Empfohlen
Empfohlen
Weitere ähnliche Inhalte
Ähnlich wie 180122 ö sb cloud computing kollabsw (f)
Ähnlich wie 180122 ö sb cloud computing kollabsw (f) (20)
180122 ö sb cloud computing kollabsw (f)
- 1. CIR CYBER- UND INFORMATIONSRAUM Informationstechnik (2. Schuljahr) Profilwahlrichtung -3- Kollaborationssoftware - Öffentlich - Folie 1 - Cloud Computing - „Wolkenrechnen“
- 2. CIR CYBER- UND INFORMATIONSRAUM Wer oder was ist diese Wolke? „Da stelle mer uns mal janz dumm.“ (Auszug aus „Die Feuerzangenbowle“, Film 1944) Brainstorming - Öffentlich - Folie 2
- 3. CIR CYBER- UND INFORMATIONSRAUM “Throughout computer science history, numerous attempts have been made to disengage users from computer hardware needs, from time-sharing utilities envisioned in the 1960s, network computers of the 1990s, to the commercial grid systems of more recent years. This abstraction is steadily becoming a reality as a number of academic and business leaders in this field of science are spiralling towards cloud computing. Cloud computing is an innovative Information System (IS) architecture, visualized as what may be the future of computing, a driving force demanding from its audience to rethink their understanding of operating systems, client–server architectures, and browsers. Cloud computing has leveraged users from hardware requirements, while reducing overall client side requirements and complexity.” „Future Generation Computer Systems“, Artikel von D. Zissis und D. Lekkas Introduction - Öffentlich - Folie 3
- 4. CIR CYBER- UND INFORMATIONSRAUM • Definition • Servicemodelle – Trusted Cloud ® • Bereitstellungsmodelle • Abgrenzung • Cloud Security – Features – Risiken • Fazit Gliederung - Öffentlich - Folie 4
- 5. CIR CYBER- UND INFORMATIONSRAUM „Cloud Computing ist ein Modell, das es erlaubt bei Bedarf, jederzeit und überall bequem über ein Netz auf einen geteilten Pool von konfigurierbaren Rechnerressourcen (z. B. Netze, Server, Speichersysteme, Anwendungen und Dienste) zuzugreifen, die schnell und mit minimalem Managementaufwand oder geringer Serviceprovider- Interaktion zur Verfügung gestellt werden können.“ National Institute of Standards and Technology (NIST, USA) Was ist Cloud Computing? - Öffentlich - Folie 5
- 6. CIR CYBER- UND INFORMATIONSRAUM • wird (gemäß NIST-Definition) durch folgende fünf Eigenschaften charakterisiert: – On-demand Self Service* – Broad Network Access – Resource Pooling – Rapid Elasticity* – Measured Services – Service orientierte Architektur* – Mandantenfähig* – Pay per Use Model* • gemäß Cloud Security Alliance* (CSA) Cloud Service(-s) - Öffentlich - Folie 6
- 7. CIR CYBER- UND INFORMATIONSRAUM Cloud Computing bezeichnet das dynamisch an den Bedarf angepasste Anbieten, Nutzen und Abrechnen von IT- Dienstleistungen über ein Netz. Angebot und Nutzung dieser Dienstleistungen erfolgen dabei ausschließlich über definierte technische Schnittstellen und Protokolle. Die Spannbreite der im Rahmen von Cloud Computing angebotenen Dienstleistungen umfasst das komplette Spektrum der Informationstechnik und beinhaltet unter anderem Infrastruktur (z. B. Rechenleistung, Speicherplatz), Plattformen und Software (Anwendungen). Definition - Öffentlich - Folie 7
- 8. CIR CYBER- UND INFORMATIONSRAUM • Servicemodelle im Cloud Computing: 1. Software as a Service (SaaS) 2. Platform as a Service (PaaS) 3. Infrastructure as a Service (IaaS) Everything as a ServiceXaaS Kollaborations- software - Öffentlich - Folie 8
- 9. CIR CYBER- UND INFORMATIONSRAUM Cloud-Anwendungen Quelle: http://www.scc.kit.edu/forschung/5905.php?PHPSESSID=b471295ef51962e7f99975de09f529b9 - Öffentlich - Folie 9
- 10. CIR CYBER- UND INFORMATIONSRAUM • die Servicemodelle unterscheiden sich darüber hinaus im Einfluss des Kunden auf die Sicherheit der angebotenen Dienste – bei IaaS hat der Kunde die volle Kontrolle über das IT- System vom Betriebssystem aufwärts, da alles innerhalb seines Verantwortungsbereichs betrieben wird – bei PaaS hat er nur noch Kontrolle über seine Anwendungen, die auf der Plattform laufen, und – bei SaaS übergibt er praktisch die ganze Kontrolle an den Cloud Service Provider (CSP) Einfluss des Kunden - Öffentlich - Folie 10
- 11. CIR CYBER- UND INFORMATIONSRAUM BMWi – Trusted Cloud ® • Förderung einer Basistechnologie auf dem Weg zur Industrie 4.0 durch das Bundesministerium für Wirtschaft und Energie (BMWi) • ZIEL: – Unternehmen dabei zu unterstützen Vertrauen in Cloud Services aufzubauen • dazu: – Schaffung einheitlicher und transparenter Bewertungskriterien für die Cloud-Nutzung – Vergabe eines Trusted Cloud Labels - Öffentlich - Folie 11
- 12. CIR CYBER- UND INFORMATIONSRAUM • vier Deployment Models nach NIST: 1. Private Cloud 2. Public Cloud 3. Community Cloud 4. Hybrid Cloud Bereitstellungsmodelle BundesCloud - Öffentlich - Folie 12
- 13. CIR CYBER- UND INFORMATIONSRAUM Bechtle Cloud Radar Welcher Cloud-Typ sind Sie? - Öffentlich - Folie 13
- 14. CIR CYBER- UND INFORMATIONSRAUM Was unterscheidet Cloud Computing von klassischem IT-Outsourcing? IT-Outsourcing exklusive Infrastruktur wenig Interaktion mit Provider über Web- Oberflächen administrierbar dynamisch über mehrere Standorte Dienste selbst auf Bedürfnisse einstellbar Bedarf rasch anpassbar skalierbar dynamisch gemeinsame Infrastruktur längere Vertragslaufzeiten (SmartInk) - Öffentlich - Folie 14
- 15. CIR CYBER- UND INFORMATIONSRAUM Cloud Taxonomy - Öffentlich - Folie 15
- 16. CIR CYBER- UND INFORMATIONSRAUM Cloud Security - Öffentlich - Folie 16
- 17. CIR CYBER- UND INFORMATIONSRAUM Security Issues - Overview Level Service Level Users Security requirements Threats Application level Software as a Service (SaS) End client applies to a person or organization who subscribes to a service offered by a cloud provider and is accountable for its use - Privacy - … - Service availability - Interception - … - Privacy breach Virtual level Platform as a Service (PaS) Infrastructure as a Service (IaS) Developer/ moderator applies to a person or organization that deploys software on a cloud infrastructure - Access control - … - … Physical level Physical datacenter Owner applies to a person or organization that owns the infrastructure upon which clouds are deployed - … - Hardware security - … - Network attacks - Flooding, DDOS - … - Öffentlich - Folie 17
- 18. CIR CYBER- UND INFORMATIONSRAUM Issues at the application level Service Level Security requirements Threats Software as a Service (SaS) - Privacy in multitenant environment - Data protection from exposure (remnants) - Access control - Communication protection - Software security - Service availability - Interception - Modification of data at rest and in transit - Data interruption (deletion) - Privacy breach - Impersonation - Session hijacking - Traffic flow analysis - Exposure in network - Öffentlich - Folie 18
- 19. CIR CYBER- UND INFORMATIONSRAUM Issues at the virtual level Service Level Security requirements Threats Platform as a Service (PaS) Infrastructure as a Service (IaS) - Access control - Application security - Data security, (data in transit, data at rest, remanence) - Cloud management control security - Secure images - Virtual cloud protection - Communication security - Programming flaws - Software modification - Software interruption (deletion) - Impersonation - Session hijacking - Traffic flow analysis - Exposure in network - Defacement - Flooding, DDOS - Disrupting communications - Öffentlich - Folie 19
- 20. CIR CYBER- UND INFORMATIONSRAUM Issues at the physical level Service Level Security requirements Threats Physical datacenter - Legal, not abusive use of cloud computing - Hardware security - Hardware reliability - Network protection - Network resources protection - Network attacks - Connection flooding - DDOS - Hardware interruption - Hardware theft - Hardware modification - Misuse of infrastructure - Natural disasters - Öffentlich - Folie 20
- 21. CIR CYBER- UND INFORMATIONSRAUM • aktuell kein echter Sicherheitsstandard, stattdessen proprietäre provider-spezifische Lösung • schlussendlich muss jeder Kunde selbst sicherstellen, dass die Cloud ihre Sicherheitsanforderungen erfüllt • die beiden Mittel der Wahl sind hierbei: – Sammeln, Verstehen und Beschreiben der eigenen Anforderungen – Risikoanalyse/ -bewertung der Cloudanbieter „Features“ Risiken Informationssicherheit in der Cloud - Öffentlich - Folie 21
- 22. CIR CYBER- UND INFORMATIONSRAUM • der Grad an Sicherheit hängt einzig vom Anbieter und den gebotenen Programmmerkmalen (Features), wie z.B. ab: – Skalenvorteile (Economies of scale) • Kosten (Costs) • Sachverstand (Expertise) – zentralisierte Datenhaltung (Centralized data) – reduzierter „physischer Datenverlust“ (Reduced physical data leakage) – Überwachungsvorteile (Monitoring benefits) – … Security Features (1) - Öffentlich - Folie 22
- 23. CIR CYBER- UND INFORMATIONSRAUM • der Grad an Sicherheit hängt einzig vom Anbieter und den gebotenen Programmmerkmalen (Features), wie z.B. ab: – … – beschleunigte Zwischenfalluntersuchung (Incident investigations) • sofortiger Ersatz bei Ausfall (Forensic readiness) • schnellere Beweisaufnahme (Decreased evidence acquisition time) – keine gesonderten Ressourcen fürs Logging (Logging) – Vorhalten sog. „goldener Softwareabbilder“ (Gold images) – leichteres Management (Ease of Management) Security Features (2) - Öffentlich - Folie 23
- 24. CIR CYBER- UND INFORMATIONSRAUM • Cloud Computing besitzt darüber hinaus einzelne Eigenschaften, welche einer besonderen Risikobeurteilung bedürfen, als da wären: – Zugang privilegierter Nutzer (Privileged user access) – Datenschutz durch Zugriffssteuerung (Data protection) – Datentrennung (Data isolation) – Sanitarisierung (Data sanitization), verschiedene Szenarien! – Datenlokalisierung (Data location) – Datenverlust und -wiederherstellung (Data loss and recovery) – Unterstützung bei der Fehlersuche (Investigative support) – Antwortverhalten bei Zwischen-/ Ausfällen (Incidence response) Top Security Risks - Öffentlich - Folie 24
- 25. CIR CYBER- UND INFORMATIONSRAUM • ist die Basis für Informationssicherheit im deutschsprachigen Raum • vom BSI entwickelt, ermöglicht er es, notwendige Sicherheitsmaßnahmen zu identifizieren und umzusetzen • Handlungsgrundlage ist die Abhängigkeit sämtlicher Institutionen von Wirtschaft und Verwaltung (und jedes einzelnen Bürgers) vom einwandfreien Funktionieren der eingesetzten IT IT-Grundschutz - Öffentlich - Folie 25
- 26. CIR CYBER- UND INFORMATIONSRAUM • Gefährdungen und Gegenmaßnahmen werden thematisch in sogenannten Bausteinen zusammengestellt • diese bilden die IT-Grundschutz-Kataloge • für das Cloud Computing sind sechs besonders relevant 1. Baustein Cloud-Nutzung 2. Baustein Cloud Management 3. Baustein Speicherlösungen/ Cloud Storage 4. Baustein Web-Services 5. Baustein Webanwendungen 6. Baustein Virtualisierung IT-Grundschutz-Bausteine - Öffentlich - Folie 26
- 27. CIR CYBER- UND INFORMATIONSRAUM • eine Kombination aus Public-Key-Infrastruktur (PKI), Lightweight-Directory-Access-Protokoll (LDAP) und Single- Sign-On (SSO) kann der Großzahl der hier, für das Cloud Computing, identifizierten Bedrohungen im Umgang mit der Integrität, Vertraulichkeit und Verfügbarkeit unserer Daten entgegentreten. „A combination of PKI, LDAP and SSO can address most of the identified threats in cloud computing dealing with the integrity, confidentiality, authenticity and availability of data and communications.” Fazit - Öffentlich - Folie 27
- 28. CIR CYBER- UND INFORMATIONSRAUM • Bundesamt für Sicherheit in der Informationstechnik (BSI) • Bundesministerium für Wirtschaft und Energie (BMWi) – Kompetenznetzwerk Trusted Cloud ® • Artikel „Future Generation Computer Systems“ von Dimitrios Zissis, Dimitrios Lekkas (Department of Product and Systems Design Engineering, University of the Aegean, Syros 84100, Greece) • A Fresh Graduate’s Guide to … “Cloud Computing” von Wong Tsz Lai, Hoang Trancong & Steven Goh • de.wikipedia.org • www.heise.de Quellen - Öffentlich - Folie 28
- 29. CIR CYBER- UND INFORMATIONSRAUM Fragen ??? - Öffentlich - Folie 29
Hinweis der Redaktion
- Die Feuerzangenbowle, Roman von Heinrich Spoerl, 1933.
- https://www.bsi.bund.de/DE/Themen/DigitaleGesellschaft/CloudComputing/Grundlagen/Grundlagen_node.html == UNSERE Definition! Bisher konnte sich für den Begriff Cloud Computing keine Definition als allgemeingültig durchsetzen. In Publikationen oder Vorträgen werden häufig Definitionen verwendet, die sich zwar meist ähneln, aber die doch immer wieder variieren. Eine Definition, die in Fachkreisen meist herangezogen wird, ist diese Definition der US-amerikanischen Standardisierungsstelle NIST (National Institute of Standards and Technology), die auch von der ENISA (European Network and Information Security Agency) genutzt wird.
- zu 1. Die Provisionierung der Ressourcen (z. B. Rechenleistung, Storage) läuft automatisch ohne Interaktion mit dem Service Provider ab. zu 2. Die Services sind mit Standard-Mechanismen über das Netz verfügbar und nicht an einen bestimmten Client gebunden. zu 3. Die Ressourcen des Anbieters liegen in einem Pool vor, aus dem sich viele Anwender bedienen können (Multi-Tenant Modell). Dabei wissen die Anwender nicht, wo die Ressourcen sich befinden, sie können aber vertraglich den Speicherort, also z. B. Region, Land oder Rechenzentrum, festlegen. zu 4. Die Services können schnell und elastisch zur Verfügung gestellt werden, in manchen Fällen auch automatisch. Aus Anwendersicht scheinen die Ressourcen daher unendlich zu sein. zu 5. Die Ressourcennutzung kann gemessen und überwacht werden und entsprechend bemessen auch den Cloud-Anwendern zur Verfügung gestellt werden. Diese Definition gibt die Vision von Cloud Computing wieder, wobei davon abgesehen werden sollte, die einzelnen Punkte zu dogmatisch zu sehen. So wird z. B. eine ubiquitäre Verfügbarkeit bei Private Clouds eventuell gar nicht angestrebt. Nach der Cloud Security Alliance (CSA) hat Cloud Computing neben der oben erwähnten Elastizität und dem Self Service noch folgende Eigenschaften: Service orientierte Architektur (SOA) ist eine der Grundvoraussetzungen für Cloud Computing. Die Cloud-Dienste werden in der Regel über ein sogenanntes REST-API angeboten. In einer Cloud-Umgebung teilen sich viele Anwender gemeinsame Ressourcen, die deshalb mandantenfähig sein muss. Es werden nur die Ressourcen bezahlt, die auch tatsächlich in Anspruch genommen wurden (Pay per Use Model), wobei es auch Flatrate-Modelle geben kann.
- Bundesamt für Sicherheit in der Informationstechnik (BSI) Um für alle künftigen Arbeiten rund um Cloud Computing eine einheitliche Grundlage zu haben, hat das BSI die o.g. Definition für den Begriff "Cloud Computing" festgelegt.
- Grundsätzlich können drei verschiedene Kategorien von Servicemodellen unterschieden werden: 1. Software as a Service (SaaS) Sämtliche Angebote von Anwendungen, die den Kriterien des Cloud Computing entsprechen, fallen in diese Kategorie. Dem Angebotsspektrum sind hierbei keine Grenzen gesetzt. Als Beispiele seien Kontaktdatenmanagement, Finanzbuchhaltung, Textverarbeitung oder Kollaborationsanwendungen genannt. 2. Platform as a Service (PaaS) Ein PaaS-Provider stellt eine komplette Infrastruktur bereit und bietet dem Kunden auf der Plattform standardisierte Schnittstellen an, die von Diensten des Kunden genutzt werden. So kann die Plattform z. B. Mandantenfähigkeit, Skalierbarkeit, Zugriffskontrolle, Datenbankzugriffe, etc. als Service zur Verfügung stellen. Der Kunde hat keinen Zugriff auf die darunterliegenden Schichten (Betriebssystem, Hardware), er kann aber auf der Plattform eigene Anwendungen laufen lassen, für deren Entwicklung der CSP in der Regel eigene Werkzeuge anbietet. 3. Infrastructure as a Service (IaaS) Bei IaaS werden IT-Ressourcen wie z. B. Rechenleistung, Datenspeicher oder Netze als Dienst angeboten. Ein Cloud-Kunde kauft diese virtualisierten und in hohem Maß standardisierten Services und baut darauf eigene Services zum internen oder externen Gebrauch auf. So kann ein Cloud-Kunde z. B. Rechenleistung, Arbeitsspeicher und Datenspeicher anmieten und darauf ein Betriebssystem mit Anwendungen seiner Wahl laufen lassen. Der Begriff "as a Service" wird noch für eine Vielzahl weiterer Angebote benutzt, wie z. B. für Security as a Service, BP as a Service (Business Process), Storage as a Service, so dass häufig auch von "XaaS" geredet wird, also "irgendwas als Dienstleistung“. Dabei lassen sich die meisten dieser Angebote zumindest grob einer der obigen Kategorien zuordnen. Quelle der Darstellung: https://blogs.msdn.microsoft.com/seliot/2010/03/04/what-the-heck-is-cloud-computing-another-re-look-with-pretty-pictures/
- … derselbe Sachverhalt, etwas technischer dargestellt.
- http://www.bmwi.de/DE/Themen/Digitale-Welt/Digitale-Technologien/trusted-cloud.html https://www.trusted-cloud.de/ --- STANDARDS betrachten!
- NIST unterscheidet vier Bereitstellungsmodelle (Deployment Models): In einer Private Cloud wird die Cloud-Infrastruktur nur für eine Institution betrieben. Sie kann von der Institution selbst oder einem Dritten organisiert und geführt werden und kann dabei im Rechenzentrum der eigenen Institution oder einer fremden Institution stehen. Von einer Public Cloud wird gesprochen, wenn die Services von der Allgemeinheit oder einer großen Gruppe, wie beispielsweise einer ganzen Industriebranche, genutzt werden können und die Services von einem Anbieter zur Verfügung gestellt werden. In einer Community Cloud (BEISPIEL BundesCloud) wird die Infrastruktur von mehreren Institutionen geteilt, die ähnliche Interessen haben. Eine solche Cloud kann von einer dieser Institutionen oder einem Dritten betrieben werden. Werden mehrere Cloud Infrastrukturen, die für sich selbst eigenständig sind, über standardisierte Schnittstellen gemeinsam genutzt, wird dies Hybrid Cloud genannt. Die oben genannten Definitionen decken aber nicht alle Varianten von Cloud Angeboten ab, was zu weiteren Definitionen wie "Virtual Private Cloud", etc. führt. Quelle der Darstellung: https://de.wikipedia.org/wiki/Cloud_Computing BundesCloud siehe auch https://www.heise.de/newsticker/meldung/Regierung-will-die-Bundescloud-2658309.html
- Bechtle Systemhaus Dortmund
- Beim Outsourcing werden Arbeits-, Produktions- oder Geschäftsprozesse einer Institution ganz oder teilweise zu externen Dienstleistern ausgelagert. Dies ist ein etablierter Bestandteil heutiger Organisationsstrategien. Das klassische IT-Outsourcing ist meist so gestaltet, dass die komplette gemietete Infrastruktur exklusiv von einem Kunden genutzt wird (Single Tenant Architektur), auch wenn Outsourcing-Anbieter normalerweise mehrere Kunden haben. Zudem werden Outsourcing-Verträge meistens über längere Laufzeiten abgeschlossen. Die Nutzung von Cloud Services gleicht in vielem dem klassischen Outsourcing, aber es kommen noch einige Unterschiede hinzu, die zu berücksichtigen sind: Aus wirtschaftlichen Gründen teilen sich in einer Cloud mehrere Nutzer eine gemeinsame Infrastruktur. Cloud Services sind dynamisch und dadurch innerhalb viel kürzerer Zeiträume nach oben und unten skalierbar. So können Cloud-basierte Angebote rascher an den tatsächlichen Bedarf des Kunden angepasst werden. Die Steuerung der in Anspruch genommenen Cloud-Dienste erfolgt in der Regel mittels einer Webschnittstelle durch den Cloud-Nutzer selbst. So kann der Nutzer automatisiert die genutzten Dienste auf seine Bedürfnisse zuschneiden. Durch die beim Cloud Computing genutzten Techniken ist es möglich, die IT-Leistung dynamisch über mehrere Standorte zu verteilen, die geographisch weit verstreut sein können (Inland ebenso wie Ausland). Der Kunde kann die genutzten Dienste und seine Ressourcen einfach über Web-Oberflächen oder passende Schnittstellen administrieren, wobei wenig Interaktion mit dem Provider erforderlich ist.
- http://www.opencrowd.com/assets/images/views/views_cloud-tax-lrg.png Eine Erhöhung des Detaillierungsgrades zur Einordnung/ Unterscheidung von Cloud-Diensten ist – wie im Bild dargestellt – jederzeit möglich, wird aber in der Folge nicht weiter betrachtet.
- Zusätzlich zu der Vielfalt an möglichen Cloud-Konstellationen (siehe Abbildung) kommt eine wahre Flut an Sicherheitsanforderungen und –risiken der Cloud-Technologie. Diese gilt es in der Folge näher zu betrachten, dabei sei stets auf die zur Verfügung gestellte weiterführende Dokumentation verwiesen! Artikel „Future Generation Computer Systems“ von Dimitrios Zissis, Dimitrios Lekkas A Fresh Graduate’s Guide to … “Cloud Computing” von Wong Tsz Lai, Hoang Trancong & Steven Goh
- Artikel „Future Generation Computer Systems“ (Seite 587) von Dimitrios Zissis, Dimitrios Lekkas
- Artikel „Future Generation Computer Systems“ (Seite 587) von Dimitrios Zissis, Dimitrios Lekkas
- Artikel „Future Generation Computer Systems“ (Seite 587) von Dimitrios Zissis, Dimitrios Lekkas
- Artikel „Future Generation Computer Systems“ (Seite 587) von Dimitrios Zissis, Dimitrios Lekkas
- requirement gathering provider risk assessment Quelle zur Bearbeitung: A Fresh Graduate’s Guide to … “Cloud Computing” von Wong Tsz Lai, Hoang Trancong & Steven Goh, Seite 22 - 25
- Economies of Scale: The pooling of resources on a large scale translates to security benefits in two areas. Costs: Security measures are going to be cheaper when implemented on a large scale. The same amount of investment could buy better security protection such as packet filtering, patch management and the hardening of virtual machine instances for example. Expertise: Major cloud service providers such as Amazon, Google, Azure, and Rackspace all have massive resources and expertise in security fields at their disposal. Because of the concentrated effort at security, they may be able to provide better security measures than SMBs (small-medium businesses) can possibly achieve. It can also simplify the process for large organizations. Centralized Data: Using a centralized data model makes securing and managing of data easier. Reduced physical data leakage: There are many ways internal data can be leaked through physical means, loss of company thumb-drives, laptops and backup disks all contribute to this. With cloud computing, we are able to avoid this problem because data is now stored in the cloud away from the physical devices. Monitoring benefits: With centralized storage, it is easier to control and monitor. It is both easier and cheaper to implement security controls on centralized data than for individual clients because there is only place where targeted attacks can happen. The resources can then be reallocated quickly for filtering, traffic controlling, verification, encryption and other security measures and this will improve resilience against security threats.
- Incident Investigation: Cloud storage helps speed up the process incident investigation in two ways. Forensic readiness: With Infrastructure as a Service (IaaS) providers, a dedicated forensic server image in the same cloud can be built and placed offline. When a security incident happens, you can have the server up absolutely instantly! In using cloud computing, you are avoiding all the clunky hardware provisioning that is required and you are also able to have your server as and when you need it. Decreased evidence acquisition time: Data transfer between 2 servers in the same cloud is extremely fast so the evidence transfer time between the compromised server and forensics server will be reduced. This will help speed up the forensics process and the quicker the security forensics process can be done, the quicker the server can be back up and running. Logging: Cloud storage abstracts away clunky provisioning for logging. Automatic logging: Logs are an important link in security investigations and setting up new defensive infrastructures. However, logging is often an afterthought in many organizations. Because of clunky resource allocation, there are often little or no logs at all. Cloud storage changes all of this by introducing automatic logging for your applications deployed in the cloud. Gold Images: Cloud storage helps with the deployment and management of gold images. Ease of Management: A gold-image is a unit or an instance that has been fully subjected to proper stability and vulnerability tests and is ready for public deployment. Now we would like to deploy this to multiple units or instances. In normal systems, all the units would be running on separate platforms and environment which makes it really difficult to track each individual setting. On the other hand, because of the uniformity of cloud computing’s instances in platforms and environment, it makes it a lot easier to deploy and manage each of these gold images.
- Privileged user access: Sensitive data processed outside of the internal networks of the organizations bring with it an inherent risk because cloud services bypass the physical control that organizations are able to have otherwise. We do not know who has direct access to your data. It could be high executives of the cloud providers or system administrators or even employees in-charge of hardware. These roles in cloud architectures are unavoidable and they present possible risks. Carelessness and malicious insiders could lead to data exposure from the inside. Data protection: Data protection refers to the physical protection of data through access methods and encryption. This is an area of security risk because many cloud providers are still using the classic authentication method which is the username/password model which is a weak secure model. Moreover, it does not provide any level of granularity where different levels of access are given to different people. Data isolation: This risk category covers the failure of mechanisms separating storage, memory or other resources between different clients. However, attacks on resource isolation mechanisms are still less prominent and in essence very difficult for an attacker to put in practice compared to attacks on traditional OSs. Data sanitization: Sanitization refers to the proper removal of data from a device once it is not used. There can be two scenarios that can be problematic in this area. The first scenario is when the hardware is removed due to failure. When the commodity hardware fails and it is thrown away, your data risk being retrieved from the unwanted hardware if it is not properly sanitized before it is thrown away. The second scenario is when the clients terminate their service with a particular cloud provider. Residual data that is left with the cloud are often not deleted and kept on purpose. This can pose a problem because data isolation mechanisms are not fool-proof and this could lead to other clients accessing that block of data by accident after your termination Data location: Because of the distributed nature of the cloud, you probably won't know exactly where its data is hosted at. You might not even know what country it will be stored in. You need to ask providers if they will commit to storing and processing data in specific location and consequently jurisdictions, and whether it is in your contract to allow them to obey local privacy requirements on behalf of their clients. There is a need to go through this process because different countries may have vastly different jurisdiction and procedures that could complicate things a little when security incidents arise. Data loss and recovery: A cloud provider should be transparent about what will happen to the data and service in case of data loss. While the chances of a total loss are low because of the high levels of redundancy, things can go wrong. There is a possibility of multiple servers losing your data at the same time. Therefore, it is crucial to watch out for agreements with a cloud service provider to see if they are clear about their data restoration processes, how long it would take, and how much it would cost for example. Investigative support: In the previous chapter, we have introduced some benefits to IT forensics when using cloud computing but investigating inappropriate or illegal activity may be difficult due to some implementation details of cloud service providers as well. If you cannot come to an agreement with the providers to support you in specific forms of investigation, then the only safe assumption is that investigation and discovery requests will be highly difficult if not impossible. It is imperative for any organization to read the fine-prints about investigative support before starting the service. Incidence response: Even though a cloud provider may be willing to help with investigative procedures, they might not be capable of doing so in a quick and effective way. The complexity of the cloud can often obscure this procedure. For example, it reportedly took one IaaS provider approximately eight hours to recognize and begin taking action on a Denial of Service attack. Understanding and negotiating the procedures for incident response should be done before entering a contract with any cloud providers.
- https://www.bsi.bund.de/DE/Themen/ITGrundschutz/itgrundschutz_node.html
- https://www.bsi.bund.de/DE/Themen/DigitaleGesellschaft/CloudComputing/Dossiers/Grundschutz/grundschutz_node.html Baustein Cloud-Nutzung Der Baustein "Cloud-Nutzung" der IT-Grundschutz-Kataloge bietet - auch für Anwender, die nicht der Methodik des IT-Grundschutz folgen – eine Übersicht über die relevanten Gefährdungen und stellt diesen wirksame Sicherheitsmaßnahmen entgegen. Dabei werden nicht nur alle Lebenszyklusphasen (von der Planung bis Beendigung des Cloud Service) betrachtet, sondern es gibt noch weitere Hinweise zu Maßnahmen, die ein höheres Sicherheitsniveau ermöglichen. Der Baustein ist in sich abgeschlossen, sodass er auch als Einzeldokument verwendet werden kann. Baustein Cloud Management Im Baustein "Cloud-Management" werden die Prozesse und Sicherheitsmaßnahmen beschrieben, die man zur Einführung und Betrieb einer Cloud-Infrastruktur benötigt, wobei auf bekannte Prozesse und Sicherheitsmaßnahmen, z. B. aus Netz- und Systemmanagement, verwiesen wird. Der Baustein behandelt also die Themen, die durch das Cloud Computing neu zu betrachten sind. Die Gefährdungsanalyse dient u. a. auch für weitere Risikoanalysen. Baustein Speicherlösungen / Cloud Storage Der Baustein "Speicherlösungen / Cloud Storage" beschreibt von der Planung bis zur Entsorgung den sicheren Umgang mit Network Attached Storage, Storage Area Networks Cloud Storage Lösungen. Baustein Web-Services Im Baustein "Web-Services" werden die Sicherheitsempfehlungen für SOAP- und REST-basierte Webservices ausgeführt. Baustein Webanwendungen Fast alle Cloud-Dienste nutzen als Benutzerschnittstelle Webanwendungen, die auch aber auch ein bevorzugtes Angriffsziel auf Cloud Services ist. Der Baustein "Webanwendungen" gibt hier detaillierte Empfehlungen zu deren Absicherung. Baustein Virtualisierung Der Baustein "Virtualisierung" gilt nicht nur für Virtualisierungsserver, sondern kann auch bei der Planung und dem Betrieb von Netzen und Speichernetzen hilfreich sein.