Cloud Computing og it-sikkerhed, del 1

Hvis du mangler en introduktion til hvad Cloud Computing egentlig er, så er dette i øjeblikket nok den bedste forklaring på Cloud Computing.

Forretningen vil de næste par år opdage, hvor økonomisk attraktivt Cloud Computing er. For at kunne vurdere hvordan Cloud Computing påvirker it-sikkerheden er det nødvendigt at forstå, i det mindste på højt niveau, hvad både Cloud Computing og hvad Cloud Security er.

Med en bedre forståelse er man i en bedre position til at beslutte hvilke data og hvilke processer man ønsker at flytte ud i Skyen .
Når man hurtigt og nøjagtigt kan klassificere en Cloud service model er det lettere at vurderer forskellige leverandører og det bliver lettere at beslutte hvilke krav til sikkerheden man bør stille.

Cloud Computing og de tre *aaS modeller

Selvom der endnu ikke findes en fast definition af Cloud Computing, er der to hovedpunkter der altid indgår i Cloud Computing løsninger:

Dynamiske ressourcer / elasticitet
Ressourcer udlejes og kunden kan hurtigt op- og nedskaleres, normalt uden større forhandling med leverandøren. I langt de fleste tilfælde kræver en opskalering bare online betaling med et kreditkort.

Offentlig forsyningsmodel for forbrug
Hardware og software ejes af Cloud leverandøren og deles mellem mange kunder. På samme måde som man i en husholdning kun betaler for det vand og den strøm husholdningen bruger, så betaler Cloud kunden kun for det antal timer kunden f.eks. bruger en CPU, den mængde udadgående trafik man generer, eller for det antal IP-adresser man tester. Når man ikke længere bruger en ressource betaler man ikke længere for den.

Det vil sige ...

Dvs. Cloud Computing er en form for outsourcing hvor man ikke investerer i egen infrastruktur, hardware eller software. Man får "alt hvad man kan spise, og betaler pr. mundfuld".

Hvis en organisation f.eks. normalt har behov for at opbevare 50 MB data, men i én måned om året skal håndtere 500 MB er det, hvis man kan gemme sin data i Skyen, ikke nødvendigt at skalerer løsningen til 500 MB. Man betaler for 50 MB i 11 måneder og for 500 MB i den sidste, derefter kan man gå direkte tilbage til 50 MB.

Men for at kunne vurdere sikkerheden i en Cloud løsning må man forstå hvordan den løsning man overvejer egentlig er organiseret.

De tre *aaS modeller

Der er 3 fundamentale modeller for at levere Cloud Service, modellerne bygger oven på hinanden :

Infrastruktur som en tjeneste (IaaS)
Platform som en tjenste (PaaS)
Software som en tjenste (SaaS)

Cloud Infrastruktur som en Tjeneste (IaaS)
IaaS leverandøren tilbyder kunderne netværk (routere, load balancing, firewalls, servere etc.), storage, regnekraft og andre fundamentale computer ressourcer.

IaaS kunden kontrollerer selv operativ systemer og hvilke applikationer der skal køre på de lejede infrastruktur komponenter. I nogle tilfælde har kunden dog også mulighed for selv at kontrollerer dele af infrastrukturen, f.eks. firewall-regler for egne systemer.

Cloud Platform som en tjeneste (PaaS)
PaaS leverandøren stiller infrastruktur og operativ systemer, typisk som Virtuelle Maskiner, til rådighed. Kunderne får derved mulighed for udvikle og/eller deploye egne applikationer på de lejede operativ systemer med tilhørende servere.

Kunden kontrollerer kun egne applikationer. I nogle tilfælde kan kunden dog også kontrollere (typisk begrænsede) dele af konfigurationen af infrastruktur og de operativ systemer kunden benytter.

Cloud Software som en Tjeneste (SaaS)
Her stiller Cloud leverandøren sine applikationer til rådighed for kunden. Applikationerne er normalt tilgængelige via tynde klienter, ofte webbrowsere og Cloud leverandøren kontrollerer infrastruktur, platform og applikationen.

Kunden har normalt ingen kontrol over de underliggende systemer, fra netværk over operativ system til applikationen. Der kan dog være begrænsede muligheder for bruger specifikke konfigurationer i applikationerne.

Der findes mange andre *aaS Cloud tjenester, men de er 'bare' undergrupper:

"Storage as a Service" er en undergruppe til Iaas (infrastruktur), "Database as as Service" er en undergruppe til PaaS (platform), "Security as a Service", f.eks. Sårbarhedsscanninger som en Tjeneste, er en undergruppe til SaaS (software).

Cloud Security
For at kunne vurdere sikkerheden i en Cloud løsning er det først og fremmest vigtigt af forstå forholdet - og afhængighederne - imellem de tre aaS modeller - IaaS, PaaS eller SaaS.

Tjenesterne bygger oven på hinanden, og jo længere nede tjenesten stopper, jo mere sikkerhedsansvar vil kunden, alt andet lige, selv være ansvarlig for at implementere og håndtere løbende.

Modsat kan det være svært for kunden at bygge ekstra sikkerhed ind i SaaS, hvis sikkerheden ikke er tilstrækkelig, da alle underliggende systemer styres af leverandøren.

Sky stabling
Nogle leverandører stabler skyer oven på skyer.
I nogle situationer kan en SaaS software leverandør f.eks. leje operativ systemer hos en Cloud leverandør, der selv er afhængig af infrastrukturen hos en - eller flere - infrastruktur leverandører.

Kompleksiteten og afhængigheder kan hurtigt øges betragteligt, hvis en enkelt af skyerne er nede kan alle kunder være nede.

Meget mere om Cloud Security på vej, her i bloggen og på CloudSecurity.dk.

Del to: Bliver jeg mere eller mindre sikker?