cloud security and risk management

دانشگاه صنعتی کارگاه امنیت داده در رایانش ابری۱۳۹۵ آبان ۲۰ و ۱۹شریف

قطب علمی رمز

کارگاه عملی امنیت داده و مدیریت مخاطرات

در رایانش ابریمرتضی سرگلزایی جوان

مسئول مرکز تحقیقات رایانش ابریموسس جامعه آزاد رایانش ابری ایران

www.msjavan.ir @msjavan_ir

نتیجه گیریمدیریت مخاطراتمقدمهامنیت داده در رایانش ابری

رمزگذاری جستجوپذیر متقارن

رمزگذاری جستجوپذیر نامتقارن

رمزگذاری تمام همریخت

برون سپاری امن پایگاه داده ورویکردهای تامین محرمانگی

وارسی صحت پاسخ پرسمان روی پایگاه داده

برون سپاری شده

روشهای ذخیره سازی داده های رمز شده غیر تکراری

در ابر

مروری بر محصوالت موجوددر زمینه برون سپاری امن

داده

امنیت داده و مدیریت مخاطرات

در رایانش ابری

مقدمهoمروری بر رایانش ابری با مثال های عملیoخدمات رایانش ابری در ایران

مدیریت مخاطراتoمفاهیم پایه و چهارچوب ارزیابیo)مطالعه موردی )کارگاه عملی

نتیجه گیریoبده بستان امنیت و کارآییo!نمایش نهایی

چشم انداز

55 / 2

امنیت داده در رایانش ابری

در ابر

داده

مقدمه

55 / 3

در ابر

داده

Emailمثال موردی :

55 / 4

در ابر

داده

Driveمثال موردی :

55 / 5

در ابر

داده

Officeمثال موردی :

55 / 6

در ابر

داده

taxonomy.occc.irزیست بوم رایانش ابری در ایران:

55 / 7

در ابر

داده

مدیریت رویدادها به صورت برخط

55 / 8

در ابر

داده

برگزاری کنفرانس و همایش به صورت برخط

55 / 9

در ابر

داده

کالس درس برخط

55 / 10

در ابر

داده

سیستم حسابداری شخصی

55 / 11

در ابر

داده

ارسال فکس برخط

55 / 12

در ابر

داده

ابزارهای توسعه همراه و تارنما

55 / 13

در ابر

داده

مزایای اتصال به شبکه رایانش ...

2020 تا درصد سازمان ها و 94

شرکت هابه زیرساخت های ابری متصل

می شوند کاهش هزینهمقیاس پذیری استقرار سریع تراجرا و نگهداری

بهترمصرف بهینه

منابع

98% 65% 95% 87% 55 / 14

در ابر

داده

مخاطرات استفاده از شبکه های مختلف چیست؟

شبکه تلفنشبکه آبشبکه برققطع شدن تلفنشنود مکالمات

قطع شدن آبسوراخ شدن لوله آب

استفاده غیر مجاز از انشعاب آبخشکسالی

قطع شدن برقاستفاده غیر مجاز از انشعاب برق

اختالل در تجهیزات کنترلی

55 / 15

در ابر

داده

سال آینده، استفاده از فناوری اطالعات 20 الی 15طی می شودفراگیر آنچنان

یک نیاز همگانی خواهد بود.شبکه رایانش که اتصال به

استفاده از شبکه های همگانی یک ضرورت است ... )مخاطرات امنیتی؟؟(

شبکه تلفنشبکه آبشبکه برق 55 / 16

در ابر

داده

آیا تا کنون با عدم دسترسی به یک خدمت مواجه شده اید؟

55 / 17

در ابر

داده

آیا با مشکل عدم اعتماد به گواهینامه یک منزلگاه اینترنتی مواجه شده اید؟

55 / 18

در ابر

داده

آیا تا کنون نگران حریم خصوصی خود در زمان ارایه اطالعات بوده اید؟

55 / 19

در ابر

داده

مدیریتf مخاطرات

تئوری و رمز)رمزنگاری متقارن، نامتقارن و ...(

مهندسی و شبکه)دیوار آتش، ضد ویروس و ...(

امنیت نرم)حریم خصوصی، اعتماد، شهرت، کالن داده و ...(

امنیت

55 / 20

وارسی صحت پاسخ پرسمان روی پایگاه داده برون سپاری

شده

در ابر

داده

ابعاد مخاطرات امنیتی )مثال(

نقض محرمانگی داده

از دسترس خارج شدن داده

نقض صحت داده

55 / 21

شده

در ابر

داده

نمایش

55 / 22

شده

در ابر

داده

رایانش ابری: صنعت همگانی پنجم ...

Application

Runtime / API

Middleware

Virtualization

Hypervisor

Networking

Storage

Server

Business / Process

DataData

55 / 23

شده

در ابر

داده

مثال:

Data Center5

Data Center4

Data Center2

Data Center7

Data Center1

Data Center3

Data Center6

55 / 24

شده

در ابر

داده

انواع داده: )ثابت / در حرکت / در حال استفاده(

DiskMemory

55 / 25

شده

در ابر

داده

مثال: )نقض محرمانگی و صحت(

55 / 26

شده

در ابر

داده

نقض صحت ونقض محرمانگی

55 / 27

شده

در ابر

داده

مثال: )نقض صحت(

55 / 28

شده

در ابر

داده

مثال: )نقض محرمانگی(

Decodeکدگشایی

55 / 29

شده

در ابر

داده

مثال: )نقض محرمانگی(

55 / 30

شده

در ابر

داده

مثال: )نقض دسترسی(

55 / 31

شده

در ابر

داده

55 / 32

شده

در ابر

داده

VDIمثال موردی:

55 / 33

شده

در ابر

داده

VDIمثال موردی:

55 / 34

شده

در ابر

داده

ISO/IEC 17789: 2014معماری مرجع رایانش ابری:

Cloud service partner (CSN)

CSN: Cloud

Auditor

CSN: Cloud

service developer

CSN: Cloud

service broker

Cloud service customer (CSC)

CSC: Service Administer

and Security

CSC: Cloud service user

CSC: Cloud service

business manager

CSC: Cloud service

integrator

Cloud service provider (CSP)

CSP: Cloud service

deployment manager

CSP: Cloud service

operations manager

CSP: Cloud service

manager

CSP: Cloud service

business manager

CSP: Inter-cloud

provider

CSP: Customer support and

care representative

CSP: Service security and risk manager

CSP: Network provider

CSN: Cloud

Auditor

CSP: Service Security and

Risk Manager

and Security

55 / 35

شده

در ابر

داده

نقش های امنیتی در معماری مرجع رایانش ابری: ISO/IEC 17789: 2014

CSN: Cloud

Auditor

CSP: Service Security and

Risk Manager

and Security

Compliance Control

Regulatory Control

Privacy Impact

Encryption

Data at rest / in motion

Integrity Backup & Recovery

Policies

Change Management Align Policies& SLA

Risk Management Hardening

Compliance Compatibility Business Continuity

Monitoring & Analysis Vulnerabilities

Tenant Isolation Personal & PhysicalSecurity

IntegrationPrivacy & PII

Authorization & Access Control

Network & Communication

Audit Interfaces

Assets and Inventory Path & Update Management

Authentication & Identity Management

CSC: Cloud Service

CustomerCSN:

Cloud Auditor

CSP: Cloud Service

Provider

55 / 36

شده

در ابر

داده

(2012مدیریت مخاطرات )گزارش نسخه از دست دادن کنترل(Loss of Governance)

کاربر داخلی بدخواه(Malicious Insider)

خطر تغییر حوزه قضایی(Change of jurisdiction)

شکست جداسازی(Isolation Failure)

حذف داده به صورت غیر امن(Insecure deletion of data)

احضاریه(Subpoena)

قفل شدن در فروشنده(Vendor Lock-in)

تحلیل دارایی ها•تحلیل مخاطرات•ارایه راهکار•

55 / 37

شده

در ابر

داده

پیغام رسانیتحلیل موردی مخاطرات خدمتo قفل شدن در فروشنده(Vendor Lock-in)o( از دست دادن کنترلLoss of Governance)o( شکست زنجیره تامینSupply chain failure)o( شکست جداسازیIsolation Failure)o( کاربر داخلی بدخواهMalicious Insider)o( حمله منع خدمتDenial of Service)o( حذف داده به صورت غیر امنInsecure deletion of data)o( از دست دادن کلیدهای رمزنگاشتیLoss of Cryptographic Keys

کار عملی

55 / 38

شده

در ابر

داده

زما̂نی ̂که خد̂مت قا̂بل جابجا̂یی نبا̂شد و ̂یا امکان مهاجرت از یککارگزار به دیگری وجود نداشته باشد.

مثالی از مواردی که ریسکLock-in :پایین است o جابجایی خدمت در خدمات میزبانی / ترابرد بین اپراتورها

مثالی از مواردی که ریسکLock-in:باال است o / نرم افزارهای پیغام رسان / خدمت پست الکترونیکی

خدمت های سفارشی مدیریت محتوا

(Lock-inمخاطره قفل شدن در فروشنده )

1 2 3 4 5 6 7 8

55 / 39

شده

در ابر

داده

(Loss of Governanceمخاطره از دست دادن کنترل )

1 2 3 4 5 6 7 8

55 / 40

شده

در ابر

داده

زما̂نی پ̂یش ̂می آ̂ید ̂که امکان انجام بر̂خی از کار̂ها وجود نداشتهباشد و یا جلوی آن گرفته شود. خصوصا در نیازمندی های امنیتی.

:مثالoنداشتن کنترل بر روی محل دادهoعدم امکان بعضی از پیکربندی هاo اختالف نظر درHardeningo جلوگیری ازPortScano...

(Loss of Governanceمخاطره از دست دادن کنترل )

1 2 3 4 5 6 7 8

55 / 41

شده

در ابر

داده

زمانی پیش می آید که بخشی از فرآیند یک زنجیره تامین بصورتابری انجام شود و در صورت نقص در ارایه خدمت / نقض

محرمانگی و ... ، زنجیره به خطر بیفتد.

:مثالo ارسال/دریافت نیازمندی ها از طریق فکس

جهت تایید سفارش و ارسال آنoسفارش تاکسی / پیک بصورت ابری

(Supply chain failureمخاطره شکست در زنجیره تامین )

1 2 3 4 5 6 7 8

55 / 42

شده

در ابر

داده

ع / داده مستاجر ه منا̂ب ̂ب د ̂که ̂یک م̂ستاجر اتفاق ̂می اف̂ت زما̂نی کند. پیدا دس^^^^^^^^^^ترسی دیگ^^^^^^^^^^ر

)در نتیجه پیکربندی های اشتباه یا آسیب پذیری امنیتی(

:مثالoSQL InjectionoSpammingoFiltering

(Isolation Failureمخاطره شکست جداسازی )

1 2 3 4 5 6 7 8

55 / 43

شده

در ابر

داده

از ابری، کارگزار داخلی کارمندان ه ̂ک د اف̂ت ی ̂م اتفاق ی زما̂ندسترسی های خود سوء استفاده کنند.

:مثالoکپی اطالعاتoتغییر اطالعاتoحذف اطالعاتoافشای کلمه عبور

(Malicious Insiderمخاطره کاربر داخلی بدخواه )

1 2 3 4 5 6 7 8

55 / 44

شده

در ابر

داده

زما̂نی اتفاق ̂می اف̂تد ̂که داده ̂ها ̂به طور کا̂مل حذف نشوند وامکان بازیا̂بی آن̂ها وجود داش̂ته باشد. )نظ̂یر حذف منطقی، حذف

از روی دیسک، حذف کپی پشتیبان(

:مثالoدرخواست حذف ماشین مجازیoدرخواست حذف فایلo... / درخواست حذف ایمیل / فکسoجابجا شدن منابع در نتیجه مقیاس پذیری خدمت

Insecureمخاطره حذف داده به صورت غیر امن )deletion of data)

1 2 3 4 5 6 7 8

55 / 45

شده

در ابر

داده

(DOSمخاطره حمالت منع خدمت )

1 2 3 4 5 6 7 8

55 / 46

شده

در ابر

داده

.زمانی اتفاق می افتد که سامانه اشباع شود )نتواند پاسخگو باشد(

:مثالoبوق اشغال برای دریافت فکس ابریoقطع شدن خدمت بخاطر ترافیک باال

(DOSمخاطره حمالت منع خدمت )

1 2 3 4 5 6 7 8

55 / 47

شده

در ابر

داده

Loss of)مخاطره از دست رفتن کلیدهای رمزنگاشتی Cryptographic Keys)

زما̂نی اتفاق ̂می اف̂تد ̂که کاربر کل̂ید د̂سترسی ̂به خد̂مت را گمک̂ند ̂یا کل̂ید اف̂شا شود ̂که با̂عث از د̂ست رف̂تن خد̂مت ̂یا داده می

شود و صدمات مالی در بر دارد.

:مثالo کلید هایSSLoکلیدهای رمزنگاشتی فایلoکلیدهای دسترسی به ماشینoفراموشی رمز عبور

1 2 3 4 5 6 7 8

55 / 48

شده

در ابر

داده

مثالی از تحلیل مخاطرات در سرویس های ابری

( در سه جامعه فکس ابری بررسی موردی (کاربری

Vendor Lock in

Loss of Governance

Supply chain failure

Isolation Failure

Malicious Insider

Data leakage

Insecure deletion of data

Denial of Service (DOS)

Min Avg Max

Vendor Lock

Loss of G

overnan

Supply c

hain fa

Isolati

on Failu

Malicious In

Data le

Insecure deletion of data

Denial of S

ervice (D

OS)0.00

ZoCCcoCCcIoCCcAverage

Level of risk = f (severity , likelihood)

55 / 49

شده

در ابر

داده

PII : Personally Identifiable InformationPIA: Privacy Impact Assessment (Tools)

مدیریت مخاطرات حریم خصوصی

55 / 50

در ابر

داده

جمع بندی

بده بستان کارآیی و امنیتنمایش نهایی!

55 / 51

شده

در ابر

داده

بده بستان کارآیی و امنیت

55 / 52

شده

در ابر

داده

بده بستان کارآیی و امنیت

پرسمان برروی داده های

رمز شده

پرسمان برروی داده های

اصلی )غیررمز(

Select * from table_cipher

Select * from table_plain

55 / 53

شده

در ابر

داده

نمایش

55 / 54

در ابر

داده

با تشکر از توجه شما

55 / 55

cloud security and risk management

Technology

cloud-client security – the smart protection...

cloud security certification - certified cloud security

enhancing security in federated cloud environment using the...

cloud, risk and security dr. chris roberts - ncsc€¦ ·...

cloud security, risk and compliance on aws

it security risk management model for cloud computing · pdf...

itsm.60.062 cloud security risk management · 2019. 3....

forebrook€¦ · forebrook information security...

professional cloud security manager - wiselearner.com cloud...

course syllabus: cloud security - afralti · independent...

mitigating security risk in the cloud -...

risk management & cloud security - bkd · risk management &...

cloud computing security risk assessment[1]

security, privacy and risk standards of operating in the...

risk and resilience controllability- observability in...

oracle oracl cloud ebook intelligent, automated security...

enterprise cloud risk and security

risk management & cloud security - isaca kc...

demystifying cloud security - suneratech.com ·...

private & hybrid cloud: risk, security and audit · private...