مدير idc شرکت پارس آنلاين: نکته اي را هم لازم مي دانم که متذکر شوم که ديدگاه ما نسبت به امنيت بايد به روز باشد. متاسفانه اين مساله در بسياري از ديتاسنتر و يا سرور روم هايي که برخي از شرکت هاي دولتي به صورت مجزا تشکيل داده اند مشاهده مي شود. يعني طي يک بودجه تعدادي سرور خريداري مي شود و حتي برخي تجهيزات و يا نرم افرارهاي امنيتي را خريداري کرده اند. اين مديران به تجهيزات امنيتي مانند سرور نگاه مي کنند که تا زماني که فن دستگاه کار کند، نيازي به هزينه ندارد ولي در زمينه مسائل امنيتي بايد به روز باشيم و بخش زيادي از تجهيزات امنيتي هر روز نياز به به روز رساني دارد. سيستمي که امروز ايمن است، فردا حتما امن نيست.
ديتاسنتري ايراني که امن است
گفت وگو با مدير idc شرکت پارس آنلاين
ياشار بهمند- دنياي کامپيوتر و ارتباطات
وقتي صحبت از امنيت اطلاعات مي شود، به ناچاه نگاه ها متوجه مکان هايي مي شود که اين مراکز در آنجا نگهداري مي شوند. حال اگر اين قصد داشته باشيم اين اطلاعات را بر روي شبکه اينترنت منتقل کنيم مراکز داده idc خود را نشان خواهد داد و بالطبع حفظ امنيت در اين مراکز از اهميت به سزايي برخوردار خواهد بود. بر اين اساس بي ربط نديديم اگر در اين شماره که به بحث امنيت پرداخته ايم به سراغ يکي از اين idcهاي ايراني برويم و از امنيت در آن مکان جويا شويم. در اين مصاحبه که در دفتر امامي يکي از مديران شرکت پارس آنلاين و با حضور ايشان برگزار شد، روبروي ما حسين لطفي، مدير جوان idc اين شرکت نشسته بود، مديري که در عين جواني داراي تجربه فني و مديريتي بسيار زياد در اين زمينه است.
. مطمئنا بارها به سئوال چرا هاستينگ در ايران پاسخ داده ايد، يک بار ديگر به اين سئوال از ديد امنيتي جواب دهيد.
اول بايد به اين نکته توجه کنيم که ما هر چه شبکه را محدودتر کنيم امنيت بيشتر است، يعني اگر اطلاعات شما در ايران استفاده مي شود، اگر مسير دسترسي به اطلاعات را محدود به کشور ايران کنيم، چون مسير کمتر است، و از گره هاي کمتري رد مي شود امنيت بيشتر حفظ مي شود. شما در صورتي که در خارج کشور هاست کنيد فقط براي وارد کردن نام کاربري و رمز بايد اين اطلاعات را بر روي بسته اي به خارج کشور بفرستيد و خدا مي داند که اين اطلاعات از چه مسيري مي رود و در اين مسير چه اتفاقاتي مي تواند براي اين اطلاعات بيافتد، اما در صورت وجود ديتاسنتر و شبکه مطمئن داخلي اين اطلاعات نيازي به رفت و برگشت به خارج کشور ندارد. مساله ديگر تاييد هويت است. بسياري از حمله ها بخاطر اين است که کسي خودش را به جاي شما جا مي کند و بارها دامنه هاي .com بسياري به همين علت از دست کاربران خارج شده است ولي همين حمله ها بر روي دامين .ir يا اتفاق نمي افتد و يا در صورت وقوع با مراجعه حضوري به سرعت قابل رفع شدن است.
اين مساله بارها در مساله هاستينگ رخ مي دهد و به راحتي در ايران براي مشتري ايراني قابل پيگيري است. نکته ديگر اينکه همه هاستينگ هايي که در خارج کشور وجود دارد، پيشرفته نيست، داراي محيط مناسب براي هاستينگ نيست، شايد بسياري مسائل امنيتي در آنجا رعايت نمي شود. امروزه به خاطر مسائل تحريم بسياري از هاستينگ هايي به ايران سرويس مي دهند در کشور خودشان جزو بهترين ها نيستند و حتي برخي از آنها خدمات خود را به قيمت هاي ارزان تري ارائه مي کنند و اين براي مشتري ايراني جذاب است در صورتي که مسائل امنيتي در آنها رعايت نمي شود، اما شما مي توانيد به راحتي با ديتاسنتر پارس آنلاين آشنا شويد. ساختمان اين مجموعه را که اصولا فقط به اين منظور طراحي شده را ببينيد، با تدابير به کار رفته امنيتي و تجهيزات مورد استفاده در آن آشنا شويد و ... .
. نقش مراکز داده در امنيت چيست؟
در جواب سئوال شما من بايد نکته اي را خدمتتان عرض کنم. ما امروزه با بسياري سازمان ها در حال فرهنگ سازي هستيم که مزاياي هاستينگ در داخل کشور را به آنها توضيح دهيم. در مورد خصوصي ها اين انتخاب بين ايران و خارج است و در بين دولتي ها که موظف شده اند در داخل کشور هاست کنند، هم 2 انتخاب وجود دارد، ساختن يک ديتاسنتر و يا استفاده از ديتاسنترهاي موجود در کشور. در جريان اين فرهنگ سازي متوجه شده ايم که تقسيم وظايف در زمينه امنيتي به خوبي تبيين نشده و ما در حال حاضر يکي از فعاليت هايي که انجام مي دهيم تشريح امنيت و وظيفه هر کدام از عناصر در آن است. در بحث امنيت هر روزه مي بينيم که سردمداران امنيتي دنيا هر روزه مورد آسيب قرار مي گيرند و اين نشان دهنده اين است که امنيت صد درصدي وجود ندارد ولي ما تلاش مي کنيم اقداماتي که خود انجام داده ايم و مزاياي هاستينگ در داخل را توضيح دهيم و به آنها بگوييم در اين بخشي که وظيفه امنيت بر عهده ماست، تا چه ميزان کارآيي دارد. بخشي از تامين امنيت بر عهده شبکه حامل اطلاعات و بخشي ديگر بر عهده فرد استفاده کننده از آن اطلاعات است.
اگر کار صد درصد توسط ديتاسنتر انجام شود، يعني پياده سازي، اجرا و نگهداري توسط ديتاسنتر است و مشتري فقط کاربر است، سهم عظيمي از امنيت بر عهده ديتاسنتر است. اما اگر ديتاسنتر فقط فضا را در اختيار مشتري قرار دهد، و مواردي چون collocate داشته باشيم، در اين صورت امنيت آن بيشتر بر عهده مشتري خواهد بود. اما در اين صورت هم ما مشتري را تنها نمي گذاريم. ما تجربه خودمان را در اين صورت در اختيار مشتريانمان مي گذاريم و به نحوي آنها را مورد پشتيباني فني قرار مي دهيم. به نحوي که برخي از قطعات فني که در پارس آنلاين وجود دارد تمامي ديتاهاي موجود را مورد پشتيباني قرار مي دهد در صورتي که اجرا و راه اندازي اين دستگاه ها به صورت منفرد هزينه بسيار گزافي را بر مشتري تحميل مي کند.
نکته اي را هم لازم مي دانم که متذکر شوم که ديدگاه ما نسبت به امنيت بايد به روز باشد. متاسفانه اين مساله در بسياري از ديتاسنتر و يا سرور روم هايي که برخي از شرکت هاي دولتي به صورت مجزا تشکيل داده اند مشاهده مي شود. يعني طي يک بودجه تعدادي سرور خريداري مي شود و حتي برخي تجهيزات و يا نرم افرارهاي امنيتي را خريداري کرده اند. اين مديران به تجهيزات امنيتي مانند سرور نگاه مي کنند که تا زماني که فن دستگاه کار کند، نيازي به هزينه ندارد ولي در زمينه مسائل امنيتي بايد به روز باشيم و بخش زيادي از تجهيزات امنيتي هر روز نياز به به روز رساني دارد. سيستمي که امروز ايمن است، فردا حتما امن نيست.
. حال که جايگاه ديتاسنتر در امنيت مشخص شد، سئوال ديگري پيش مي آيد: امنيت در يک ديتاسنتر چگونه تامين مي گردد؟
ما وقتي از يک ديتاسنتر صحبت مي کنيم، 2 بحث مطرح است، امنيت فيزيکي و امنيت شبکه اي. از بحث امنيت فيزيکي آغاز مي کنم. ساختمان ديتا سنتر پارس آنلاين با هدف کاربري ديتاسنتر ساخته شده است و با ديدگاه هاي امنيتي ساخته شده است. در ساخت آن موانع امنيتي پيش بيني شده است. در طراحي آن ما اين مساله را پيش بيني کرده ايم که به هر قسمت چه کساني اجازه تردد دارند و پيش بيني شده که هر کسي نتواند به بخش ديگر وارد شود.
در اين ساختمان ما سه منطقه امنيتي داريم و موانع خود ساختمان مانند يک دژ مستحکم منطقه مرکزي را درون خود قرار داده است. منطقه صفر وقتي است که با فرد غير آشنا طرفيم، مثل وقتي که در سالن آمفي تاتري که در آنجا وجود دارد، برنامه اي در حال اجرا باشد. پرسنل پارس آنلاين اجازه ورود به منطقه 1 را دارند و منطقه 2 که سرورها در آنجا وجود دارند براي بخشي از پرسنل فراهم شده است. جالب اينجاست که اين منطقه 7 متر زير زمين قرار دارد. تازه در آنجا هم منطقه بندي و سگمنت بندي شده است و براي مثال فردي که به تجهيزات ماهواره اي دسترسي دارد، به منطقه ديگر اجازه ورود ندارد. اين مساله حتي در بسياري از ديتاسنترهاي مطرح رعايت نشده است. دستگاه کنترل دسترسي را از نوع ايراني انتخاب کرده ايم اما برنامه اي ويژه براي آن درخواست کرده ايم که مثلا اگر در سايت اتفاقي بيافتد اقداماتي خاص انجام مي پذيرد. اين دستگاه به صورت sms، بلوتوث و ... قابليت ارسال پيام به مديران حراست و مديران بخش را دارد.
در اين دستگاه چينش دروازه ها به صورتي تعريف شده است که کسي که مي تواند مثلا به اتاق x دسترسي داشته باشد از درهاي 1 و 2 و 3 مي تواند رد شود و کسي که به اتاق y امکان دسترسي دارد از درهاي 1 و 2 و 4 مي تواند رد شود و اين فرد امکان رد شدن از در 3 را ندارد و نفر قبلي هم امکان رد شدن از در 4 را ندارد. يا مثلا ملاقات شونده ساعت ملاقات دارد و بيش از آن امکان ماندن در مجموعه را ندارد و بعد از مدتي کارت، کليد ديگر کار نمي کند. مقاومت ساختمان از نکات جالب فيزيکي ساختمان است و تونلي جاذب شوک دورتادور ساختمان کنده شده و ساختمان را بغل کرده است. کاربرد اين تونل به اين منظور است که اگر شوکي لرزه اي در اطراف ساختمان اتفاق بيافتد، اين شوک بايد بسيار قوي باشد تا به سازه برسد چون تونل جاذب شوک بخش زيادي از قدرت آن شوک را به خود جذب مي کند و مانع صدمه ديدن ساختمان مي شود. سازه ضد زلزله هم طراحي شده است.
البته ساختمان به قدري مقاوم طراحي شده است که توان تحمل ديش 7 متري که در پشت بام مجموعه قرار است نصب شود را داشته باشد. در بخش امنيت فيزيکي ساختمان موانع شما مي توانند در 2 نوع نظارتي و حفاظتي باشند، در اين ديتاسنتر حتي از پيشرفته ترين ابزار حفاظتي با نام ايرلاک هم استفاده شده است. اين ابزار به جز اين که بدون حضور مامور امنيتي شما را از لحاظ وسايل چک مي کند، از لحاظ وزني هم شما را چک مي کند تا مبادا قطعه اي با خود به بيرون برده باشيد.
. بخش ديگر امنيت، امنيت شبکه اي است، پارس آنلاين چه تمهيداتي براي اين بخش سنجيده است؟
امنيت در بخش شبکه اي هم 2 قسمت است. يک بخش بخش تحليل اطلاعات و ديگري فايروال ها. يک فايروال موجود بي شعوري است که ترافيک ها را به 2 بخش محدود و آزاد غربال مي کند. اما همين ترافيک هاي آزاد هستند که سر سيستم بلا مي آورند. بايد شما خوب و بد ترافيک را مشخص کنيد. يک گاري را که وارد يک شهر مي شود براي شما مثال مي زنم، شما صد تا هم دروازه براي اين شهر در نظر بگيريد، تا کسي محصول داخل گاري را زير و رو نکند اين گاري به راحتي از تمام دروازه ها عبور مي کند. شما بايد در جايي داخل بسته ها را تحليل کنيد. در بسياري موارد شما چند دروازه مي گذاريد به علت اينکه اگر يکي تعدادي از فايل هاي بد را تشخيص داد، ديگري بقيه را مجددا بررسي کند و تعداد ديگري را تشخيص دهد. يک بار ديگر اشاره مي کنم اينها مربوط به فايل هايي هستند که برچسب دارند و هنوز بسياري از تهديدات امنيتي به عنوان فايل آزاد وارد شده اند.
اطلاعات وارد ديتاسنتر ما که مي شود از چند مرحله غربال (فايروال) رد مي شود که اين تعداد مراحل بستگي به اهميت اطلاعات و نحوه مشتري و قرارداد في مابين دارد. بعد بسته اطلاعاتي وارد بلوکي مي شود که داخل بسته ها را باز مي کند و اين ديوايس اطلاعات را تحليل مي کند. اين ديوايس ها به ips و ids معروف هستند. مثلا يکي از روش هاي کار اين دستگاه نمره دهي است. يعني به يک بسته و يا يک ip بسته به رفتاري که انجام مي دهد نمره داده مي شود و به واسطه دريافت نمره هاي منفي حلقه محاصره تنگ تر مي شود. جالب است بدانيد که يک 24 ساعت يکي از ipsها حدود 1 ميليون تحديد امنيتي از بين حدود 685 ميليون بسته وارد شده به ديتاسنتر ما را شناسايي مي کند و اينگونه نيست که ما اينجا نشسته باشيم و بي کار باشيم. بعضي از دستگاه هاي ما در روز بارها بايد به روز رساني شوند تا اطلاعات روز، حمله هاي روز را داشته باشند تا بتوانند در مقابل آنها مقاومت نمايند.
. خوب با همين فايروال و ips امنيت شبکه تامين شد، يعني دستگاه هاي ديگري هم داريد؟
خير تازه اطلاعات جدا شدند. شما براي انتقال بعضي اطلاعات نياز به رمزنگاري داريد، پس دستگاه رمزنگار نياز داريد. يک سري سيستم هاي تاييد هويت نساز داريد که براي اين کار به کليد ها و توکن ها نياز داريد. يک سري نمونه گير از بسته نياز داريد. براي جرم شناسي نياز به يک سري کپي برداري و رکورد کردن از اطلاعات داريد. يکي از بلوک ها هم براي تحليل داده هاي drop شده است. و يا سيستم هايي که براي کنترل و پيدا کردن وجه اشتراک تحديدات امنيتي کاربرد دارند. تمام اتفاقات تا اينجا براي اين است که اتفاقي نيافتد، حالا اگر افتاد چه کارهايي مي توانيد انجام دهيد. براي اين مرحله مثلا backup گيري را داريم، اما وقتي شما اطلاعات يک بانک و يا بيمه را داريد، backup يعني اطلاعات روز قبل و يا حتي ساعت قبل که اين يعني فاجعه. ما براي اين کار به سراغ راه حل ها و امکاناتي رفتيم که بتوانيم اطلاعات فقط آن ناحيه آسيب ديده را بازگردانيم که داستان آن هم مفصل است و در حوصله اين مصاحبه نمي گنجد.
. با تشکر از زماني که براي ما اختصاص داديد.