Den sky sikkerhet og sky sikkerhet ( Cloud sikkerhet i engelsk) er et domene i skyen ( cloud computing , sky databehandling) i forhold til informasjonssikkerheten . Det involverer konsepter som nettverks- og maskinvaresikkerhet, og kontrollstrategiene som brukes for å beskytte data, applikasjoner og infrastrukturen knyttet til databehandling.
Et viktig aspekt av skyen er forestillingen om sammenkobling med forskjellig maskinvare som gjør det vanskelig og nødvendig å sikre disse miljøene. Et sikkerhetsproblem i en skyplattform kan forårsake økonomisk tap, men også et dårlig rykte hvis denne plattformen er rettet mot allmennheten. Bekymringssikkerhetsproblemer er årsaken til forsinkelsen i masseadopsjon av denne nye løsningen.
Den stadig hyppigere bruken av cloud computing øker nye sikkerhetsrisikoer. Dermed øker interessen til kriminelle for å finne nye sårbarheter og utsette brukere for å få dataene deres kompromittert.
For å redusere denne trusselen, bør interessenter i skyen investere tungt i IT-risikovurdering for å sikre at data er godt beskyttet.
Etablere pålitelige fundament og standarder for å sikre infrastrukturen. Alt dette for å etablere tillit til denne nye teknologien som er cloud computing.
I 2009 ble gruppen "skolesikkerhetsallianse" dannet for å fremme god sikkerhetspraksis i skymiljøet. Siden denne gruppen har 40 000 medlemmer .
Den sky computing introduserer deling av ressurser, som potensielt kan føre til type angrep side-kanal angrep (passiv lytting informasjon) eller kanal skjult (sendeinformasjon) mellom forskjellige virtuelle maskiner som opererer i det samme miljø.
Isolasjonsproblemet ligger i det faktum at miljøet (virtuell maskin) til en angriper potensielt kan havne på den samme fysiske maskinen til en bruker, noe som får sistnevnte til å være vert for flere virtuelle maskiner. Dette gjør det mulig å sette opp forskjellige maskinvare- eller programvareangrep for å lytte til eller forstyrre andre virtuelle maskiner.
Den virtualisering er relatert til cloud databehandling. Faktisk tilbyr skyleverandørene sine kunder å skaffe seg en egen server, med andre ord en egen virtuell maskin . Skyleverandøren tilbyr denne tjenesten uten å vite operativsystemet som er installert på denne virtuelle maskinen, eller konfigurasjonen. Sistnevnte tilbyr imidlertid en sikkerhet som et servicesystem basert på introspeksjon av virtuelle maskiner.
Introspeksjon av virtuelle maskiner for sikkerhetFor å sikre sikkerheten til ressursene til virtuelle maskiner, er det en komponent som styrer minnet, den virtuelle disken og operativsystemet installert på den. Denne komponenten er basert på Virtual Machine Introspection (VMI). Et eksempel på en slik komponent er Xen Access . Det lar deg sjekke at ressursene er sikre og at det ikke har vært noe innbrudd før den virtuelle maskinen starter.
Minne beskyttelseEn virtuell maskin kan oppleve et minneendringsangrep. Angriperen kan enten introdusere et Rootkit eller data i de beskyttede områdene derav. Noen minnebeskyttelsesimplementeringer:
Sikring av kodeutførelse i kjernen hjelper med å forutsi ondsinnede henrettelser. Et eksempel på et system for å omgå dette problemet og gi kodeutførelsesbeskyttelse er Manitou . Dette systemet bruker virtuell minnemonitor (VMM) til å beregne en hash på hver minneside og for å sjekke før kodeutførelse om hasjen er i listen over tillatte hashes.
DatastrømssikkerhetEt angrep på virtuelle maskiner kan for eksempel handle på datastrømmer. Dette er grunnen til at implementeringen av et kontroll- og integritetssystem må gjøre det mulig å unngå modifisering av datastrømmer. Lares er et eksempel på en komponent som gjennom introduksjonen av et verktøy i måloperativsystemet kan kontrollere om den virtuelle maskinen er sikker. Det gjør dette ved å sjekke sikkerhetsregler og virtuell maskin introspeksjon (VMI).
Det er for øyeblikket ingen ISO-standard som eksplisitt standardiserer skyen. Denne neste standarden blir opprettet og vil standardisere skyen for å gjøre tilgjengelig en enkelt API for bruk av flere skyleverandører, men også definere sikkerheten som kreves for skyen. Ikke desto mindre gjør skyleverandører deres sikkerhetsnivå til virkelighet ved å oppnå informasjonssikkerhetsstandarder som delvis kan brukes på skyen. Disse standardene er beskrevet nedenfor.
Sikkerhet i skyen kan defineres i Service Level Agreement (SLA), for å forhindre og garantere sikkerhetsnivåene for hver tjeneste.
Leverandøren eller skyleverandøren selskapet tilbyr et skytilbud. Kunden individet eller selskapet som investerer i et skytilbud for å være vert for potensielt konfidensielle eller personlige data.Den Service Level Agreement (eller SLA) gjør det mulig å definere sikkerheten satt på plass mot skadelige angrep og mulige sammenbrudd mellom tjenesteleverandøren og kunden .
Dette dokumentet er viktig for begge parter. Hvis det brukes riktig, vil det:
SLA er ikke egnet for cloud computing på grunn av den veldig forskjellige arkitekturen fra tidligere datasystemer. Faktisk er skyen basert på en sentralisert arkitektur i databehandlingssentre som er eksponert på internett. SLA garanterer i dag, med unntak av veldig spesifikke tilfeller, følgende vilkår:
Klag til leverandøren etter sammenbrudd Kunden må åpne en supportbillett ved å legge inn nødvendig informasjon spesifisert i SLA. Klag til leverandøren etter en feil hos kunden Kunden kan bli straffet økonomisk, eller kontoen hans kan sperres hvis det oppstår et problem og involverer ham. Dette er en årsak til brudd på kontrakten og gjør det mulig å forutse angrep eller andre handlinger som kommer fra kundens infrastruktur. Privat nettverk Leverandøren garanterer 99,9% tilgjengelighet av det private nettverket mellom datasenteret og kunden. Dette inkluderer å sette opp og sikre en VPN, maksimal båndbredde og verktøy for å analysere nettverkstrafikk. Offentlig nettverk Leverandøren garanterer 99,9% tilgjengelighet av det offentlige nettet (internett), med permitteringer på tilkoblingene. Overflødig infrastruktur Leverandøren garanterer 99,9% tilgjengelighet av infrastruktur og tjenester. Endring av materiale For å møte kundenes behov eller behov for vedlikehold av infrastruktur, kan det være nødvendig med maskinvareendringer. Disse endringene må planlegges, og hvis denne endringen ikke er mulig, pålegges leverandøren en straff. Standardisering av SLAFor å sikre et sikkerhetsnivå må SLA definere metodene som brukes for å opprettholde og garantere sikkerheten til skyinfrastrukturen som skal brukes av kunden. Vilkårene som diskuteres for standardisering av SLA er oppført nedenfor:
Privilegert brukertilgang Administratorer har global tilgang til informasjon. Det er nødvendig å definere administratorer som er autorisert til å gripe inn på klientens infrastruktur innenfor rammen av konfidensialiteten til et selskaps data. Regulatorisk samsvar Kunden er ansvarlig for sikkerheten og integriteten til disse dataene. For dette tilbyr skyleverandøren de tjenestene og verktøyene som er nødvendige for å fullføre disse oppgavene. Den tradisjonelle leverandøren er underlagt revisjon og sertifisering. Skyleverandører som avviser disse revisjonene, bør rapportere dette til kundene og spesifisere at kunden bare kan bruke de mest ubetydelige funksjonene. Datalokalisering I skyen er det vanskelig å skaffe seg en forestilling om datalokalisering. Faktisk har en skyleverandør flere datasentre rundt om i verden og i forskjellige land. Dette er grunnen til at det er nødvendig for kunden å vite hvor disse dataene ligger, fordi de kan lagres i land der personvernlovene er forskjellige. Datasegregering Data i skyen finnes i flere datasentre, slik at skyleverandøren kan garantere høy tilgjengelighetstjeneste til kunden. Sikring av data gjennom kryptering er nødvendig for overføring til de forskjellige datasentrene. Kunden må være klar over krypteringsmetoden samt metoden som brukes for overføringen godkjent av en spesialist. Restaurering Kunden må kjenne servicenivået når det gjelder datagjenoppretting. Leverandører er ikke forpliktet til å replikere kundedata. I tilfelle infrastrukturen som brukes av kunden lider av en feil, kan sistnevnte miste noe av eller hele denne informasjonen hvis leverandøren imidlertid ikke inkluderer replikering eller sikkerhetskopiering av data i tilbudet. Støtten Det er veldig vanskelig å overvåke ulovlig aktivitet på skygrensesnitt. Årsaken til denne vanskeligheten er sentraliseringen av infrastrukturene som genererer tilstedeværelsen av flere klienter på samme server, plasseringen av datasentrene. Det er derfor veldig vanskelig for leverandøren å oppdage og blokkere ondsinnet bruk av infrastrukturen. Denne informasjonen må spesifiseres til kunden slik at han er årvåken. Effektivitet Det er nødvendig for kunden å ha informasjon om leverandørens infrastruktur og garantier for påliteligheten til disse løsningene. Kunden som outsourcer disse infrastrukturene til en skyleverandør, trenger garantier for disse applikasjonene og dataene for å være sikker på at sistnevnte ikke lider tap som følge av et strømbrudd.Sikkerhetskomponenter som brannmurer eller innbruddsdeteksjonssystemer er ikke egnet for å oppdage distribuerte angrep, så disse angrepene er delt inn i underangrep for å kunne oppdages av et slikt sikkerhetssystem.
Havneskanningsangrepet lar porten oppdage utnyttbare kommunikasjonsporter. Dette angrepet kan unngås takket være sikkerhetssystemer som en brannmur eller et påvisningssystem for innbrudd ( (en) IDS: Intrusion System Detection). Skyinfrastrukturer er utsatt for denne typen angrep hvis den utføres parallelt. Et system som IDS analyserer en del av trafikken og oppdager derfor ikke et portskanningsangrep hvis det utføres med forskjellige skannere. Nåværende sikkerhetsløsninger er ikke egnet for denne typen angrep på en slik infrastruktur.
Den Formålet med tjenestenektangrep er å lage en tjeneste utilgjengelig av nettverk overbelastning, for eksempel. Leverandøren må implementere løsningene mot disse angrepene. Dette angrepet kan unngås takket være skyens skalerbarhet. Tjenester som Amazon tillater dynamisk at flere ressurser eller forekomster legges til etter behov. Imidlertid er kunder som ikke bruker skalerbarhetstjenester utsatt for risikoen for disse angrepene. I dette tilfellet er det vanskelig å oppdage disse angrepene for å blokkere dem på grunn av det potensielle antallet samtidige angrep.
Kunden og leverandøren må sørge for at programvaren de bruker er oppdatert for å unngå utnyttelse av programvarefeil. Denne handlingen gjør det ikke mulig å unngå dem, men å begrense risikoen.
De menneske-i-midten angrep tar sikte på å fange opp kommunikasjon mellom en klient og en server for å vise, fange og kontrollere kommunikasjonen sømløst.
Den pakke analysator er et program eller en periferi-enhet som gjør det mulig å lese, for å fange opp de data som passerer på et nettverk. Dette angrepet lar angriperen gjenopprette data og deretter lese dem.
Prinsippet med dette angrepet er å injisere ondsinnet kode på en av skyplattformene (Saas, Iaas, Paas) for å kompromittere offerets infrastruktur.
Distribuerte angrep som tjenestenekt har en økonomisk innvirkning på kunden. Disse angrepene kan motvirkes takket være skyens skalerbarhet og derfor generere ekstra kostnader for kunden. Hvis kunden ikke har fått denne typen løsninger på plass, er det en risiko for at infrastrukturen hans blir ute av drift og dermed tap av fortjeneste for den.
Samlingen av utstyr gjør det mulig å optimalisere kostnadene sammenlignet med konvensjonelle systemer (for å oppnå besparelser) og å utvikle delte applikasjoner uten å måtte eie eller leie egne servere fra en vert. Det unngår også vedlikehold av maskinene. Disse fordelene kan oppmuntre til bruk av cloud computing og gjøre mer risikotaking akseptabel.
Hvis en leverandør går konkurs, mister kunden tilgang til applikasjonene og dataene når leverandørens infrastruktur går offline. Leverandørens data kan derfor ikke gjenopprettes og blir eiendommen til skyleverandørens kreditor. Denne situasjonen kan føre til at kunden går konkurs hvis denne er et selskap, og dataene som ble levert av leverandøren er følsomme og essensielle for selskapet.
Systemet med betaling til ressursene som forbrukes, kan generere overbelastning fra leverandørens side for ressurser som tildeles, men ikke forbrukes. Denne overlading er et tap for kunden.
Skysikkerhetstjenester er et stadig mer lønnsomt marked. Etter å ha krysset de 2 milliarder dollar i 2013, kunne verdensmarkedet overstige 3 milliarder i 2015. Den økonomiske fremgangen med sikkerheten når det gjelder Cloud-computing er i størrelsesorden 20% per år, spesielt takket være demokratiseringen av SaaS. Gartner anslår til og med at i 2015 vil 10% av IT-sikkerhetsproduktene gå gjennom skyen.
Offer | Datert | Angrepstype | Beskrivelse |
---|---|---|---|
Dropbox | Oktober 2012 | Dropbox klientanalyse | Analyse av Dropbox-klienten og demonstrasjon av sårbarheter som kan utnyttes lokalt og eksternt. http://archive.hack.lu/2012/Dropbox%20security.pdf |
Epsilon | Mars 2012 | Phishing- e-post | Gjenopprett navnene og e-postadressene til mer enn 20 Epsilon-bedriftskunder. |
Dropbox | Juni 2012 | Passordtyveri og sosialteknikk | Tyveri av en ansattes Dropbox-kontopassord og henting av informasjon om et konfidensielt prosjekt. Fører til en stor spam-kampanje. |
Rackspace | Juni 2012 | Forutsigelse av administratorpassord | Flere sikkerhetsbrudd har gjort det mulig å forutsi eller endre administratorpassordet til en rack-konto. http://mesoscale-convective-vortex.blogspot.fr/2012/06/multiple-rackspace-security.html |
iCloud | August 2012 | Passordtyveri og sosialteknikk | En journalist med en iCloud-konto ble utsatt for tyveri av flere av hans kontoer, inkludert sletting av dataene hans på Apple-enheter ved hjelp av iCloud. |
CloudFlare | Mai 2012 | Utnyttelse av et Google Apps / Gmail-sårbarhet | AT&T lurte til å omdirigere en talepostmelding til en falske talepostboks. Gjenopprettingsprosessen for Google-kontoen har blitt utnyttet av den falske talepostboksen, som hjelper til med å oppnå PIN-krakkere for Gmail-kontogjenoppretting, og til å tilbakestille Gmail-kontoen. Et sårbarhet i gjenopprettingsprosessen for Google Enterprise Applications som tillot hackere å omgå tofaktorautentisering av CloudFlare.com-bruker-URL. Sårbarheter BCCing CloudFlare tillot nettkriminelle å tilbakestille et klientpassord etter å ha fått tilgang til en administrativ e-postkonto. |
Playstation-nettverk | April 2011 | SQL-injeksjon | Sonys PlayStation Network-tjeneste ble offer for et SQL-injeksjonsangrep og utnyttet en krypteringsfeil i PSN-brukerdata, og tvang selskapet til å slå helt ned sitt online videospillnettverk og PlayStation Store. |
VMWARE | Juni 2009 | Kodeutførelse utenfor VMWARE-gjesten | CLOUDBURST
En VMware-gjest som vert for Escape Story http://www.blackhat.com/presentations/bh-usa-09/KORTCHINSKY/BHUSA09-Kortchinsky-Cloudburst-SLIDES.pdf |