Módulo 5d

Segurança na Nuvem

Compilado de Kinsta.com

&

Aws.amazon.com

Resumo

O que é nuvem

Características básicas da nuvem

Tipos de nuvem

Implementação de nuvem

Exemplos

Segurança na/da nuvem

O que é a nuvem? A computação em nuvem é aquela baseada em rede que

disponibiliza um conjunto de recursos computacionais configuráveis que podem ser disponibilizados com pouco ou nenhum esforço

A computação em nuvem é um novo modelo de computação que permite ao usuário final acessar uma grande quantidade de recursos computacionais em qualquer lugar e independente de plataforma, dispondo ter um terminal conectado à rede

A nuvem é representada pela Internet – uma infraestrutura de comunicação composta por um conjunto de hardwares, softwares, interfaces, redes de telecomunicação, dispositivos de controle e de armazenamento que permitem a entrega da computação como serviço

Apresenta um modelo de serviço que fornece todo o tipo de processamento, infraestrutura e armazenamento de dados através da rede (tanto como componentes separados ou uma plataforma completa) baseado na necessidade do usuário

Características básicas da nuvem Elasticidade e Escalonamento

• ilusão de recursos computacionais infinitos disponíveis para o uso• capaz de fornecer rapidamente recursos em qualquer quantidade e a qualquer momento

• Self-Service (Auto-atendimento)• adquirir recursos computacionais de acordo com sua necessidade e de forma instantânea• acesso em auto-atendimento

• solicitar, personalizar, pagar e usar os serviços desejados sem intervenção humana

• Faturamento e Medição por uso usuário tem a opção de requisitar e utilizar somente a quantidade de recursos e serviços que ele julgar

necessário as nuvens devem implementar recursos que garantam um eficiente comércio de serviços

tarifação adequada faturamento monitoramento e otimização do uso

Amplo acesso à rede recursos disponíveis na rede e acessados através de mecanismos padrões que permitem a utilização

dos mesmos por plataformas heterogêneas Computadores, smartphones, laptops, PDAs

Customização Para atender a grande disparidade entre a necessidades dos usuários

capacidade de personalização dos recursos da nuvem

Tipos de nuvem Infraestrutura como Serviço – IaaS (Infrastructure as a Service)

serviços de infraestrutura sob demanda computação, armazenamento e comunicação

oferece servidores capazes de executar softwares customizados e operar em diferentes sistemas operacionais

camada inferior oferece infraestrutura para as camadas intermediária e superior

Plataforma como Serviço – PaaS (Plataform as a Service) fornece um ambiente no qual o desenvolvedor pode criar e implementar

aplicações sem ter que se preocupar em saber quantos processadores ou o quanto de memória esta sendo usada para o executar a tarefa

camada intermediária através da IaaS fornece uma infraestrutura com alto nível de integração compatível com diversos

sistemas operacionais, linguagens de programação e ambientes de desenvolvimento

Software como Serviço – SaaS (Software as a Service) disponibilizar aplicações completas ao usuário final acesso completamente transparente ao usuário

execução de programas a partir de uma máquina local

acesso provido pelos prestadores de serviço através de portais web para oferecer esta transparência, o SaaS utiliza-se das duas camadas inferiores,

o PaaS e o IaaS

Tipos de nuvem

Implementação de nuvem Pública

é disponibilizada para o público em geral ou para grandes grupos industriais é implementada por um prestador de serviço, que deve ser capaz de garantir o desempenho e a

segurança da mesma

Privada É operada exclusivamente para uma única organização e gerenciamento da rede é feito pela própria

organização ou por terceiros a infraestrutura utilizada pertence ao usuário é responsável pelo controle sobre a implementação das aplicações na nuvem

Comunidade infraestrutura é compartilhada por várias organizações e suporta uma comunidade específica que

partilha as mesmas preocupações missão, requisitos de segurança, política e considerações de conformidade

gerenciada pelas organizações ou por terceiros, localmente ou remotamente

Híbrida infraestrutura composta por dois ou mais modelos de implementação

cada nuvem permanece como uma entidade única unidas pelo uso de tecnologia proprietária ou padronizada garantindo a portabilidade de dados e

aplicações nuvem híbrida composta por nuvem pública e privada

nuvem privada tem seus recursos ampliados pela reserva de recursos em uma nuvem pública mantem os níveis de serviço mesmo no caso de flutuações rápidas na necessidade de recursos Permite executar tarefas periódicas que são mais facilmente implementadas em nuvens públicas

Exemplos IaaS

Eucalyptus (software livre)

framework que utiliza e gerencia uma infraestrutura de computadores e dispositivos de armazenamento com o intuito de disponibilizar um ambiente modular aos prestadores de serviço

Amazon Elastic Compute Cloud (comercial),

ambientes virtuais:

escolha da especificação da máquina virtual

desenvolver e executar aplicações Linux

PaaS

Google App Engine

Plataforma para desenvolvimento de aplicações Python, na infraestrutura da Google

Manipular imagens, serviços de correios eletrônico, transferência de dados, etc.

SaaS

Google Apps (popular)

Aplicações da Google

correio eletrônico (Gmail)

mensagens instantâneas (Gtalk)

editor de documentos (Gdocs)

Segurança na/da nuvem Conjunto de políticas, tecnologias e dispositivos de controle usados para proteger dados,

aplicações e a infraestrutura associada a ambos

É uma responsabilidade compartilhada entre cliente e fornecedor de serviços em nuvem

Segurança na/da nuvem Conteúdo (responsabilidade do cliente de serviço)

É sempre responsabilidade do cliente

Crítica / consistência / legalidade (conformidade com legislação do local do cliente e do local do provedor)

Política de acesso (responsabilidade do cliente de serviço)

Quem, quando, como pode usar/atualizar/configurar o(s) sistema(s)

Uso (responsabilidade do cliente de serviço)

Monitoramento do uso do sistema, verificando sempre ações indevidas e/ou comportamentos incomuns

COMO: ferramentas automáticas de análise de logs, ferramentas automáticas de detecção de intrusão (IDSs), entre outras

Desenvolvimento (responsabilidade do cliente ou provedor de serviço)

Quem desenvolve e coloca em produção o(s) sistema(s) deve usar técnicas de desenvolvimento seguro

Segurança de aplicação WEB (responsabilidade do cliente ou provedor de serviço)

Deve ser pensada desde a concepção inicial da aplicação

Preocupação constante com qualidade/segurança de conteiner, linguagem de desenvolvimento, atualização de software constante

Identidade (responsabilidade do cliente ou provedor de serviço)

Garantir que entidades envolvidas no uso (cliente / aplicação / provedor) são quem dizem ser

COMO: Certificação digital é o padrão ouro

Segurança na/da nuvem Operações (responsabilidade do cliente ou provedor de serviço)

Garantir que/como operações podem ser realizadas e sobre que elementos

COMO: Access Control Lists (ACLs) são o padrão ouro

Acesso e autenticação (responsabilidade do cliente ou provedor de serviço)

Garantir quem, quando, como pode usar/atualizar/configurar a infraestrutura

COMO: ACLs, Certificação digital são o padrão ouro

Segurança de rede (responsabilidade do cliente ou provedor de serviço)

Garantir correta configuração/atualização/disponibilidade da infraestutura de comunicação

COMO: ACLs, Certificação digital, SNMPv3, gerência formal proativa são o padrão ouro

SO, dados e conteúdo (responsabilidade do cliente ou provedor de serviço)

Garantir correta atualização/disponibilidade/proteção do sistema operacional e sistemas de arquivos

COMO: atualização permanente do SO, software básico e aplicativos (SGBD), etc.; confidencialidade de dados dos usuários; política de backup permanente

Segurança na/da nuvem Logs de auditoria (responsabilidade provedor de serviço)

Garantir o permanente registro de logs o mais completos possíveis para permitir e facilitar auditorias de uso devido, contabilidade, segurança, etc. COMO: uso de aplicações especializadas, p. ex. Intrusion Detection Systems (IDSs)

entre outras

Rede (responsabilidade do provedor de serviço) Garantir a correta e eficiente operação e disponibilidade da infraestrutura de rede

COMO: usando modelo e ferramentas de gerência de redes adequadas (para dispor de gerência de falta, desempenho, configuração, contabilidade e segurança); usando gerência pró-ativa

Armazenamento e confidencialidade (responsabilidade do provedor de serviço) Garantir que dados armazenados estejam sempre disponíveis, com acesso imediato,

protegidos contra acesso indevido e íntegros COMO: usando criptografia, assinatura digital, redundância, backups automáticos

Kernel e IPC seguros (responsabilidade do provedor de serviço) Garantir que o núcleo do sistema operacional (e também o software básico) estejam

sempre livres de vulnerabilidades e bugs COMO: usando atualização constante, usando verificadores de integridade de

sistemas, usando sistemas de verificação de vírus/vermes, usando sistemas de detecção de intrusão (IDSs)

Segurança na/da nuvem

Boot / Hardware (responsabilidade do provedor de serviço)

Responsabilidade exclusiva do provedor

Garantir atualização/monitoramento constante para obter melhor performance

Garantir proteção lógica contra invasões, DoS, bugs de software básico

Garantir proteção física contra acesso/manipulação indevida, inclusive dos próprios funcionários

Referências

https://kinsta.com/pt/blog/cloud-security/

http://aws.amazona.com