Vertrauen und Sicherheit in der Wolke Herausforderungen und Fallstudie

Transkript

1 Vertrauen und Sicherheit in der Wolke Herausforderungen und Fallstudie Prof. Dr. Helmar Burkhart1, Dr. Sven Rizzotti, Dipl. Ing.1,2 1 Fachbereich Informatik, Universität Basel 2 usekit AG, Incubator Basel

2 Cloud Computing Cloud Compu+ng ist eine Form der Bereitstellung von gemeinsam nutzbaren und flexibel skalierbaren IT- Leistungen durch nicht fest zugeordnete IT- Ressourcen über Netze. Ideal- typische Merkmale sind die Bereitstellung in Echtzeit als Self Service auf Basis von Internet- Technologien und die Abrechnung nach Nutzung. Damit ermöglicht Cloud Compu+ng den Nutzern eine Umverteilung von Inves++ons- zu Betriebsaufwand. LeiKaden Cloud Compu+ng: Was Entscheider wissen müssen Bitcom Berlin,

3 Vorteile Verträge mit kurzer Laufzeit On- Demand- Verfügbarkeit Keine Vorabinves++onen Abrechnung nach Verbrauch Sicherheit In weniger als zehn Jahren werden viele Unternehmen ohne hausinterne IT und Rechenzentren auskommen. Professor August- Wilhelm Scheer, Bitcom Präsident. 3

4 Vier Cloud Varianten Unternehmen 1 Private cloud Unternehmen 2 Community cloud Unternehmen 3 Public cloud Internet Public cloud Unternehmen 4 Unternehmen 5 Private cloud Quelle: Goaried Vossen, Till Haselmann und Thomas Hoeren. Cloud- Compu*ng für Unternehmen: Technische, wirtscha<liche, rechtliche und organisatorische Aspekte. Heidelberg: dpunkt.verlag, Mai

5 Geschätzte Kostensenkung Quelle: Centre for Economics and Business Research (CEBR),

6 Drei Servicemodelle Benutzerschicht Sogware- as- a- Service (SaaS) PlaKorm- as- a- Service (PaaS) Infrastructure- as- a- Service (IaaS) Virtualisierungsschicht Hardware- Infrastruktur Anwendung Softwareumgebung IKT Betriebsmittel Transparente Verwaltung durch Cloud Anbieter 6

7 Serviceebenen Beispiele SaaS: Salesforce, bill, zendesk, workday, HubSpot, webex, surveymonkey, usekit PaaS: Amazon AWS (*), Google Apps (*), Netsuite, SAP. Bildquelle: NIST Cloud Reference Architecture IaaS: Amazon EC2, GoDaddy, GoGrid, Rackspace, Cyon 7

8 Webservice Evolution Forschungsgegenstand Interoperable Clouds, Cloud Mashups, Sky Compu+ng? OpenCloud Quelle: NIST Cloud Reference Architecture 8

9 Risiko: Missbrauch Passwort, Key cracking, DDOS, Botnet, rainbow tables Abhilfen Stärkere Registrierungsanforderungen Stärkere Kreditkarten Überwachung Überwachung des Netzverkehrs Überwachung von öffentlichen Blacklisten hnp:// hnp:// hnp://wha+smyipaddress.com/blacklist- check SaaS PaaS IaaS 9

10 Risiko: Lahmlegung Angriffe aufs System durch massive Dienstaufrufe. Abhilfen CAPTCHA, Honeypots (bei Dialogsteuerung) Service Logging (falls API Nutzung). SaaS PaaS IaaS 10

11 Risiko: Schnittstellen / APIs Anonymer Zugriff, Wiederverwendbare Tokens, Klartext Authen+fika+on, Limi+ere Zugriffskontrollen, Ungenügendes Logging, Unbekannte Abhängigkeiten Abhilfen Stärkere Authen+sierung, Zugriffskontrolle Klare Abhängigkeiten SaaS PaaS IaaS 11

12 Risiko: Bösartiges Eindringen Aufdeckung schwierig Abhilfen Strenge Dienstleister Auswahl und Beurteilung Transparenz in Sicherheits- und Management- prak+ken SaaS PaaS IaaS 12

13 Risiko: Geteilte Technologie Ungenügende Isola+on bei gemeinsam genutzter Infrastruktur Abhilfen Monitoring, Starke Authen+sierung und Zugriffskontrolle für Administratoren Permanente Schwachstellenanalyse Unabhängige Sicherheitsprüfung SaaS PaaS IaaS 13

14 Risiko: Datenverlust, Datenleck Ungenügende Authen+sierung, Fehlende Verschlüsselung, Vertraulichkeit Datencenter Abhilfen API Zugriffskontrolle Verschlüsselung Best prac+ces SaaS PaaS IaaS 14

15 Risiko: Kontoübernahme Phishing, Fraud, Exploits Abhilfe Gemeinsame Konten verunmöglichen Monitoring Zweistufige Authen+fizierung SaaS PaaS IaaS 15

16 Weitere Risiken? 16

17 Weitere Risiken? Sniffing Password guessing Mobilgeräte Unvorsich+ge Mitarbeiter 17

18 Nutzungsfreundlichkeit vs. Sicherheit Viele Sicherheitstechniken sind im Prinzip verfügbar, werden aber nicht verwendet: Fehlendes Risikoverständnis Zu komplizierte Nutzung Reduk+on der Leistung durch Prüfmechanismen Es braucht (für Cloudanwender) verständliche, direkt anwendbare Sicherungstechniken. 18

19 Sicherheit in der Cloud Quelle: NIST Cloud Reference Architecture 19

20 Massnahmen vor Cloudlösung Vertrauenstest Anbieter Absicherung der eigenen Rechte (Daten) Kontrolle aller Zugriffsmechanismen Verfügbarkeit der Clouddienste sichern Reak+onsverhalten bei Vorfällen festlegen Auditwesen ausauen Auch Cloudlösungen erfordern ein hausinternes IKT- Verständnis. 20

21 Fallstudie usekit ProBindr CollaboraDon Content Management Quelle: NIST Cloud Reference Architecture 21

22

23

24

25

26 Gegenwärtige Arbeiten Data room Betonung Sicherheit Volle Kontrolle Watermarks Logging Information Space Betonung Wissen Reactive Web Agenten Semantik 26

27 Danke für die Aufmerksamkeit "Swiss Secure DataRoom" wird gefördert von der Schweizerischen Kommission für Technologie und Innova+on (KTI) unter der Projektnummer PFFLE- ES. 27