22
[email protected] www.mariogentili.it Internet e Cloud Computing per l'istruzione e la formazione Fondamenti di sicurezza
| Date post: | 24-Jan-2018 |
| Category: |
Education |
| Upload: | mario-gentili |
| View: | 59 times |
| Download: | 8 times |
www.mariogentili.it
Internet e Cloud Computing per l'istruzione e la formazione
Fondamenti di sicurezza
www.mariogentili.it
La sicurezza totale non esiste, neanche nel Cloud!
Esistono livelli di sicurezza variabili, a seconda del modello di servizio di Cloud richiesto
Vai alle linee guida
www.mariogentili.it
La sicurezza totale non esiste, neanche nel Cloud!
• SaaS fornisce la maggior parte delle funzionalità integrate direttamente nell'offerta, con la minore estendibilità per l'utente, e un livello relativamente elevato di sicurezza integrata (quanto meno il fornitore ha la responsabilità della sicurezza).
• PaaS è pensato per abilitare gli sviluppatori a costruire le proprie applicazioni sulla piattaforma. Come risultato, tende ad essere maggiormente estendibile del SaaS, a spese delle caratteristiche già approntate per l'utente. Questo compromesso estende le caratteristiche di sicurezza e le capacità, dove le capacità integrate sono meno complete, ma c'è maggior flessibilità per aggiungere ulteriori caratteristiche di sicurezza.
• IaaS fornisce poche o nessuna caratteristica del tipo applicazione, ma un'enorme estendibilità. Questo significa, in genere, minori capacità e funzionalità di sicurezza integrate oltre la protezione dell'infrastruttura stessa. Questo modello richiede che i sistemi operativi, le applicazioni e i contenuti siano gestiti e posti in sicurezza dall'utente del Cloud.
Cosa succede alla sicurezza in funzione del tipo di servizio che si sceglie
www.mariogentili.it
La sicurezza totale non esiste, neanche nel Cloud!
L'implementazione e le modalità di utilizzo del Cloud dovrebbero essere pensate non solo nel contesto di “interno” rispetto ad “esterno”, in termini di localizzazione fisica degli asset, delle risorse e delle informazioni; ma pure da chi li utilizza e da chi ne è responsabile per il loro controllo, sicurezza e conformità con le policies e gli standard.
Ciò, per sottolineare che il rischio dipende pure da:
• i tipi degli asset, risorse ed informazioni che sono gestiti
• chi e come gestisce gli asset• quali controlli sono selezionati e
come essi sono integrati• questioni di conformità a normativa
e regole
Cosa succede alla sicurezza in funzione del tipo di implementazione che si sceglie
www.mariogentili.it
I passi da implementare (Tenere in mente che sulla base del modello di Cloud service (Saas, PaaS o IaaS) alcune raccomandazioni devono essere implementate dal cliente e altre devono essere implementate dal Cloud provider)
Creare- Identificare le capacità di etichettatura dei dati e di classificazione disponibili- L’Enterprise Digital Rights Management può essere un’opzione- L’abitudine di taggare i dati è diventata di uso comune nel Web 2.0 e può essere di aiuto per classificare i dati
Immagazzinare- Identificare i controlli di accesso disponibili per file system, RDBMS, sistemi di documentmanagement, ecc.- Soluzioni di crittografia quali quelle per email, network transport, database, file e filesystem- Strumenti di Content discovery (spesso DLP, o Data Loss Prevention) possono essere d'aiuto nell’identificazione e nell’auditing dei dati che richiedono controllo
Usare- Attività di monitoraggio e di esecuzione, tramite file di log e/o strumenti basati su agenti.- Logica di applicazione- Controlli a livello oggetto entro soluzioni DBMS.
www.mariogentili.it
I passi da implementare (Tenere in mente che sulla base del modello di Cloud service (Saas, PaaS o IaaS) alcune raccomandazioni devono essere implementate dal cliente e altre devono essere implementate dal Cloud provider)
Condividere- Attività di monitoraggio e di esecuzione, tramite file di log .- Logica per applicazione.- Controlli a livello oggetto per le soluzioni DBMS.- Identificare i controlli di accesso disponibili per il file system, DBMS, sistemi di document management, ecc.- Soluzioni di crittografia quali quelle per email, network transport, database, file e filesystem
Archiviare- Crittografia, quale quella per nastri di backup e altri media di storage a lungo termine- Gestione e tracciatura degli assets
Distruggere- Crypto-shredding: la distruzione di tutto il materiale chiave legato ai dati crittografati- Cancellazione sicura tramite pulizia del disco e tecniche collegate- Distruzione fisica, quali smagnetizzazione (degaussing) di media fisici- Scoperta dei contenuti a conferma del processo di distruzione
www.mariogentili.it
Aspetti da valutare nella
gestione della sicurezza dei dati
Negli ambienti SaaS i controlli di sicurezza ed i loro ambiti sono negoziati all'interno di
contratti di servizio; livelli di servizio, privacy, e conformità sono tutti argomenti che vanno
affrontati dal punto di vista legale nei contratti. In un'offerta IaaS, mentre la responsabilità di
mettere in sicurezza l'infrastruttura ed il livello di astrazione sottostante è del fornitore, il
rimanente dello stack ricade nelle responsabilità del cliente. Il PaaS offre un
bilanciamento intermedio, laddove la messa in sicurezza della piattaforma stessa ricade sul fornitore, mentre la messa in sicurezza delle
applicazioni sviluppate su di essa e il loro sviluppo sicuro rientrano entrambi nelle
responsabilità del cliente.
www.mariogentili.it
Autenticazione,
Autorizzazione e controllo degli accessi
La sicurezza è gestita tramite Protocolli AAA, ovvero:
• Authentication• Authorization• Accounting
www.mariogentili.it
Autenticazione
Di due tipi:
• Semplice: è la base
• Multifattore: porta ad un livello maggiore di sicurezza, ma implica complicazioni
www.mariogentili.it
Autorizzazione Il controllo delle autorizzazioni avviene associando i profili a dei privilegi
www.mariogentili.it
AutorizzazioneUna Access Control List - ACL - è una lista ordinata di regole associata alle risorse di un sistema informatico che stabilisce quali utenti o processi possono accedervi e compiere le operazioni specificate. Ciascuna regola, detta access control entry (ACE), esprime una o più condizioni o proprietà dell'oggetto da valutare (ad es. l'indirizzo sorgente di un pacchetto IP), e se queste proprietà sono verificate indica quale decisione prendere (ad es. lasciar passare il pacchetto oppure scartarlo).La valutazione inizia dalla prima regola: se l'insieme delle condizione/proprietà di questa risultano verificate si applica una prestabilita decisione o policy dell'ACL, proseguendo poi allo stesso modo con le regole successive. Se nessuna regola viene soddisfatta, viene applicata una decisione o policy di default.Differentemente i permessi possono anche essere associati ai processi/utenti, definendo risorse a cui possono accedere e modalità utilizzabili, in una C list; in questo caso si parla di capabilties che verranno a costituire un dominio privilegiato per il processo/utente, che generalmente prenderà la precedenza sui permessi specificati e associati agli oggetti medesimi.
Fonte: orbit-computer-solution
www.mariogentili.it
Accountability
Il controllo degli accessi (accounting) avviene monitorando l’uso delle risorse di rete
www.mariogentili.it
Esempio:
Radius è un protocollo AAA (authentication, authorization, accounting) che permette
l'autenticazione centralizzata.
In pratica si può gestire, ad esempio, l'autenticazione su dispositivi di rete (AccessPoint,
Switch, Router etc,..) tramite un repository di account utente centralizzato.
www.mariogentili.it
Monitoraggio integrità servizi Cloud
Aspetti chiave del monitoraggio:
• fluttuazione scalabilità e flessibilità • supervisione e testing periodico • aggiornamento delle policy • conformità alle regolamentazioni • strumenti affidabili e testati
www.mariogentili.it
Intrusion Detection System -IDSGli IDS vengono utilizzati per rilevare tutti gli attacchi alle reti informatiche e ai computer. Questi attacchi includono gli attacchi alle reti informatiche tramite lo sfruttamento di un servizio vulnerabile, attacchi attraverso l'invio di dati malformati e applicazioni malevole, tentativi di accesso agli host tramite innalzamento illecito dei privilegi degli utenti, accessi non autorizzati a computer e file, e i classici programmi malevoli come virus, trojan e worm.Un IDS è composto da quattro componenti:1. uno o più sensori utilizzati per ricevere le informazioni dalla
rete o dai computer2. una console utilizzata per monitorare lo stato della rete e dei
computer3. un motore che analizza i dati prelevati dai sensori e provvede a
individuare eventuali falle nella sicurezza informatica.4. un database cui si appoggia il motore di analisi e dove sono
memorizzate una serie di regole utilizzate per identificare violazioni della sicurezza. Esistono diverse tipologie di IDS che si differenziano a seconda del loro compito specifico e delle metodologie utilizzate per individuare violazioni della sicurezza. Il più semplice IDS è un dispositivo che integra tutte le componenti in un solo apparato.
www.mariogentili.it
Intrusion Detection System -IDSUn IDS consiste quindi in un insieme di tecniche e metodologie realizzate ad-hoc per rilevare pacchetti dati sospetti a livello di rete, di trasporto o di applicazione.
Due sono le categorie base: sistemi basati sulle firme (signature) e sistemi basati sulle anomalie (anomaly).
• La tecnica basata sul tipo di attacco è in qualche modo analoga a quella per il rilevamento dei virus, che permette di bloccare file infetti e si tratta della tecnica più utilizzata.
• I sistemi basati sul rilevamento delle anomalie utilizzano un insieme di regole che permettono di distinguere ciò che è "normale" da ciò che è "anormale".
È importante sapere che un IDS non può bloccare o filtrare i pacchetti in ingresso ed in uscita, né tanto meno può modificarli. Un IDS può essere paragonato ad un antifurto mentre il firewall alla porta blindata. L'IDS non cerca di bloccare le eventuali intrusioni, cosa che spetta al firewall, ma cerca di rilevarle laddove si verifichino.Le attività e i campi di applicazione di un Intrusion Detection System sono vari, al punto che spesso vengono gestiti da diversi software, che nel loro insieme provvedono ad accorgersi dei tentativi di attacco o scansione di un sistema.
www.mariogentili.it
Intrusion Detection System -IDS
www.mariogentili.it
La crittografia come strumento di sicurezza
Clienti e Cloud provider devono guardarsi da perdita e furti di dati. Oggigiorno la crittografia di dati personali e aziendali è fortemente raccomandata e in certi casi obbligatoria per legge e regolamentazioni, in varie parti del mondo.
I clienti vogliono che i loro Cloud provider crittografino i loro dati per assicurare che siano protetti a prescindere da dove i dati siano fisicamente localizzati. Allo stesso modo, il Cloud provider ha bisogno di proteggere i dati sensibili dei suoi clienti.Uno dei meccanismi centrali che i sistemi di Cloud Computing usano per proteggere i dati è una crittografia forte con gestione della chiave.
La crittografia garantisce la protezione delle risorse, mentre la gestione delle chiavi abilita l’accesso alle risorse protette.
www.mariogentili.it
La crittografia come strumento di sicurezza
Crittografia dei dati in transito sulla rete. C’è il bisogno più importante di crittografare credenziali multiuso, come numeri di carte di credito, password, e chiaviprivate, che transitano su Internet.
Tipicamente questo è un aspetto comune a tutti i tipi di Cloud (SaaS, PaaS e IaaS).
Crittografia dei dati a riposo. La crittografia dei dati su disco o su un DB di produzione è indispensabile per proteggersi contro un malintenzionato fornitore di servizi Cloud o da un malintenzionato utilizzatore del Cloud stesso. Per l’archiviazione a lungo termine alcuni clienti crittografano ipropri dati e poi li mandano come testo cifrato a un provider di data storage nel Cloud. Il cliente detiene e controlla le chiavi crittografiche e de-crittografa i dati, se necessario.La crittografia di dati a riposo è comune entro ambienti IaaS.La crittografia di dati a riposo in ambienti PaaS ègeneralmente più complessa, dovendo richiedere strumenti che il provider offre o una personalizzazione speciale. La crittografia di dati a riposo in ambienti SaaS è una caratteristica che i clienti del cloud non possono implementare direttamente, e che hanno bisogno di richiedere ai loro provider.
Crittografia dei dati sui media di backup. Questa può proteggere da un uso improprio di media persi o rubati. Idealmente il cloud service provider lo implementa in modo trasparente.
Tuttavia, è responsabilità del cliente, in qualità di fornitore dei dati, verificare che tale crittografia avvenga.
www.mariogentili.it
La crittografia come strumento di sicurezza
… e le chiavi di crittografia?
Devono subire lo stesso iter dai dati a cui si aggiungono regole comportamentali.
C’è un numero di standard e linee guida applicabili alla gestione delle chiavi nel Cloud.
Il OASIS Key Management Interoperability Protocol (KMIP) è uno standard emergenteper la gestione interfunzionale delle chiavi nel Cloud. Gli standard IEEE 1619.3 coprono la crittografia dello storage e la gestione delle chiavi, specialmente di pertinenza allo storage IaaS.
www.mariogentili.it
I tipi di crittografia
Simmetrica
Asimmetrica
