Google раскрыл подробности обеспечения безопасности своей инфраструктуры

Google раскрыл подробности обеспечения безопасности своей инфраструктуры

Google раскрыл подробности обеспечения безопасности своей инфраструктуры

Компания Google опубликовала обзор мер, предпринимаемых для обеспечения безопасности серверной инфраструктуры. Рассмотрены меры по обеспечению безопасности серверов, сетевой инфраструктуры, использование аутентификации.  

Некоторые интересные особенности:

  • Во всех серверах используются собственные материнские платы и сетевые компоненты, разработанные инженерами Google и произведённые под контролем представителей компании. Оборудование, включая периферийные устройства, оснащены специальным чипом, отвечающим за безопасную идентификацию и аутентификацию устройства на аппаратном уровне. Программные компоненты, включая прошивки, загрузчики, ядро и базовые образы систем проверяются по цифровой подписи. Таким образом в инфраструктуре могут применяться только проверенные аппаратные и программные элементы, содержащие корректную цифровую подпись.
  • В ситуациях, когда серверное оборудование приходится размещать в чужих датацентрах, оборудование Google отгораживается в собственный периметр физической безопасности, в котором для доступа применяются независимые биометрические датчики, камеры наблюдения и металлодетекторы.
  • Данные записываются на жесткие диски и SSD-накопители только в зашифрованном виде, что позволяет защитить их от несанкционированного доступа и возможных вредоносных действий, инициируемых со стороны прошивок, используемых в накопителях. Шифрование реализуется на аппаратном уровне. Жизненный цикл каждого накопителя скрупулезно отслеживается - если накопитель выходит из под контроля Google, он проходит многоэтапный процесс очистки с двумя независимыми проверками качества исполнения операции. Если устройство не может быть очищено, например, в результате сбоя накопителя, оно подвергается физическому уничтожению в измельчителе, передает opennet.ru.
  • Для выполнения виртуальных машин в облачной инфраструктуре Google применяется модифицированная версия гипервизора KVM, исправления всех проблем в котором возвращаются в upstream. Для ограничения отдельных сервисов в виртуальных машинах может применяться более высокий уровень изоляции на основе контейнеров и sandbox-технологий.
  • Весь создаваемый сотрудниками код проходит несколько стадий проверки, включая fuzzing-тестирование, статический анализ, автоматическое и ручное рецензирование. Ручное рецензирование проводится специальной группой, в которую входят эксперты в области безопасности, криптографии и защиты операционных систем. Код также должен быть одобрен как минимум одним сторонним инженером, не входящем в число авторов проверяемого проекта. С другой стороны, все вносимые в код правки обязательно должны быть подтверждены сопровождающим, ответственным за этот код.
  • Весь развиваемый в Google исходный код хранится в одном централизованном репозитории, в котором для аудита доступны все текущие и прошлые версии сервисов. Серверная инфраструктура может быть настроена на выполнение бинарных файлов сервиса, собранных только из определённой ревизии исходных текстов, прошедшей тестирование и рецензирование.
  • Разделения сети на сегменты и применение пакетных фильтров не относится к числу первичных систем обеспечения безопасности, внутренняя сетевая безопасность основывается на разделении полномочий на уровне доступа к отдельным сервисам и приложениям. Сотрудник получает доступ к ограниченному числу внутренних приложений, которые принимают запросы от работника только в контексте обращения с корректно обслуживаемой клиентской системы, из разрешённой подсети и ожидаемого физического местоположения (например, персонал, отвечающий за Gmail имеет доступ только к сервисам, связанным с данной системой).
  • Обмен данными между сервисами осуществляется с применением шифрования и криптографических методов аутентификации и авторизации. Каждый сервис выполняется в общей инфраструктуре, имеет свой криптографический идентификатор, который используется для идентификации сервиса при приёме запросов или обращении к другим сервисам. Криптографические идентификаторы также используется клиентами, чтобы удостовериться, что они обратились к требуемому серверу, и серверами для ограничения доступа клиентов к данным и методам.

 

 

  • При необходимости обработки сервисами запросов из глобальной сети применяется специальная прослойка - Google Front End (GFE), которая проверяет корректность сертификатов для TLS-соединений, выполняет балансировку нагрузки и осуществляет защиту от DoS-атак. Полученный запрос перенаправляется к сервису с использованием защищённого внутреннего RPC-протокола.
  • Для персонала применяется двухфакторная аутентификация. Применяемые сотрудниками клиентские системы проверяются на предмет применения всех имеющихся обновлений и установки только разрешённых приложений. Пользовательские приложения, загрузки файлов, браузерные расширения и просматриваемый web-контент проходит проверку на предмет допустимости использования на корпоративных клиентских устройствах.
  • Все действия сотрудников, требующие расширенных привилегий, по возможности автоматизированы. При необходимости проведения ручной работы по администрированию инфраструктуры или привилегированного доступа к системам требуется получения разрешения от двух ответственных лиц и по возможности открывается доступ к ограниченному отладочному API, позволяющему произвести отладку не касаясь конфиденциальной информации. Весь доступ сотрудников к пользовательской информации отслеживается и журналируется через систему низкоуровневых обработчиков. Работники службы безопасности и автоматизированные системы выполняют мониторинг активности сотрудников и выявляют нетипичную активность.

В Госдуме предупреждают о высокой активности мошенников по теме налогов

Зампред комитета Госдумы по бюджету и налогам Каплан Панеш сообщил о заметном росте активности мошенников, которые все чаще эксплуатируют налоговую тематику. Как правило, злоумышленники заманивают жертв на фишинговые страницы, требуя оплатить якобы имеющуюся задолженность или обещая возврат НДС и переплат.

Об этом парламентарий рассказал в комментарии ТАСС. По его словам, мошенники активно пользуются тем, что многие граждане плохо представляют, как на самом деле устроена работа налоговых органов.

Чаще всего под прицел попадают самозанятые, индивидуальные предприниматели и владельцы имущества — именно эти категории граждан регулярно взаимодействуют с ФНС. Однако, как подчеркнул Каплан Панеш, жертвами могут стать и обычные граждане, инвесторы и предприниматели.

Конечной целью злоумышленников являются не только деньги, но и любые потенциально ликвидные данные — от учетных записей до платежных реквизитов.

«Мошенники используют самые разные методы — от массовых рассылок до личных визитов, чтобы создать у человека ощущение срочности и страха перед возможными последствиями. Один из самых распространенных инструментов — фишинговые письма и сообщения в мессенджерах», — предупреждает Каплан Панеш.

Обычно такие сообщения маскируются под уведомления от налоговых органов о перерасчете, долгах или необходимости срочно подать декларацию. В тексте содержится ссылка для “уточнения данных” или внесения оплаты, которая ведет на поддельный сайт, внешне почти не отличимый от официального. Все введенные там логины, пароли, данные банковских карт или коды подтверждения из СМС сразу попадают к злоумышленникам.

Особую опасность, по словам депутата, представляют схемы, связанные с возвратом НДС или получением компенсаций. В таких случаях мошенники могут навязывать оплату дополнительных услуг — например, «помощь юристов» или сопровождение оформления выплат.

«Еще одна распространенная тактика — телефонные звонки. Мошенник, представляясь инспектором ФНС, сообщает, что от работодателя якобы не поступили сведения о доходах, и угрожает крупными штрафами. Затем под предлогом помощи с “электронным запросом” или записи на прием он просит продиктовать одноразовый код из СМС. На самом деле это код для сброса пароля от личного кабинета на Госуслугах», — поясняет Каплан Панеш.

Иногда злоумышленники идут еще дальше и приходят с личными визитами в организации. В таких случаях они действуют особенно напористо, предлагая оплатить «задолженность» прямо на месте. Однако, как напомнил депутат, реальные сотрудники ФНС никогда так не работают: официальные требования об уплате налогов, уведомления и вся критически важная информация направляются исключительно через личный кабинет налогоплательщика на сайте ФНС или через Госуслуги.

Как предупреждает сама налоговая служба, мошеннические атаки с использованием налоговой тематики традиционно резко учащаются перед 1 апреля и 1 декабря. При этом в последнее время все чаще целью таких схем становится именно перехват платежных реквизитов.

RSS: Новости на портале Anti-Malware.ru