Cycle de conférences sur Cloud Computinget Virtualisation Cloud Computing et Sécurité Pascal Sauliere, Architecte, Microsoft France
Agenda Qu est-ce que le Cloud Computing? NIST Berkeley Sécurité dans le Cloud Généralités Cloud Security Alliance (CSA) EuropeanNetwork and Information Security Agency(ENISA) 2
QU EST-CE QUE LE CLOUD COMPUTING? 3
5 ème génération d architecture 2010 2000 1990 1980 Web Cloud SOA Client-Server 1970 Mainframe 4
Qu est-ce que le Cloud Computing? Deux références utiles : The NIST Definition of Cloud Computing (oct. 2009) Above the Clouds: A Berkeley View of Cloud Computing (fév. 2009) http://geekandpoke.typepad.com/ 5
Qu est-ce que le Cloud Computing? L ensemble des disciplines, technologies et modèles commerciaux utilisés pour délivrer des capacités informatiques (logiciel, plateformes, matériel) comme un service à la demande 5 caractéristiques 3 modèles de service 4 modèles de déploiement 6
5 Caractéristiques Libre service à la demande Accès réseau, clients variés Mise en commun des ressources (pooling) «Élasticité» rapide Service mesuré et facturation à l usage 7
3 modèles de service Software as a Service (SaaS) A construire soi-même Exemples BPOS, Google Apps, Salesforce.com... Platform as a Service (PaaS) Infrastructure as a Service (IaaS) Microsoft Azure, Force.com, Google App Engine Microsoft Azure, EC2, hébergeurs de systèmes, fournisseurs de machines virtuelles 8
4 modèles de déploiement PrivateCloud Propriété(ou location) de l entreprise Interne ou externe Par certains côtés, une évolution du travail du Jericho Forum Community Cloud Infrastructure partagée pour une communauté spécifique (un état ) Interne ou externe Public Cloud Infrastructure louée à n importe quelle catégorie d acheteur L infrastructure est la propriété du fournisseur Hybrid Cloud La composition de deux ou plus formes de Cloudsqui permettent la portabilité des données et des applications On ne crée pas un HybridCloud juste en fédérant les identités 9
Résuméde la vue du NIST 10
Cloud Computing et Sécurité Le Continuum du Cloud Computing BENEFICE DU CHOIX Sécurité de la Virtualisation et du Cloud Computing / Paris 11
Adoption du Cloud en France Largement associéàla virtualisation (92%), principalement de serveurs (88%) Projet qui doit être pilotépar la DSI (67%) Largement orienté vers les clouds privés (71%) Stratégique pour seulement 24 % des entreprises SaaS: Messagerie (54%), Finance et compta (26%), CRM Enquête : Pierre Audoin Consultants pour EMC, Vmware, Intel http://www.itrmanager.com/articles/103242/1re-enquete-cloud-computing-france-br-virtualisation-serveurs-cloud-prive.html 12
Adoption du Cloud en France Enquête : Pierre Audoin Consultants pour EMC, Vmware, Intel http://www.itrmanager.com/articles/103242/1re-enquete-cloud-computing-france-br-virtualisation-serveurs-cloud-prive.html 13
Cloud privéen tête Enquête : Pierre Audoin Consultants pour EMC, Vmware, Intel http://www.itrmanager.com/articles/103242/1re-enquete-cloud-computing-france-br-virtualisation-serveurs-cloud-prive.html 14
Freins àl adoption Enquête : Pierre Audoin Consultants pour EMC, Vmware, Intel http://www.itrmanager.com/articles/103242/1re-enquete-cloud-computing-france-br-virtualisation-serveurs-cloud-prive.html 15
CONSIDÉRATIONS GÉNÉRALES SUR LA SÉCURITÉ 16
Qui contrôle quoi? L entreprise a le contrôle Partage du contrôle avec le fournisseur Le fournisseur de service a le contrôle Informatique Hébergeur IaaS public PaaS public SaaS public Données Données Données Données Données Applications Applications Applications Applications Applications Machine Virtuelle Machine Virtuelle Machine Virtuelle Machine Virtuelle Machine Virtuelle Serveur Serveur Serveur Serveur Serveur Stockage Stockage Stockage Stockage Stockage Réseau Réseau Réseau Réseau Réseau Burton Group : Cloud Computing Security in the Enterprise Jul. 2009 17
Les préoccupations classiques du Cloud Mes données sont elles sûres dans le Cloud? Qui va avoir accès aux données? Aurai-je accès à mes données à n importe quel moment? Qu arrivera-t-il si nous arrêtons notre contrat? Puis-je être conforme aux lois et aux règlementations? Où sont stockées mes données? Qui gère les notifications de brèches de données personnelles? Pendant combien de temps mes données sont stockées? Comment sont gérées les réquisitions éventuelles? 18
Les avantages généraux en termes de sécurité Faire passer des données publiques ou non sensibles vers un Cloud externe réduit l exposition des données internes sensibles L homogénéitédu Cloud simplifie l audit et les tests de sécurité Les Cloudspermettent une gestion automatisée de la sécurité Disponibilité: redondance, récupération en cas de désastre 19
Défis sécuritédu Cloud (1/2) Dispersion des données et lois internationales relatives au respect de la vie privée Directive Européenne de protection des données et programme U.S. Safe Harbor Exposition des données aux gouvernements étrangers ; obéissance àune ordonnance du tribunal, citation et mandat de perquisition Problèmes de rétention des données Besoin de gestion de l isolation Multi-location Défis de la journalisation Problèmes de propriété de données Garanties de qualité de service 20
Défis sécuritédu Cloud (2/2) Dépendance d hyperviseurs sécurisés Attraction des hackers (cible intéressante) Sécuritédes OS virtuels dans le Cloud Possibilité d interruptions massives de service Besoins de chiffrement pour la sécuritédans le Cloud Chiffrement de l accès àl interface de contrôle d accès aux ressources du Cloud Chiffrement des accès administratifs aux instances d OS Chiffrement de l accès aux applications Chiffrement des données stockées des applications Sécurité Public Cloud versus sécurité Internal Cloud Manque de dispositif public de contrôle de version des versions du SaaS 21
Quelques problèmes complémentaires Problèmes lors du déplacement de données sensibles ou relatives àla vie privée vers le Cloud Evaluation de l impact en termes de respect de la vie privée Utilisation de SLA pour obtenir la sécurité du Cloud Suggestion de critères requis pour les SLA du Cloud Problèmes avec les analyses forensic dans le Cloud Plan de contingence et récupération en cas de désastre pour des implémentations Cloud Gestion de la conformité FISMA HIPAA SOX PCI Audits SAS 70 22
Pour résumer Dispersion des données, stockage à l étranger Conformité Multi-location, isolation Perte de contrôle Exposition aux risques Protection des données 23
Cloud Security Alliance http://cloudsecurityalliance.org/ Conseils de sécuritépour les principaux points d intérêt du cloud computing Principales menaces sur le cloud computing(avec HP) 24
13 domaines d intérêt selon CSA Section I. Cloud Architecture Domain 1: Cloud Computing Architectural Framework Section II. Governing in the Cloud Domain 2: Governance and Enterprise Risk Management Domain 3: Legal and Electronic Discovery Domain 4: Compliance and Audit Domain 5: Information Lifecycle Management Domain 6: Portability and Interoperability Section III. Operating in the Cloud Domain 7: Traditional Security, Business Continuity, and Disaster Recovery Domain 8: Data Center Operations Domain 9: Incident Response, Notification, and Remediation Domain 10: Application Security Domain 11: Encryption and Key Management Domain 12: Identity and Access Management Domain 13: Virtualization 25
Principales menaces selon CSA/HP Abus et utilisation malveillante du cloud computing Interfaces et API non sécurisés Malveillances internes Problèmes dus au partage de technologie Perte ou fuite de données Détournement de compte ou de service Profil de risque inconnu 26
ENISA: Cloud ComputingRisk Assessment European Network and Information Security Agency 35 risques identifiés Risques politiques et organisationnels Risques techniques Risques juridiques Risques non spécifiques au cloud 27
Risques les plus élevés selon l ENISA Enfermement dans une solution Perte de gouvernance, de contrôle impossibilitéde se conformer à des exigences de sécurité Défis de la conformité Échec de l isolation (multi-location) Ordonnance de tribunal, citation, mandat de perquisition, saisie par le gouvernement local Changement de juridictions (manque de transparence) Protection des données Réseau (congestion, utilisation non optimale ) 28
Cloud Virtualisation, mais Dans certains cas (IaaS), les risques de la virtualisation s appliquent pleinement : Isolation Gestion des mises àjour Réseau Multi-location 29
Implications techniques sur l architecture Fournisseurs : IDS, systèmes d analyse comportementale réseau, avertissement de DDoS Chiffrement des données en transit à tous les niveaux Chiffrement au niveau du stockage Défi de la gestion des clés Contrôle d accès Gestion d identité, fédération d identité, «identityclouds», SAML Sécurité applicative 30
Conclusion Avantages certains Risques juridiques importants Importance des contrats (enfermement, juridiction ) Risques techniques classiques Surveiller les travaux de CSA, NIST, ENISA CSA Control Matrix(CM) 31
Références Berkeley: http://berkeleyclouds.blogspot.com/ NIST: http://csrc.nist.gov/groups/sns/cloud-computing/ ENISA: http://www.enisa.europa.eu/act/rm/files/deliverables/cl oud-computing-risk-assessment CSA: http://cloudsecurityalliance.org/ 32
Références http://www.microsoft.com/france/securite/guidesconseils/cloud.aspx http://asert.arbornetworks.com/2010/04/why-hackers-lovethe-cloud/ http://www.itrmanager.com/articles/103242/1re-enquetecloud-computing-france-br-virtualisation-serveurs-cloudprive.html http://cloudsecurity.org/ http://cloudaudit.org/ http://www.forrester.com/cloudprivacyheatmap http://www.trusted-cloud.com/ 33
Offres Microsoft http://www.microsoft.com/cloud http://www.microsoft.com/windowsazure http://www.microsoft.com/bpos http://www.microsoft.com/privatecloud 34