Computação em nuvem: A viagem rápida até a nuvem

  • Artigo

Trazer o primeiro projeto de linha de negócios para a nuvem requer uma série de pontos de decisão crítica, incluindo alterações de processo e pessoal.

Dan Griffin e Tom Jones

O modelo financeiro para cloud computing parece ser uma opção irresistível para enfrentar as pressões do orçamento. Após o consumo de serviços, você é cobrado numa base mensal. Assim, os serviços de computação de nuvem são considerados despesa operacional, não uma despesa de capital.

Você pode reduzir a sobrecarga consolidando recursos em grandes centros de dados compartilhados. Isto cria a eficiência no consumo de energia e de pessoal. Você pode dimensionar seu uso do serviço para cima ou para baixo como você precisa — não há excesso de capacidade e nenhuma oportunidade perdida.

Finalmente, existem várias maneiras que amplamente implantados aplicativos baseados em nuvem podem suportar suas necessidades de negócios. Você pode preparar e representam uma força de trabalho cada vez mais móvel, um conjunto diversificado de parceiros de negócios e uma Cadeia de suprimentos em todo o mundo.

Enquanto os benefícios de custo e colaboração podem ser óbvios, a estrada para a nuvem não é sem seus buracos, muitos dos quais estão ocultos. Você terá que treinar sua equipe de TI, criar novas requisições e processos de operações e atualizar as políticas de conformidade e segurança de dados. Felizmente, você pode enfrentar esses desafios de forma sistemática. Aqui está um olhar para os pontos de decisão importante que uma organização típica irá enfrentar em tendo seu primeiro projeto de linha de negócios (LOB) para um provedor de nuvem baseados na Internet.

Começar

Gerentes de negócios estão sempre à procura de aplicações para ajudá-los a gerir os seus negócios com mais eficiência — seja para analisar dados de decisão mais rápido fazendo ou recebendo uma maior visibilidade nas operações de negócios. E se esses recursos vêm de aplicativos comerciais ou personalizados, a carga é nele para oferecer e operar um conjunto crescente de serviços sob pressão contínua de orçamento.

Quando um aplicativo de negócios é completamente autônomo sem conformidade ou restrições de segurança, a consideração de nuvem de hospedagem é bastante simplificada ao custo de implantação e operação. A maioria dos aplicativos de negócios exigirá uma análise de risco e benefício mais cuidadosa antes de decidir como gerenciar a nuvem de hospedagem:

  1. Autenticação para ambos público e privado (empresa) usuários.
  2. Ameaças à segurança e atenuações quando usando a nuvem pública.
  3. Normas de conformidade e como simplificá-las com arquitetura correta.

As duas primeiras considerações tem soluções comuns para a maioria das implantações. Normas de conformidade dependem a localização e o tipo de dados para serem manipulados pelo aplicativo. As questões de conformidade principais — aproximadamente em ordem decrescente de complexidade — são:

  1. Regulamentos do governo que proíbe segredos pessoais ou nacionais de atravessar fronteiras internacionais.
  2. Informações de saúde protegidas pela HIPAA ou regulamentos semelhantes.
  3. Roubo de identidade, em uma versão específica de acesso à contabilidade financeira.
  4. Divulgação pública de um usuário pessoalmente identificáveis informações (PII).
  5. Requisitos internos para manipulação de dados confidenciais de negócios.

Problemas de autenticação

Alguns usuários de serviço nuvem não vai ser parte de um diretório corporativo como o Microsoft Active Directory. Nesse caso, o serviço de nuvem precisa agregados usuários de provedores de identidade diferente (deslocados internos). Estes terão regras potencialmente diferentes de acesso para os recursos de nuvem.

Quando há tanto públicos e privados (dentro da empresa) usuários, nuvem apps exigirá acesso aos dados de acesso e política. Assim, você poderia implantar convenientemente esses dados para a nuvem. Esse tipo de implantação irá permitir o acesso de qualquer tipo de dispositivo, mesmo se esse dispositivo não faz parte do diretório corporativo.

Você provavelmente vai acabar movendo dados antigos para o novo banco de dados para hospedagem de nuvem, mas Manipulação o mapeamento de esquema e migração de dados não deve ser diferente do que qualquer outra migração. Existem ferramentas que facilitam o processo de Federação de identidade. No entanto, também pode haver problemas de conformidade associados aos dados no banco de dados ou os recursos de nuvem.

O Windows Azure Access Control (AC) serviço é um serviço conveniente nuvem que pode agregar reivindicações de um servidor de serviços de Federação do Active Directory (ADFS) no local e um IdP externos fornecidos pelo Windows Live, Facebook ou outros sites de redes sociais. Usando serviços da nuvem para dá de agregação de identidade que suporte para várias linguagens de programação e muitos deslocados internos existentes.

Usando AC, você pode facilmente mapear declarações geradas pelo ADFS, por exemplo, a créditos personalizados para um aplicativo determinado em - ou fora do estabelecimento. Esta abordagem reduz os custos de complexidade e manutenção de aplicativos. AC também pode mediar a relação dos usuários no local, recursos de nuvem e os usuários que acessam os dados da Internet (consulte Figura 1).

Figura 1 WindowsAzure serviço de controle de acesso pode mediar no local e nuvem recursos.

Ameaças de segurança pública nuvem

Algumas organizações podem pagar a mesma massa crítica do mesmo pessoal, conhecimentos e processos como os provedores de infra-estrutura de grande nuvem. E a experiência tem demonstrado que você pode executar alguns apps com mais segurança na nuvem do que no local.

No entanto, haverá novas ameaças que surgem como resultado de conexões de Internet públicas. Estes tipos de ameaças são introduzidos por de-perimeterization de rede, então você vai precisar para resolvê-los eventualmente enfim. Ainda, novas implantações de nuvem pública devem ser sujeitas a revisão de segurança. Você deve levar em conta as considerações a seguir.

Dentro do domínio da empresa, são permitidas apenas computadores associados a um domínio. Você pode usar mecanismos como o Network Access Protection (NAP) e IPsec para garantir que todas as máquinas são bem conhecidos e gerenciados contra ameaças à segurança. No entanto, você também pode estender esses mecanismos na nuvem.

Além disso, servidores baseados em nuvem são cobertos por acordos de nível de serviço (SLA) que você deve incluir em uma revisão de segurança. Você precisará garantir que tempo de atividade, certificações de segurança, privacidade e conformidade satisfatoriamente são abordadas.

Aqui estão alguns dos pontos de ataque específico que você deve cobrir no âmbito de uma revisão de segurança:

  • Divulgação de informações ou ataques de negação de serviço no tráfego público
  • Man-in-the-middle falsificação de servidores nuvem ou no local
  • Seqüestro de conexões existentes na Internet pública
  • Repetição de credenciais de nuvem

Esses tipos de ataques foram vistos em gerações anteriores de serviços corporativos. Você pode usar o fluxo de dados para analisar as ameaças que surgem quando uma nuvem pública é usada com serviços no local (ver Figura 2). Aqui estão três tipos básicos de conexões, que você terá que analisar:

  1. Nem fim da conexão está em um local confiável. Não há nenhuma maneira de avaliar a conexão, assim qualquer alegação de IdP neste exemplo deve ser assinada para o serviço para garantir a integridade da mensagem.
  2. Uma das extremidades da conexão é na nuvem. O outro é um site de usuário não gerenciado pela empresa. Neste caso, você pode proteger a conexão com um link SSL (TLS ou HTTPS) onde podem ser fornecidas credenciais para um (ou ambos) as extremidades para garantir algum nível de autenticação, bem como a proteção de dados enquanto em trânsito da nuvem. Sem uma identidade verificável em cada extremidade, são possíveis ataques man-in-the-middle.
  3. Ambas as extremidades da conexão estão em um local confiável. Porque a nuvem não estejam sob o controle da empresa, também é necessária forte identidade em ambas as extremidades. Neste exemplo, conexões SSL ou IPsec (VPN) fornecerá as proteções necessárias.

Analyze the threats to your data flow before taking action

Figura 2 analisar as ameaças aos seus dados de fluxo antes de tomar a ação.

Arquiteto para conformidade

Talvez você não consiga determinar como contas irão classificar os dados antes que um aplicativo está pronto para implantação. Pior ainda, a classificação de dados poderia mudar, mesmo depois que o aplicativo é implantado. Auditores de conformidade preferem realizar uma auditoria de app acabado antes ele é implantado, mas que pode ser caro.

Em vez de segurando uma implantação esperando para maior clareza, é mais fácil instituir compensadores controles para evitar problemas de conformidade. Esses métodos podem ajudá-lo a evitar problemas de conformidade com implantações de nuvem:

  1. Certifique-se de uma boa separação de controle. Isto sugere que qualquer processo que pode acessar dados confidenciais não deve também ser acessível à Internet. Se algum processo de Internet precisa os dados, tente localizar os dados sensíveis separadamente dos dados não confidenciais, mesmo se eles são acessados pela mesma chave.
  2. Certifique-se de protocolos de dados entre os aplicativos que manipulam dados confidenciais e aplicativos voltados para o público são projetados de modo que eles não podem acomodar dados confidenciais.
  3. Use a criptografia para proteger dados confidenciais. Chaves de descriptografia não devem ser acessíveis para aplicativos voltados para o público. Você pode implantar teclas sensíveis e aplicações em nuvem ou no local, mas eles nunca devem ter as mesmas permissões de acesso que apps publicamente acessíveis.

Quando você tem que liberar dados para os usuários da internet pública, separar o aplicativo LOB do motor de conformidade que manipulará o acesso e auditoria verifica se os dados confidenciais. Esses fluxos de dados ilustram essa arquitetura (consulte Figura 3). Isso pode parecer complexo, mas há apenas dois conceitos principais que você precisa entender sobre separação de controle:

  1. Você pode agregar autenticação do usuário com um reivindicações serviço como Windows Azure AC serviço de mapeamento. Isso reúne as credenciais do usuário de um Active Directory federado no local e um IdP baseado em nuvem, tais como Windows Live ou Facebook.
  2. Separe os componentes do aplicativo LOB que manipulam dados protegidos por aqueles que não, para que os esforços de auditoria de conformidade pode concentrar-se sobre o antigo.

Figura 3 qualquer conformidade verifica devem ser manuseados independente de aplicativos de linha de negócios.

Agora você precisará determinar onde você localizar o mecanismo de acesso de conformidade. Você poderia ter o mecanismo de conformidade hospedado na nuvem de eficiência operacional, ou em instalações para aumentar a segurança. Você tem que proteger todas as conexões que contêm dados confidenciais.

Nós já explorou quatro soluções aqui para mover-se na nuvem. Cada solução atende às necessidades do aplicativo específico ou vulnerabilidades. Seu primeiro passo é compreender quais os dados que você terá para expor na internet pública. Se isso é dados confidenciais, autenticação de usuário é crítica. Se não for, em seguida, separar dados e controle pode evitar quaisquer problemas de conformidade. Depois de fazer essas escolhas, desenhar um diagrama de fluxo de dados preliminares e olhar para os pontos de ataque. Em conjunto, esta preparação deve dar-lhe a confiança necessária para lidar com uma implantação de nuvem LOB.

Email Dan Griffin

Dan Griffin é o fundador do JW Secure Inc., uma empresa de consultoria de segurança de software baseada em Seattle. Segui-lo no Twitter em twitter.com/JWSdan.

 

Email Tom Jones

Tom Jones é um arquiteto de software e autor especializado em segurança, confiabilidade e facilidade de uso para soluções em rede para financeiras e outras críticas baseados em nuvem empresas. Suas inovações em segurança abrangem uma gama completa de integridade obrigatória para criptografia de modems. Ele pode ser contatado pelo tom@jwsecure.com.

Conteúdo relacionado