IT-Security on Cloud Computing

Transkript

1 Abbildung 1: IT-Sicherheit des Cloud Computing Name, Vorname: Ebert, Philipp Geb.: Studiengang: Angewandte Informatik, 3. FS Beruf: IT-Systemelektroniker Abgabedatum:

2 Kurzfassung In dieser Arbeit wird Cloud Computing näher erklärt. Das Augenmerk liegt hierbei auf dem Sicherheitsaspekt, welcher vom Anwender sowie vom Dienstanbieter verwendet wird und werden sollte. Des Weiteren wird näher auf diese Sicherheiten eingegangen. Es wird erläutert, wie sich der Anwender selbst schützen kann und welche Standards heute bereits anbieterseitig realisiert sind. Zusätzlich werden die Ziele des Cloud Computing kurz angerissen Philipp Ebert Seite II

3 Inhalt Kurzfassung... II Abkürzungsverzeichnis... IV Abbildungsverzeichnis... IV 1 Definition Infrastructure as a Service - IaaS Platform as a Service - PaaS Software as a Service - SaaS Private Cloud Public Cloud Community Cloud Hybrid Cloud Ziele Sicherheit Datensicherheit Datenschutz Sicherheitsmaßnahmen Verschlüsselte Verbindung Filesystem- und Datenbankschutz Zertifizierungen Zusammenfassung... 7 Anhang A - Literatur- / Quellenverzeichnis... V Anhang B - Quellenverzeichnis - Bilder... V Philipp Ebert Seite III

4 Abkürzungsverzeichnis Abkürzung BDSG IaaS ISO PaaS SaaS SSL TLS Bedeutung Bundesdatenschutzgesetz Infrustructure as a Service International Standardization Organisation Platform as a Service Software as a Service Secure Sockets Layer Transport Layer Security Abbildungsverzeichnis Abbildung Name des Bildes Seite Abbildung 1: IT-Sicherheit des Cloud Computing Deckblatt Abbildung 2 Ziele des Cloud Computing 4 Abbildung 3 Die sichere Cloud Philipp Ebert Seite IV

5 1 Definition Cloud Computing umfasst ein skalierbares und elastisches IT-Konstrukt, welches je nach Einsatzzweck beliebig angepasst werden kann. So wird ein Dienst bereitgestellt, welcher permanent über das Internet verfügbar und nutzbar ist. Hierbei wird allerdings nach drei verschiedenen Service-Modellen unterschieden: 1.1 Infrastructure as a Service - IaaS Hier steht die Nutzung von visualisierten Computerressourcen (Rechnern, Netzwerken und Speichern) im Vordergrund. So können sich die Anwender ihre eigenen Computer-Cluster gestalten, dadurch sind die Administratoren für die Installation, den Betrieb und die Funktionalität selbst verantwortlich. 1.2 Platform as a Service - PaaS Bei PaaS wird die Nutzung von Programmierungs- und Laufzeitumgebungen fokussiert. Dies bedeutet, dass die Rechen- und Datenkapazitäten flexibel und dynamisch anpassbar sind. Hierbei wird vom Service Provider die Softwareumgebung bereitgestellt und administriert. Allerdings können die Nutzer ihre Software und Anwendungen in der Cloud ausführen und verwenden. 1.3 Software as a Service - SaaS Der Dienstanbieter stellt den Anwendern eine große Ansammlung von Software und Applikationen zur Verfügung. Diese Programme sind auf die jeweilige Hardware und Infrastruktur zugeschnitten. Somit gilt SaaS, als Software on Demand - Lösung. Abseits der Service-Modelle, sind auch noch verschiedene Liefermodelle vorhanden, welche im Nachgang genauer erläutert werden. Grundsätzlich wird unter den folgenden vier Modellen unterschieden: Public Cloud Private Cloud Hybrid Cloud Community Cloud Philipp Ebert Seite 2

6 1.4 Private Cloud Man spricht von einer Private Cloud, wenn die dahinterliegende Cloud-Infrastruktur lediglich von einer Institution betrieben wird. Dabei ist es irrelevant, ob die Organisation und die Instandhaltung von der Institution oder einem Drittanbieter durchgeführt werden. Ebenfalls spielt es keine Rolle, ob diese Cloud im eigenen oder einem fremden Rechenzentrum Platz findet. 1.5 Public Cloud Sobald die Services der Cloud von der Allgemeinheit genutzt werden, spricht man von einer Public Cloud. Hierzu zählen auch große Gruppen, zum Beispiel eine gesamte Branche (Holzverarbeitung, Informatik, usw.). Wichtig ist allerdings, dass der Service von einem Anbieter alleinig bereitgestellt wird. 1.6 Community Cloud Von einer Community Cloud wird gesprochen, sobald die Infrastruktur von mehreren Institutionen mit selbigem Interesse genutzt wird. Hier ist es ebenfalls irrelevant, ob die Institution oder ein Drittanbieter die Cloud bereitstellt. 1.7 Hybrid Cloud Sobald mehrere Cloud Infrastrukturen über standardisierte Schnittstellen gemeinsam genutzt werden, aber für sich selbst eigenständig sind, wird diese Hybrid Cloud genannt Philipp Ebert Seite 3

7 2 Ziele Anders als beim Grid Computing, bei welchem die Rechenkapazitäten und Informationen über mehrere Standorte hinweg gemeinsam genutzt und diese verteilten Ressourcen zu einem virtuellen Hochleistungscomputer zusammengefasst werden, so werden die Ressourcen beim Cloud Computing mittels einer Infrastruktur von einem Anbieter bereitgestellt. Es gibt ebenfalls die Möglichkeit, den Ressourcenbestand selbst zu verwalten, um so die alleinige Kontrolle über die Daten zu bewahren. Daher ergeben sich besondere Ziele in Bezug auf die Cloud: Abbildung 2: Ziele des Cloud Computing Philipp Ebert Seite 4

8 3 Sicherheit Das Thema Sicherheit und Datenschutz spielt hier eine außerordentliche Rolle, da für den Anwender nicht ersichtlich ist, was mit den Daten passiert und wo sich diese exakt befinden. Abbildung 3: Die sichere Cloud 3.1 Datensicherheit Hierbei stehen die Aufgaben der jeweiligen IT-Administratoren im Vordergrund. Diese tragen dafür Sorge, dass eingesetzte Hard- und Software aktuell und sicher sind. Dadurch ist der Schutz von Unternehmensdaten und personenbezogenen Daten gewährleistet. Somit ist es Aufgabe der Administratoren, regelmäßig Updates und Patches einzuspielen, um eventuelle Sicherheitslücken zu schließen. Nur so kann einem Fremdzugriff entgegengewirkt werden. 3.2 Datenschutz Hierbei wird der gesetzlich vorgeschriebene Schutz betrachtet. Unter diesem Schutz stehen personenbezogene Daten der Kunden und Mitarbeiter. Gemeint sind alle Daten, die einer natürlichen Person zugeordnet werden können und durch welche die Person näher bestimmt werden kann. Bindend für Cloud-Anbieter ist hier das BDSG Philipp Ebert Seite 5

9 3.3 Sicherheitsmaßnahmen Verschlüsselte Verbindung Wichtig ist, dass der Zugriff gesichert von statten geht. Es sollte immer verschlüsselt via SSL/TLS auf die Daten zugegriffen werden. Das Verfahren hierbei ist recht simpel. So wird eine Verbindung zum Cloud Anbieter aufgebaut, welcher sich durch ein entsprechendes Sicherheitszertifikat authentifiziert. Im Nachgang erhält der Client vom Server einen Zufallscode, alternativ wird ein Sicherheitsschlüssel ausgetauscht. Durch die Funktionsweise können die Daten sicher übertragen werden, da dieser Code bzw. Schlüssel nur einmalig für diese Verbindung genutzt werden kann. Für diesen Mechanismus sorgt ein sogenanntes symmetrisches Kryptosystem Filesystem- und Datenbankschutz Hier wird ebenfalls ein Kryptosystem angewandt. Durch dieses System werden die Daten, die Datenbasis und die gesamte Datenstruktur verschlüsselt. So ist es nicht möglich, dass Fremde hierfür Zugriff erhalten. 3.4 Zertifizierungen Besonders wichtig für potentielle Cloud Service - Kunden ist die Überprüfung der Sicherheit. So muss nicht zwangsläufig ein Risiko eingegangen werden. Durch verschiedene Instanzen wird die Sicherheit des jeweiligen Cloud Services überprüft und eingeschätzt. Es gibt drei wichtige Zertifikate, auf die man hier achten sollte: ISO von der International Standardization Organisation EuroCloud Star Audit des EuroCloud Deutschland_eco e.v SAS 70 des American Insitute of Certified Public Accountants (AICPA) Philipp Ebert Seite 6

10 4 Zusammenfassung Der Schutz der Filesysteme wird sicherlich durch viele große Cloud Anbieter bereits realisiert, allerdings ist dieser bislang nicht in der Datenschutzerklärung verankert. Durch die fehlende Verankerung ist es bisher ausgeschlossen, rechtlich gegen doch auftretende Sicherheitslücken vorzugehen. Ebenfalls ist eine Verschlüsselung der Verbindung heutzutage der Standard und wird durch SSL/TLS realisiert. Durch diese Aspekte ist das Niveau des Sicherheitsstandards bei Anbietern bereits sehr hoch. Risiken bestehen größtenteils nur durch Hackerangriffe, welche jedoch in so ziemlich jedem IT-Thema zu befürchten sind. Daher bleibt zusammenfassend zu sagen, dass seriösen Cloud-Anbietern durchaus vertraut werden kann. Jedoch besteht immer ein gewisses Restrisiko, welches nicht zu eliminieren ist Philipp Ebert Seite 7

11 Anhang A - Literatur- / Quellenverzeichnis Thema URL Zugriff Definition age ca. 18Uhr Definition ca. 18Uhr Definition rid.html ca. 18Uhr Ziele Ziele Sicherheit Sicherheit/Navigation/Themen/cloud-computing.html SI/Mindestanforderungen/Eckpunktepapier- Sicherheitsempfehlungen-CloudComputing- Anbieter.pdf? blob=publicationfile Anhang B - Quellenverzeichnis - Bilder Sicherheit Sicherheit /Dossiers/Grundschutz/grundschutz_node.html Sicherheit /Eckpunktepapier/Eckpunktepapier_node.html Sicherheit Thema URL Zugriff Abbildung ca. 18Uhr Abbildung 2 oche/bdb/945196/890x.png ca. 21Uhr Abbildung 3 6/24.jpg Philipp Ebert Seite V