Den sky sikkerhed og cloud sikkerhed ( Cloud sikkerhed på engelsk) er et domæne i skyen ( cloud computing , cloud computing) i forhold til informationssikkerhed . Det involverer begreber som netværks- og hardwaresikkerhed og de kontrolstrategier, der anvendes til at beskytte data, applikationer og infrastrukturen forbundet med cloud computing.
Et vigtigt aspekt af skyen er begrebet sammenkobling med forskellige hardware, hvilket gør det vanskeligt og nødvendigt at sikre disse miljøer. Et sikkerhedsproblem i en skyplatform kan forårsage økonomisk tab, men også et dårligt ry, hvis denne platform er rettet mod offentligheden. Bekymringssikkerhedsproblemer er årsagen til forsinkelsen i masseadoption af denne nye løsning.
Den stadig hyppigere brug af cloud computing øger nye sikkerhedsrisici. Dermed øges kriminelternes interesse i at finde nye sårbarheder og udsætter brugerne for at få deres data kompromitteret.
For at afbøde denne trussel bør cloud-interessenter investere meget i it-risikovurdering for at sikre, at data er godt beskyttet.
Etabler pålidelige fundamenter og standarder for at sikre deres infrastruktur. Alt dette for at skabe tillid til denne nye teknologi, der er cloud computing.
I 2009 blev gruppen "cloud security alliance" dannet for at fremme god sikkerhedspraksis i skymiljøet. Da denne gruppe har 40.000 medlemmer .
Den cloud computing introducerer deling af ressourcer, som potentielt kan føre til type angreb side-kanal angreb (passiv lytning information) eller kanal skjules (send information) mellem forskellige virtuelle maskiner, der opererer i det samme miljø.
Isolationsproblemet ligger i, at miljøet (virtuel maskine) for en angriber potentielt kan ende på den samme fysiske maskine for en bruger, hvilket får sidstnævnte til at være vært for flere virtuelle maskiner. Dette gør det muligt at oprette forskellige hardware- eller softwareangreb for at lytte til eller forstyrre andre virtuelle maskiner.
Den virtualisering er relateret til cloud computing. Faktisk tilbyder cloud-udbyderen sine kunder at erhverve sin egen server, med andre ord sin egen virtuelle maskine . Cloududbyderen tilbyder denne service uden at kende operativsystemet installeret på denne virtuelle maskine eller dens konfiguration. Sidstnævnte tilbyder dog en sikkerhed som et servicesystem baseret på introspektion af virtuelle maskiner.
Introduktion af virtuelle maskiner til sikkerhedFor at sikre sikkerheden af virtuelle maskiners ressourcer er der en komponent, der styrer hukommelsen, den virtuelle disk og operativsystemet installeret på den. Denne komponent er baseret på Virtual Machine Introspection (VMI). Et eksempel på en sådan komponent er Xen Access . Det giver dig mulighed for at kontrollere, at ressourcerne er sikre, og at der ikke har været noget indbrud, før den virtuelle maskine starter.
HukommelsesbeskyttelseEn virtuel maskine kan opleve et hukommelsesændringsangreb. Angriberen kan enten introducere et Rootkit eller data i dets beskyttede områder. Nogle hukommelsesbeskyttelsesimplementeringer:
Sikring af kodeudførelse i kernen hjælper med at forudsige ondsindede henrettelser. Et eksempel på et system til at omgå dette problem og yde kodeudførelsesbeskyttelse er Manitou . Dette system bruger den virtuelle hukommelsesmonitor (VMM) til at beregne en hash på hver hukommelsesside og til at kontrollere før kodeudførelse, om hashen er på listen over tilladte hashes.
DatastrømssikkerhedEt angreb på virtuelle maskiner kan f.eks. Handle på datastrømme. Derfor skal implementeringen af et kontrol- og integritetssystem gøre det muligt at undgå ændring af datastrømme. Lares er et eksempel på en komponent, der via introduktionen af et værktøj i måloperativsystemet kan kontrollere, om den virtuelle maskine er sikker. Det gør det ved at kontrollere sikkerhedsregler og virtuel maskine introspektion (VMI).
Der er i øjeblikket ingen ISO-standard, der eksplicit standardiserer skyen. Denne næste standard oprettes og vil standardisere skyen for at stille en enkelt API til rådighed til brug for flere skyudbydere, men også definere den sikkerhed, der kræves for skyen. Ikke desto mindre gør skyudbydere deres sikkerhedsniveau til virkelighed ved at opnå informationssikkerhedsstandarder, der delvist kan anvendes på skyen. Disse standarder er beskrevet nedenfor.
Sikkerhed i skyen kan defineres i Service Level Agreement (SLA) for at forhindre og garantere sikkerhedsniveauer for hver tjeneste.
Udbyderen eller skyudbyderen virksomheden tilbyder et cloud-tilbud. Kunden den person eller virksomhed, der investerer i et cloud-tilbud for at være vært for potentielt fortrolige eller personlige data.Det Service Level Agreement (eller SLA) gør det muligt at definere den sikkerhed, sat på plads mod ondsindede angreb og mulige nedbrud mellem tjenesteyderen og kunden .
Dette dokument er vigtigt for begge parter, hvis det bruges korrekt, vil det:
SLA er ikke egnet til cloud computing på grund af sin meget forskellige arkitektur fra tidligere computersystemer. Faktisk er skyen baseret på en centraliseret arkitektur i databehandlingscentre, der er eksponeret på internettet. SLA garanterer i dag, undtagen i meget specifikke tilfælde, følgende vilkår:
Klag til leverandøren efter sammenbrud Kunden skal åbne en supportbillet ved at indtaste de nødvendige oplysninger, der er specificeret i SLA. Klag til leverandøren efter en fejl hos kunden Kunden kan straffes økonomisk, eller hans konto kan blokeres, hvis der opstår et problem og involverer ham. Dette er en årsag til overtrædelse af kontrakten og giver mulighed for at forudse angreb eller andre handlinger, der kommer fra kundens infrastruktur. Privat netværk Leverandøren garanterer 99,9% tilgængelighed af det private netværk mellem datacentret og kunden. Dette inkluderer opsætning og sikring af en VPN, den maksimale mulige båndbredde og værktøjer til analyse af netværkstrafik. Offentligt netværk Leverandøren garanterer 99,9% tilgængelighed af det offentlige netværk (internet) med afskedigelser på forbindelserne. Overflødig infrastruktur Leverandøren garanterer 99,9% tilgængelighed af infrastruktur og tjenester. Ændring af materiale For at imødekomme kundernes efterspørgsel eller et behov for vedligeholdelse af infrastruktur kan hardwareændringer være nødvendige. Disse ændringer skal planlægges, og hvis denne ændring ikke er mulig, pålægges leverandøren en straf. Standardisering af SLAFor at sikre et sikkerhedsniveau skal SLA definere de metoder, der bruges til at vedligeholde og garantere sikkerheden for den skyinfrastruktur, der vil blive brugt af kunden. Vilkårene under diskussion for standardisering af SLA er anført nedenfor:
Privilegeret brugeradgang Administratorer har global adgang til information, det er nødvendigt at definere de administratorer, der er autoriseret til at gribe ind på klientens infrastrukturer inden for rammerne af fortroligheden af en virksomheds data. Lovmæssig overensstemmelse Kunden er ansvarlig for sikkerheden og integriteten af disse data. Til dette leverer cloududbyderen de tjenester og værktøjer, der er nødvendige for en vellykket afslutning af disse opgaver. Den traditionelle udbyder er underlagt revisioner og certificeringer. Cloududbydere, der afviser disse revisioner, bør rapportere dette til kunderne og angive, at kunden kun kan bruge de mest ubetydelige funktioner. Datalokation I skyen er det vanskeligt at få en forestilling om datalokation. Faktisk har en cloududbyder flere datacentre rundt om i verden og i forskellige lande. Dette er grunden til, at det er nødvendigt for kunden at kende placeringen af disse data, fordi de kan opbevares i lande, hvor lovgivningen om databeskyttelse er forskellig. Dataseparation Data i skyen findes i flere datacentre, så cloududbyderen kan garantere høj tilgængelighedstjeneste til sin kunde. Sikring af data gennem kryptering er nødvendig for overførsel til de forskellige datacentre. Kunden skal være opmærksom på krypteringsmetoden såvel som den metode, der anvendes til overførslen godkendt af en specialist. Restaurering Kunden skal kende serviceniveauet med hensyn til datagendannelse. Leverandører er ikke forpligtet til at replikere kundedata. I tilfælde af at infrastrukturen, der bruges af kunden, lider af en fiasko, kan sidstnævnte miste nogle eller alle disse data, hvis leverandøren dog ikke inkluderer replikering eller sikkerhedskopiering af data i sit tilbud. Støtten Overvågning af ulovlig aktivitet på skygrænseflader er meget vanskelig. Årsagen til denne vanskelighed er centraliseringen af infrastrukturer, der genererer tilstedeværelsen af flere klienter på den samme server, placeringen af datacentrene. Det er derfor meget vanskeligt for leverandøren at opdage og blokere ondsindet anvendelse af infrastrukturen. Disse oplysninger skal specificeres for kunden, så han er opmærksom. Effektivitet Det er nødvendigt for kunden at have information om leverandørens infrastruktur og garantier for pålideligheden af disse løsninger. Kunden, der outsourcer disse infrastrukturer til en skyudbyder, har brug for garantier på disse applikationer og data for at være sikker på, at sidstnævnte ikke lider tab som følge af et udfald.Sikkerhedskomponenter såsom firewalls eller indbrudsdetekteringssystemer er ikke egnede til at detektere distribuerede angreb, så disse angreb er opdelt i underangreb for ikke at kunne detekteres af et sådant sikkerhedssystem.
Portscanningsangrebet giver havnen mulighed for at opdage udnyttelige kommunikationsporte. Dette angreb kan undgås takket være sikkerhedssystemer såsom en firewall eller et system til detektion af indtrængen ( (en) IDS: Intrusion System Detection). Cloudinfrastrukturer er modtagelige for denne type angreb, hvis de udføres parallelt. Et system som IDS scanner en del af trafikken og registrerer derfor ikke et port scanningsangreb, hvis det udføres med forskellige scannere. Nuværende sikkerhedsløsninger er ikke egnede til denne type angreb på en sådan infrastruktur.
Den Formålet med denial of service angreb er at gøre en tjeneste utilgængelig ved netværk overbelastning, f.eks. Leverandøren skal implementere løsningerne mod disse angreb. Dette angreb kan undgås takket være skyens skalerbarhed. Tjenester som Amazon tillader dynamisk at tilføje flere ressourcer eller forekomster efter behov. Imidlertid er kunder, der ikke bruger skalerbarhedstjenester, underlagt risikoen for disse angreb. I dette tilfælde er det vanskeligt at opdage disse angreb for at blokere dem på grund af det potentielle antal samtidige angreb.
Kunden og leverandøren skal sikre, at den software, de bruger, er opdateret for at undgå udnyttelse af softwarefejl. Denne handling gør det ikke muligt at undgå dem, men at begrænse risiciene.
Man -in-the-middle-angrebet sigter mod at opfange kommunikation mellem en klient og en server for at se, fange og kontrollere kommunikationen problemfrit.
Den pakke analysator er et program eller en perifer, som gør det muligt at læse, at opfange data som passerer på et netværk. Dette angreb giver angriberen mulighed for at gendanne data og derefter læse dem.
Princippet med dette angreb er at injicere ondsindet kode på en af skyplatforme (Saas, Iaas, Paas) for at kompromittere offerets infrastruktur.
Distribuerede angreb som denial of service har en økonomisk indvirkning på kunden. Disse angreb kan imødegås takket være skyens skalerbarhed og derfor generere yderligere omkostninger for kunden. Hvis kunden ikke har sat denne type løsning på plads, er der en risiko for, at hans infrastruktur er ude af drift og dermed tab af fortjeneste for den.
Samlingen af udstyr gør det muligt at optimere omkostningerne i forhold til konventionelle systemer (for at opnå besparelser) og at udvikle delte applikationer uden at skulle eje eller leje sine egne servere fra en vært. Det undgår også enhver vedligeholdelse af maskinerne. Disse fordele kan tilskynde til brug af cloud computing og gøre mere risikotagning acceptabel.
Hvis en sælger går konkurs, mister kunden adgang til deres applikationer og data, når sælgerens infrastruktur går offline. Udbyderens data kan derfor ikke gendannes og bliver ejendommen til cloududbyderens kreditor. Denne situation kan føre til konkurs hos kunden, hvis denne imidlertid er en virksomhed, og de data, som leverandøren er vært for, er følsomme og vigtige for virksomheden.
Systemet med betaling til de forbrugte ressourcer kan generere overopladning fra leverandørens side for tildelte ressourcer, men ikke forbrugte. Denne overopladning er et tab for kunden.
Cloudsikkerhedstjenester er et stadig mere rentabelt marked. Efter at have krydset de 2 milliarder dollars i 2013 kunne verdensmarkedet overstige 3 milliarder i 2015. Den økonomiske udvikling af sikkerheden med hensyn til cloud-computing er i størrelsesordenen 20% om året, især takket være demokratiseringen af SaaS. Gartner vurderer endda, at 10% af it-sikkerhedsprodukterne i 2015 vil gå gennem skyen.
Offer | Dateret | Angrebstype | Beskrivelse |
---|---|---|---|
Dropbox | Oktober 2012 | Dropbox klientanalyse | Analyse af Dropbox-klienten og demonstration af sårbarheder, der kan udnyttes lokalt og eksternt. http://archive.hack.lu/2012/Dropbox%20security.pdf |
Epsilon | Marts 2012 | Phishing- e-mail | Hentning af navne og e-mail-adresser på mere end 20 Epsilon-virksomhedskunder. |
Dropbox | Juni 2012 | Adgangskodetyveri og social engineering | Tyveri af en medarbejders adgangskode til Dropbox-konto og hentning af oplysninger om et fortroligt projekt. Fører til en stor spam-kampagne. |
Rackspace | Juni 2012 | Forudsigelse af administratoradgangskode | Flere sikkerhedshuller gjorde det muligt at forudsige eller ændre administratoradgangskoden til en rackspace-konto. http://mesoscale-convective-vortex.blogspot.fr/2012/06/multiple-rackspace-security.html |
iCloud | August 2012 | Adgangskodetyveri og social engineering | En journalist med en iCloud-konto var offer for tyveri af flere af hans konti, herunder sletning af hans data på Apple-enheder ved hjælp af iCloud. |
CloudFlare | Maj 2012 | Udnyttelse af en Google Apps / Gmail-sårbarhed | AT&T narret til at omdirigere en telefonsvarerbesked til en svigagtig telefonsvarerboks. Gendannelsesprocessen for Google-kontoen er blevet udnyttet af en svigagtig voicemail-boks, som hjælper med at opnå Gmail-kontagendannelse af PIN-kiks og til at nulstille Gmail-kontoen. En sårbarhed i gendannelsesprocessen for Google Enterprise-applikationer, der gjorde det muligt for hackere at omgå tofaktorautentificering af CloudFlare.com-bruger-URL. Sårbarheder BCCing CloudFlare tillod cyberkriminelle at nulstille en klientadgangskode efter at have fået adgang til en administrativ e-mail-konto. |
Playstation-netværk | April 2011 | SQL-injektion | Sonys PlayStation Network-tjeneste blev offer for et SQL-injektionsangreb og udnyttede en krypteringsfejl i PSN-brugerdata, hvilket tvang virksomheden til helt at lukke sit online videospilnetværk og PlayStation Store. |
VMWARE | Juni 2009 | Kodeudførelse uden for VMWARE-gæst | CLOUDBURST
En VMware-gæst, der er vært for Escape Story http://www.blackhat.com/presentations/bh-usa-09/KORTCHINSKY/BHUSA09-Kortchinsky-Cloudburst-SLIDES.pdf |