MODULE 19:
CLOUD COMPUTING
Nhóm thực hiện:
Nguyễn Đức Nhân
Nguyễn Minh Hoàng
Ngô Nguyễn Anh Đức
Chu Văn Quân
T
Hiểu được các khái niệm điện toán đám mây
A
Hiểu được các mối đe doạ với điện toán đám
mây
R
Hiểu được các tấn công vào điện toán đám mây
G
Hiểu được bảo mật điện toán đám mây
E
Các công cụ điện toán đám mây
T
Tổng quan về pen testing trên điện toán đám
mây
1
Các khái niệm
2
Các mối đe doạ
3
Các cuộc tấn công
4
Bảo mật
5
Công cụ bảo mật
6
Kiểm thử xâm nhập
Giới thiệu về điện toán đám mây
Tổng hợp tài
Bộ nhớ phân tán
nguyên
Tính đàn hồI
Dịch vụ đo lường
nhanh chóng
Công
Quản
nghệ
lý tự
ảođộng
hoá
SYS ADMIN
Truy
Tự cập
phụcmạng
vụ theo
yêurộng
cầu
diện
Cơ sở hạ tầng như một dịch vụ
• Cung cấp máy ảo, phần cứng trừu
tượng và hệ điều hành có thể được
kiểm soát thông qua dịch vụ API.
• VD: Amazon AC2, WindowSkyDrive,…
DEVERLOPERS
Điểm nổi bật của điện toán
đám mây
Phân loại
Nền tảng như một dịch vụ
• Cung cấp các công cụ phát triển, quản
lý cấu hình và nền tảng triển khai theo
yêu cầu mà người quản lý ký có thể sử
dụng để phát triển các thiết bị tuỳ
chỉnh.
• VD: Intel MashMaker, GG App Engine,
Microsoft Azure,…
END CUSTOMER
Điện toán đám mây (cloud computing)
cung cấp các dịch vụ CNTT theo yêu
cầu mà trong đó hạ tầng và ứng dụng
CNTT được cung cấp cho ngườI đăng
ký dướI dạng một dịch vụ đo lường
mạng.
Cơ sở hạ tầng như một dịch vụ
• Cung cấp phần mềm cho người đăng
ký theo yêu cầu qua Internet.
• VD: Google Docs, Saleforce CRM,
basecamp,…
4
Resource
Owners
Phân tách trách nhiệm trên Cloud
Cloud
Computing
Nền tảng
Phần mềm
Application
Application
Onpremises
Application
Cơ sở hạ
tầng
Application
Data
Data
Data
Data
Runtime
Runtime
Runtime
Runtime
Middleware
Middleware
Middleware
Middleware
O/S
Virtualizatio
n
Server
O/S
Virtualizatio
n
Server
O/S
Virtualizatio
n
Server
O/S
Virtualizatio
n
Server
Storage
Storage
Storage
Storage
Networking
Networking
Networking
Networking
Subscriber
Service
Provider
5
Mô hình triển khai Cloud
Lựa chọn mô hình triển khai Cloud dựa trên các yêu cầu của doanh
nghiệp
Public Cloud
Các dịch vụ được cung cấp qua một
mạng mở để sử dụng công cộng.
Community Cloud
Cơ sở hạ tầng được chia sẻ giữa một
số tổ chức từ cộng đồng cụ thể vớI
cùng một mốI quan tâm chung(an
ninh, tuana thủ pháp luật,….).
Private Cloud
Cơ sở hạ tầng Cloud chỉ hoạt động
cho một tổ chức duy nhất.
Hybird Cloud
Thành phần của 2 hoặc nhiều Cloud
(Public,Private, Community) vẫn là
các thực thể duy nhất nhưng được
liên kết với nhau, đem lại lợi ích của
nhiều mô hình triển khai
6
Kiến trúc điện toán đám mây
Kiến trúc điện toán đám mây gồm phần chính:
Khách hàng Cloud
Một cá nhân hoặc một tổ chức sử dụng dịch vụ điện toán đám mây.
Nhà cung cấp Cloud
Cá nhân hoặc tổ chức cung cấp dịch vụ cho các bên quan tâm.
Nhà vận chuyển Cloud
Trung gian cung cấp dịch vụ kết nối và vận chuyển giữa ngườI tiêu dùng và nhà cung cấp dịch vụ
Kiểm toán viên Cloud
Một bên đưa ra các đánh giá độc lập về các biện pháp kiểm soát dịch vụ đám mây và đưa ra ý kiến về bên
đó.
Mô giới Cloud
Một pháp nhân để quản lý các dịch vụ đám mây về mặt sử dụng, hiệu suất và phân phối, đồng thờI duy trì
mốI quan hệ giữa nhà cung cấp Cloud và người tiêu dùng.
7
Những lợi ích của điện toán đám mây
Kinh tế
•
•
•
•
•
•
•
•
Thúc đẩy kinh doanh
Giảm chi phí bảo trì
Có được nền kinh tế theo
quy mô
Ít chi phí vốn
Cơ sở lưu trữ khổng lồ cho
các tổ chức
Thân thiện vớI môi trường
Tổng chi phí sở hữu ít hơn
Tiêu thụ ít điện năng hơn
Hoạt động
•
•
•
•
•
•
•
Nhân sự
Tính linh hoạt và hiệu quả
Khả năng phục hồi và dự
phòng
Quy mô hoá khi cần thiết
Ít vấn đề về hoạt động hơn
Triển khai các ứng dụng
nhanh chóng
Sao lưu và phục hồI sau sự
cố
Cập nhật tự động
•
•
•
•
•
•
•
Hợp lý hoá các quy trình
Sử dụng tốt các tài
nguyên
Đào tạo cá nhân ít hơn
Ít nhân viên CNTT
Nhiều ngườI sử dụng tài
nguyên trên Cloud
Sự phát triển sang mô
hình kinh doanh mớI
Chia sẻ đồng thờI các
nguồn lực
Bảo mật
•
• Kiểm soát an ninh và đầu tư ít hơn
• Phản ứng nhanh và hiệu quả đối vớI các •
dịch vụ bảo mật
• Quản lý bản vá hiệu quả và triển khai các •
bản cập nhật
• Giao diện mở, tiêu chuẩn hoá cho các dịch•
vụ bảo mật được quản lý
Chuẩn bị phục hồi sự cố tốt hơn
Khả năng tự động quy mô phòng thủ
theo yêu cầu
Tổng hợp tài nguyên mang lạI khả năng
quản lý hệ thống an ninh tốt hơn
Kiểm toán nội bộ nghiêm ngặt và các thủ
tục đánh giá rủi ro
8
Sự hiểu biết về ảo hoá
Ảo hoá là khả năng chạy nhiều hệ điều hành và chia sẻ các tài nguyên cơ bản như máy chủ,
thiết bị lưu trữ hoặc mạng.
9
Sự hiểu biết về ảo hoá
Đặc điểm
• Phân vùng
• Sự cách ly
• Sự bao bọc
Phân loại
• Ảo hoá lưu trữ
• Ảo hoá mạng
• Ảo hoá server
Lợi ích
• Tăng tính liên tục trong kinh
doanh
• Giảm chi phí thiết lập
• Cải thiện cách tổ chức quản lý
CNTT và cung cấp dịch vụ
• Cải thiện hiệu quả hoạt động
• Giảm công việc quản trị hệ
thống
• Tạo điều kiện cho sao lưu và
bảo vệ dữ liệu tốt hơn
• Tăng mức độ dịch vụ và cung
cấp dịch vụ tự phục vụ
• Giúp quản lý nhân viên đảm
bảo kiểm soát và tuân thủ
10
1
Các khái niệm
2
Các mối đe doạ
3
Các cuộc tấn công
4
Bảo mật
5
Công cụ bảo mật
6
Kiểm thử xâm nhập
Các mối đe dọa
1. Mất mát dữ liệu
2. Lạm dụng và sử dụng
bất chính các dịch vụ
3. Các giao diện và APIs
không an toàn
4. Cấu hình sai và không
kiểm soát thay đổi đầy
đủ
5. Thiếu chiến lược và
kiến trúc bảo mật đám
mây
6. Chiếm đoạt tài khoản
7. Cấu hình sai và không
kiểm soát thay đổi đầy
đủ
8. Kinh doanh không uy
tín
9. Leo thang đặc quyền
10.Thảm họa thiên nhiên
11.Lỗi phần cứng
12.Chuỗi cung ứng thất
bại
13.Sửa đổi lưu lượng
mạng
14.Quản lý mạng thất bại
15.Tấn công xác thực
16.Mối đe dọa từ nội bộ
17.Nền tảng điều khiển
yếu
18. Cuộc tấn công cấp
máy ảo
19. Khóa lại
20. Mất quản trị
21. Mất khóa mã hóa
22. Thực hiện độc hại
23. Trộm cắp thiết bị máy
tính
24. Dịch vụ chấm dứt
hoặc thất bại
25. Xử lý và hủy bỏ dữ
liệu không đúng cách
26. Mất hoặc sửa đổi dữ
liệu sao lưu
Các mối đe dọa
Mất mát dữ liệu
Các vấn đề bao gồm:
• Dữ liệu bị xóa, sửa đổi
hoặc tách rời
• Khóa mã hóa bị mất, thất
lạc hoặc bị đánh cắp
• Truy cấp bất hợp pháp
vào dữ liệu trên đám mây
Lạm dụng và sử dụng
bất chính cá dịch vụ
Những kẻ tấn công tạo ra
quyền truy cập ẩn danh:
• Bẻ khóa và mật khẩu
• Tung ra các điểm tấn công
động
• Khai thác lưu trữ trên nền
tảng đám mây
do kiểm soát xác thực, ủy
• Lưu trữ dữ liệu độc hại
quyền và kiểm soát truy
• Lệnh Botnet hoặc kiểm soát
cập
• DDos
• Sử dụng sai dữ liệu của
CPS
Các giao diện và
APIs không an toàn
Giao diện không an toàn và
các rủi ro liên quan đến
APIs:
• Phá vỡ chính sách do
người dùng xác định
• Không phải là bằng
chứng rò rỉ thông tin xác
thực
• Vi phạm cơ sở ghi nhật
ký và giám sát
• Phụ thuộc API không xác
định
• Mật khẩu / mã thông báo
có thể tái sử dụng
Các mối đe dọa
Không đủ
thẩm định
Sự thiếu hiểu biết về môi trường đám mây của CSP gây ra rủi ro về
trách nhiệm hoạt động như bảo mật, mã hóa, ứng phó sự cố và nhiều
vấn đề khác như vấn đề hợp đồng, vấn đề thiết kế và kiến trúc
Vấn đề về
công nghệ
Hầu hết các thành phần cơ bản tạo nên cơ sở hạ tầng này (ví dụ:
GPU, bộ nhớ đệm CPU] không cung cấp các thuộc tính cách ly đáng
kể trong môi trường nhiều người thuê, điều này cho phép kẻ tấn công
tấn công các máy khác nếu chúng có thể khai thác lỗ hổng trong ứng
dụng của một máy khách
Thông tin
rủi ro không
xác định
Các tổ chức khách hàng không thể có được bức tranh rõ ràng về các
quy trình bảo mật nội bộ, tuân thủ bảo mật, tăng cường cấu hình, vá
lỗi, kiểm tra và ghi nhật ký,... vì họ ít tham gia vào quyền sở hữu và
bảo trì phần cứng và phần mềm trên đám mây
Đồng hộ hệ
thống
không đồng
bộ
• Đồng hồ không đồng bộ có thể ảnh hưởng đến hoạt động của các
tác vụ tự động
• Quản trị viên mạng sẽ không thể phân tích chính xác các tệp trễ
cho bất kỳ hoạt động độc hại nào, nếu các dấu thời gian không
khớp
Các mối đe dọa
Thiết kế và quy hoạch cơ
sở hạ tầng không đầy đủ
• Thiếu tài nguyên máy tính và /
hoặc thiết kế mạng kém dẫn đến
độ trễ mạng không thể chấp
nhận được hoặc không thể đáp
ứng các mức dịch vụ đã thỏa
thuận
Nhật ký hoạt động và bảo
mât
• Việc mất độ trễ bảo mật gây rủi
ro cho việc quản lý việc thực
hiện chương trình quản lý an
toàn thông tin
• Việc mất nhật ký bảo mật có thể
xảy ra trong trường hợp cung
cấp dung lượng lưu trữ dưới
mức
Xung đột giữa quy trình làm cứng
ứng dụng và môi trường đám mây
• Một số quy trình làm cứng ứng
dụng khách nhất định có thể
xung đột với môi trường của nhà
cung cấp dịch vụ đám mây, khiến
việc triển khai chúng không thể
thực hiện được
Nội bộ
• Những nhân viên, nhà thầu hoặc
đối tác kinh doanh hiện tại hoặc
cũ bất mãn có quyền truy cập
trái phép vào tài nguyên đám
mây có thể lợi dụng quyền truy
cập của họ để xâm phạm thông
tin có sẵn trên đám mây
Các mối đe dọa
o Truy cập bất hợp pháp vào Đám mây
Kiểm soát xác thực và ủy quyền yếu kém có thể dẫn đến truy cập bất hợp pháp, do đó ảnh hưởng
đến dữ liệu quan trọng và bí mật được nhìn thấy trong đám mây
o Mất uy tín doanh nghiệp do bên thuê
Tài nguyên được chia sẻ trên đám mây, do đó hoạt động độc hại của một người đồng thuê có thể
ảnh hưởng đến danh tiếng của người đồng thuê, dẫn đến việc cung cấp dịch vụ kém, mất dữ
liệu,... làm giảm uy tín của tổ chức.
o Nâng cấp đặc quyền
Lỗi trong hệ thống phân bổ quyền truy cập khiến khách hàng, bên thứ ba hoặc nhân viên có nhiều
quyền truy cập hơn mức cần thiết
o Thảm họa thiên nhiên
Dựa trên vị trí địa lý và khí hậu, các trung tâm dữ liệu có thể bị ảnh hưởng bởi các thảm họa tự
nhiên như lũ lụt, sét đánh, động đất,... có thể ảnh hưởng đến các dịch vụ đám mây
o Lỗi phần cứng
Lỗi phần cứng như thiết bị chuyển mạch, máy chủ,.. trong trung tâm dữ liệu có thể khiến dữ liệu
đám mây không thể truy cập được
Các mối đe dọa
Thất bại trong chuỗi cung ứng
• Các nhà cung cấp đám mây thuê ngoài một số tác vụ nhất định cho các bên thứ ba.
Do đó, bảo mật của đám mây tỷ lệ thuận với bảo mật của mỗi liên kết và mức độ phụ
thuộc vào các bên thứ ba
• Sự gián đoạn trong chuỗi có thể dẫn đến mất quyền riêng tư và tính toàn vẹn của dữ
liệu, dịch vụ không khả dụng, vi phạm SLA, thiệt hại về kinh tế và danh tiếng không
đáp ứng được nhu cầu của khách hàng và thất bại theo tầng.
Sửa đổi lưu lượng mạng
• Trong đám mây, lưu lượng mạng có thể bị thay đổi do các lỗ hổng trong quá trình cấp
phép hoặc hủy cung cấp mạng hoặc các lỗ hổng trong mã hóa giao tiếp
• Việc sửa đổi lưu lượng mạng có thể làm mất, thay đổi hoặc đánh cắp dữ liệu và thông
tin liên lạc bí mật
Thất bại trong cách ly
• Do lỗi cách ly, những kẻ tấn công cố gắng kiểm soát hoạt động của các khách hàng
đám mây khác để có được quyền truy cập bất hợp pháp vào dữ liệu
Các mối đe dọa
Mua lại nhà cung cấp đám
mây
Thỏa hiệp giao diện quản lý
• Việc mua lại nhà cung cấp đám mây có
thể làm tăng xác suất thay đổi chiến
thuật và có thể ảnh hưởng đến các
thỏa thuận không ràng buộc có nguy
cơ xảy ra. Điều này có thể gây khó
khăn cho việc đáp ứng các yêu cầu bảo
mật.
• Giao diện quản lý khách hàng của
nhà cung cấp đám mây có thể truy
cập được qua Internet và tạo điều
kiện truy cập vào một số lượng lớn
tài nguyên. Điều này làm tăng rủi ro,
đặc biệt khi kết hợp với truy cập từ
xa và các lỗ hổng trình duyệt web
Quản lý mạng không thành công
• Quản lý mạng kém dẫn đến nghẽn
mạng, kết nối sai, Cấu hình sai, thiếu
tài nguyên cô lập,..., ảnh hưởng đến
dịch vụ và bảo mật
Các cuộc tấn công xác thực
• Cơ chế xác thực yếu (mật khẩu yếu,
mật khẩu sử dụng lại,...) và những
hạn chế cố hữu của cơ chế xác thực
một yếu tố cho phép kẻ tấn công
truy cập trái phép vào hệ thống điện
toán đám mây
Các mối đe dọa
Tấn công
cấp độ máy
ảo
Điện toán đám mây sử dụng rộng rãi công nghệ ảo hóa. Các mối đe dọa
đối với các công nghệ này phát sinh do các lỗ hổng trong các siêu giám
sát.
Khóa lại
Khách hàng không thể di chuyển từ nhà cung cấp dịch vụ đám mây này
sang nhà cung cấp dịch vụ đám mây khác hoặc hệ thống nội bộ do thiếu
các công cụ, quy trình hoặc định dạng dữ liệu tiêu chuẩn cho tính di động
của dữ liệu, ứng dụng và dịch vụ
Rủi ro cấp
phép
Tổ chức có thể phải trả phí cấp phép đáng kể nếu CSP tính phí phần mềm
được triển khai trên đám mây trên cơ sở từng trường hợp
Mất quyền
quản trị
Khi sử dụng cơ sở hạ tầng đám mây, khách hàng từ bỏ quyền kiểm soát
đối với các nhà cung cấp dịch vụ đám mây về các vấn đề có thể ảnh
hưởng đến bảo mật
Mất chìa
khóa mã hóa
Việc mất các khóa mã hóa yêu cầu giao tiếp an toàn xa hoặc quyền truy
cập hệ thống cung cấp cho kẻ tấn công tiềm năng khả năng lấy được tài
sản trái phép
Các mối đe dọa
Xử lý và hủy bỏ
dữ liệu không
đúng cách
Mất / sửa đổi dữ
liệu sao lưu
Tuân thủ rủi ro
Từ chối tính bền
vững về kinh tế
(EDOS)
01
Rất khó để xác định các quy trình xử lý và hủy bỏ dữ liệu được
thực hiện bởi các CSP do hạn chế truy cập vào cơ sở hạ tầng
đám mây
02
Những kẻ tấn công có thể khai thác các lỗ hổng như SQL
injection và hành vi không an toàn của người dùng ( lưu trữ
hoặc sử dụng lại mật khẩu) để truy cập bất hợp pháp vào các
bản sao lưu dữ liệu trên đám mây
03
Các tổ chức tìm cách đạt được sự tuân thủ các tiêu chuẩn và
luật pháp có thể gặp rủi ro nếu CSP không thể cung cấp bằng
chứng về việc họ tuân thủ các yêu cầu, thuê ngoài quản lý
đám mây cho bên thứ ba và / hoặc không cho phép khách
hàng kiểm toán
04
Nếu kẻ tấn công tham gia vào đám mây với một dịch vụ độc
hại hoặc thực thi mã độc hại tiêu thụ nhiều sức mạnh tính toán
và dung lượng lưu trữ từ máy chủ đám mây, thì chủ tài khoản
hợp pháp sẽ bị tính phí cho loại tính toán này cho đến khi phát
hiện ra nguyên nhân chính của việc sử dụng CPU
1
Các khái niệm
2
Các mối đe doạ
3
Các cuộc tấn công
4
Bảo mật
5
Công cụ bảo mật
6
Kiểm thử xâm nhập
Phân loại tấn công điện toán đám mây (P1)
1. Dịch vụ tấn công bằng cách sử dụng kỹ thuật
Social Attacks
2. Tấn công dịch vụ bằng cách sử dụng Network
Snitfing
3. Đánh cắp phiên sử dụng XSS Attack và
Session riding
4. Tấn công hệ thống tên miền DNS
5. Tấn công vi phạm kênh hoặc máy ảo khách
22
Phân loại tấn công điện toán đám mây (P2)
6. Tấn công SQL Injection
7. Tấn công Cryptanalysls
8. Tấn công gói
9. Tấn công Dos và DDos
10. Con người trong tấn công đám mây
23
1.1 Tấn công sử dụng kỹ thuật Social Attacks
1. Đây là một kỹ thuật xâm nhập phụ thuộc rất
nhiều vào sự tương tác của con người để lừa
người khác phá vỡ thủ tục bảo mật thông thường
2. Hacker nhắm mục tiêu vào các nhà cung cấp
dịch vụ để thiết lập lại mật khẩu hoặc các nhân
viên CNTT đánh giá các dịch vụ cloud để tiết lộ
3. Các cách thường để lấy mật khẩu gồm : Đoán
mật khẩu, sử dụng keylogging thực hiện bẻ khóa,
gửi mail lừa đảo,…
4. Kết quả là thu thập dữ liệu trái phép vào mục
đích trái phép
24
1.2 Miêu tả sử dụng Social Attacks
25
2. Tấn công sử dụng kỹ thuật Network Sniffing
1. Đây là một kỹ thuật chặn và giám sát lưu lượng
mạng đang được gửi đi giữa hai nút đám mây
2. Kẻ tấn công sẽ sử dụng các công cụ phân tích
gói tin để chặn bắt dữ liệu nhạy cảm như mật
khẩu, cấu hình bảo mật liên quan đến dịch vụ
như UDDI, SOAP, WSDL
26
3.1 Tấn công sử dụng kỹ thuật XSS
Kẻ tấn công sẽ triển khai XSS để đánh cắp cookie
dùng để xác thực người dùng, điều này liên quan
đến đưa một mã độc hại vào trang web được
trình duyệt thực thi
27
3.2 Tấn công sử dụng kỹ thuật Session ridding
-Kẻ tấn công thực hiện giả mạo yêu cầu để
truyền các lệnh trái phép
- Thực hiện lừa người dùng qua email hoặc
truy cập vào trang web có mã độc để chúng có
thể truy nhập vào máy chủ chính thống mà
người dùng đã đang nhập trước đó
- Khi đó người dùng đã xác thực trong phiên
làm việc, hacker có quyền truy cập để sửa xóa
dữ liệu, giao dịch, … 1 cách trái phép
28
3.2 Miêu tả sử dụng Session ridding
29
4.1 Tấn công DNS
1. Kẻ tấn công DNS thực hiện để lấy thông tin xác
thực người dùng
Các kiểu tấn công DNS:
-DNS Poisoning : Tấn công máy chủ DNS hoặc bộ
đệm DNS trên hệ thống người dùng
- Cybersquatting : Đăng ký 1 tên miền tương tự
- Domain Hijacking : Đánh cắp tên miền
- Domain Snipping : Đăng ký 1 tên miền đã hết
hạn
30
4.2 Miêu tả Tấn công DNS
31
5.1 Tấn công vi phạm kênh hoặc máy ảo khách
1. Kẻ tấn công xâm phạm bừng cách đặt một máy
ảo độc hại gần máy chủ đám mây mục tiêu và
khởi chạy tấn công Side channel
2. Kẻ tấn công chạy một máy ảo trên cùng một
máy chủ vật lý của máy ảo nạn nhân và lấy lợi thế
tài nguyên vật lý được chia sẻ để đánh cắp dữ
liệu của nạn nhân
3. Các cuộc tấn công Side channel có thể được
thực hiện bởi bất kỳ người dùng có cùng máy chủ
và chủ yếu do các lỗ hổng bảo mật trong việc
chia sẻ tài nguyên vật lý
32
5.2 Miêu tả tấn công Side Channel
33
6. Tấn công SQL Injection
1. Hacker tấn công nhắm vào các
cơ sở dữ liệu có nhiều lỗ hổng, bảo
mật kém
2. Sử dụng vào các ô nhập thông
tin vào để truy vấn thông tin ở
trong SQL
3. Tạo ra mã độc bằng cách sử
dụng đặc điểm hình thành mã SQL
để quét vào cơ sở dữ liệu, điều
khiển, thu thập dữ liệu hệ thống
34
7.1 Tấn công Cryptanalysls
1. Các dịch vụ mã hóa không chính xác, lỗi thời dễ
bị phân tích mật mã
2. Dữ liệu đặt trước trên đám mây có thể được
mã hóa để ngăn cho không bị phát tán. Tuy nhiên
các sai sót trong việc triển khai thuật toán mã
hóa gây nên mã hóa yếu gây nên dễ bị bẻ khóa
3. Thông tin một phần cũng được bị đánh cắp
bằng cách phân tích các mẫu tuy cập truy vấn của
client và phân tích các vị trí đã truy cập
35
7.2 Miêu tả tấn công Cryptanalysls
36
Wrapping Attack
Wrraping Attack được thực hiện trong quá trình
thông dịch các gói tin SOAP trong lớp TLS, nơi những
kẻ tấn công sao chép nội dung của gói tin đó và gửi
nó đến máy chủ với tư cách là người dung hợp lệ
37
Wrapping Attack
User
Attacker
Cloud
Server
Người dùng gửi yêu cầu đến máy chủ
web
Header
Chặn gói tin
SOAP
Sao chép dữ liệu gốc, sao
chép Header và thực hiện sửa
đối dữ liệu gốc
Body
Gửi gói tin SOAP với
header
Header
+ Body
Malicidou
s Body
38
Dos and DDoS
• Thực hiện các cuộc tấn công từ chối dịch vụ (DoS) vào các
nhà cung cấp dịch vụ đám mây có thể khiến người thuê
không thể truy cập vào tài khoản
• DoS có thể thực hiện bằng cách :
• Làm quá tải server bằng cách gửi nhiều yêu cầu sử dụng
hết tài nguyên hệ thống
• Gửi yêu các yêu cầu độc hại tới server làm bị đứng các
tiền trình của hệ thống
• Thử password sai cho đến khi tài khoản bị khóa
• Nếu cuộc tấn công DoS thực hiện bằng việc sử dụng botnet
thì nó được biết đến với tên gọi là DDoS
39
Dos and DDoS
Cloud User
Handler
Lây nhiễm một
số lượng lớn
máy tính thông
qua mạng inter
net
Lưu lượng tấn
công
Lưu lượng tin
cậy
Internet
Attacker thiết
lập hệ thống
xử lý
Attacker
Zombie Net
Lưu lượng tấn
công làm đầy
server
Cloud
Services
Lưu lượng
tin cậy
không thể
thực hiện
truy cập
40
Man-in-the-Cloud-Attack
• Man-in-the-Cloud (MITC) là dạng tấn công nâng cao của
Man-in-the-middle (MITM)
• Trong tấn công MITM, attacker khai thác việc cản trở và
thao túng giao tiếp giữa hai bên trong khi đó MITC tập trung
hơn vào tập tin đồng bộ hóa dữ liệu đám mây như dịch vụ
Googler Drive hoặc DropBox bằng việc đách cắp dữ liệu,điều
khiển và kiểm soát (C&C), lọc dữ liệu và thao túng từ xa .
• Attacker bằng cách nào đó lừa nạn nhân cài đặt các đoạn
mã độc thứ được đề cài khóa đồng bộ của attacker vào ổ dữ
liệu của nạn nhân
• Sau đó, attacker thực hiện trộm khóa đồng bộ của nạn nhân
và dùng nó để gán quyền truy cập trên tệp tin của nạn nhân
• Cuối cùng, attacker khôi phục lại đoạn mã token độc bằng
khóa đồng bộ ban đầu của nạn nhân, rồi trả vệ hiện trạng
ban đầu như chưa từng có ai truy cập
41
Man-in-the-Cloud-Attack
Victim
Attacker
42
1
Các khái niệm
2
Các mối đe doạ
3
Các cuộc tấn công
4
Bảo mật
5
Công cụ bảo mật
6
Kiểm thử xâm nhập
Cloud Security Control Layers
1
SDLC,Binary Analysis,Scanners,Web App FireWalls, Ghi lịch
sử
2
DLP,CMF, Giám sát cơ sở dữ liệu, Mã hóa
GRC, IAM, VA/VM, Quản lý, Cấu hình quản lý, Giám
sát
3
4
5
6
7
NIDS/NIPS, Firewalls, DPI, Anti-DDoS, QoS
Phần cứng và phần mềm RoT và API’s
HIDS/HIPS, Mã hóa, Quản lý file/log, Host Firewall
An toàn vật lý, CCTV, Bảo vệ
44
Cloud Provider
CloudConsumer
Cloud Security is the Responsibility of both
Cloud Provider and Consumer
Workload
Instances/VMs
Cloud Sofware
Infrastructure
Cloud Hardware
Infrastructure
Application&Info
rmation within
VM Boundaries
Cloud Stacks
(Open source,
Open Core, or
Proprietary)
Compute
Network Storage
(Commodity or
Engineered)
PKI
IAM
VA/VM
SDL
ENC
APP Sec
WAF
DLP
AV
GRC
FW
IPS
VPN
Conf
Control
RTG
SWG LB
---
WAF
DLP
AV
Cos/Qos
FW
IPS
VPN
SDL
RTG
SWG
LB
APP Sec
WAF
DLP
AV
FW
IPS
VPN
----
RTG
SWG
LB
Cos/Qo
s
VA/VM
DDoS
Netflow TPM 45
Cloud Security is the Responsibility of both
Cloud Provider and Consumer
• PKI: Public Key
Infrastructure
• SDL: Security
Development
Lifecycle
• WAF: Web
Application Firewall
• FW: Firewall
• RTG: Real Traffic
Grabber
• IAM: Identity and
Access Management
• ENC: Encryption
• DLP: Data Loss
Prevention
• IPS:Intrusion
Prevention System
• SWG: Secure Web
Gateway
46
Cloud Security is the Responsibility of both
Cloud Provider and Consumer
• VA/VM: Virtual
Application/Virtual
Machine
• App Sec: Application
Security
• AV: Anti-virus
• VPN: Virtual Private
Network
• LB: Load Balancer
• GRC: Governance, Risk,
and Compliance
• Config Control:
Configuration Control
• CoS/QoS:Class of
Service/Qualityof
Service
• DDoS: Distributed
denial of service
• TPM: Trusted Platform
Module
• Netflow: Network
protocol By Cisco
47
Cloud Computing Security Considerations
1. Các dịch vị điện toán đám mây phải được nhà cung cấp
điều chỉnh theo yêu cầu bảo mật nhất định của khách hàng
2. Các nhà cung cấp dịch vụ điện toán đám mây nên cung
cấp tính đa năng cao hơn cho phép sử dụng tối ưu tài
nguyên đám mây và bảo mật dữ liệu và ứng dụng
3. Các dịch vụ đám mây nên triển khai kế hoạch khôi phục
sau thảm họa cho dữ liệu được lưu trữ để cho phép truy
xuất thông tin trong các tình huống bất ngờ
4. Cần giám sát liên tục chất lượng dịch vụ (QoS) để duy trì
các thỏa thuận về mức độ dịch vụ giữa người tiêu dùng và
nhà cung cấp dịch vụ
48
Cloud Computing Security Considerations
5. Cần giám sát liên tục chất lượng dịch vụ (QoS) để duy trì
các thỏa thuận về mức độ dịch vụ giữa người tiêu dùng và
nhà cung cấp dịch vụ
6. Dịch vụ điện toán đám mây phải nhanh chóng, đáng tin
cậy và cần cung cấp thời gian phản hồi nhanh chóng cho
các yêu cầu mới
7. Thuật toán mã hóa bất đối xứng và đối xứng cần được
triển khai thực hiện sao cho tối ưu dữ liệu được bảo vệ
trong server cloud
8. Cân bằng tải nên được tích hợp trong các dịch vụ đám
mây để tạo điều kiện cho mạng và tài nguyên nhằm cải
thiện thời gian phản hồi của công việc với thông lượng tối
đa
49
Placement of Security Controls in the Cloud
Virtual Server
Organization
Operating System
CPU
Virtual Server
Load Balancer
Applications
Memory
Wifi-Protected
Access
Disk
Firewall
Virtual infrastructure
cluster Farm
Unified Threat
Managerment
System
SAN
Network Equiqment
Router
Best Practices for Sercuring Cloud
1.Thực thi các cơ chế bảo vệ, sao lưu và lưu giữ dữ liệu
2.Thực thi SLAs để vá và khắc phục lỗ hổng bảo mật
3.Các nhà cung cấp phải thường xuyên đánh giá AICPA SAS
70 Type II
4.Xác minh đám mây của chính mình trong danh sách đen
miền công cộng
5.Thực thi các hợp đồng trái pháp luật trong chính sách
hành vi của nhân viên
51
Best Practices for Sercuring Cloud
6. Cấm chia sẻ thông tin xác thực giữa các người dùng, ứng
dụng và các dịch vụ
7. Triển khai các giải pháp xác thực, phần quyền và cơ chế
kiểm soát đủ mạnh
8. Kiểm tra bảo vệ dữ liệu ở cả phần thiết kế và sử dụng
9. Triển khai hệ thông tạo, lưu trữ, quản lí và phần phối
khóa mạnh mẽ
10. Giám sát lưu lượng truy cập của khách hàng nếu có bất
kỳ hoạt động độc hại nào
52
Best Practices for Sercuring Cloud
11. Ngăn chặn truy cập máy chủ không được ủy quyền bằng
các chốt bảo vệ
12. Thông báo nhật ký và dữ liệu cho khách hàng
13. Phân tích nhà cung cấp dịch vụ điện toán đám mây và
SLAs
14. Đánh giá bảo mật của APIs của đám mây và ghi lại nhật
ký sử dụng của khách hàng
15. Đảm bảo đám mây đã được thường xuyên trải qua các
đợt kiểm tra an toàn và cập nhật
53
Best Practices for Sercuring Cloud
16. Đảm bảo các biện pháp an toàn vật lý là 24/7, 365 ngày
trong năm
17. Thi hành các biện pháp an toàn tiêu chuẩn trong thiết
lập và cài đặt ứng dụng
18. Đảm bảo rằng bộ nhớ, ổ đĩa, và các thiết bị truy cập
mạng hoàn toàn được cô lập
19. Tận dụng kỹ thuật xác thực đa yêu tố nếu có thể
20. Có quy trình thông báo an ninh cho từng trường hợp cụ
thể
54
Best Practices for Sercuring Cloud
21. Phân tích API phụ thuộc như thế nào vào các module
ứng dụng phần mềm
22. Thi hành nghiêm khắc việc đăng ký và thẩm định các
quy trình
23. Trình bày các mối nguy hại và thiết lập các hệ thống
đánh giá rủi ro
24. Công khai các thông tin về cơ sở hạ tầng, các phiên bản
vá lỗi, và thông tin tường lửa
55
NIST Recommendations for Cloud Security
Đánh giá rủi ro đặt ra đối với dữ liệu, phần mềm và cơ sở hạ tầng
của khách hàng
Lựa chọn mô hình triển khai phù hợp theo nhu cầu
Đánh giá rủi ro đặt ra đối với dữ liệu, phần mềm và cơ sở hạ tầng
của khách hàng
Cập nhật SLAs trong trường hợp phát hiện lỗ hổng bảo mật giữa tổ chức
bảo mật và nhà cung cấp dịch vụ điện toán đam mây tiêu chuẩn
Thiết lập các cơ chế phát hiện sự cố và phản hồi thích hợp
Phân tích các mục tiêu hàng đầu cần bảo vệ của tổ chức
Đưa ra dấu hỏi về việc ai sẽ là người phải chịu trách nhiệm về dữ
liệu riêng tư và vấn đề an toàn trong điện toán đam mây
56
1
Các khái niệm
2
Các mối đe doạ
3
Các cuộc tấn công
4
Bảo mật
5
Công cụ bảo mật
6
Kiểm thử xâm nhập