Alla ricerca di una tassonomia e di un approccio quantitativo alla Cloud Security

Dimensione: px

Iniziare la visualizzazioe della pagina:

Download "Alla ricerca di una tassonomia e di un approccio quantitativo alla Cloud Security"

Chiara Miranda Mauri
7 anni fa
Visualizzazioni

1 AIEA - Associazione Italiana Information Systems Auditors Torino, 31/01/13 Alla ricerca di una tassonomia e di un approccio quantitativo alla Cloud Security Ing. Davide Casale Shorr Kan IT Engineering

2 Cloud Security Taxonomy Indice 1/2 Gli elementi chiave discussi in questo seminario saranno : Introduzione: l elemento Security è fondamentale ed abilitante per il Cloud Computing Definizioni (NIST SPI model) Principali Enti (ENISA, CSA, NIST) con paper sulla security nel Cloud Le 7 categorie dei principali problemi di security nel Cloud High Level Taxonomy: Architecture, Compliance, Privacy Espandiamo i rami della tassonomia

Cloud Security Taxonomy Indice 2/2 Gli elementi chiave discussi in questo seminario saranno : Analisi quantitativa in base a paper e ricerche accademiche, di organizzazioni di security e di aziende

3 Cloud Security Taxonomy Indice 2/2 Gli elementi chiave discussi in questo seminario saranno : Analisi quantitativa in base a paper e ricerche accademiche, di organizzazioni di security e di aziende del comparto ICT Diamo delle quantità all attenzione sui problemi Diamo delle quantità alla presenza di soluzioni Effettuiamo un analisi comparata tra problemi e soluzioni e troviamo le attuali mancanze Considerazioni finali

4 Lo sviluppo del cloud computing stà accelerando notevolmente l outsourcing delle risorse informatiche da parte delle aziende. Cloud Security Taxonomy Introduzione Tuttavia anche se la migrazione ai servizi di cloud computing è una forte tentazione dal punto di vista economico, bisogna tenere ben presente altri aspetti prima di prendere una decisione. Uno dei più importanti, condiviso sia dagli enti di ricerca, che dalle aziende che dai governi, è quello riferito alla Security. La Security è fondamentale ed abilitante per il Cloud Computing

5 Cloud Security Taxonomy Introduzione In questa presentazione, raccogliendo i risultati di una ricerca del Politecnico di San Paolo, Brazile[1], del centro ricerche Ericsson e di diversi altri istituti in giro per il mondo, si cercherà di definire una tassonomia degli elementi (problemi e soluzioni) di Security da tenere in considerazione e di definire dei valori quantitativi di come sono sviscerate in questo momento nella comunità scientifica mondiale le singole questioni. TASSONOMIA # NUMERI [1] : «A quantitative analysis of current security concerns and solutions for cloud computing», Nelson Gonzalez, Charles Miers, Fernando Redigolo, Marcos Simplicio, Tereza Carvalho, Mats Naslund, Makan Pourzandi.

Cloud Security Taxonomy Definizioni La definizione maggiormente accreditata per CLOUD è data dallo SPI Model del NIST (National Institute of Standards and

6 Cloud Security Taxonomy Definizioni La definizione maggiormente accreditata per CLOUD è data dallo SPI Model del NIST (National Institute of Standards and Technology USA) Services: SaaS : Software as a Service PaaS : Platform as a Service IaaS : Infrastructure as a Service Deployment: Private Public Community Hybrid

7 Cloud Security Taxonomy Definizioni La definizione maggiormente accreditata per CLOUD è data dallo SPI Model del NIST (National Institute of Standards and Technology USA) Services: SaaS : livello applicativo (es: SalesForce) PaaS : Platform as a Service (es: MS Azure o Google AppEngine) IaaS : Infrastructure as a Service (es: Amazon o RackSpace) Deployment: Private : estensione della propria rete via vpn Public : su internet Community : a gruppo chiuso di utenti Hybrid : private & public

Cloud Security Taxonomy Enti Gli enti che attualmente sono punti di riferimento per la Cloud Security per i paper o articoli da loro rilasciati

8 Cloud Security Taxonomy Enti Gli enti che attualmente sono punti di riferimento per la Cloud Security per i paper o articoli da loro rilasciati sono : ENISA (European Network and Information Security Agency) CSA (Cloud Security Alliance) NIST (National Institute of Standard and Technology)

9 Cloud Security Taxonomy Cloud Security Problems I principali problemi relativi alla Cloud Security possono essere raggruppati in 7 categorie : 1. Network Security 2. Interfaces 3. Data Security 4. Virtualization 5. Governance 6. Compliance 7. Legal Issues

Network Security Cloud Security Taxonomy Cloud Security Problems Problemi associati con le comunicazioni in rete e le configurazioni dell infrastruttura di cloud computing Transfer Security

10 Network Security Cloud Security Taxonomy Cloud Security Problems Problemi associati con le comunicazioni in rete e le configurazioni dell infrastruttura di cloud computing Transfer Security (trasferimento dei dati via vpn o altro con meccanismi di protezione contro lo sniffing, spoofing, man in the middle e side-channel attacks) Firewalling (VM isolation, packet filtering, prevention of DoS and scanning detection) Security Configuration (configurazione di protocolli, sistemi e tecnologie con il giusto trade-off tra sicurezza e performance o efficienza)

Interfaces Cloud Security Taxonomy Cloud Security Problems Interfacce utente, amministrative e di programmazione per usare e controllare il cloud system API (Programming

11 Interfaces Cloud Security Taxonomy Cloud Security Problems Interfacce utente, amministrative e di programmazione per usare e controllare il cloud system API (Programming Interfaces) Administrative Interface (per attivare le risorse IaaS, PaaS o SaaS) User interface (per l utente del cloud) Authentication (molti servizi si basano solo su login e password)

Data Security Cloud Security Taxonomy Cloud Security Problems Protezione dei dati in termini di confidenzialità, disponibilità e integrità

12 Data Security Cloud Security Taxonomy Cloud Security Problems Protezione dei dati in termini di confidenzialità, disponibilità e integrità Crittografia Ridondanza (essenziale per evitare disservizio o perdita di dati) Eliminazione (li tolgo veramente i miei dati quando voglio farlo dal cloud?)

13 Virtualization Cloud Security Taxonomy Cloud Security Problems Isolamento tra VMs, vulnerabilità degli hypervisor, etc. Isolamento (isolamento tra VMs su medesimo hardware) Hypervisor Vulnerabilities Data leakage (exploit dei controlli di isolamento per accedere ad altri sistemi sul medesimo hardware) VM identification Cross-VM attacks (tentativi di analisi traffico/cpu/memory su una VM per stabilire l elaborazione di un altra)

Governance Cloud Security Taxonomy Cloud Security Problems Perdita di controllo amministrativo e di sicurezza nelle soluzioni cloud al di fuori dell azienda Data

14 Governance Cloud Security Taxonomy Cloud Security Problems Perdita di controllo amministrativo e di sicurezza nelle soluzioni cloud al di fuori dell azienda Data control (perdita di controllo sulla ridondanza, posizione, file system e altro) Security control (V.A./P.T., Policy, SLAs, ) Lock-in (difficoltà a cambiare fornitore)

15 Compliance Cloud Security Taxonomy Cloud Security Problems Richieste (mantenute?) sulla disponibilità del servizio e possibilità di effettuare audit sullo stesso Service Level Agreements (SLA) Loss of Service Audit Service Conformity

Legal Issues Cloud Security Taxonomy Cloud Security Problems Aspetti giuridici e di legge su dati in differenti paesi o accesso a questi Data location (dati in più paesi con leggi

16 Legal Issues Cloud Security Taxonomy Cloud Security Problems Aspetti giuridici e di legge su dati in differenti paesi o accesso a questi Data location (dati in più paesi con leggi diverse?) E-discovery (se requisiscono l hardware per una VM che fa azioni illecite dove gira anche la mia VM?) Provider Privilege (come controllo il personale del provider?) Legislation

17 Struttura principale della Tassonomia proposta Cloud Security Taxonomy Cloud Security Taxonomy Architecture : elementi architetturali (network security, interfaces, VMs, etc.) Compliance : responsabilità del servizio tra cliente e provider Privacy : data security e legal issues

18 Cloud Security Taxonomy Cloud Security Taxonomy: Architecture

19 Cloud Security Taxonomy Cloud Security Taxonomy: Compliance

20 Cloud Security Taxonomy Cloud Security Taxonomy: Privacy

21 Cloud Security Taxonomy Analisi Quantitativa Adesso diamo dei numeri alle problematiche evidenziate e alle soluzioni correlate tramite un analisi quantitativa in base a paper e ricerche accademiche, di organizzazioni di security e di aziende del comparto ICT Accademiche: IEEE; ACM; Springer, Webscience, Scipress Organizzazioni: SANS, CSA, NIST, ENISA, Gartner, KVM Aziende: Ericsson, IBM, Xerox, Cisco, Vmware, Xen, Citrix, Emc, Microsoft, Salesforce

22 Attenzione ai problemi (elementi di dettaglio) Cloud Security Taxonomy Attenzione ai problemi

23 Attenzione ai problemi (categorie raggruppate) Cloud Security Taxonomy Attenzione ai problemi

24 Presenza di soluzioni (elementi di dettaglio) Cloud Security Taxonomy Presenza di soluzioni

25 Presenza di soluzioni (categorie raggruppate) Cloud Security Taxonomy Presenza di soluzioni

26 Cloud Security Taxonomy Confronto Problemi/Soluzioni Problemi Soluzioni Si nota un notevole scostamento tra problemi di «Virtualization» e soluzioni attualmente disponibili

27 Radar Graph sul confronto gruppi Cloud Security Taxonomy Confronto Problemi/Soluzioni

28 Cloud Security Taxonomy Confronto Problemi/Soluzioni Radar Graph sugli elementi di «Virtualization»

29 Cloud Security Taxonomy Considerazioni Finali La Security è fondamentale ed abilitante per il Cloud Computing Alcune problematiche evidenziate sono comuni agli ambienti di produzione non «Cloud» (authentication, network security, legal requirement, etc.), ma l impatto è intensificato dall ambiente «Cloud» per le sue caratteristiche di condivisione con altre entità (l azione di un singolo cliente può impattare sugli altri clienti). Un elemento chiave è il controllo dell isolamento e dell assegnazione delle risorse negli ambienti virtualizzati ed in questo momento è l elemento dove si ha maggiore scostamento tra le necessità e le soluzioni disponibili.

30 Cloud Security Taxonomy Question Time? Ing. Davide Casale Shorr Kan IT Engineering

Documenti analoghi

Iniziativa : "Sessione di Studio" a Torino

Iniziativa : Sessione di Studio a Torino Iniziativa : "Sessione di Studio" a Torino Gentili Associati, Il Consiglio Direttivo è lieto di informarvi che, proseguendo nell attuazione delle iniziative promosse dall' volte al processo di miglioramento,