Bezpieczeństwo chmury obliczeniowej dr inż. Piotr Boryło

Transkrypt

1 Bezpieczeństwo chmury obliczeniowej dr inż. Piotr Boryło

2 Agenda» Definicja» Kto jest odpowiedzialny za bezpieczeństwo?» Najważniejsze komponenty i mechanizmy» Dobre praktyki i zalecenia» Przykłady usług i aplikacji» Dyskusja

3 Definicja» Trudno znaleźć pierwsze i wiarygodne źródło podające kompletna definicję» Z syntezy wielu przyjmijmy Bezpieczeństwo zdolność do ochrony informacji, systemów i infrastruktury z równoczesnym dostarczaniem wartości biznesowej

4 Definicja» Czy to jest definicja w jakiś sposób specyficzna dla chmury? Bezpieczeństwo zdolność do ochrony informacji, systemów i infrastruktury z równoczesnym dostarczaniem wartości biznesowej

5 Definicja Bezpieczeństwo chmury zdolność do ochrony informacji przechowywanych w chmurze, systemów uruchamianych w chmurze i infrastruktury chmury z równoczesnym dostarczaniem wartości biznesowej za pośrednictwem chmury

6 Kto jest odpowiedzialny?» Kto może być odpowiedzialny? Operator Klient» Kto jest odpowiedzialny?» Jakie są wymiary bezpieczeństwa Bezpieczeństwo chmury Bezpieczeńtwo w chmurze

7 Kto jest odpowiedzialny?» Jakie są wymiary bezpieczeństwa Bezpieczeństwo chmury Bezpieczeńtwo w chmurze» Kto jest odpowiedzialny za który wymiar?» Skupimy się przede wszystkim na wymiarze dotyczącym użytkownika» Bepieczeństwo chmury poglądowo teraz

8 Kto jest odpowiedzialny?

9 Bezpieczeństwo chmury» Operator jest odpowiedzialny za wszystko co niezbędne by dostarczyć klientowi usługi w sposób bezpieczny Infrastruktura fizyczna Sprzęt Oprogramowanie Sieci

10 Bezpieczeństwo chmury» Technicznie wszystko co poniżej poziomu nadzorcy wirtualizacji» Dodatkowo i opcjonalnie: Certyfikacja i atesty pozyskiwane od zewnętrznych instytucji i urzędów Poświadczenia dla użytkownika Publikacje informacji na temat bezpieczeństwa

11 Bezpieczeństwo w chmurze» Główna tematyka tego wykładu» Użytkownik jest odpowiedzialny za swoje zasoby w chmurze, np. Szyfrowanie danych Systemy operacyjne Sieć (zapory sieciowe) Aplikacje Konta użytkowników Publikowane treści

12 Bezpieczeństwo w chmurze» Poziom wymaganego zaangażowania zależy od model w jakim korzystamy z chmury IaaS PaaS SaaS» W którym modelu użytkownik ponosi największą odpowiedzialność?

13

14 Najważniejsze komponenty i mechanizmy» Ochrona infrastruktury» Uwierzytelnianie i autoryzacja» Bezpieczeństwo danych Komunikacja Przechowywanie» Monitoring

15 Uwierzytelnianie i autoryzacja» Metody uwierzytelniania w chmurze? GUI: login i hasło Konsola: klucze SDK: klucze» Słabe punkty każdej z metod?» Możliwości dodatkowych zabezpieczeń?» Czy któraś jest jedyną słuszną?

16 Uwierzytelnianie i autoryzacja» Metody uwierzytelniania w chmurze?» Słabe punkty każdej z metod? GUI: człowiek Klucze: kradzież, dobrowolne ujawnienie» Możliwości dodatkowych zabezpieczeń?» Czy któraś jest jedyną słuszną?

17 Uwierzytelnianie i autoryzacja» Metody uwierzytelniania w chmurze?» Słabe punkty każdej z metod?» Możliwości dodatkowych zabezpieczeń? MFA Usługi zarządzania kluczami Nadawanie uprawnień aplikacjom» Czy któraś jest jedyną słuszną?

18 Uwierzytelnianie i autoryzacja» Identity and Access Management Konta Użytkownicy Grupy Role i uprawnienia Zasoby» Drobne różnice w nomenklaturze pomiędzy operatorami + ikonografiki

19 Uwierzytelnianie i autoryzacja

20 Uwierzytelnianie i autoryzacja

21 Uwierzytelnianie i autoryzacja» Dodatkowe ułatwienia w postaci gotowych zestawów uprawnień, np. Dla serwera aplikacji do kontaktów z bazą danych Pobieranie statycznych plików strony www Dla systemu bazodanowego do tworzenia i przechowywania kopii zapasowych bazy

22 Uwierzytelnianie i autoryzacja» Dodatkowe ułatwienia w zakresie dystrybucji kluczy i uprawnień Nadanie uprawnień maszynie wirtualnej sprawia, że wszystkie aplikacje działają z takimi uprawnieniami (nie trzeba zapisywać kluczy w konfiguracji) Możliwość tymczasowego przekazania uprawnień, np. admina, bez udostępniania hasła

23 Uwierzytelnianie i autoryzacja» Ułatwienia w zakresie lokalnych katalogów użytkowników Przenieś swój katalog do chmury Używają konto z lokalnego katalogu w chmurze Synchronizuj katalog w chmurze i lokalny» Uprawnienia tymczasowe per logowanie» SSO, zaufane poświadczenie: FB, Google

24 Uwierzytelnianie i autoryzacja» Dobre praktyki Usunąć klucze dla konta admina Jeden użytkownik jedno konto Korzystanie z grup Nadawanie jak najmniej uprawnień Wymuszenie silnych haseł + MFA Korzystanie z ról i uprawnień Rotowanie danych logowania Sprzątanie (konta i uprawnienia)

25 Bezpieczeństwo danych» W zakresie komunikacji (wymiany danych) Data in trasit» W zakresie przechowywania danych Data in rest

26 Bezpieczeństwo danych» W zakresie komunikacji kwestie bezpieczeństwa rozwiązuje się na kilka sposobów Konfiguracja sieci Zapory sieciowe Szyfrowanie transmisji

27 Bezpieczeństwo danych» Konfiguracja sieci Umieszczanie chronionego zasobu w prywatnej sieci Network Address Translation Virtual Private Network Wysoka skuteczność Szczególnie jeśli maszyna jest całkowicie nieosiągalna Niewielka elastyczność konfiguracji

28 Bezpieczeństwo danych» Zapory sieciowe Pozwalają filtrować ruch z dokładnością do poszczególnych portów i adresów IP Pewien narzut wydajnościowy i konfiguracyjny Dwa podejścia do realizacji: Klasyczne (DMZ) Zapora dedykowana dla maszyny

29 Bezpieczeństwo danych» Szyfrowanie transmisji Korzystanie z bezpiecznych punktów końcowych Przede wszystkim HTTPS uniemożliwia przechwytywanie ruchu

30 Bezpieczeństwo danych» W zakresie przechowywania danych Klucze symetryczne Hierarchiczne klucze symetryczne Jeden wiodący model implementacji czyli czym to się różni w chmurze

31 Bezpieczeństwo danych» Klucze symetryczne Jak działa klucz symetryczny? Jakie są alternatywy? Dlaczego akurat symetryczny? Dlaczego wady symetrycznego klucza nie są tutaj aż tak istotne?

32 Bezpieczeństwo danych» Ogólna zasada działania

33 Bezpieczeństwo danych» Potrzeba istnienia klucza nadrzędnego» Ale klucz nadrzędny też trzeba bezpiecznie przechować» Można tak w nieskończoność» Rotacja kluczy!

34 Bezpieczeństwo danych» Zwykle tylko dwa poziomy zagnieżdżenia» Klucz danych unikalny dla pojedynczego zasobu» Klucz główny nigdy nie opuszcza systemu zarządzania kluczami zintegrowanego z innymi usługami» Ale co to jest system zarządzania kluczami?!

35 Możliwe podejścia

36 Cloud HSM» Dodatkowy poziom zabezpieczeń» Sprzętowe repozytorium kluczy i prowadzenia operacji szyfrowania» Odporność wynika z izolacji sprzętowej» Pomaga spełnić wymagania i normy» Powszechnie w ofercie dostawców z integracją z systemem zarządzania kluczami

37 Inne możliwości szyfrowania?» Gdzie w przedstawionym modelu odbywa się szyfrowanie?» Gdzie jeszcze mogłoby się odbywać?» Dwa warianty: Server-Side Encryption Client-Side Encyrption» Dla client-side zwykle też oferowana jest usługa

38 Inne mechanizmy?» Inne sposoby zabezpieczania przechowywanych danych? Ograniczanie dostępu Logowanie aktywności (uniwersalne dla różnych usług, nie tylko przechowywania danych)

39 Ograniczanie dostępu» Nic innego jak reguły, podobne do tych w zaporach sprzętowych, ale» Dużo większa szczegółowość: Per pojedynczy zasób/grupa zasobów Per użytkownik/grupa użytkowników W zależności od czasu Tymczasowe uprawnienia I wiele innych

40 Bezpieczeństwo danych - podsumowanie» W zakresie komunikacji (wymiany danych) Konfiguracja sieci Zapory sieciowe Szyfrowanie transmisji» W zakresie przechowywania danych Szyfrowanie (serwer, klient) Ograniczanie dostępu Logowanie aktywności

41 Bezpieczeństwo danych - podsumowanie» Wszystko to realizowane jest w podobny sposób: Przez różnych operatorów Dla różnych rodzajów usług przechowywania danych? Obiekty Dyski wirtualne bądź fizyczne Bazy danych

42 Logowanie aktywności (monitoring)» Z reguły pakiet usług od dostawcy chmury» Monitorowanie wszystkich akcji: Różne kanały dostępu Wielu użytkowników Zasoby o różnej wrażliwości» W efekcie klęska urodzaju

43 Logowanie aktywności (monitoring)» Zintegrowane usługi: Backup Powiadomienia i alarmy Automatyczne wyzwalanie działań Narzędzia do analizy danych Narzędzia do przygotowywania raportów Dokumentacja na potrzeby audytów

44 Agenda» Definicja» Kto jest odpowiedzialny za bezpieczeństwo?» Najważniejsze komponenty i mechanizmy» Dobre praktyki i zalecenia» Przykłady usług i aplikacji» Dyskusja

45 Dobre praktyki i zalecenia» Izolacja zasobów na każdym poziomie» Szyfruj dane (przesyłane i przechowywane)» Nadawaj możliwie najmniej uprawnień» Używaj wieloczynnikowego uwierzytelniania» Wykorzystuj usługi operatora» Loguj aktywność» Automatyzuj akcje bezpieczeństwa

46 Aktywizacja!!» Na rozgrzewkę: co to jest współdzielona odpowiedzialność?» Nieco trudniej: co to znaczy izolacja na każdym poziomie?» Wymagana kreatywność: Co w zakresie bezpieczeństwa można automatyzować?

47 Przykłady usług» Przytaczam dla trzech największych operatorów» Ze względu na mnogość usług i potrzebę kompleksowego zapewniania bezpieczeństwa tych usług jest dużo» Szczegółowa dokumentacja

48 Przykłady usług» Szczegółowa dokumentacja

49

50 Google Cloud» Shielded VMs» Encryption in transit» Application Layer Transport Security» Cloud KMS» Cloud HSM» Cloud IAM» Security Keys» Activity Logs

51 Microsoft Azure

52 Microsoft Azure

53 Microsoft Azure

54 Dyskusja» Co jest bezpieczniejsze lokalne centrum danych czy chmura obliczeniowa?? i dlaczego papierowy notatnik

55 Dyskusja» Jakie zagrożenia przynosi chmura?» Jakie możliwości w zakresie bezpieczeństwa daje chmura?» Jakie obowiązki eliminuje chmura?» Jakie ograniczenia niesie chmura?» Czy ufamy operatorowi?» Czy ufamy urządzeniom jakie zainstalował operator?

56 Q&A Dziękuję za uwagę!