8/13/2019 Segurana na Computao em Nuvem

1/8

SEGURANA NA COMPUTAO EM NUVEM

DANISH JAMILDepartamento de Engenharia de Computao , Universidade de Engenharia eTecnologia Sir Syed , Estrada Universitria Principal, Karachi, Sindh - 75300 ,

Paquisto

HASSAN ZAKIDepartamento de Engenharia de Computao , Universidade de Engenharia eTecnologia Sir Syed, Estrada Universitria Principal, Karachi, Sindh - 75300 ,

Paquisto

Resumo:No nenhum segredo que a computao em nuvem est se tornando cada vez maispopular e hoje cada vez maior em popularidade com grandes empresas como elescompartilham recursos valiosos de uma forma rentvel. Devido a esta crescentedemanda por mais nuvens h uma ameaa cada vez maior de segurana se tornandoum grande problema. Este papel deve procurar formas em que as ameaas segurana podem ser um perigo para a computao em nuvem e como eles podemser evitados.

Palavras chave - Cloud Computing, VPN, Segurana, Ameaas, Perigo, Valioso, eficaz

1 . INTRODUO

A computao em nuvem baseada na Internet onde os recursos compartilhados,software e informaes so fornecidos aos computadores e outros dispositivos on-demand. O pioneiro de fornecedores de computao em nuvem , Amazon SimpleStorage Service (S3) e Amazon Elastic Compute Cloud ( EC2 ) so exemplos bemconhecidos. Enquanto estes baseados na Internet on-lineservios no fornecem grandes quantidades de espao de armazenamento e recursosde computao personalizveis , essa mudana plataforma de computao , noentanto, est eliminando a responsabilidade de mquinas locais para a manutenode dados ao mesmo tempo. Como resultado , os usurios ficam merc de seusprovedores de servios em nuvem para a disponibilidade e integridade de suas

dados. O tempo de inatividade do S3 da Amazon um exemplo. [1]

Os trs aspectos principais da computao em nuvem so software como servio,plataforma como servio e infra-estrutura como um servio. Um provedor de SaaSnormalmente hospeda e gerencia um determinado aplicativo em seu prprio centro dedados e torna disponvel para vrios inquilinos e usurios pela web. Alguns provedoresde SaaS executado em PaaS de outro provedor de nuvem ou ofertas de servios deIaaS . Oracle CRM On Demand, Salesforce.com e Netsuite so alguns dos exemplosde SaaS bem conhecidos . Plataforma como Servio (PaaS) um desen volvimento

aplicativo e da plataforma de implantao fornecidos como um servio para osdesenvolvedores atravs da web. Ele facilita o desenvolvimento e implantao de

8/13/2019 Segurana na Computao em Nuvem

2/8

aplicativos sem o custo ea complexidade de comprar e gerenciar a infra-estruturasubjacente , fornecendo todos os equipamentos necessrios para suportar o ciclo devida completo de construir e entregar aplicativos web e servios totalmente disponveisna Internet. Esta plataforma consiste em software de infra-estrutura , e normalmenteinclui uma ferramenta de desenvolvimento de banco de dados , middleware e . Uma

arquitetura de grid computing virtualizados e agregados muitas vezes a base paraeste software de infra-estrutura . Algumas ofertas de PaaS tem uma linguagem deprogramao especfica ou API.

Por exemplo , o Google AppEngine uma oferta de PaaS , onde os desenvolvedoresescrever em Python ou Java. EngineYard Ruby on Rails. s vezes, provedores dePaaS tm linguagens proprietrias como force.com da Salesforce.com e Coghead ,agora propriedade da SAP. Infraestrutura como Servio ( IaaS) a entrega dehardware ( servidores, armazenamento e de rede), e associado software ( tecnologiade virtualizao de sistemas operacionais , sistema de arquivos) , como um servio. uma evoluo de hosting tradicionais, que no necessitam de qualquer compromisso alongo prazo e permite aos usurios provisionar recursos sob demanda. Ao contrriodos servios de PaaS , o provedor de IaaS faz muito pouco gesto diferente manter acentro operacional e os usurios de dados deve implantar e gerenciar os prpriosservios de software - apenas a forma como se estivessem em seu prprio centro dedados. Amazon Web Services Elastic Compute Cloud (EC2) e servio dearmazenamento seguro (S3) so exemplos de ofertas de IaaS . [2]

Ainda mais os tipos de nuvens mais populares so nuvens privadas , pblicas ehbridas. Em uma nuvem privada , a infra-estrutura para implementar a nuvem controlado totalmente pela empresa. Normalmente, as nuvens privadas so

implementadas no centro de dados da empresa e gerenciado por recursos internos.Uma nuvem privada mantm todos os dados corporativos em recursos sob o controledo guarda-chuva legal e contratual da organizao.

Isso elimina as preocupaes regulamentares, legais e de segurana associados coma informao a ser processada em recursos de terceiros de computao. Em umanuvem pblica, organizaes externas fornecer a infra-estrutura e de gestonecessrias para implementar a nuvem. As nuvens pblicas simplificam drasticamentesua implementao e normalmente so cobradas com base no uso.Isso transfere o custo de um investimento com uma despesa operacional erapidamente pode ser dimensionado para atender s necessidades da organizao.

Aplicaes temporrias ou aplicaes. Com o salto nas necessidades de recursostipicamente beneficiando a capacidade da nuvem pblica para agregar recursosquando necessrio e, em seguida, escal-los de volta quando eles no so maisnecessrios. Em uma nuvem privada, a empresa precisaria de fornecimento para opior caso em todos os aplicativos que compartilham a infra-estrutura. Isto pode resultarem desperdcio de recursos quando a utilizao no est no seu pico. [2]

1.1. AMEAAS DE SEGURANAA computao em nuvem e servios web so executados em uma estrutura de redeento eles esto abertos a ataques de rede. Um desses ataques o ataque distribudode negao de servio. Se um usurio pode sequestrar um servidor ento o hackerpoderia parar o funcionamento dos servios web e exigir um resgate para colocar os

servios de volta on-line. Para parar esses ataques o uso de cookies syn e a limitaode usurios ligados a um servidor ajudaria a parar um ataque DDOS. Outro ataque

8/13/2019 Segurana na Computao em Nuvem

3/8

desse tipo o ataque man in the middle. Se o Secure Sockets Layer (SSL) estconfigurado incorretamente ento a autenticao do cliente e do servidor no pode secomportar como se espera, portanto, o que conduz a ataques o man in the middle. [3]

Outro tipo de ataque o sniffing de rede. Com um packet sniffer um atacante podecapturar dados confidenciais no criptografados como senhas e outras configuraesde segurana relacionadas com o servio web como o UDDI (Universal DescriptionDiscovery and Integrity), SOAP (Simple Object Access Protocol) e arquivos WSDL(Web Service Description Language). Port scanning tambm outra ameaa que podeser usado por um invasor. A porta 80 est sempre aberta devido ao fato de ser a portaque o servidor web fica. No entanto, pode facilmente ser encriptada e contanto que osoftware do servidor esteja configurado corretamente, ento no deve haver nenhumainvaso. [4]

Outros ataques incluem SQL Injection, onde um hacker pode usar caracteresespeciais ou termos para devolver dados no intencionais, por exemplo, a seqnciade caracteres que pode acabar em uma clusula WHERE de uma instruo SQL pode

ser enganada e includas mais informaes. Por exemplo, um valor de parmetro de X' ou 1 = 1 pode fazer todo contedo de uma tabela ser devolvido, visto que 1 = 1 sempre visto como verdadeiro. Tambm cross site scripting, onde a insero decdigo em um campo ou uma URL em que executado entrega o controle ou dadossensveis para o atacante. Bem-sucedidos ataques de cross site scripting pode levar abuffer overflows, ataques DOS, insero de spyware e cdigos maliciosos nosnavegadores visitantes e violao da privacidade do usurio. [5]

Outros riscos marcados como de alto risco em segurana na nuvem so - PERDA DEGOVERNANA: no uso de infraestruturas de nuvem, o cliente necessariamente cedeo controle ao provedor de nuvem (CP) sobre uma srie de questes que podem afetara segurana. Ao mesmo tempo, os SLAs podem no oferecer um compromisso com a

prestao desses servios por parte do provedor de nuvem, deixando assim umabrecha nas defesas de segurana. [6]

LOCK-IN: atualmente h pouca oferta na forma de ferramentas, procedimentos eformatos de dados padro ou interfaces de servios que poderiam garantir dados,aplicaes e servios de portabilidade. Isso pode tornar mais difcil para o clientemigrar de um fornecedor para outro ou migrar dados e servios de volta para umambiente interno de TI. Isto introduz uma dependncia em um CP particular paraprestao de servios, especialmente se a portabilidade de dados, como o aspectomais fundamental, no est habilitada. [6]

PROTEO DE DADOS: a computao em nuvem apresenta diversos riscos de

proteo de dados para os clientes e fornecedores de nuvem. Em alguns casos, podeser difcil para o cliente (em seu papel como controlador de dados) verificarefetivamente as prticas de manipulao de dados do provedor e, assim, ter certezade que os dados so tratados de uma forma legal. Este problema agravado noscasos de mltiplas transferncias de dados, por exemplo, entre nuvens federadas. Poroutro lado, alguns provedores de nuvem fornecem informaes sobre suas prticas demanipulao de dados. Alguns tambm oferecem resumos de certificao em seuprocessamento de dados e atividades de segurana de dados e os controles de dadosque eles tm no lugar, por exemplo, de certificao SAS70. . [6]

EXCLUSO DE DADOS INSEGURA OU INCOMPLETA : quando um pedido paraapagar um recurso de nuvem feita , como a maioria dos sistemas operacionais, issopode no resultar em verdadeira limpeza dos dados. Excluso de dados adequada eoportuna tambm pode ser impossvel (ou indesejvel do ponto de vista do cliente), ou

8/13/2019 Segurana na Computao em Nuvem

4/8

porque cpias extras de dados so armazenados, mas no esto disponveis, ouporque o disco para ser destrudo tambm armazena dados de outros clientes. Nocaso de vrios arrendamento e a reutilizao de recursos de hardware, o querepresenta um maior risco para o cliente do que com hardware dedicado. [6]. Comovoc pode ver os ataques so muito semelhantes ao de uma rede padro. outrosataques que no podem ser especficos para a nuvem so a falta de autenticaofsica, como biometria e furto cartes. Configuraes incorretas tambm podemcontribuir para a perda de dados ou permitir que um hacker obtenha acesso. Outrospodem incluir software de sistema operacional no atualizados, o uso de software noconfivel e ferramentas dentro da nuvem. Um certo nmero de contramedidas devemser discutidas agora na prxima seo.

1.2. MEDIDAS DE SEGURANAPara ajudar a aumentar ainda mais a segurana dos usurios na nuvem, nuvensprivadas podem ser formadas. Um exemplo disso a Amazon Virtual Private Cloud(VPC). A idia de uma nuvem privada a de permitir que uma empresa para criar umaponte segura e transparente entre a estrutura de TI existente da empresa e da nuvem

AWS. Amazon VPC permite s empresas conectar sua infra-estrutura existente a umconjunto isolado de recursos AWS atravs de uma conexo de rede privada virtual(VPN), e estender suas capacidades de gesto existentes, tais como os servios desegurana, firewalls e sistemas de deteco de intruso para incluir seus recursosAWS . Como exemplo disto mostrado abaixo na figura 1 - [7]

Figura 1 - Mostra uma possvel VPN para ajudar a aumentar a segurana na nuvem.

Para garantir a estrutura que est a ser implementada, precisamos chegar a umprocesso de anlise de segurana. Isso ir incluir os tipos de ativos que devem serprotegidos a partir do ponto de vista da empresa, quais ameaas podem serexecutadas na empresa, que contramedidas podem ser postas em prtica para pararesses ataques caso ocorram. Ao lidar com ativos temos de ver quais ativos estamos

8/13/2019 Segurana na Computao em Nuvem

5/8

tentando proteger e quais propriedades desses ativos devem ser protegidas. Para lidarcom ameaas, devemos olhar para os tipos de ataques que podem ser lanadoscontra uma empresa com este tipo de estrutura. [8].Quando se trata do tema dos ativos de uma empresa , precisamos olhar para aspectoscomo os dados do cliente, aplicaes de clientes e dispositivos de computao. Issoincluiria confidencialidade, integridade e disponibilidade dos dados. Confidencialidadelida com o acesso no autorizado de dados, integridade lida com o confinamentoseguro dos dados e, naturalmente, a disponibilidade lidar com os dados que estodisponveis para o cliente o tempo todo. Tipos de ameaas incluem falhas nasegurana do provedor, ataques por um cliente ou um hacker, questes dedisponibilidade e confiabilidade. O cliente deve confiar no provedor de segurana,portanto, essencial que ela seja monitorada regularmente. [8 ]Ataques de cliente poderia ser recursos do provedor como o uso de CPU earmazenamento compartilhado com terceiros no confiveis. Dados e aplicativos dosclientes devem ser executados separadamente e no faz-lo pode afetar aconfidencialidade, integridade e princpios de disponibilidade (CIA). Para evitar isso,podemos usar as medidas j discutidas, como as VPNs e VLANs e criptografia forte

juntamente com segurana na camada de transporte. Ameaas que se enquadramsob questes de disponibilidade e confiabilidade so a causa do aumento das falhas,as nuvens so importantes alvos de ataque e a confiabilidade na internet s vezes no confivel. Para contrapor este planejamento para tempo de inatividade essencial,pois est usando nuvens pblicas para aplicaes no-essenciais. [8]. Outro mtodode segurana popular o hypervisor. O servio Web da Amazon faz uso dela em suanuvem. O Amazon EC2 atualmente utiliza uma verso altamente personalizada doXen hypervisor, aproveitando-se de paravirtualizao. Porque convidados virtualizadoscontam com o hypervisor para fornecer suporte para operaes que normalmenterequerem acesso privilegiado, possvel executar o sistema operacional convidado

sem acesso elevado ao CPU. Esta virtualizao explcita dos recursos fsicos leva auma separao clara entre o hspede e o hypervisor, resultando em forte separaode segurana entre os dois. [7].

Um firewall tambm essencial e os servios web da Amazon tambm recomendamum mtodo de implementao para isso. O Amazon EC2 fornece uma soluo defirewall completo, o firewall de entrada obrigatriamente configurado em um modopadro fechado e o cliente Amazon EC2 deve explicitamente abrir as portas parapermitir o trfego de entrada. O trfego pode ser restringido por protocolo, por porta deservio, bem como por endereo IP de origem (IP individual ou bloco CIDR). O firewallpode ser configurado em grupos, permitindo diferentes classes de instncias para terregras diferentes, por exemplo, o caso de uma aplicao web de trs camadastradicional. [7]. O grupo para os servidores web teria as portas 80 (HTTP) e 443(HTTPS) abertas para o mundo. O grupo para os servidores de aplicativos teria a porta8000 (aplicao especfica), acessvel apenas para o grupo de servidores web. Ogrupo para os servidores de banco de dados teria a porta 3306 (MySQL) abertaapenas para o grupo de servidores de aplicao. Todos os trs grupos permitiriam oacesso administrativo na porta 22 (SSH), mas somente a partir da rede corporativa docliente. Aplicaes de alta segurana podem ser implementados utilizando estemecanismo expressivo. O firewall controlado no pelo host / instncia prpria, masexige certificado X.509 do cliente e chave para autorizar alteraes, acrescentando

assim uma camada extra de segurana. [7]

8/13/2019 Segurana na Computao em Nuvem

6/8

Dentro do EC2, o administrador do host e o administrador da nuvem podem serpessoas diferentes, permitindo se equipar com duas polticas de segurana reforandocomo regra. Alm disso, a AWS incentiva os clientes a aplicar filtros por instnciaadicionais com firewalls baseados em host, como o iptables. Isso pode restringir otrfego de entrada e sada em cada instncia. O nvel de segurana proporcionada

pelo firewall em funo de quais portas esto abertas pelo cliente, e para quedurao e finalidade. O estado padro negar todo o trfego de entrada, e osdesenvolvedores devem planejar cuidadosamente o que eles vo abrir ao construir eproteger as suas aplicaes. Gesto do trfego bem informado e projetar a seguranaainda necessria em uma base por instncia. A figura do firewall pode ser vista nafigura 2 [7]

Figura 2 - mostra uma soluo de firewall de computao em nuvem em potencial.

1.3. VANTAGENS E DESVANTAGENS DA COMPUTAO EM NUVEM

Cloud computing , sem dvida, uma tecnologia fantstica e continua a crescer empopularidade e mais e mais empresas esto investindo em uma nuvem para a suaempresa. Cloud computing apresenta as organizaes de TI com um modelofundamentalmente diferente de operao, que aproveita a maturidade de aplicaesweb e redes ea interoperabilidade crescente de sistemas de computao para fornecerservios de TI. Os provedores de nuvem se especializam em aplicaes e servios

especficos, e esse conhecimento lhes permite gerir de forma eficiente atualizaes emanuteno, backups, recuperao de desastres, e as funes de failover. Como

8/13/2019 Segurana na Computao em Nuvem

7/8

resultado, os consumidores de servios em nuvem podem ver maior confiabilidade,assim como diminuir os custos devido s economias de escala e outros fatores deproduo. Outras vantagens incluem reduo de custos como os recursos socompartilhados e reutilizados dentro da nuvem. [9].

Por isso, justo dizer que os principais benefcios da computao em nuvem para aempresa so os seguintes:

Reduo do Custo

Tecnologia de nuvem pago de forma incremental, economizando organizaesdinheiro.

Aumento de Armazenamento

As organizaes podem armazenar mais dados do que em sistemas de computadorparticular.

Altamente Automatizado

No mais que o pessoal de TI precisa se preocupar em manter o software atualizado.

Flexibilidade

A computao em nuvem oferece muito mais flexibilidade do que os mtodos decomputao do passado.

Mais Mobilidade

Os funcionrios podem acessar as informaes onde quer que estejam, ao invs deter que permanecer em suas mesas.

Permite que a TI mude o foco

No mais se preocupar com atualizaes constantes do servidor e outras questes decomputao, administrao.

Organizaes estaro livres para concentrar-se na inovao. [10]

A tecnologia , naturalmente, no livre de falhas. Um dos principais problemas asegurana. Toda a informao vital armazenada em um servidor externo por umfornecedor externo. Como mencionado muitos ataques de rede simples podemtrabalhar nas nuvens da empresa. Teoricamente, os dados armazenados na nuvemso extraordinariamente seguros, replicado em vrias mquinas. Mas na chance deque seus dados vo faltar, voc no tem backup fsico ou local. Outra desvantagem que ela exige uma ligao constante. Uma vez que voc usa a Internet para seconectar a ambos os aplicativos e documentos, se voc no tem uma conexo com aInternet voc no pode acessar qualquer coisa, at mesmo os seus prpriosdocumentos . Isso certamente contar para a perda de negcios . Outra questo e adesvantagem a velocidade. Tudo sobre a nuvem, a partir da interface com o

documento atual, tem que ser enviado para trs e para a frente do seu computadorpara os computadores na nuvem. Problemas de latncia e desempenho so comuns

8/13/2019 Segurana na Computao em Nuvem

8/8

nas nuvens e para desempenhar adequadamente , exigem uma conexo de altavelocidade. Claro que fatores geogrficos e similares vai entrar em jogo . [11 ]