XXXII Simpósio Brasileiro de Redes de Computadores - PDF
XXXII Simpósio Brasileiro de Redes de Computadores
Download "XXXII Simpósio Brasileiro de Redes de Computadores"
Eugénio Belmonte Valverde
1 XXXII Simpósio Brasileiro de Redes de Computadores Análise de Segurança para Soluções de Computação em Nuvem Charles Christian Miers (UDESC) Guilherme Piegas Koslovski (UDESC) Marcos Antonio Simplicio Jr. (USP) Tereza Cristina Melo de Brito Carvalho (USP) - Fernando Frota Redígolo (USP) Bruno Bastos Rodrigues(USP) Bruno Medeiros de Barros (USP) Nelson Mimura Gonzalez (USP) Marco Antonio Torrez Rojas (USP) Leonardo Horn Iwaya (USP)
2 Objetivos do minicurso Objetivo geral: apresentar preocupações e soluções de segurança inerentes aos recursos dentro de nuvens computacionais, utilizando como estudo de caso a plataforma OpenStack Havana Objetivos específicos: Entendimento dos conceitos básicos envolvidos Elencar as principais questões de segurança relacionadas a nuvens computacionais Análise inicial da plataforma OpenStack Havana 2
3 Agenda Conceitos básicos de computação em nuvem Guias de segurança para computação em nuvem Guias de segurança para virtualização Segurança em nuvens computacionais Estudo de caso API OpenStack Havana 3
4 Conceitos básicos de computação em nuvem Data center e utility computing Definição de computação em nuvem Principais características Modelos de serviço Modelo de implantação Arquitetura de referência NIST 4
5 Conceitos básicos: Data centers Data centers fornecem uma grande capacidade computacional, porém com demanda limitada Exemplo: Entrega do Imposto de Renda A maioria das declarações são entregues no último dia Caso seja contratado processamento de um provedor: Os servidores ficarão ociosos parte do tempo Cluster deverá ser manualmente reconfigurado para atender a demanda final Faltarão recursos para a aplicação Alternativa: como seria se estes recursos computacionais fossem similares a forma como água e luz são consumidas? 5
6 Conceitos básicos: Utility computing Utility computing ou computação sob demanda: Recursos Computacionais são: Fornecidos automaticamente conforme a necessidade Tarifados de acordo com o consumo Exemplos de uso: Oferecer serviços sem precisar comprar infraestrutura Baixo custo de investimento para novas empresas de serviços Atender de forma automática picos em demanda Pensem no último dia de submissão do Imposto de Renda 6
7 Conceitos básicos: Utility computing vs. Data center Data Centers fornecem utility computing limitado : Data centers tradicionais: Eu recebo o que pago Utility computing: Eu pago o que recebo Data centers geralmente não possuem mecanismos para alocar automaticamente recursos para os usuários conforme a demanda Alocação é comumente realizada manualmente e em geral é estática 7
8 Conceitos básicos: Serviço sob demanda 8
9 9 Conceitos básicos: Evolução
10 Conceitos básicos: Computação em nuvem Paradigma no qual os recursos computacionais residem em data centers distribuídos, sendo oferecidos como serviços de forma escalável e elástica e utilizados de forma transparente de qualquer lugar Recursos podem ser aplicações, armazenamento, middleware, processamento, etc. 10
11 Conceitos básicos: Composição das nuvens computacionais Nuvens computacionais são compostas por diversos elementos, alguns deles já utilizados há várias décadas: Máquinas virtuais E.g., Xen, VMware, KVM, etc. Sistemas operacionais E.g., GNU/Linux, MS-Windows, BSD, etc. Aplicações E.g., Apache, NFS, etc. Protocolos de comunicação E.g., HTTP, Web Services, Rest, etc. Inovação está no modo de integrar e gerenciar todos estes elementos Novos recursos e abordagens de integração 11
12 Conceitos básicos: Definição: Computação em nuvem Não há uma definição única na literatura Termo guarda-chuva para se referir a serviços e desenvolvimento de software baseado na Internet Definição mais aceita é a do NIST: Cloud computing is a model for enabling ubiquitous, convenient, on-demand network access to a shared pool of configurable computing resources (e.g., networks, servers, storage, applications, and services) that can be rapidly provisioned and released with minimal management effort or service provider interaction. 12
13 Conceitos básicos: Características: Computação em nuvem Cinco características essenciais (NIST): On-demand self-servisse Pool de recursos com independência de localização Acesso via rede Elasticidade Serviço mensurável 13
14 Conceitos básicos: Modelos: Computação em nuvem Modelo de Aquisição Baseado em serviço Modelo de Negócios Baseado em uso Me interessam apenas os resultados, não como as instalações de TI são implementadas Quero pagar pelo que eu uso, como um serviço sob demanda Modelo de Acesso Internet, Intranet Quero acessar serviços de qualquer lugar, usando qualquer dispositivo Modelo Técnico Dinâmico, flexível Quero aumentar ou reduzir a capacidade alocada, conforme necessidade 14
15 Conceitos básicos: Classificações: Computação em nuvem Nuvens chegaram ao mercado antes de uma padronização Resultado: Nomes de produtos vs. tipos Taxonomia mais aceita é a proposta do NIST: Modelo SPI Modelos de implantação Arquitetura de referência 15
16 Conceitos básicos: Classificações: Computação em nuvem Modelo NIST/SPI Software/Platform/Infrastructure: SaaS (Software as a Service) PaaS (Platform as a Service) IaaS (Infrastructure as a Service) 16
17 17 Conceitos básicos: Classificações: Computação em nuvem
18 Conceitos básicos: Classificações: Computação em nuvem SaaS, PaaS, IaaS (SPI): nomenclatura NIST Outros *aas também existem na literatura: Storage as a Service (STaaS): espaço de armazenamento Security as a Service (SECaaS): serviços como autenticação, antivirus e detecção de intrusão Data as a Service (DaaS): semelhante ao SaaS, mas com foco em aplicações cujo principal atrativo são os dados Exemplo: informações geográficas Desktop as a Service (DaaS): virtualização de desktop... Nem sempre a classificação é óbvia, por mais abrangente que seja a taxonomia usada 18
19 Conceitos básicos: Classificações: Computação em nuvem 19 Fonte: A Taxonomy Model for Cloud Computing Services, CLOSER (2011)
20 Conceitos básicos: Classificações: Computação em nuvem Modelo de implantação (NIST): Nuvem Privada Nuvem Comunitária Nuvem Pública Nuvem Híbrida 20
21 Conceitos básicos: Classificações: Computação em nuvem Cada abordagem de implantação possui seus benefícios de acordo com os objetivos de quem está contratando o serviço de nuvem: Nuvens privadas garantem uma maior segurança e controle sobre os ativos armazenados Nuvem é mantida em uma rede particular Nuvens públicas oferecem uma eficiência maior para recursos compartilhados Estão expostas ao público geral, carregam consigo maiores preocupações com segurança Nuvens comunitárias podem ser entendidas como uma nuvem de nuvens Cada parte sendo acessível pelas organizações que compartilham as infraestruturas que compõem a nuvem completa 21 Nuvens híbridas podem combinar as características de duas ou mais abordagens de implantação
22 Conceitos básicos: Classificações: Computação em nuvem Modelo Implantação Gerência Propriedade Localização Segurança Pública Terceiros Terceiros Externa ou Interna Privada Própria Própria ou Terceiros Comunitária Híbrida Própria ou Terceiros Própria ou Terceiros Própria ou Terceiros Própria ou Terceiros Interna Externa ou Interna Externa ou Interna Baixa Alta Média Média 22
23 23 Conceitos básicos: Visão geral: Computação em nuvem
24 24 Conceitos básicos: Modelo de referência NIST
25 Guias de segurança para computação em nuvem NIST CSA ENISA Comparativo: NIST vs. CSA vs. ENISA 25
26 Guias de segurança: específicos para computação em nuvem A computação em nuvem já possui materiais de referência que cobrem os aspectos gerais de segurança, providos na forma de documentos, guias e padrões Principais guias foram elaborados por: CSA Cloud Security Alliance https://cloudsecurityalliance.org/ ENISA - European Network and Information Security Agency https://www.enisa.europa.eu/ NIST - National Institute of Standards and Technology 26
27 Guias de segurança em nuvem: NIST Em resposta a um pedido do governo dos Estados Unidos para acelerar a adoção governamental da computação em nuvem, o NIST elaborou um guia voltado para segurança e privacidade SP : Guidelines on security and privacy in public cloud computing Afirma que as organizações que utilizam uma abordagem de computação em nuvens privadas possuem um maior nível de controle sobre os dados Documento é focado em abordagens de computação em nuvens públicas 27
28 28 Guias de segurança em nuvem: NIST
29 29 Guias de segurança em nuvem: NIST
30 Guias de segurança em nuvem: NIST: Governança e Conformidade O termo governança refere-se ao conjunto de políticas, funções, responsabilidades e processos que devem ser estabelecidos para orientar, direcionar e controlar como a organização usa tecnologias para atingir as metas corporativas Conjunto de normas estabelecidas para atingir um determinado objetivo A conformidade indica se a organização atende às normas, leis e regulamentos em questão 30
31 31 Guias de segurança em nuvem: NIST
32 Guias de segurança em nuvem: NIST: Confiança Ameaças internas (usuários internos ou inquilinos maliciosos) as quais representam um risco sobre os dados hospedados na nuvem Propriedade dos dados na nuvem e potenciais problemas de violação de propriedade intelectual Dificuldade em gerenciar a visibilidade dos inquilinos sobre os controles de segurança utilizados na nuvem Ao mesmo tempo que tal visibilidade é essencial para que usuários avaliem os riscos aos quais seus sistemas hospedados na nuvem estão expostos, ela também facilita ataques por inquilinos maliciosos 32 Questões relativas aos dados adicionais que surgem quando uma entidade adota o serviço de nuvem Exemplo: informações bancárias usadas no pagamento pelos serviços do provedor de nuvem, as quais também devem ser protegidas
33 33 Guias de segurança em nuvem: NIST
34 Guias de segurança em nuvem: NIST: Arquitetura Segurança sobre os sistemas de software utilizados na nuvem Introdução de hypervisors aumenta a superfície de ataque na computação em nuvem, comparando com data centers tradicionais O tráfego de dados que fica restrito a redes virtuais pode não ser visível para ferramentas de segurança tradicionais de rede (e.g., firewalls, IDS/IPS, etc.) potencialmente reduzindo sua efetividade 34
35 Guias de segurança em nuvem: NIST: Arquitetura Necessidade do uso de ferramentas especialmente adaptadas para monitorar redes virtuais e recursos virtualizados Dados sobre as imagens de máquinas virtuais e serviços da nuvem podem conter informações relevantes para atacantes Necessidade de cuidados especiais Levanta aspectos de segurança do navegador web do cliente, a ferramenta básica para acesso aos serviços da nuvem 35
36 Guias de segurança em nuvem: NIST: Arquitetura Dados das imagens precisam ser transmitidos do local de armazenamento para o local de execução (e.g., hypervisor) 36
37 37 Guias de segurança em nuvem: NIST
38 Guias de segurança em nuvem: NIST: Gerenciamento de identidade e acesso Foco no uso de autenticação: SAML (Security Assertion Markup Language) Foco no controle de acesso: XACML (extensible Access Control Markup Language) Descreve uma linguagem para políticas de acesso e um formato para mensagens de requisição e resposta 38
39 39 Guias de segurança em nuvem: NIST
40 Guias de segurança em nuvem: NIST: Isolamento de software Ameaças derivadas diretamente do fato das nuvens apresentarem a característica de multi-tenancy Diversos usuários compartilhando o mesmo equipamento físico Principais problemas em decorrência de interferências negativas entre VMs Especialmente se uma VM for capaz de escapar ao ambiente a ela reservado pelo monitor de máquinas virtuais 40
41 41 Guias de segurança em nuvem: NIST
42 Guias de segurança em nuvem: NIST: Proteção dos dados Diferenças entre: Modelo multi-tenancy: dados de diferentes usuários são colocados em um único repositório Modelo multi-instâncias no qual cada usuário usa e administra um repositório de dados separado 42 Exclusão segura dos dados Eliminação lógica e física Essencial para garantir a confidencialidade e a privacidade dos dados dos usuários da nuvem
43 43 Guias de segurança em nuvem: NIST
44 Guias de segurança em nuvem: NIST: Disponibilidade Ameaças indiretas provenientes do compartilhamento de um mesmo fornecedor de nuvem com uma organização que tem um grande potencial de sofrer ataques de negação de serviço (Denial of Service - DoS) Ataques de DoS podem afetar a qualidade dos serviços providos na nuvem Pode impactar em todos os inquilinos da nuvem atacada 44
45 45 Guias de segurança em nuvem: NIST
46 Guias de segurança em nuvem: NIST: Resposta a incidentes Ressalta o papel fundamental do provedor de nuvem em detectar a ocorrência de ataques e agir de acordo Necessidade do provedor de nuvem de fornecer acesso a dados detalhados de incidentes para permitir que os inquilinos afetados também possam participar deste processo 46
47 Guias de segurança em nuvem: NIST: Recomendações Agrupadas de acordo com as questões discutidas: Governança: Estender práticas organizacionais para englobar políticas, procedimentos e padrões utilizados para o desenvolvimento de aplicações Provisionamento de serviços na nuvem Uso de ferramentas de auditoria para aferir provisionamento 47
48 Guias de segurança em nuvem: NIST: Recomendações Agrupadas de acordo com as questões discutidas: Conformidade: Entender os diversos tipos de leis e regulamentações de segurança e privacidade que se aplicam à organização, Identificar impactos nas iniciativas de migração de serviços para a nuvem Verificar aspectos legais para que não apresentam conflitos com o contrato firmado com o provedor de nuvem ou com os aspectos operacionais 48
49 49 Guias de segurança em nuvem: NIST: Recomendações Agrupadas de acordo com as questões discutidas: Confiança: Garantir que os acordos de serviço firmados incluam visibilidade suficiente sobre os processos de controle de privacidade e segurança Permitir o monitoramento de seu desempenho Estabelecer claramente os direitos de propriedade sobre os dados Instituir um programa de gerenciamento de riscos que seja flexível o suficiente para adaptar-se constantemente ao ciclo de vida do sistema hospedado na nuvem Monitorar continuamente a segurança do sistema de informação para dar suporte às decisões resultantes do processo de gerenciamento de riscos
50 Guias de segurança em nuvem: NIST: Recomendações Agrupadas de acordo com as questões discutidas: Arquitetura: Compreender as tecnologias de camadas inferiores que a nuvem utiliza para provisionar serviços Especialmente relacionado ao seu impacto sobre a segurança e privacidade do sistema, sobre o seu ciclo de vida e sobre seus componentes Gerenciamento de identidade e acesso: Garantir que existem medidas adequadas para prover segurança aos processos de autenticação, autorização, controle de acesso e de identidades 50
51 Guias de segurança em nuvem: NIST: Recomendações Agrupadas de acordo com as questões discutidas: Isolamento de Software: Entender a virtualização e outras técnicas lógicas de isolamento que o provedor da nuvem utiliza em sua arquitetura para dar suporte a múltiplos inquilinos Avaliar os riscos envolvidos para a organização 51 Proteção dos Dados: Avaliar a adequação de soluções de gerenciamento de dados e de chaves criptográficas fornecidas pelo provedor de nuvem para gerenciar os dados organizacionais hospedados na nuvem Avaliar a capacidade de prover acesso aos dados e protegê-los durante todo o seu ciclo de vida Ponderar sobre os riscos de se hospedar os dados no mesmo ambiente em que organizações que podem ser alvos preferenciais de ataques
52 Guias de segurança em nuvem: NIST: Recomendações Agrupadas de acordo com as questões discutidas: Disponibilidade: Compreender os itens previstos no contrato com relação a disponibilidade, backup e recuperação de desastres, Garantir que os itens previstos estejam de acordo com os planos de contingência e continuidade de negócios da organização 52
53 53 Guias de segurança em nuvem: NIST: Recomendações Agrupadas de acordo com as questões discutidas: Resposta a Incidentes: Compreender os itens previstos no contrato relativos à responsabilidade sobre incidentes Garantir que os procedimentos descritos estejam de acordo com os requisitos da organização Assegurar que o provedor tenha um processo transparente de resposta a incidentes Mecanismos suficientes para disponibilizar informações antes e durante o incidente Garantir que a organização e o provedor são capazes de responder a incidentes de forma coordenada Conforme as suas devidas responsabilidades sobre o ambiente de nuvem
54 Guias de segurança em nuvem: CSA A CSA é uma organização sem fins lucrativos, fundada no final de 2008 em uma iniciativa para reforçar a segurança da computação em nuvem Membros fundadores são principalmente representantes industriais, corporações e associações DMTF, ITU, OWASP, Dell, Ericsson, HP, Oracle, Orange, Red Hat, RSA, Amazon, Dropbox, ebay, Salesforce,... https://cloudsecurityalliance.org/membership/corporate/ 54
55 Guias de segurança em nuvem: CSA Elaboração do guia Security guidance for critical areas of focus in cloud computing v3.0 Principal objetivo é incentivar a adoção de boas práticas para promover a segurança nos ambientes de computação em nuvem Dividido em três seções: o Arquitetura da nuvem o Governança da nuvem o Operações na nuvem Identifica treze questões de segurança 55
56 Guias de segurança em nuvem: CSA 56
57 Guias de segurança em nuvem: CSA 57
58 58 Guias de segurança em nuvem: CSA
59 Guias de segurança em nuvem: CSA: Governança e Gerenciamento de Risco Empresarial (questão 1): Zelo com os processos organizacionais da segurança da informação Destaca os acordos de níveis de serviço (SLAs) Requisitos de segurança devem ser especificados nesse documento e reforçadas por um contrato Gerenciamento de risco deve avaliar o fornecedor da nuvem e terceiros com quem o provedor está envolvido 59
60 Guias de segurança em nuvem: CSA: As questões 2 e 3 discutem a conformidade com regulamentações governamentais, normas da própria organização, aspectos legais Exemplo: propriedade intelectual, responsabilidades,... Estabelece como estas regras podem influenciar a segurança interna da organização A questão 4 descreve diversos aspectos relacionados à manipulação dos dados, como segurança, localização, gerenciamento da informação Estabelece modos nos quais os dados devem ser gerenciados para evitar vulnerabilidades que possam expor os dados armazenados 60
61 Guias de segurança em nuvem: CSA 61
62 62 Guias de segurança em nuvem: CSA
63 Guias de segurança em nuvem: CSA: Portabilidade e interoperabilidade (questão 5) Especifica as possíveis razões para migrar os dados para o modelo de nuvem Ressalta que a computação em nuvem ainda carece de uma padronização de diversos fatores Dificuldade para a interoperabilidade de serviços Dificuldade de migrar serviços de um provedor de nuvem para outro 63 Reconhece a contribuição das plataformas de nuvem Open Source para mitigar esse problema Contribuem para o aumento da interoperabilidade entre provedores através da divulgação de seus códigos e adoção de interfaces padronizadas Exemplos: Open Cloud Computing Interface OCCI e Virtual Infrastructure Modeling Language - VXDL
64 Guias de segurança em nuvem: CSA: Segurança tradicional, continuidade de negócios e recuperação de desastres (questão 6) Reforça que um SLA por si só não é suficiente para garantir que os serviços do usuário estarão seguros na nuvem Necessidade da verificação constante dos pilares da segurança: confidencialidade, integridade e disponibilidade Operações de data centers (questão 7) Questões que devem ser consideradas no momento da escolha do provedor de nuvem Atenção aos seguintes pontos: auditoria, disponibilidade, desempenho, gerenciamento de atualizações, compartimentalização e suporte 64
65 Guias de segurança em nuvem: CSA: Responsabilidade sobre incidentes, notificações e correções (questão 8) Informa sobre ferramentas de detecção de incidentes Reforça a análise para obtenção de informações das ferramentas para a prevenção de incidentes Aplicações seguras (questão 9) Descrição do ciclo de desenvolvimento de aplicações, técnicas para garantir a segurança da informação Incluindo mecanismos de autenticação, autorização e verificação de conformidade, gerenciamento de identidades, entre outros Avaliação de vulnerabilidades através de testes de penetração periódicos Fornece maiores garantias sobre a segurança da aplicação 65
66 Guias de segurança em nuvem: CSA 66
67 67 Guias de segurança em nuvem: CSA
68 Guias de segurança em nuvem: CSA: Gerenciamento de chaves e cifragem (questão 10): Ênfase para a segurança da comunicação entre hosts Destaque à comunicação interna na rede do provedor. Característica de multi-tenancy da nuvem torna o gerenciamento de chaves complexo 68
69 Guias de segurança em nuvem: CSA: Identidade e gerenciamento de acesso (questão 11) Reforça a verificação de identidades na nuvem Identifica aspectos que devem ser levados em consideração ao implementar um mecanismo de identidades para esse ambiente Provisionamento de identidades, autenticação, entre outros, dando-se ênfase à dificuldade de construir soluções escaláveis no modelo em nuvem Grande número e diversidade de identidades e atributos nesse ambiente (de usuários, organizações, dispositivos, etc. 69
70 Guias de segurança em nuvem: CSA: Virtualização (questão 12): Aspectos de segurança da virtualização em si, considerando elementos como as máquinas virtuais, o hypervisor, entre outros Segurança como serviço (questão 13): Realça a diferenciação do modelo de segurança da computação em nuvem em relação ao modelo tradicional de data centers Abordados aspectos como práticas de implementação, benefícios de se implementar a segurança como serviço e a variedade de serviços que podem ser assim categorizados 70
71 Guias de segurança em nuvem: CSA: Recomendações Agrupadas de acordo com as questões discutidas: Governança e Gerenciamento de Risco Empresarial: Reinvestir o capital economizado com a adoção da nuvem em ferramentas que permitam verificar a segurança do provedor de nuvem Implantação de controles de segurança Realização de vistorias e auditorias Levar em consideração aspectos de segurança no processo de escolha de um provedor de nuvem Considerar controles estabelecidos, capacidade de desenvolvimento de um processo colaborativo de governança e obrigações previstas em contratos de SLA Adoção de métricas e padrões para medir o desempenho e a efetividade do gerenciamento de segurança da informação na nuvem 71
72 Guias de segurança em nuvem: CSA: Recomendações Agrupadas de acordo com as questões discutidas: Aspectos Legais: Contratos e descoberta eletrônica: Não são disponibilizadas recomendações específicas no documento porque a legislação envolvida sofre mudanças de país para país 72 Conformidade e Auditoria: Utilizar auditores especializados no modelo de nuvem para verificar a aplicabilidade de controles (novos ou existentes) a esse ambiente Contratos de SLA devem ser revisados por terceiros para garantir conformidade com requisitos legais e regulamentações vigentes
73 Guias de segurança em nuvem: CSA: Recomendações Agrupadas de acordo com as questões discutidas: Gerenciamento de Informação e Segurança dos Dados: Compreender a arquitetura de armazenamento de dados adotada pelo provedor Preferir soluções com dispersão de dados quando disponíveis Monitorar bases de dados na nuvem para identificar a exposição de dados sensíveis ou violações de políticas de segurança no seu tratamento Cifrar dados sensíveis durante todo o seu ciclo de vida, da criação ao descarte 73
74 74 Guias de segurança em nuvem: CSA: Recomendações Agrupadas de acordo com as questões discutidas: Interoperabilidade e portabilidade: Interoperabilidade: Recomenda a adoção de soluções de segurança padronizadas e abertas, as quais devem ser bem compreendidas Virtualizar na medida do possível (máquinas virtuais, redes virtuais, etc.) para evitar diversos (embora não todos) os problemas em nível hardware. Portabilidade: Considerar aspectos diversos que impactam na migração de serviços, como os SLAs, arquiteturas físicas e lógicas, mecanismos de segurança disponíveis, etc. Recomendações específicas para os diferentes modelos de serviço em nuvem (SPI)
75 Guias de segurança em nuvem: CSA: Recomendações Agrupadas de acordo com as questões discutidas: Segurança Tradicional, Continuidade de Negócios e Recuperação de Desastres: Consumidores de nuvem não devem depender de um único provedor Preferencialmente estabelecer contratos com múltiplos fornecedores e possuir ferramentas para rápida recuperação em caso de incidentes em um (ou alguns) deles Exigir transparência com relação à postura de segurança da nuvem Permitindo avaliações dos planos de contingência do provedor contra desastres, da segurança física da infraestrutura, etc. 75
76 Guias de segurança em nuvem: CSA: Recomendações Agrupadas de acordo com as questões discutidas: Operações de data center: Gerenciamento deve envolver processos, boas práticas e software que permitam entender e lidar com a tecnologia e recursos nele presentes de forma ágil e com elevada disponibilidade Compreender a missão das ferramentas sendo executadas dentro do data center e como elas se adequam aos requisitos de segurança do ambiente Estabelecer as partes responsáveis por garantir conformidade com requisitos de segurança e o papel de cada uma delas na sua avaliação 76
77 Guias de segurança em nuvem: CSA: Recomendações Agrupadas de acordo com as questões discutidas: Resposta a incidentes, notificações e correções: Consumidores de nuvem devem compreender como provedores definem os eventos de interesse no tocante à detecção de incidentes de segurança e quais eventos/ incidentes são reportados aos usuários Consumidores devem possuir um meio de comunicação com o provedor em caso de incidentes Aplicações seguras: Realizar análises de risco para as aplicações Garantir uma vistoria detalhada dos vetores de ataque e riscos no ambiente de nuvem Procurar desenvolver e manter uma arquitetura de software segura 77
78 Guias de segurança em nuvem: CSA: Recomendações Agrupadas de acordo com as questões discutidas: Gerenciamento de chaves e criptografia: Empregar boas práticas de gerenciamento de chaves Empregar soluções de prateleira de fontes reconhecidas Utilizar algoritmos padronizados de cifração considerados seguros atualmente 78 Identidade e gerenciamento de acesso: Todos os atributos utilizados devem possuir um nível de confiança a eles atribuídos e devem ser associados a uma identidade Desenvolvedores devem garantir que os serviços sejam capazes de importar/ exportar dados seguindo padrões como XACML
79 Guias de segurança em nuvem: CSA: Recomendações Agrupadas de acordo com as questões discutidas: Virtualização: Consumidores devem identificar o tipo de virtualização que o provedor utiliza Desenvolvedores devem cifrar imagens de VMs quando as mesmas não estiverem em uso Configurações padrões das VMs devem respeitar os requisitos mínimos de segurança estabelecidos 79 Segurança como serviço: Desenvolvedores devem garantir o estabelecimento de um canal de comunicação seguro entre os inquilinos da nuvem Fornecedores devem prover notificação automática de incidentes de segurança Consumidores devem requisitar a presença de terceiros para intermediar a negociação da SLAs e auditar serviços
80 Guias de segurança em nuvem: ENISA A ENISA é uma organização que visa aumentar a capacidade da União Europeia, dos estados membros da União Europeia e da comunidade de negócios em prevenir, tratar e responder a problemas de segurança da informação e redes Elabora diversos documentos guias e boas práticas relacionadas a segurança da informação 80
81 Guias de segurança em nuvem: ENISA Cloud Computing: Benefits, Risks and Recommendations for Information Security (2011) Especificação dos benefícios de computação em nuvem sob o prisma da segurança Descrição de um processo de análise e avaliação de riscos com base em três cenários de caso de uso: o Computação em nuvem em pequenas e médias empresas o Impacto da computação em nuvem na resiliência de serviço o Computação em nuvem para administração pública (egovernment) Define as questões de segurança especificamente o Não há subtópicos 81
82 82 Guias de segurança em nuvem: ENISA
83 83 Guias de segurança em nuvem: ENISA
84 84 Guias de segurança em nuvem: ENISA
85 Guias de segurança em nuvem: ENISA: Questões políticas e organizacionais Lock-in (questão 1): Relata a situação de falta de portabilidade entre fornecedores de nuvem em cada categoria de serviço na nuvem (IaaS, PaaS e SaaS) Governança (questão 2) e Conformidade (questão 3): Ameaças indiretas causadas por inquilinos que estão utilizando um mesmo fornecedor (questão 4) são discutidas Destacados que os desafios de disponibilidade podem ser resultado de problemas dentro do próprio provedor da nuvem (questões 5 e 6) ou terceiros em que o provedor confia (questão 7) 85
86 86 Guias de segurança em nuvem: ENISA
87 87 Guias de segurança em nuvem: ENISA
88 Guias de segurança em nuvem: ENISA: Questões técnicas Ameaças resultantes da exaustão de recursos (questão 8) como a incapacidade de fornecer recursos (estabelecidos no SLA ou adicionais) aos clientes, indisponibilidade de serviços, entre outros A questão 9 (isolamento de falhas) trata de falhas nos mecanismos que isolam recursos compartilhados entre usuários (falhas no hypervisor) São listados os tipos de vulnerabilidades que causam ou podem vir a causar ameaças internas: Funções e responsabilidades mal definidas Vulnerabilidades no sistema operacional Procedimentos de segurança física inadequados... 88
89 Guias de segurança em nuvem: ENISA: Questões técnicas Alguns dos riscos podem ser agrupados mais amplamente: Gerenciamento de interface (questão 11) e comprometimento de motor de serviços (questão 19) que tratam da segurança de aplicações, listando vulnerabilidades no software do provedor A interceptação de dados em trânsito na rede (questão 12) também é análoga ao vazamento de dados em operações de upload e download A interceptação pode ser causada por vulnerabilidades na infraestrutura do fornecedor da nuvem ou no enlace com o usuário 89
Capítulo 17 Considerações quanto à Segurança na Computação na Nuvem. Considerações quanto à Segurança na Computação na Nuvem
Capítulo 17 Considerações quanto à Segurança na Computação na Nuvem 1 C A P Í T U L O 1 7 Considerações quanto à Segurança na Computação na Nuvem 2 Certificação Security+ Da Prática Para o Exame SY0-301