Многоуровневая безопасность платформы Windows Azure Владимир Юнев эксперт по стратегическим технологиям Microsoft Microsoft Secure Software Development Conference 2013

Подробно о защитеИтоги и ресурсы Быстрое введение в Windows Azure Аудит и соответствие Доверие и ответственность в облаке Угрозы и модель безопасности Windows Azure

3 Современная платформа для приложений всего мира

Вычислительные сервисы Windows Azure Каждый сервис может иметь ноль или более Тенантов (Tenants) (a.k.a. Deployments) Каждый тенант имеет от нуля и больше Ролей Каждая роль имеет от нуля и более экземпляров Учетные записи хранилища Подписки могут опционально иметь учетные записи хранилища Доступ к ним контролируется с помощью ключей. Любой тенант имеет доступ к любой учетной записи хранилища, если у него есть правильный ключ (даже к хранилищу другого клиента) Концептуально хранилище представляет собой надежную базу данных, но с иной более оптимизированной для асинхронного доступа распределенных процессов структурой Внутри хранилища находятся именованные объекты. Каждый объект может быть Контейнером, Таблицей или Очередью Каждая учетная запись хранилища имеет ассоциированный ключ - storage account key Клиент У каждого клиента есть подписка. Подписки – это единицы билинга Внутри подписки есть вычислительные сервисы, учетные записи хранилища и БД SQL Клиент контролирующий подписку может создавать и удалять вычислительные сервисы, учетные записи хранилища и БД SQL и элементы внутри них

Песочница Гипервизора & VM Каждый узел содержит Гипервизор, Host VM, и определенное число гостевых VM (Guest VM) Говоря технически…

Все гостевые VM получают доступ к сети или диску только посредством Host VM (через Гипервизор)

Портал SMAPI Fabric Controller Fabric Agent Guest Agent Админы Azure Админы клиента Обычные юзеры Серверный узел Host VM VM клиента Балансировщик Фильтр пакетов Приложение клиента Исходящий трафик в Интернет Браузер

Обеспечение облачной инфраструктуры Безопасность и соответствие Стандарты и Сертификации Дата-центры Проектирование, Постройка, Эксплуатация Глобальная емкость Модульная стратегия Инструменты и автоматизация Глобальная сетьОперационные центры MOC/Глобальная поддержка

Охлаждение Кондиционеры · Воздушное оборудование Операции Обслуживание · Мониторинг · Безопасность

Многоуровневая безопасность платформы Windows Azure Доверие и ответственность в Облаке Microsoft Secure Software Development Conference 2013

Безопасно ли Облако? В сохранности ли мои данные после размещения в облаке? Могу ли я доверять облачному провайдеру? Прошел ли провайдер сертификацию соответствия по безопасности? Ключевые вопросы CLOUDY WITH A CHANCE OF RAIN What is holding IT managers back (from going to the cloud) is fear about security. The Economist, March 5, 2010

On Premises Хранилище Сервера Сеть ОС Middleware Виртуализация Данные Приложения Среда исп. Клиентом Вендором Помещение Инфраструктура (как сервис) Помещение Платформа (как сервис) Помещение Приложение (как сервис) Помещение ОС Middleware Данные Приложения Среда исп. Хранилище Сервера Сеть Виртуализация ОС Middleware Данные Приложения Среда исп. Хранилище Сервера Сеть Виртуализация ОС Middleware Данные Приложения Среда исп. Хранилище Сервера Сеть Виртуализация

…наш клиент

Портал SMAPI Fabric Controller Fabric Agent Guest Agent Админы Azure Админы клиента Обычные юзеры Серверный узел Host VM VM клиента Балансировщик Фильтр пакетов Приложение клиента Исходящий трафик в Интернет Браузер

Клиенты могут использовать Azure для гнусных целей: Хакеры могут создавать учетные записи на базе украденных кредитных карт Эти учетные записи могут быть использованы для размещения мощных ботов Исходящие DoS-атаки Распространение спама Атаки SQL-инъекций Хостинг фишинговых веб-сайтов Публикация вредоносных приложений Публикация материалов защищенных авторским правом Наше пользовательское соглашение говорит, что мы не можем наблюдать за тем что делают клиенты Без проверки клиентов с нашей стороны, сторонние сервисы включат наши IP в черные списки Не существует стандартов по которым можно оценивать поведение

Многоуровневая безопасность платформы Windows Azure Угрозы и модель безопасности Windows Azure Microsoft Secure Software Development Conference 2013

Многоуровневая безопасность платформы Windows Azure Подробно о защите Microsoft Secure Software Development Conference 2013

Базовые сервисы Вычислительные мощностиХранилищеБазы данных

физическая безопасность

Безопасность сервиса начинается с дата-центра World-Class Security Тщательный мониторинг Защита от огня Безопасность периметра Мультифакторная аутентификация

Seattle, WA Sydney, AU Ashburn, VA São Paulo, BR San Antonio, TX Seoul, KR

Центр защищенный 24x7 Площадь в 700,000 квадратных футов Десятки тысяч серверов Резервного питания хватит на дни работы

сетевая безопасность

Worker role Web role

целостность хоста

защита данных

идентификация и доступ

Azure AD Cloud app Cloud app Cloud app

Azure AD Прил-е ISV Другие прил-я MSFT Ваше прил-е Office 365 Прил-е ISV

безопасность приложений

Валидация ввода Аутентификация Авторизация Управление конфигурациями Обращение с важными данными Управление сессиями Криптография Манипуляция параметрами Обработка исключений Аудит и логирование

Ведущий промышленный процесс обеспечения выпуска безопасного программного обеспечения Онлайн-сервисы обязаны соответствовать требованиям Расширено на инфраструктуру размещения Моделирование угроз Валидация использования допустимых инструментов, документации, паттернов и практик Работает для защиты наших пользователей… Уменьшает число уязвимостей, ограничивает последствия от эксплойтов

физическая безопасность сетевая безопасность целостность хоста безопасность приложений защита данныхидентификация и доступ

Является трудностью для построения решений по всему миру (не только в России) Клиенты должны самостоятельно построить решение с учетом того, что будет, а что не будет храниться в облаке В первую очередь, необходимо перенести данные не попадающие под понятие «персональных данных» В ряде случаев вы можете использовать шифрование или другие защитные механизмы

Многоуровневая безопасность платформы Windows Azure Аудит и соответствие Microsoft Secure Software Development Conference 2013

Role Windows Azure Storage

Infrastructure Asset Logs Firewall Logs Intrusion Prevention System Logs Network Device Logs Domain Controller Logs Security Server Logs Sensitive Information Server Logs User Logons Security policy configuration changes

Сегодня Скоро ISO/IEC 27001:2005 SSAE 16 (SOC 1 Type 2) EU-US Safe Harbour EU Model Clauses HIPAA BAA FISMA / FedRAMP…

Многоуровневая безопасность платформы Windows Azure Заключение и ресурсы Microsoft Secure Software Development Conference 2013

SECURITY RESPONSE CENTER SECURITY DEVELOPMENT LIFECYCLE SECURITY TECH CENTER SECURITY INTELLIGENCE REPORT MICROSOFT SECURITY UPDATE GUIDE SECURITY DEVELOPMENT CENTER END TO END TRUST MALWARE PROTECTION CENTER TRUSTWORTHY COMPUTING SECURITY BLOG /security/msrc /security/sir /sdl technet.microsoft.com /security /securityupdateguide msdn.microsoft.com /security /twc /endtoendtrust /security/portawww.microsoft.com /security/portal /about/twc/en/us/blogs.aspx

WindowsAzure.co m AzureHub.ru