View
500
Download
3
Category
Preview:
DESCRIPTION
Esta apresentação descreve a nossa experiência com uma nuvem privada, e discute o projeto e a implementação de um Private Cloud Monitoring System (PCMONS) e sua aplicação através de um estudo de caso para a arquitetura proposta. O objetivo desta apresentação é também fornecer gerenciamento de identidade, com base na federação digital de identidade, com autenticação e autorização de mecanismos de acesso a controle em ambientes de computação em nuvem. Green cloud computing visa uma transformação infra-estrutura que combina flexibilidade, qualidade dos serviços e energia reduzida utilização. Esta apresentação também introduz o modelo de gestão do sistema, análises de comportamento do sistema, descreve os princípios de operação e apresenta um caso de estudo de cenário e alguns resultados de nuvens verdes.
Citation preview
Segurança na Computação em Nuvem
LRG – Laboratório de Redes e GerênciaCarla Merkle Westphall
carlamw@inf.ufsc.br
Carlos Becker Westphallwestphal@inf.ufsc.br
Roteiro
• Ambiente
• Ameaças
• Desafios
2
3
Segurança CID – confidencialidade, integridade,
disponibilidade
Ameaças – condições ou eventos que forneçam potencial de violação de segurança
Vulnerabilidade – falha ou característica indevida que pode ser explorada
Ataque – conjunto de ações feitas por entidade não autorizada visando violações de segurança
Computação em nuvemHardware e Software entregues:• Sob demanda na forma de auto-atendimento• Independente de dispositivo e de localizaçãoRecursos necessários• Compartilhados• Dinamicamente escaláveis• Alocados rapidamente e liberados com
interação mínima com o provedor de serviço • Virtualizados Usuários pagam pelo serviço usado
4
5
6
http://cloudtaxonomy.opencrowd.com/taxonomy/
Tecnologias usadas
• Aplicações e serviços Web
• Virtualização
• Criptografia
7
• Em larga escala implementar segurança é mais barato (filtros, gerenciamento de patches, proteção de máquinas virtuais)
• Grandes provedores de cloud podem contratar especialistas
• Atualizações são mais rápidas em ambientes homogêneos para responder aos incidentes
• Imagens padrão de VMs e softwares podem ser atualizados com configurações de segurança e patches
“Mesmo valor de investimentos em segurança compra uma proteção melhor"
Segurança e economia
8
Defesas de ambientes de nuvem podem ser mais robustas, escaláveis e ter uma relação custo-benefício melhor, mas…
....a concentração grande de recursos e dados são um alvo mais atraente para atacantes
9
Ameaças• Desvio de sessão (session hijacking): o atacante
consegue se apoderar de uma sessão HTTP válida para obter acesso não autorizado
10
Ameaças• Fuga da virtualização: o atacante consegue sair
do ambiente virtualizado e obter acesso à máquina física
11
Ameaças
• Criptografia insegura e obsoleta:▫ avanços na criptoanálise, protocolos e
algoritmos antes considerados seguros passam a ser obsoletos e vulneráveis
▫ gerenciamento e armazenamento de muitas chaves, hardware não é fixo, difícil ter HSM
• Amazon S3 (serviço de storage) usa 256-bit Advanced Encryption Standard (AES-256)
12
Ameaças• Acesso não autorizado à interface de gerência:
com o auto-atendimento o gerenciamento de clouds geralmente é feito em uma interface web, sendo mais fácil para um atacante obter acesso não autorizado
13
Ameaças
• Vulnerabilidades do IP: acesso via Internet, rede não confiável, IP possui problemas de segurança (scanning IaaS proibido)
• Vulnerabilidades de recuperação de dados: devido a realocação de recursos é possível que um usuário tenha acesso a recursos de armazenamento e memória previamente utilizados que ainda podem conter dados
14
Ameaças
• Injeção de código malicioso: ▫ injeção de SQL – comando SQL é adicionado
ou substitui dados fornecidos pelo usuário que são interpretados (e executados)
▫ Cross-Site Scripting - permite a execução de códigos (scripts) no browser do lado do cliente
15
OWASP - 2010
SQL Injection – Ilustração
Fire
wal
l
Hardened OS
Web Server
App ServerF
irew
all
Dat
abas
es
Leg
acy
Syst
ems
Web
Ser
vice
s
Dir
ecto
ries
Hum
an R
esrc
s
Bill
ing
Custom Code
APPLICATIONATTACK
Net
wor
k L
ayer
App
lica
tion
Lay
er
Acc
ount
s
Fina
nce
Adm
inis
trat
ion
Tra
nsac
tions
Com
mun
icat
ion
Kno
wle
dge
Mgm
t
E-C
omm
erce
Bus
. Fun
ctio
ns
HTTP request
SQL query
DB Table
HTTP response
"SELECT * FROM accounts WHERE acct=‘’ OR 1=1--’"
1. Aplicação apresenta um formulário para o atacante
2. Atacante envia um ataque nos dados do formulário
3. Aplicação encaminha o ataque para o BD em uma consulta SQL
4. Banco de dados executa a consulta contendo o ataque e envia resultados cifrados de volta para a aplicação5. Aplicação decifra dados como normais e envia resultados para o usuário
Contas
Conta:5424-6066-2134-4334Conta:4128-7574-3921-0192Conta:5424-9383-2039-4029Conta:4128-0004-1234-0293
Conta :
SKU:
Conta :
SKU:
16
OWASP - 2010
Cross-Site Scripting - Ilustração
Aplicação com vulnerabilidade XSS armazenada
3
2
Atacante envia uma armadilha – atualize o meu perfil
Atacante envia um script malicioso em uma página web que armazena os dados no servidor
1
Vítima viu página – viu o perfil do atacante
Script envia silenciosamente o cookie de sessão da vítima para o atacante
Script executa no browser da vítima com acesso completo ao DOM e cookies
Custom Code
Acc
oun
ts
Fin
ance
Adm
inis
trat
ion
Tra
nsac
tions
Com
mu
nica
tion
Kno
wle
dge
M
gmt
E-C
omm
erc
e
Bus
. Fun
ctio
ns
17
Ameaças
• Uso nefasto e abusivo (Iaas, PaaS): poder computacional, rede e armazenamentos ilimitados são usados por usuário cadastrado. Usuário pode ser spammer, distribuir código malicioso ou outro criminoso. É só ter cartão de crédito !
Crack de senhas e chaves, disparo de ataques, DDOS (X-DoS, H-DoS), comando e controle de botnet (Zeus botnet)
18
19
Ameaças
20
• Interfaces e APIs inseguras (Iaas, PaaS, SaaS)
Acesso anônimo e ou tokens ou senha reusáveis, autenticação ou transmissão de dados sem criptografia, autorização imprópria, monitoramento e log limitados, dependências de APIs e serviços desconhecidas
Ainda...
• Usuários não conseguem monitorar a segurança de seus recursos na nuvem
• Possibilidade de auditoria da segurança insuficiente
• Não existem padrões de medidas específicas para cloud
• A computação nas nuvens separa os componentes de sua localização e isso cria questões de segurança que resultam desta falta de perímetro
21
22
23
Cloud Security Alliance• Domínios de governança• Domínios operacionais
1. Segurança tradicional, planos de continuidade e recuperação de desastres
2. Operações dos datacenters3. Tratamento de incidentes4. Segurança das aplicações5. Criptografia e gerenciamento de chaves6. Gerenciamento de identidades e de acesso7. Virtualização8. Segurança como serviço
24
Desafios - Criptografia• Criptografia forte • Gerenciamento de chaves escalável
▫ uma única chave por usuário?▫ uma única chave para todos os usuários? ▫ múltiplas chaves para o mesmo usuário?
• Usuários e provedores devem cifrar todos os dados em trânsito e também dados estáticos
25
Desafios - Multi-tenancy
26
• Diferentes quanto a segurança, SLA, governança, políticas
Desafios – Aplicações e IAM
• Segurança de aplicações (IaaS, PaaS, SaaS)• Gerenciamento de Identidades e de
Acesso (Identity and Access Management) ▫ Proliferação de identidades▫ Autenticação única (Single Sign On)▫ Federação de identidades▫ Privacidade do usuário▫ Controle de acesso
27
Tecnologias
• SAML, XACML• XML-Encryption, XML-Signature• WS (Web Services) Security
▫ WS-Trust▫ WS-Policy▫ ...
• OpenID, Google, Shibboleth, ...
28
Amazon EC2 http://aws.amazon.com/security/
• PCI DSS (Payment Card Industry Data Security Standard) Level 1
• ISO 27001• FISMA (Federal Information Security
Management Act) Moderate• HIPAA (Health Insurance Portability and
Accountability Act)• SAS 70 (Statement on Auditing Standards)
Type II
29
Amazon EC2 http://aws.amazon.com/security/
• Segurança física e operacional• Criptografia no sistema de arquivos• Uso do SSL (https)• Gerência de chaves: usuário cuida • Gerenciamento de Identidades e de Acesso
▫ Criar e gerenciar usuários▫ Identidades federadas▫ Credenciais para autorização▫ APIs de programação
30
Pesquisas
• Muito trabalho a ser feito• Vários assuntos de pesquisa• No LRG:
▫ Gerenciamento de identidade e acesso na computação em nuvem
▫ Dissertações de mestrado no PPGCC▫ TCC▫ Bolsas Pibic/CNPq
31
Referências• Grobauer, B.; Walloschek, T.; Stocker, E. (2011) "Understanding
Cloud Computing Vulnerabilities," Security & Privacy, IEEE , vol.9, no.2, pp.50-57, March-April 2011.
• Chaves, S.; Westphal, C. B.; Westphall, C. M.; Gerônimo, G. A. “Customer Security Concerns in Cloud Computing,” ICN 2011, pp. 7-11, 2011.
• Gonzalez, N.; Miers, C.; Redigolo, F.; Carvalho, T.; Simplicio, M.; Naslund, M.; Pourzandi, M.; , "A Quantitative Analysis of Current Security Concerns and Solutions for Cloud Computing,“ IEEE CloudCom, pp.231-238, 2011.
• CSA (2011). Security Guidance for Critical Areas of Focus in Cloud Computing – v3.0. Cloud Security Alliance. https://cloudsecurityalliance.org/
• CSA (2010). Top Threats to Cloud Computing V1.0. • CSA BR - https://chapters.cloudsecurityalliance.org/brazil/
32
Obrigada!
33
Recommended