+7(499)495-49-41

Реальные риски виртуальных платежей (Лейба А.)

Система электронных платежей в РФ, Банковское дело – Дипломная работа

Реальные риски виртуальных платежей (Лейба А.)

Оглавление

Введение 3

Глава

1. Методология организации электронных платежей 5

1.1 Сущность электронных платежных систем 5

1.2. Нормативное регулирование проведения электронных платежей 9

1.3. Анализ рынка электронных платежей 12

Вывод по главе 17

Глава

2. Перспективы развития электронных платежных систем в ПАО Сбербанк 18

2.1 Исследование процедурных основ электронных платежей в ПАО Сбербанк 18

2.2 Современное управление развитием электронных платежей 26

2.3. Инновационные продукты электронных платежных систем 36

Выводы по главе 45

Заключение 47

Список литературы 50

Выдержка из текста

Введение

В современных условиях механизм функционирования электронных денег рассматривается в качестве ключевого элемента механизма функционирования денежных систем и реализации центральными банками денежно-кредитной политики.

Недостаточный уровень устойчивости денежного обращения выражаются в резких колебаниях объемов, динамики и структуры денежных агрегатов, в несогласованности динамики денежных показателей между собой, а также с динамикой безналичных расчетов и электронных денег.

Поэтому задача регулирования денежного обращения состоит в повышении уровня его устойчивости на основе эффективного функционирования платежной и расчетной систем, а также оптимизации структуры и динамики денежной наличного и безналичного денежного обращения.

В связи с изменениями характера и закономерностей денежного обращения, методов и инструментов центральных банков, динамичным развитием электронных денег и платежных систем, в настоящее время в большинстве стран мира происходит формирование новых механизмов регулирования электронных платежных систем.

Возрастает значимость выбора методов и инструментов, применение которых позволит эффективно решать не только задачи регулирования платежных систем и электронных денег, но и обеспечит стабильность денежных систем.

Современные исследования показывают, что формы оплаты продолжают стремительно совершенствоваться, отражая развитие новых сегментов рынка платежных услуг и инновационных платежных инструментов, продиктованное проникновением информационных систем и телекоммуникационных технологий во все сферы деятельности современного общества. То есть развитие информационных и телекоммуникационных технологий открывает новые возможности для развития электронных платежных систем, которые в свою очередь непрерывно совершенствуются, и, следовательно, обладают потенциалом развития.

Еще пять лет назад такого понятия, как «биткойн», не существовало. В настоящее время в связи с возросшей активностью в использовании элект-ронных платежных средств, интернет-кошельков, систем интернет-банкинга и других видов «виртуальной наличности» интерес к рассматриваемой криптовалюте значительно вырос.

Целью работы является анализ развития электронных платежных технологий для выявления перспектив их развития.

Задачи работы:

1. Изучить методологию организации электронных платежей.

2. Проанализировать электронные платежи в ПАО Сбербанк.

3. Выявить перспективы развития электронных платежных систем.

Объект исследования — рынок электронные системы расчетов.

Предмет исследования — порядок электронных расчетов.

Информационными источниками для исследования послужили труды отечественных ученых, нормативные акты, материалы сети Интернет.

Структурно работа состоит из введения, двух глав, заключения, списка использованных источников.

Список использованной литературы

Список литературы

1. Автоплатеж состоялся www.iksmedia.ru/news/5 216 159-Avtoplatezh-sostoyalsya.html

2. Балабанов И. Т. Банки и банковское дело. М.: Издательство Института Гайдара, 2016. С. 784.

3. Бережнова А.И., Дроботова О.О. Оплата без барьеров (Инновационный потенциал электронных платёжных систем) // Креативная экономика. 2014. № 4. С. 28−33

4. Бережнова А.И., Дроботова О.О. Оплата без барьеров (Инновационный потенциал электронных платёжных систем) // Креативная экономика. 2014. № 4. С. 28−33

5. Биткойн Конференция: В Москве прошла первая биткойн конференция [Электронный ресурс].

6. Вестник Банка России. 2012. № 18.

7. Достов В.Л., Кузнецов В.А., Шуст П.М. Электронные деньги как инструмент оптимизации платежного оборота // Деньги и кредит. 2013. № 12. С. 7−13

8. Достов В.Л., Кузнецов В.А., Шуст П.М. Электронные деньги как инструмент оптимизации платежного оборота // Деньги и кредит. 2013. № 12. С. 7−13

9. Енгибарян Р.В., Краснов Ю.К. Теория государства и права. М., 2015.

10. Ермаков С.Л., Юденков Ю.Н. Интернет-технологии в банковском бизнесе: перспективы и риски. М.: Кнорус, 2014.

11. Информация о Банке www.sberbank.ru/ru/about/today?from 115=1

12. Какое будущее может ждать биткойн [Электронный ресурс]

/ ИТАР- ТАСС. Режим доступа: bitnovosti.com/2014/06/30/budushee-bitcoina.html

13. Калужский М.Л. Институционализация платежной среды электронной коммерции в России / М.Л. Калужский // Финансовая аналитика: проблемы и решения. 2014. № 2. С. 8−19.

14. Кметь Е.Б. Развитие электронных платежных систем // Проблемы теории и практики управления. 2015. № 4.

15. Корнийчук Ю. Бесконтактная технология NFC. Принцип работы NFC (Near Field Communication) — перспективная технология будущего. ubr.ua/finances/bankingsector/beskontaktnaia-tehnologiia-nfc-princip-raboty-267 191

16. Коротаева Н. В., Радюкова Я. Ю., Пахомов Н. Н., Савинков В. А. Развитие банковской системы России в современных условиях / Наука в современном информационном обществе: мат-лы VII междунар. науч.-практ. конференции. н.-и. ц. «Академический». 2015. С. 236−241

17. Криптовалюта: Что такое криптовалюта [Электронный ресурс].

Режим доступа: dialogs.oig.ua/ru/cross/8 649. html

18. Кузина О.Е. Поведение потребителей на рынке розничных платежей // Банковское дело. 2014. № 10.

19. Лейба А. Реальная жизнь виртуальных денег // ЭЖ-Юрист. 2014. № 23. С. 1−4.

20. Лейба А. Реальная жизнь виртуальных денег // ЭЖ-Юрист. 2014. № 23.

21. Лобачева Е.Н., Родионова В.Г. Инновации в системе электронных платежей / Е.Н. Лобачева, В.Г. Родионова // Гуманитарный вестник. 2014. № 1(15).

С. 16

22. Мазур Е.В., Неделяева А.А. Проблемы функционирования безналичных розничных платежей при помощи мобильных систем//Наука и образование: хозяйство и экономика; предпринимательство; право и управление. 2015. № 10 (65).

23. Материалы официального сайта Ассоциации российских банков [Электронный ресурс].

  • Режим доступа: www.arb.ru

24. Материалы официального сайта РБК [Электронный ресурс].

  • Режим доступа: www.rbc.ru

25. Негров В.П., Радюкова Я.Ю. Основные формы и виды банковской конкуренции // В сборнике: Саяпинские чтения Сборник материалов круглого стола. В.М. Юрьев. 2015. С. 117 126

26. Негров В.П., Радюкова Я.Ю., Федорова М.А. Конкурентоспособность банковской системы России в условиях санкций // В сборнике: Финансовый рынок россии в условиях санкций Материалы всероссийской научнопрактической заочной конференции. Ответственный редактор В.Ю. Сутягин. 2015. С. 146−153

27. О технологии NFC, платежах NFC и не только// www.nfcexpert.ru/ru/story/2210

28. Облачинский И. Биткоин: зарубежный опыт // ЭЖ-Юрист. 2014. № 23. С. 8.

29. Основные показатели развития национальной платежной системы: официальный сайт Банка России. [Электронный ресурс].

Режим доступа: www.cbr.ru/statistics/p_sys/prmt.aspx?file=sheet 001. htm/

30. Письмо Банка России от 2 октября 2009 г. № 120-Т «О памятке «О мерах безопасного использования банковских карт».

31. Популярные электронные платежные системы в Рунете // Change-Allmoney.Ru. — 2012. –

2. марта. -http://change-allmoney.ru/articles/el_money/90-populyarnye-yelektronnye-platezhnye-sistemy-v-runete.html

32. Ранчинский К. Л. Регулирование эмиссии и обращения электронных денег: виды и современные модели /К. Л. Ранчинский // Бизнес, менеджмент и право. [Электронный ресурс].

Режим доступа: www.bmpravo.ru/show_stat.php?stat=851

33. Реестр операторов платежных систем: официальный сайт Банка России. [Электронный ресурс].

Режим доступа: www.cbr.ru/PSystem/?PrtId=rops/

34. Россия в цифрах 2014: Краткий статистический сборник / Федеральная служба государственной статистики [Электронный ресурс].

Режим доступа: www.gks.ru

35. Савельев А.И. Электронная коммерция в России и за рубежом: правовое регулирование // Статут. 2014. С. 543.

36. Савельев А.И. Электронная коммерция в России и за рубежом: правовое регулирование: монография / А.И. Савельев. М.: Статут, 2014. 543 с.

37. Смагин И.И. Реклама как механизм маркетинговой стратегии коммерческого банка // Вестник Мичуринского государственного аграрного университета. 2012. № 1−2. С. 68−70

38. Сметанина А.И. Перспективы развития платежных средств и систем в XXI веке// Современная экономика: проблемы и решения. 2015. № 9 (69).

С. 20−30.

39. Сметанина А.И. Перспективы развития платежных средств и систем в XXI веке// Современная экономика: проблемы и решения. 2015. № 9 (69).

С. 20−30.

40. Собченко Н.В. Оценка инновационного потенциала как неотъемлемой части инновационного процесса // Наука и образование: электронное научно-техническое издание, 2011. № 4

41. Солуянов А.А., Солуянова А.А. Возможность применения опыта функционирования европейских платежных систем в работе российской платежной системы банка России / А.А. Солуянов, А.А. Солуянова // Финансы, деньги, инвестиции. 2014. № 1 (49).

С.23−28.

42. Степаненко И.А. Анализ процесса функционирования систем электронных платежей: автореферат дисс. к.т.н.: 05.13.01 / Волгоградский государственный технический университет. Волгоград, 2013

43. Тамаров П. А. Бесперебойность в НПС и риски кредитной организации // Банковское дело. 2013. № 3.С. 64−69.

44. Тарасов А.М. Киберугрозы, прогнозы, предложения // Информационное право. 2014. № 3. С. 11−15

45. Тульская Ж. А., Черкашнев Р. Ю. Классификация инновационных банковских технологий по типам и принципам применения / Сб. науч. трудов студентов и магистрантов кафедры «Финансы и банковское дело». Тамбов, 2016. С. 185−196

46. Усоскин В.М., Белоусова В.Ю. Мировые тенденции развития платежных систем // Деньги и кредит, 2010. № 11

47. Федеральный закон от 27.06.2011 N 161-ФЗ (ред. от 03.07.2016) «О национальной платежной системе» (с изм. и доп., вступ. в силу с 17.07.2016)

48. Федорова А.Ю., Дорожкина Н.И. Развитие банковской системы и факторы, влияющие на нее // В сборнике: Саяпинские чтения Сборник материалов круглого стола. Ответственный редактор А.А. Бурмистрова. 2014. С. 162−165

49. Фешина О.А. Электронные деньги и современные платежные системы / О.А. Фешина // Управление инновационным развитием современного общества: тенденции, приоритеты. 2014. Вып.1. С. 128−130

50. Хорошилов Е.Е. Платежная система Канады / Е.Е. Хорошилов // США и Канада: экономика, политика, культура. 2014.№ 7(535).

С. 73−86

51. Черкашнев Р. Ю. Временная трансформация инновационных банковских операций / Актуальные проблемы развития финансового сектора: мат-лы междунар. науч.-практ. заоч. конф.

1. ноября 2015 г. Тамбов: Изд-во ТРОО «Бизнес-Наука-Общество», 2015

52. Черкашнев Р.Ю. Временная трансформация инновационных банковских операций / Актуальные проблемы развития финансового сектора: материалы международной научнопрактической заочной конференции

1. ноября 2015 г. Тамбов: Изд-во ТРОО «Бизнес-Наука- Общество», 2015

53. Internet Banking Rank 2016 markswebb.ru/e-finance/internet-banking-rank-2016/

Источник: https://referatbooks.ru/diplomnaya-rabota/sistema-elektronnyih-platejey-v-rf/

Реальные риски виртуальной реальности

Реальные риски виртуальных платежей (Лейба А.)

Этим летом завершила покупку Oculus VR, производителя гарнитуры виртуальной реальности, за 2 миллиарда долларов. Покупка обещает ввести нас в новую эру виртуальной реальности, более захватывающей, удобной и недорогой, чем мы (не) могли себе позволить раньше.

На самом деле, несмотря на то что Oculus Rift и похожие устройства еще даже не вышли на рынок, компании уже используют виртуальную реальность для обучения, моделирования, изготовления опытных образцов и маркетинга.

Insurer Travelers, к примеру, разработала виртуальную среду, в которой Oculus Rift используется для обучения технике безопасности на рабочих местах. При этом виртуальная реальность грядет со своим собственным набором рисков, которые могут иметь серьезные последствия для информационной безопасности и поведения пользователей.

Осознавая эти риски на ранней стадии, компании могут сделать лучший выбор при разработке виртуальной среды.

Физические риски

Может показаться странным, что виртуальная реальность подразумевает какие-либо риски для пользователей, но это так. К примеру, Oculus Rift — все еще экспериментальное устройство, поэтому отслеживание движений головы проводит далеко не идеально.

Если пользователь надевает устройство и двигает головой, это движение регистрируется не так быстро или точно, как необходимо для виртуальной среды. Любое несоответствие между тем, что пользователь видит, и что чувствует, может привести к проблемам.

Вследствие этого армия США, например, считает Oculus Rift рискованным устройством. «Я не могу ничего предложить солдатам, пока оно не готово, — говорит Дуглас Максвелл, менеджер по науке и технологиям в Центре подготовки и моделирования ВС США.

— Если одно из таких устройств может привести к проблемам со здоровьем у меня или у моих солдат, я не смогу предложить его им».

Вместо того чтобы использовать комплекты Oculus Rift за 350 долларов, армия США использует более дорогие варианты для моделирования виртуальной реальности, стоимостью от 8 до 12 тысяч долларов.

Тошнота — не единственный физический риск, связанный с устройствами виртуальной реальности.

«Отдельные люди могут также испытывать сильное головокружение, эпилепсию или потерю сознания под воздействием определенных световых импульсов», — так предупреждает Oculus Rift в документе с условиями и соглашениями пользователя.

Был случай: сеть ресторанов Chuck E. Cheese исключила себя из среды виртуальной реальности Ticket Blaster, поскольку определенные вспышки могли вызывать судороги у детей.

Во всяком случае в обозримом будущем виртуальная реальность не будет достаточно хорошей, чтобы подменять реальную действительность. Однако вполне достаточно обмануть подсознание, заставив мозг думать, что пользователь находится в определенной ситуации взаправду.

По этой причине работа с Oculus Rift может приводить к срабатыванию таких фобий, как боязнь пауков и высоты.

Хотя это можно использовать в медицинских целях в хорошо контролируемых условиях, если пользователь на самом деле не готов столкнуться со своим страхом, последствия могут быть не очень приятными.

Риски безопасности

Еще один риск, о котором хорошо осведомлена армия США, это информационная безопасность. Не все виртуальные среды создаются равными, когда речь заходит о защите информации и коммуникации.

«Реальность такова, что существуют определенные риски в том, как разворачивается виртуальная среда», — говорит Максвелл.

Поскольку эта технология — с открытым исходным кодом, он еще готов поговорить об OpenSimulator, программе, на которой держатся тысячи виртуальных миров, включая тот, в котором тренируется армия США.

«Гражданские думают о безопасности иначе, чем мы. Обычная среда OpenSimulator на самом деле довольно небезопасна». Некоторые вопросы безопасности связаны с функциями, которые позволяют владельцам виртуальных пространств перемещать пользователей между разными виртуальными мирами, загружать собственный контент и выполнять сложные взаимодействия.

Некоторые проблемы весьма просты. Нет шифрованной связи во время отправки пароля на сервер, например. Однако проприетарные корпоративные виртуальные среды вроде ProtoSphere, AvayaLive Engage и Terf, как правило, уделяют больше внимания информационной безопасности.

ProtoSphere от пенсильванской ProtonMedia тесно интегрирована в коммуникационные среды Microsoft, Active Directory и Sharepoint, а также может похвастать 10% пользователей из списка Fortune 500.

Все коммуникации, включая голос, присутствие и обмен мгновенными сообщениями, проходит через сервер Lync Microsoft, который шифрует все эти каналы.

Платформа использует репозиторий документов Microsoft Sharepoint и позволяет весьма определенно назначать роли, чтобы ограничить доступ к конкретным областям виртуальной среды или конкретных документов. Даже если ProtoSphere работает как облачный сервис, контент и коммуникации могут быть зашифрованы.

На самом деле большинство пользователей работает в облаке, говорит CEO Рон Бернс, но 20% использует традиционное программное обеспечение, работающее за корпоративным брандмауэром. Последний чаще всего используется в оборонной сфере, он интересен таким компаниям, как Airbus, Lockheed Martin и Boeing.

Платформа виртуальной реальности Terf от 3DICC также подключается к Sharepoint, Active Directory и другим стандартным корпоративным инфраструктурам. Для связи она задействует платформу Jabber от Cisco.

В настоящее время, как утверждает компания, у нее более 100 000 пользователей, включая клиентов из госучреждений, крупных университетов и компаний из списка Fortune 10.

Генеральный директор, Джули Лемон, ранее работала вице-президентом по инженерным исследованиям и продвинутого сотрудничества в Fidelity Investments, поэтому крайне озабочена безопасностью.

Но виртуальная реальность также создает и другие виды рисков. К примеру, если пользователи могут изменять внешний вид своих аватаров, они потенциально могут выдавать себя за других пользователей.

Этот вопрос разжигал дискуссии еще с первых дней появления таких миров, как Second Life.

Terf рассматривает этот вопрос, позволяя компаниям ограничивать возможность настройки аватаров, управления ими, изменение имен и фотографий.

Еще одной уникальной проблемой виртуальной среды может быть возможность пользователей изменять саму среду. Было и такое, что компанию, которая проводила публичное мероприятие в Second Life, атаковали летающие фаллосы.

Разнообразие виртуальных сред накладывает разные уровни ограничения на то, что пользователи могут и не могут делать внутри платформы, а также предлагает разным компаниям по-разному ограничивать возможности поведения пользователей.

Есть существенная разница между корпоративным и пользовательским использованием сред виртуальной реальности.

Поведенческие риски

Канадская телекоммуникационная компания Telis использует виртуальную среду AvayaLive Engage для бортовых сотрудников. Более 1200 сотрудников на сегодняшний день использовали ее, чтобы получить базовую подготовку.

Telis полагает, что виртуальная среда помогает сломать географические барьеры между людьми.

Другой пользователь Avaya, крупная организация финансовых услуг, считает, что эта технология позволяет снизить социальные барьеры с младшим персоналом, а также демонстрирует более высокий уровень совместной работы, нежели на традиционных встречах в физическом мире.

«Опираясь на отзывы, мы знаем, что клиенты очень ценят опыт аватара, — рассказал Пол Макдонах-Смит, лидер обучающей практики Avaya. — Это как маска, за которой они прячутся».

У этой маски может быть и темная сторона, если сотрудники используют аватар для проявления деструктивного поведения. Виртуальная реальность обладает таким же потенциалом для проявления грубости, оскорблений и преследования, как и реальная, при этом взаимодействие кажется еще более реальным и личным.

«В некоторой степени она похожа на социальные медиа. Когда кто-то собирается в виртуальной среде или мире в виде аватара компании, вам нужен кодекс поведения. Только потому, что вы находитесь в виртуальном пространстве, мир не превращается в игру, а ваше альтер эго не должно вести себя отлично от реального поведения».

Компаниям нужно четко определить это уже на старте.

Рекомендуются ознакомительные занятия для определенного персонала перед началом работы в виртуальной реальности, чтобы убедиться, что сотрудники понимают, что представляют компанию, и узнать, какого поведения от них стоит ждать. Некоторые компании позволяют свободное поведение. Другие же, возможно, захотят видеть сотрудников, одетых в виртуальные костюмы и галстуки.

Но даже в условиях, которые созданы для сотрудников и закрыты для общественности, поведенческие проблемы могут возникнуть и должны быть приняты во внимание. Хоть физически и нельзя прикоснуться к человеку в виртуальном пространстве, кто-то может сказать, что он не хочет сидеть с вот этим человеком рядом на рабочем месте.

Риски конфиденциальности

Приобретение Oculus Rift выявило другой риск виртуальной среды: конфиденциальности. неоднократно навлекала на себя недовольство пользователей, изменяя политику конфиденциальности, а недавно еще и выяснилось, что компания ставила психологические эксперименты на пользователях.

Виртуальная среда может резко расширить масштабы возможных нарушений неприкосновенности, потому что каждое поведение в виртуальной среде можно отследить, а каждый элемент — изменить.

Компаниям заранее рекомендуют решить, какой мониторинг они будут проводить, и огласить политику для сотрудников и клиентов. Иначе может сложиться ситуация, когда сотрудник или пользователь отправляется в виртуальный мир, использует личный аватар, а затем утверждает, что думал, что его действия не будут оглашаться.

Нарушения неприкосновенности частной жизни клиентов также могут иметь правовые последствия для компаний.

Риск потратить деньги зря

Большинство компаний не будет тратить 2 миллиарда долларов на проекты виртуальной реальности, как , но ценники для пользовательских виртуальных сред легко могут достигать шестизначных сумм и выше.

По мнению Ирвина Лазаря, аналитика чикагской Nemertes Research Group, первые приверженцы виртуальной реальности легко расставались со временем и деньгами.

Но времена меняются, и люди стараются вливать только те инвестиции, которые окупятся.

«Если я собираюсь сделать большое вложение, мне нужно знать ROI и что оно мне даст, в противном случае я не потрачу пару миллионов долларов непонятно на что».

Он рекомендует компаниям сначала делать небольшие пилотные проекты и убеждаться, что такая технология им подходит. Кроме того, важно не гнать лошадей, поскольку технологии еще не разработаны на все сто.

Технологии виртуальной реальности все еще находятся в движении, по мнению Андерса Гронштедта, президента колорадской консалтинговой фирмы для виртуальных миров The Gronstedt Group.

Например, большинство устройств, которым в настоящее время уделяется много внимания, вроде всенаправленных беговых дорожек и отслеживающих движение перчаток больше предназначены для игр, нежели для бизнеса.

Любое масштабное развертывание невозможно даже на стадии планирования.

Реальные риски виртуальной реальностиИлья Хель

Источник: https://hi-news.ru/technology/realnye-riski-virtualnoj-realnosti.html

Виртуальные серверы – реальные риски

Реальные риски виртуальных платежей (Лейба А.)

01.10.2010 Филипп Якоби

Виртуализация инфраструктуры ИТ позволяет сократить расходы, упростить эксплуатацию серверов и клиентских устройств, однако одновременно возникают новые угрозы для безопасности данных и сетей.

Решения по обеспечению защиты таких платформ перестали быть исключительно техническими, теперь в них включаются организационные меры и предусматриваются практические мероприятия по устранению проблемных ситуаций.

Для консолидации аппаратного обеспечения ИТ применяются две ключевые технологии виртуализации: абстрагирование и распределение аппаратных ресурсов. Гостевые операционные системы и пользователи изолируются от физических систем посредством слоя виртуализации. Реально доступные ресурсы абстрактно и однородно распределяются гипервизором между всеми виртуальными машинами.

К настоящему времени успешно виртуализированы уже многие области, и системы, ранее не вовлеченные в этот процесс из соображений безопасности, теперь часто оказываются следующими в очереди.

Однако виртуализация порождает не только преимущества, но и риски для инфраструктуры ИТ, в случае если виртуализировать необходимо специально защищаемые системы и содержащуюся в них конфиденциальную информацию.

НОВЫЕ РИСКИ ДЛЯ БЕЗОПАСНОСТИ В РЕЗУЛЬТАТЕ ВИРТУАЛИЗАЦИИ

Концентрация нескольких виртуальных машин на одном аппаратном устройстве повышает сложность конфигурации. При интеграции в существующую сетевую среду гипервизор охватывает множество зон, что позволяет предоставлять сервисы в разных точках сети. При этом возможно перекрытие с классическими системами сетевой безопасности, частые обновления которых усугубляют ситуацию.

Таким образом, наибольшая опасность для виртуализированных инфраструктур таится в том, что слабые места в решениях для виртуализации позволяют использовать гостевую систему для выполнения вредоносного кода на гипервизоре. Если злоумышленник получит полный контроль над гипервизором, ему станут доступны все подключенные разделы сети, массовые системы хранения и виртуальные машины.

Если раньше пострадать могли только отдельные серверы и приложения, то теперь в зону риска попадает сразу множество виртуальных машин из-за их концентрации на одном аппаратном устройстве.

В связи с этим для контроля виртуального сетевого трафика и строгого соблюдения директив необходимо принять дополнительные меры безопасности в отношении платформы виртуализации и работающих на ней виртуальных машин.

Безопасность начинается с организационных мероприятий.

Внедрение виртуализации в ИТ привело к устранению привычного распределения обязанностей: администратор виртуальной среды превращается в ответственного за работу серверов, сетей и за обеспечение безопасности.

Между тем экспертиза по данным вопросам остается в компетенции других отделов. Таким образом, безопасность платформ виртуализации начинается с установления зон ответственности и разделения обязанностей (Separation of Duties).

ПРЕДВАРИТЕЛЬНАЯ ОРГАНИЗАЦИОННАЯ РАБОТА

Привязка к централизованным каталогам обеспечивает техническую поддержку распределения полномочий, что достигается с помощью ролей, базирующихся на распределении пользователей по группам. При этом всегда необходимо действовать по принципу, согласно которому полномочия для выполнения того или иного действия ограничиваются лишь необходимым минимумом (Principle of Least Privilege).

УКРЕПЛЕНИЕ ГИПЕРВИЗОРА

Когда определены организационные рамочные условия, можно приступать к технической защите инфраструктуры (см. Рисунок 1). Поскольку гипервизор представляет собой базовую платформу для виртуализации, он нуждается в особой защите.

Все производители решений для виртуализации публикуют рекомендации по обеспечению безопасности, в которых описывается, как следует укреплять соответствующие системы после установки.

Этим директивам следует уделить особое внимание, так как с их помощью можно добиться предоставления только тех служб, которые действительно потребуются для виртуализации.

Еще одна возможность снижения потенциальных рисков заключается в разработке надежной сетевой концепции.

Центральные функции, такие как доступ к системам хранения и средствам управления, должны применяться только в изолированных сегментах сети. Некоторые протоколы (iSCSI, VMotion и т. д.

) используются без полного шифрования, и доступ к этим областям сети должен предоставляться только авторизованным администраторам.

Фильтрацию обычно выполняют брандмауэры, которые — особенно в сочетании с системой предотвращения вторжений (Intrusion Prevention System, IPS) — способны обеспечить эффективную двунаправленную защиту виртуальной и физической инфраструктуры (см. врезку «Алгоритм действий для безопасной виртуализации»).

Помимо опасностей, таящихся в непосредственном сетевом окружении виртуальной инфраструктуры, большинство атак осуществляется напрямую из виртуальных машин. Такие системы должны защищаться так же хорошо, как и физические.

Используемые методы определяются индивидуальными требованиями к безопасности виртуальных машин.

Сначала следует произвести классификацию рисков, а для распределения виртуальных машин по группам использовать простые критерии: операционная система, выполняемая ВМ задача и коммуникационные отношения.

Для сформированных групп можно обеспечить дополнительные меры защиты, хорошо знакомые администраторам по сфере безопасности физических серверов и клиентов, — к примеру, брандмауэры и системы предотвращения вторжений, виртуальные частные сети (Virtual Private Network, VPN), шифрование и контроль сетевого доступа (Network Access Control, NAC).

До сих пор активация таких компонентов безопасности отличалась высокой трудоемкостью в связи с необходимостью осуществления дополнительной сегментации, а для обеспечения возможности анализа сетевой трафик должен был перенаправляться через физические или виртуальные системы безопасности.

ФУНКЦИИ БЕЗОПАСНОСТИ ПОСРЕДСТВОМ API

В компании VMware осознали эту проблему и внедрили в vSphere 4 интерфейс безопасности под названием VMsafe (см. Рисунок 2). Он позволяет осуществлять прямой доступ к системам хранения, процессорам, сетям, пакетным фильтрам, процессам и накопителям большой емкости.

Именитые производители решений безопасности используют этот интерфейс при разработке нового поколения продуктов, рассчитанных на применение в среде виртуализации.

Прямая интеграция в ядро VMware позволяет осуществлять фильтрацию данных без привязки к сети, маршрутизации или програм-мным агентам, обеспечивая максимальную производительность.

Система безопасности VMsafe включает в себя несколько модулей: центр администрирования для управления правилами, модуль ядра, загружаемый в ядро VMware, и контрольный модуль в виде виртуальной машины.

Последний создает соединение с модулем ядра при помощи специализированного коммутатора VMservice Vswitch, позволяющего создавать соединения по TCP/IP. Через контрольный модуль система администрирования управляет функциями безопасности в модуле ядра.

Если контроль и дальнейшее перенаправление данных осуществляются в ядре, то речь идет о реализации по технологии Fast Path, когда теоретически можно использовать полную мощность гипервизора.

А если данные перенаправляются на виртуальный контрольный модуль, где осуществляется их дальнейшая проверка, значит, применяется метод Slow Path, обеспечивающий заметно меньшую производительность.

ЗАКЛЮЧЕНИЕ

Ориентация на безопасность в виртуальных средах ИТ обеспечивает соблюдение правил безопасности и выполнение требований, предъявляемых к защите сетей и данных, даже в эпоху виртуализации и облачных вычислений.

Компания VMware способствует продвижению инноваций в области виртуализации, однако совсем скоро за ней последуют другие поставщики платформ виртуализации.

Уже сейчас производители решений безопасности не ограничиваются только продуктами VMware, планируя в дальнейшем осуществлять интеграцию на другие платформы.

Филипп Якоби — старший консультант по развитию бизнеса и сертифицированный специалист по защите информационных систем (CISSP) компании Integralis Deutschland.

© ITP Verlag

Алгоритм действий для безопасной виртуализации:

  • разработка надежной сетевой концепции;
  • организационное распределение ролей;
  • установка и укрепление системы управления;
  • привязка к службе каталогов;
  • установка гипервизора;
  • активация защитных мер для гипервизора;
  • установка/миграция виртуальных машин;
  • активация защитных мер для виртуальных систем;
  • регулярная активация и тестирование резервных копий;
  • контроль работы посредством инструментов мониторинга.

Купить номер с этой статьей в PDF

Источник: https://www.osp.ru/lan/2010/09/13004325/

Поделиться:
Нет комментариев

    Добавить комментарий

    Ваш e-mail не будет опубликован. Все поля обязательны для заполнения.