Informática en nube: El primer viaje a la nube

Lo que el primer proyecto de línea de negocio a la nube requiere una serie de puntos de decisión crítica, incluyendo cambios de personal y procesos.

Dan Griffin y Tom Jones

El modelo financiero para la nube informática parece una opción irresistible para hacer frente a las presiones presupuestarias. Después de consumir servicios, usted está facturado mensualmente. Así que los servicios de computación nube se consideran un gasto operacional, no un gasto de capital.

Puede reducir la sobrecarga al consolidar recursos en grandes centros de datos compartida. Esto crea eficiencias de consumo personal y alimentación. Puede escalar su uso del servicio hacia arriba o hacia abajo como necesite: no hay exceso de capacidad y no pierden oportunidad.

Por último, hay varias formas que ampliamente implementadas aplicaciones basados en cloud pueden soportar sus necesidades de negocio. Puede preparar y representan una fuerza laboral cada vez más móvil, una variada colección de asociados de negocios y una cadena de suministro en todo el mundo.

Mientras que los beneficios de costo y colaboración pueden ser evidentes, el camino a la nube no es sin sus baches, muchas de las cuales están ocultas. Tendrás a capacitar a su personal de TI, crear procesos de operaciones y demanda nueva y actualizar las políticas de seguridad y cumplimiento de normas de datos. Afortunadamente, puede enfrentar estos desafíos de manera sistemática. Aquí está una mirada a los puntos de decisión importante que una organización típica se enfrentará en la toma de su primer proyecto de línea de negocio (LOB) a un proveedor de nube basada en Internet.

Comenzar

Los gerentes de negocios siempre están buscando aplicaciones para ayudarles a ejecutar sus negocios de manera más eficiente, ya sea para analizar datos de decisión más rápido hacer o conseguir una mayor visibilidad en las operaciones del negocio. Y si esas capacidades provienen de aplicaciones personalizadas o comerciales, la carga es que ofrecer y operar un conjunto cada vez mayor de servicios bajo la presión continua de presupuesto.

Cuando una aplicación empresarial es completamente independiente con el no cumplimiento de normas o restricciones de seguridad, se ha simplificado enormemente el examen para cloud hosting a costo de implementación y operación. La mayoría de las aplicaciones de negocio requerirá un análisis más cuidadoso de riesgos y beneficios antes de decidir cómo administrar nube de alojamiento:

1. Autenticación para tanto público y privado (empresas) usuarios.
2. Amenazas de seguridad y su eliminación cuando se utiliza la nube pública.
3. Las reglamentaciones y cómo les simplifique con la arquitectura adecuada.

Las dos primeras consideraciones tienen soluciones comunes para la mayoría de las implementaciones. Para cumplir las regulaciones dependen de la ubicación y el tipo de datos a ser manipulados por la app. Las cuestiones de cumplimiento importante — aproximadamente en orden de mayor a menor complejidad, son:

1. Reglamentos de Gobierno prohibía que cruzan fronteras internacionales secretos personales o nacionales.
2. Información de salud protegida por HIPAA o normas similares.
3. Robo de identidad, en particular versión de acceso a cuentas financieras.
4. Divulgación pública de un usuario personalmente identificable información (IPI).
5. Requisitos internos para el manejo de datos confidenciales de la empresa.

Problemas de autenticación

Algunos usuarios del servicio de nube no será parte de un directorio corporativo como Microsoft Active Directory. En ese caso, el servicio de nube necesita agregados usuarios desde proveedores de identidad diferente (PDI). Estos tendrán reglas potencialmente diferente acceso a los recursos de la nube.

Cuando hay tanto público y privado (dentro de la empresa) usuarios, aplicaciones de nube requerirá acceso a los datos de acceso y política. Por lo tanto, podría implementar convenientemente esos datos a la nube. Este tipo de implementación permitirá acceso desde cualquier tipo de dispositivo, incluso si dicho dispositivo no forma parte del directorio del empresa.

Probablemente usted acabará moviendo datos antiguos en la nueva base de datos para alojamiento de nube, pero manejar la asignación de esquema y migración de datos debería ser no diferente a cualquier otra migración. Existen herramientas que facilitan el proceso de Federación de identidad. Sin embargo, también podría haber problemas de cumplimiento asociados a los datos en la base de datos o los recursos de la nube.

El servicio de Control de acceso de Windows Azure (AC) es un servicio conveniente nube que puede agregar a las reclamaciones de un servidor de servicios de Federación de Active Directory (ADFS) en locales y un IdP externo proporcionado por Windows Live, Facebook u otros sitios de redes sociales. Mediante servicios de cloud para identidad agregación le da que asistencia técnica para muchos lenguajes de programación y muchos desplazados internos existentes.

Utilizando AC, se pueden asignar fácilmente reclamos generados por ADFS, por ejemplo, a reclamaciones personalizadas para una aplicación determinada en - o desactivar-locales. Este enfoque reduce los costos de mantenimiento y complejidad de aplicación. AC también puede mediar en la relación de los usuarios en locales, nube recursos y usuarios que acceden a los datos de Internet (véase figura 1).

Figura 1 WindowsAzure servicio de Control de acceso puede mediar entre el local y nube recursos.

Amenazas de seguridad pública de nube

Algunas organizaciones pueden permitirse la misma masa crítica de lo personal, experiencia y procesos como los proveedores de infraestructura de gran nube. Y la experiencia ha demostrado que puede ejecutar algunas aplicaciones más segura en la nube que en locales.

Sin embargo, habrá nuevas amenazas introducidas como resultado de las conexiones de Internet públicas. Estos tipos de amenazas son introducidos por de-perimeterization de la red, por lo que necesitará abordarlos eventualmente de todos modos. Aún así, nuevas implementaciones de nube pública deben ser sujeta a la revisión de seguridad. Debe tomar en cuenta las siguientes consideraciones.

Dentro del dominio de la empresa, se permiten sólo los equipos Unidos a un dominio. Puede utilizar mecanismos de protección de acceso a redes (NAP) e IPsec para garantizar que todos los equipos son conocidos y administrado frente a las amenazas de seguridad. Sin embargo, también puede ampliar estos mecanismos en la nube.

Además, los servidores basados en cloud están cubiertos por acuerdos de nivel de servicio (SLA) que debe incluir una revisión de seguridad. Debe asegurarse de el tiempo de actividad, certificaciones de seguridad, privacidad y cumplimiento tratadas satisfactoriamente.

Éstos son algunos de los puntos de ataque específico que debe cubrir en el ámbito de una revisión de seguridad:

• Divulgación de información o ataques de denegación de servicio sobre tráfico público
• Hombre-in-the-middle suplantación de nube o en instalaciones de servidores
• Conexiones de secuestro existentes en la Internet pública
• Repetición de credenciales de nube

Estos tipos de ataques se han visto en las generaciones anteriores de servicios empresariales. Puede utilizar el flujo de datos para analizar amenazas introducidas cuando se utiliza una nube pública con servicios el locales (véase figura 2). Aquí están los tres tipos básicos de conexiones que vas a tener que analizar:

1. Ninguno de los dos finales de la conexión está en una ubicación de confianza. No hay manera para evaluar la conexión, por lo que cualquier reclamación de los desplazados internos en este ejemplo debe ser firmado el servicio para asegurar la integridad del mensaje.
2. Uno de los extremos de la conexión está en la nube. El otro está en un sitio de usuario no gestionado por la empresa. En este caso, puede proteger la conexión con un enlace SSL (TLS o HTTPS) donde se pueden proporcionar credenciales a extremos uno (o ambos) del enlace para garantizar cierto nivel de autenticación, así como la protección de datos mientras transitan por la nube. Sin una identidad comprobable en cada extremo, son posibles ataques man in the middle.
3. Ambos extremos de la conexión están en una ubicación de confianza. Porque la nube no esté bajo el control de la empresa, también es necesaria una identidad fuerte en ambos extremos. En este ejemplo, las conexiones SSL o IPsec (VPN) proporcionará las protecciones necesarias.

Figura 2 analizar las amenazas a sus datos de flujo antes de tomar acción.

Arquitecto para cumplimiento de normas

No puede determinar cómo cuentas clasificará a datos antes de que una aplicación está preparada para la implementación. Peor aún, podría cambiar la clasificación de datos, incluso después de implementa la aplicación. Auditores de cumplimiento prefieren llevar a cabo una auditoría de app terminado antes de que se implementa, pero que puede resultar caro.

En lugar de la celebración de una implementación esperando claridad, es más fácil establecer controles compensatorios para evitar problemas de cumplimiento. Estos métodos pueden ayudarle a evitar problemas de conformidad con las implementaciones de nube:

1. Garantizar una buena separación de control. Esto sugiere que cualquier proceso que se puede acceder a datos confidenciales no debe ser accesible a Internet también. Si algún proceso expuestos a Internet necesita los datos, intentar localizar los datos sensibles por separado de los datos no sensibles, incluso si están acceso a ellos por la misma clave.
2. Hacer seguro de protocolos de datos entre las aplicaciones que manejan datos sensibles y las apps público están diseñadas para no dar cabida a los datos confidenciales.
3. Utilizar el cifrado para proteger los datos confidenciales. Las claves de descifrado no deberían ser accesibles al público apps. Puede implementar las teclas sensibles y aplicaciones en la nube o en locales, pero nunca deben tener los mismos permisos de acceso que apps públicamente accesibles.

Cuando tienes información a los usuarios de la internet pública, separar el motor de cumplimiento que controlará todo el acceso a la aplicación LOB y auditoría busca datos confidenciales. Estos flujos de datos ilustran esa arquitectura (véase figura 3). Esto podría parecer complejo, pero hay sólo dos conceptos principales que necesita comprender sobre separación de control:

1. Puede agregar autenticación del usuario con una asignación de servicio como servicio de Windows Azure AC de reclamaciones. Esto recoge las credenciales de usuario de Active Directory federadas en locales y un IdP de la nube, tales como Windows Live o Facebook.
2. Separar los componentes de la aplicación LOB que manejan datos protegidos de los que no, así los esfuerzos de auditoría de cumplimiento de normas puede concentrarse en la ex.

Figura 3 cualquier cumplimiento comprueba deben tratarse independientemente de las aplicaciones de línea de negocio.

Ahora necesitará determinar donde podrá ubicar el motor de acceso de cumplimiento. Podría tener el motor de cumplimiento alojado en la nube de eficiencia operacional, o en locales para mejorar la seguridad. Tienes que proteger todas las conexiones que llevan los datos sensibles.

Nos hemos explorado cuatro soluciones aquí para pasar a la nube. Cada solución aborda las necesidades de aplicaciones específicas o vulnerabilidades. El primer paso es comprender qué datos vas a tener que exponer sobre la internet pública. Si eso es información confidencial, autenticación de usuarios es fundamental. Si no es así, entonces separar los datos y el control podría evitar los problemas de cumplimiento de normas. Una vez tomar estas decisiones, extraer un diagrama de flujo de datos preliminares y mirar los puntos de ataque. Tomados en conjunto, esta preparación debe dar la confianza necesaria hacer frente a un despliegue de la nube LOB.

Dan Griffin es el fundador de JW Secure Inc., una consultoría de seguridad de software con sede en Seattle. Seguirlo en Twitter en twitter.com/JWSdan.

 

Tom Jones es un arquitecto de software y autor especializado en seguridad, fiabilidad y facilidad de uso para soluciones en red financiera y otros críticos basados en cloud empresas. Sus innovaciones en seguridad abarcan una amplia gama de integridad obligatorio para cifrar los módems. Él puede ser contactado en tom@jwsecure.com.

Contenido relacionado

• Informática en nube: Lograr el Control en la nube híbrida
• Informática en nube: Preocupaciones de seguridad de nube virtual
• Informática en nube: Confiar la gestión de centros de datos virtuales