AKADEMİK BİLİŞİM 2013 Bulut Hesaplama Güvenliği: Genel Bir Bakış İlker Korkmaz, Fatih Tekbacak
SUNUM TASLAĞI Giriş Bulut Hesaplama Tanımı Bulut Hesaplama Ortamı Bulut Genel Yapısı Bulut Hesaplama Teknolojileri ve Uygulama Alanları Bulut Hesaplamada Güvenlik Unsuru Bulut Hesaplamada Güvenlik Teknolojileri Bulut Güvenliğinde Öne Çıkan Kavramlar Bulut Hesaplama Güvenliğine Farklı Açılardan Bakış Sistem Bakış Açısından Güvenlik Uygulama Geliştirici Bakış Açısından Güvenlik Kullanıcı Bakış Açısından Güvenlik Sonuç ve Öneriler 2
Giriş Son yıllarda sıkça duyulan bir teknoloji terimi: Bulut http://tr.wikipedia.org/w/index.php?title=dosya:cumulus_clouds_in_fair_weather.jpeg&filetimestamp=20050710001105 3
Bulut Hesaplama United States National Institute of Standards and Technologies (NIST) tarafından yapılan tanıma göre: Bulut hesaplama, dağıtık, kullanışlı ve ayarlanabilen hesaplama kaynaklarının içinde bulunduğu paylaşılabilir bir havuza yönelik taleplere cevap verecek olanakları sağlayan bir modeldir. 4
Bulut Hesaplama Ortamı Bulut Genel Yapısı Bulut Teknolojileri ve Uygulama Alanları 5
Bulut Genel Yapısı 6
Bulut Teknolojileri ve Uygulama Alanları Kavram: PaaS, IaaS, SaaS, (...)aas Teknoloji: Google App Engine, Heroku, Force.com, Windows Azure, Amazon Web Services, Dropbox, GoogleDrive, SkyDrive. 7
Bulut Hesaplamada Güvenlik Unsuru Bulut Hesaplamada Güvenlik Teknolojileri Bulut Güvenliğinde Öne Çıkan Kavramlar 8
Bulut Hesaplamada Güvenlik Unsuru Bulut güvenliği gereksinimlerinin başlıcaları veri gizliliği, veri bütünlüğü, kimlik doğrulama olup bunların yanı sıra kimlik yönetimi, erişilebilirlik, uygulama servisinin güvenliği, mahremiyet ve kanuna uygun unsurlar ek olarak öne çıkmaktadır. 9
Bulut Hesaplamada Güvenlik Teknolojileri AWS (Amazon Web Servisleri) Servis sağlama sürecinde politikalar tanımlar. FISMA HIPPA Servisleri kullanacakların kimlik belirlenmesi Kullanıcı kimlikleri, parolalar, Kerberos 10
Bulut Hesaplamada Güvenlik Teknolojileri Amazon EC2 (Amazon Esnek Hesaplama Bulutu) Sanal Donanım Donanım ortamlarını dağıtıklaştırmaktadır. Bir kullanıcı, örnek olarak oluşturduğu bir sanal makineyi Amazon Makine Görüntüsü üzerinde başlatabilir. Örneklerin gruplandırılması Hangi grubun diğer hangi gruplarla iletişim içerisinde olduğu ve internet üzerindeki hangi IP altağlarının bu gruplara erişebileceğinin tanımlanması 11
Bulut Güvenliğinde Öne Çıkan Kavramlar Güvenilir Hesaplama Tabanı (Trusted Computing Base - TCB) Bilgisayar sistemi içindeki koruma mekanizmalarının bileşimidir. Güvenilir Platform Modülü (Trusted Platform Module - TPM) Hesaplama için donanım tabanlı güven sağlayan bir standarttır. 12
Bulut Hesaplama Güvenliğine Farklı Açılardan Bakış Sistem Bakış Açısından Güvenlik Uygulama Geliştirici Bakış Açısından Güvenlik Kullanıcı Bakış Açısından Güvenlik 13
Bulut Hesaplama Güvenliğine Farklı Açılardan Bakış 14
Sistem Bakış Açısından Güvenlik 15
Uygulama Geliştirici Bakış Açısından Güvenlik 16
Kullanıcı Bakış Açısından Güvenlik 17
Sonuçlar ve Öneriler Sonuçlar: Bulut hesaplama ortamında güvenlik unsurları vurgulanmıştır. Farklı açılardan bulut hesaplama güvenliğine bakıldığında farklı aktörlerin birbirini tamamlayıcı görevleri değerlendirilmiştir. Tüm bulut sisteminin güvenlik yetkinliği, aktörler arasından en zayıf halka ile derecelendirilebilir. Bu bağlamda, güvenlik bilinci önem arz eder. Öneriler: Gelecek çalışmalara yönelik olarak, temsili bir bulut hesaplama sisteminde verilere ve ağa yönelik atak senaryoları hazırlanması, bu saldırılara karşı savunma mekanizmaları olarak kullanılabilecek güvenlik gereksinimlerinin tasarlanması ve uygulama testlerinin yapılarak sonuçların analiz edilmesi önerilmektedir. 18
Kaynaklar Mell, P. and Grance, T., "The NIST Definition of Cloud Computing". National Institute of Standards and Technology, Information Technology Laboratory. NIST SP 800-145. http://www.nist.gov/itl/cloud/upload/cloud-def-v15.pdf (2009). Pearson, S., "Privacy, Security and Trust in Cloud Computing". HP Laboratories. HPL-2012-80R1 (2012). Google App Engine, https://developers.google.com/appengine/ Engine Yard, http://www.engineyard.com/ Force.com, http://www.force.com/ Heroku, http://www.heroku.com/ VMware, http://www.vmware.com/ Amazon Web Services, http://aws.amazon.com/ Windows Azure, http://www.windowsazure.com/ GoogleDrive, https://drive.google.com/ SkyDrive, https://skydrive.live.com/ Dropbox, https://www.dropbox.com/ box, https://www.box.com/ White Paper, "Amazon Web Services: Overview of Security Processes", Amazon Web Services (AWS), May 2011. Amazon Elastic Compute Cloud (EC2), http://aws.amazon.com/ec2/ Cyber-Ark, http://www.cyber-ark.com/ Cloud Passage, http://www.cloudpassage.com/ Lieberman Software, http://www.liebsoft.com/ Krutz, R. L. and Vines, R., D., "Cloud Security: A Comprehensive Guide to Secure Cloud Computing", Wiley (2010). http://en.wikipedia.org/wiki/cloud_computing_security Korn, A., Peltz, C., Mowbray, M., "A Service Level Management Authority in the Cloud". HP Laboratories. HPL-2009-79 (2009). Microsoft SQL Azure Service Level Agreement, http://download.microsoft.com/download/b/0/9/b09851e2-6177-4a62-83ab- 3B591659CE1E/SQL%20Azure/SQL%20Azure%20SLA-English.doc 19
TEŞEKKÜRLER...