Securitate în cloud computing

De la Wikipedia, enciclopedia liberă.
Salt la navigare Salt la căutare

Securitatea cloud computing sau, mai simplu, securitatea cloud , se referă la o gamă largă de politici, tehnologii și controale concepute pentru a proteja datele, aplicațiile și infrastructurile de cloud computing asociate. Securitatea în acest domeniu este un subdomeniu al securității cibernetice în ansamblu.

Descriere

Probleme de securitate asociate cu cloud-ul

Cloud-ul oferă utilizatorilor să stocheze și să proceseze datele și procesele lor în centre de date terțe. [1] Companiile care utilizează cloud prin diferite modele de servicii ( SaaS , PaaS și IaaS ) și modele de distribuție (private, publice, hibride sau comunitare). [2] Problemele de securitate asociate cu cloud computing se încadrează în două mari categorii: probleme de securitate cu care se confruntă furnizorii de cloud (organizații care furnizează servicii cloud) și probleme de securitate cu care se confruntă clienții lor (companii, organizații sau persoane fizice care utilizează serviciile oferite de cloud în sine) ). [3] Responsabilitatea este partajată: furnizorul trebuie să se asigure că infrastructura lor este sigură și că datele și aplicațiile clienților sunt protejate, în timp ce utilizatorii trebuie să ia măsuri pentru ca aplicațiile lor să fie dificil de spart.

Atunci când o organizație decide să-și stocheze datele sau să găzduiască o aplicație în cloud, își pierde capacitatea de a avea acces fizic la serverele care dețin aceste informații. Ca urmare, datele sensibile potențiale sunt expuse riscului de atacuri interne. Potrivit unui raport recent al Cloud Security Alliance , atacurile provenite din interiorul furnizorului de cloud reprezintă a șasea cea mai mare amenințare în cloud computing . [4] Prin urmare, furnizorii de cloud trebuie să se asigure că sunt efectuate verificări amănunțite angajaților care au acces la serverele din centrele lor de date.

Pentru a economisi resurse, a reduce costurile și a menține eficiența ridicată, furnizorii de cloud stocează adesea date de la mai mulți clienți pe aceeași mașină. Ca urmare, există posibilitatea ca datele private ale unui utilizator să poată fi vizualizate de alți utilizatori (posibil chiar și de concurenții lor). Pentru a face față unor astfel de situații sensibile, furnizorii de servicii cloud ar trebui să asigure izolarea corectă a datelor și separarea logică a stocării. [2]

Utilizarea extensivă a virtualizării în implementarea infrastructurii cloud creează probleme de securitate pentru clienții unui serviciu public cloud. [5] Virtualizarea modifică relația dintre sistemul de operare și hardware-ul de bază: fie că este vorba de calcul, stocare sau chiar rețea. Aceasta introduce un alt strat care trebuie configurat, gestionat și securizat corespunzător. [6] Una dintre preocupări include potențialul compromis al software-ului de virtualizare sau „ hipervizor ”. [7] De exemplu, o încălcare a stației de lucru a administratorului cu software-ul de gestionare a virtualizării poate provoca întreruperea serviciilor furnizate de întregul centru de date sau un atacator să îl reconfigureze după bunul plac.

Dimensiunile securității cloud

În general, se recomandă selectarea și implementarea controalelor de securitate a informațiilor pe bază de risc și proporțională: evaluarea amenințărilor, vulnerabilităților și impactului. Problemele de securitate în cloud pot fi grupate în diferite moduri; Gartner a identificat șapte [8] în timp ce Cloud Security Alliance a luat în considerare paisprezece domenii de îngrijorare [9] [10] . Cloud Access Security Brokers (CASB) este un tip de software care se află undeva între utilizatorii serviciilor cloud și aplicațiile cloud pentru a monitoriza toate activitățile și a aplica politicile de securitate în mod corespunzător. [11] Deoarece crearea unei infrastructuri 100% sigure nu este niciodată posibilă, ne bazăm adesea pe servicii de tip asigurare care acoperă riscul rezidual.

Controale de securitate în cloud

Arhitectura de securitate cloud este eficientă numai dacă au fost implementate apărările corecte. O arhitectură de securitate cloud eficientă ar trebui să ia în considerare problemele care apar legate de gestionarea securității. [12] Acesta din urmă rezolvă aceste probleme prin efectuarea verificărilor care sunt puse în aplicare pentru a proteja orice slăbiciune a sistemului și a reduce efectul unui atac. O arhitectură de securitate pentru un cloud are multe tipuri de controale, dar acestea se găsesc de obicei în una dintre următoarele categorii: [12]

Controale de descurajare
Aceste controale sunt menite să reducă atacurile asupra unui sistem cloud. La fel ca un semn de avertizare pe un gard al proprietății, controalele de descurajare reduc de obicei nivelul amenințării, informând potențialii atacatori că vor avea consecințe negative dacă vor continua. (Unii le consideră a fi un subset de controale preventive.)
Verificări preventive
Controalele preventive consolidează sistemul împotriva incidentelor, reducând, de obicei, dacă nu eliminând în mod eficient vulnerabilitățile cunoscute. Autentificarea corectă și eficientă a utilizatorului face mai puțin probabil ca utilizatorii neautorizați să acceseze sistemele cloud. Utilizarea tastelor RSA foarte lungi este un exemplu.
Verificări de investigație
Controalele de investigație sunt destinate să detecteze și să răspundă în mod adecvat la orice incident care apare. În cazul unui atac, o verificare de investigație va indica verificările preventive sau corective care trebuie luate pentru a rezolva problema. [12] Monitorizarea securității sistemului și a rețelei, inclusiv detectarea intruziunilor, este de obicei folosită pentru a detecta atacurile asupra sistemelor și infrastructurii de comunicații.
Verificări corective
Controalele corective reduc consecințele unui accident, de obicei prin limitarea pagubelor. Ei intră în acțiune în timpul sau după un accident. Restaurarea copiilor de rezervă ale sistemului pentru a reconstrui un sistem compromis este un exemplu de verificare corectivă.

Securitate și confidențialitate

Managementul identității
Fiecare companie are propriul sistem de management al identității pentru a controla accesul la informații și resurse IT. Furnizorii de servicii cloud integrează sistemul de gestionare a identității clientului în infrastructura lor, utilizând tehnica SSO sau folosind un sistem de identificare bazat pe date biometrice [1] sau oferind propriul lor sistem de gestionare a identității [13] . CloudID, [1], de exemplu, oferă un sistem de identificare biometrică între întreprinderi bazat pe cloud, care păstrează confidențialitatea. Acesta leagă informațiile confidențiale ale utilizatorilor de datele lor biometrice și le stochează într-un mod criptat. Folosind o tehnică de criptare, identificarea biometrică se efectuează într-un domeniu criptat pentru a se asigura că furnizorul de cloud sau potențialii atacatori nu au acces la date sensibile. [1]
Siguranță fizică
Furnizorii de servicii cloud protejează fizic hardware-ul IT (servere, routere, cabluri etc.) de acces neautorizat, interferențe, supratensiuni, furt, incendiu și dezastre naturale și asigură continuitatea afacerii. În mod normal, aceste servicii pot fi obținute profitând de centre de date de talie mondială (adică specificate profesional, proiectate, construite, monitorizate și gestionate). Trebuie subliniat faptul că securitatea computerului fără securitatea fizică a serverelor nu valorează nimic; deoarece atacatorul care reușește să pună mâna pe mașini le poate încălca ocolind toată infrastructura virtuală creată pentru a le proteja.
Siguranța personalului
Diverse probleme de securitate a informațiilor legate de IT și alți profesioniști asociați cu serviciile cloud sunt de obicei abordate prin activități pre și post-angajare, cum ar fi programe de conștientizare a securității și formare. Acestea sunt foarte importante pentru a crea cunoștințe colective cu privire la riscurile care decurg din acțiuni aparent inofensive, cum ar fi verificarea informațiilor care sunt prezente pe un stick USB aflat la sol în fața companiei.
Confidențialitate
Furnizorii de cloud se asigură că toate datele critice (cum ar fi numerele cardurilor de credit sau parolele) sunt mascate sau criptate și că numai utilizatorii autorizați au acces la date în întregime. În plus, identitățile și acreditările digitale trebuie protejate, la fel ca orice date pe care furnizorul le colectează sau le produce despre activitatea clienților în cloud.

Securitatea datelor

O serie de amenințări la adresa securității sunt asociate cu serviciile cloud: nu numai amenințările tradiționale la adresa securității, cum ar fi ascultarea rețelei, exfiltrarea și atacurile de refuzare a serviciilor , ci și amenințările specifice la cloud computing , cum ar fi atacurile pe canale laterale , vulnerabilitățile de virtualizare și abuzul de servicii cloud . Următoarele cerințe de securitate limitează amenințările. [14]

Confidențialitate
Confidențialitatea datelor este proprietatea că conținutul său nu este pus la dispoziție sau dezvăluit utilizatorilor neautorizați pentru a-l vizualiza. Datele externalizate sunt stocate într-un nor în afara controlului direct al proprietarilor. Numai utilizatorii autorizați pot accesa datele, în timp ce toți ceilalți, inclusiv furnizorii de cloud, nu trebuie să dobândească nicio informație despre aceasta. În același timp, proprietarii de date se așteaptă să utilizeze pe deplin serviciile cloud legate de date, cum ar fi căutarea, procesarea și partajarea datelor, fără a provoca scurgerea conținutului.
Controlul accesului
Controlul accesului este o practică care permite proprietarului de date să restricționeze selectiv accesul la datele sale salvate în cloud. Unii utilizatori pot fi autorizați de proprietar să acceseze datele, în timp ce alții nu le pot accesa fără autorizare. În plus, este de dorit să se aplice un control foarte bun al accesului la datele externalizate, adică să creeze utilizatori diferiți cu diferite categorii de privilegii cu privire la același acces. În mediile cloud de încredere, permisiunea de acces trebuie să fie exclusiv de la proprietar.
Integritate
Integritatea datelor necesită menținerea și asigurarea exactității și exhaustivității datelor. Un utilizator se așteaptă întotdeauna ca datele sale din cloud să fie stocate corect și fiabil. Aceasta înseamnă că datele nu trebuie să poată fi manipulate ilegal, modificate necorespunzător, șterse din greșeală sau create în mod rău intenționat. Dacă orice operație nedorită corup sau șterge datele, proprietarul ar trebui să poată detecta corupția sau pierderea. De asemenea, atunci când o parte din datele externalizate este deteriorată sau pierdută, acestea trebuie să fie recuperabile.

Criptare

Unii algoritmi de criptare avansați aplicați în domeniul cloud computing sporesc protecția datelor și, prin urmare, confidențialitatea. Să vedem acum câteva exemple de algoritmi utilizați efectiv în serviciile cloud.

Algoritmi de criptare bazate pe atribute (ABE)

Ciphertext-policy ABE (CP-ABE)

În CP-ABE, criptorul are control de acces, pe măsură ce complexitatea strategiei de acces crește, crearea cheii publice a sistemului devine mai dificilă. Activitatea principală de cercetare a CP-ABE se concentrează pe proiectarea facilității de acces. [15]

Politica cheie ABE (KP-ABE)

În KP-ABE, seturile de atribute sunt utilizate împreună cu cheia privată pentru a afișa corect textele criptate. [16]

Criptare homomorfă (FHE)

Criptarea complet homomorfă permite calcule simple asupra informațiilor criptate și vă permite, de asemenea, să calculați suma și produsul pentru datele criptate fără decriptare. [17]

Criptare cu căutare (SE)

Criptarea cu căutare este o primitivă criptografică care oferă funcții de căutare sigure pe date criptate. Pentru a îmbunătăți eficiența căutării, SE creează în general indexuri de cuvinte cheie pentru a executa în siguranță interogările utilizatorilor. Schemele SE pot fi clasificate în două categorii: SE bazate pe criptografie cu cheie secretă și SE bazată pe criptografie cu cheie publică.

Conformitate

Numeroase legi și reglementări privesc păstrarea și utilizarea datelor. În Statele Unite acestea includ legile privind confidențialitatea sau protecția datelor, securitatea datelor din industria asigurărilor de plăți (PCI DSS), Legea privind portabilitatea și responsabilitatea asigurărilor de sănătate (HIPAA), Legea Sarbanes-Oxley , Legea federală a informațiilor privind securitatea (FISMA) și Confidențialitatea online a copiilor Actul de protecție din 1998.

Legi similare se pot aplica în diferite jurisdicții și pot diferi destul de semnificativ de cele aplicate în Statele Unite. Utilizatorii serviciului cloud trebuie adesea să fie conștienți de diferențele legale și de reglementare dintre jurisdicții. De exemplu, datele stocate de un furnizor de servicii cloud pot fi localizate în Singapore, iar serverul poate avea o oglindă în Statele Unite ale Americii. [18]

Multe dintre aceste reglementări impun controale speciale (cum ar fi controale de acces și audituri) și necesită raportare periodică. Clienții serviciilor cloud trebuie să se asigure că furnizorii lor îndeplinesc în mod adecvat aceste cerințe, permițându-le să-și îndeplinească obligațiile, deoarece sunt în primul rând responsabili.

Continuitatea afacerii și recuperarea datelor
Furnizorii de servicii cloud au planuri de continuitate a activității și de recuperare a datelor pentru a se asigura că serviciul poate fi menținut în caz de dezastru sau dezastru și că orice pierdere de date este recuperată. [19] Aceste planuri pot fi partajate și revizuite de clienții lor, în mod ideal în conformitate cu dispozițiile de continuitate cerute de aceștia din urmă. Efectuarea de exerciții de continuitate comună poate fi adecvată, simulând, de exemplu, o întrerupere majoră de curent sau internetul.
Traseu jurnal și audit
Pe lângă producerea de jurnale și piste de audit, furnizorii de servicii cloud lucrează cu clienții lor pentru a se asigura că sunt protejați în mod adecvat, întreținuți atât timp cât are nevoie clientul și sunt accesibile în scopuri de investigații criminalistice (de exemplu, eDiscovery).
Cerințe de conformitate
În plus față de cerințele la care sunt supuși clienții, centrele de date utilizate de furnizorii de servicii cloud pot fi supuse și cerințelor de conformitate. Utilizarea unui furnizor poate duce la probleme de securitate suplimentare în ceea ce privește jurisdicția datelor, deoarece datele despre clienți sau chiriași nu pot rămâne pe același sistem, în același centru de date sau chiar în același nor ca furnizorul. [20] În ceea ce privește Uniunea Europeană, din mai 2018 GDPR va intra în vigoare, ceea ce va însemna că datele sensibile ale cetățenilor Uniunii Europene vor trebui să locuiască fizic într-o țară membră.

Probleme juridice și contractuale

În plus față de problemele de securitate și conformitate enumerate mai sus, furnizorii de servicii cloud și clienții lor negociază condițiile de răspundere (stipulând modul în care vor fi rezolvate incidentele care implică pierderea sau compromiterea datelor), proprietatea intelectuală și sfârșitul serviciului (când datele și aplicațiile sunt returnate definitiv către client). În plus, există considerații pentru achiziționarea datelor din cloud care ar putea fi implicate în litigii. [21] Aceste probleme sunt discutate prin SLA .

Registrele publice
Problemele juridice pot include, de asemenea, cerințe de păstrare a înregistrărilor în sectorul public, unde multe agenții sunt obligate prin lege să păstreze și să pună la dispoziție înregistrări electronice într-un mod specific. Acest lucru poate fi stabilit de legislație sau legea poate impune agențiilor să respecte regulile și practicile stabilite de o agenție de evidență. Agențiile publice care utilizează cloud computing și stocare trebuie să țină seama de aceste preocupări.

Notă

  1. ^ a b c d M. Haghighat, S. Zonouz și M. Abdel-Mottaleb, CloudID: Trustworthy Cloud-based and Cross-Enterprise Biometric Identification , în Expert Systems with Applications , vol. 42, n. 21, 2015, pp. 7905–7916, DOI : 10.1016 / j.eswa.2015.06.025 .
  2. ^ a b Madhan Srinavasin, „Taxonomii de securitate state-of-the-art cloud computing: o clasificare a provocărilor de securitate în mediul actual cloud computing , su doi.acm.org , ACM ICACCI”, 2012.
  3. ^ Swamp Computing aka Cloud Computing , Web Security Journal, 28 decembrie 2009. Accesat la 25 ianuarie 2010 .
  4. ^ Top Threats to Cloud Computing v1.0 ( PDF ), la cloudsecurityalliance.org , Cloud Security Alliance. Adus la 20 octombrie 2014 (arhivat din original la 28 septembrie 2018) .
  5. ^ Vic Winkler, Cloud Computing: Virtual Cloud Security Concerns , la technet.microsoft.com , Revista Technet, Microsoft. Accesat la 12 februarie 2012 .
  6. ^ Kathleen Hickey, Dark Cloud: Studiul găsește riscuri de securitate în virtualizare , pe gcn.com , Government Security News. Accesat la 12 februarie 2012 .
  7. ^ Vic Winkler, Securing the Cloud: Cloud Computer Security Techniques and Tactics , Waltham, MA SUA, Elsevier, 2011, p. 59, ISBN 978-1-59749-592-9 . Adus la 4 mai 2019 (arhivat din original la 29 iulie 2012) .
  8. ^ Gartner: Șapte riscuri de securitate în cloud computing , InfoWorld, 2 iulie 2008. Accesat la 25 ianuarie 2010 .
  9. ^ Ghid de securitate pentru domeniile critice de concentrare în cloud computing [ link rupt ] , pe cloudsecurityalliance.org , Cloud Security Alliance, 2011. Accesat la 4 mai 2011 .
  10. ^ Cloud Security Front and Center , Forrester Research, 18 noiembrie 2009. Accesat la 25 ianuarie 2010 (arhivat din original la 24 noiembrie 2009) .
  11. ^ Ce este un CASB (Cloud Access Security Broker)? , la skyhighnetworks.com , Skyhigh Networks. Adus la 11 august 2017 .
  12. ^ a b c Krutz, Ronald L. și Russell Dean Vines. „Arhitectură de securitate în cloud computing”. Securitate în cloud: un ghid cuprinzător pentru calculul securizat în cloud. Indianapolis, IN: Wiley, 2010. 179-80. Imprimare.
  13. ^ Identity Management in the Cloud . Darkreading.com , Information Week, 25 octombrie 2013. Accesat la 5 iunie 2013 .
  14. ^ Yong Cui Jun Tang, Asigurarea securității și păstrării confidențialității pentru serviciile de date cloud ( PDF ), în ACM Computing Surveys , 2016 (arhivat din original la 6 aprilie 2016) .
  15. ^ Jin-Shu SU, Dan CAO, Xiao-Feng WANG, Yi-Pin SUN și Qiao-Lin HU, Scheme de criptare bazate pe atribute , în Journal of Software , vol. 22, n. 6, pp. 1299-1315, DOI : 10.3724 / sp.j.1001.2011.03993 .
  16. ^ Nuttapong Attrapadung, Javier Herranz, Fabien Laguillaumie, Benoît Libert, Elie de Panafieu și Carla Ràfols, Scheme de criptare bazate pe atribute cu texte de cifrare de dimensiuni constante , în Theoretical Computer Science , vol. 422, 9 martie 2012, pp. 15–38, DOI : 10.1016 / j.tcs.2011.12.004 .
  17. ^ Raguram S. Hemalatha, Performance of Ring Based Fully Homomorphic Encryption for securizing data in Cloud Computing ( PDF ), în International Journal of Advanced Research in Computer and Communication Engineering , 2014.
  18. ^ Gestionarea riscurilor legale care decurg din cloud computing , pe technologyslegaledge.com , DLA Piper. Adus la 22 noiembrie 2014 .
  19. ^ Este timpul să explorați beneficiile recuperării în caz de dezastru bazat pe cloud , la content.dell.com , Dell.com. Accesat la 26 martie 2012. Arhivat din original la 15 mai 2012 .
  20. ^ Vic Winkler, Securing the Cloud: Cloud Computer Security Techniques and Tactics , Waltham, MA SUA, Elsevier, 2011, pp. 65, 68, 72, 81, 218-219, 231, 240, ISBN 978-1-59749-592-9 . Adus la 4 mai 2019 (arhivat din original la 29 iulie 2012) .
  21. ^ Richard Adams, „Apariția stocării în cloud și necesitatea unui nou model de proces criminalistic digital ( PDF ), la researchrepository.murdoch.edu.au , Universitatea Murdoch, 2013.

linkuri externe

Adus de la „ https://it.wikipedia.org/w/index.php?title=Sicurezza_del_cloud_computing&oldid=120777741 ”