Policy-Framework (PFW) - Eine Methode zur Umsetzung von Sicherheits-Policies im Cloud-Computing

Transkript

1 Policy-Framework (PFW) - Eine Methode zur Umsetzung von Sicherheits-Policies im Cloud-Computing Alexander Blehm, Volha Kalach, Alexander Kicherer, Gustav Murawski, Tim Waizenegger, Matthias Wieland CloudCycle'14 Workshop auf der INFORMATIK 2014

2 Agenda 1. Einführung 2. Beispielszenario: Moodle mit Passwort-Policy 3. Prototypisch umgesetzte Policies im Policy-Framework > Region-Policy > Passwort-Policy > Verschlüsselungs-Policy > Green-Policy 4. Methode zur Integration von Policies in Cloud-Dienste 5. Evaluation 6. Zusammenfassung und Ausblick Folie 2

3 1. Einführung Policies im Policy-Framework sind Sicherheitsrichtlinien oder im Allgemeinen nichtfunktionale Anforderungen beim Betrieb von Cloud-Diensten. Cloud-Dienste basieren auf dem TOSCA Standard Syntax und die Struktur einer Policy werden durch den TOSCA-Standard beschrieben Policy kann an einen Cloud-Dienst annotiert werden, d.h. es sollen Anforderungen an den Dienst gestellt werden Erweiterung der OpenTOSCA Laufzeitumgebung um Policies durch das Policy-Framework Folie 3

4 Anforderungen an das Policy-Framework Wie können Policies von Cloud-Diensten genutzt werden? Wie kann man Policies wiederverwendbar in einer Cloud- Umgebung für mehrere Cloud-Dienste bereitstellen? Kann eine allgemeine Methode für die Umsetzung von Policies definiert werden, um einfach neue Policies zu erstellen? Policythek als neue Komponente im OpenTOSCA Ecosystem Folie 4

5 2. Beispielszenario: Moodle mit Passwort-Policy Folie 5

6 Agenda 1. Einführung 2. Beispielszenario: Moodle mit Passwort-Policy 3. Prototypisch umgesetzte Policies im Policy-Framework > Region-Policy > Passwort-Policy > Verschlüsselungs-Policy > Green-Policy 4. Methode zur Integration von Policies in Cloud-Dienste 5. Evaluation 6. Zusammenfassung und Ausblick Folie 6

7 3. Umgesetzte Policies: Region-Policy Problemstellung: > Überschreiten geografischer Grenzen = Anderer Rechtsraum > Führt eventuell zu illegaler Datenhaltung Lösung: > Region-Policy lässt nur bestimmte Rechtsräume Deployment zu > Eine Datenbank definiert eine Whitelist für Städte/Orte/Länder > Deployment in einem Ort außerhalb der Whitelist wird abgebrochen Folie 7

8 Umgesetzte Policies: Passwort-Policy Problemstellung: > Instanziierung mehrerer Cloud-Dienste mit dem selben Passwort unsicher, da jeder Kunde dies kennt > Standard Passwörter oder andere unsichere Passwörter stellen eine Sicherheitsbedrohung dar Lösung: > Prüfung aller Eigenschaften im Cloud-Service mit dem Namen Passwort > Automatische Erzeugung neuer Passwörter einer geforderten Stärke und Eigenschaft > Sicherheitsstufe: Niedrig, Mittel, Hoch > Parameter: Länge, Sonderzeichen, Zahlen, u.a. > Eintragung der neuen Passwörter in die Instanzdaten Folie 8

9 Umgesetzte Policies: Verschlüsselungs-Policy Problemstellung: > Datendiebstahl trivial möglich > Z.B. das Kopieren eines Virtual Machine Images mit enthaltenen Daten auf einen USB-Stick Lösung: > Ein Script unterstützt das Verschlüsseln eines Ordners > Beim Herunterfahren einer VM wird der verschlüsselte Ordner unmounted und ist nicht mehr lesbar > Nur ein Mount-Plan kann ihn wieder entschlüsseln Folie 9

10 Umgesetzte Policies: Green-Policy Problemstellung: > Viele Server werden häufig nicht ausgelastet > Z.B. CPU Auslastung im Bereich von 0 bis 10 Prozent Lösung: > Jeder Cloud-Dienst, der eine Green-Policy annotiert, migriert mit dem Bedarf auf eine passende Instanz um: HIGH MIDDLE LOW CPU Auslastung > 95%? CPU Auslastung < 10%? Folie 10

11 Agenda 1. Einführung 2. Beispielszenario: Moodle mit Passwort-Policy 3. Prototypisch umgesetzte Policies im Policy-Framework > Region-Policy > Passwort-Policy > Verschlüsselungs-Policy > Green-Policy 4. Methode zur Integration von Policies in Cloud-Dienste 5. Evaluation 6. Zusammenfassung und Ausblick Folie 11

12 4. Methode zur Integration von Policies in Cloud-Dienste Cloud-Cycle Policy-Cycle Modellierung [pro Policy] Policythek vorhanden neu Vertrieb & Services Vorbereitung & Definition Betrieb Migration Implementierung P IA sonst Entsorgung Einbau Folie 12

13 Screenshot des Policythek Prototyps Folie 13

14 Agenda 1. Einführung 2. Beispielszenario: Moodle mit Passwort-Policy 3. Prototypisch umgesetzte Policies im Policy-Framework > Region-Policy > Passwort-Policy > Verschlüsselungs-Policy > Green-Policy 4. Methode zur Integration von Policies in Cloud-Dienste 5. Evaluation 6. Zusammenfassung und Ausblick Folie 14

15 5. Evaluation der Passwort- und Region-Policy Deployment-Dauer (Min.) 5 Testdurchläufe mit je 3 Varianten Folie 15

16 5. Evaluation der Verschlüsselungs-Policy Deployment-Dauer (Min.) 5 Testdurchläufe mit je 2 Varianten Folie 16

17 6. Zusammenfassung Policythek als neuen Bestandteil der OpenTOSCA Umgebung vorgestellt Policies zur Definition von Sicherheitsrichtlinien oder nichtfunktionalen Anforderungen an Cloud-Dienste Annotation von Policies an Cloud-Dienste oder deren Komponenten für deren Einsatz Realisierung von Policies als Webservices bieten wiederverwendbare Dienste für Cloud-Dienste Neue Policies können im Policy-Cycle schablonenartig angefertigt werden Jede Policy kann als eigenes CSAR-Paket in eine Cloud- Umgebung installiert werden Folie 17

18 Erweiterte OpenTOSCA Umgebung Kunde Cloud Service Ersteller Administrator Policy Ersteller Folie 18

19 8. Ausblick Standardisierte Policies für TOSCA-NodeTypes Policies als Standard in jeder TOSCA Laufzeitumgebung Der erste Schritt der Integrationsmethode würde entfallen > Installieren von Policy-Paketen in die Laufzeitumgebung > Automatische Verfügbarkeit in der Policythek Folie 19

20 Policy-Framework (PFW) - Eine Methode zur Umsetzung von Sicherheits-Policies im Cloud-Computing Alexander Blehm, Volha Kalach, Alexander Kicherer, Gustav Murawski, Tim Waizenegger, Matthias Wieland CloudCycle'14 Workshop auf der INFORMATIK 2014