Projektvorstellung "Cloud"

Transkript

1 IT-Sicherheit (Aufbaukurs) WS11/12 Katja Ziesch, Franziska Rumpelt, Erik Pätz 10MIM HTWK Leipzig - Hochschule für Technik, Wirtschaft und Kultur Leipzig, 1. Februar 2012

2 Inhalt 1 Servicemodelle 2 Virtualisierung Service-orientierte Architekturen und Web-Services 3 Angepasste Sicherheitsanalyse Identikation der Schutzobjekte Bedrohungsanalyse Fazit 4 Eigene Cloud

3 Servicemodelle Ebenen

4 Servicemodelle Software-as-a-Service

5 Servicemodelle Plattform-as-a-Service

6 Servicemodelle Infrastructure-as-a-Service

7 Servicemodelle Ebenen-übergreifende Servicemodelle

8 Virtualisierung Virtualisierung Service-orientierte Architekturen und Web-Services Allgemein Grundlage von Cloud-Architekturen Erstellen von virtuellen statt physischen Versionen

9 Virtualisierungsarten Virtualisierung Service-orientierte Architekturen und Web-Services Betriebssystemvirtualisierung Erstellung und Nutzung von isolierten Betriebssystem-Instanzen Servervirtualisierung Virtualisierungen über Hypervisor Abstraktionsschicht über Prozessor Netzwerkvirtualisierung Kombination der verfügbaren Ressourcen eines Netzwerkes

10 Virtualisierungsarten Virtualisierung Service-orientierte Architekturen und Web-Services Speichervirtualisierung Zusammenlegen physischen Speichers Erhalt einer von einer Zentralkonsole aus gesteuerte Speichereinrichtung Anwendungsvirtualisierung Zentrale Verwaltung von Anwendungen Anbieten von Anwendungen über ein Netzwerk Hosted Application Virtual Appliance

11 Virtualisierung Service-orientierte Architekturen und Web-Services Service-orientierte Architekturen und Web-Services Allgemein Fundamentale Voraussetzung Komponenten sind voneinander unabhängige Dienste Können exibel gebunden oder geändert werden Kommunikation lose gekoppelt über Nachrichten

12 Sicherheitsanalyse Angepasste Sicherheitsanalyse Identikation der Schutzobjekte Bedrohungsanalyse Fazit Identikation der Schutzobjekte Bedrohungsanalyse Identikation von praxistauglichen Schutzmaÿnahmen

13 Schutzobjekte Angepasste Sicherheitsanalyse Identikation der Schutzobjekte Bedrohungsanalyse Fazit Daten Applikationen Endgeräte, Betriebssysteme und Applikationen beim Endanwender Schutzziele(CIA-Prinzip): Condentiality (Vertraulichkeit) Integrity (Integrität) Availibility (Verfügbarkeit)

14 Bedrohungsanalyse Angepasste Sicherheitsanalyse Identikation der Schutzobjekte Bedrohungsanalyse Fazit Schwachstellen in der IT-Sicherheit des Cloud-Anbieters Angrie durch andere Kunden Mangelnde Verfügbarkeit und Zuverlässigkeit Verletzung gesetzlicher und regulatorischer Vorgaben Kein baulicher Schutz, fehlender Perimeterschutz Vermischung der internen IT-Sicherheitsinfrastruktur des Anbieters mit der jeweiligen IT-Sicherheitsinfrastruktur der Kunden

15 Fazit Servicemodelle Angepasste Sicherheitsanalyse Identikation der Schutzobjekte Bedrohungsanalyse Fazit Jede Anwendung der Cloud muss vollständig einem Risk Management Prozess unterzogen werden Verwendung von Cloud Computing benötigt individuelles Sicherheitsmodell und Implementierung adäquater Sicherheitsmaÿnahmen Cloud ist besonders geeignet bei: Variable Dienste Internet gestützte Dienste Unternehmen mit hohem Sicherheitsanspruch, werden wohl auch in Zukunft gesicherte Datenzentren an bekannten, festen Standorten verwenden

16 Cloudsysteme Eigene Cloud Untersuchte Cloudsysteme 7 Eigene Entwicklung Eigene Cloud

17 Eigene Cloud Cloud als Betriebssystem eigentliches Cloudsystem beim Anbieter Anmeldung über Facebook-Account

18 Eigene Cloud Vor- und Nachteile Benutzer kümmert sich nicht um Installation/Wartung der eigentlicher Cloud keine Eigenkontrolle Abhängigkeit kostenlos keine verbesserte Ausnutzung der eigenen IT Risiken trägt Benutzer selbst

19 Eigene Cloud Sicherheit enge Beziehung zu Facebook unterschiedlichste externe Anbieter für anfallende Aufgaben enge Anbindung an Google Preisgabe an Daten aufgrund Vielzahl an Geschäftsbedingungen und Einbindung als Desktop für Anwender nicht zu Überblicken oder nicht wahrnehmbar

20 Eigene Cloud Cloudsystem zur Installation auf Linux-Distributionen Kontakte und Termine organisieren, freigeben, s abrufen

21 Eigene Cloud Vor- und Nachteile Cloudsystem selbst zu installieren eigener Server, frei kongurierbar Aufwand keine Multi-Server-Unterstützung ( Community) teilweise Open-Source, Zusammenarbeit mit fremden Software-Paketen wie Postx Versionsprobleme Grundversion kostenlos ( Community)

22 Eigene Cloud Sicherheit Daten liegen auf eigenem Server Kommunikation zwischen eigenen Maschinen kein Informationsweitergabe an bzw. durch fremde IT wie bei JoliCloud Verbesserung der Sicherheit möglich durch: Digitale Signaturen und Verschlüsselung Verwendung von S/Mime Zertikaten möglich Kommunikation zwischen Browser und -Server SSL verschlüsseln

23 Eigene Cloud wie 7 - ohne eigene Installation Kalender, Termine, Kontakte, etc. Zusatzdienstleistungen per Mausklick Webaccess

24 Eigene Cloud Vor- und Nachteile guter Ruf von IBM Auf Verwendung von Drittanbieter-Diensten wird zum Teil hingewiesen fragwürdige Implementierung: Verwendung des Webaccess löst in Firefox Sicherheitswarnungen aus

25 Eigene Cloud Eigene Cloud einfache Cloud-Demo demonstriert Nutzung einer Cloud für die dynamische Bereitstellung von Rechenkapazität Cloud beliebig groÿ