רוצים לעבוד כמו גוגל? תתחברו לענן
הדיון סביב מעבר לענן הוא אולי אחד הדיונים החמים ביותר בשנים האחרונות בקהילת ה-IT. הוא נוגע כמעט בכל אחד מרבדי הענף - אבטחת מידע, אינטגרציה, רגולציה ועד המבנה הארגוני של הלקוח. בגוגל החליטו לקחת הדיון צעד אחד קדימה, ולפני שנתיים וחצי פתחו את תשתיות ה-IT של החברה לשימוש לקוחות חיצוניים תחת המותג "הענן של גוגל" או Google Cloud Platform. בראיון לישראל דיפנס, מסבירים בגוגל מדוע בעתיד לא יהיו חדרי שרתים פרטיים. "זה יקח אולי עוד עשור, אבל זה יגמר", אומרים בענקית החיפוש
גוגל החליטה לפני שכשנתיים וחצי לפתוח את התשתיות שלה ללקוחות חיצוניים תחת המותג cloud.google או בשפת הקודש - הענן של גוגל. משמעות ההחלטה של גוגל היא שכל לקוח עסקי בעולם יכול להשתמש באותן תשתיות ה-IT שמשמשות את גוגל לשירותים כמו Google.com, יו-טיוב, שירותי הפרסום המקוונים ושירותים נוספים שהחברה מציעה.
גוגל מוכרת כיום את השירותים תחת שתי תצורות IaaS ו-PaaS. המושג IaaS מתייחס לתשתית כשירות. כלומר, במקום לקנות עוד שרתים, הלקוח רוכש מגוגל כוח עיבוד, זיכרון, אחסון ומשאבי רשת. בתצורת PaaS, הלקוח רוכש מגוגל פלטפורמה כשירות שמאפשרת לו לפתח יישומים. בצורה אחרת, אפשר לראות ב-PaaS מסגרת עבודה הכוללת את כל הרכיבים הנדרשים כדי שהמפתח יתמקד רק בכתיבת קוד. אמנם מדובר בהגדרות מופשטות, אך הן רק לצורך ההבנה מה גוגל מוכרת בשירותי הענן שלה.
דוגמא ליתרון בשימוש ב-PaaS הוא תאימות יישומים לתקן PCI DSS. בסוף חודש נובמבר השנה גוגל הסמיכה את הענן שלה לתקן זה. כלומר, מי שרוצה לפתח יישום פיננסי בענן של גוגל, מפתח אותו כך שהוא תואם לתקן מהיום הראשון, רק בכך שהוא עושה זאת על הענן. למי שלא יודע, תקן PCI DSS תואם לתקן לדרישות האבטחה בחוק הגנת הפרטיות הישראלי, כפי שמסבירה זאת עו"ד אדמית אבגי. אם המחוקק הישראלי היה דורש למשל שכל יישום פיננסי בישראל יפותח על פלטפורמה תואמת לתקן PCI DSS, הפרטים של אזרחי ישראל היו הרבה יותר מוגנים. וזו רק דוגמא אחת ליתרונות של PaaS.
אבטחת מידע בענן
את יחידת שירותי הענן באזור EMEA מנהל ברק רגב, לשעבר איש מיקרוסופט, שקיבל על עצמו לפני כשנתיים וחצי את המשימה. אליו הוא צרף את ניר חינסקי, גם הוא לשעבר איש מיקרוסופט, שמתמחה באבטחת מידע בענן. אחד האתגרים של גוגל במכירת שירותי ענן ללקוחות עסקיים, ממשלתיים וביטחוניים הוא לשכנע אותם שהתשתית שלה בטוחה בהיבט אבטחת מידע. לפחות כמו רמת אבטחת המידע הקיימת אצל הלקוח בחדר השרתים או בחוות השרתים המקומית המשמשת אותו לאחסון תשתית המחשוב. עוד נגיע לזה בהמשך.
[מימין: ברק רגב, ניר חינסקי]
יחידת הענן אותה מנהל רגב באזורנו פועלת תחת חטיבת Google for work. אותה חטיבה שמוכרת ללקוחות עסקיים את Google Apps, חבילת תוכנות לעסק במודל SaaS - תוכנה כשירות. אם הגעתם עד כאן, אתם כבר מבינים שהכיוון של גוגל הוא להפוך את תשתית המחשוב לשירות עבור הלקוח בכל ההיבטים - תוכנה, תשתית וסביבת פיתוח. "אנחנו רוצים שהלקוח יתמקד אך ורק במה שהוא הכי טוב בו", מסביר רגב. "הרעיון בשירותי הענן של גוגל הוא לספק לו סביבה תומכת לעשות זאת".
כאשר מדובר בלקוחות ביטחוניים או ממשלתיים, שירותי ענן ואבטחת מידע נתפסים לעיתים כשמן ומים. הם לא בדיוק הולכים יחד. אולם, בחינה של שדות זרים תראה אחרת. בארה"ב למשל, ה-CIA, אחד מארגוני הביון הגדולים בעולם, בחר לבנות תשתית ענן עם חברת אמזון. כן, זו של הספרים. לפי מקורות בתחום, מדובר כנראה בסוג של ענן פרטי שיאפשר ל-CIA לבנות מודל של שירותים מנוהלים פנים ארגוני. הענן של ה-CIA פעיל מחודש אוגוסט השנה.
סוכנות ביון אמריקאית נוספת שהתחברה לענן היא ה-National Geospatial-Intelligence Agency או NGA. סוכנות פחות מוכרת אולי מה-CIA או ה-NSA, אך חשובה לא פחות מהן. אותה סוכנות בנתה על תשתית של אמזון מערכת אינטרקטיבית להצגה של מפת העולם בחתכים מסויימים.
עוד צעד שעשתה ארה"ב בכיוון הענן ללקוחות ביטחוניים וממשלתיים (פדרל) הוא תכנית הסמכות בשם FedRAMP. אם נעזוב לרגע את הפוליטיקה בין סוכנויות המודיעין והצבא לבין DISA (גוף התקשוב של צבא ארה"ב) על השליטה בתכנית הזו, מדובר במעין מסגרת ארגונית שמסדירה את השימוש בענן, גם בהיבט אבטחת מידע.
בגוגל יודעים לספר שאחד הזרזים למעבר חברות לענן, מלבד היכולות הטכנולוגיות, וההוזלה בתחזוקת התשתית, הוא התקפות מניעה (DDOS). "היכולת של האקר להפיל את גוגל באמצעות התקפה כזו לעומת היכולת שלו להפיל חברה ישראלית כנראה יותר מוגבלת", מסביר רגב. "אחד האתרים בארץ שעבר לתשתית הענן של גוגל בגלל הסיבה הזו הוא בית התפוצות. זה גוף שחווה הרבה התקפות בגלל ההקשר שלו. נמאס לו. אנחנו בגוגל מתמודדים עם התקפות DDoS בנפח תעבורה שהוא הרבה מעבר לכל נפח שמתמודד איתו ארגון מסחרי או ממשלתי".
חינסקי מוסיף שהאתר של הלקוח שמאחוסן בענן של גוגל נהנה מכל מנגנוני ההגנה שגוגל עושה בהם שימוש על מנת להגן על השירותים שלה. "אנחנו מגנים על הלקוח באופן מובנה, הוא לא צריך לעשות כלום. עצם זה שהוא חלק מהרשת של גוגל הוא מוגן. זה חלק מהשירות", מסביר חינסקי.
70 חוות שרתים
כדי לספק את שירותי הענן ללקוחות, גוגל מפעילה כ-70 חוות שרתים ב-33 מדינות שונות המפוזרות על פני מספר יבשות, כאשר כולם מחוברים ביניהם בתשתית תקשורת פרטית בניהול של גוגל. מי שלא יודע, גוגל מפעילה בארה"ב חברה כמו 'בזק' תחת השם Google Fiber שפורסת סיבים אופטיים עבור לקוחות פרטיים ועסקיים. גם כאן מדובר ביתרון מבחינת אבטחת מידע. ספקי ענן אחרים מחברים את חוות השרתים שלהם באמצעות רשת האינטרנט / רשת ציבורית משותפת. לפי גוגל, היא היחידה המפעילה רשת פרטית 'אמיתית' בחיבור בין חוות השרתים.
גם הפיזור של מידע הלקוח על פני 70 חוות שרתים שונות הוא יתרון. לספקי ענן אחרים יש פחות מ-20 חוות, כל אחד. את זה עושים בגוגל אודות לתצורת עבודה ב'מיכלים' (Containers). לא נכנס כאן לרזי הטכננולוגיה הזו, אבל אם שמעתם פעם את המושג Docker containers, אתם יודעים על מה מדובר. עבור אלו שלא, נאמר שזו יכולת לחלק את המידע השלם ל'רסיסים', ולשמור כל רסיס בחוות שרתים אחרת. את ההרכבה מחדש של המידע, עושה גוגל בנקודה האחרונה ברשת לפני שהוא יוצא לכיוון מחשב הלקוח.
"בתצורה כזו, גם אם האקר הצליח בתרחיש מסויים להיכנס לחוות שרתים שלנו, הוא ימצא בה רק רסיס אחד של המידע השלם של הלקוח. היות והוא לא יודע איך אנחנו מפרקים ומרכיבים את המידע, הוא לא יוכל להבין מזה כלום", מסביר חינסקי. "תצורה זו גם מספקת ללקוח DR מובנה כחלק משירות הענן שלנו. אם יקרה אסון שיהרוס את כל 70 חוות השרתים של גוגל, הלקוח כנראה לא יזדקק למידע בכל מקרה. בכל תרחיש אחר, המידע יהיה שם".
הצפנה ואנונימיות נתונים
בנוסף לשכבת התקשורת הפרטית, ההגנה בפני DDoS ותצורת המידע המבוזרת, גוגל גם מחייבת את הלקוח להצפין את המידע. הלקוח יכול גם להשתמש במערך הצפנה משלו, כמו בנקים למשל, ואז הוא משתמש בענן של גוגל כ'קופסא שחורה' (תצורת HMS). במצב כזה גוגל לא יכולה לקרוא את המידע של הלקוח, גם אם היא רוצה. כדי לעשות זאת, גוגל צריכה לפרוץ את ההצפנה של הפרטית של הלקוח, פעולה שהיא לא חוקית וגם לא מתיישבת עם הקו העסקי של גוגל.
בנוסף להצפנה, הלקוח יכול לעשות גם אנונימיזציה של המידע בטרם הוא מעלה אותו לצורך עיבוד או אחסון בענן של גוגל. בצורה כזו, המידע הופך להיות אנונימי באתר הלקוח (נניח רשומות של עמי הופכות לרשומות של יישות פיקטיבית בשם ניר), הוא נשלח לענן לעיבוד (PaaS, זוכרים?), וכאשר המידע חוזר לאתר הלקוח, הוא עובר תהליך הפוך שמקשר את היישות הפיקטיבית 'ניר' ליישות האמיתית 'עמי'. בתהליך כזה, גם אם האקר שם ידו על המידע, הוא לא יכול קישור בין 'עמי' ל'ניר', ופרטיות המנוי של הלקוח נשמרת. לפי גוגל, בפתרון כזה בחר גוף בריאות בריטי ממשלתי.
נקודת כשל נוספת באבטחת המידע בענן היא חיבור התקשורת של הלקוח בין המ?רדים שלו לחוות השרתים של גוגל. פלוני יכול לטעון שגם אם גוגל מספקת את כל מעטפת האבטחה הזו בחוות השרתים שלה, על המייל האחרון (Last mile) אין לה שליטה, וכאן יכנס התוקף.
"גוגל מספקת מספר חלופות להתמודד עם אתגר זה", מסביר חינסקי. "יש VPN על האינטרנט. זה אולי לא מספיק ל-CIA, אבל יש לקוחות שמסתפקים בזה. רמה אחת מעל זה היא Carrier Peering. כלומר חיבור ישיר בין משרדי הלקוח לספק הענן בחו"ל. את זה עושים באמצעות חברות תקשורת בינלאומיות כמו ורייזון, level 3 ואחרות. בקישור כזה יש הצפנה כפולה - בעת מעבר המידע (encryption in transit) וגם כאשר המידע 'נח' ולא נעשה בו שימוש (encryption in rest). דרך נוספת היא Direct Peering שזה אומר שגוגל הופכת להיות 'הארכה' של חדר השרתים שלך. גם כאן, המידע לא עובר על האינטרנט".
יותר בטוח בבית?
כדי לסגור את הדיון באבטחת מידע בענן של גוגל, כמו במקרה של ספקי ענן אחרים, יש לשאול האם באמת אבטחת מידע 'בבית' אצל הלקוח טובה יותר מאבטחת מידע של ספק ענן ציבורי. בגוגל, לפי מקורות מסויימים, עובדים מעל ל-200 מומחי אבטחת מידע. חינסקי מסביר שיש בגוגל קבוצות תקיפה והגנה שמאתגרות אחת את השניה כל הזמן כדי למצוא פרצות ולסגור אותן. "האם לכל ארגון יש יכולות כאלו?", שואלים בגוגל.
עוד היבט של אבטחה 'בבית' הוא ביזור המידע על התקנים ניידים, כמו מחשבים ניידים וסמארטפונים. ארגון יכול לאבטח את חוות השרתים שלו, אבל כאשר עובד שוכח או מאבד התקן נייד עם מידע עליו, כל האבטחה בחדר השרתים לא שווה כלום. בהקשר זה נזכיר את המקרה ב-2013 של המחשב הנייד שנגנב ממנכ"ל הוועדה לאנרגיה אטומית בארץ. זוכרים?
אלו שמקטרגים את תשתית הענן בהיבט אבטחת מידע כדאי שיבחנו את תפיסת ההגנה שלהם בצורה הוליסטית. אם רוצים להשוות בין אבטחת מידע בענן ציבורי לכזו בחדר השרתים הפרטי, צריכים להתמקד בזה. שאר היבטי א?טחת מידע כמו איבוד התקנים ניידים או הדלפות של עובדים בארגון בסגנון סנאודן, רלוונטים לשני סוגי התשתית.
השוואה מקבילה בין ניהול פרטי של תשתית IT 'בבית' לבין ניהול תשתית זהה בענן ציבורי, ספק אם תצדיק את הנחת הביטחון הנגזרת מהמילה 'בית' או 'פרטי'. "למעט מאד ארגונים בעולם יש את המשאבים של ספק ענן גדול כמו גוגל, או את הניסיון שלו. אבטחת מידע תלויה ישירות בכמות המשאבים שיש לארגון, ולניסיון העבר שלו בהתמודדות עם התקפות סייבר", אומרים בגוגל.
ענן, לא רק לחברות הזנק
אמנם קהל היעד הטבעי לשירותי ענן כמו שגוגל מציעה אלו חברות הזנק, שרוצות לעבור מרעיון לאב טיפוס בכמה שעות או ימים וצריכות תשתית IT גמישה וזמינה, אבל בגוגל מציינים שהם מכוונים גם לחברות גדולות. כאלו עם מאות עובדים, וגם לחברות מסורתיות כמו בנקים, חברות ביטוח או משרדי ממשלה. וכן, גם לשירותי ביטחון.
"חברות שהתחילו כחברות הזנק והתפתחו לחברות גדולות, כמו Wix למשל, רואות בתשתית ענן פתרון מועדף. אלו חברות גדולות שמעסיקות מאות עובדים והן רוצות ליעל את תשתית ה-IT. חברת Wix עברה מפלאש ל-Html5 ובחרה בעקבות זאת בתשתית שלנו", אומר רגב.
"קהל נוסף אלו ארגונים מסורתיים כמו בנקים, חברות ביטוח או שירותי רפואה. אלו חברות שהדיון אתם הוא אחר. אחד האתגרים של חברות כאלו הוא העברת מערכות ישנות שנכתבו למשל בVB, לסביבת ענן. מדובר במערכות שהושקעו בהן מאות או אלפי שעות אדם והארגון עסוק כל הזמן לשדרג את המערכת לסביבה מתקדמת יותר כדי שהיא תמשיך לעבוד.
"תחת אילוצים אלו, יש ארגונים שמעבירים את מערכות הלגסי שלהם לענן רק כדי להוזיל את עלויות התחזוקה של סביבת ה-IT, ורק הפרוייקטים החדשים נהנים מיתרונות השימוש ב-PaaS. עם הזמן, הפרוייקטים החדשים מחליפים את מערכות הלגאסי.
"יש מצבים שבהם הארגון מחליט לגרוט את מערכת הלגאסי, ולבנות מערכת חדשה מראש בענן בשיטות פיתוח חדשות. צריך לזכור שאם עברת לענן ואתה לא נהנה מהיתרונות שלו, אלא רק החלפת שרת בשרת, הרווח שלך מהמעבר קטן מאד בהיבט טכנולוגי. גם אם בטווח הקצר חסכת כסף, בטווח הארוך אתה לא נהנה מיכולות חדשות כמו למשל אנאליטיקה בזמן אמת".
אחד האתגרים של גוגל הוא להעביר את התשתית הפרטית של הלקוח, כמו שהיא, לענן. "זה אחד החסמים שאנו צריכים להתמודד אתם", מסביר חינסקי. "כבר היום יש דוקומנטציה שמתבססת על תרחישים שאנו מכירים בכל העולם. יש גם אפשרות להרים תשתית בהתאם לצורך שאתה מגדיר לענן. אם אתה רוצה בסיס נתונים של Mongodb, התשתית שלנו תבנה אותה על בסיס תרחישים שאנו מכירים שעובדים טוב בעולם. יש לנו גם מהנדסי פתרונות בכל מדינה שעוזרים לך לעשות את המעבר לענן. בעתיד, כאשר נכריז על זה, תהיה גם יכולת מתקדמת יותר".
חוכמת הענן
רגב מסביר שהלקוח בענן יכול להשתמש גם בכלים שיאפשרו לו להשתמש בכוח של גוגל לחיזוי מגמות. אחד מהם, הוא הGoogle Prediction API. "מדובר ביכולת של גוגל לתת לחברה מסחרית להשתמש באלגוריתם החיזוי שלנו שמבוסס על לימוד מכונה. אתה צריך ללמד את ה-API הזה מה לחזות, ואז הוא נותן לך מגמות עתידיות", מסביר רגב.
"אחד הפרוייקטים הגדולים בתחום זה עשינו עם חברת Center Parcs באירופה. הם מנהלים כפרי נופש באירופה ועושים שימוש בשני APIים שלנו - BigQuery ו- Prediction API. הם יכולים להעריך בודאות גבוהה בהתאם לפרמטרים שונים, מה הסיכוי שלהם לגרום לך לבוא לחופשה נוספת בפרק זמן נתון. לפי זה הם מתכננים את השיווק שלהם. הם עברו לשיווק ממוקד ומפולח. בעזרת הכלים שלנו, הם יכולים להסיק מכמות ומגוון המצרכים שקנית במכולת של כפר הנופש, האם תחזור אליהם לחופשה נוספת בחצי שנה הקרובה".
בגוגל מסבירים שכיוון נוסף הוא לעשות איחוד בין יכולות ה-IaaS ל-PaaS. כלומר, הלקוח יכתוב קוד, והענן של גוגל יבנה לו ברקע, בצורה אוטומטית, את תשתית ה-IT הדרושה להרצת הקוד. אם צריך לפתוח מכונות וירטואליות, הן יוקמו אוטומטית. "בעולם של IaaS ו-PaaS הלקוח היום צריך להחליט במה לבחור. אחד האתגרים שלנו הוא לאחד בין העולמות הללו", אומר רגב.
"אבל זה השלב הראשון. בשלב השני אנחנו רוצים שהלקוח יעבוד עם 'מיכלים' (Containers). העולם של ה-VM הוא נחמד, אבל כמפתח אני רוצה יותר גמישות. בשבוע אחד גוגל מייצרת מיליארדי Containers. גוגל עובדת רק בתצורה כזו ומאפשרת להריץ Docker containers על תשתית הענן שלה. אין סיבה שהלקוחות שלנו לא יעבדו כמונו", מסכם רגב.
לכתבות נוספות באתר ISRAEL DEFENSE היכנסו לעמוד הפייסבוק החדש של nrg
נא להמתין לטעינת התגובות
אקו"ם