Il processo di Application. Security dal modello. tradizionale al Cloud

Transcript

1 Il processo di Application Security dal modello tradizionale al Cloud

2 Relatore Alessandro Gai Senior Security Advisor ISECOM OPST OWSE + 5 anni penetration test + 10 anni web analyst and developer Trainer corsi specialisti - master universitari 2

3 Agenda Che cosa è il Cloud Computing? Rischi, minacce e vulnerabilità Quali domande dobbiamo porre ai nostri fornitori? Conclusioni 3

4 La nuvola Fino al 2008: = INTERNET Dal 2008 ad oggi =? 4

5 La nuvola 5

6 Cosa è il Cloud Computing? PaaS SaaS Managed Hosting 2.0 Virtualization IaaS Cloud Bursting Internal Cloud Public Cloud Private Cloud Mini Cloud 6

7 Cos è il Cloud Computing? 7

8 Caratteristiche del Cloud Computing Potenza di calcolo e di storage «illimitata» On-demand self-service richiedo servizi quali server time o network storage senza iterazione umana Broad network access dati accessibili sulla rete indipendentemente dal client utilizzato (cellulari, laptops o PDAs). 8

9 Caratteristiche del Cloud Computing Resource pooling Le risorse computazionali sono a disposizione di più clienti usando il modello multi-tenant. Differenti risorse fisiche e virtuali sono assegnate ai vari clienti on demand. 9

10 Caratteristiche del Cloud Computing Rapid elasticity Measured Service Controllo e ottimizzazione automatica delle risorse Ad esempio: content delivery service (mirror in n paesi nel mondo) 10

11 Cosa è il Cloud Computing? SaaS SaaS PaaS IaaS Iaas 11

12 Cosa è il Cloud Computing? Infrastructure as a Service Virtual machine o hardware astratti e relativi sistemi operativi Controllo remoto tramite servizi o API Es: Amazon EC2 and S3, Terremark Enterprise Cloud, Windows Live Skydrive and Rackspace Cloud, etc. 12

13 Cosa è il Cloud Computing? Platform as a Service Sviluppo di applicazioni tramite API remote Piattaforme offrono tool per lo sviluppo Es: Microsoft Azure, Force and Google App engine, IBM WebSphere CloudBurst Appliance, etc. 13

14 Cosa è il Cloud Computing? Software as a Service Software offerto da un provider di terze parti Disponibile «on demand» Configurabile remotamente via internet Es: CRM services and web content delivery services, Salesforce CRM, Google Docs, IBM LotusLive, etc. 14

15 Tipi di Cloud Private Cloud L infrastruttura opera per un solo cliente Community cloud L infrastruttura viene condivisa da una community con gli stessi obbiettivi (ad es. compliance ) Public cloud L infrastruttura è pubblica Hybrid cloud L infrastruttura è composta da due o più cloud (Cloud bursting) In parte sul cloud e in parte no 15

16 NIST Definition of Cloud Computing 16

17 Evoluzione (prospettiva utente / utilizzatore finale) The stand-alone personal computer Sistema operativo software e dati sono memorizzati in un singolo pc. The Web Sistema operativo e la maggior parte del software di cui un utente ha bisogno è sul suo pc mentre la maggior parte dei dati sono sul web The «Cloud» La maggior parte del software e dei dati è on line (internet based) 17

18 Evoluzione (prospettiva utente / utilizzatore finale) 18

19 Esempi di applicazioni sul cloud 19

20 Esempi di applicazioni sul cloud (online video creator) (online word processor, spreadsheet, etc.) (business applications) (image editor) (online hrms) (blog) 20

21 21

22 22

23 Agenda Che cosa è il Cloud Computing? Rischi, minacce e vulnerabilità Quali domande dobbiamo porre ai nostri fornitori? Conclusioni 23

24 ENISA - Cloud Computing Risk Assessment This paper allows an informed assessment of the security risks and benefits of using cloud computing - providing security guidance for potential and existing users of cloud computing ENISA analizza benefici e criticità riguardanti la sicurezza e il Cloud Computing. Estraiamo da qui rischi e vulnerabilità legate al mondo applicativo 24

25 Policy and organizational risks R.1 Lock-in Portabilità di servizi / dati o o o SaaS Lock-in: il provider offre un servizio per l esportazione dei dati? Cosa comporterebbe la migrazione su un altro provider? PaaS Lock-in: uso API del provider, il mio codice è portabile? IaaS-Lock-in R.2 Loss of governance Possiamo effettuare port scans, vulnerability assessment o penetration testing? 25

26 Policy and organizational risks R.3 Compliance challenges Provider garantisce i requirement per la mia compliance? EC2 hosted services non possono essere usati per gestire transazioni di carte di credito (compliance a PCI-DSS) R.4 Loss of business reputation due to cotenant activities L attività malevola di un tenant può influenzare negativamente gli altri tenant (ad es. range di indirizzi IP bloccati) 26

27 Policy and organizational risks R.5 Cloud service termination or failure Il provider sospende il servizio o è negligente nella sua fornitura. R.6 Cloud provider acquisition Acquisizione del provider da un altra società. R.7 Supply chain failure Se provider da in outsource parte dell attività il livello di sicurezza del provider può dipendere dal livello di sicurezza della terza parte. 27

28 Technical risks R.8 Resource exhaustion (under or over provisioning) ad es. se le proiezioni statistiche usate per alloccare le risorse sono errate. R.9 Isolation failure (Sql injection?) R.10 Cloud provider malicious insider R.11 Management interface compromise (manipulation, availability of infrastructure) R.12 Intercepting data in transit R.13 Data leakage on up/download (come sopra intra-cloud ) 28

29 Technical risks R.14 Insecure or ineffective deletion of data se richiesto data wiping? R.15 Distributed denial of service (DDoS) R.16 Economic denial of service (EDOS) L uso improprio delle risorse di un utente porta a un danno economico (DDoS su cliente che paga in base a HTTP request / furto d identità e utilizzo del cloud per scopi malevoli) R.15/R.16 Dos Applicativi 29

30 EDOS 30

31 Technical risks R.17 Loss of encryption keys Perdita o compromissione delle chiavi segrete (SSL, file encryption, customer private keys, etc) o delle password R.18 Undertaking malicious probes or scans Come controllare le scansioni (network mapping) R.19 Compromise service engine Problemi nel service engine (IaaS / PaaS / SaaS) R.20 Conflicts between customer hardening procedures and cloud environment (seguire le linee guida del proprio provider) 31

32 32

33 Agenda Che cosa è il Cloud Computing? Rischi, minacce e vulnerabilità Quali domande dobbiamo porre ai nostri fornitori? Conclusioni 33

34 Vulnerabilità V1. AAA Vulnerabilities Autenticazione / Autorizzazione / Accounting o o Impossibilità di tracciare l uso improprio di risorse o gli incidenti Accesso non autorizzato - Privileges escalation: Memorizzazione insicura delle credenziali di accesso al cloud Numero insufficiente di ruoli Problematiche intrinsiche nell autenticazione basata sulla password 34

35 Vulnerabilità V2. User Provisioning Vulnerabilities V3. User De-Provisioning Vulnerabilities Poco controllo sulla procedura di Provisioning Mancato controllo sull identità V4. Remote Access To Management Interface V5. Hypervisor Vulnerabilities (virtual machine-based Rootkit) es: Cloudburst (VMware vulnerability) 35

36 User Provisioning / De-Provisioning Vulnerabilities 36

37 Vulnerabilità V6. Lack Of Resource Isolation Vulnerabilità nel hypervisor security model o nelle interfacce di management che possono portare al furto dei dati condivisi sulla stessa macchina V7. Lack Of Reputational Isolation V8. Communication Encryption Vulnerabilities MITM attacks / self-signed certificates / etc. V9. Lack Of Or Weak Encryption Of Archives And Data In Transit Dati sensibili devo essere criptati 37

38 Vulnerabilità V10. Impossibility Of Processing Data In Encrypted Form il dato non viene mantenuto criptato durante il suo processo V11. Poor Key Management Procedures V12. Key Generation: Low Entropy For Random Number Generation Sistemi virtuali hanno meno entropia dei sistemi fisici. Attaccante su una virtual machine potrebbe essere in grado di guessare una chiave randomica generata da una seconda vm 38

39 Vulnerabilità V13. Lack Of Standard Technologies And Solutions I dati portrebbero essere locked-in dal provider V14. No Source Escrow Agreement Protezione dal fallimento del provider V15. Inaccurate Modelling Of Resource ad esempio se proiezioni statistiche usate per alloccare le risorse sono errate V16. No Control On Vulnerability Assessment Process 39

40 Vulnerabilità V17. Possibility That Internal (Cloud) Network Probing Will Occur Scansioni / test da altri clienti all interno del Cloud V18. Possibility That Co-Residence Checks Will Be Performed (Attacchi per determinare quali risorse sono condivise e da chi) V19. Lack Of Forensic Readiness SaaS: accesso al log degli accessi IP? V20. Sensitive Media Sanitization Policy di distruzione dei dati possono essere applicate? Ad es. distruzione fisica del disco. 40

41 Vulnerabilità V21. Synchronizing Responsibilities Or Contractual Obligations External To Cloud V22. Cross-Cloud Applications Creating Hidden Dependency V23. Sla Clauses With Conflicting Promises To Different Stakeholders V24. Sla Clauses Containing Excessive Business Risk V25. Audit Or Certification Not Available To Customers 41

42 Vulnerabilità V26. Certification Schemes Not Adapted To Cloud Infrastructures V27. Inadequate Resource Provisioning And Investments In Infrastructure V28. No Policies For Resource Capping V29. Storage Of Data In Multiple Jurisdictions And Lack Of Transparency About This V30. Lack Of Information On Jurisdictions V31. Lack Of Completeness And Transparency In Terms Of Use 42

43 43

44 Agenda Che cosa è il Cloud Computing? Rischi, minacce e vulnerabilità Quali domande dobbiamo porre ai nostri fornitori? Conclusioni 44

45 As we know, there are known knowns. There are things we know we know. We also know there are known unknowns, that is to say we know there are some things we do not know. But there are also unknown unknowns, the ones we don't know we don't know. Feb. 12, 2002, Donald Rumsfeld - Department of Defense news briefing

46 Quali domande dobbiamo porci e dobbiamo fare ai nostri fornitori? (tutte le piattaforme Iaas/Paas/Saas) Quali attività di Secure Development LifeCycle adotta il nostro fornitore di servizi / software? Quali standard di design e codice sicuro usa il nostro fornitore nel suo SDLC? Come è protetto un tenant di una applicazione dagli attacchi che arrivano dagli altri tenant? 46

47 Domande specifiche per IaaS Quali meccanismi prevede la piattaforma contro attacchi di tipo DoS e DDoS (infrastructure e network layers)? Quali meccanismi prevede la piattaforma per mantenere l integrità delle immagini virtuali? Quali protezioni sono previste contro attacchi a livello BIOS (root kit)? Esistono detection plans e response plans nel caso di verifichi un attacco? 47

48 Domande specifiche per PaaS La piattaforma prevede meccanismi di log per le applicazioni? Esistono intrusion detection systems attivabili per l application layer? Quali tecniche sono usate per isolare i dati sul client s service bus? Quali meccanismi di protezione sono usati per garantire comunicazioni sicure fra due componenti applicativi? E quali per isolare I dati memorizzati e i dati in uso? 48

49 Domande specifiche per SaaS Quali standard di Web application security (input validation, encoding output, preventing request forgery and information disclosure) utilizza il nostro fornitore? Quali controlli applicativi e infrastruttorali sono adottati per isolare i dati di un azienda dagl altri tenants? Dati memorizzati Data in transito Data in uso 49

50 50

51 Agenda Che cosa è il Cloud Computing? Rischi, minacce e vulnerabilità Quali domande dobbiamo porre ai nostri fornitori? Conclusioni 51

52 Conclusioni 52

53 Conclusioni Il «mondo offline» continuerà ad esistere Cloud = evoluzione tecnica e di «business» Con il cloud computing si hanno dei benefici lato security: o o o o disaster recovery anti DDoS community cloud = più risorse per la security? internal audit e risk assessment frequenti Cloud = nuovo paradigma = nuovi rischi e nuove possibili vulnerabilità 53

54 Documentazione per approfondimenti ENISA (Cloud Computing Risk Assessment) CSA (Cloud Security Alliance ) IBM (Community and technical resources) NIST (Cloud Computing Program) 54

55 Grazie per l attenzione. Domande?