Il Cloud Computing è la tecnologia alla base della trasformazione digitale delle aziende. Per questo motivo è essenziale per le aziende comprendere come progettare e realizzare Infrastrutture Cloud Sicure. All'interno della presentazione sono trattati tutti gli aspetti da considerare per lo sviluppo di un'Infrastruttura Cloud sicura. Gli argomenti trattati sono: - Cancellazione dati utente - Proprietà del dato salvato in cloud - Fog Computing - Access Control - Monitoring - Shared Responsabilità - Cyber Attacks - Lock-In & Portability - Incident Management & Risk of Data Loss

1. La sicurezza nell’era del Cloud
Stefano Dindo
CEO zero12 s.r.l.
@stefanodindo

2. “Learn quickly
&
Think Well!”
www.zero12.it
@zero12srl

3. Cosa si intende per
sicurezza?

4. “Conoscenza che l'evoluzione
di un sistema non produrrà
stati indesiderati”

5. Come ottenere la sicurezza in
Cloud?

6. Aspetti Tecnici Aspetti Legali
Sicurezza in Cloud

7. Capitolo 1
Tematiche tecniche sicurezza in Cloud

8. Shared Responsability
Ownership of customer data
Deletion of customer data
Fog Computing
Access Control
Monitoring
Incident Management
& Risk of Data Loss
Lock-In & Portability
Cyber Attacks

9. Capitolo 2
Shared Responsability

10. Shared Responsability - Infrastruttura as a Services

11. Shared Responsability - Container Services

12. • Infrastruttura fisica
• Sicurezza fisica
• Storage
• Infrastruttura di rete
• Strato di virtualizzazione
• Gestione dei servizi
• Gestione dei servizi di IAM
• Configurazione VPC
e Sicurezza
• Firewall di Sistema
• Sistemi operativi
• Sicurezza Applicativa
• Configurazione dei servizi
• Gestione architettura
• Policy di accesso ai servizi
Si ottiene
un’architettura
molto più sicura e
affidabile rispetto
ad una soluzione
totalmente on-prem
Shared Responsability
+ =

13. Shared Responsability

14. Capitolo 3
Access Control

15. Account
Group:
Admins
Group:
Dev
Group:
Test
Std Rob
Dany
Mdt
Fra
Simo
Identity Access Management
Tracciare gli accessi all’IaaS

17. Utenti
Account Cloud Provider
IAM
Service
Cloud Trail
S3
CloudTrail Bucket
Cloud Trail
Role in account
Cloud Watch
AWS
Simple Notification Service
SNS
Notification

18. Security Broker
Security
Broker
1 Richiesta accesso
servizi cloud
2 Verifica Utente
e Ruoli e permessi
3 Creazione utente in cloud
4 Credenziali
tmp
5 invio credenziali
6 interrogazione servizio Cloud
7 terminato il TTL utente
viene rimosso dal Cloud
4.1 Associazione profilo tmp
all’utente richiedente

19. Capitolo 4
Incident Management
& Risk of Data Loss

20. << Everything Fails, all the time >>
Werner Vogels , CTO amazon.com

21. Distribuzione geografica

22. Risk of data loss
Time
Dati
Accessibile su S3
Processo
archiviazione su
Glacier
Richiesta
di restore
Oggetto rimarrà disponibile
per N ore
3-5h

23. Capitolo 5
Lock-In & Portability

24. Sviluppare a Moduli
Politiche di migrazione Solo Componenti “Standard”
TTL dei progetti

25. Capitolo 6
Architetture & Cyber Attack

26. DDoS Trends in 2014
Infrastructure Attack Application Attack
78% 22%
Source Arbor Networks

27. Syn Flood Attack
Connection
Table
Syn
Syn / Ack
Ack

28. Syn Flood Attack
Connection
Table
Syn
Syn / Ack
Syn
Syn / Ack
Syn
Syn / Ack
Syn
Syn / Ack
Syn
Syn / Ack
XFallimento

29. Distributed Reflection Denial of Service
Attacker
192.0.2.1
Victim
198.51.100.4
Reflectors ( NTP Server )
203.0.113.32
src= 198.51.100.4
dest=203.0.113.32
NTP
DNS
SNMP
SSDP

30. Come Mitigare i DDoS ?
Minimizzare aree di attacco
Rendere architettura scalabile
Identificare il normale comportamento
Creare architetture resiliente

31. MySQL
Web App
Server
Database
Server
tcp 80 - 443 tcp 8080
tcp 22
tcp 22
Frontend private network Backend private networkpublic subnet
NAT
ELB
Bastion Host
Minimizzare area di attacco

32. Web App
Server
Frontend private networkpublic subnet
ELB
Route53
CloudFront
- CDN -
Minimizzare area di attacco

33. Web App
Server
Frontend private networkpublic subnet
ELB
Minimizzare area di attacco
Route53
CloudFront
- CDN -

34. Conoscere il proprio traffico …
identificare comportamenti anomali
Anticipare l’uso di picchi di risorse
Permette di limitare sul nascere le anomali
Definire delle soglie per la segnalazione di allarmi

35. Pronti a Scalare …
Rendere difficile la vita agli “attaccanti”
Avere il tempo di pensare ed reagire all’attacco
Aumentare + / - risorse in base alle condizioni

36. MySQL
Autoscaling
WAF Worker
Database
Server
Frontend private network Backend private networkpublic subnet
ELB
Web Application Firewall
ELB
Web App
Autoscaling
Autoscaling
WAF Master
Customer profile
configuration
ELBAdmin
Web traffic

37. Capitolo 7
Sicurezza in ambito IoT

38. Broker
MQTT
Authentication
API
Business Logic
API
Data Analysis
API
Frontend
Applicativo
Database
Users
Things
Data Analysis
Data Operation
User Interaction
Authentication
Ipotesi architettura IoT

39. La sicurezza in ambito IoT
Things Cloud
• Sistemi di autenticazione basati su token
• Crittografia lato oggetto
• Comunicazione tramite canali sicuri
• Gestione delle politiche di accesso
alle risorse e funzioni dei servizi IoT
• Identificativo universale del device
• Shared responsabilità
• Architettura a livelli
• Identity Access Management
• Lock-in
• Cyber Attack
• Aspetti classici di sicurezza

40. GRAZIE !!!
Stefano Dindo
s.dindo@zero12.it
@stefanodindo