XXXX年3月云安全联盟-化担忧为行动（PPT34页）

云安全化担忧为行动潘柱廷云安全联盟中国分会理事中国计算机学会理事启明星辰公司首席战略官2011年3月17日上海Copyright©2010CloudSecurityAlliance云：新时代的曙光•云–短期内过度宣传，长期看过于低估•计算成为了一种实用工具•改变一切：商业模式、风险投资、研究开发……Copyright©2010CloudSecurityAlliance什么是云计算？•计算成为了一种实用工具：计算的第三个时代来临•云的推动者•摩尔定律•超速连接•服务导向架构•供应商等级•主要特征•灵活，按需服务•多租户•计量服务云计算NIST工作定义可视化模式宽带网络快速灵活测量服务按需自助服务资源共享软件即服务（SaaS）平台即服务（PaaS）基础设施即服务（IaaS）共有私有混合社区基本特征交付方式配置模式Copyright©2010CloudSecurityAlliance42011-2014：混合企业enterpriseboundary共有云ExtendedVirtualDataCenter私有云用户云假定组织边界•应用程序传播•数据传播•用户传播•终端设备传播Copyright©2010CloudSecurityAlliance云形成的重要问题•数据拥有者和数据处理者之间的临界质量•匿名数据中心和设备地域•匿名供应商•瞬态供应商关系•用虚拟控制替代物理控制•身份管理变得非常重要•云会改变安全现状•重新回归安全生态系统Copyright©2010CloudSecurityAlliance当今重要的云安全问题主要威胁•恶意使用•数据丢失/数据泄漏•恶意业内人士•账户服务或流量劫持•共享技术潜在风险•不安全的API•未知风险预测Copyright©2010CloudSecurityAlliance恶意使用•攻击者使用云的理由与合法消费者相同——低成本进行巨量处理说明•密码破解、DDoS、恶意存取、垃圾邮件、c&c服务器、CAPTCHA破解等影响•现在在amazonaws.com中搜索MalwareDomainList.com，可获得21个结果•“过去三年中，ScanSafe记录了与amazonaws相关的80个恶意事件”–ScanSafe博客•Amazon的EC2出现了垃圾邮件和恶意软件的问题-Slashdot举例Copyright©2010CloudSecurityAlliance数据丢失/数据泄漏•由于不合适的访问控制或弱加密造成数据破解•因为多租户结构，不够安全的数据风险较高说明•数据完整性和保密性影响•喂，别碰我的云：可以查询第三方电脑云中的数据泄漏（UCSD/MIT）•研究详细技术，确保图像位于相同的物理硬件中，然后利用跨虚拟机攻击检查数据泄漏举例Copyright©2010CloudSecurityAlliance恶意业内人士•云供应商的员工可能滥用权力访问客户数据/功能•减少内部进程的可见性可能会妨碍探测这种违法行为说明•数据保密性和完整性•名誉损失•法律后果影响•根据Verizon的2010数据泄漏调查报告,48%的数据泄漏是业内人士造成的。在云计算环境下的情况可能更加严重。举例Copyright©2010CloudSecurityAlliance流量拦截或劫持•对客户或云进行流量拦截和/或改道发送•偷取凭证以窃取或控制账户信息/服务说明•数据保密性和完整性•声誉影响•资源恶意使用造成的后果（法律）影响•推特DNS账户盗用•ZeusbotnetC&C在AmazonEC2上的账户被盗用举例Copyright©2010CloudSecurityAlliance共享技术潜在风险•公共的硬件、运行系统、中间件、应用栈和网络组件可能有着潜在风险说明•成功使用可能影响多个用户影响•Cloudburst-KostyaKortchinksy(Blackhat2009)•在虚拟PCI显示卡VmwareSVGAII设备中确认的任意代码执行的潜在风险•VMwareWorkstation、VMwarePlayer、VMwareServer和VMwareESX中的脆弱部件举例Copyright©2010CloudSecurityAlliance不安全的API•API用于允许功能和数据访问，但其可能存在潜在风险或不当使用，让程序受到攻击说明•数据保密性和完整性•拒绝服务影响•P0wning可编程网络(Websense–AusCERT2009_•80%的测试应用程序没有使用API中的安全保护（例如不加密流量和基本验证）•经验证的CSRF、MITM和数据泄漏攻击举例Copyright©2010CloudSecurityAlliance未知风险预测•对安全控制的不确定性可能让顾客陷入不必要的风险。说明•可能因为云用户没有相关知识，造成重大的数据外泄。影响•Heartland支付系统“只愿意做最小的工作量并符合国家法律，而不会通知每一位客户他们的数据是否被盗取。”举例Copyright©2010CloudSecurityAlliance当今重要的云安全问题重要威胁•恶意使用•数据丢失/数据泄漏•恶意内部人员•账目服务或流量劫持•共享技术潜在威胁•不安全的API•未知风险预测更新信息•信任：缺少供应商透明度，影响管治、风险管理和符合性•数据：泄漏、丢失或存储在不利地域•不安全云软件•云服务的恶意使用•账目/服务劫持•恶意内部人员•特定云攻击Copyright©2010CloudSecurityAlliance未来的主要问题•全球范围内不兼容的法律和政策•非标准私有云和公有云•缺少持续性风险管理和符合性监控•不完整的身份管理•对安全事件的杂乱回应Copyright©2010CloudSecurityAlliance关于云安全联盟•全球性非盈利组织•超过17,000名个人用户，90个企业用户•打造最佳实践和一个值得信任的云生态系统•灵活的理念，应用研究的快速发展•GRC：与风险管理同步•参考模型：使用现有标准创建•身份：云经济运行的关键基础•一流的互用性•提倡审慎的公共政策“推进使用最佳实践以提供云计算的安全保证，对云计算使用进行培训，帮助保护所有其他形式的计算。”Copyright©2010CloudSecurityAllianceCSA的相关研究Copyright©2010CloudSecurityAllianceCSA指导研究指导100k下载：cloudsecurityalliance.org/guidance治理和企业风险管理法律和电子发现符合性和审计信息生命周期管理可移植性和互用性安全、商务、控制和运作复原数据中心运营事件反应、通知和整治应用程序安全加密和密钥管理身份和访问管理虚拟化云结构云运行云治理•保护云计算的流行的最佳实践•2009年12月发布的V2.1•计划于2011年第三季发布V3•wiki.cloudsecurityalliance.org/guidance请搜索云安全指南Copyright©2010CloudSecurityAlliance样本指导-治理•保证云安全性的最佳机会是在采购前——合同、SLA（服务等级协议）、结构•了解供应商的第三方，BCM/DR、财政可行性和员工审查•如可能，确认数据位置•计划供应商终端和资产收益•如可能，保留审计权利•将供应商节省开支重新投入尽职调查Copyright©2010CloudSecurityAlliance样本指导-运行•如可能，对数据进行加密，云供应商提供单独的密钥管理•改写安全软件开发生命周期•了解供应商的修正、供应与保护•记录、数据渗漏、精细客户分离•强化的虚拟机形象•评估供应商IdM整合，例如SAML、OpenIDCopyright©2010CloudSecurityAlliance云控制矩阵工具•通过指导进行控制•定等级应符合S-P-I的要求•客户vs供应商作用•映射为ISO27001、COBIT、PCI、HIPAA•帮助IT和IT审计员连接“云空隙”Copyright©2010CloudSecurityAlliance一致性评估倡议•提供研究工具和流程，进行云供应商共用评估•轻质“通用标准”概念•与控制矩阵相整合•2010年发布第1版本的CAI调查问卷，提出了约140个供应商问题以确认现在的安全控制或实践情况——用于评估现在的云供应商Copyright©2010CloudSecurityAlliance云审计•开放标准和API，自动生成安全断言•将数据采集改为数据分析•按照云供应商的规模要求提供审计和保证•将云控制矩阵用作控制命名空间•用于持续性云监控下的云指导A6：自动审计、断言、评估和保证APICopyright©2010CloudSecurityAllianceCSA和GRC栈•一套工具、最佳实践和适用技术•综合行业研究并简化云中的GRC•适用于云供应商、企业、解决方案供应商和审计/符合性•控制架构、调查问卷和持续性控制监控自动化控制要求供应商断言私有和公有云一致性评估倡议云控制矩阵Copyright©2010CloudSecurityAllianceCCSK–云安全知识证书•仅用于云安全的用户认证•CSA指导中的能力网络测试•价格为$295美元•正在开放培训课程Copyright©2010CloudSecurityAlliance可信任云计算计划•综合云安全参考结构•云中的安全和互操作身份•获得SaaS和PaaS以成为企业的“信赖者”•可扩展•为身份供应商列出责任•使用现有标准组建参考结构•身份管理最佳实践白皮书：Copyright©2010CloudSecurityAlliance安全即服务计划的需求•各种破坏性趋势（云、流动性、社会网络等）会向信息安全保障提供挑战•云提供计划让人重新考虑安全问题（经济、结构、提供服务方式等）•完成目标宣言的后半部分：“推进使用最佳实践以提供云计算的安全保证，对云计算使用进行培训，帮助保护所有其他形式的计算。”Copyright©2010CloudSecurityAlliance安全即服务范围•信息安全产业的再发明•安全即服务的定义•清晰指出安全即服务内的解决方案类别•采取安全即服务的指导•符合其它CSA研究•如同在第3版CSA指导中提出的第14个领域一样，开发可发行软件。Copyright©2010CloudSecurityAlliance云SIRT•云紧急反应的一致性调查•增强对事件的反应能力•标准流程•SIRT的补充性最佳实践•主办社区的云SIRTsCopyright©2010CloudSecurityAllianceCSA在做什么？GRC栈一致性评估倡议云控制矩阵云计算1.0版本的重要威胁云安全联盟制订2010年3月Copyright©2010CloudSecurityAlliance中国汉语CSA大中华区规划从地域上，推动最佳实践在中国、香港和台湾地区等的使用，在云计算环境下提供安全保障，并进行云计算使用培训，以帮助确保其它计算形式的安全。促进全球中文地区安全专业内的CSA计划CSAGCC.ORG使用本地化行业要求和业务案例，以推动全球CSA的发展。123Copyright©2010CloudSecurityAlliance当前工作组WG1Lihua,Bin,York,William,Jie1.LocalizationofofficiallyreleaseddocumentsbyCSA,includingCCM,TopThreats,D12IAM,etc.CSA发布的安全控制矩阵、云安全威胁、D12IAM，组织翻译WG2Lihua,Flier,Richard,Jenny2.SecuritycontrolsrecommendationtargetedtoprovidersandusersatmainlandChina,HK,TW