20100304cj SNIA Sicherheitsfragen in der Cloud
|
|
|
»manage
it«
als
|
Sicherheitsaspekte von »As a Service«-Diensten aus der Cloud Flexibel, bezahlbar, gefährlich? Schenkt man den Prognosen Glauben, kann nichts mehr den Erfolg von Cloud Computing aufhalten. Die potenziellen Anwender aber sind skeptisch. Vor allem Sicherheitsfragen gelten als Sorgenkind Nummer eins der IT-Planer und CIOs. Zeit, Sicherheitstechnologien und Rechtsfragen in Bezug auf Cloud Computing zu hinterfragen.
arum ist die Cloud anders? Eine eindeutige und allgemein gültige Definition von Cloud Computing existiert nicht. Vielmehr gibt es gewisse IT-Infrastruktur- und Dienstmerkmale, welche gemeinhin als zentrale Elemente gelten (beschrieben durch die amerikanische Standardisierungsbehörde NIST oder die Cloud Security Alliance): · Eigene Bereitstellung On-Demand: Cloud-Nutzer können IT-Ressourcen selbstständig verwalten, zuteilen oder einschränken, ohne Beteiligung eines internen oder externen Dienstleisters. · Breitbandbasierte Bereitstellungsmodelle: Sämtliche über die Cloud bezogenen Dienste (Applikationen, Plattformen, Infrastruktur) sind über das Netzwerk verfügbar. Der Zugriff auf Client-Seite erfolgt über verschiedene Thin oder Thick Clients, beispielsweise auch über Smartphones oder von unterwegs per Laptop. · Ressourcenpool: Storage, Prozessorleistung, Speicherplatz, Bandbreite und virtualisierte Geräte sind im Cloud-Modell abstrakte Größen. Je nach gegenwärtigem Bedarf stehen sie verschiedenen Nutzern flexibel zur Verfügung. Die sichere Mandantenfähigkeit erlaubt, solche Ressourcen dynamisch zuzuweisen. · Bereitstellung von Ressourcen nahezu in Echtzeit: Dienste skalieren im Cloud-Modell bei Bedarf praktisch in Echtzeit mit den Anforderungen – sowohl nach oben, als auch nach unten. · Service-Level-Überwachung: Genaue und ständige Analyse der Qualität der Dienste ist die Grundlage flexibler Bereitstellungsmodelle und ermöglicht Transparenz auf Bezugs- und Bereitstellungsseite. SaaS, PaaS & IaaS: Die Bereitstellungsmodelle und ihre Risiken. Cloud Computing liegen unterschiedliche Bereitstellungsmodelle zu Grunde, die sich gemäß ihren Sicherheitsrisiken abgrenzen und bewerten lassen. Das restriktivste Modell, IT-Dienste über die Wolke zu beziehen, ist Software as a Service (SaaS). Es steht für die reine Nutzung von Applikationen über die Cloud, exklusive des Managements der zu Grunde liegenden Netzwerkdienste, Server, Betriebssysteme oder sogar einzelner Funktionalitäten der Applikation. SaaS stellt so die gleichen Sicherheitsanforderungen wie jede herkömmliche Applikation, das heißt User-Management, Autorisierung, Passwort-Management sowie Nutzungsprotokollierung. Einen Schritt weiter in Bezug auf Bereitstellungsqualität, aber auch Sicherheitsgefahren, geht die Cloud-Nutzung per Platform as a Service (PaaS). Auch hier verantwortet der Anwender seine Netzwerkdienste, Server oder Betriebssysteme nicht selbst. In seiner Verantwortung liegen aber sowohl die genutzten Anwendungen, als auch deren Hosting-Umgebungen. Die Sicherheitsgefahren erweitern sich damit um Bedrohungen wie CSRF (Cross Site Request Forgery – die unberechtigte Änderung einer Webanwendung, für die das Opfer »autorisiert« ist) oder SQL-Injection (das Einschleusen von Datenbankbefehlen in SQL-Datenbanken). Am weitesten geht das Modell Infrastructure as a Service (IaaS), in dem der Anwender sowohl Betriebssysteme, den Speicher, die Applikationsebene, als auch einzelne Netzwerkkomponenten kontrolliert. Entsprechend umfangreich sind die Bedrohungsszenarien: Gefahrenpunkte sind Sicherheitslücken in Betriebssystemen oder in Virtualisierungssoftware und Managementschnittstellen. Sie existieren aber auch auf Netzwerkebene (Denial of Service) oder in Bezug auf Storage und Langzeitdatenhaltung. An dieser Stelle muss verstanden werden, dass die unterschiedlichen Bereitstellungsmodelle direkt mit den Sicherheitsverantwortlichkeiten korrelieren. Im Rahmen einer SaaS-Bereitstellung fallen Service Level Agreements, Sicherheitsfragen, und Compliance in den Verantwortungsbereich eines Dienstleisters. Kunden müssen vorab sicher stellen, dass der mit ihm getroffene Service-Level-Vertrag sämtliche Sicherheitsfragen abdeckt. Die Konsequenz: Je höher das Sicherheitsniveau, desto höher die Kosten. Bei PaaS oder IaaS sind Dienstverträge ebenso wichtig, jedoch stehen Kunden zusätzlich selbst stärker in der Verantwortung, weil sie einen größeren Teil der Cloud Services selbst verwalten. Cloud Security in der Praxis: Alles verschlüsseln! Wie gezeigt ist der Netzwerkgedanke der zentrale Ansatz des Cloud Computing. Er ermöglicht bisher ungekannte Flexibilität, sorgt aber auch für eine Vielzahl an Protokollen und Netzwerktechnologien, die alle inhärent unsicher sind. Dies führt zu zwei Feststellungen: Cloud Security heißt vor allem Sicherheit für konvergente Netzwerke, egal ob Fibre Channel, Fibre Channel over Ethernet, InfiniBand oder iSCSI die Basis bilden. Und weil jede Schutzmaßnahme nur so gut ist wie ihr schwächstes Glied, sind in der Cloud durchgängige Verschlüsselung und stringente Authentifizierung die einzigen Möglichkeiten, Datenintegrität zu bewahren. Best Practices diktieren hierfür die Nutzung von Public-Key-Infrastrukturen und Zertifikaten. Gängige Methode ist die Verschlüsselung per TLS-Protokoll (Transport Layer Security). Diese durchgängige Verschlüsselung folgt einer unternehmensweiten Strategie für sichere Datenhaltung, -übertragung und -bereitstellung, die vier Kernelemente aufweist. 1. Alle Cloud-Daten müssen vertraulich sein, also nur autorisierten Anwendern zur Verfügung stehen. 2. Ihre Integrität ist zu bewahren, beispielsweise durch Schutz vor Manipulation während der Datenübermittlung. 3. Autorisierung und Authentifizierung garantieren, dass nur legitime Anwender auf die Cloud zugreifen. 4. Nur verfügbare Lösungen können ihre Funktionen bereitstellen: Hochverfügbarkeit wird zum Sicherheitsfaktor. Mit dieser durchgängigen Strategie reagieren Unternehmen auf eine IT-Umgebung ohne physische Kontrolle über (virtualisierte) Ressourcen, mit unter Umständen mangelhafter Zugangsbeschränkung und unübersichtlicher Organisationsstruktur. Mitarbeiter auf die Nutzung virtualisierter Strukturen einzustimmen und für die besonderen Herausforderungen zu sensibilisieren, ist dann eine Frage der Prozessoptimierung. Cloud Security: Die Problemfelder. Ein grundlegendes Problem existiert auf organisatorischer Ebene. Industrievereinigungen und Branchenverbände haben die Relevanz von Cloud Security erkannt. Entsprechend treiben sie Standardisierungsbemühungen voran, um Anwendern die unkomplizierte und sichere Implementierung von Cloud-Diensten zu ermöglichen. Dies hat eine Vielzahl unterschiedlicher Standardisierungsinstanzen (IEEE, NIST, ISO, SNIA, …) und Standards zur Folge. Unternehmen müssen sich hier selbst zurechtfinden oder unabhängige Expertise von außen einholen. Die Verschlüsselung an sich setzt technisch auf bekannten und ausgereiften Funktionalitäten auf. Unklar ist, an welcher Stelle sie tatsächlich greift: Der klassische Ansatz fordert Verschlüsselung der ruhenden Daten, die auf Festplatten oder Bandmedien liegen – im Cloud-Umfeld mit verschiedenen Mandanten auf einem virtualisierten System reicht dies nicht aus. Vielmehr ist ein Perimeter als Abgrenzung nach außen zu ziehen; das heißt, alle Daten außerhalb der lokalen Domäne sind zu verschlüsseln. Diese durchgängige Verschlüsselungsstrategie greift aber nur, wenn Unternehmen viel Sorgfalt in ihr Schlüsselmanagement investieren. Dabei helfen Protokolle wie KMIP (Key Management Interoperability Protocol), das die Funktionen von Verschlüsselung und Enterprise Key Management konsolidiert. Denn je einfacher Key Management fällt, desto größer ist der Sicherheitsgewinn. Aber auch in diesem Bereich gibt es verschiedenste Instanzen, die eigene Technologien oder Standards vorantreiben. Weil mangelhafte Sorgfalt hier sämtliche Bemühungen auf dem Gebiet der Verschlüsselung negiert, ist zu hoffen, dass sich möglichst viele Unternehmen auf allgemeine Standards wie KMIP verständigen. Zu guter Letzt sei noch die Compliance erwähnt. Detaillierte Ausführungen sind an dieser Stelle nicht möglich, Unternehmen müssen aber wissen, dass die existierende Gesetzgebung in Europa (Direktive 95/46/EC) die Datenübertragung in hohem Maße reglementiert. Verschlüsselte Inhalte müssen entsprechende Compliance-Anforderungen erfüllen. Die perfekte Lösung? Sicherheit durch nicht-proprietäre Schnittstellen. Die SNIA Europe, der Branchenverband der Speicherhersteller, bemüht sich um herstellerübergreifende Standards für Cloud Computing. Unter anderem entwickelt sie das Cloud Data Management Interface, das umfangreiche Optionen für Cloud Security integriert. Es bietet Funktionalitäten für Datenmanagement und -bereitstellung, unterschiedlichste Administrationsschnittstellen (proprietär, Web Interface, SMI-S) sowie Abrechnungsfunktionalitäten gemäß vordefinierter Quality of Service-Parameter. CDMI regelt den Zugriff auf Speicher per http, CIFS, NFS, iSCSI, SQL oder andere Protokolle und kann den dort vorgehaltenen Daten bestimmte Charakteristika zuweisen; so beispielsweise Komprimierung, Weiterleitung, Replizierung oder die Verarbeitung gemäß definierter QoS-Mechanismen. Das Entscheidende aber: CDMI dient im Unternehmen als allgemeine Schaltstelle, um sämtliche Datenbewegungen außerhalb der eigenen Domain zu verschlüsseln. Im Zusammenspiel mit der integrierten zertifikatsbasierten und optional bilateralen Authentifizierung erhalten Unternehmen so eine umfassende, nicht-proprietäre und flexible Sicherheitszentrale. Hilfe suchen: Cloud Dienstleister und Checklisten. Bereits bei der Auswahl des richtigen Cloud-Dienstleister müssen Unternehmen in Bezug auf Sicherheit in der Cloud die richtigen Fragen stellen. Vor allem sollten sie den Aufbau der Cloud-Architektur verstehen. Sichere Mandantenfähigkeit ist in virtualisierten Infrastrukturen ein Muss, ebenso wie die zuverlässige Löschung von Daten. Es muss klar sein, wer die Verschlüsselungshoheit besitzt, inwiefern Compliance-Vorgaben eingehalten werden und ob verschlüsselte Daten auch in 10 Jahren noch zuverlässig auslesbar sind. Um hier keine bösen Überraschungen zu erleben, sind kritisches Hinterfragen des Cloud-Anbieters und befolgen von Best Practices wichtig. Verschlüsselung und Schlüsselmanagement sind die zentralen Stellschrauben im Bereich Cloud-Sicherheit. In der Praxis orientieren sich Firmen im optimalen Fall an einer detaillierten Checkliste: · Systemschlüssel beim Hochfahren verschlüsseln. · Nutzergruppen mit verschiedenen Autorisierungsstufen einrichten. · Shell-Zugriff niemals per Passwortauthentifizierung sichern. · Sämtlicher Netzwerkverkehr in die Cloud und alle dort ruhenden Daten verschlüsseln. · File-Systeme von blockbasierten Netzwerksystemen verschlüsseln. · Nur die notwendigen Ports öffnen. · Authentifizierungsinformationen aus System-Images entfernen. · Schlüssel niemals in der Cloud selber speichern. · Intrusion Detection auf Host-Ebene einrichten. · Sicherungskopien von VIs erstellen und sicher speichern. Wenn Unternehmen diese Maßnahmen umsetzen, ist ein großer Schritt in Richtung sichere Cloud Services getan. Ohne Root Access ist eine OS-Manipulation von Ports und Prozessen nicht möglich. Authentifizierung, Zugriffskontrolle und Auditing sichern virtualisierte Strukturen. Biometrische Zugangskontrolle im Rechenzentrum sorgt für physische Sicherheit. Auf Netzwerkebene kann der Datenverkehr isoliert bestimmten VLANs zugeteilt werden. Virtualisierte Systeme sind per statischer IP dauerhaft identifizierbar und lokalem Storage zuweisbar. Storage-Daten liegen in der eigenen Domäne oder werden verschlüsselt übertragen. Die Unternehmensfirewall sorgt für Sicherheit auf Netzwerkebene. Resümee. Die Cloud zeichnet sich durch hohe Flexibilität aus – keine gute Rahmenbedingung für die Sicherheit. Wenn Unternehmen aber die spezifischen Cloud-Herausforderungen verstehen, existieren bereits heute sämtliche Technologien und Hilfsmittel, um sowohl SaaS-, PaaS- oder IaaS-Strukturen umfassend sicher zu gestalten. Bob Plumridge, Eric A. Hibbard ____________________________________ Bob Plumridge, Chairman SNIA Europe, Director Technical Marketing EMEA, HDS Eric A. Hibbard, CISSP, CISA, ISSAP, ISSMP, ISSEP; Chair, SNIA Security Technical Work Group; CTO Security and Privacy, HDS
____________________________________ Weiterführende Informationen: · Cloud Security Alliance (CSA), Security Guidance for Critical Areas of Focus in Cloud Computing, http://www.cloudsecurityalliance.org · European Network and information Security Agency (ENISA), Cloud Computing Benefits, risks and recommendations for information security, http://www.enisa.europa.eu/ · Information Systems Audit and Control Association (ISACA), Cloud Computing: Business Benefits With Security, Governance and Assurance Perspectives, http://www.isazirka.org · Cloud Security and Privacy, Mather, Kumaraswamy, Latif, 2009, O’Reilly Publishing, ISBN: 978-0-596-80276-9
Referenzmodell Quelle: SNIA
____________________________________________ Modelle und Anwendungen Quelle: Cloud Security and Privacy, Mather, Kumaraswamy, Latif, 2009, O´Reilly
____________________________________ Storage-Schnittstelle für die Wolke Quelle: SNIA
|
