí dành cho việc trì hệ thống thông tin, Cong nghiệp phần mềm mắt 40 g USD nãnăm việc phân phối sản cơng ty cung cấp dich a fing t y đến mộ bảo mật quan trọng: mô hình hệ thống thơng tin lỗi thời hiệu quả, cần phải chuyển sang mô hình điện tốn — điện tốn đám mây Theo định nghĩa Viện Quốc gia Tiêu chuẩn Cơng nghệ Mỹ (US NIST), điện tốn đám mây mơ hình cho phép truy cập mạng tới tài nguyễn chia sé (vi du: hệ thống mạng, máy chủ, thiết bị lưu trữ, ứng dung địch vụ) cách thuận tiện theo nhu cầu sử dụng Những tài nguyên cung cấp cách nhanh chóng thu hồi với phí quản lý tối thiểu tương tác tối thiểu với nhà cấp dich vu Cc CAC DAC TINH CUA ĐIỆN TOAN DAM MAY Dinh nghĩa US NIST chứa dung kiến trúc, an ninh chiến lược triển khai đám mây Năm đặc tính cốt lõi điện toán đám mây thể rõ sau: — Tự phục vụ theo yêu cầu (on-đemand self-service): Khách hàng với nhu cầu tức thời thời điểm thời gian xác định sử dụng tài ngun tính tốn (như thời gian CPU, khơng gian lưu trữ Trạng, sử dụng phần mềm, ) cách tự động, không cần tương tác với người để cấp phát — Sự truy cập mang rong rai (broad network ạccess): Những tài ngun tính tốn phân phối qua mạng Tnternet ứng dụng client khác sử dụng với tảng không đồng (như máy tính, điện thoại động, PDA) — Tập trung tài nguyên: Những tài nguyên tính toán nhà cung cấp địch vụ đám mây tập trung với mục đích phục vụ đa khách hàng sử dụng mơ hình ảo hóa với tài ngun vật lý tài nguyên ảo cấp phát động theo yêu cầu Động lực việc xây dựng mơ hình tập trung tài ngun tính tốn nằm hai yếu tố quan trọng: tính quy mơ tính chun biệt, Kết mơ hình tập trung tài nguyên la tải nguyên vật lý trở nên suốt với người sử dụng, Vị dụ, người sử dụng khơng biết vị trí lưu trữ sở liệu họ đám mây ~ Tính mềm dẻo: Đối với người sử dụng, tài ngun tính tốn cung cấp tức thời liên tục, cung cấp theo nhu cầu để mở rong | tiết giảm không hạn định thời điểm nao —':Khả đo lường: Mặc dù tài nguyên tập trung chia sẻ cho nhiều người sử dụng, hạ ting đám mây dùng chế đo lường thích hop dé việc sử dựng tai nguyên cho cá nhân D SƠ LƯỢC CÁC CÔNG NGHỆ ỨNG DỤNG TRONG ĐIỆN TOÁN pAM MAY Céng nghé hod Céng nghé 4o héa (virtualization) 14 cong nghé quan nhat img dung điện tốn đám mây Cơng nghệ ảo hóa công nghệ cho phép tạo thực thể ảo có tính tướng đương thực thể vật lý, ví dụ thiết bị lưu trữ, vi xử lý, Ảo hóa phần cứng (hardware virtualization) tham chiếu tới việc tạo máy ảo (virtual machine) mà hoạt động với hệ điều hành cài đặt nhữ máy tính vật lý thực Ví dụ; máy ảo chạy hệ điều hanh Ubuntu c6 thể tạo Ta máy tính thực cài hệ điều hành ‘Windows : Ảo hoà phần cứng cho phép chia nhỏ tài nguyên vật lý để tối ưu hóa hiệu sử đụng Điều thể qua việc khởi tạo nhiều máy ảo với lực tính tốn lực lưu trữ bé duý máy chủ vật lý Máy chủ vật lý gọi host machine máy ảo (virtual machine) gọi miáy khách (guest machine) Khái niệm "host" "guest" sử dụng để phân biệt phần mềm chạy máy tính vật lý hay phần mềm chạy máy ảo: Phần mềm hay firmware tạo máy ảo duge goi la hypervisor hay virtual machine manager Công nghệ tự động hóa gidm sắt điều phối tài nguyên (automation, dynamic dynamic orchestration) ‘ Công nghệ giám sát điều phối tài nguyên động tang để điện toán đám mây thực cam kết chất lượng cung cấp địch vụ điện tốn Với cơng nghệ điều phối tài nguyên động, việc lắp đặt thêm hay giảm bớt tài nguyên may chủ vat lý máy chủ lưu trữ đữ liệu thực tự động để hệ thống điện tốn ln đáp ứng giao kèo hợp đồng dịch vụ kỷ với bên người sử dụng Cơng nghệ tính tốn phân tán, hệ phân tan _ Điện toán đám mây la dạng hệ phân tần xuất phát từyêu cầu cung ứng dịch vụ cho lượng người sử dụng khổng lồ Tài ngun tính tốn điện toán đám mây tổng thể kết hợp hạ tầng mạng hàng nghìn máy chủ vật lý phân tán hay nhiều trưng tâm liệu số (data centers) Công nghệ H'eb 2.0 Web 2.0 la nén tảng công nghệ phát triển sản phẩm ứng dụng hướng địch vụ điện toán đám mây Công nghệ Web 2.0 phát triển cho phép phát triển giao diện ứng dụng web dễ dàng nhanh chóng nhiều thiết bị giao diện khác Web 2.0 phát triển làm xóa khống cách thiết kế giao diện ứng dụng máy tính thơng thường ứng dụng web, cho phép chuyển hóa ứng dụng qua dịch vụ nên điện tốn đám mây mà khơng ảnh hưởng đến thói quen người sử đụng E UU NHUQC DIEM CUA ĐIỆN TOÁN BAM MAY Uu điểm điện toán đám may Triển khai nhanh chóng: So với phương pháp thơng thường triển khai ứng dụng internet, người dùng phải thực loạt công việc mua sắm thiết bị (hoặc thuê thiết bị từ bên thứ ba), cải đặt cấu hình phần mềm, đưa ứng dụng vào đám mây, việc sử dụng điện toán đám mây giúp loại bỏ số công việc đời hỏi thời gian lớn, ví dụ người dùng việc quan tâm phát triển triển khai ứng dụng lên “mây” (internet) sử dụng đám mây tảng Bên cạnh đó, khả tăng giám cung cấp tài nguyên nhanh chóng theo nhu cầu tiêu ding cia ứng dụng thời điểm khác nhờ công nghệ ảo hóa điện tốn đám mây đặc điểm vượt trội công nghệ này, thể khả triển khai nhanh đáp ứng đòi hỏi tài nguyên tức thời ứng dụng Giảm phí: Chỉ phí giảm đáng kế chi phí vốn đầu tư đượcchuyền sang phí trì hoạt động Điều làm giảm khó khăn người dùng cần tính tốn xử lý tác vụ lần không thường xuyên họ thuê sở hạ tầng cung cấp bên thứ ba Đa phương tiện truy cập: Sự độc lập thiết bị vị trí làm cho người dùng có thê truy cập hệ thống cách sử dụng trình duyệt web tà khơng quan:tâm đến vị trí họ bay thiết bị mà họ ding, ví dụ PC, mnobile Vì sở hạ tầng off-site (được cung cấp đối tác thứ ba) truy cập thông qua Iaternet, người dùng có thê kết nối từ nơi 10 ~— Tôn kênh giao tiếp khơng tường minh ~— Cấp phát giải phóng tài nguyên không hạn chế máy áo a —Di tri khéng kiểm soát |, Lo hong may 40 | _ Khong kidm sodt cdc snapshot 06 thé din dén 16 ri đữ liệu — Các máy ảo có IP quan sát bên đám mây, tin tặc định vị máy ảo cần công Lã hồng ảnh ~— Ảnh máy ảo đặt lkho hưu trữ cơng cộng cách khơng kiểm sốt máy ảo — Ảnh máy ảo khơng thể vá lỗi chúng không hoạt động Lỗ hồng Lô hong mạng hypervisor ao ~ Khả cấu hình linh động hypervisor có thé khiến chúng bị khai thác | _1 hồng chia sẻ cầu nối ảo máy ảo Nhitng nguy co’ an toàn bdo mat hệ thông đám mây Tháng 11 năm 2008, liên minh an toàn bảo mật điện toán đám mây (Cloud Security Alliance — CSA) thành lập đưới hình thức tổ chức phi lợi nhuận Nhiệm vụ CSA xác định vấn đề liên quan tới ATBM đám mây, sau cung cấp kinh nghiệm giải pháp hỗ trợ giải vấn đề Tơ chức nhận ủng hộ trăm hai mươi nhà cung cấp địch vụ đám mây, bao gồm nhà cưng cấp hàng đầu Google, Amazon hay Saleforoe Nim 2013, tai liéu “The Notorious Nine: Cloud-Computing-Top Threats in 2013”, CSA công bố nguy lớn va ATBM hệ thống đám mây Các nguy bao gồm: ~— Rô rỉ đữ liệu Rị rì đữ liệu việc đữ liệu người dùng tô chức thuê dịch vụ đám mây bị thất vào tay đối tượng khơng mong đợi Đây có lẽ đe đọa nghiêm trọng đối tổ chức sử dụng địch vụ Trong hệ thống đám mây, việc tích hợp công nghệ tạo nên nguy thất đữ liệu Ví đụ, vào tháng 1Í năm 2012, nghiên cứu viên trưởng Đại học North Carolina, trường Đại hoc Wisconsin va tổ chức RSA cơng bố cơng trình, mơ tả phương thức sử dụng máy ảo để trích xuất khóa riêng tư từ máy ảo khác máy vật lý 30 — Mất mát liệu Mắt mát đữ liệu việc đữ liệu người đùng tổ chức thuê dịch vụ bị phá hủy truy nhập Đối với khách hàng, mắt mátđữ liệu điều tơi tệ, khơng khiến khách hàng thông tin mà khiến hoạt động khách hàng hệ thống dịch vụ bị gián đoạn chí sụp đồ Nguyên nhân cho việc mát liệu đến từ tắn công tin tặc; từ trục trặc hệ thống phần mềm/phần cứng; thảm họa cháy nỗ, động đất, Đôi mát đữ liệu cịn phía người đùng, ví đụ người dùng gửi mã hóa đỡ liệu lên đám mây lại quên khóa đề giải mã chúng — Bị đánh cắp tài khoản thất thoát dịch vụ Hiện tượng người sử dụng bị đánh cắp tài khoản thất địch vụ nói phơ biến trơng loại hình địch vụ trực tuyến Nhiều người sử dụng bị đánh cắp tài khoản đo “đính bẫy” phishing đo -các lỗ héng phần mềm hệ thống bị tin tặc khai thác Mơi trường điện tốn đám mây miền đất cho kỹ thuật công dang Khi quyền truy nhập hệ thống địch vụ đám mây rơi vào tay tin tặc, chúng can thiệp vào hoạt động hệ thống, thay đổi giao dịch hệ thống, dẫn hướng khách hàng hệ thống tới liên kết chúng, biến tài nguyên khách hàng đấm mây thành công chúng, Một ví đụ điển hình kiện địch vụ đâm mây Amazon gặp lỗi XSS (Cross-site Soripting) vào tháng năm 2010 Lỗi khiến khách hàng mắt quyền truy nhập vào hệ thống tài nguyên khách hàng hệ thống trở thành botnet mạng lưới công Zeus ~ Giao điện API khơng an tồn Các nhà cung cấp dịch vụ đám mây thường cấp cho khách hàng tập giao điện phan mém (API) nhằm giúp khách hàng quản lý tương tác với dịch vụ cách tự động Các API tổ chức thành nhiều nhóm theo tầng dịch vụ API thuộc tang khác phụ thuộc vào giống phụ thuộc tầng dịch vụ Khi lỗ hổng bảo mật API bị tin tic khai thác, tính ATBM hệ thống bị xâm phạm Lỗ hổng API tầng thấp ảnh hưởng đến API thuộc tầng cao Do vậy, vấn đề ATBM hệ thống đám mây gắn bó mật thiết tới việc bảo mật cho cdc API Bên cạnh đó, tổ chức sử đụng dịch vụ đám mây tự xây dựng tầng địch vụ cho khách hàng họ dựa API nhà cung cấp dịch vụ đám mây Điều cảng làm tăng thêm rủi ro ATBM từ hệ thống API đám mây — chốt dịch vụ Tân công từ chối dịch vụ cách thức han chế khả truy nhập vào đỡ liệu ứng dụng người sử dụng dịch vụ Phương thức thường dùng việc công từ chối địch vụ việc tạo số lượng yêu cầu lớn bất thường tới dịch vụ bị công khiến cho tài nguyên hệ thống (RAM, CPU, HDD, băng thông, ) cạn kiệt Khi hệ thống trở nên chậm chạp, đáp ứng không đáp ứng yêu cầu từ khách hàng khiến cho họ bất bình quay lưng lại với dịch vụ 31 — Nguy từ bên Nguy từ bên ám nguy đến từ cá nhân có ác ý nằm tổ chức cung cấp dịch vụ, ví dụ quản trị viên hệ thống đám mây Khi đối tượng có quyền truy nhập vào mạng, liện, máy chủ hệ thống đám mây, đữ liệu quan trọng khách hàng bị đánh cắp; ứng dụng khách hàng bị sửa đổi khiến chúng vận hành theo chiều Tướng gây thiệt hại tới khách hàng — Sự lạm dụng dịch vụ đám mây Một lợi ích mà điện tốn đám mây mang lại cho phép tổ chức nhỏ có khả sử dụng hạ tầng lớn Một tổ chức nhỏ gặp khó khăn xây dựng trì hàng chục ngàn máy chủ Tuy nhiên, với mơ hình điện tốn đám mây, họ lại th chúng khoảng thời gian định Với nguyên tắc vậy, tin tặc thuê hệ thống hàng chục ngàn máy.chủ dịch vụ hạ tầng đám mây để nhằm mục đích xâu giải mã đữ liệu, công DDoS, hay phát tán thông tin phần mềm độc hại — Khảo sát không đủ Nhiều doanh nghiệp lựa chọn việc chuyển đổi sang sử dụng dịch vụ đám mây hứa hẹn việc giảm phí đầu tư, tăng hiệu vận hành, Tuy nhiên, doanh nghiệp chịu nhiều rủi ro tiềm tàng họ thiếu hiểu biết mơi trường cơng nghệ Ví dụ doanh nghiệp chuyển đổi hệ thống ứng dụng vận hành mạng cục lên đám mây Nếu hệ thống ứng đụng nảy áp dụng số giả định sách ATBM cho mạng cục chuyển đổi ứng dụng lên mơi trường điện tốn đám mây, sách khơng cịn hiệu lực ứng dụng nằm đưới nguy an tồn ¬ Lỗ hẳng công nghệ sử dụng chung Hệ thống đám mây thường cung cấp dịch vụ cách linh hoạt thông qua việc chia sẻ hạ tầng, tang va ứng dụng Tuy nhiên, hệ thống thường có số thành phần (chủ yếu: từ hạ tầng đệm cache CPU, xử lý đồ họa GPU, ) không thiết kế cho việc chia sé Cac đặc điểm bị tin tặc khai thác tạo nên lỗ hỗng bảo mật Có thể nói, đa phần nguy kế đến từ công nghệ cấu thành nên hệ thống đám mây dịch vụ web, trình đuyệt web, ảo hóa, 3.2 MOT SO PHUONG PHAP DAM BAO AN TOAN CHO DICH VỤ ĐÁM MAY Để đảm bảo an toàn bảo mật cho hệ thống đám mây, nhà quản lý dịch vụ đám mây cần chiến lược quy trình hồn chỉnh thay áp đụng kỹ thuật ứng phó đơn lẻ, rời rạc Nến xem xét cố an tồn báo mật dạng rủi Tư với hệ thống việc đám bảo an tồn bảo mật cho hệ thống thực théo quy trình quản lý rủï ro hình 3.2 , 52 Giai đuạn Hoạt động Phân luạai tai nguyên thông tin Chọn tư chế kiểm suất an toân va bao mat Đánh giá rủi ro Triền:khai ˆ Cai dit co chế kiểm suất Banh gia Xem xét dinh ky Hình 3.2 Quy trình quần lý rủi ro an toàn bảo mật Các bước thực quy trình bao gồm: Bước 1, Lap kê hoạch: Mục tiêu bước nhận định nguy an toàn bảo mật; xác định chế kiểm sốt an tồn bảo mật (security controls) hiệu nhằm giải nguy cơ; lên kế hoạch cho việc thực biện chế kiểm sốt an tồn bảo mật Buc Triển khai Bao gồm việc cải đặt cấu hình cho chế kiểm sốt an tồn bảo mật, Bước Đánh giá: Đánh giá tính hiệu của chế kiểm soát định kỳ xem xét tính đầy đủ chế kiểm sốt Bước Duy trì: Khi hệ thống chế kiểm soát vận hành, cần thường xuyên cập nhật thông tin nguy ATBM Cơ chế kiểm sốt an tồn bảo mật (security controls) hiểu kỹ thuật, hướng dẫn hay trình tự định nghĩa tường minh giúp ích cho việc phát hiện, ngăn chặn, giải duyết cố an toàn bảo mật Năm 2013, liên minh an toàn bảo mật điện toán đám mây (CSA) xuất tài liệu CSA Cloud Control Matrix phiên 3.0 (viết tắt CSA CCM v3 0) Tài liệu đề xuất tập hợp bao gồm trăm hai mươi chế kiểm sốt an tồn Và bảo mật nhằm trợ giúp nhà cung cấp địch vụ đám mây đễ đàng ứng phó với nguy ATBM: Trong khn khổ sách nay, chúng tơi khơng có ý định giới thiệu lại tất chế kiểm sốt Thay vậy, sách giới thiệu số biện pháp đảm bảo ATBM áp dụng phổ biến hệ thống đám mây Bảo mật trung tâm liệu Bao mật mức vat Ij: Cac công ty Google, Microsoft, Yahoo, Amazon vA số nhà khai thác trung tâm liệu có nhiều năm kinh nghiệm việc thiết kế, xây đựng vận hành trung tâm liệu quy mô lớn Những kinh nghiệm 53 áp dụng tảng sở hạ tầng điện toán đám mây họ Kỹ thuật tiên tiến việc bảo mật mức vật lý lâ đặt trung tâm đữ liệu sở khó nhận biết với khoảng sân rộng vành đai kiểm soát đặt theo tiêu chuẩn quân với biên giới tự nhiên khác Các tịa nhà nằm khu dan cw khơng đặt biển báo đánh dấu, giúp cho chúng trở nên khó nhận biết Truy cập vật lý nhân viên bảo vệ chuyên nghiệp kiểm soát chặt chế vành đai kiểm soát lối vào với phương tiên giám sát camera, hệ thống phát xâm nhập thiết bị điện tử khác Những nhân viên cấp phép phải sử đụng phương pháp xác thực hai bước không ba lần truy cập vào tầng trung tâm liệu Thông thường, tất khách tham quan hay nhà thầu phải xuất trình cước phải đăng ký Sau họ tiếp tục hộ tống đội ngũ nhân viên cấp phép Các công ty cung cấp địch vụ đám mây thiết lập trung tâm đữ liệu với mức độ tiên tiến vượt xa so với trung tâm đữ liệu cơng ty dịch vụ tài Máy chủ trung tâm liệu đặt vào hầm trú Ấn kiên cố không dễ đàng vượt qua thấy phim gián điệp Trong trung tâm liệu Fort Knox Salesforce.com, nhân viên an nỉnh ấp ‘dung phuong pháp tuần tra vòng tròn, sử dụng máy quét sinh trắc học năm cấp độ, hay thiết kế lồng bẫy rơi xuống chứng thực khơng thành cơng Hình 3.3 minh họa số biển pháp báo mật vật lý Hình 3.3 Bảo mật múc vật lý Để tránh công nội bộ, hệ thống ghi nhật ký kiểm tra phân tích cho kết nối cục kích hoạt thường xuyên AICPA (American Institute of Certified Public Accountants) cung cấp tiêu chuẩn kỹ thuật liên quan tới bảo mật kê chứng nhận SAS 70 Ching nhận SAS 70: Phần lớn đám mây công cộng cần chứng nhận Chứng nhận danh mục để kiếm tra thời điểm Nó yêu cầu tiêu chuẩn phải trì nhất-6 tháng kể -từ-kkhí bất đầu đăng ký Thơng thường phí để đạt chứng nhận lớn mà nhà cưng cấp hàng đầu đạt 54 Cúc biện pháp kiêm soát truy nhập Tiếp theo vấn đề bảo mật mức vật lý kỹ thuật kiểm sốt đối tượng truy nhập vào đám mây Dĩ nhiên điều cần thiết, thiếu nó, tin tặc truy nhập vào máy chủ người sử dụng, đánh cắp thông tin sử dụng chúng cho mục đích xấu Chúng ta lấy ví dụ cách thức kiểm soát truy nhập Amazon Web Servioes (cũng tương tự với số đám mây khác) Cách thức kiểm soát thức qua nhiều bước, thường bắt đần với thơng tin thẻ tín dụng khách hàng Xác nhận hóa đơn tốn: Nhiều dịch vụ thương mại điện tử sử dụng hóa đơn tốn cho mục đích xác thực với người dùng Ở mơi trường trực tuyến, hóa đơn tốn thường gắn liền với thẻ tín đụng khách hàng Tuy nhiên thẻ tín dụng thường khơng có nhiều thơng tin gắn với khách hàng nên số biện pháp khác áp đụng Kiểm tra định danh qua điện thoại: Mức độ kỹ thuật kiểm soái truy cập phải xác định đối tượng truy cập Để tránh rủi ro việc xác nhận, hình thức xác nhận qua kênh liên lạc khác điện thoại cần thiết Thông thường nhả cung cấp liên hệ với khách hang yêu cầu khách hàng trả lời số PIN hiển thị trình duyệt Giấy phép truy nhập: Hình thức giây phép truy nhập đơn giản mật Khách hàng lựa chọn cho mật mạnh lựa chọn giấy phép truy nhập nhiều bước RSA SecuiTD Người sử dung can ding giấy phép truy nhập họ muốn sử dụng địch vụ trực tiếp Trong trường hợp người sử dụng dịch vụ qua APT, ho cần phải có khóa truy nhập Khóa truy nhập: Đề gọi bắt ky API nao cia hệ thống đám mây, người sử dụng phải có khóa truy nhập Khóa cung cấp cho người sử dụng trình thiết lập tài khoản Người sử dụng cần bảo vệ khóa truy nhập để tránh rò rỉ dịch vụ „ ` Giấy phép X.509: Giấy phép X.509 dựa ý tưởng hạ tầng khóa cơng khai (PKD Một giấy phép X.509 bao gồm giấy phép (chứa khóa cơng khai nội dung cấp phép) khóa bí mật Giấy phép sử dụng tiêu thụ dịch vụ, khóa bí mật sử dụng để sinh chữ ky số cho yêu cầu dịch vụ Dĩ nhiên, khóa bí mật cần phải giữ kín khơng phép chia sẻ Tuy nhiên, giấy phép X.509 thường nhà cung cấp sinh chuyển cho người sử dụng nên dam bao 100% rang khóa bí mật khơng bi rd xi Để sử dụng giấy phép X.509, yêu cầu địch vụ, người sử dụng sinh chữ ký số khóa bí mật mình, sau gắn chữ ký số, giấy phép với yêu cầu địch vụ Khi hệ thơng nhận u cầu, sử dụng khóa cơng khai giấy phép để giải mã chữ ký số chứng thực người dùng Hệ thống sử dụng giấy phép đề khẳng định yêu cầu đặt hợp lệ 55 Cặp khóa: Cặp khóa yếu tổ quan trọng việc truy nhập vào thể AWS Mỗi địch vụ cần cặp khóa riêng biệt Cặp khóa cho phép hệ thống đảm bảo người dùng hợp lệ Mặc dù thay cặp khóa, nhiên người sử dung đăng ký nhiều cặp khóa AWS tạo cặp khóa AWS Management Consoles néu người sử ‘dung khơng tự fạo cho Khóa bí mật gửi đến người sử đụng sau hệ thống không lưu trữ lại chúng Bảo mật liệu nạng Bảo mật hệ điểu hành: Bảo mật mức hệ thống có nhiều cấp độ: bảo mật cho hệ điều hành máy chủ vật lý; bảo mật cho hệ điều hành máy ảo chạy nó; tường lửa bảo mật cho APIL Để bảo mật cho máy chủ vật lý, Amazon yêu cau người quản trị sử dụng khóa SSH để truy nhập vào cdc may bastion Bastion máy thiết kế đặc biệt khơng chó phép người sử đụng truy nhập tới chúng Sau truy nhập vào bastion, người quản trị thực số lệnh với Thức ưu tiên cao lên máy chủ vật lý Khi người quản trị hồn tất cơng việc, quyền truy nhập họvào may bastion sé bi rut Bảo mật mạng: Các đám mây công cộng thường cung cấp hệ thống lửa để ngăn chặn truy nhập trái phép Hệ thống tường lửa nội sử dụng để kiểm soát trao đổi nội bên đám mây Thông thường người sử dụng cần định nghĩa tường cáo cổng cần mở cho giao dịch nội Việc kiểm soát thay đổi luật tường lửa máy ảo tự đảm nhận, nhiên hệ thống dam may yêu cầu giấy phép X.509 người sử đụng thực thay đổi máy áo Trong mơ hình cưng cấp dịch vụ Amazon EC2, quản trị viên hệ thông đám mây quản trị viên máy ảo hai đối tượng khác AWS khuyến khích người sử đụng tự định nghĩa thêm luật tường lửa cho máy áo ` Thơng thường, tường lửa cho mnáy ảo mặc định từ chối kết nối tới cổng, người sử đụng phải cân nhắc cẩn thận cho việc mở công nao phủ hợp với ứng đụng Các đắm mây cơng cộng thường đích ngắm cơng mang internet nhu DDoS Bảo mật cho môi trường cộng sinh: Trong hệ thong dam may Amazon EC2, mét máy ảo chạy đưới chế độ hỗn tạp (promiscuous mode) để “ngửi” gói tin tir cdc may ảo khác Kế người sử đụng có ý thiết lập chế độ hỗn tạp cho máy ảo gói tin tới máy ảo khác gửi đến máy áo Chính vậy, phương pháp cơng theo kiểu ARP cache poisoning khơng có hiệu lực Amazon EC2 Tuy nhiên, khuyến cáo chung chơ khách hàng họ nên mã hóa giao dịch qua mạng quan trọng-cho dù chúng: bảo vệ cần thận EC2 56 Các nhà cung cấp địch vụ đám mây thường cung cấp không gian lưu trữ kho liệu dùng chung Các đối tượng lưu trữ thường kèm theo mã băm MD5 để xác nhận tính tồn vẹn Khơng gian lưu trữ cho người sử dụng ảo hóa thành đĩa ảo chúng thường xóa khởi tạo Chính vậy, vấn đề rị rỉ liệu đo sử dụng chung khơng gian lưu trữ vật lý không lo ngại Tuy vậy, nhà cấp dịch vụ đám mây thường khuyến cáo người sử dụng hệ thống tệp mã hóa thiết bị lưu trữ Áo Bảo mật cho hệ thông giảm sat: Cac hệ Thống giám sát thường sử dụng để bat/tat máy áo, thay đổi tham số tường lửa, Mọi hành động nảy yêu cầu giấy ' phép X.509 Hơn nữa, hành vi thực qua AP], bổ sung thêm tằng bảo mật nita cách mã hóa gói tin, vi dụ sử dụng SSL, Khuyến cáo nhà cúng cấp dich vụ nên luôn sử dung kênh SSL cho việc thực thả API nhà cung cấp dịch vụ Bảo mật lưu trữ đữ liệu: Các dịch vụ lưu trữ đám mây thường kiểm sơát quyền truy nhập đữ liệu thông qua danh sách kiểm soát truy nhập (ACL— access comtrol lisÐ Với ACL, người sử dựng có tồn quyền kiểm sốt tới đối tượng phép sử dụng dịch vụ họ Một lo lắng khác cho vấn dé bảo mật liệu chúng bị đánh cắp q trình truyền thông máy người sử dụng địch vụ đám mây Khi API bảo vệ SSL giải pháp cần thiết Khuyến cáo chưng với người dùng trường hợp, nên mã hóa liệu trước gửi đến lưu trữ đám mây 3.3 THIẾT KẾ KIÊN TRÚC HỆ THONG DAM MAY NHAM ĐÂM BẢO AN TOÀN BAO MAT , Thiết kế kiến trúc bước quan trọng quy trình xây dựng hệ thống phức tạp Mục tiêu bước xác định (hoặc nhiều) cau tric tổng thể hệ thống với thành phần quan hệ chúng Trong phần này, tập trung quan tâm tới cấu trúc vật lý (trung tâm đữ liệu, mạng kết nối ) cấu trác thành phần phần mềm (các phân hệ) hệ thống đám mây mục tiêu đáp ứng tính an tồn bảo mật, Đầu tiên, nhận định số yêu cầu kiến trúc liên quan tới an tồn bảo mật Sau giới thiệu số mẫu kiến trúc: điển hình cho an toàn bảo mật đám mây Phần cuối giới thiệu số ví dụ kiến trúc hệ thơng đám mây Những u cầu an tồn bảo mật cho kiến trúc đám mây Một mục tiêu cho việc thiết kế kiến trúc việc đảm bảo đáp ứng hệ thống với yêu cầu đặt ra, bao hàm yêu cầu an toàn bảo mật Các yêu cầu thường xuất phát từ số yếu tố cần cân nhắc phí, độ tin cậy, hiệu năng, ràng buộc pháp lý, Nội dung tiếp sau tóm tắt số yêu cầu bảo mật cho hệ thống đám mây 37 Yêu cầu bảo mật múc vật lý Hệ thống đám mây xây dựng từ một vài trung tâm đữ liệu Việc đảm bảo ATBM cho trung tâm đữ liệu yêu cầu ‘quan cho hệ thống đám mây Công việc chủ yếu liên quan tới hai nhóm u cầu: — Phát phịng chống | thâm nhập trái phép vào trung tâm đữ liệu, thiết bị phần cứng — Bảo vệ hệ thống khỏi thâm họa tự nhiên Yêu cầu bảo với thành phan thẳng Quản Jý định danh: Qn lý định danh chìa khóa việc đảm báo ATBM hệ thống Thông tin định danh phải xác sẵn sàng cho thành phần khác hệ thống Những yêu cầu cho thành phần bao gồm: — Phải có chế kiểm sốt để đảm bảo tính bí mật, tính tồn vẹn tính sẵn dùng thơng tin định danh — Phân hệ quản lý định danh phải sử dụng cho mục đính chứng thực người đùng hệ thống đám mây (thường với tải yêu cầu cao) — Cân nhắc chế sử dụng tương tác với hệ thống quản lý định đanh bên thử ba ~ Kiểm tra định đanh người sử đụng đăng ký khớp yêu cầu pháp luật ~— Lưu thông tin định danh người sử dụng, kế họ rút khỏi hệ thống, phục vụ cho công tác kiểm tra, báo cáo (với quan pháp luật) — Khi định danh xóa bỏ, sáu tái sử dụng, cền đám bảo người sử dụng truy cập vào thơng tin định danh trước đó, Quản lý truy cập Quản lý truy cập thành phần sử dụng thông tin định danh phép đặt ràng buộc với truy cập dich vụ đám mây, Các yêu cầu liên quan tới quản lý truy cập bao gồm: — Quản trị viên đám mây có quyền truy cập hạn chế tới di liệu khách hàng Quyền truy cập phải rang buộc chặt chẽ công bố rõ ràng hợp đồng sử dụng địch vụ (SLA) ~ Cần có chế chứng thực nhiều bước cho thao tác yêu cầu mức ưu tiên cao Cần có chế xác quyền đủ mạnh để đảm bảo thao tác không ảnh hưởng tồn đám mây — Khơng cho phép chia sẻ số tài khoản đặc biệt (ví dụ tài khoan root), thay vậy, sử dụng chế khác sudo — Cai dat ché nh LPP (least privilege principal) gán quyền truy nhập hay RBAC (role-based access control) dé thiét lập ràng buộc truy nhập — Thiết lập danh sách trắng (white list) vé IP cho quản trị viên 38 Quản lý khóa Trong đám mây, việc mã hóa đữ liệu phương tiện để đảm bảo an tồn thơng tin Quản lý khóa phân hệ phục vụ cơng tác lưu trữ quản lý khóa cho việc mã hóa giải mã liệu người sử dụng u cầu cho phân hệ là: ~— Có chế kiểm soát giới hạn truy cập vào khóa ~— Với mơ hình đám mây có sở hạ tầng nhiều trung tâm liệu, cần đảm bảo việc hủy bỏ khóa phải có hiệu lực tức trạm — Đám bảo việc khơi phục cho khóa có lỗi — Mã hóa đữ liệu máy ảo cần thiết Ghi nhận kiện va thong kế Các kiện liên quan tới an toàn bảo mật mạng hệ thống cần ghỉ nhận (Iogs) thống kê cho cầu kiểm tra, đánh giá, Những yêu cầu cho phân hệ nảy là: ~ Ghi nhận kiện nhiều mức: từ thành phần hạ tằng vật lý máy chủ vật Wy, mang vật lý, tới thành phần ảo hóa máy ảo, mang ~ Các kiện ghi nhận với đầy đủ thơng tin để phân tích: thời gian, hệ thống, người dùng truy cập, ~ —~ ~ ~ Cáo Thông Thông Thông kiện cần ghi nhận gần tức thời tin ghi nhận cần liên tục tập trung tin ghi nhận cần trì chúng khơng cịn cần thiết tin ghi nhận được cung cấp tới khách hàng dang dịch vụ ~ TẤT thao tác ghi nhận phải đảm bảo tính bí mật, quán g sẵn sàng thông tin ghi nhận Giám sát bảo mật Giám sát bảo mật phân bệ liên quan tới việc khai thác thông tin ghi nhận (logs), thông tin giám sát mạng hay thông tin bảo mật từ hệ thống giám sát vật lý Yêu câu cho phân hệ bao gồm: '~ La dang địch vụ có tính sẵn sảng cao, truy cập cục từ xa kênh bảo mật — Bao gồm số chức chính: + Cảnh báo cố bảo mật đựa phân tích tự động thông tin thu thập + Gửi cảnh báo nhiều phương tiện email, sms + Cho phép người quản trị khai thác phát nguyên nhân cố + Có chế phát xâm nhập bất thường hệ thống + Cho phép khách hàng tự xây đựng chế cảnh báo sử dụng PaaS TaaS Quan Ip sy cổ Quản lý cố phản ứng có cố cơng tác quan trọng với bảo mật hệ thống Các yêu cầu cho công tác bao gồm: 59 ~ Có quy trình đầy đủ cho việc phát hiện, ghỉ nhận xử lý cố — Có chế hỗ trợ người sử dụng thông báo cố ~ Việc kiểm tra cổ cần thực thường xuyên: Kiểm tra an tồn vá lỗi Đây cơng tác thực triển khai nâng cấp dich vụ Các yêu cầu cho công việc bao gồm: ~ Có mơi trường lập đề phát triển, kiểm tra điều chỉnh trước đưa dịch vụ vào sử dụng — Có quy trình vá lỗi cho thành phần hệ thống ~— Theo dõi thường xuyên lỗ hỗng bảo mật Kiểm soát mạng hệ thống Hệ thơng kiểm sốt mạng máy chủ áp dựng cho hạ tằng vật lý hạ tầng ảo Các yêu cầu cho hệ thống bao gồm: — Đảm báo khả lập, cấu hình tính bảo mật cho thành phân bảo mật / ~ Đảm bảo khả cô lập mạng cho vùng chức hệ thống dam may — Phân tách truy nhập thiết bị vật lý với thiết bị ảo — Phân tách vùng thiết bị áo khách hàng khác — Đảm khách hàng bảo tính quán máy áo, hệ điều hành, cho ứng dụng Quản lý cầu hình Trong hệ thống đám mây với hạ tầng linh động, việc trì danh sách thông tin tài nguyên hệ thống cầu hình chúng cần thiết Các yêu cầu cho công tác bao gồm: - Sử dụng hệ thống sở liệu cầu hình CMDB — Phân loại tài nguyên theo chức năng, tính nhạy cảm, độ quan trọng, Các yêu tổ kiến trúc mẫu bảo mật Phòng ngự chiều sdu (defence in-depth) Thuat ngĩữ phòng ngự chiều sâu lần để cập đến lĩnh vực an ninh mạng máy tính báo “Information warfare and dynamic information defence” vào năm 1996 Tiếp cận trước gọi nhiều tên có “phịng ngự theo lớp” (layered defence) Tư tưởng chung tiệp cận sử dụng nhiêu tầng kiểm soát bảo mật để tạo nên mệt giải pháp đủ, hoàn chỉnh Trên quan điểm kiến trúc, kỹ thuật phịng ngự theo chiều sâu xem mẫu thiết kế hiệu cho vấn để bảo mật, Ứng dụng mẫu thấy nhiều hệ thống thực tiễn Ví dụ phịng ngự chiều sâu cho phân hệ kiểm soát truy nhập bao gồm nhiều lớp: lớp — mạng riêng ảo (VPN); lớp — định tuyển công Vào với chế lọc FP; lớp — token bảo mật 60 Hii mat ong (honeypots) “Hi mat ong” kỹ thuật bẫy nỗi tiếng "Trong hệ thống mạng doanh nghiệp, “hũ mật ong” tạo nên hệ thống khơng tồn khơng có giá trị nhằm thu hút công Khi thu hút thành công, “hũ mật ong” lại sử đụng để quan sát, phân tích cảnh báo Dù nao thi kỹ thuật khiến cho bên cơng tiêu phí thời gian sức lực H6p cat (sandbox) Hộp cát (sandbox) lớp trừu tượng nằm phần mềm với hệ điều hành nhằm tạo môi trưởng độc lập cho việc thực thi ứng dụng Tác đụng hộp cát giống hypervisor việc cấp cáo máy ảo Với hộp cát, hệ thống có thêm tầng bảo vệ theo mơ hình phịng ngự chiều sâu Cô lập máy ảo Hạ tầng chuyên mạch hệ thống đám mây cô lập gói tin truyền thơng máy ảo nằm môi trường phần cứng Do vậy, gói tin khơng mã hóa, máy ảo có thé theo đối, quan sát gói tin gửi đến/gửi từ máy ảo khác mạng Cô lập máy ảo kỹ thuật: ~ ~— — — Ứng dung cơng nghệ ảo hóa để lập máy ảo mạng vật lý; Mã hóa gói tin gửi đến/gửi từ máy ảo; Kiểm sốt truy cập đến máy ảo, đặc biệt cổng dịch vụ; Loc gói tin đến máy ảo qua chế tường lửa Tạo dự thừa đâm bảo tính sẵn sàng Một mẫu thiết kế thường ứng ú dụng rộng rãi việc đảm bảo tính sẵn sàng cao địch vụ, bao gồm địch vụ bảo mật quản lý định danh, quản lý truy cập, tạo dư thừa cho thành phần hệ thống, bao gồm máy chủ, thiết bị mạng, Tùy thuộc vào mức độ đảm bao tinh san sang ma kiến trúc thiết lập dư thừa tương ứng Tuy nhiên, cần lưuý dư thừa kéo theo hệ như: tăng phí, tăng độ phức tạp hệ thống Nội dung mục giới thiệu số kiến trúc đám mây điển hình, có bao hàm thành phần đảm bảo tính an toản bảo mật Kiến trúc đám HIẬy cung cấp dịch vụ PaaS (dịch vụ định danh, dịch vụ sở liệu) Hình 3.4 giới thiệu kiến trúc hệ thống đám mây cung cấp địch vụ PaaS (dịch vụ định danh, dịch vụ sở đữ liệu) Trong kiến trúc nảy, người sử dụng thông thường truy nhập vào địch vụ hệ thống thông qua mạng công cộng Bên cạnh đó, hệ thống cững cưng cấp mạng riêng biệt - mạng OOB (out-of-band) nhằm phục vụ cơng tác quản trị Việc kiểm sốt truy nhập vào mạng OOB có thê thực thơng qua danh sách IP trắng ~IP quản trị viên hệ thống Thêm vào đó, quản trị viên cần thực xác thực thao tác Cơ chế xác thực hai bước (token pin) giúp hệ thống trở nên an tồn Đây ví dụ việc áp dụng chế phòng ngự chiều sâu Hệ thống mạng cục chia làm ba mạng chính: — Mang OOB: sử dụng đề quản trị thành phần khác hệ thống 61 — Mạng lõi: sử dụng để cấp địch vụ ~— Mạng kết nối với sở đữ liệu: bao gồm nhiều kết nối đâm bảo tính sẵn sàng Các thành phần hệ thống thiết kế để cô lập địch vụ kháo hệ thống dịch vụ sở đử liệu dịch vụ định danh Một thành phần quản trị cấu hình (CMDB) đưa vào kiến trúc nhằm-quản lý cấu hình tài nguyên cung cấp hệ thống Một sé kién trúc đám mây điễn hình đáp ứng u cầu an tồn bảo Đoạn Seas Tram DBMS Mang 995 Tray cap :008; : co Truy cải ” điều khiển mạng Hình 3.4 Kiến trúc đám mây cung cấp dịch vụ định danh dịch vụ sở liệu 62 Kiến trúc đảm may cung cấp kho lưu trữ dịch vụ tính tốn Hình 3.5 minh họa ví dụ khác kiến trúc đám mây với loại hình dịch vụ cung cấp địch vụ tính tốn dịch vụ lưu trữ đữ liệu Trong kiến trúc nảy, hệ thống đám mây cung cấp số lượng lớn tài ngun tính tốn ảo hóa máy chủ, kho lưu trữ thiết bị SAN Hơn nữa, kiến trúc hỗ trợ tính sẵn sảng cao cho người sử dụng thông qua việc tạo lập dư thừa cho mạng kết nối cơng cộng mạng OOB Để đảm báo tính sẵn sàng cho việc truy nhập vào kho lưu trữ SAN, mạng SAN thiết lập với kết nối kho lưu trữ SAN máy chủ tính tốn, Để đảm bảo tính sẵn sảng cao, thân : máy chủ kho lưu trữ SAN thiết kế dư thừa Ở ching ta áp dung số chiến lược khác nhan để cân đối phí đầu tư tính sẵn sàng hệ thống, Truy cập :00B cống cong trưng li Hình 3.5 Kiến trúc đám mây cung cấp dịch vụ tính tốn lưu trữ Với tài ngun tính tốn, để đâm bảo khả đáp ứng tốt cho dịch vụ, hệ thống cẦn có thiết kế cho việc dành sẵn tài nguyên (provision) Các máy chủ phục vụ cho việc thiết kế độc lập Việc dành sẵn tài nguyên đòi hỏi kiểm soát quản lý phân hệ quản lý cấu hình tài nguyên CMDB Kết nối sơ đồ thể điều 63 Một điểm đặc biệt khác sơ đồ kiến trúc hình hai phân hệ bảö mật thiết kế theo mẫu dư thừa Các phân hệ cung cấp dịch vụ bảo mật như: ~ Jumphost VPN: cho phép tạo lập mạng riêng ảo cho phép quan trị viên truy nhập trực tiếp vào rháy chủ cần quản lý ‘= Trang tâm điều hành bảo mật: chơ phép: giám sát vân đề liên quan tới an toàn bảo mật, quét lỗi bảo mật hệ thống, phân tích nguyên nhân báo cáo — Ghi nhật ký kiện hệ thơng cảnh báo có ~— Giám sát thông tin mạng (quét lỗ hồng, giám sát Băng thơng hạng, ) Có thể nói thành phần bảo mật cơng cụ giám sát bảo mật quản trị viên hệ thống đám mây 3.4 CAU HOI VA BAI TAP Tại người sử đụng dịch vụ đám mây thường lo ngại vân đề an tồn — bảo mật? Hãy trình bày nguy an toàn bảo mật mơ hình đa người th (multi-tenancy)? Cơng nghệ ảo hóa có tạo nên nguy an tồn bảo mật khơng? Hãy trình bày đề an tồn bảo mật với cơng nghệ ảo hóa SIDS Nêu đặc điểm biện pháp bảo mật mức vật lý: 64 Nêu đặc điểm biện pháp bao mat ditliệu Chiến lược/mẫu phòng ngự chiều sâu gÌ? Cho ví dụ minh họa Chiến lược/mẫu “hỡ mật ong” gì? Cho vi dy minh hoa Chién lược/mẫn tạo dư thừa gi? Cho vi dy minh hoa