Cloud-Computing: Cloud-Sicherheitsaspekte

  • Artikel

Obwohl die Hauptsorge weiterhin auf der Wahrung einer entsprechenden Datensicherheit liegt, kann eine Cloud Computing-Infrastruktur Ihre Sicherheit insgesamt sogar erhöhen.

Vic (j.) Winkler

Ist ein Auszug aus "Securing the Cloud" (Syngress, ein Abdruck des Elsevier)

Während einige von Ihnen noch Tiefe Besorgnis über Cloud computing vom Sicherheitsstandpunkt beherbergen kann, ist im Wesentlichen einem ungenauen Ergebnis. Mit seiner inhärenten Eigenschaften, cloud computing hat enormes Potenzial für Organisationen, ihre Informationen Gesamt-Sicherheitslage zu verbessern.

Es gibt viele Gründe dafür. Cloud-Modell ermöglicht das Zurückgeben der wirksamen Kontrolle und professionelle Bedienung über IT-Ressourcen, Verarbeitungs- und Informationen. Aufgrund von der Größenordnung der public Cloud können Mieter und Benutzer eine höhere Sicherheit erzielen, da der Provider-Investitionen in bessere Sicherheit erreichen weniger pro Verbraucher kostet.

Eine private Cloud bietet wesentliche Sicherheitsvorteile aus denselben Gründen. Es gibt jedoch Einschränkungen,: Sie werden nicht mehr, ohne Investitionen nutzen und nicht jedes Modell ist für alle Organisationen geeignet. Unabhängig davon welche Service Delivery-Modell oder ein Bereitstellungsmodell, die Sie auswählen, wird ein gewisses Maß an Kontrolle an den Anbieter von Cloud übertragen werden. Dies ist vollkommen sinnvoll, wenn die Steuerung des Ressourcenzugriffs in einer Weise und zu einem Preis, der Ihren Anforderungen entspricht.

Die Verfolgung der Sicherheit

Es gibt einige Problembereiche bei der cloud computing:

  • Netzwerkverfügbarkeit: können Sie nur den Wert des Cloud computing, wenn Ihre Netzwerkverbindungen und die Bandbreite Ihrer minimalen Anforderungen erreichen. Die Wolke muss verfügbar sein, wenn Sie es brauchen. Wenn dies nicht der Fall ist, die Folgen sind nichts anderes als ein Denial-of-Service-Angriff.
  • Cloud-Anbieter-Viabilität: da Anbieter von Cloud für das Unternehmen relativ neu sind, es gibt Fragen über ihre Lebensfähigkeit und Ihren Einsatz. Diese Sorge vertieft, wenn ein Anbieter Mieter Verwendung proprietäre Schnittstellen um zu Mieter erfordert-Lock-in.
  • Disaster Recovery und Business Continuity: Mieter und Benutzer benötigen Sie vertrauen, dass es sich bei ihren Operationen und Diensten fortgesetzt werden, wenn der Cloud-Anbieter-Produktionsumgebung eine Katastrophe unterliegt.
  • Sicherheitsvorfälle: der Provider mitzuteilen, Mieter und Benutzer von einer Sicherheitsverletzung der. Mieter oder Benutzer können Providerunterstützung um zu überwachenden reagieren oder Bewertungsergebnissen erfordern. Darüber hinaus kann ein Anbieter nicht ausreichende Unterstützung Mieter oder Benutzern bieten für das Auflösen von Untersuchungen.
  • Transparenz: bei eine Wolke Anbieter Informationen über seine eigenen internen Richtlinien oder Technologie verfügbar macht, Mieter oder Benutzer die Sicherheitsansprüche für den Anbieter vertrauen müssen. Mieter und Benutzer benötigen noch einige Transparenz von Anbietern, wie sie Cloud-Sicherheit, Datenschutz und Sicherheitsvorfälle verwalten.
  • Verlust der physische Kontrolle: da Mieter und Benutzer physischen Kontrolle über ihre Daten und Anwendungen verlieren, dies führt zu einer Reihe von Bedenken:
    • Datenschutz: mit öffentlichen oder Community-Wolken, können keine Daten in einem System, die mehrere rechtliche Bedenken verbleiben.
    • Datensteuerelement: Daten an den Provider auf verschiedene Weise mit einigen Daten anderer herein konnte. Ein Mieter-Administrator hat Steuerungsbereich und Verantwortlichkeit innerhalb einer Infrastruktur öffentlicher als eine Dienstimplementierung (IaaS) und noch weniger mit einer Plattform as a Service (PaaS) eine beschränkt. Mieter müssen ihre Anbieter vertrauen bieten entsprechende Steuerelement erkennen die Notwendigkeit, ihre Erwartungen an, wie viel Kontrolle angemessen innerhalb dieser Modelle ist anzupassen.
    • Neue Risiken und Schwachstellen: es gibt Befürchtungen, dass das Cloud computing bringt neue Klassen von Risiken und Schwachstellen. Es gibt hypothetische neue Risiken, aber die tatsächlichen Exploits werden weitgehend eine Funktion der Implementierung eines Anbieters. Alle Software-, Hardware- und Netzwerkausrüstung unterliegen unter der Lupe neue Sicherheitslücken. Durch die Anwendung mehrschichtige Sicherheit und durchdachte Betriebsprozesse, können Sie eine Wolke vor verbreiteten Angriffen schützen, auch wenn einige seiner Komponenten inhärent anfällig sind.
    • Rechtliche und behördliche Compliance: kann es schwierig oder unrealistische öffentliche Wolken verwenden, wenn Ihre Daten gesetzliche oder behördliche Compliance unterliegt. Sie können die Anbieter zu erstellen und zu zertifizieren Cloud-Infrastrukturen für die Anforderungen von geregelten Märkten erwarten. Die Zertifizierung kann aufgrund der zahlreichen nichttechnischen Faktoren, einschließlich den derzeitigen Stand der Wolke allgemeine Kenntnisse eine Herausforderung sein. Als bester Praktiken für cloud-computing mehr Möglichkeiten umfassen, sollten diese Sorge Verblassen.

Obwohl das public Cloud-Modell für viele unempfindlich Anforderungen geeignet ist, ist die Tatsache, dass vertraulichen Informationen in jeder Wolke für diese Verarbeitung nicht zertifiziert verschieben ungeeignete Risiko führt. Sie müssen über bestimmte best Practices ganz klar sein: Es ist nicht ratsam, eine öffentliche Wolke für die Verarbeitung von sensibler, Mission-critical oder proprietärer Daten verwenden. Es ist teuer und übermäßige Belastung unempfindlich und Low-Impact-Systeme mit hoher Zusicherung Sicherheit. Schließlich ist es unverantwortlich, Cloud computing als grundsätzlich unsicher schließen oder zu behaupten, es ist sicherer als andere Alternativen.

Führen Sie eine angemessene Risikobewertung, bei der Auswahl einer Cloud-Bereitstellungsmodell. Sie sollten außerdem sicherstellen, dass Sie geeignete Sicherheitsmaßnahmen umgesetzt haben. Listen Sie Ihre Sicherheitsprobleme, so können Sie entweder schließen oder zu prüfen, und mit compensating Steuerelemente zu begegnen.

Die Rolle der Virtualisierung

Berücksichtigen Sie bei die Sicherheitsbedenken hinsichtlich des Cloud computing-Sie müssen auch die Sicherheitsaspekte rund um die Virtualisierung und seiner Rolle in der Wolke computing. Sie müssen verstehen, wie Virtualisierung in einer Cloud-Infrastruktur implementiert wird.

Beginnend auf der Ebene der unser Ziel, ist eine Virtual Machine (VM) in der Regel eine standard-Betriebssystem in einem Systemabbild vollständig konfiguriert und einsatzbereit erfasst. Dieses Bild Beträge auf einen Snapshot eines laufenden Systems, einschließlich der Leerstelle in das Bild für virtualisierte Festplattenspeicher.

Unterstützt diese VM-Vorgang ist eine gewisse Form der Aktivierung der Funktion. Dies wird i. d. r. einen Hypervisor aufgerufen, der selbst für die VM als der zugrunde liegenden Hardware darstellt. Verschiedene Virtualisierungsimplementierungen variieren, aber im Allgemeinen gibt es verschiedene Arten:

  • Typ 1: Dies ist die Abkürzung "native" oder "bare-Metal-Virtualisierung. Es ist ein Hypervisor implementiert, die direkt auf bare Hardware ausgeführt wird. Gast-Betriebssysteme werden auf der Hypervisor ausgeführt. Beispiele sind Microsoft Hyper-V, Oracle-VM, LynxSecure, VMware ESX und IBM Z/VM.
  • Typ 2: Dies ist die Abkürzung gehostete Virtualisierung. Dies hat einen Hypervisor, der als eine Anwendung innerhalb der Host-Betriebssystem ausgeführt wird. VMs auch oberhalb der Hypervisor ausgeführt werden. Beispiele hierfür sind Oracle-VirtualBox, Parallels, Microsoft Windows VirtualPC, VMware Fusion, VMware Server, Citrix XenApp und Citrix XenServer.
  • OS implementiert Virtualisierung: Dies ist innerhalb des Betriebssystems selbst, an die Stelle des Hypervisors implementiert. Beispiele hierfür sind die Solaris-Container, BSD Vollzugsanstalten, OpenVZ, Linux-V-Server und Parallels Virtuozzo Containers.

Gibt es interessante Sicherheitsbedenken hinsichtlich der Verwendung von Virtualisierung, noch bevor Sie erwägen, ihn für Cloud computing. Erstens sind Sie durch das Hinzufügen jedes neuen VM, eines weiteren Betriebssystems hinzufügen. Dies beinhaltet allein zusätzlichen Sicherheitsrisiken. Jedes Betriebssystem sollten entsprechend gepatcht, verwaltet und überwacht werden nach Bedarf pro die beabsichtigte Verwendung.

Zweitens typische Network-based Intrusion Detection funktioniert nicht gut mit virtuellen Servern auf demselben Host aufgestellt. Folglich müssen Sie erweiterte Techniken verwenden, um Datenverkehr zwischen VMs zu überwachen. Wenn nach dem Verschieben von Daten und Anwendungen zwischen mehreren physischen Servern für Lastverteilung oder Failover kann Systeme zur Netzwerküberwachung bewerten und spiegeln diese Operationen, wie sie sind. Dies ist die Verwendung in Verbindung mit Virtualisierung clustering übertrieben.

Drittens erfordert die Verwendung von Virtualisierung verschiedene Management-Ansätze für viele Funktionen, einschließlich der Konfigurationsverwaltung, Platzierung der VMs und Kapazitäts-Management. Ebenso können Ihre Probleme bei der Ressourcenzuordnung Performance-Probleme schnell werden. Daher sind "Kultiviert" Performance-Management-Praktiken entscheidend für die Ausführung einer effektiven, sicheren virtualisierten Umgebung.

VicWinkler_Headshot

Vic (j.) Winkler Booz Allen Hamilton, Bereitstellung von technischen Beratung in erster Linie die USA ist Senior associate Regierung-Clients. Er ist eine veröffentlichte Information Security und Cyber-Sicherheitsexperte sowie ein Experte in Intrusion-Anomalie-Erkennung.

© 2011 Elsevier Inc. Alle Rechte vorbehalten. Mit freundlicher Genehmigung von Syngress, ein Abdruck des Elsevier gedruckt. Copyright 2011. "Schützen der Wolke" von Vic (j.) Winkler. Weitere Informationen zu diesem Titel und andere ähnliche Bücher besuchen Sie elsevierdirect.com.

Verwandter Inhalt