Paweł Gole, Securing. 1 InfoTRAMS "Cloud Computing Latajc c w chmurach"

Transkrypt

1 Paweł Gole, Securing 1 InfoTRAMS "Cloud Computing Latajc c w chmurach"

2 Agenda Cloud Computing co to właciwie jest Co jest moje w chmurze, co kontroluj Stare i nowe problemy bezpieczestwa Dostpno Interfejs administracyjny Bezpieczestwo infrastruktury Atak na innego usługobiorc Podatnoci typowe dla aplikacji internetowych 2

3 Krótkie wprowadzenie Cloud Computing to buzzword Everything Old Is New Again Dla nas istotne: Service i Deployment Models Service Models: IaaS, PaaS, SaaS Deployment Models: Private, Public, Community, Hybrid Przykłady 3 MS Azure, Amazon EC2, Google AppEngine Google Docs, Google AdWords, gry on-line(?)

4 Nad czym mam rzeczywist kontrol Oh Data, Where are Thou Gdzie s moje dane, gdzie s przetwarzane Co na to przepisy prawa Współdzielone zasoby, wielu klientów Co jest moje w IaaS, PaaS, SaaS Separacja klientów czy skuteczna Moje bezpieczestwo nie zaley ode mnie Dostawca usługi, inni klienci, i jak zawsze ONI... 4

5 Stare i nowe problemy bezpieczestwa Nowe problemy zwizane z bezpieczestwem Dostpno, nowe moliwoci ataku DoS Atak na interfejs administracyjny Atak na infrastruktur, platform, aplikacj Atak na innego usługobiorc i wiele innych raport ENISA Czy stare problemy s wci aktualne? Wiele aplikacji w cloud to aplikacje webowe Temat dobrze(?) znany (OWASP Top 10) 5

6 Cloud Computing Risk Assessment Raport przygotowany przez ENISA s/cloud-computing-risk-assessment Ryzyka specyficzne dla chmury (24): Policy and organizational risks (7) Technical risks (13) Legal risks (4) I pozostałe ryzyka (11) 6

7 Dostpno lepiej, ale i gorzej Jest lepiej, bo: Rozproszona infrastruktura Łatwe zwikszenie dostpnych zasobów Ale i gorzej, bo: Za zwikszenie zasobów trzeba zapłaci DoS: Granic jest nie tylko wydajno Wykorzystanie dostpnych limitów (EDoS)...jeszcze bardziej wymierne skutki finansowe Jak rozróni atak od... sukcesu Pay As You Go...? 7

8 Pay as THEY go... Biling dla Google AppEngine Biling dla Microsoft Azure 8

9 Interfejs administracyjny Interfejs administracyjny cz infrastruktury Współdzielony przez rónych klientów Czy jest bezpieczny Zwykle aplikacja internetowa Przejcie konta, przejcie zasobów Jeli nie interfejs, to człowiek Malware Phishing Kto odpowiada za bezpieczestwo? 9

10 Przykład: phishing na Google AdWords 10

11 Bezpieczestwo infrastruktury Ryzyko = prawdopodobiestwo x skutki Prawdopodobiestwo wystpienia Takie samo(?) jak dla tradycyjnych modeli...a moe i wiksze to wci nowe technologie Co z błdami 0-day Usługobiorcy zdani na dostawc Potencjalne skutki Wiksze ni w tradycyjnym modelu Wpływ na wszystkie hostowane aplikacje 11

12 One bug to rule them all 12

13 Atak na innego usługobiorc Atak na innego uytkownika chmury DoS tym razem na platform Interfejsy administracyjne tym razem od rodka Atak na platform i inne czci wspólne Jak ciko jest zosta uytkownikiem chmury Skoro chmura jest publiczna... Nasze bezpieczestwo nie zaley od nas Jak cz bezpieczestwa kontrolujemy Czy inni (dostawcy, klienci) równie o nie dbaj 13

14 To jest (zwykle) aplikacja webowa Aplikacje webowe zawieraj błdy Niektóre frameworki s bezpieczniejsze Mniejsze prawdopodobiestwo błdu Nie ma rozwizania absolutnie bezpiecznego Czy chmura ma by z załoenia bezpieczna? Bezpieczestwo aplikacji nadal wane Open Web Aplication Security Project Top 25 Most Dangerous Programming Errors 14

15 OWASP Top10, OWASP Cloud Najwaniejsze podatnoci Wane te w chmurze OWASP Cloud 10 Project Wicej informacji 15

16 Inne problemy Poufno, Integralno Ciekawy temat: side channels Badanie incydentów Gdzie szukaladów? Jak je zabezpieczy? Zgodno z przepisami prawa Prawo nie nada za technologi Naduycia chmury Czy chmura to botnet, czy botnet to chmura? 16

17 Podsumowanie Niektóre zagroenia s ograniczane Typowe podatnoci i błdy nie znikaj Trzeba myle o bezpieczestwie Trzeba zrobi nowy model zagroe Bezpieczestwo trzeba testowa Typowe, znane podatnoci aplikacji webowych Nowe, specyficzne dla chmury zagroenia Jak testowa bezpieczestwo w chmurze? 17

18 Pytania? Paweł Gole 18 Ikony: