mnemonic frokostseminar

Størrelse: px

Begynne med side:

Download "mnemonic frokostseminar"

Steffen Albert Hoff
7 år siden
Visninger:

1 SIKRING AV SKYTJENESTER mnemonic frokostseminar

2 Me % whoami trond % cat /etc/passwd grep trond trond:x:2147:10000:trond Tolnæs:/home/trond:/usr/bin/bash % ls -ltd /home/trond/.[^.]* tail -1 -rw trond mnemonic 50 Sep /home/trond/.w3m C:\Users\trond>net user trond /domain find "*" Global Group memberships * MSI * Teknisk * Presale < NOW(): * Professional Services * System Integration * IRT

$w3m C:\Users\trond>net user trond /domain find "*" Global Group memberships * MSI *$

3 Bruk av skytjenester Brukere, bedrifter og software produsenter blir drevet raskt mot skybaserte tjenester. Dette medfører at de tradisjonelle løsningene ikke lenger klarer å håndheve sikkerhet og compliance på lik linje med on-premise miljøet.

Dette medfører at de tradisjonelle løsningene ikke lenger

4 Infrastructure Platform Software Skytjenestemodeller Cloud Clients Apps, Browsers, Mobiles SAAS Applications (Office365, SharePoint Online, Google Apps for Work) PAAS OS, database, web-server, dev-tools,... (Windows Azure, SQL Azure, IIS...) IAAS Virtual Machines, networks, storage,... (Amazon Web Services, MS Azure, Google Cloud Platform, OpenStack)

database, web-server, dev-tools,... (Windows Azure, SQL Azure, IIS.

5 Utfordringer Ifølge Cloud Security Alliance er de 3 største truslene i skyen: -Insecure Interfaces and API's (29%) -Data Loss & Leakage (25%) -Hardware Failure (10%) Utveksling av sensitive data utført av brukere mot godkjente og ikke godkjente skytjenester. Skyleverandørene tilbyr få garantier eller SLAer rundt sine sikkerhetsløsninger. Det blir derfor kundens ansvar å implementere sikkerhet ved bruk av innebyggede mekanismer og/eller 3.parts løsninger.

ikke godkjente skytjenester. Skyleverandørene tilbyr få garantier eller SLAer rundt sine sikkerhetsløsninger.

6 Utfordringer "There are some real Achilles' heels in the cloud infrastructure that are making big holes for the bad guys to get into". -- Eugene Schultz, chief technology officer at Emagined Security, Buzzword: Hyperjacking - Gaining control of huge stores of information through a single attack Ett eksempel på dette er Dropbox security breach

-- Eugene Schultz, chief technology officer at Emagined Security, Buzzword:

7 Hvem har ansvaret for sikkerheten? Skyleverandørene bruker forskjellige mekanismer og implementerer sikkerhet ulikt i alle modellene (SaaS, PaaS, IaaS) Uansett modell er IAM (Identity and Access Management) og sikring av dataene alltid kundens ansvar Skyleverandøren isolerer kunder fra hverandre, men det er kundens ansvar å segmentere sitt logiske nettverk. Husk redundans for lagring Husk å ta backup! Selv om skyleverandøren er f.eks. PCI godkjent, betyr ikke det at applikasjonen du kjører der også automatisk er det den må gjennom audit og sertifsering som vanlig. Å flytte en tjeneste til skyen gjør den ikke automatisk mer sikker!

Management) og sikring av dataene alltid kundens ansvar Skyleverandøren isolerer kunder fra hverandre, men det er kundens ansvar å segmentere sitt logiske

8 Hvem har ansvaret for sikkerheten? Customers need to ensure that visibility, compliance, threat prevention and data security are being addressed at the cloud level with same level of consistency as is present in on-premises services. --Gartner 2016

prevention and data security are being addressed at the cloud

9 Anbefalte tiltak Ta i bruk rollebasert Identity Management og bestem hvem som får lov til å gjøre hva. Ta i bruk CASB (Cloud Access Security Broker) Sikre lagrede data med kryptering. Som et minimum - segmenter og lås ned nettverkstrafikk med skyleverandørens innebyggede filtreringsmekanismer.

Ta i bruk CASB (Cloud Access Security Broker) Sikre lagrede data med

10 Anbefalte tiltak Bruk TLS og VPN for kryptert overføring av data Øk sporbarhet og trusselbeskyttelse med 3.parts løsninger (NGFW/NGTP, SSO, logging, etc.) Automatiser sikkerhetskonfigurasjonen vha. API og scripting

11 IaaS eksempel Hvordan kan man bygge en sikker skytjeneste?...med/uten 3.parts sikkerhetsprodukter...i MS Azure

12 Små forskjeller tilsvarende funksjonalitet Virtual Private Cloud (VPC) Network ACL Virtual Network Network Security Group

13 Sikkerhet i Azure Although Microsoft invests heavily in protecting the cloud infrastructure, customers must also protect their cloud services and resource groups. A multilayered approach to security provides the best defense.

protect their cloud services and resource groups.

14 Azure under panseret...

15 Microsofts referansedesign

16 Fallgruver Traffic fra Azure til on-premise datasenter inspiseres ikke! Nedlasting av dine data har en kost! (ved bruk av Express Route eller Azure VPN Gateway) VPN site-to-site (mot Azure VPN Gateway) begrenses til 200 Mbit!

(ved bruk av Express Route eller Azure VPN Gateway) VPN

17 Nyhet! UDR mot GatewaySubnet CheckPoint Referansearkitektur for Azure:

18 Spørsmål?

19 Takk for meg!

Like dokumenter

Hva må jeg tenke på for å være sikker på at data er trygt lagret i skyen? Marius Sandbu

Hva må jeg tenke på for å være sikker på at data er trygt lagret i skyen? Marius Sandbu marius.sandbu@evry.com De største leverandørene i markedet Markedet og trender for offentlig skyløsninger AWS vokser