Bárányfelhő vagy viharfelhő? A felhő alapú megoldások biztonsági kérdései. Császár Rudolf Műszaki fejlesztési vezető Digital Kft.

Átírás

1 Bárányfelhő vagy viharfelhő? A felhő alapú megoldások biztonsági kérdései Császár Rudolf Műszaki fejlesztési vezető Digital Kft.

2 Tartalom Cloud computing definíció Cloud computing adatbiztonsági szemüveggel Előnyök, hátrányok, veszélyek, kételyek Ajánlások Kliens oldali védelem, szerver oldali védelem

3 A felhő alapú megoldások definíciója 5 ismérv 3 szolgáltatási modell 4 megvalósítási lehetőség NIST modell a felhő alapú számítástechnika definíciójához

4 A felhő alapú megoldások szolgáltatási modelljei Infrastructure as a Service (IaaS) / Datacenter as a Service (DaaS) Példák: Hosting és kolokációs szolgáltatások, virtuális szerver szolgáltatás Platform as a Service (PaaS) Microsoft Azure, Amazon Web Services Software as a Service (SaaS) Microsoft Office 365, Virtualoso , GFI Max RemoteManagement

5 A felhő alapú megoldások megvalósítási lehetőségei

6 Előnyök: Specializálódott személyzet Egységes platform Erőforrás allokálás Mentés, visszaállítás Adatkoncentráció Biztonsági előnyök, hátrányok Hátrányok: Komplexitás Osztott, sok előfizetős környezet Internetről elérhető szolgáltatások A közvetlen felügyelet elvesztése

7 Megbízhatok a szolgáltatóban? Felmerülő kérdések Milyen szintű adatbiztonsági intézkedésekkel rendelkezik a szolgáltató? Ki miért felelős? Mi történik incidens esetén, kinek mi a teendője, hogyan működünk együtt? Mennyire szegmentáltak az egyes előfizetők rendszerei, adatai? Hova kerülnek az adataim? > Jogszabályi probléma évi LXIII. törvény a személyes adatok védelméről és a közérdekűadatok nyilvánosságáról: 9. (1) Személyes adat (beleértve a különleges adatot is) az országból - az adathordozótól vagy az adatátvitel módjától függetlenül - harmadik országban lévő adatkezelő vagy adatfeldolgozó részére akkor továbbítható, ha a) ahhoz az érintett kifejezetten hozzájárult, vagy b) azt törvény lehetővé teszi, és a harmadik országban az átadott adatok kezelése, illetőleg feldolgozása során biztosított a személyes adatok megfelelő szintű védelme. (4) Az EGT-államokba irányuló adattovábbítást úgy kell tekinteni, mintha a Magyar Köztársaság területén belüli adattovábbításra kerülne sor.

8 Jelentősebb fenyegetések A rossz fiúk már a felhőben vannak Nem biztonságos interfészek és API-k Rosszhiszemű alkalmazottak Megosztott erőforrás használat>virtualizáció Felhasználói fiók és szolgáltatás eltérítés Nem ismert kockázati profil

9 Virtualizáció Virtual Rootkits Cloudburst-PAPER.pdf

10 Ajánlások NIST Draft Special Publication Guidelines on Security and Privacy in Public Cloud Computing A szolgáltató alapos felmérése adatbiztonsági szempontból (szabványok, architektúra, kockázatelemzés, izoláció), szerződéses garanciák, incidenskezelés, disaster recovery Erős azonosítás Tesztelés, monitorozás, auditálás Megfelelő kliens oldali és szerver oldali védelem Consensus Assessments Initiative Questionnaire CloudAudit CloudTrust Protocol

11 Megfelelő kliens oldali védelem Split tunnel or not split tunnel that is the question Sávszélesség kezelés felértékelődik Ki mit használ, az mennyi sávszélességet visz el Nem elég port szinten, alkalmazás szinten kell tudni kezelni a kérdést>application control>sonicwall UTM-ek

12 SonicWall alkalmazás kontroll

13 SonicWall dashboard

14 SonicWall szabály közvetlenül a dashboard-ról

15 Megfelelő szerver oldali védelem SonicWall SSLVPN Web application firewall Erős azonosítás One-Time-Password>SMS kód

16 Kérdések???