Seguretat al núvol: una guia per als usuaris del núvol

Seguretat al núvol

El núvol va ser un bombo el 2010-2011, però avui s’ha convertit en una necessitat. Amb moltes organitzacions que passen al núvol, la necessitat de seguretat al núvol s’ha convertit en la màxima prioritat.

Abans, però, aquells que sou nous en informàtica en núvol, fem una ullada ràpida a què és la informàtica en núvol,

Què és el Cloud Computing?

El Cloud Computing sovint es coneix com 'el núvol', en termes senzills, significa emmagatzemar o accedir a les vostres dades i programes per Internet en lloc del vostre propi disc dur.

Analitzem ara els tipus de núvols:

Núvol públic

En un mode de desplegament al núvol públic, els serveis que es desplegen estan oberts per a ús públic i, en general, els serveis públics al núvol són gratuïts. Tècnicament potser no hi ha diferències entre un núvol públic i un núvol privat, però els paràmetres de seguretat són molt diferents, ja que qualsevol persona pot accedir al núvol públic, hi ha un factor de risc més important.

Núvol privat

Un núvol privat s’executa únicament per a una única organització, pot ser realitzat per la mateixa organització o per una organització de tercers. Però normalment els costos són elevats quan utilitzeu el vostre propi núvol, ja que el maquinari s’actualitzaria periòdicament, la seguretat també s’ha de controlar, ja que apareixen noves amenaces cada dia.

Núvol híbrid

Un núvol híbrid consta de les funcionalitats del núvol públic i privat

Com decideixen els clients entre núvols públics, privats i híbrids?

Bé, depèn del requisit de l’usuari, és a dir, si l’usuari creu que la seva informació és massa sensible per estar en un sistema més que en el seu propi, optarien per un núvol privat

com utilitzar goto c ++

El millor exemple per a això podria ser DropBox, en els seus primers dies van començar a utilitzar AWS S3 com a backend per emmagatzemar objectes, però ara han creat la seva pròpia tecnologia d’emmagatzematge que supervisen ells mateixos.

Per què ho van fer?

Doncs es van fer tan grans que els preus públics al núvol ja no tenien sentit. Segons ells, les seves optimitzacions de programari i maquinari són més viables econòmicament que emmagatzemar les seves coses a Amazon S3.

Però si no sou grans com DropBox i encara esteu en infraestructura privada, potser és hora que penseu: 'Per què no al núvol públic?'

Ara, per què un client farà servir el núvol públic?

En primer lloc, el preu és bastant inferior, en comparació amb la inversió que necessitaria una empresa per configurar els seus propis servidors.

En segon lloc, quan esteu enllaçat amb un prestigiós proveïdor de núvol, la disponibilitat dels vostres fitxers al núvol augmenta.

Encara confós si voleu emmagatzemar els vostres fitxers o dades al núvol públic o privat.

Permeteu-me que us expliqui sobre el núvol híbrid, amb el núvol híbrid podeu conservar les vostres dades més 'precioses' a la vostra infraestructura privada i la resta al núvol públic. Aquest seria un 'núvol híbrid'

En conclusió, tot depèn del requisit de l'usuari en funció del qual ha de triar entre el núvol públic, privat i el híbrid.

La seguretat de la computació en núvol pot accelerar el moviment dels clients cap al núvol?

Sí, vegem algunes investigacions fetes per gartner. Consulteu les estadístiques següents:

Font: Gartner

Ara, aquesta investigació es va dur a terme per a empreses que són una mica reticents a passar al núvol i, com es pot veure clarament a la imatge anterior, el principal motiu és la seguretat.

Ara això no vol dir que el núvol no sigui segur, però la gent té aquesta percepció. Per tant, bàsicament, si podeu assegurar a la gent que el núvol és segur, es pot produir una certa acceleració en el moviment cap al núvol.

Com concilien els CIO la tensió entre risc, cost i experiència de l'usuari?

Bé, he llegit això en algun lloc, Cloud Security és una barreja de ciència i art.

apilar i muntar a Java

Confós? Bé, és un art de saber fins a quin punt heu de posar seguretat en un servei perquè l'experiència de l'usuari no disminueixi.

Per exemple: Suposem que teniu una aplicació i, per fer-la segura, demaneu el nom d'usuari i la contrasenya en cada operació, cosa que té sentit pel que fa a seguretat, però que dificulta l'experiència de l'usuari.

Per tant, és un art saber quan s’ha d’aturar, però alhora és ciència, perquè cal crear algoritmes o eines que proporcionin la màxima seguretat a les dades dels seus clients.

Ara, quan apareix alguna cosa nova, la gent es mostra escèptica al respecte.

Hi ha molts 'riscos' que la gent creu que té la computació en núvol. Anem a abordar aquests riscos un per un:

1. El núvol és insegur

La majoria de les vegades, quan es parla de núvol, hi ha molta gent que diu que les dades són més segures a la seva pròpia infraestructura en lloc de dir algun servidor AWS amb seguretat AWS.

Bé, això pot tenir sentit si l’empresa només se centri en la seguretat del seu núvol privat, cosa que òbviament no és el cas. Però si l’empresa ho fa, quan es centraran en els seus propis objectius?

Parlem dels proveïdors de núvols, diguem AWS (el més gran de tots), no creieu que l’únic propòsit d’AWS sigui fer de les vostres dades les més segures? Per què, perquè és el que els paga.

També és un fet divertit, Amazon ha allotjat el seu propi lloc web de comerç electrònic a AWS, que permet esbrinar si AWS és fiable.

Els proveïdors de núvol viuen, mengen i respiren seguretat al núvol.

2. Hi ha més bretxes al núvol

Un estudi de Spring Alert Logic Report del 2014 mostra que els ciberatacs durant el 2012-2013 es van dirigir tant als núvols privats com als núvols públics, però els núvols privats eren més susceptibles als atacs. Per què? Com que les empreses que configuren els seus propis servidors no estan tan equipades en comparació amb AWS o Azure o qualsevol altre proveïdor de núvol.

3. Els sistemes de llogater únic són més segurs que els sistemes de llogater múltiple.

Doncs bé, si penseu lògicament, no creieu que amb els sistemes multi-inquilí teniu una capa addicional de seguretat. Per què? Perquè el vostre contingut estarà lògicament aïllat de la resta d’inquilins o usuaris del sistema, cosa que no existeix si utilitzeu sistemes d’un sol llogater. Per tant, en cas que un pirata informàtic vulgui passar pel vostre sistema, ha de passar per una capa de seguretat addicional.

En conclusió, tots aquests són mites i, a més, tenint en compte l’estalvi en inversions que realitzareu quan moveu les dades al núvol i també els altres avantatges, supera amb escreix els riscos que comporta la seguretat al núvol.

Dit això, anem a centrar-nos en el debat d'avui, com gestionen la seguretat els vostres proveïdors de Cloud.

Prenguem un exemple aquí i suposem que utilitzeu una aplicació per a xarxes socials. Feu clic a algun enllaç aleatori i no passa res. Més endavant, sabreu que s’envien missatges de correu brossa des del vostre compte a tots els vostres contactes que estan connectats amb vosaltres en aquesta aplicació.

Però, fins i tot, abans que poguéssiu enviar un correu electrònic o queixar-vos al servei d'assistència de l'aplicació, ja sabrien el problema i estarien en funcionament per solucionar-lo. Com? Anem a entendre.

Així, bàsicament, Cloud Security té tres etapes:

• Dades de seguiment
• Guanyar visibilitat
• Gestió de l'accés

El Monitorització al núvol una eina que analitza constantment el flux de dades de la vostra aplicació al núvol alertaria tan aviat com comencin a passar coses 'estranyes' a la vostra aplicació. Com valoren les coses 'estranyes'?

Doncs bé, l'eina de control del núvol tindria algorismes avançats d'aprenentatge automàtic que registren el comportament normal del sistema.

Per tant, qualsevol desviació del comportament normal del sistema seria una bandera vermella, a més, les tècniques de pirateria conegudes apareixen a les seves bases de dades. Per tant, prenent tot això en una sola imatge, l’eina de monitoratge genera una alerta quan passa alguna cosa de peix.

Ara, un cop sabríeu que hi ha alguna cosa “no normal” que passa, voldríeu saber quan i on, arriba la segona fase, guanyant visibilitat .

Això es pot fer mitjançant eines que us permetin visualitzar les dades que entren i surten del núvol. Utilitzant-los, podeu fer un seguiment no només del lloc on s’ha produït l’error, sinó també de “qui” n’és responsable. Com?

Doncs bé, aquestes eines busquen patrons i enumeraran totes les activitats que són sospitoses i, per tant, veuran quin usuari n'és responsable.

Ara caldria eliminar primer el responsable del sistema, oi?

Arriba la fase 3, gestionar l'accés.

Les eines que gestionaran l'accés mostraran tots els usuaris que hi ha al sistema. Per tant, podeu fer un seguiment d’aquest individu i eliminar-lo del sistema.

Ara, com va aconseguir aquest individu o pirata informàtic un accés d'administrador al vostre sistema?

Probablement, la contrasenya de la vostra consola d'administració va ser trencada pel pirata informàtic i va crear un rol d'administrador per si mateix des de l'eina de gestió d'accés, i la resta es va convertir en història.

Ara, què faria el vostre proveïdor de núvol després d'això? Aprendrien d’això i evolucionarien perquè no torni a passar.

Ara, aquest exemple és només per entendre’l, normalment cap pirata informàtic no pot accedir a la vostra contrasenya així.

El que cal centrar-se aquí és que l’empresa del núvol va evolucionar a partir d’aquest salt, van prendre mesures per millorar la seva seguretat al núvol de manera que mai no es pugui repetir el mateix.

Ara tots els proveïdors de núvol segueixen aquestes etapes. Parlem del proveïdor de núvol més gran, AWS.

AWS segueix aquestes etapes per obtenir seguretat al núvol aws? Fem una ullada:

Per a la supervisió del núvol, AWS ho ha fet CloudWatch

Per a la visibilitat de les dades, AWS té CloudTrail

I per gestionar l'accés, AWS ho ha fet JA

Aquestes són les eines que utilitza AWS; analitzem de prop el seu funcionament.

CloudWatch

Us permet analitzar les dades que entren i surten dels recursos AWS. Té les funcions següents relacionades amb la seguretat al núvol:

• Superviseu EC2 i altres recursos AWS:
  • Sense instal·lar programari addicional, podeu controlar el rendiment del vostre EC2 mitjançant AWS CloudWatch.
• La possibilitat de supervisar mètriques personalitzades:
  • Podeu crear mètriques personalitzades i supervisar-les mitjançant CloudWatch.
• Superviseu i emmagatzemeu els registres:
  • Podeu supervisar i emmagatzemar registres relacionats amb les activitats que es desenvolupen als recursos AWS.
• Estableix les alarmes:
  • Podeu configurar les alarmes a activadors específics, com ara una activitat que necessiti atenció immediata, etc.
• Veure gràfics i estadístiques:
  • Podeu visualitzar aquestes dades en forma de gràfics i altres representacions visuals.
• Superviseu i reaccioneu als canvis de recursos:
  • Es pot configurar de manera que respongui a canvis en la disponibilitat d’un recurs o quan un recurs no funciona correctament.

CloudTrail

CloudTrail és un servei de registre que es pot utilitzar per registrar l'historial de trucades API. També es pot utilitzar per identificar quin usuari de AWS Management Console va sol·licitar el servei concret. Prenent referència al nostre exemple, aquesta és l'eina des d'on identificareu el famós 'hacker'.

JA

La Gestió d’identitats i accessos (IAM) s’utilitza per concedir accés compartit al vostre compte d’AWS. Té les funcions següents:

• Permisos granulars:
  • Es pot utilitzar per concedir drets d’accés a diferents tipus d’usuaris a un nivell molt cel·lular. Per exemple: podeu concedir accés de lectura a un usuari concret i un accés de lectura-escriptura a un usuari diferent.
• Accés segur a les aplicacions que s’executen a l’entorn EC2:
  • IAM es pot utilitzar per donar accés segur fent que l'usuari introdueixi les credencials i accedeixi als recursos EC2 respectius.
• Ús gratuït:
  • AWS ha fet que els serveis IAM siguin gratuïts amb qualsevol servei aws que sigui compatible.

AWS Shield

Es gestiona el servei de denegació de DDOS. Vegem ràpidament què és DDoS?

DDoS bàsicament està sobrecarregant el vostre lloc web amb trànsit irrellevant amb la intenció de retirar-lo. Com funciona? Els pirates informàtics creen una xarxa de bot infectant nombrosos ordinadors connectats a Internet, com? Recordeu aquells correus electrònics estranys que de vegades rebeu al vostre correu? Loteria, ajuda mèdica, etc. Bàsicament, fan que feu clic en alguna cosa, que instal·la un programa maliciós al vostre ordinador, que després s'activa per convertir el vostre equip en un avantatge en el trànsit irrellevant.

No esteu segur de la vostra aplicació web? No siguis AWS Shield és aquí.

implementació de pila màxima a Java

Ofereix dos tipus de serveis:

1. Estàndard
2. Advanced

El Estàndard package és gratuït per a tots els usuaris i la vostra aplicació web a AWS es cobreix automàticament amb aquest paquet per defecte. Inclou les funcions següents:

• Detecció ràpida
  • Detecta trànsit maliciós en moviment mitjançant algorismes d’anomalia.
• Atacs de mitigació en línia
  • Les tècniques de mitigació automàtica s’incorporen a AWS Shield per oferir-vos protecció contra atacs habituals.
• Afegiu regles personalitzades per donar suport a la vostra aplicació.

No és suficient? Hi ha un Advanced paquet també. Amb una mica de cost addicional, podeu cobrir els vostres recursos Elastic Load Balancers, Route 53 i CloudFront.

Què inclou tot? Fem una ullada:

• Detecció millorada
  • Inclou tècniques addicionals com la supervisió específica de recursos i també proporciona detecció granulada d’atacs DDoS.
• Mitigació avançada d'atacs
  • Mitigacions automàtiques més sofisticades.
• Notificació de visibilitat i atac
  • Notificacions en temps real mitjançant CloudWatch.
• Suport especialitzat
  • Assistència 24 × 7 d’un equip especial de resposta DDoS.
• Protecció de costos DDoS
  • Evita que els atacs DDoS sobrecarreguin els costos.

En conclusió, qualsevol proveïdor de núvol per al seu èxit segueix els estàndards més alts en seguretat de núvol i, gradualment, si no de manera immediata, les persones que encara no tenen confiança en el núvol entendran que és una necessitat seguir-hi.

Tens alguna pregunta? Si us plau, mencioneu-lo a la secció de comentaris d’aquest bloc de Cloud Security i us respondrem.