Geschützte Webinfrastruktur in der Public Cloud

Transkript

1 MEET SWISS INFOSEC! 28. Juni 2011, Radisson BLU Hotel Zürich Flughafen Erfahrungen von swisstopo, stv. Leiter BGDI Webinfrastruktur, Wabern 1

2

3 Geoinformationsgesetz und Cloud Computing ein Traumpaar? Geoinformationsgesetz (GeoIG) in Kraft seit 1. Juli 2008 Definition Cloud Computing Fraunhofer-Institut, November 2010 Dieses Gesetz bezweckt, dass Geodaten über das Gebiet der Schweizerischen Eidgenossenschaft den Behörden von Bund, Kantonen und Gemeinden sowie der Wirtschaft, der Gesellschaft und der Wissenschaft für eine breite Nutzung, nachhaltig, aktuell, rasch, einfach, in der erforderlichen Qualität und zu angemessenen Kosten zur Verfügung stehen. Cloud Computing ist ein Modell, das «on-demand» und online den Zugriff auf einen gemeinsamen Pool konfigurierbarer Computing-Ressourcen wie Netzwerke, Server, Speichersysteme, Anwendungen und Dienste ermöglicht. Diese können schnell, mit minimalem Verwaltungsaufwand, passgenauund kostengünstig bereitgestellt und abgerufen werden. 3

4 Kartenviewer map.geo.admin.ch: Beispiel Siedlungsentwicklung Siegfriedkarte, Stand 1881

5 Kartenviewer map.geo.admin.ch: Beispiel Siedlungsentwicklung Siegfriedkarte + Verkehrsnetz und Gebäude VECTOR25

6 Security is about control understand YOUR cloud and control it! swisstopo s Wahl als GIS-Leistungserbringer Traditionell (On Premise) Infrastructure as a Service (IaaS) Platform as a Service (PaaS) Software as a Service (SaaS) Apps & Services Apps & Services Applikationen Applikationen VM VM Services Services Server Server Server Server Speicher Speicher Speicher Speicher Netzwerk Netzwerk Netzwerk Netzwerk Organisation hat Kontrolle und Verantwortung Organisation teilt Kontrolle und Verantwortung mit Cloud-Anbieter Cloud-Anbieter hat Kontrolle und Verantwortung [Cloud Security and Privacy, by Tim Mather, Subra Kumaraswamy, and Shahed Latif, ISBN ] 6

7 Konkret durch swisstopo getroffene Massnahmen zur Milderung der Risiken im Bereich Server- und Datenmanagement Verantwortung für die Security der virtuellen Server verbleibt bei IaaS beim Cloud Service Consumer, deshalb: Benutzung sicherheitszertifizierter Rechenzentren(ISO27001) Wartungszugang ausschliesslich über RSA-Tokens SSH für Daten- und Applikationsdeploy API Callsüber SSL Datenspeicherung nur in der EU (Irland), keine Daten in den USA (Datenschutz-Gesetzgebung) On Premise Backup der wichtigsten Daten Automatisierung 7

8 Automatisierung mit puppet ermöglicht nahtlose Verbindung von On Premise und Cloud 8

9 Automatisierung mit puppet lässt (Linux-)Infrastruktur zu Code werden 1 class tomcat_application_server { 2 3 tomcat::instance {"tomcat1": 4 ensure => present, 5 group => "admin", 6 require => Mount ["/srv"], 7 } 8 9 } zentrales GIT-Repository der Infrastruktur (Cloud und On Premise) revisionierbar auditierbar (auch gegenüber unautorisierten Veränderungen) portierbar (kein Vendor Lock-in) reproduzierbar (neuer Server up and running in <1h) Dokumentation der gesamten Infrastruktur up to date by default Fehlerrate und Heterogenität sinkt Sicherheit steigt 9

10 Nächste Schritte / Fazit Nächste Schritte Dos-Attacken vorbeugen und Kartenklau bekämpfen, u.a. durch Throttling Einführung einer Web Access Management Lösung Cloud-Redundanz (Einsatz versch. IaaS-Angebote) IdM Integration, suisseid Fazit IaaS bietet swisstopo sehr grosse Flexibilität und Agilität Ohne cloud-enabling der Anwendungen und Automatisierung der Provisioning-Prozesse kann das Potential von IaaS nicht voll ausgeschöpft werden Der Einsatz von IaaS hat auch die internen IT-Prozesse verbessert IaaS und Open Source Software bilden ein ideales Tandem Verantwortung kann nicht delegiert werden 10

11

12 Hanspeter Christ Hanspeter Christ Seftigenstrasse 264 Postfach 3084 Wabern Tel: Web: Xing: Twitter: Hanspeter Christ studierte an der ETH Zürich und trat im Oktober 2000 als dipl. Kulturingenieur ETH ins ein, wo er als Java- Entwickler im Bereich Forschung und Entwicklung massgeblich zum Aufbau einer nationalen Datenbank zur digitalen Verwaltung von Daten der amtlichen Vermessung beitrug übernahm er die technische Verantwortung für den Aufbau und die Weiterentwicklung der gesamten auf Linux und OSS gehosteten Webinfrastruktur von swisstopo und der Bundes Geodaten-Infrastruktur (BGDI). Seit 2008 befasst er sich intensiv mit verteilten Cloud Computing Architekturen und IT Service Delivery Management und migrierte seither bereits mehr als 60 Server von swisstopo in die Cloud. 12