Aumente a segurança na nuvem com a delegação de privilégios

Neste artigo, o autor aborda a necessidade que impulsiona a migração de datacenters para a nuvem, fornece detalhes sobre o papel da virtualização em infraestruturas de nuvem pública e privada, e descreve as implicações para segurança e conformidade da computação em nuvem, fornecendo insight sobre a proteção de dados confidenciais na nuvem por meio de "acesso administrativo" e "delegação privilegiada".

Jim Zierick, Executive Vice President, BeyondTrust Software

Jim Zierick tem mais de 25 anos de experiência corporativa no desenvolvimento de empresas de tecnologia em operações e vendas para a BeyondTrust. Ele é responsável por dirigir iniciativas globais da empresa para impulsionar o crescimento de produtos e a liderança em ideias técnicas no mercado de gerenciamento de identidade de privilégios, bem como de mercados adjacentes. Jim cuida de metodologia, processos e gerenciamento de desenvolvimento para todo o conjunto de produtos da BeyondTrust.



28/Dez/2011

Máquinas virtuais possibilitam separar a aquisição e a implementação de hardware da implementação de software, e podem tornar a entrega, dentro de uma empresa, 10, 20 ou até 30 vezes mais rápida. Thomas J. Bittman, vice-presidente, famoso analista Gartner

No ambiente econômico atual, as organizações estão focadas na redução de custos e em fazer mais com menos, ao mesmo tempo que tentam se manter competitivas. Isso significa que os departamentos de TI estão sob constante supervisão, a fim de garantir que as principais necessidades comerciais sejam cumpridas e que as entregas dos resultados desejados ocorram da forma mais eficiente e com custo mais reduzido. Para enfrentar esses desafios, as organizações de TI estão se distanciando cada vez mais de conceitos de TI centralizados em dispositivos e adotando um conceito mais voltado para as características que definem a computação em nuvem em aplicativos, informações e pessoas.

Como tendência emergente que fornece acesso rápido a recursos de TI dinamicamente escaláveis e virtualizados, a computação em nuvem promete oportunidades novas e empolgantes para que as organizações criem infraestruturas de TI simples, robustas e com custo reduzido, que se alinham melhor com as metas de negócio. No entanto, antes de obter todos esses benefícios, deve-se analisar certos prós e contras no que se refere a controle, conformidade e segurança.

Este artigo descreve os elementos que impulsionam a migração de datacenters para a nuvem, incluindo o papel da virtualização em infraestruturas de nuvem pública, e descreve as implicações para segurança e conformidade da computação em nuvem, fornecendo insights sobre a proteção de dados confidenciais na nuvem por meio de dois métodos principais: acesso administrativo e delegação privilegiada.

Por que passar para a nuvem?

Por que as organizações desejariam mover seu datacenter para a nuvem? Simples: A flexibilidade proporcionada por servidores virtualizados e a economia de escala das grandes nuvens privadas ou públicas criam um modelo econômico melhor para as necessidades atuais de computação.

A virtualização fornece o ponto de partida para o melhor modelo: Maior utilização de servidores e do hardware de armazenamento quando a carga de trabalho varia.

  • Acrescente a isso a economia de escala e a maior utilização quando os recursos são compartilhados entre unidades de negócios em uma nuvem pública ou entre empresas em uma nuvem pública e temos um modelo de custo mais baixo.
  • Acrescente a isso a flexibilidade de apenas pagar por recursos quando eles são usados, em vez de incorrer em grandes custos fixos e grandes gastos de capital. Além disso, o departamento de TI consegue atender melhor os requisitos de negócios em muitos segmentos de mercado.

No entanto, além da simples economia, o modelo na nuvem oferece benefícios operacionais significativos. Novamente, a virtualização fornece o ponto de partida para um modelo melhor de operação, reduzindo o tempo necessário para o fornecimento de aplicativos e cargas de trabalho necessários. O modelo na nuvem se baseia nesses recursos ao abstrair do usuário final a complexidade da infraestrutura física e os detalhes dos processos de fornecimento e gerenciamento, tornando a computação tão fácil de comprar e gerenciar como qualquer outro serviço de negócios, além de fornecer medição de serviços avaliados e acordos de nível de serviço. Acrescente a isso maiores confiabilidade e acessibilidade para usuários móveis ou remotos e a nuvem torna-se uma proposta de valor muito atraente.


Virtualização como ativador

Embora a nuvem não seja uma virtualização, a virtualização é um componente crítico e ativador principal da computação em nuvem. Servidores e armazenamento virtualizados permitem maior utilização do hardware físico, quando a carga de trabalho varia.

A capacidade de mover automaticamente as cargas de trabalho sempre que necessário aumenta a confiabilidade, sem a necessidade de fornecer hardware redundante (e muitas vezes subutilizado) para cada aplicativo. Provedores na nuvem se baseiam nas vantagens econômicas da virtualização. Isso combinado à economia de escala e à automação avançada da administração de sistemas de rotina cria a economia de custos que permite que datacenters baseados na nuvem sejam uma alternativa ou suplemento economicamente viável. Ainda assim, as organizações que movem dados para a nuvem devem considerar os riscos que enfrentam se o ambiente virtual não for administrado corretamente.

Além disso, a virtualização está permitindo que o departamento de TI se transforme, na prática, em um provedor de serviços para a empresa. Novamente, a virtualização fornece o ponto de partida para um modelo melhor de operação, reduzindo o tempo necessário para o fornecimento de aplicativos e cargas de trabalho necessários. Ao retirar a complexidade da infraestrutura física e os detalhes dos processos de fornecimento e gerenciamento do usuário final, a virtualização de servidor "ajuda TI a se comportar como um provedor da nuvem e prepara a empresa para ser um melhor consumidor de computação em nuvem". (GartnerGroup, "Server Virtualization: One Path That Leads to Cloud Computing", RAS Core Research Note G00171730, Thomas J. Bittman, 29 de outubro de 2009.)

Então, o que isso significa para o datacenter e para as operações de TI? A primeira característica de um datacenter altamente virtualizado é um grande aumento no número de servidores a serem gerenciados. Essa escala maior — de centenas para milhares e de milhares para dezenas de milhares de servidores — acrescenta um alto grau de complexidade para as operações do datacenter. O gerenciamento de mudanças e de configuração se torna muito mais importante e desafiador, e a automação deixa de ser uma boa maneira de economizar dinheiro e se torna um requisito fundamental.

Devido a essa complexidade adicional em ambientes virtuais e na nuvem, os dados do cliente ficam expostos a vetores de segurança que não são encontrados em ambientes puramente físicos. O acréscimo de uma camada de virtualização na pilha de TI apresenta um novo ponto de falha no modelo de segurança estabelecido e uma nova área para ataques. Qualquer violação de segurança no nível do hypervisor compromete toda a segurança da pilha acima dele, do sistema operacional até as camadas de dados e de aplicativo.


Os perigos de um datacenter na nuvem

De acordo com uma pesquisa de opinião do IDC Enterprise Panel, a principal preocupação das empresas que passam a utilizar ambientes de computação em nuvem é a segurança (Figura 1).

Figura 1. A segurança é a principal preocupação ao passar a utilizar a nuvem
A segurança é a principal preocupação ao passar a utilizar a nuvem

Silos de infraestrutura de TI dedicada desenvolvidos em torno de aplicativos, clientes, unidades de negócios, operações e conformidade regulamentar específicos frequentemente são o resultado do enorme crescimento em escala e complexidade dos ambientes de TI corporativos.

Embora a computação em nuvem remova os silos de aplicativos tradicionais no datacenter e apresente um novo nível de flexibilidade e escalabilidade para a organização de TI, o suporte para ambientes de computação multilocação também inclui riscos de segurança adicionais. Entre esses riscos, o mais grave é o furto de dados.

Embora a segurança seja uma prioridade para os clientes que começam a utilizar a nuvem, essa questão nem sempre é tão importante para o provedor da nuvem. Um estudo recente chamado "Security of Cloud Computing Providers" do Ponemon Institute indicou o seguinte: "A maioria dos provedores de computação em nuvem não considera a segurança uma das suas responsabilidades mais importantes." Além disso, "a esmagadora maioria dos entrevistados acredita que é responsabilidade dos usuários de computação em nuvem garantir a segurança dos recursos que fornecem". "

Muitos fornecedores da nuvem têm operações de grande escala que oferecem o potencial de mais recursos e conhecimento para lidar com os desafios de segurança inerentes ao modelo de virtualização e de nuvem.

Embora a nuvem ajude as organizações a deixar seus próprios servidores, armazenamento, redes e software, também elimina muitas das fronteiras físicas tradicionais que ajudam a definir e proteger os ativos de dados de uma organização, além de introduzir novos riscos à medida que servidores virtuais e máquinas virtuais móveis substituem servidores físicos e firewalls. A virtualização elimina as lacunas que existem entre os servidores físicos e a capacidade de separar claramente os dispositivos em redes fisicamente isoladas.

Sem o isolamento físico e de rede, é mais difícil limitar as vias de acesso de administradores de sistema e de rede. O aumento de escala e flexibilidade dos ambientes na nuvem acrescenta um nível de complexidade ao gerenciamento de mudanças e de configuração que dificulta a aplicação dos princípios do menor privilégio e da segregação de funções.

Por exemplo, usuários mal-intencionados com credenciais de administrador para a infraestrutura virtual poderiam clonar máquinas virtuais para obter acesso a todos os dados contidos nas máquinas convidadas. Eles poderiam até mesmo clonar uma máquina virtual, excluir o clone e montar a imagem excluída fora da análise de segurança normal.

Visto que a nuvem apresenta cadeias de custódia de dados e aplicativos confidenciais em constante mudança, proteger esses ativos é uma tarefa ainda mais difícil. Informações confidenciais não devem ser armazenadas ou processadas na nuvem sem visibilidade da tecnologia e dos processos do fornecedor a fim de garantir o nível adequado de proteção das informações.


Principais ameaças à computação em nuvem

De acordo com o artigo Top Threats to Cloud Computing v1.0" de março de 2010 escrito pela Cloud Security Alliance, os itens a seguir são identificados como as principais ameaças à segurança na computação em nuvem (sem uma ordem específica):

  • Abuso e uso prejudicial da computação em nuvem: provedores de IaaS oferecem a ilusão de capacidade ilimitada de computação, rede e armazenamento com um processo de registro simples, fácil e bastante aberto. Os spammers podem usar esse processo de registro para seus objetivos. Embora tradicionalmente os provedores de PaaS sofressem mais com esse tipo de ataque, evidências recentes indicam que os hackers também estão visando fornecedores de IaaS. As áreas de preocupação incluem quebra de senha e de chave, DDOS, ativação de pontos de ataque dinâmicos, hospedagem de dados maliciosos, comando e controle botnet, desenvolvimento de tabelas rainbow e farms de resolução de CAPTCHA.
  • Interfaces e APIs não seguras: provedores de nuvem expõem um conjunto de interfaces ou APIs de software que os clientes usam para gerenciar e interagir (provisão, gerenciamento, organização e monitoramento) com serviços na nuvem. A segurança e a disponibilidade de serviços gerais na nuvem dependem da segurança dessas APIs básicas. Muitas vezes, as organizações se baseiam nessas APIs para oferecer serviços de valor agregado, aumentando assim a complexidade ao usar a API em camadas. As áreas de preocupação incluem autenticação, controle de acesso, criptografia e monitoramento das atividades.
  • Membros maliciosos: Essa ameaça é ampliada para consumidores de serviços em nuvem pela convergência de serviços e clientes de TI sob um único domínio de gerenciamento combinado à falta de transparência dos processos e procedimentos do provedor. As áreas de preocupação incluem como um fornecedor concede aos funcionários acesso a ativos físicos e virtuais, como monitora esses funcionários, como analisa e faz relatórios sobre conformidade com a política. As normas e práticas de contratação de provedores da nuvem também podem ser uma fonte de preocupação.
  • Vulnerabilidades da tecnologia compartilhada: os fornecedores de IaaS fornecem serviços de forma escalável ao compartilhar a infraestrutura. Os componentes que compõem essa infraestrutura talvez não tenham sido projetados para oferecer fortes propriedades de isolamento em arquiteturas multilocatário. Os hypervisors de virtualização são usados para mediar o acesso entre um sistema operacional convidado e os recursos físicos de computação, mas até hypervisors podem possuir falhas que permitem que o sistema operacional convidado obtenha níveis inadequados de controle ou influência sobre a plataforma subjacente. As áreas de preocupação incluem o cumprimento e monitoramento de segurança de computação, armazenamento e rede.
  • Perda/vazamento de dados: a ameaça de aumento no comprometimento de dados na nuvem por causa do número e das interações entre os riscos e desafios exclusivos da nuvem ou mais perigoso por causa das características arquitetônicas ou operacionais do ambiente de nuvem. As áreas de preocupação incluem exclusão ou alteração de registros sem backup, desvinculamento de um registro em relação a um contexto maior, perda de chaves de codificação e pessoas desautorizadas que obtém acesso a dados confidenciais.
  • Interceptação de conta ou serviço: a nuvem acrescenta uma nova ameaça na paisagem. Suas instâncias de conta ou de serviço podem se tornar uma nova base para um invasor. As áreas de preocupação incluem phishing, fraude, exploração de vulnerabilidades de software e credenciais e senha muitas vezes reutilizadas.

As ferramentas administrativas usadas para acessar a camada do hypervisor/VMM, que o fornecedor da nuvem gerencia, devem ser rigidamente controladas para manter uma forte postura de segurança. As organizações precisam analisar cuidadosamente os requisitos de negócios e de segurança, além de avaliar a profundidade e a confiabilidade dos recursos de segurança e dos níveis de serviço na nuvem.

O impacto que membros mal-intencionados podem ter em uma organização é considerável, tendo em vista seu nível de acesso e capacidade de se infiltrar em organizações e ativos. Danos à marca, impacto financeiro e perdas de produtividade são apenas algumas das maneiras em que um membro mal-intencionado pode afetar uma operação. À medida que as organizações adotam serviços na nuvem, as pessoas assumem uma importância ainda maior. Portanto, é fundamental que os consumidores de serviços na nuvem entendam o que os provedores estão fazendo para detectar e se defender contra ameaças de membros mal-intencionados. Cloud Security Alliance, "Top Threats to Cloud Computing v1.0", março de 2010

Então, por que existe uma separação entre os requisitos dos clientes e as prioridades dos fornecedores? Parte da razão pode ser que a segurança na nuvem é, por padrão, uma responsabilidade compartilhada. Grande parte da nossa forma de definir e implementar a segurança é direcionada pela conformidade. No entanto, apesar de um grande número de estruturas, de COBIT a PCI, essas normas de conformidade não são muito claras. O que deixa uma ampla margem para que cada auditor as interprete de forma diferente.

De acordo com o estudo Ponemon, os provedores na nuvem são "menos confiantes em sua capacidade de restringir o acesso de usuários privilegiados a dados confidenciais". Pelo menos parte dessa falta de confiança pode ser atribuída à falta de uma definição clara do acesso privilegiado e de quais são os controles apropriados. Essa falta geral de transparência nos processos e procedimentos do provedor, por exemplo, como seus funcionários recebem acesso a ativos físicos e virtuais, dificulta o impedimento de furto de dados. A concentração de dados importantes de diversos clientes representa um alvo para o ataque de administradores de sistema antiéticos, bem como de invasores mal-intencionados da Internet, e deve resultar em preocupações quanto ao acesso de usuários privilegiados.

Empresas que querem usar a nuvem e precisam fazê-lo de maneira segura e compatível precisam pensar em quem são os responsáveis:

  • Os fornecedores na nuvem precisam fazer sua parte fornecendo uma boa base de tecnologias de segurança, como firewalls, antivírus e antimalware, criptografia de dados em movimento, gerenciamento de correções e gerenciamento de log.
  • Clientes na nuvem também precisam fazer a sua parte usando essa base para garantir a segurança das suas operações e assegurar de que as políticas e procedimentos adequados estejam em vigor.

Portanto, isso complica as — responsabilidades compartilhadas e o caso especial dos usuários privilegiados, na nuvem.

As prioridades do fornecedor ficarão alinhadas com as de seus clientes. Atualmente, para a maioria dos usuários da nuvem, essas prioridades são a redução dos custos, da carga de trabalho do tempo de implementação, ao mesmo tempo que fornecem novos níveis de escalabilidade. Algumas dessas prioridades são incompatíveis com o tempo e recursos necessários para obter uma segurança adequada.

No entanto, se os clientes exigirem e mostrarem que pagarão por isso aos fornecedores, eles fornecerão a segurança necessária. Como mostrou um relatório recente do Ponemon Institute sobre "Security of Cloud Computing Providers", "embora, atualmente, a segurança como um verdadeiro serviço da nuvem raramente seja oferecida aos clientes, cerca de um terço dos fornecedores de nuvem no nosso estudo estão avaliando essas soluções como uma nova fonte de receita nos próximos dois anos". Esse potencial será alcançado apenas se os clientes fornecerem supervisão, fundos e requisitos de nível de serviço para tornar os processos de segurança sólidos uma boa decisão de negócios para os fornecedores. Isso significa que as equipes de segurança devem se envolver mais, que as empresas devem permitir que a segurança influencie suas decisões de compra e insistir em relatórios regulares sobre os processos de segurança e acordos de nível de serviço.

As empresas que querem que os fornecedores da nuvem ofereçam segurança suficiente para proteger seus dados mais confidenciais precisam insistir nisso, comunicar seus requisitos, supervisionar os controles, pedir relatórios e, finalmente, assumir a responsabilidade compartilhada pela segurança da nuvem.

Como alternativa a nuvens públicas, as organizações estão adotando infraestruturas de nuvem privada como meio de obter mais controle sobre seus dados. No entanto, elas ainda precisam tomar medidas para detectar a ameaça de membros mal-intencionados e se defender contra ela.

A maioria das organizações atuais está motivada em fazer uma transição ainda mais radical para um modelo na nuvem, mas hesita em deixar seus dados vitais em áreas tão novas. Há diversas tecnologias para facilitar a nuvem que ainda está crescendo, mas elas precisam ser adaptadas aos requisitos exclusivos de ambientes de nuvem.


Preocupações com a conformidade

Um dos maiores desafios para as organizações que aproveitam ambientes na nuvem é demonstrar conformidade com as políticas. Para muitas funções de negócios comumente executadas na nuvem, como hospedagem de websites e wikis, muitas vezes é suficiente possuir um provedor de nuvem que garanta a segurança da infraestrutura subjacente. No entanto, para processos críticos de negócios e dados confidenciais, é absolutamente essencial que as organizações sejam capazes de verificar por si mesmas se a infraestrutura de nuvem subjacente é segura.

O uso de máquinas virtuais aumenta a complexidade da mistura visto que a criação de uma identidade para uma máquina virtual individual e o rastreamento dessa máquina virtual desde a criação até a exclusão pode ser um desafio até nos ambientes virtualizados mais maduros. A abordagem de hoje para a conformidade, que se baseia na implementação de controles para servidores físicos, precisa ser modificada para se adequar a um ambiente virtual. Fica ainda mais difícil provar que a infraestrutura física e virtual da nuvem pode ser confiável quando esses componentes de infraestrutura são totalmente gerenciados e de propriedade de provedores de serviços externos.

Por isso, as empresas que querem usar uma nuvem precisam repensar seus controles existentes, porque, felizmente, alguns elementos permanecem iguais. Muitos controles técnicos são idênticos, e processos como o gerenciamento de fornecedores terceirizados são semelhantes. No entanto, os aspectos exclusivos da nuvem exigem algumas mudanças na estratégia de segurança, incluindo novos controles de monitoramento da integridade do hypervisor e controles adicionais relacionados a processos para controle de aplicativos e de dados.

Os provedores da nuvem devem ser capazes de demonstrar que testaram e podem garantir que o acesso de usuários privilegiados é controlado e monitorado. Por exemplo, a ISO/IEC 27001 exige que uma organização crie um sistema do gerenciamento de segurança da informação (ISMS). Isso permite que uma organização use uma abordagem baseada em risco para identificar e satisfazer todos os requisitos de conformidade, que justifique a seleção e a implementação de controles e forneça evidências mensuráveis de que os controles estão operando de forma eficaz.

As organizações que alegam ter adotado a norma ISO 27001 podem, portanto, ser formalmente auditadas e certificadas em conformidade com ela. Essa norma já é bastante conhecida e aceita fora dos Estados Unidos e está lentamente sendo conhecida e aceita também dentro dos Estados Unidos. A ISO 27001 exige que a gerência:

  1. Examine sistematicamente os riscos de segurança da informação da organização, considerando ameaças, vulnerabilidades e impactos.
  2. Projete e implemente um conjunto coerente e abrangente de controles de segurança da informação e/ou outras formas de tratamento de risco (como a prevenção de risco ou transferência de risco) para lidar com riscos considerados inaceitáveis.
  3. Adote um processo de gerenciamento abrangente para assegurar que os controles de segurança da informação continuem a atender às necessidades de segurança da informação da organização em base contínua.

Outro regulamento importante é a norma de segurança de dados (DSS) para o segmento de mercado de cartões de pagamento (PCI), um conjunto de requisitos abrangente para aumentar a segurança dos dados das contas de pagamento, para frustrar o furto de informações confidenciais do titular do cartão. O grupo principal de requisitos é o seguinte:

  1. Desenvolver e manter uma rede segura.
  2. Proteger os dados do titular do cartão.
  3. Manter um programa de gerenciamento de vulnerabilidades.
  4. Implementar medidas fortes de controle de acesso.
  5. Monitorar e testar redes regularmente.
  6. Manter uma política de segurança da informação.

Se apropriado, as organizações também devem pedir um compromisso dos fornecedores para atender às normas regulamentares como PCI DSS, Lei da Portabilidade e Prestação de Contas em Seguro-Saúde (HIPAA), nos EUA, e a Diretiva de Proteção de Dados da UE.


Protegendo a nuvem: Acesso administrativo e delegação privilegiada

Não é possível tornar "A Nuvem" segura... não existe "A Nuvem". Se o usuário não possuir um programa de segurança robusto, a computação em nuvem tornará tudo pior. Christopher Hoff, membro fundador e orientador técnico da Cloud Security Alliance

Gerenciar identidades e controles de acesso para aplicativos corporativos continua sendo um dos maiores desafios com o qual o departamento TI se depara atualmente. Embora uma empresa possa ser capaz de aproveitar vários serviços de computação em nuvem sem uma boa estratégia de gerenciamento de identidade e de acesso, no final a extensão dos serviços de identidade de uma organização para a nuvem é um precursor necessário para a utilização estratégica de serviços de computação on demand.

Software BeyondTrust

O software BeyondTrust fornece gerenciamento de autorização de privilégios, controle de acesso e soluções de segurança para ambientes de virtualização e de computação em nuvem, possibilitando a governança de TI para reforçar a segurança, melhorar a produtividade, impulsionar a conformidade e reduzir despesas. O objetivo de produto da empresa é eliminar o risco de uso indevido de privilégios, de forma intencional, acidental e indireta, em desktops e servidores em sistemas de TI heterogêneos.

Os clientes BeyondTrust se espalham pelos segmentos de mercado financeiro, engenharia aeroespacial, defesa e farmacêutico, além da comunidade acadêmica.

Os produtos BeyondTrust PowerBroker incluem uma solução para servidores, áreas de trabalho, bancos de dados, aplicativos e dispositivos que abrange toda a empresa em ambientes heterogêneos de TI. Os produtos permitem que as empresas estendam sua infraestrutura existente de segurança, políticas e geração de relatórios de conformidade para nuvens privadas, públicas e híbridas e que implementem as melhores práticas com controles de acesso de baixa granularidade para cumprir rigorosamente o princípio de menor privilégio e segregação de funções.

Os produtos BeyondTrust PowerBroker permitem que as empresas gerenciem e façam auditorias nos acessos de usuários privilegiados à sua infraestrutura de nuvem. Com o PowerBroker, é possível:

  • Responder por todos os usuários privilegiados.
  • Gerenciar o fornecimento/não fornecimento de credenciais privilegiadas.
  • Implementar um sistema de controle baseado no "menor privilégio".
  • Monitorar e reconciliar uma atividade privilegiada.
  • Manter um repositório de auditoria de alta qualidade.
  • Automatizar os relatórios de conformidade.

Ao ampliar a infraestrutura existente de segurança dos membros para a nuvem, as empresas reduzem muitas das barreiras à adoção da nuvem. Usar o PowerBroker para gerenciar a segurança na nuvem permite que as equipes de engenharia de sistemas e de administração continuem a usar as ferramentas que sabem operar e manter. Mais importante ainda, o PowerBroker é uma solução comprovada conhecida pelos auditores e agentes de conformidade, que elimina a necessidade de controles adicionais e processos de auditoria para a nuvem.

Vou fornecer detalhes sobre os vários produtos que estou mencionando.

PowerBroker Server para nuvens

Os servidores PowerBroker para Unix/Linux permitem a delegação de privilégios sem divulgar a senha raiz e fornece uma linguagem de política altamente flexível que proporciona controle de acesso de baixa granularidade. O PowerBroker Servers registra, monitora e gera relatórios de todas as ações administrativas, até mesmo sobre quais teclas são pressionadas, a fim de atender aos requisitos mais rigorosos de segurança e conformidade.

A capacidade de implementação flexível do PowerBroker Servers, incluindo o suporte a 30 métodos de criptografia para políticas, logs e tráfego de rede, permite às empresas implementar sua segurança na nuvem para acesso privilegiado para atender melhor às suas necessidades. O PowerBroker Servers pode ser implementado de três maneiras:

  • Implementar o PowerBroker for Cloud Servers permite ampliar a infraestrutura existente do PowerBroker baseada em datacenter para servidores Unix/Linux baseados na nuvem. Informações confidenciais de política e logs de eventos continuam no seu datacenter.
  • As implementações do PowerBroker totalmente baseadas na nuvem maximizam sua flexibilidade de escala para atender às necessidades em constante mudança da capacidade de computação, tudo isso com custos fixos mínimos.
  • As implementações do PowerBroker hospedadas na nuvem podem ser projetadas para garantir a segurança de infraestrutura distribuída em ambientes de filiais e varejo. Manter os componentes do PowerBroker na nuvem minimiza a infraestrutura implementada em locais remotos com recursos limitados de suporte de TI.

PowerBroker Identity Services para nuvens

A identidade centralizada é uma base para a segurança e conformidade na nuvem. As empresas precisam encontrar tecnologias que lhes permitam ampliar o cumprimento dos direitos de acesso de seus sistemas locais para seus ambientes SaaS e na nuvem. Dessa forma, os usuários que atualmente não têm acesso às informações protegidas de clientes, ou a qualquer outra informação confidencial com aplicações locais, não acabarão obtendo acesso aos seus sistemas na nuvem por acidente. Além disso, também é importante possuir identidades gerenciadas adequadamente em todos esses sistemas, para que seja simples verificar quem tem acesso a quais dados durante uma auditoria. Irida Xheneti, Security Week

O PowerBroker oferece duas opções para atender às necessidades mais importantes para o gerenciamento centralizado de identificação na nuvem: o suporte nativo a LDAP na linguagem de política do PowerBroker Servers ou o PowerBroker Identity Services, uma solução completa para gerenciamento, autenticação e autorização centralizados de usuários para servidores Linux e Unix por meio do Active Directory. Com o PowerBroker Identity Services, as empresas podem ampliar para a nuvem, de forma segura, uma implementação já existente no local do Active Directory a fim de autenticar usuários em servidores Linux baseados na nuvem, monitorar e relatar atividades de conexão, e definir e implementar políticas de grupo para controlar suas configurações de servidor na nuvem.

PowerBroker Database para nuvens

O PowerBroker Database Monitor and Audit pode ser implementado para monitorar bancos de dados baseados na nuvem, fornecendo a varredura e o monitoramento de banco de dados necessários para atender as melhores práticas de segurança e os mandatos de conformidade. O PowerBroker Database Monitor and Audit fornece os recursos de criação de log detalhados que são necessários para revisar autorizações de banco de dados e controles de acesso regularmente.

Ligar o PowerBroker Database Monitor and Audit ao PowerBroker Servers and Identity Services permite a reconciliação em circuito fechado de atividade privilegiada com seu gerenciamento de mudanças e sistemas de chamado para help desk fornecendo os mesmos controles para bancos de dados críticos implementados na nuvem ou no datacenter.

Figura 2. Reconciliação em circuito fechado de atividade privilegiada
Reconciliação em circuito fechado de atividade privilegiada

Facilmente configurado em zonas de segurança separadas, o PowerBroker permite que as empresas apliquem o nível adequado de segurança a aplicativos que compartilham a mesma infraestrutura física ou virtual.


Conclusão: um caso de referência

Para concluir, forneci alguns detalhes sobre uma implementação real dos conceitos analisados neste artigo. Uma das maiores empresas de serviços financeiros do mundo, com uma organização de TI centralizada que fornece serviços para suas unidades de negócios com encargos cruzados internos, enfrentava demanda crescente por capacidade de computação. Por isso, a empresa decidiu que a maneira mais eficiente para a organização de TI atender aos requisitos das unidades de negócios com custo reduzido era desenvolver uma infraestrutura de nuvem privada baseada em Linux capaz de escalar mais de 100.000 servidores virtuais, para atender à demanda.

Antes de avançar com a infraestrutura de nuvem privada, as unidades de negócio tinham uma preocupação importante que precisava ser abordada: queriam se certificar de que seus dados confidenciais permaneceriam seguros e que todos os requisitos de conformidade seriam cumpridos na infraestrutura de nuvem privada. Visto que seria utilizada a virtualização, e a conformidade era uma preocupação, seria difícil para o departamento TI separar a infraestrutura por unidade de negócio e ainda garantir que os níveis de autorização estivessem de acordo com os mandatos de conformidade.

A equipe de TI desenvolveu uma visão abrangente dos requisitos atuais e futuros para assegurar seu ambiente de nuvem crescente:

  • Uma solução abrangente de um fornecedor.
  • Um sistema escalável de categoria corporativa.
  • Integrações completas com diretórios locais e na nuvem.
  • Permissão para os administradores gerenciarem políticas, não a infraestrutura.
  • Reação dinâmica a mudanças no ambiente virtual.
  • Fornecimento de métricas quantificáveis do desempenho do servidor na nuvem.

Para atender aos requisitos de segurança e conformidade das unidades de negócio, a empresa implementou servidores UNIX e Linux do BeyondTrust PowerBroker para fornecer proteção unificada de sistemas operacionais host e convidados. Com o uso do PowerBroker para a infraestrutura da nuvem privada, a delegação de privilégio agora é gerenciada de forma centralizada para sistema operacional convidado, bem como para hypervisor XEN. A solução permite que a organização de TI monitore e controle de forma centralizada o acesso administrativo e o fornecimento de privilégios em toda a infraestrutura da empresa. A organização de TI e diversas unidades de negócios também conseguem produzir relatórios de conformidade que incluem a criação de log e a auditoria, até mesmo apontando as teclas foram pressionadas, além de dados do evento para validação em drill-down ad hoc de suas principais necessidades de conformidade com SOX, PCI e FFIEC.

Tudo começou com a implementação manual do PowerBroker em todos os sistemas operacionais ativados dentro da nuvem. À medida que a escala aumentava, o PowerBroker foi incluído na imagem padrão do sistema operacional para que fosse implementada automaticamente.

Trabalhando com o BeyondTrust, a equipe de TI simplificou e padronizou suas políticas para simplificar a administração, atuando como parceiro de desenvolvimento avançado para desenvolvimento e implementação de automação e monitoramento de funcionamento mais avançados.

Neste artigo, abordei as necessidades que impulsionam a migração de datacenters para a nuvem, forneci detalhes sobre o papel da virtualização em infraestruturas de nuvem pública e privada, e descrevi as implicações para segurança e conformidade da computação em nuvem, fornecendo insight sobre como proteger dados confidenciais na nuvem usando métodos de controle de acesso administrativo e delegação privilegiada. Além disso, forneci um exemplo real de um sistema existente e funcional que consegue executar essas tarefas.

Recursos

Aprender

  • Saiba mais sobre as normas de conformidade mencionadas neste artigo: PCI DSS e ISO/IEC 27001.
  • Leia mais sobre as principais ameaças à segurança em computação em nuvem no estudo da Cloud Security Alliance, de março de 2010, chamado: "Top Threats to Cloud Computing v1.0."
  • Descubra mais tendências de segurança para provedores na nuvem por meio do estudo do Ponemon Institute, de abril de 2011, chamado: "Security of Cloud Computing Providers."
  • Nos recursos para desenvolvedores de nuvem do developerWorks, descubra e compartilhe o conhecimento e a experiência dos desenvolvedores de aplicativos e serviços que estão desenvolvendo os seus projetos de implementação de nuvem.
  • Consulte as imagens do produto disponíveis para IBM SmartCloud Enterprise.
  • O software BeyondTrust fornece gerenciamento de autorização de privilégios, controle de acesso e soluções de segurança para ambientes de virtualização e de computação em nuvem, possibilitando a governança de TI para reforçar a segurança, melhorar a produtividade, impulsionar a conformidade e reduzir despesas. O objetivo de produto da empresa é eliminar o risco de uso indevido de privilégios, de forma intencional, acidental e indireta, em desktops e servidores em sistemas de TI heterogêneos.
  • Descubra como acessar o IBM SmartCloud Enterprise.

Discutir

Comentários

developerWorks: Conecte-se

Los campos obligatorios están marcados con un asterisco (*).


Precisa de um ID IBM?
Esqueceu seu ID IBM?


Esqueceu sua senha?
Alterar sua senha

Ao clicar em Enviar, você concorda com os termos e condições do developerWorks.

 


A primeira vez que você entrar no developerWorks, um perfil é criado para você. Informações no seu perfil (seu nome, país / região, e nome da empresa) é apresentado ao público e vai acompanhar qualquer conteúdo que você postar, a menos que você opte por esconder o nome da empresa. Você pode atualizar sua conta IBM a qualquer momento.

Todas as informações enviadas são seguras.

Elija su nombre para mostrar



Ao se conectar ao developerWorks pela primeira vez, é criado um perfil para você e é necessário selecionar um nome de exibição. O nome de exibição acompanhará o conteúdo que você postar no developerWorks.

Escolha um nome de exibição de 3 - 31 caracteres. Seu nome de exibição deve ser exclusivo na comunidade do developerWorks e não deve ser o seu endereço de email por motivo de privacidade.

Los campos obligatorios están marcados con un asterisco (*).

(Escolha um nome de exibição de 3 - 31 caracteres.)

Ao clicar em Enviar, você concorda com os termos e condições do developerWorks.

 


Todas as informações enviadas são seguras.


static.content.url=http://www.ibm.com/developerworks/js/artrating/
SITE_ID=80
Zone=Cloud computing, Linux
ArticleID=782970
ArticleTitle=Aumente a segurança na nuvem com a delegação de privilégios
publish-date=12282011