Cloud Compliance Fakt oder Fiktion?

Transkript

1 Cloud Compliance Fakt oder Fiktion? Philipp Stephanow Fraunhofer AISEC Service and Application Security

2 Fraunhofer AISEC Gegründet 2009 Anzahl der Mitarbeiter > 120 Enge Anbindung an TU München Fakultät für Informatik (Professorin Eckert) Fakultät für Elektrotechnik und Informationstechnik (Professor Sigl) AISEC-Berlin Finanzierung (Fraunhofer Modell) Bis zu 20% staatlich 80% durch öffentliche Forschungsprojekte und Auftragsforschung AISEC-Munich

3 Agenda NGCert: Next Generation Certification Ausgangslage & Herausforderungen Partner, Ziele, Volumen : Continuous Cloud Assurance Konzepte & Komponenten Demo Testszenario: Continuous Location Validation Klassifizierung von Lokationen Kontinuierliche Validierung

4 Agenda NGCert: Next Generation Certification Ausgangslage & Herausforderungen Partner, Ziele, Volumen : Continuous Cloud Assurance Konzepte & Komponenten Demo Testszenario: Continuous Location Validation Klassifizierung von Lokationen Kontinuierliche Validierung

5 Herausforderung Beispielhafte Zertifikate cloud-spezifische sowie applikationsagnostische Zertifizierungen Zertifikat: Erfüllung einer Sammlung von Controls bzw. Anforderungen

6 Herausforderung Zertifizierung von Cloud Services Bestehende Zertifikate stellen eine Momentaufnahme dar; Gültigkeit von 1-3 Jahren Manuelle Prüfung von Anforderungen eines Zertifikates (Stichproben) Komposition & Konfiguration von Cloud Services können sich ändern Zertifizierung Audit (Rezertifizierung) Audit (Rezertifizierung) Audit (Rezertifizierung) t????????? Zentrale Frage: Werden die Auditkriterien zwischen den Audits noch eingehalten?

7 Partner, Ziele, Laufzeit, Volumen Forschung und Entwicklung einer dynamischen Zertifizierung zum kontinuierlichen Nachweis des Zertifizierungsstatus Start: Oktober 2014, Ende: September 2017 Projektvolumen: 2,34 Mio. (gefördert durch BMBF) Sicherstellung der Rechtskonformität Automatisiertes Audit und Reporting Betrachtung Kosten & Nutzen der dynamischen Zertifizierung mehr Informationen:

8 Agenda NGCert: Next Generation Certification Ausgangslage & Herausforderungen Partner, Ziele, Volumen : Continuous Cloud Assurance Konzepte & Komponenten Demo Testszenario: Continuous Location Validation Klassifizierung von Lokationen Kontinuierliche Validierung

9

10 Motivation Viele IT-Abteilungen setzen mittlerweile auf (öffentliche) Cloud-Dienste Interne IT als private Cloud-Umgebungen Firmen nutzen die Cloud, um Cloud-basierte Produkte anzubieten Automotive: Backend für Connected Car Smart Home: Fernsteuerung des Haus über die Cloud

11 Herausforderung Die Abstraktion der Cloud verursacht einige Herausforderungen Kann ich die Komplexität der Cloudumgebung beherrschen? Funktioniert mein Cloud-basiertes Produkt wie versprochen? Werden SLAs eingehalten? (z.b. gegenüber Kunden) Ist mein Produkt ausreichend gegen Angriffe geschützt? Toolunterstützung für die Sicherheit der Cloud Generische Tools/API (z.b. AWS CloudWatch, etc.) sind vorhanden Oft fokussiert auf Operations/Performance Nicht zugeschnitten auf das Produkt Do-it-yourself ist kostenintensiv

12 Lösungsansatz Maßgeschneiderte, automatisierte Tests für Cloud-basierte Produkte Design der Tests können dem Produkt angepasst werden Unterstützt alle Servicemodelle (SaaS, PaaS, IaaS) Hohe Genauigkeit und Aussagekraft der Tests Tests werden kontinuierlich ausgeführt, kontinuierliches Reporting Testergebnisse sind eindeutig (ja oder nein) Effizienter Einsatz Minimaler Performance-Overhead auf dem zu testenden System Integration ist minimal invasiv à Tests von außen durchführbar

13 Toolbox Dashboard Engine Simulator Explorer continuous validation Evaluator performance evaluation Toolbox

14 Toolbox Engine Explorer continuous validation Dashboard Simulator Evaluator performance evaluation Kontinuierliche Validierung Automatisierung der Anforderungsprüfungen Testdesign und Deployment Performanzevaluierung Wie akkurat sind die kontinuierlichen Tests? Welche ist die optimale Konfiguration? Toolbox

15 Toolbox Engine Explorer continuous validation Dashboard Simulator Evaluator performance evaluation Kontinuierliche Validierung Automatisierung der Anforderungsprüfungen Testdesign und Deployment Performanzevaluierung Wie akkurat sind die kontinuierlichen Tests? Welche ist die optimale Konfiguration? Toolbox

16 Beispielhafte Szenarien Exemplarische Anforderungsquellen CSA STAR, Eurocloud, NIST SP , ENISA IAF, ISO/IEC 27001:2013 Software Assurance Maturity Model (opensamm), Microsoft s Software Development Lifecycle (SDL)

17 Beispielhafte Szenarien Exemplarische Anforderungsquellen CSA STAR, Eurocloud, NIST SP , ENISA IAF, ISO/IEC 27001:2013 Software Assurance Maturity Model (opensamm), Microsoft s Software Development Lifecycle (SDL) Verfügbarkeit einer Cloud Applikation eine virtuelle Maschine muss 99,999% p.a. verfügbar sein applikationsagnostisch (z.b. ICMP, TCP), applikationsspezifisch (z.b. Responsezeiten bestimmter RESTful API Calls)

18 Beispielhafte Szenarien Sichere Konfiguration Verwundbare SSL/TLS-Konfiguration Unzureichende Inputvalidierung (SQL Injection Vulnerabilities) Fehlkonfiguration von Firewalls Unautorisierter administrativer Zugriff auf Cloud-Komponenten Einhaltung von Quality Gates bei Continuous Integration (CI) kontinuierliche Prüfung von Mindeststandards bei der Entwicklung von Software

19 Agenda NGCert: Next Generation Certification Ausgangslage & Herausforderungen Partner, Ziele, Volumen : Continuous Cloud Assurance Konzepte & Komponenten Demo Testszenario: Continuous Location Validation Klassifizierung von Lokationen Kontinuierliche Validierung

20 Kontinuierliche Validierung von Cloud Service Lokationen Kontinuierliche Validierung von Geolokationen von Cloud Ressourcen Szenario: Klassifizierung von VM Lokationen Zielsetzung: Minimal-invasive Unterscheidung bekannter VM Lokationen N. Virgina N. California Oregon Ireland Frankfurt Tokyo Singapore Sydney

21 Kontinuierliche Validierung von Cloud Service Lokationen Methode: Verwendung von mtr zur Sammlung von ~4000 Proben mtr? Netzwerk-Tool, das Proben von Routern (Hops) auf dem Weg zu einer Zieladresse sammelt Ausgangspunkt der Messung: VM in Frankfurt (AWS)

22 Kontinuierliche Validierung von Cloud Service Lokationen Methode: Verwendung von mtr zur Sammlung von ~4000 Proben mtr? Netzwerk-Tool, das Proben von Routern (Hops) auf dem Weg zu einer Zieladresse sammelt Ausgangspunkt der Messung: VM in Frankfurt (AWS)

23 Kontinuierliche Validierung von Cloud Service Lokationen Beispielhafter Output für mtr Probe einer VM in Oregon IP Loss% Probe Counts Last Avg Best Wrst Std dev % % % % % % ???? % Feature Vector AVG AVG AVG AVG AVG Number of known hops =7 Number of unknown router =1

24 Kontinuierliche Validierung von Cloud Service Lokationen Netzwerktopologie anhand der gesammelten Routen

25 Kontinuierliche Validierung von Cloud Service Lokationen Netzwerktopologie anhand der gesammelten Routen

26 Kontinuierliche Validierung von Cloud Service Lokationen T-SNE (t-distributed stochastic neighbor embedding) Repräsentation des Trainings-Sets 1. N. Virgina 2. N. California 3. Oregon 4. Ireland 5. Frankfurt 6. Tokyo 7. Singapore 8. Sydney 9. Sao Paulo

27 Kontinuierliche Validierung von Cloud Service Lokationen Ergebnisse der Vorstudie Classifiers Misclassification Rate SVM (linear) % GMM % Sehr gute Ergebnisse, korrekte Klassifizierung >99% der Samples im Testset Algorithmen zur Klassifizierung: Support Vector Machine (SVM), Linear Kernel Gaussian mixture model (GMM)

28 Kontinuierliche Validierung von Cloud Service Lokationen Weitere Herausforderungen Veränderung des Netzes über die Zeit (Concept drift) Filterung von anomalen Proben Vertrauenswürdige Messungen

29 Kontakt Philipp Stephanow Fraunhofer AISEC Service and Application Security Parkring 4, Garching near Munich, Germany Phone PGP-Fingerprint: D0 0D3D BA DF75 0E85 61F9 F208 - Continuous Cloud Assurance