Přístup k datovému centru

Jak se dostat do datového centra? U solidních poskytovatelů nehrozí, že byste vešli nezpozorováni. Na místě je čtyřiadvacet hodin denně přítomna jak ostraha budovy, tak obvykle i pracovníci technické podpory, kterým neunikne žádný pohyb. Přístup do datových sálů je navíc omezen pouze pro pověřené osoby, evidován a často i nahráván na bezpečnostní kamery se záznamem.

Samotné sály se obvykle nachází hluboko (či naopak vysoko) uvnitř budovy, což snižuje riziko snadného přístupu nežádoucích osob zvenčí. Výjimkou není ani kontrolovaný přístup do jednotlivých serveroven, pokud jich datové centrum provozuje v budově několik, což bývá zvykem. Dovnitř datacentra zákazník nikdy nevchází sám, ale je po předložení identifikačního průkazu vpuštěn obsluhou.

Bezpečnostní dveře jsou nutností a naprostým standardem. Autentizace je však vždy vícefaktorová. Každý z poskytovatelů tuto oblast řeší jinak, nicméně dnes se v některých datacentrech můžeme setkat i se čtečkami oční sítnice či krevního řečiště, které byly ještě donedávna výsadou spíše sci-fi filmů.

Chlazení

Součástí fyzického zabezpečení je i chlazení prostor a odvod teplého vzduchu ohřátého servery. Zatímco ve firemních serverovnách se běžně k chlazení používá takzvaná komfortní klimatizace – tedy ta, kterou známe z kanceláří – v profesionálních datacentrech by podobná technologie zdaleka nedostačovala. Přesná klimatizace (precision cooling) určená pro náročné provozy dokáže přesně zajistit rozsah teplot a vlhkosti. 

Obr. 1: Součástí fyzického zabezpečení je i přesné chlazení prostor, odvod teplého vzduchu ohřátého servery a zajištění požární ochrany.

Požární ochrana

Nainstalován obvykle bývá i některý z typů hasicího systému. Typickým zástupcem je inertní plyn FM-200, ale levnější alternativou hasicího média mohou být systémy s demineralizovanou vodou nebo třeba dusíkem. Vždy se dbá nejen na hardware zákazníků, ale také zdraví zaměstnanců a dopad na životní prostředí. Myslím, že z uvedeného už začíná být všem jasné, že podobné úrovně zabezpečení lze ve firemní kanceláři jen obtížně dosáhnout. A jsou to právě obyčejné kancelářské místnosti vybavené běžnou klimatizací a práškovým hasicím přístrojem, které doposud mnohá IT oddělení využívají jako své provozní serverovny.

Síťová bezpečnost

Moderní datové centrum, to ale není jen opevněná budova s nonstop přítomnou ochrankou před vchodem a čtečkou krevního řečiště. Do samotného nitra serveroven vedou i další cesty - skrze datové kabely. Součástí zabezpečení moderních datacenter tak musí být kromě výše popsané fyzické i síťová bezpečnost. Tento balík zahrnuje jak notoricky známý antivirus, tak firewall, systémy prevence narušení sítě (IPS/IDS) nebo různé stupně ochrany před nechvalně proslulými DDoS útoky. Patří sem ale i redundance všech aktivních síťových prvků a připojení z několika nezávislých přípojek s dostatečnou přenosovou kapacitou.

Základním stavebním kamenem bezpečné sítě je firewall, který je v základní verzi dostupný na úrovni operačního systému. Firewall kontroluje a filtruje síťový provoz, je schopný zachytit útoky na známé chyby, ale poskytuje i základní ochranu před útoky. Firewally nové generace (UTM) v sobě kombinují i další funkce, například IPS/IDS (detekce a prevence průniku), email filtry a další. 

Obr. 2: Pro zajištění síťové bezpečnosti je nutná redundance všech aktivních síťových prvků a připojení z několika nezávislých přípojek s dostatečnou přenosovou kapacitou.

Správci sítí se v poslední době potýkají i s DDoS útoky. Administrátoři v datových centrech na rozdíl od správců firemních sítí mají tu výhodu, že robustní sítě, s příslušnou ochranou, jsou schopny řešit a pohlcovat útoky až do výše propustnosti páteřních datových linek. Logicky čím robustnější síť s vyšší propustností, tím masívnější útok je schopna rozmělnit. To vše ovšem pouze za předpokladu, že na perimetru je instalováno zařízení podobné firewallu filtrující síťový provoz. A co podobná zařízení odlišuje od firewallu? Zařízení se učí statistický profil provozu sítě a serverů. Při odchylkách v případě útoku jsou schopna tento útok nejen automaticky rozpoznat, ale vygenerovat i dynamickou signaturu a DDoS útok zablokovat.

Nebezpečí nemusí přijít zvenku…

Firmy svá data často až přehnaně chrání před konkurencí, před vniknutím nežádoucích osob zvenčí. Snaží se fyzickým zabezpečením přiblížit úrovni datacenter. A zapomínají při tom, že nejčastěji jsou to právě stávající zaměstnanci, kteří představují potenciálně největší hrozbu pro firemní data. Lidský faktor je slabým místem mnoha IT oddělení.

Jak tedy čelit útokům z vlastních řad? Kompletní kontrolu nad systémy by neměl mít jen a pouze jeden člověk. Vždy je dobré rozdělit administrativní pozice mezi více lidí. Další z možností je i outsourcing. Přenecháním starostí o IT zkušeným administrátorům z datového centra mají firmy jistotu, že se o jejich data i síť postarají vyrovnaní experti s mnoha lety praxe.

Více o výstavbě datacentra, volbě lokality, ale i tipech, na co si dát pozor, najdete v seriálu, který vycházel v IT Systems 10/2014 a dvou následujících číslech. Starší vydání IT Systems jsou k dispozici na webu SystemOnLine.cz

Martin Žídek Autor článku je technickým ředitelem společnosti Master Internet.