Как защитить данные от IaaS провайдера

Copyright 2009 Trend Micro Inc.

Денис Безкоровайный, CISA, CISSP, CCSK

Технический консультант Trend Micro в России и СНГ

Как защитить данные от IaaS провайдера?

1


Темы

• Необходимо ли защищаться?

• Какие риски наиболее актуальны для IaaS?

• Шифрование данных

• Как выбрать средства защиты данных в IaaS облаках?


Разнообразие IaaS- технологий

• Amazon EC2

• VMware vCloud

• Eucalyptus

• OpenStack


У кого контроль?

4

СерверыВиртуализация

и частные

облака

Общие

облака

PaaS

Общие

облака

IaaS

Потребитель

Сервис-провайдер

Общие

облака

SaaS


Amazon Web Services™ соглашение об использовании

4.2 Other Security and Backup. You are responsible for properly

configuring and using the Service Offerings and taking your own

steps to maintain appropriate security, protection and backup of Your

Content, which may include the use of encryption technology to

protect Your Content from unauthorized access and routine

archiving Your Content.

http://aws.amazon.com/agreement/ (09 марта 2011)

Защита данных –

ответственность клиента!


Облака это здорово, только...

• Как контролировать данные в облаке, если они хранятся в открытом виде?

• Что если я захочу сменить провайдера или он закроется?

• Как удостовериться, что мои данные будут уничтожены после ухода от провайдера?

• Как гарантировать, что только у меня есть доступ к данным? Аудит затруднен.


Риск - инсайдер у провайдера

• Средняя вероятность

– зависит от провайдера

• Очень высокий потенциальный ущерб

• Множество уязвимостей

• Степень риска

– Высокая


Риск – ошибки изоляции

• Низкая вероятность

• Очень высокий потенциальный ущерб

• Уязвимости в гипервизоре

• Степень риска

– Высокая


Подход к защите

•Защита от кражи всей машины или ее виртуальных дисков

– Шифрование данных

•Защита от традиционных атак

– Удачная атака может дать доступ к данным в обход шифрования


Шифрование данных

•Шифрование данных в облаке – один из основных защитных механизмов, рекомендованных CSA

–Что именно шифровать?

–Кто будет шифровать?

–Как управлять ключами шифрования?


Стандарт шифрования дисков: LUKS

• LUKS - Linux Unified Key Setup

• Определяет структуру зашифрованного диска

• Де-факто стандарт шифрования дисков

• Поддерживает схему безопасной установки ключей TKS1*

• Linux реализация: dm-crypt

• Windows реализация: FreeOTFE

* TKS1 - An anti-forensic, two level, and iterated key setup scheme

http://clemens.endorphin.org/TKS1-draft.pdf









Управление ключами шифрования

• Где хранить ключи?

–нельзя сохранять на защищаемой машине

–непрактично вводить вручную

• Как обеспечить защиту ключей?

• Как обеспечить доступность ключей?

Copyright 2009 Trend Micro Inc.Classification 3/10/2011 13

Схема шифрования данных и управления ключами в облаке

vCloud

2. Запрос

ключа

1. Создание

зашифрованного

диска

Управление

дисками,

ключами и

политиками

3. Шифрует

А. Запрос

ключа

Б. Монтирование

дискаСервер

управления

ключами

Сервер

шифрования


Авторизация запросов на ключи

• Ручная авторизация

• Кто запрашивает ключ?

–имя машины

–IP адрес

–местоположение (какой из датацентров)

–тип ОС

• В каком состоянии машина?

–антивирус

–открытые порты

–целостность файлов


Криптография – правовые вопросы

• Можно ли применять шифрование для защиты данных в облаках?

–Нет решений с сертифицированой криптографией

–Формально, данные шифруются не в России

–Управление ключами – тоже сервис


Выбор решения

• Система шифрования и управления ключами должна:

–позволять заказчику контролировать ключи и отделять эту функцию от облачного провайдера

–быть масштабируемой для множества машин

–позволять авторизовывать запросы на ключи вручную и автоматически на основе политик

–быть независимой от технологии облачного провайдера (lock-in риск)


Основные подсистемы ИБ

• Шифрование данных бессмысленно если система скомпрометирована

• Cloud Control Matrix v.1.1

–Управление уязвимостями / патч менеджмент

–Антивирусная защита

–Защита сетевых соединений (МСЭ)

–Аудит журналов / обнаружение вторжений

–Управление инцидентами


Ваша виртуальная

машина в облаке у

провайдера


Возможна ли полная безопасность в облаке?

• Всегда высокий риск инсайдера со стороны персонала

• Любой внешний IaaS провайдер – недоверенный!

• Гарантия защиты на 100% невозможна, особенно в облаке

• Всегда необходимо проводить анализ рисков

• Для обработки риска потери данных доступны:

– Контрактные обязательства провайдера

– Шифрование – есть готовые решения для облаков

– Традиционные подсистемы ИБ, готовые к облачному сценарию


Вопросы?

[email protected]

mailto:[email protected]

Documents

Как защитить данные от IaaS провайдера