Compliance-Übersicht¶
Sicherheitsprinzipien¶
Industriestandard Sicherheitsprinzipien bieten eine Grundlinie für Compliance-Zertifizierungen und Bescheinigungen. Wenn diese Prinzipien in einem OpenStack-Einsatz berücksichtigt und referenziert werden, können Zertifizierungsaktivitäten vereinfacht werden.
Schichtverteidigung¶
Identifizieren Sie, wo Risiken in einer Cloud-Architektur existieren und wenden Sie Kontrollen, um die Risiken zu mindern. In Bereichen von erheblicher Besorgnis bieten Schichtverteidigungen mehrere komplementäre Kontrollen, um das Risiko auf ein akzeptables Niveau zu lenken. Um beispielsweise eine ausreichende Trennung zwischen den Cloud-Mandaten zu gewährleisten, empfehlen wir ein Hardening :term:QEMU <Quick EMUlator (QEMU)>`, die Verwendung eines Hypervisor mit SELinux-Unterstützung, die Durchsetzung verbindlicher Zugangskontroll-Richtlinien und die Verringerung der gesamten Angriffsfläche. Das Grundprinzip besteht darin, einen Bereich mit mehreren Verteidigungsschichten zu verhärten, so dass, wenn eine Schicht kompromittiert wird, andere Schichten vorhanden sind, um Schutz zu bieten und die Exposition zu minimieren.
Sicher fehlschlagen¶
Im Falle eines Ausfalls sollten die Systeme so konfiguriert werden, dass sie in einen geschlossenen sicheren Zustand versagen. Beispielsweise sollte die Überprüfung des TLS-Zertifikats fehlgeschlagen sein, indem die Netzwerkverbindung getrennt wird, wenn das CNAME nicht mit dem DNS-Namen des Servers übereinstimmt. Die Software schlägt in dieser Situation oft nicht fehl, so dass die Verbindung ohne CNAME-Übereinstimmung erfolgen kann, was weniger sicher ist und nicht empfohlen wird.
Wenige Privilegien¶
Es wird nur der Mindestzugang für Benutzer und Systemdienste gewährt. Dieser Zugriff basiert auf Rolle, Verantwortung und Berufsfunktion. Dieses Sicherheitsprinzip des geringsten Privilegs ist in mehrere internationale Regierungssicherheitsrichtlinien geschrieben, wie z. B. NIST 800-53 Abschnitt AC-6 in den Vereinigten Staaten.
Kompartimentieren¶
Systeme sollten so getrennt werden, dass bei einer Kompromittierung einer Maschine oder eines System-Level-Service die Sicherheit der anderen Systeme intakt bleibt. Praktisch, die Aktivierung und die ordnungsgemäße Verwendung von SELinux hilft, dieses Ziel zu erreichen.
Förderung der Privatsphäre¶
Die Menge an Informationen, die über ein System und seine Benutzer gesammelt werden können, sollte minimiert werden.
Logging-Fähigkeit¶
Eine angemessene Protokollierung wird durchgeführt, um auf unbefugte Benutzung, Auffallreaktion und Forensik zu überwachen. Wir empfehlen dringend, ausgewählte Audit-Subsysteme zu beurteilen. Common Criteria certified, die in den meisten Ländern nicht beschreibbare Event-Rekorde bietet.
Gemeinsame Kontrollrahmen¶
Im Folgenden finden Sie eine Liste von Control Frameworks, die eine Organisation zum Erstellen ihrer Sicherheitskontrollen verwenden kann.
Cloud Security Alliance (CSA) Common Control Matrix (CCM)
Das CSA CCM wurde speziell entwickelt, um grundlegende Sicherheitsprinzipien zu liefern, um Cloud-Anbieter zu begleiten und potenzielle Cloud-Kunden bei der Beurteilung des gesamten Sicherheitsrisikos eines Cloud-Anbieters zu unterstützen. Das CSA CCM stellt ein Steuerungsrahmen zur Verfügung, der über 16 Sicherheitsdomänen ausgerichtet ist. Die Gründung der Cloud Controls Matrix beruht auf der maßgeschneiderten Beziehung zu anderen Industriestandards, Regelungen und Kontrollen, wie zB: ISO 27001: 2013, COBIT 5.0, PCI: DSS v3, AICPA 2014 Trust Service Principles and Criteria und ergänzt die interne Kontrollrichtung für Serviceorganisation Control Reports.
Das CSA CCM stärkt bestehende Informationssicherheits-Steuerungsumgebungen, indem es die Verringerung von Sicherheitsbedrohungen und Schwachstellen in der Cloud ermöglicht, ein standardisiertes Sicherheits- und operationelles Risikomanagement bietet und die Sicherheitserwartungen, die Cloud-Taxonomie und die Terminologie und die Sicherheitsmaßnahmen in der Cloud umsetzen will.
ISO 27001/2:2013 <http://www.27000.org/iso-27001.htm>`_
Die ISO 27001 Information Security Standard und Zertifizierung wurde seit vielen Jahren verwendet, um zu bewerten und zu unterscheiden, ob eine Organisation mit Informationen zu Security Best Practices ausgerichtet ist. Der Standard besteht aus zwei Teilen: Obligatorische Klauseln, die das Information Security Management System (ISMS) und Anhang A definieren, der eine Liste von Kontrollen enthält, die nach Domänen organisiert sind.
Das Informationssicherheitsmanagementsystem bewahrt die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen durch die Anwendung eines Risikomanagementprozesses und gibt den Interessenten Vertrauen, dass Risiken angemessen verwaltet werden.
`Trusted Security Principles <http://www.aicpa.org/interestareas/informationtechnology/resources/soc/trustservices/pages/trust%20services%20principles—an%20overview.aspx> `_
Trust Services sind eine Reihe von professionellen Bescheinigungen und Beratungsdienste, die auf einem Kernsatz von Prinzipien und Kriterien basieren, die die Risiken und Chancen von IT-fähigen Systemen und Datenschutzprogrammen betreffen. Häufig als SOC-Audits bekannt, definieren die Prinzipien, was die Anforderung ist und es ist die Organisation Verantwortung, die Kontrolle zu definieren, die die Anforderung erfüllt.
Prüfungsreferenz¶
OpenStack ist in vielerlei Hinsicht innovativ, aber der Prozess, der zur Prüfung einer OpenStack-Implementierung verwendet wird, ist ziemlich normal. Auditoren werden einen Prozess nach zwei Kriterien auswerten: Ist die Steuerung effektiv konzipiert und funktioniert die Steuerung effektiv. Ein Verständnis dafür, wie ein Auditor auswertet, ob eine Kontrolle konzipiert und effektiv betrieben wird, wird im Abschnitt :doc: Verständnis des Audit-Prozesses besprochen.
Die gängigsten Rahmenbedingungen für die Auditierung und Bewertung eines Cloud-Einsatzes sind der bereits erwähnte ISO 27001/2 Information Security-Standard, das ISACA-Rahmensystem für Informations- und zugehörige Technologie (COBIT), Committee of Sponsoring Organizations of the Treadway Commission (COSO) und Information Technologie-Infrastruktur-Bibliothek (ITIL). Es ist für Audits sehr geläufig, einen oder mehreren Bereiche dieser Frameworks im Auge zu behalten. Glücklicherweise gibt es eine Menge von Überschneidungen zwischen den Frameworks, so dass eine Organisation, die eine nimmt, eine guten Position in der Audit-Zeit bekommt.
