Le cloud computing dans le cloud public a soulevé des questions de sécurité pour les entreprises qui ont des exigences de conformité réglementaire. De nombreux organismes de réglementation ont été lents à aligner les exigences de sécurité sur le cloud computing public. Cela crée des obstacles à l'adoption du cloud public pour les applications sensibles à la sécurité. Pour répondre à certains de ces besoins de sécurité, les entreprises utilisent un cloud privé pour bénéficier des avantages du cloud computing tout en maintenant la sécurité et la confidentialité fournies par le matériel dédié. Le cloud computing privé offre également aux utilisateurs une voie pour une future migration vers le cloud public. Cet article décrit les problèmes de sécurité dans le cloud public et les stratégies d'utilisation du cloud privé pour résoudre ces problèmes.
Protection contre les pirates
Le premier problème de sécurité dans tout environnement informatique est la menace des pirates. Le cloud computing dans un environnement partagé crée de nouvelles opportunités pour les pirates cherchant à découvrir des vulnérabilités qui pourraient leur permettre de refuser le service ou d'obtenir un accès non autorisé. De plus, les experts en sécurité disposent de méthodes détaillées pour attaquer le cloud. infrastructurede l'intérieur en exécutant des outils de piratage dans le cloud.
Lorsqu'un pirate a accès à un nœud de cloud public, le pirate gagne en visibilité à l'intérieur du cloud. Le pirate utilise ensuite ces informations privilégiées pour sonder le système et planifier des attaques plus efficacement. Pour lutter contre cette vulnérabilité, un cloud privé limite l'accès à ses ressources aux seuls utilisateurs et administrateurs autorisés. contrôler l'accès à l'ensemble de l'environnement.
Protection contre les conflits de ressources
Une autre préoccupation du cloud public est la contention des ressources. Un problème de sécurité peut survenir lorsqu'un conflit de ressources résulte d'un déni de service (DoS) sur un autre locataire de l'infrastructure partagée. Le cloud public est une ressource partagée qui peut potentiellement exposer tous les locataires du cloud à des risques de sécurité lorsqu'un locataire devient la cible d'une attaque DoS. Cependant, le cloud privé offre aux entreprises une protection inhérente contre les attaques DoS dirigées vers d'autres entreprises en évitant l'infrastructure partagée.
De nombreuses spécifications de conformité réglementaire, notamment la Health Insurance Portability and Accountability Act de 1996 (HIPAA) et la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS), exigent spécifiquement la séparation des données (bien que tous les clouds publics n'utilisent pas la technologie de virtualisation). Ces normes n'ont pas été mises à jour pour traiter de la protection et de la ségrégation des données dans le cloud public. Au contraire, ils s'alignent sur le cloud privé. Étant donné qu'un cloud privé utilise du matériel dédié, il est relativement simple de séparer les données sur des serveurs et des machines virtuelles (VM) distincts. Cela permet aux entreprises de maintenir la conformité réglementaire tout en bénéficiant du cloud computing.
L'exemple précédent inclut les composants suivants :
- Hyperviseurs :Serveurs physiques qui exécutent les différentes machines virtuelles sous le contrôle de l'hyperviseur.
- Pare-feu :La première ligne de défense contre les attaques.
- ID :Système de détection d'intrusion.
- Segment DMZ :Le segment de réseau de la zone démilitarisée (DMZ) a un accès étroitement contrôlé à l'Internet public.
- Segment privé :Ce segment de réseau n'a pas accès à partir de l'Internet public.
Cette configuration personnalisée comprend à la fois un segment public et un segment privé, un pare-feu et du matériel IDS. Dans cet exemple, les deux segments de réseau permettent la publication d'applications de manière conforme, que vous ayez besoin d'un réseau public ou privé. Les segments de réseau privé interdisent l'accès à partir de l'Internet public et sont un composant nécessaire de nombreuses spécifications de conformité réglementaires telles que PCI DSS. L'appareil IDS détecte de manière proactive toutes les attaques entrantes et envoie des alertes incitant le personnel de sécurité à enquêter et à réagir.
Conclusion
Le cloud computing est en constante évolution et est susceptible de répondre à ces problèmes de sécurité à mesure que la technologie progresse. La technologie permettra bientôt aux machines virtuelles de passer des clouds privés aux clouds publics et inversement. Les entreprises qui choisissent de déployer un cloud privé aujourd'hui peuvent en bénéficier immédiatement en utilisant au mieux leurs ressources disponibles. De plus, les entreprises qui utilisent le cloud privé pour optimiser leurs environnements sont mieux positionnées pour une future transition vers le cloud public à mesure que leurs besoins évoluent et que de nouvelles technologies émergent. .