Cloud Computing: Problemi di protezione Cloud

  • Articolo

Benché garantire la sicurezza dei dati continui a essere una delle problematiche prevalenti, un'infrastruttura di Cloud computing può effettivamente aumentare il livello di sicurezza complessivo.

VIC (J.R.) Winkler

Adattato da "Securing the Cloud" (Syngress, un'impronta Elsevier)

Sebbene alcuni di voi possono comunque all'approdo deep preoccupazioni su cloud computing da un punto di vista della protezione, che è essenzialmente una conclusione non accurata. Con la sua qualità intrinseche, cloud computing ha un enorme potenziale per le organizzazioni a migliorare le condizioni generali di sicurezza di informazioni.

Esistono molti motivi. Il modello di area consente la restituzione di un controllo efficace e funzionamento professionale su risorse IT, elaborazione e informazioni. In virtù della scala dell'area pubblica, locatari e gli utenti possono ottenere una migliore protezione perché l'investimento del provider nel raggiungimento di una migliore protezione costi inferiori al consumer.

Un'area privata offre vantaggi significativi per la protezione per gli stessi motivi. Esistono tuttavia avvertenze,: si otterrà il vantaggio senza investimenti e non tutti i modelli sono adatto a tutte le organizzazioni. Indipendentemente dal quale modello di erogazione di servizi o in un modello di distribuzione scelto trasferiranno certo grado di controllo per il provider di nuvola. Si tratta di una ragionevole completamente se il controllo viene gestito in maniera e a un costo che soddisfa le proprie esigenze.

Tenere traccia di protezione

Quando si tratta di cloud computing, esistono diverse aree di interesse:

  • Disponibilità della rete: si può realizzare solo il valore di cloud computing quando la connettività di rete e la larghezza di banda esigenze minime. L'area deve essere disponibile ogni volta che è necessario. In caso contrario, le conseguenze non sono diverse da un attacco di tipo denial of service.
  • Cloud Provider vitalità: poiché i provider di nuvola sono relativamente nuovi per l'azienda, esistono domande sulla loro vitalità e l'impegno. Questo problema deepens quando un provider richiede inquilini per l'utilizzo di interfacce proprietarie, portano a carico dell'affittuario lock-in.
  • Ripristino di emergenza e continuità aziendale: locatari e gli utenti richiedono fiducia che le operazioni e i servizi continuerà se ambiente di produzione del provider cloud è soggetto a una situazione di emergenza.
  • Gli incidenti di protezione: il provider deve informare locatari e gli utenti di qualsiasi violazione della protezione. Locatari o gli utenti possono richiedere supporto del provider per rispondere a controllare o risultati della valutazione. Inoltre, un provider potrebbero non essere offerti supporto sufficiente ai locatari o agli utenti per la risoluzione di indagini.
  • Trasparenza: quando un provider di nuvola non espone i dettagli dei propri criteri interni o tecnologia, locatari o gli utenti devono considerare affidabile attestazioni di sicurezza del provider. Locatari e gli utenti possono comunque richiedono alcuni trasparenza dai provider nel modo in cui gestiscono cloud protezione, privacy e gli incidenti di protezione.
  • Perdita di controllo fisico: perché locatari e gli utenti perdono il controllo fisico su applicazioni e dei dati, ciò dà luogo a una gamma di problemi:
    • Riservatezza dei dati: con nuvole pubblico o della Comunità, i dati potrebbero non essere conservati nello stesso sistema, la generazione di più problemi legali.
    • Controllo dei dati: dati Impossibile provenienti per il provider in vari modi con alcuni dati appartenenti ad altri utenti. Amministratore un affittuario ha limitato l'ambito di controllo e responsabilità all'interno di un'infrastruttura pubblica come un'implementazione del servizio (IaaS) e meno con una piattaforma come servizio (PaaS), uno. Locatari necessario abbiano fiducia loro provider offrirà il controllo appropriato, durante il riconoscimento della necessità di adeguare le loro aspettative per il livello di controllo è ragionevole all'interno di questi modelli.
    • Nuovi rischi e vulnerabilità: è presente la preoccupazione che cloud computing introduce nuove classi di vulnerabilità e i rischi. Esistono ipotetici nuovi rischi, ma gli exploit effettivi in gran parte sarà una funzione di un'implementazione del provider. Tutti i software, hardware e dispositivi di rete sono soggetti a unearthing nuove vulnerabilità. Applicando studiato dei processi operativi e sicurezza a più livelli, è possibile proteggere una nuvola da attacchi comuni, anche se alcuni dei suoi componenti sono intrinsecamente vulnerabili.
    • Legali e normativi: potrebbe essere difficile o non realistiche di utilizzare aree pubbliche, se i dati sono soggetti a restrizioni legali o normativi. È possibile prevedere i provider di generazione e certificare le infrastrutture di nuvola per soddisfare le esigenze dei mercati regolamentati. Ottenere la certificazione può essere difficile a causa di molti fattori non tecnici, compresi lo stato corrente delle conoscenze generali cloud. Procedure consigliate per cloud computing comprendono l'ambito maggiore, fallo questa preoccupazione dovrebbe dissolvenza.

Sebbene il modello di area pubblica è appropriato per varie esigenze non riservati, il fatto è che lo spostamento di informazioni riservate in qualsiasi area non certificata per tale elaborazione introduce il rischio non appropriato. È necessario essere completamente libera su alcune procedure consigliate: non è invece consigliabile utilizzare un'area pubblica per l'elaborazione dei dati sensibili, missioni-critici o proprietari. È costosa ed eccessivo per i sistemi di carico non sensibili e basso impatto con garanzia elevata protezione. Infine, è irresponsabile chiudere cloud computing come intrinsecamente non protetti o richiedere che sia più sicuro di alternative.

Quando si sceglie un modello di distribuzione cloud, attenersi alla seguente una valutazione dei rischi ragionevole. Controllare inoltre che dispone di controlli di protezione appropriato in posizione. Elencare le esigenze di protezione in modo che è possibile chiudere o convalidarli e contrastarli con compensazione di controlli.

Il ruolo della virtualizzazione

Come prendere in considerazione i problemi di protezione intorno cloud computing, è necessario considerare anche i problemi di protezione intorno virtualizzazione e il relativo ruolo nella nuvola di elaborazione. È necessario comprendere la modalità di implementazione della virtualizzazione all'interno di un'infrastruttura di nuvola.

L'avvio di livello il nostro obiettivo, una macchina virtuale (VM) è in genere un sistema operativo standard acquisito in un'immagine del sistema completamente configurata e pronta operativamente. Questa quantità di immagine a uno snapshot di un sistema in esecuzione, incluso lo spazio nell'immagine per l'archiviazione su disco virtuale.

Operazione di questa macchina virtuale di supporto è qualche forma di una funzione di attivazione. In genere si tratta di un hypervisor, che rappresenta se stesso per la macchina virtuale come hardware sottostante. Le implementazioni di virtualizzazione diverse variare, ma in termini generali, esistono diversi tipi:

  • Tipo 1: viene anche denominato "nativo" o "bare metal" virtualizzazione. Viene implementata da un hypervisor che viene eseguito direttamente sull'hardware bare. Esecuzione di sistemi operativi guest in cima l'hypervisor. Sono esempi di Microsoft Hyper-V, VM di Oracle, LynxSecure, VMware ESX e IBM z/VM.
  • Tipo 2: questo è l'acronimo virtualizzazione hosted. Questo ha un hypervisor di esecuzione di un'applicazione all'interno di un sistema operativo host. Eseguire inoltre l'hypervisor di sopra delle macchine virtuali. Sono esempi di VirtualBox di Oracle, parallele, Virtual PC utilizzeranno Microsoft Windows la, VMware Fusion, VMware Server, Citrix XenApp e Citrix XenServer.
  • Sistema operativo implementato virtualizzazione: questo viene implementato all'interno del sistema operativo stesso, prendere il posto dell'hypervisor. Sono esempi di questo contenitori Solaris, BSD jails, OpenVZ, Server Linux-V e Parallels Virtuozzo contenitori.

Vi sono interessanti problemi di protezione intorno l'utilizzo della virtualizzazione, prima di considerare a utilizzarlo per cloud computing. In primo luogo, mediante l'aggiunta di ogni nuova macchina virtuale, si aggiunge un altro sistema operativo. Da soli, questo comporta dei rischi di protezione aggiuntivi. Ogni sistema operativo deve essere adeguatamente con patch, gestiti e monitorati in modo appropriato per l'uso previsto.

Secondo, rilevamento tipica delle intrusioni basati sulla rete non funziona bene con i server virtuali installati nello stesso host. Di conseguenza, è necessario utilizzare tecniche avanzate per monitorare il traffico tra le macchine virtuali. Quando si spostano i dati e le applicazioni tra più server fisici per il bilanciamento del carico o di failover, sistemi di monitoraggio della rete non può valutare e riflettono queste operazioni per che cosa sono. Ciò viene esagerata quando si utilizza il clustering in combinazione con la virtualizzazione.

In terzo luogo, utilizzando la virtualizzazione richiede la gestione di diversi approcci per molte funzioni, tra cui la gestione della configurazione, il posizionamento delle macchine e gestione della capacità. Allo stesso modo, i problemi di allocazione risorse possono diventare rapidamente i problemi di prestazioni. In questo modo, le procedure di gestione delle prestazioni di notte sono fondamentali per l'esecuzione di un ambiente virtualizzato efficacia e sicuro.

VicWinkler_Headshot

VIC (J.R.) Winkler è un consulente senior associare in Booz Allen Hamilton, che fornisce consulenza tecnica per principalmente degli Stati Uniti client di governo. Egli è un protezione di informazioni pubblicate e ricercatore di cyber security, nonché un esperto di rilevamento delle intrusioni/delle anomalie.

© 2011 Elsevier Inc. Tutti i diritti riservati. Stampato con l'autorizzazione di Syngress, un'impronta Elsevier. Copyright 2011. "Area di protezione" da Vic (J.R.) Winkler. Per ulteriori informazioni su questo titolo e altri libri simili, visitare elsevierdirect.com.

Contenuto correlato