sicheres cloud computing mit linux on system z - doag.org · ist dies ihre cloud strategie? …dann...
Post on 10-Aug-2019
217 Views
Preview:
TRANSCRIPT
© 2011 IBM Corporation
Sicheres Cloud Computing mit Linux on System z
Sicheres Cloud Computing mit Linux on System z
Siegfried LangerBusiness Development Manager z/VSE & Linux on System z
2011Nürnberg, 17. November 2011
© 2011 IBM Corporation
Linux on System z
06.08.102
Lassen Sie uns Cloud Computing einführen, damit ich bei unserem
Vorstandsmeeting darüber reden kann.
Sagen Sie ihnen: „Wir untersuchen es“. Dann muss keiner von uns
wirklich daran arbeiten.
Entschuldigung! Ich dachte, Sie
würden als Vorbild agieren.
Ich mag es, wenn Sie
richtig arbeiten.
Ist dies Ihre Cloud Strategie?
… dann ist Sicherheit kein Problem!
3 © 2011 IBM Corporation
Linux on System z
§ Sicherheitsbedenken in der Cloud
§ Beste Praktiken und Empfehlungen
§ Anwendungsbeispiel - Integrierte Sicherheit mit Linux on System z
– Linux on System z
– Mehrdimensionale Virtualisierung
– Kryptographie
– Mandantenfähigkeit
§ Empfehlungen für Sicherheitsmaßnahmen in einer virtualisierten Umgebung
Diskussionspunkte
© 2011 IBM Corporation
Linux on System z
„Ich ziehe die private Cloud vor. Wenn der Service intern ist, kann
ich die Sicherheit besser kontrollieren.“
Sicherheitsbedenken sind das größte Hindernis
80%aller Unternehmen nennen Sicherheit als das größte Hindernis für die Cloud-Einführung
48%der Unternehmen haben Verfügbarkeitsbedenken
33%sehen Probleme bei der Einhaltung von gesetzlichen Bestimmungen und regulatorischer Standards
… Verfügbarkeit, Zuverlässigkeit, Datensicherung…
„Wie können wir sicherstellen, dass unsere Daten nicht angezapft
werden und dass der Serviceanbieter die Technologie
und Kontrolle hat, um den Diebstahl der Daten durch seine
Angestellten zu verhindern?“
Quelle: Studie – Oliver Wyman für IBM
5 © 2011 IBM Corporation
Linux on System z
Warum wird Sicherheit in der Cloud als so großes Problem angesehen?
?Wir haben die KontrolleOrt x,auf Servern y, z, wir machen Backups,wir kontrollieren den Zugriff,unsere die Verfügbarkeit ist ausreichend, Audits sind zufriedenstellend,unser Sicherheitsteam ist involviert.
Wer hat die Kontrolle?Wo ist die Cloud?Wo sind die Daten gespeichert?Wer macht Backup?Wer hat Zugriff?Wie gut ist der Schutz?Wie wird auditiert?Wie ist unser Sicherheits-team eingebunden?
?
?
?
??Data Center
Public Cloud
l Kontrollverlust (angenommen oder real)l keine Erfahrungenl keine etablierten Standardsl Unsicherheit wie Regularien und
Standards anzuwenden sind
l Resultatl Public Cloud wird kaum für unternehmenskritische
Anwendungen eingesetztl Präferenz für private oder hybride Cloud
© 2011 IBM Corporation
Linux on System z
Sicherheit wird durch das schwächste Glied bestimmt
Sind meine Daten in der Cloud sicher?
Klar, bis es regnet.
7 © 2011 IBM Corporation
Linux on System z
Ziel der Informationssicherheit
§ Sicherstellen, dass die IT-Risiken für alle Beteiligten auf ein akzeptables Maßgesenkt werden
Mittel und Werkzeuge:l Risiko-Management Prozesse:
l Kenntnis Ihrer Werte und Sicherheitszielel Kenntnis Ihrer Risiken (und Früherkennung wachsender Risiken!)l Vorkehrungen zur Risikoabwehr und Risikobegrenzungl Akzeptanz bestimmter Risiken
l Sicherheitsmaßnahmen zur Risikoreduktion:l Vorsorge (z.B. „Stopp“, Vermeidung oder Blockierung)l Überwachung (z.B. Beobachtung oder Audit)l Kompensation (z.B. Wiederanlauf oder Umschalten im Fehlerfall)
Beispiel: Eine Cloud kann nicht sicherer sein, als das physische Rechenzentrum.
8 © 2011 IBM Corporation
Linux on System z
§ Sicherheitsbedenken in der Cloud
§ Beste Praktiken und Empfehlungen
§ Anwendungsbeispiel - Integrierte Sicherheit mit Linux on System z
– Linux on System z
– Mehrdimensionale Virtualisierung
– Kryptographie
– Mandantenfähigkeit
§ Empfehlungen für Sicherheitsmaßnahmen in einer virtualisierten Umgebung
Diskussionspunkte
© 2011 IBM Corporation
Linux on System z
06.08.109
Cloud Computing – auf dem Weg zur Standardisierung National Institute of Standards and Technology (NIST)
http://csrc.nist.gov/publications/PubsDrafts.html
© 2011 IBM Corporation
Linux on System z
1010
Überblick Detail-orientiert
Hilfestellung
IBM Angebote
Produkte, Serviceangebote und Lösungen
IBM CloudSecurity Guidance
Beschreibt Technologie-Bedingungen
IBM Security Framework
Beschreibt Sicherheit in Geschäftskategorien
© 2011 IBM Corporation
Linux on System z
11
IBM Security Framework – Geschäftsorientierter Rahmen um Sicherheitsbedenken zu strukturieren und zu klassifizieren
Adressiert vier Kernanforderungen:
§ Absicherung§ Kenntnis & Einblick§ Prozessautomatisierung§ Verbesserter Schutz
Introducing the IBM Security Framework and IBM Security Blueprint to Realize Business-Driven Security;IBM RedGuide REDP-4528-00, July 2009
© 2011 IBM Corporation
Linux on System z
12
IBM Cloud Security Guidance
Ø Basiert auf IBM Forschung und Kundeninteraktion zu Cloud-Sicherheit
Ø Zeigt Kontrollmaßnahmen (best practices) auf, die implementiert werden sollten
Ø Gegliedert in 7 kritische Infrastrukturkomponenten:
• Aufstellen eines Sicherheitsprogramms
• Schutz vertraulicher Daten
• Implementierung starker Zugriffs- und Identitätskontrollen
• Bereitstellung von Anwendungen und deren Rücknahme (provisioning und de-provisioning)
• Governance und Audit-Management
• Vorbeugung und Schadensmanagement
• Test und Validierung
13 © 2011 IBM Corporation
Linux on System z
IBM Security Framework: Business Security Reference Model
Arc
hite
ctur
al P
rinci
ples
Application & Process
People & Identity
IT Infrastructure:Network, Server,
End PointPhysical Infrastructure
Data & InformationGovernance, Risk, Compliance (GRC)
Security Services and InfrastructureSecurity PolicyInfrastructure
Identity, Access & Entitlement Infrastructure
Security Info and Event Infrastructure
Cryptography, Key & Certificate Infrastructure
Host and End-point SecurityStorage SecurityNetwork Security Application Security
Physical SecurityService Management and Process Automation IT Security Services and Mechanisms
Designs Configuration Info and Registry Resources Data
Code & Images Policies Identities & Attributes Contexts
Knowledge
Security Events & LogsSecurityService Level
Objectives
Foundational Security ManagementIdentity, Access & Entitlement Mgmt
Threat & Vulnerability Management
Data & Information Protection Mgmt
Software, System & Service Assurance
Security Policy Management
Risk & Compliance Assessment
Command and Control Mgmt
Physical Asset Management
IT Service Management
IBM Sicherheitsarchitektur-Blaupause
14 © 2011 IBM Corporation
Linux on System z
Sicherheitsmaßnahmen – die Werkzeuge
Vorbeugung(Vermeidung,
Kontrolle)
Überwachung(Monitoring,
Audit)
Kompensation(Wiederanlauf,
Umschalten im Fehlerfall)Sicherheits-politik• Unternehmen, Identität, Zugriff, Speicherung,…• Idealerweise vorgegeben• Zustimmung/ Verweigerung, Mandat/ Verantwortungen• Abstrakt, Rollen-basierend, Klassenbasierend
Zugriffskontrolle•Referenz-Monitor•Autorisierung•Data / proc tagging•Hypervisor•Speicherschutz•Filesystem-Schutz•Virtual LAN
Intrusion / Extrusion Vermeidung•Firewall•Anti-virus, anti-malware•Intrusion prevention•Data leak prevention•Virtual patching
Kryptographie•Encryption•Schlüsselmanagement•Channel security, VPN
•MAC, Hash•Digitale Signaturen•Message security
Intrusion & Fraud Detection•Signatur-basierend•Verhaltens-basierend•Server, Netzwerk-basierend
Logging & Auditing•Immutable Logs•Zeitstempel
Trusted Computing•Sicherstellung durch (gegenseitig) vertrauensvolle Hardware
Identität•Authentication•Identity Management
Asset ManagementChange and Configuration ManagementPhysical and Organizational Security
Redundanz•Fault tolerance•Backup & recovery•Fail-over, graceful degradation
Entwicklung • Methoden• Sicherheitstests• z.B. OWASP
(www.owasp.org)
15 © 2011 IBM Corporation
Linux on System z
§ Sicherheitsbedenken in der Cloud
§ Beste Praktiken und Empfehlungen
§ Anwendungsbeispiel - Integrierte Sicherheit mit Linux on System z
– Linux on System z
– Mehrdimensionale Virtualisierung
– Kryptographie
– Mandantenfähigkeit
§ Empfehlungen für Sicherheitsmaßnahmen in einer virtualisierten Umgebung
Diskussionspunkte
16 © 2011 IBM Corporation
Linux on System z
Informationssicherheits-Prozesse und Managementsysteme
§ Informationsicherheits-Risikomanagement verlangt
l Policy und Prozessel Service-Management und IT Governancel Menschen und Organisationenl Schulung und Anreizel Überwachung und Berichte
l und SicherheitstechnologieUnser Fokus:
© 2011 IBM Corporation
Linux on System z
§ Oracle 11g Release 2 (11.2.0.2) Database für Linux on System z
§ Oracle liefert Datenbank-Lösungen für Linux on System z Server seit 2002
- (9i, 10gR2, 11gR2)
§ Zahlreiche Kunden haben große und kleine Datenbanken auf Linux on System z implementiert und konsolidiert
• Oracle Database 11g Release 2 Linux unterstützte Distributionen sind:– SLES10 SP3 und SLES11 SP1
– RHEL5 (5.4 und höher)
• E-Business Suite auf Oracle Database 11g Release 2 ist verfügbar
Linux on System z – Oracle auf dem Mainframe
zEnterprise 114
zEnterprise 196
18 © 2011 IBM Corporation
Linux on System z
Struktur von Linux on System z
Linux Applications
ELS Instruction Set and I/O Hardware
Linux Kernel
HW Dependent Drivers
Linux Applications
Generic Drivers
Network Protocols Filesystems
Platform Dependent Code
BackendGNU Runtime Environment
ProcessManagement
MemoryManagement
ArchitectureIndependentCode
Bac
kend
GN
U C
ompl
ier S
uite
1.81 % platform specific code in Linux Kernel 2.6.25
0.55 % of platform specific code in Glibc 2.5
0.28 % platform specific code in GCC 4.1
19 © 2011 IBM Corporation
Linux on System z
Sehr großer hoch-skalierbarer ServerErlaubt die Konsolidierung und
Integration großer Server-Farmenin
VIRTUELLEN “BLADES”VIRTUELLEN “RACKS”
VITUALLEN NETZWERKEN
in einem Gehäuse
Hochgeschwindigkeits-Verbindungen (Speicher zu Speicher)
mit geringer LatenzIntegration mit höchster Integrität und
gegenseitiger Isolation
Hardware Hypervisor
Software Hypervisor
Virtualisierung ist unsichtbar für OS/AnwendungHW-gestützte Isolation
z/VM HW support
(EAL 4+)Hunderte von
virtuellen Linux-Servern
Bis zu 60logische Partitionen (LPAR)
PR/SMHW support
(EAL 5)
‘
Multi-dimensionale Virtualisierung
© 2011 IBM Corporation
Linux on System z
Bank ofNew Zealand
21 © 2011 IBM Corporation
Linux on System z
Zertifizierungen auf System z
z/OS z/VM
Linux Linux Linux
Virtualization with partitions§ Common Criteria EAL4+ with CAPP and LSPP
• z/OS 1.9 + RACF
§ IdenTrust™certification for z/OS PKI Services
z/OS
System z Server§ Common Criteria EAL5 with specific
Target of Evaluation • Logical partitions
§ FIPS 140-2 level 4 • Crypto Express as coprocessor
§ Common Criteria EAL4+ with CAPP and LSPP
• z/VM 5.3 + RACF
z/VM
§ Common Criteria EAL4+ with CAPP and LSPP
• SUSE LES9 certified
§ Common Criteria EAL3+ with CAPP and LSPP
• Red Hat EL4 certified at EAL4+
• Red Hat EL5 EAL4+ in progress
Linux on System z
See: www.ibm.com/security/standards/st_evaluations.shtml
Das Common Criteria Programm, entwickelt von NIST und NSA, bildet ein Rahmenwerk zur Beurteilung der Vertrauenswürdigkeit von IT Produkten und Schutzmechanismen
Security Server: RACF, LDAP, Firewall - Encryption - Public Key Infrastructures - Certificate Authority
22 © 2011 IBM Corporation
Linux on System z
System z Kryptographie-Hardware
System z hat zwei Methoden, kryptographische Operationen zu beschleunigen:
§ CP Assists für symmetrische Algorithmen (CPACF)– Hardware Krypto-Beschleunigung ist eine Standardfunktion auf
System z§ Krypto-Karten (Crypto Express3) für asymmetrische Algorithmen
– Bietet temper-proof Schlüsselspeicher und Sicherheitsmodul– Coprozessor und Beschleunigungsfunktionalität
Zweck:§ Entlastet den zentralen Prozessor von kryptographischer
Rechenarbeit§ Beschleunigt Verschlüsselung und Entschlüsselung§ Höhere Sicherheit§ Starke Integration – keine externen Verbindungen (Abhörsicherheit!)
CPACF:DES
TDESAES- 128, 192, 256RSA- up to 2048b
SHA-1, SHA-2:(224, 256, 384, 512)
MACECC
Crypto Express3:Public Key (PKA)RSA- up to 4096b
23 © 2011 IBM Corporation
Linux on System z
Linux on System z kryptographische Unterstützung
Application
LibICA
z90crypt
CPACFCPU
CEX2C
LinuxKernel
UserspaceApplication
SharedSystemLibraries
KernelSpace
HardwareDevices
ibmcaOpenSSL
24 © 2011 IBM Corporation
Linux on System z
Kryptographische Bibliotheken
25 © 2011 IBM Corporation
Linux on System z
l Nutzer unterschiedlicher Vertrauensdomänen nutzen gemeinsam einen shared Poolvon Ressourcenl Netzwerk, Speicher und Server-Virtualisierungl Shared File System, Datenbanken, Middleware, Anwendungen, Desktop, Business-
services, ...l Mandantenfähigkeit kann auf unterschiedlichen Architekturschichten implementiert
werdenl Isolation ist die entscheidende Sicherheitsanforderung
l Basismechanismen sind coloring (aka tagging, labeling) und abgesicherte Isolation zwischen Domänen (aka Zonen) unterschiedlicher Farben (colors)
l Absicherung durch l Referenz-Monitor: Provisionierung, Run-time, De-provisionierung / Clean-upl Hardware abgesichertes Zoningl Kryptographie (Encryption, Key-Management)
Isolation und Integritäts-Management: Mandantenfähigkeit (Multi-tenancy)
≅
© 2011 IBM Corporation
Linux on System z
Number of Tenants
Size
of T
enan
ts
Large tenantsMedium tenantsLong tail of small tenants
Medium Tenants Small TenantsLarge Tenants
Isolation: DatabasesShared: Hardware
Isolation: TablesShared: Database
Isolation: RowsShared: Tables
MT ApplicationMT ApplicationMT Application or
non-MT application
Database-as-a-Service und Mandantenfähigkeit
§ Mandantenfähigkeit: mehrere Firmen oder Mandanten nutzen die gleiche Software mit guter Isolation zwischen ihnen
– Mandanten sind Nutzer, die in der Vergangenheit eigene Instanzen der Software exklusiv genutzt haben
– Mandantenfähigkeit erlaubt es, die gleiche Software bei gegenseitiger Datentrennung (Isolation) zu nutzen
§ Mandantenfähigkeit kann Hardware und Wartungskosten von DBaaS weiter reduzieren
27 © 2011 IBM Corporation
Linux on System z
§ Sicherheitsbedenken in der Cloud
§ Beste Praktiken und Empfehlungen
§ Anwendungsbeispiel - Integrierte Sicherheit mit Linux on System z
– Linux on System z
– Mehrdimensionale Virtualisierung
– Kryptographie
– Mandantenfähigkeit
§ Empfehlungen für Sicherheitsmaßnahmen in einer virtualisierten Umgebung
Diskussionspunkte
© 2011 IBM Corporation
Linux on System z
Sicherheits-Checkliste für virtuelle Serverumgebungen
Mindestanforderungen:
§ Schutz der physischen IT Infrastruktur
§ Absichern des logischen Zugriffs auf den Hypervisor (z/VM)
§ Schützen Sie Ihre Daten
§ Schützen Sie das virtuelle Netzwerk
§ Schützen Sie den logischen Zugang zu den Linux-Servern
§ Schützen Sie Ihre IT Umgebung vor Ihnen durch konsistente und auditierbare System-Logs
© 2011 IBM Corporation
Linux on System z
Empfehlungen für die Absicherung der virtuellen Umgebung (1)
§ Nutzung eines externen Sicherheits-Managementsystems (ESM), wie z.B. RACF– Absicherung des logischen Zugriffs auf z/VM– Absicherung der Daten– Ansicherung des Netzwerks– Auditierbarket (audit trail)
§ Auswahl der z/VM Privilegien (Privilege Classes) – ein Linuxgast sollte ausschließlich Zugriff auf die eigene virtuelle Maschine und
Ressourcen haben– ein Linuxgast sollte keine zusätzlichen Privilegien für die Definition systemweiter
Parameter des z/VM Systems oder anderer virtueller Gäste haben
§ Implementierung von zwingender Zugriffskontrolle (mandatory access control - MAC)
§ Zentralisiertes Benutzerverzeichnis, wie z/VM LDAP Server oder z/OS LDAP Server
© 2011 IBM Corporation
Linux on System z
Empfehlungen für die Absicherung der virtuellen Umgebung (2)
§ Alle Netzwerkzugriffe zu z/VM (z.B. Telnet) sollten über sichere Kanäle, wie SSL, erfolgen
§ Verringerung von Angriffspunkten mit gemeinsamen Platten (shared disks)– Goldene Regel im Informationsmanagement: Informationen sollten nur an einer Stelle
existent sein– Die Möglichkeit, einzelne Geräte mit mehreren Gästen zu verbinden, innerhalb des
gleichen Systems (Minimierung von Angriffspunkten)
§ Schutz der Daten durch verschlüsselte Daten (encrypted file systems)
§ Nutzung von VLAN tagging and port isolation für Virtual Switches – Erlaubt die Trennung von Datennetzwerken und Managementnetzwerken
§ Trennung von Zuständigkeiten (separation of duties)
31 © 2011 IBM Corporation
Linux on System z
Zusammenfassung
§ Sicherheit ist mehr als nur ein Schutzwall – eine Firewall allein reicht nicht aus!
§ Sicherheit fängt mit den Sicherheitsfunktionen und Möglichkeiten der Unternehmens-Infrastruktur an
§ Linux auf System z nutzt:– Einmalige Hardwarefunktionen– Unterstützung für sichere kryptographische
Algorithmen– Sichere Open Source Implementierung– Eine Softwareschicht, die die Nutzung der
HW-Funktionalität von der Anwendungs-schicht erlaubt
Application
Middleware
Operating System
Server
IT Service Management
© 2011 IBM Corporation
Linux on System z
Weitere Informationen zu Sicherheitsthemen
http://www.redbooks.ibm.com/abstracts/redp4614.html
http://www.redbooks.ibm.com/abstracts/sg247728.html?Open
© 2011 IBM Corporation
Linux on System z
Löst Cloud Computing Probleme?
34 © 2011 IBM Corporation
Linux on System z
Fragen?
IBM Deutschland Research& Development GmbH Schönaicher Strasse 22071032 Böblingen, Germany
Phone: +49 7031 - 16 4228
Siegfried.Langer@de.ibm.com
Siegfried LangerBusiness Development Managerz/VSE & Linux on System z
IBM Deutschland Research& Development GmbH Schönaicher Strasse 22071032 Böblingen, Germany
Phone: +49 7031 - 16 4228
Siegfried.Langer@de.ibm.com
Siegfried LangerBusiness Development Managerz/VSE & Linux on System z
35 © 2011 IBM Corporation
Linux on System z
Trademarks
Notes: Performance is in Internal Throughput Rate (ITR) ratio based on measurements and projections using standard IBM benchmarks in a controlled environment. The actual throughput that any user will experience will vary depending upon considerations such as the amount of multiprogramming in the user's job stream, the I/O configuration, the storage configuration, and the workload processed. Therefore, no assurance can be given that an individual user will achieve throughput improvements equivalent to the performance ratios stated here. IBM hardware products are manufactured from new parts, or new and serviceable used parts. Regardless, our warranty terms apply.All customer examples cited or described in this presentation are presented as illustrations of the manner in which some customers have used IBM products and the results they may have achieved. Actual environmental costs and performance characteristics will vary depending on individual customer configurations and conditions.This publication was produced in the United States. IBM may not offer the products, services or features discussed in this document in other countries, and the information may be subject to change without notice. Consult your local IBM business contact for information on the product or services available in your area.All statements regarding IBM's future direction and intent are subject to change or withdrawal without notice, and represent goals and objectives only.Information about non-IBM products is obtained from the manufacturers of those products or their published announcements. IBM has not tested those products and cannot confirm the performance, compatibility, or any other claims related to non-IBM products. Questions on the capabilities of non-IBM products should be addressed to the suppliers of those products.Prices subject to change without notice. Contact your IBM representative or Business Partner for the most current pricing in your geography.
* Registered trademarks of IBM Corporation
The following are trademarks or registered trademarks of other companies.
* All other products may be trademarks or registered trademarks of their respective companies.
Adobe, the Adobe logo, PostScript, and the PostScript logo are either registered trademarks or trademarks of Adobe Systems Incorporated in the United States, and/or other countries.Cell Broadband Engine is a trademark of Sony Computer Entertainment, Inc. in the United States, other countries, or both and is used under license there from. Java and all Java-based trademarks are trademarks of Sun Microsystems, Inc. in the United States, other countries, or both. Microsoft, Windows, Windows NT, and the Windows logo are trademarks of Microsoft Corporation in the United States, other countries, or both.InfiniBand is a trademark and service mark of the InfiniBand Trade Association.Intel, Intel logo, Intel Inside, Intel Inside logo, Intel Centrino, Intel Centrino logo, Celeron, Intel Xeon, Intel SpeedStep, Itanium, and Pentium are trademarks or registered trademarks of Intel Corporation or its subsidiaries in the United States and other countries.UNIX is a registered trademark of The Open Group in the United States and other countries. Linux is a registered trademark of Linus Torvalds in the United States, other countries, or both. ITIL is a registered trademark, and a registered community trademark of the Office of Government Commerce, and is registered in the U.S. Patent and Trademark Office.IT Infrastructure Library is a registered trademark of the Central Computer and Telecommunications Agency, which is now part of the Office of Government Commerce.
The following are trademarks of the International Business Machines Corporation in the United States and/or other countries.
AIX*BladeCenter*CICS*Cognos*DataPower*DB2*
FICON*GDPS*IMSIBM*IBM (logo)*Parallel Sysplex*
POWER*PR/SMRACF*Storwize*System z*System z9*
System z10*Tivoli*WebSphere*z/Architecture*zEnterprisez/VSE*
z9*z10z/OS*z/VM*z/VSE*
top related