La sicurezza del datacenter all'ombra della "nuvola" Come scongiurare il maltempo?

Transcript

1 L Eccellenza nei servizi e nelle soluzioni IT integrate. La sicurezza del datacenter all'ombra della "nuvola" Come scongiurare il maltempo? 2013 APRILE Omnitech s.r.l. Via Fiume Giallo, Roma Via dei Bossi, Milano Tel.: Fax.:

2 L Eccellenza nei servizi e nelle soluzioni IT integrate. Riccardo Morsicani Security Analyst - Omnitech 2013 APRILE Omnitech s.r.l. Via Fiume Giallo, Roma Via dei Bossi, Milano Tel.: Fax.:

3 Verso la nuvola

4 Cloud computing Con il termine cloud computing si indica un insieme di tecnologie che permettono, tipicamente sotto forma di un servizio offerto da un provider al cliente, di memorizzare/ archiviare e/o elaborare dati grazie all'utilizzo di risorse hardware/software distribuite, condivise e virtualizzate in Rete.

5 Cloud computing, i vantaggi

6 CIO Infrastructure Priorities CIO TECHNOLOGIES: Ranking of technologies CIOs selected as one of their top three priorities in 2011 RANKING Cloud Computing * Virtualization Mobile Technologies IT Management 4 10 * * Business Intelligence (BI) Networking, Voice and Data Communications Enterprise Applications Collaboration Technology Infrastructure Web *New response category Source: Gartner CIO 2011 Executive Survey

7 Adozione di soluzioni cloud % 71% Fonte: Enter the Cloud Ha attuato strategie cloud o lo farà nel 2013 Non ha attuato strategie Cloud e non lo farà nell anno

8 Investimenti Italia 2013 Fonte: Enter the Cloud

9 Fattori frenanti Fonte: Enter the Cloud

10 Preoccupazione giustificata? In generale, la sicurezza potrebbe aumentare grazie alla centralizzazione dei dati, dei sistemi di monitoraggio o di sicurezza ecc, ma persistono preoccupazioni per la perdita di privacy e di controllo sui dati. Tuttavia, la complessità della sicurezza è notevolmente aumentata quando i dati vengono distribuiti su un area molto più estesa e resi accessibili da un maggiore numero di dispositivi, e spesso (nei sistemi multi-tenant) vengono condivisi da utenti indipendenti. Inoltre, l esecuzione di controllo di sicurezza può essere difficile o impossibile.

11 Scenario della sicurezza I controlli di sicurezza nel Cloud Computing sono, per la maggior parte, non differenti dai controlli di sicurezza in ogni ambiente IT. Tuttavia, per via dei modelli di servizio Cloud utilizzati, dei modelli operativi, e delle tecnologie utilizzate per abilitare i servizi Cloud, il Cloud Computing può presentare per un ente rischi differenti rispetto alle tradizionali soluzioni IT.

12 Delineation of Responsibility IaaS PaaS SaaS API/GUI API/GUI API/GUI Application Application Application Solution Stack Solution Stack Solution Stack Tenant Provider Virtual Machine Hypervisor Virtual Machine Hypervisor O S Virtual Machine Hypervisor O S Compute & Storage Network Facility Compute & Storage Network Facility Compute & Storage Network Facility

13 Security Issues - IaaS Ci sono alcuni probemi di sicurezza insisti nella struttura cloud IaaS: Cloning Issues: un problema in una immagine virtuale può essere propagato su tutta l infrastruttura Patching Problems: alcune tecnologie cloud non permettono di patchare agevolemente le VM (aggravato dall esposizione delle interfacce amministrative) Traffic Control: spesso non è spesso possibile implementare un adeguata difesa perimetrale Utilizzo di Internet che è untrusted per definizione

14 Security Issues - PaaS Piattaforme di sviluppo vulnerabili Le separazione tra i contesti non sono rinforzabili e/o monitorate Un maliciuos code può impattare sul dominio del vicino Utilizzo di Internet che è untrusted per definizione Dato che il solution stack è competenza del provider, per il tenant si pone il problema: come faccio a distribuire un'applicazione sicura se il provider non mi permette di testare la sicurezza? Possibili soluzioni sono: analisi statica del codice creazione di un cloud provato per i test e uno pubblico per la produzione Modello di sviluppo che favorisce scarsa revisione del codice

15 Security Issues - SaaS Il software è eseguito una sola volta per tutti i tenants, ed un eventuale debolezza impatta su clienti multipli Utilizzo di Internet che è untrusted per definizione Software as a Service è progettato per essere una soluzione chiavi in!mano per il tenant; in questo caso per il tenant è molto difficile verificarne in modo appropriato la sicurezza. Si espone a i problemi degli altri modelli di implementazione

16 Security Issues Infine, a prescindere dal fatto che la soluzione sia IaaS, PaaS o SaaS, la maggior parte delle soluzioni di cloud dispone di una soluzione di gestione backend, che può rappresentare un vettore privilegiato di attacco (e quindi un ulteriore punto di insicurezza)

17 Quindi? Cosa fare nel frattempo per prepararsi alla nuvola? È possibile iniziare a predisporre un Datacenter tradizionale per evolvere in ottica Cloud? Cosa chiedo al mio provider in termini di sicurezza Cloud?

18 Data Center sulla strada delle nuvole Complessità Performance/Ottimizzazione/Efficacia PHYSICAL VIRTUALIZED CLOUD MFR ENG HR Company A Company B MFR ENG HR Consolidated and Efficient: Many : 1 Dynamic and Multi-tenant Siloed Resources: 1 : 1 Ratio

19 Sulla strada delle nuvole PHYSICAL VIRTUALIZED CLOUD MFR ENG HR Company A Company B Massimizzare disponibilità e performance MFR ENG HR Siloed Resources: 1 : 1 Ratio Consolidated and Efficient: Many : 1 Mettere e mantenere in sicurezza una grande mole di dati minimizzando l impatto sulla disponibilità Proteggere la rete non degradando le performance Dynamic and Multi-tenant Controllo Gestione e monitoraggio centralizzato

20 In sintesi... Un approccio unificato e trasversale può traghettare in modo efficace ed efficiente verso un ottica virtuale e cloud la sicurezza a strati (Layerd Security) necessaria per un infrastruttura Cloud è auspicabile anche in ottica tradizionale Sapere cosa è necessario implementare nel mio CED, indirizza anche cosa chiedere al mio futuro Cloud Provider

21 Grazie per l attenzione.