Cloud. Regie. Cases.

Transcriptie

1 Cloud. Regie. Cases.

2 Cloud security testen. Cloud is a security nightmare and it can't be handled in traditional ways. John Chambers - CEO Cisco Marinus Kuivenhoven Sr. Security Specialist 2

3 Waarom Cloud Security Testen? Security Nummer 1 reden om niet naar de cloud te gaan Verlies van controle Informatie, logica en middelen bij de provider IAM en auditing zijn in beheer van de provider Gebrek aan vertrouwen Vertrouwen is risico nemen Onafhankelijke gebruikers delen middelen 3

4 Verlies van controle Premise Hosted IaaS PaaS SaaS App App App App App VM VM VM Services Services Server Server Server Server Server Storage Storage Storage Storage Storage Network Network Network Network Network Zelf Samen Provider 4

5 Verlies van controle Eigen Huur Lease Taxi OV Bediening Bediening Bediening Bediening Bediening Route Route Route Route Route Voertuig Voertuig Voertuig Voertuig Voertuig Brandstof Brandstof Brandstof Brandstof Brandstof Belasting Belasting Belasting Belasting Belasting Zelf Samen Provider 5

6 Bedreigingen voor Lease/Taxi/OV Voertuig raakt beschadigd Voertuig wordt gestolen Rijbewijs is niet voorhanden Voertuig is defect Voertuig wordt gebruikt bij overval Voorziening is niet beschikbaar Roekeloos rijden Voertuig staat vast 6

7 CSA: Top 9 threats for cloud computing Data breaches. Data loss. Account Hijacking Insecure API s Malicious Insiders Abuse of Cloud services Insufficient Due Diligence Shared Technology Issues 7

8 Wat is security? Benodige maatregelen worden niet of niet correct gevraagd Gevoel Zekerheid Realiteit Cloud provider implementeerd de maatregelen niet of niet correct 8

9 Oorzaak onzekerheden in Cloud Wens (Flaws) Kunde Middelen Hergebruik Behoefte Bedenken Beschrijven Bouwen Beoordelen Benutten Bewerken / Beeidigen Onduidelijk Aannamen Ambiguteit Implementatie (Bugs) 9

10 Twee routes naar zekerheid Klopt mijn wens?, testen van de wens De bedreiging is bekend. - In kaart brengen welke risico s Prioriteren en bijpassende maatregelen Klopt mijn implementatie?, testen van de implementatie De oplossing is reeds gekozen. - Voldoet cloud-implementatie aan de flyer en mijn wens. - Adaptief testen en bijstellen van oplossing - Bepalen restrisico 10

11 Cloud Security Testing Portfolio Azure I Amazon EC2 I IBM I Google Apps I Rackspace VMWare Penetrationtest Vulnerability-test Manual Verification Automated 11

12 Factoren Boxbenadering: Black box Grey box White box Omgevingsverschillen: PaaS IaaS SaaS 12

13 Scope van Cloud Security Testing SaaS White PaaS IaaS Black Grey Automated Manual Verification Vulnerability-test pentest 13

14 Oorzaak onzekerheden in Cloud??? Kunde Zekerheid in Middelen de implementatie Hergebruik Behoefte Bedenken Beschrijven Bouwen Beoordelen Benutten Bewerken / Beeindigen Onduidelijk Zekerheid Aannamen in de specificatie Ambiguteit??? 14

15 Secure Cloud Development Lifecycle 1 Security Requirements 2 3 Abuse Cases Threat models Specificatie Implementatie 1 Configuratie & Code review 2 3 Cloud Security Testen Business Continuity Planning 15

16 Cloud Security Testing First time right Cloud Security Testing probeert de security problemen daar op te lossen waar zij ontstaan Opgedane cloud security ervaring Secure development van op cloud gebaseerde informatiesystemen Security assessment op een grote Windows Azure implementatie Security assessment op de overheidscloud provider DDoS resilence testing van een cloud provider 16