Cloud, Security, SaaS, ed altre meraviglie Come uscirne illesi!

Transcript

1 Cloud, Security, SaaS, ed altre meraviglie Come uscirne illesi! Alessio L.R. Pennasilico - apennasilico@clusit.it Antonio Ieranò - antonio.ierano@cisco.com Security Summit 15 Marzo 2015 ATA Hotel Executive, Milano

2 Alessio L.R. Pennasilico Security Board of Directors: Associazione Informatici Professionisti Associazione Italiana Professionisti Sicurezza Informatica CLUSIT Italian Linux Society, LUGVR, Metro Olografix, Sikurezza.org Hackerʼs Profiling Project, CrISTAL 2

3 Antonio Ieranò EUROPEAN CONSULTING SYSTEMS ENGINEER Borderless Network: Security 3

4 Video: I signori della truffa 4

5 4

6 Falsi Perchè Cloud SI Vado sul cloud perchè è di moda Vado sul cloud perchè risparmio Vado sul cloud perchè me lo ha detto il cugino della zia di mio cognato che queste cose le sa e ha una pagina su facebook con tanti amici Vado sul cloud perchè tutto è su internet 5

7 Falsi Perchè Cloud No Non vado su cloud perchè non c è sicurezza Non vado sul cloud perchè Io voglio gestire tutto qui Non vado sul cloud perchè non ho nulla sul cloud e mai lo avrò Non vado sul cloud perchè ho gia il mio cloud, il mio datacenter è a forlimpopoli mentre io sono a cesena Non vado sul cloud perchè se piove si rovinano i dati Non vado sul cloud perchè mi rubano i dati e gli americani leggono le mie 6

8 Che vuol dire cloud? Con il termine cloud computing si intende un insieme di tecnologie informatiche che permettono l'utilizzo di risorse hardware (storage, CPU) o software distribuite in remoto Wikipedia Il cloud computing è un modello che consente di abilitare un accesso conveniente e su richiesta a un insieme condiviso di risorse configurabili (come reti, server, memoria di massa, applicazioni e servizi) Dario Regazzoni, System Engineer Manager VMWare Italia Uno stile di computing in cui risorse IT ampiamente scalabili (e flessibili) sono fornite come servizio a clienti esterni utilizzando tecnologie internet Henry J. Sienkiewicz - DISA (Defense Information Systems Agency) 7

9 What? Paas? Iaas? Saas? Waas? 8

10 Keep it Simple Usare il cloud puo significare diverse cose: Infrastructure-as-a-service (IaaS): sono servizi di elaborazione, networking, storage, virtualizzati, offerti e fruibili tramite web. Platform-as-a-service (PaaS): ambienti per lo sviluppo di applicazioni e piattaforme per sviluppare, testare e utilizzare applicazioni SaaS. Sono servizi accessibili via Web che si rivolgono alla comunità degli sviluppatori software. Software-as-a-service (SaaS): software via Web, ovvero le applicazioni sono costruite appositamente per essere offerte ed erogate tramite Internet, con un modello one-to-many e politiche di pricing basate sull utilizzo effettivo (pay-per-use). XaaS: tutto ciò che arriverà in futuro sulla scena cloud. Già si parla di Data-as-a- Service (servizi di storage on-line o Daas). 9

11 SaaS I prodotti SaaS appartengono a 2 tipologie: 1) Business applications, come CRM (soluzioni per le vendite, il marketing, il customer services, il contact center), Human Resources (talent management, applicazioni tradizionali), ERP/ financials (contabilità, paghe, supply chain management), soluzioni verticali, Content Management; 2) Collaborazione e comunicazione (mail, messaging, Web conferencing, document authoring / sharing). 10

12 In breve Per una azienda andare nel cloud Cloud significa essenzialmente: Esternalizzare alcuni servizi o applicazioni Piattaforme HW Storage di dati... 11

13 Ha senso andare sul cloud? Dipende da diversi fattori e da cosa si richiede da una servizio cloud. 12

14 Evoluzione del Datacenter TRADIZIONALE VIRTUALE Server Consolidation CLOUD COMPUTING Costi?, complessità?, # risorse?, eterogeneità? 13

15 ENISA ENISA (Cloud Computing - Benefits, risks and recommendations for information security Novembre 2009) analizza i potenziali benefici e criticità riguardanti la sicurezza e il Cloud Computing. 14

16 Pro e Contro La sicurezza come market differentiator Interfacce di gestione standard Scalabilità, ridondanza e riallocazione di risorse Risorse per log e audit Efficienza nel patch management Gestione centralizzata della security Perdita di controllo e di governance Lock-in Minore isolamento delle risorse in caso di incidenti Compliance rispetto leggi e norme Compromissione dell interfaccia di gestione Data protection Cancellazione dei dati incompleta o insicura Mancata notifica e contenimento da parte del provider 15

17 Integrazione di servizi Che traffico autorizzo dal datacenter/cloud verso la mia server farm, al fine di garantire l integrazione? Che tipo di inspection posso applicare a quel traffico? I miei firewall sono protocol-aware? 16

18 Recording Che tipo di log vengono conservati? Chi può accedere a quei dati? Cosa e come viene salvato per quanto tempo? 17

19 Compliance Che tipo di audit si può svolgere sul sistema? Posso fare penetration test? 18

20 Lawful Interception Un provider che offra servizi di comunicazione deve assoggettarsi alle leggi relative all intercettazione richiesta per legge Le leggi si assomigliano molto nei diversi stati anche extra-europei 19

21 Legal Dove si trova il datacenter? Applicabilità del d.lgs. 196/2003 al cloud provider Ruolo del cloud provider nel trattamento dei dati Trasferimento dei dati all estero 20

22 Data Loss Prevention Come per altre tecnologie: come posso monitorare quel che accade sulle mie macchine/applicazioni/servizi? 21

23 Costi nascosti Ci sono risorse tariffate non flat? es. CPU, Traffico, Spazio Disco, etc etc 22

24 DDoS Avere alcuni servizi in the cloud aiuta moltissimo a mitigare attacchi che sarebbero ingestibili nella propria sede fisica 23

25 Conclusioni Il Cloud è uno strumento che abbiamo a disposizione Non è la risposta a tutto, ma non è nemmeno malvagio La nostra analisi ed implementazione lo può rendere utile e benefico per il business aziendale 24

26 Alcune reference ENISA, Cloud Computing - Benefits, risks and recommendations for information security, Novembre ENISA, Cloud Computing - SME Survey, Novembre ENISA, Cloud Computing Information Assurance Framework, Novembre

27 Domande? These slides are written by Alessio L.R. Pennasilico aka mayhem. They are subjected to C r e a t i v e C o m m o n s Attribution- ShareAlike-2.5 version; you can copy, modify, or sell them. Please cite your source and use the same licence :) Alessio L.R. Pennasilico - apennasilico@clusit.it Antonio Ieranò - antonio.ierano@cisco.com Security Summit 15 Marzo 2015 ATA Hotel Executive, Milano

28 Grazie dell attenzione! These slides are written by Alessio L.R. Pennasilico aka mayhem. They are subjected to C r e a t i v e C o m m o n s Attribution- ShareAlike-2.5 version; you can copy, modify, or sell them. Please cite your source and use the same licence :) Alessio L.R. Pennasilico - apennasilico@clusit.it Antonio Ieranò - antonio.ierano@cisco.com Security Summit 15 Marzo 2015 ATA Hotel Executive, Milano