Una breve presentazione sulla seicurezza e affidabilita'del cloud e i relativi rischi e pericoli

1. Cloud: affidabilita’,
sicurezza e pericoli

2. Data Center
→Sistemi cluster
→Architettura distribuita
→Garantiscono affidabilità e tolleranza ai guasti
tramite ridondanza fisica degli apparati

3. Affidabilita’
Affidabilità: la capacità di rispettare le specifiche tecniche di funzionamento nel tempo.
Fault-tolerance: è la capacità di un sistema di non subire avarie (cioè interruzioni di
servizio) anche in presenza di guasti.
Ridondanza: l'esistenza di più mezzi per svolgere una determinata funzione, disposti in
modo tale che un guasto del sistema possa verificarsi solo in conseguenza del guasto
contemporaneo di tutti questi mezzi.

4. CSA
→CSA Security, Trust & Assurance (STAR)
→Certificato di Cloud Security Knowledge (CCSK)
Definizione e sensibilizzazione di pratiche per garantire un ambiente protetto di
cloud computing

5. Pericoli per i propri dati
I 12 pericoli da cui difendersi secondo la CSA
1) Sottrazione o condivisione non voluta di dati sensibili:
Causato dal verificarsi di una violazione della
sicurezza o di un errore umano;
2) Gestione inadeguata degli accessi:
Dovuto alla poca scalabilità dei sistemi di Identity
Access Management, dal non prevedere un’autenticazione
a più fattori e dalla mancanza di policy automatizzate per la
rotazione di password, certificati digitali e chiavi crittografiche;
3) Poca sicurezza delle interfacce e delle API:
Aumenta quando un’azienda usa le API di un servizio per
crearne a sua volta uno proprio al quale si accede attraverso
altre API;

6. Pericoli per i propri dati
5) Vulnerabilità dei sistemi IT:
In ambienti multi-tenant la superficie di attacco legata alle
vulnerabilità aumenta;
6) Furto di account:
Solitamente ha un impatto maggiore sul business aziendale rispetto
al furto di un normale account di rete;
Gli altri 7 pericoli:
→le attività illecite o improprie del personale interno del cloud provider
→le Advanced Persistent Threat
→la perdita di dati accidentale
→una due diligence insufficiente nel valutare un cloud provider
→l’abuso di servizi cloud per attaccare aziende o utenti
→gli attacchi DDoS
→generici rischi provenienti dalla condivisione delle risorse

7. Spideroak
Zero-Knowledge: utilizzo della criptazione dei dati
anche per la loro conservazione nei data center
End-to-end encryption: impedisce ai potenziali intercettatori
- inclusi i fornitori del servizio - di poter accedere alle chiavi crittografiche necessarie
per decrittografare i dati

8. Applet con IFTTT
→Il trigger e’ una qualsiasi mail in entrata
all’ indirizzo selezionato
→Viene creato un text file su Dropbox
→Viene inviato un messaggio con il
contenuto della mail su Telegram,
nella chat con il bot IFTTT