Il Cloud Computing: Il primo viaggio verso il cloud

Portando il primo progetto di line-of-business per la nube richiede una serie di punti critici della decisione, comprese le modifiche di personale e di processo.

Dan Griffin e Tom Jones

Il modello finanziario per il cloud computing sembra un'opzione irresistibile per la riunione di pressioni di bilancio. Dopo aver consumato servizi, stai fatturati su base mensile. Così i servizi cloud computing sono considerati una spesa operativa, non una spesa di capitale.

È possibile ridurre il sovraccarico unificando le risorse in grandi centri dati condivisi. Questo crea efficienza nel consumo di potenza e assunzione di personale. Lo potete ridimensionare l'utilizzo del servizio su o giù come avete bisogno — nessun eccesso di capacità e nessuna occasione perduta.

Infine, ci sono più modi che applicazioni ampiamente distribuite basate su cloud possono supportare le esigenze aziendali. È possibile prepararsi e rappresentano una forza lavoro sempre più mobile, un insieme diversificato di partner commerciali e una catena di fornitura in tutto il mondo.

Mentre i vantaggi di costo e di collaborazione potrebbero essere ovvi, la strada della nube non è senza sue buche, molti dei quali sono nascosti. Dovrete riqualificare il personale IT, creare la nuova richiesta di approvvigionamento e processi di operazioni e aggiornare i criteri di sicurezza e conformità dei dati. Per fortuna, si possono affrontare queste sfide in modo sistematico. Ecco uno sguardo ai punti di decisione importante che una tipica organizzazione dovrà affrontare nel prendere il primo progetto di line-of-business (LOB) a un provider di nube basati su Internet.

Per iniziare

I responsabili aziendali sono sempre alla ricerca di applicazioni per aiutarli ad eseguire la loro attività in modo più efficiente — se si tratta per analizzare dati per decisione più veloce facendo o di ottenere una maggiore visibilità in operazioni aziendali. E se quelle capacità provengono da applicazioni commerciali o personalizzate, l'onere è su di esso per trasportare e operare un set di continua espansione dei servizi sotto la pressione di bilancio continua.

Quando un'applicazione business è completamente autonoma con la non conformità o vincoli di sicurezza, la considerazione per l'hosting di nube è notevolmente semplificata al costo di distribuzione e il funzionamento. La maggior parte delle applicazioni di business richiederà una più attenta analisi di rischi e benefici prima di decidere come gestire la nube di hosting:

1. Autenticazione per entrambi pubblico e privato (impresa) utenti.
2. Minacce alla sicurezza e attenuazioni quando si utilizza la nube pubblica.
3. Normative di conformità e come li semplificare con l'architettura di destra.

Le prime due considerazioni hanno soluzioni comuni per la maggior parte delle distribuzioni. Normative di conformità dipendono la posizione e il tipo di dati per essere gestita dall'app. Le questioni principali conformità — approssimativamente in ordine decrescente di complessità — sono:

1. Regolamenti governativi che vieta di segreti personali o nazionale di attraversare i confini internazionali.
2. Informazioni sanitarie protette dai regolamenti simili o HIPAA.
3. Furto di identità, in particolare rilascio di accesso a conti finanziari.
4. Divulgazione al pubblico di un utente personalmente identificabili informazioni (PII).
5. Requisiti interni per la gestione dei dati aziendali riservate.

Problemi di autenticazione

Alcuni utenti del servizio di nube non saranno parte di una directory azienda come Microsoft Active Directory. In tal caso, il servizio di nube deve aggregati utenti dal provider di identità diverse (IDP). Questi avrà regole potenzialmente diverso accesso alle risorse nube.

Quando ci sono entrambi di pubblico e gli utenti privati (all'interno dell'organizzazione), Nuvola apps richiederà l'accesso ai dati di accesso e la politica. Così, si potrebbero distribuire convenientemente che i dati della nube. Questo tipo di distribuzione consentirà accesso da qualsiasi tipo di dispositivo, anche se tale dispositivo non fa parte della directory aziendale.

Probabilmente finirete per lo spostamento di vecchi dati nel nuovo database per l'hosting di nuvola, ma gestire i mapping dello schema e la migrazione dei dati dovrebbe essere non diverso da qualsiasi altro migrazione. Ci sono strumenti che facilitano il processo di Federazione di identità. Tuttavia, ci potrebbe essere anche problemi di conformità associati con i dati in database o le risorse della nube.

Il servizio Windows Azure Access Control (AC) è un servizio conveniente nube che può aggregare i crediti da un server di Active Directory Federation Services (ADFS) locale e un IdP esterni forniti da Windows Live, Facebook o altri siti di social networking. Utilizzando i servizi cloud per dà di aggregazione di identità che supporto per molti linguaggi di programmazione e molti sfollati interni esistenti.

Utilizzando AC, è facilmente possibile mappare crediti generati da ADFS, ad esempio, ai crediti personalizzate per un'applicazione determinata su - o fuori dei locali commerciali. Questo approccio riduce i costi di manutenzione e di complessità di applicazione. AC possono mediare anche il rapporto di utenti locali, nube risorse e agli utenti l'accesso ai dati da Internet (vedere Figura 1).

Figura 1 WindowsAzure Access Control Service possono mediare tra locale e nube risorse.

Minacce alla sicurezza di Cloud pubblici

Alcune organizzazioni possono permettersi la stessa massa critica di esso personale, competenze e processi come i fornitori di infrastrutture principali cloud. E l'esperienza ha dimostrato che è possibile eseguire alcune applicazioni in modo più sicuro nella nube di locali.

Tuttavia, ci saranno nuove minacce introdotte come risultato di connessioni Internet pubbliche. Questi tipi di minacce sono introdotto da de-perimeterization di rete, quindi avrete bisogno di affrontare alla fine comunque. Ancora, nuove distribuzioni di nube pubblico devono essere sottoposti a verifica della sicurezza. Si dovrebbero prendere le seguenti considerazioni in considerazione.

All'interno del dominio aziendale, sono consentiti solo i computer appartenenti a un dominio. È possibile utilizzare meccanismi come Network Access Protection (NAP) e IPsec per garantire che tutte le macchine sono ben noti e gestito contro le minacce alla sicurezza. Tuttavia, è anche possibile estendere questi meccanismi nell'area.

Inoltre, server basato su cloud sono coperti da contratti di servizio (SLA) che è necessario includere in una recensione di sicurezza. È necessario assicurarsi che uptime, certificazioni di sicurezza, privacy e conformità vengono affrontate in modo soddisfacente.

Ecco alcuni dei punti di attacco specifico che si dovrebbe coprire nell'ambito di una revisione di sicurezza:

• Divulgazione di informazioni o attacchi di tipo denial of service sul traffico pubblico
• Man-in-the-middle lo spoofing dei server o nube o locali
• Connessioni di dirottamento esistenti su Internet pubblica
• Replay di credenziali nube

Questi tipi di attacchi sono stati osservati nelle generazioni precedenti di enterprise services. È possibile utilizzare il flusso di dati per analizzare le minacce introdotte quando una nube pubblica viene utilizzata con i servizi locali (vedere Figura 2). Qui ci sono tre tipi base di connessioni che si deve analizzare:

1. Nessuna delle due estremità del collegamento si trova in una posizione di fiducia. Non non c'è alcun modo per valutare la connessione, quindi qualsiasi reclamo da IdP in questo esempio deve essere firmato al servizio per garantire l'integrità del messaggio.
2. Un'estremità della connessione è nella nube. L'altro è un utente sul sito non gestito dall'impresa. In questo caso, è possibile proteggere la connessione con un collegamento SSL (TLS o HTTPS) dove le credenziali possono essere fornite a uno (o entrambi) estremità del collegamento per garantire un livello di autenticazione, come pure la protezione dei dati, mentre la nube in transito. Senza un'identità verificabile a ciascuna estremità, attacchi man-in-the-middle sono possibili.
3. Entrambe le estremità della connessione sono in un percorso attendibile. Perché la nube possa non essere sotto il controllo dell'impresa, è necessario anche forte identità ad entrambe le estremità. In questo esempio connessioni SSL o IPsec (VPN) fornirà le protezioni necessarie.

Figura 2 analizza le minacce per i dati di flusso prima di prendere azione.

Architetto per la conformità

Potrebbe non essere in grado di determinare come conti verranno classificare i dati prima di un'applicazione è pronta per la distribuzione. Peggio ancora, classificazione dei dati potrebbe cambiare, anche dopo che l'applicazione viene distribuita. Conti di conformità preferiscono per condurre un audit app finito prima che questa viene distribuita, ma che può essere costoso.

Invece di reggere una distribuzione in attesa di chiarezza, è più facile di istituire controlli compensatori per evitare problemi di conformità. Questi metodi consentono di evitare i problemi di conformità con le distribuzioni di nube:

1. Garantire una buona separazione del controllo. Questo suggerisce che qualsiasi processo che può accedere ai dati sensibili non dovrebbe anche essere interfacciato a Internet. Se qualche processo a Internet ha bisogno di dati, cercare di individuare i dati sensibili separatamente dai dati non sensibili, anche se stai cui si accede con la stessa chiave.
2. Rendere sicuri protocolli di dati tra le applicazioni che gestiscono dati sensibili e i apps rivolto al pubblico sono progettati in modo che essi non possono adattare dati sensibili.
3. Utilizzare la crittografia per proteggere i dati sensibili. Chiavi di decrittografia non dovrebbero essere accessibile a apps rivolto al pubblico. È possibile distribuire applicazioni nella nube o locale e tasti sensibili, ma mai dovrebbero avere le stesse autorizzazioni di accesso come apps pubblicamente accessibile.

Quando devi rilasciare i dati agli utenti su internet pubblica, separare il app LOB dal motore di conformità che gestirà tutti l'accesso e controllo verifica la presenza di dati sensibili. Questi flussi di dati illustrano quell'architettura (vedere Figura 3). Questo potrebbe sembrare complesso, ma ci sono solo due concetti principali che è necessario capire per quanto riguarda la separazione del controllo:

1. Si possono aggregare l'autenticazione dell'utente con un attestazioni mappatura servizio come servizio di Windows Azure AC. Questo raccoglie le credenziali dell'utente da un locale federati Active Directory e un IdP cloud-based, come ad esempio Windows Live o Facebook.
2. Separare i componenti dell'applicazione LOB che gestiscono dati protetti da quelli che non lo fanno, così gli sforzi di controllo di conformità possono concentrarsi sull'ex.

Figura 3 qualsiasi conformità controlli devono essere maneggiati indipendente dell'applicazioni line-of-business.

Ora è necessario determinare dove potrai individuare il motore di accesso di conformità. Si potrebbe avere il motore di conformità ospitato nella nube per l'efficienza operativa, o locali per una maggiore sicurezza. Devi proteggere tutte le connessioni che trasportano dati sensibili.

Noi abbiamo esplorato quattro soluzioni qui per lo spostamento nella nube. Ogni soluzione risolve esigenze applicative specifiche o vulnerabilità. Il primo passo è capire quali dati si deve esporre su internet pubblica. Se questo è dati sensibili, l'autenticazione dell'utente è fondamentale. Se non lo è, quindi separare dati e controllo potrebbe evitare eventuali problemi di conformità. Una volta che si effettua queste scelte, tirare fuori un diagramma di flusso di dati preliminari e guardare i punti di attacco. Presi insieme, questa preparazione dovrebbe dare la fiducia che è necessario affrontare una distribuzione di nube LOB.

Dan Griffin è il fondatore di JW Secure Inc., una consulenza di sicurezza software con sede a Seattle. Seguirlo su Twitter a twitter.com/JWSdan.

Tom Jones è un progettista software autore specializzata in sicurezza, affidabilità e usabilità per soluzioni in rete per finanziarie e altri critici basato su cloud imprese. Sue innovazioni nella sicurezza abbracciano una gamma completa di integrità obbligatorio per crittografare il modem. Può essere raggiunto a tom@jwsecure.com.

Contenuti correlati

• Il Cloud Computing: Raggiungimento di controllo nella nube ibrido
• Il Cloud Computing: Virtual Cloud in materia di sicurezza
• Il Cloud Computing: Trust Management in Virtual Datacenter