Vous êtes sur la page 1sur 98

Cloud Computing:

Services, Architecture et Sécurité

Cloud Computing: Services, Architecture et Sécurité


PLAN

Contexte général Challenges du Cloud


Model de Virtualisation Sécurité Cloud
Cloud Computing Cloud Security Architecture
Modèles de Service Customer responsibilities

Septembre 2017
Modèles de déploiement Cloud Provider Responsibilities
Architecture Cloud Modèles de contrôle d’accès
Méthodologie de déploiement Modèles d’Authentication Forte
Plateformes et Simulateurs Conclusion
Avantages et inconvénients

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 2


CONTEXTE GÉNÉRAL

Le Cloud Computing représente un concept, apporté par la Virtualisation.

Le Cloud Computing est un modèle qui permet un accès à la demande, via un


réseau, à un ensemble partagé de ressources configurables et qui peuvent être
provisionnées et libérées rapidement avec un effort de gestion minimale.

Septembre 2017
Problème de sécurité dans le Cloud une barrière majeures pour
l’adoption de cette technologie.

De nouveaux risques viennent se superposer aux menaces traditionnelles

Développement des techniques, des méthodes et des règles liés à la


sécurité d’accès et d’échange, du contenu et d’architecture Cloud

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 3


CONTEXTE GÉNÉRAL

Définition

La virtualisation consiste à faire fonctionner sur une seule machine physique plusieurs
systèmes comme s'ils fonctionnaient sur des machines physiques distinctes

Notions incontournables

Septembre 2017
Systèmes virtualisés VM: machine virtuel exécutés par
Système Système Système
l’hyperviseur
invité invité invité
Système / configuration VMM (Virtual Machine Monitor)
Hyperviseur ou Hyperviseur: gérant les interactions des machines
virtuelles avec le matériel physique
Système hôte Système accueillant l’hyperviseur: sur la machine physique
qui va «virtualiser» un ou plusieurs autres systèmes
Matériel

Dans la plupart des cas, l’hyperviseur et le système hôte sont « fusionnés »

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 4


MODEL DE VIRTUALISATION

Organization 1 Organization 2
Access Control Access Control

vDC vDC

Allocation Allocation

Septembre 2017
Hypervisor

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 5


MODEL DE VIRTUALISATION

PHYSICAL VIRTUALIZED Cloud Computing

Septembre 2017
HW HW HW HW HW
HW
HW HW HW HW HW

HW HW
HW HW HW
HW HW

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 6


CLOUD COMPUTING

« Le Cloud computing est un


modèle qui permet un accès
omniprésent, pratique et à

Septembre 2017
la demande à un réseau
partagé et à un ensemble de
ressources informatiques
configurables » NIST

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 7


CLOUD COMPUTING

Matériel Système distribué


Virtualisation matériel, Multicore Gird computing, Cluster

Septembre 2017
Cloud
computing

Gestion des systèmes Technologies d’internet


Automatisation, data center, SOA, Web(2.0)
orchestration de service

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 8


CLOUD COMPUTING

Conventional Computing vs Cloud Computing

Conventional Cloud
Manually Provisioned Self-provisioned

Septembre 2017
Dedicated Hardware Shared Hardware
Fixed Capacity Elastic Capacity
Pay for Capacity Pay for Use
Capital & Operational Expenses Operational Expenses
Managed via SysAdmin Managed via APIs

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 9


CLOUD COMPUTING

Septembre 2017
Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 10
CLOUD COMPUTING

Shared / Pooled Resources


Resources are drawn from a common pool
Common resources build economies of scale
Common infrastructure runs at high efficiency

Broad Network Access

Septembre 2017
Open standards and APIs
Almost always: IP, HTTP, HTTPS, FTP, and others
Available from anywhere and at anytime with an
internet connection

Metered by Use
Services are metered, like a utility
Users pay only for services used
Services can be cancelled at any time

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 11


CLOUD COMPUTING

On-Demand Self-Service
Completely automated
Users abstracted from the implementation
Near real-time delivery (seconds)
Services accessed through a self-serve
Web interface

Septembre 2017
Scalable and Elastic
Resources dynamically-allocated between users
Additional resources dynamically-released when needed
Fully automated

It is a means of
Outsourced shared-computing
Virtualised, distributed and pooled amongst external data centres
Accessed by users through Internet

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 12


CLOUD DEPLOYMENT MODELS

Septembre 2017
Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 13
MODÈLE DE SERVICE

SaaS Application

PaaS Plateforme

Septembre 2017
Infrastructure
IaaS

Matériels

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 14


MODÈLE DE SERVICE

Septembre 2017
Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 15
MODÈLE DE SERVICE - IAAS

L’Infrastructure en tant que service permet de :


 Créer des ressources virtuelles à partir des ressources physiques
grâce à la virtualisation
 Fournir des ressources virtuelles à la demande, le plus souvent des
machines virtuelles, espaces de stockage et ressources réseau.

Septembre 2017
Le Consommateur n'a pas de gérer ou de contrôler
l'infrastructure physique du Cloud
Il a le contrôle sur les systèmes d'exploitation, le stockage,
les configurations et un contrôle limité du réseau.

Amazon EC2, GoGrid, Flexiscale…

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 16


MODÈLE DE SERVICE - IAAS

IaaS (Infrastructure as a Service) permet la mise à


disposition d’une infrastructure matérielle : Capacité
de stockage illimitée, large puissance de calcul
La plateforme exécutée par des machines virtuelles

Septembre 2017
et les ressources peuvent être allouées et libérées à la
demande, sans interruption.
En IaaS, l’utilisateur, ou l’entreprise cliente est maitre
de son environnement virtuel

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 17


MODÈLE DE SERVICE - PAAS

La Plateforme en tant que service fournit l’environnement nécessaire


aux développeurs pour mettre en place leurs différents services et
applications sur Internet
Composantes de PaaS: OS, SGBD, outils de design, plateforme de
développement, API, Framework, Runtime, SDK, etc.

Septembre 2017
Gestion et Contrôle des consommateurs :
 Non autorisé sur l’infrastructure Cloud (réseau, serveurs, système
d'exploitation, stockage, etc.)
 Autorisé sur les applications déployées

Google AppEngine, Microsoft Azure, Amazon SimpleBD/S3

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 18


MODÈLE DE SERVICE - PAAS

PaaS (Platform as a Service)


Mise à disposition aux développeurs un
Framework de développement, des API et
des Runtimes adaptés à leurs besoins

Septembre 2017
Capacité de déployer sur une infrastructure
Cloud des applications développées par le
client, et programmées avec des outils pris en
charge par un prestataire externe.
Dédiée aux développeurs et aux producteurs
d’applications.

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 19


MODÈLE DE SERVICE - SAAS

Logiciel en tant que service propose de consommer des logiciels sous


forme de services hébergés, tarifés par abonnement
Solutions en mode SaaS couvrent les grands domaines fonctionnels:
ERP, CRM, Analytique, logistique, applications métier, etc.

Septembre 2017
Le client ne gère et ne contrôle pas l'infrastructure Cloud mais il peut
configurer quelques paramètres d'applications spécifiques.

Gmail, Dropbox, Google APP…

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 20


MODÈLE DE SERVICE - SAAS

SaaS (Software as a Service)


Un modèle économique de consommation
d’applications : Proposer un abonnement à un

Septembre 2017
logiciel plutôt qu'acheter une licence
Catalogue d’applications accessibles en mode
service aux utilisateurs finaux
N’est pas dédié à un type d’utilisateurs spécifiques

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 21


MODÈLE DE SERVICE - SAAS

SaaS Maturity Model


• Level 1: Ad-Hoc/Custom – One
Instance per customer

Septembre 2017
• Level 2: Configurable per customer
• Level 3: configurable & Multi-Tenant-
Efficient

• Level 4: Scalable, Configurable &


Multi-Tenant-Efficient

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 22


MODÈLE DE SERVICE

Septembre 2017
Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 23
MODÈLE DE SERVICE

Infrastructure as a Platform as a Software as a


Traditional IT Service Service
Service

You manage
You manage
Applications Applications Applications Applications

Data Data Data Data

Runtime You manage Runtime Runtime Runtime

Septembre 2017
Delivered as a service
Middleware Middleware Middleware Middleware
You manage

Delivered as a service
Operating System Operating System Operating System Operating System

Virtualization Virtualization Virtualization Virtualization

Delivered as a service
Servers Servers Servers Servers

Storage Storage Storage Storage

Networking Networking Networking Networking

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 24


MODÈLE DE SERVICE - ETUDE COMPARATIVE

Avantage Inconvénient
SaaS • Pas d’installation • Logiciel limité
• Migration • Sécurité
• Accessible via abonnement • Dépendance du prestataire

Septembre 2017
PaaS • Pas d’infrastructure • Limitation de langages
• Pas d’installation • Pas de personnalisation
• Environnement hétérogène

IaaS • Administration • Sécurité


• Personnalisation • Besoin d’administrateur système
• Flexibilité
• Stockage infini

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 25


MODÈLE DE DÉPLOIEMENT

•Dédiés aux besoins •Dédié au grand


propres d'une seule public
entreprise

Private Public

Septembre 2017
Hybride Communautaire

•Combinaison •Partagé entre


des plusieurs plusieurs
Cloud (public et organisations
privé)

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 26


MODÈLE DE DÉPLOIEMENT

Septembre 2017
Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 27
MODÈLE DE DÉPLOIEMENT PUBLIC

Ressources du fournisseur grand public


Données hébergées sur une multitude de serveurs accessibles par
un nombre déterminé d’utilisateurs.
Avantages:
+ Absence de coûts d’investissement élevés sur les infrastructures

Septembre 2017
+ Déplacement des risques vers les fournisseurs
+ Adaptation rapide à l’augmentation de besoins
Inconvénients:
- Pas de contrôle fin sur les données, le réseau et les paramètres
de sécurité
- Utilisation augmente coût augmente
- Pas forcément adapté aux besoins et logiciels

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 28


MODÈLE DE DÉPLOIEMENT PUBLIC

Septembre 2017
Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 29
MODÈLE DE DÉPLOIEMENT PRIVÉ

Réservé pour une seule entreprise pour répondre à un besoin


personnalisé de ressources informatiques bénéficiant d'une
tarification à l'usage et reposant sur des infrastructures techniques
virtualisées, redimensionnables et disposant d'une gestion et
administration automatisées

Septembre 2017
Avantages :
+ Contrôle complet sur les données et l’infrastructure
+ Adapté sur mesure aux besoins
+ Payement non relatif à l’utilisation
Inconvénients :
- Moins réactif en cas de montée en charge
- Coûteux à mettre en place

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 30


MODÈLE DE DÉPLOIEMENT PRIVÉ

Septembre 2017
On-Site Out-Sourced

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 31


MODÈLE DE DÉPLOIEMENT COMMUNAUTAIRE

Partage d’infrastructures entre plusieurs organismes d’une


communauté spécifique avec des préoccupations communes
(la mission, les exigences de sécurité, la politique, etc.)
Infrastructures gérées par un ou plusieurs organismes de la

Septembre 2017
communauté ou une tierce partie
Ce modèle offre les avantages d’un Cloud public (facturation
à l’usage) mais aussi les avantages d’un Cloud privé
(confidentialité et sécurité)

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 32


MODÈLE DE DÉPLOIEMENT COMMUNAUTAIRE

Septembre 2017
On-Site Out-Sourced

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 33


MODÈLE DE DÉPLOIEMENT HYBRIDE

Combinaison de plusieurs Clouds indépendants pouvant être


publics ou privés pour remédier aux limites de chaque
approches et répondre aux divers catégories de clientèles

Back end

Septembre 2017
Hybrid Cloud

Front end

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 34


ARCHITECTURE CLOUD

Accès A
10.1.1/24 DMZ
Public IP Web Servers Private IP
Space
Space LAN
External
Operations Console

Network & Security Facilities


C (custom) Application Servers
L

Septembre 2017
I B O
N Security Scanners
R U DBMS Servers
T S (Nessus, Hydra, etc)
I D
E M
D
R C Log Aggregation,
G A
N E P SOC Tap Collaboration Servers
E I
T
Event Correlation
Engine Storage Management

Accès B
10.1.2/24
Front end Back end

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 35


ARCHITECTURE CLOUD
S
a
Applications

API1
a
S

Automatisation et orchestration
P
a
a
Plateformes
S

API2
I
a Infrastructure virtuelle
a

Portail Utilisateur

Septembre 2017
S

Couche de virtualisation

Couche matérielle

Réseau Stockage Calcul

APIn
Facility Installations

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 36


ARCHITECTURE CLOUD

Cloud Service Provider


Cloud Cloud
Cloud Orchestration Broker
Service
Consumer Service Layer
Cloud Service
SaaS Management
Service
Intermediation
PaaS
Cloud

Septembre 2017
Business
Auditor Support

Security

Privacy
IaaS Service
Aggregation
Security
Audit Resource Abstraction and Control Provisioning/
Layer Configuration
Service
Privacy Impact Arbitrage
Physical Resource Layer
Audit Portability/
Hardware Interoperability
Performance
Facility
Audit

Cloud Carrier

NIST CLOUD MODEL

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 37


ARCHITECTURE CLOUD

Cloud Broker Intermediate CSP

Septembre 2017
• Consumer accesses multiple provider • Intermediary uses additional providers as
services through a single broker interface invisible components of its own service,
• The Cloud Consumer retains visibility into presented as integrated offering
the Cloud service providers they use • No consumer visibility into control over
additional Cloud providers

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 38


MÉTHODOLOGIE DE DÉPLOIEMENT

Septembre 2017
Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 39
PLATEFORMES ET SIMULATEURS

Dans le monde du Cloud, la plupart des outils d’implémentation


et de simulation sont axés sur des expériences et une modélisation
simplifiée du Cloud.

Plateforme Simulateur

Septembre 2017
Installée sur Modélisation Ne nécessite
des Fournit des et simulation pas de
ressources services IAAS de services ressources
physiques Cloud réelles

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 40


PLATEFORMES ET SIMULATEURS
OPENSTACK EUCAPLUTPUS CLOUD STACK OPENNEBULA
Source Créer en juillet 2010 par la Issue d’un projet de Créer par Lkoula et Soutenu par le projet
Nasa et l’hébergeur américain recherche d’université citrix européen Réservoir en
Rackspace - libre de Californie - libre 2005 - libre
Domaine Déploiement d’un Cloud privé Déploiement de Cloud Déploiement et Gestion des
et public, gestion d’une hybride gestion d’important infrastructures virtuelles
plateforme Cloud et offre un réseau de hétérogènes
service de type IaaS machines virtuelles
OS supportés Linux et Windows Linux Linux Linux

Septembre 2017
Hyperviseur KVM, XEN, VMware, vSphere, Xen, KVM KVM, VMware, Xen, KVM, VMware
Hyper-V Oracle VM,
vSphere, Xen
Type de Cloud Privé et public Privé ou hybride privé Privé, public et hybride
Développé en Python Java, C, Python java C++, Ruby et shell

Version Open source Open source et Open source Open source


propriétaire
Documentation Excellente documentation Complète, correcte complète Complète pour tous les
officielle fournie aussi un wiki et mais pas toujours à jour fichiers de config,
livre blanc disponibles manque d’aide sur un
environnement
complexe

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 41


PLATEFORMES ET SIMULATEURS

Nom Modèle de Modèle de Open But


service déploiement source
CloudSim SaaS, PaaS, Public, privé ou Oui Modélisation, simulation et expérimentation transparente
IaaS, NaaS hybride du Cloud et des services

Real- IaaS, NaaS Public, privé ou Oui Allocation de VM basée sur CloudSim et fourniture d’une
CloudSim hybride interface graphique pour lire les topologies du réseau,
MR-CloudSim IaaS Public, privé ou Oui Basé sur le CloudSim, prend en charge le modèle de

Septembre 2017
hybride programmation pour le traitement des Big Data
GroundSim SaaS, IaaS Public, privé ou Oui Simulation des applications scientifiques sur un
hybride environnement de Cloud
DCSim IaaS Public, privé ou Oui Simulation d’un DC hébergeant un Cloud IaaS
hybride
GreenCloud IaaS, NaaS Public, privé ou Oui Simulation des centres de données du Cloud pour
hybride évaluer leurs coûts d’exploitation en termes d’énergie,
extension NS2
iCanCloud IaaS Public, privé ou Oui Modélisation et simulation des systèmes de Cloud, un
hybride hyperviseur global, flexible et personnalisable, et simuler
des VM

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 42


AVANTAGES ET INCONVÉNIENTS

• Puissance de calcul et de

Septembre 2017
stockage à la demande • Risque d’attaque ou de violation de
confidentialité
• Pas d’investissement initial
• Perte de maitrise des données et de cycle
• Un démarrage rapide
de vie des applications
• Réduction du coût
• QoS d’accès client dépendant de la
• Souplesse qualité de réseaux
• Sécurité
• Mobilité

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 43


CHALLENGES DU CLOUD

Septembre 2017
Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 44
CHALLENGES DU CLOUD

Fort risque de menaces dans les modèles de services et de


déploiement Cloud  Nécessité de nouveaux mécanismes
spécifiques et sophistiqués.
Les mécanismes existants de sécurité sont hétérogènes et
fragmentés, avec un manque de vision d’ensemble sur leur
orchestration et intégration avec des techniques de protection

Septembre 2017
traditionnelles au sein d’une architecture de sécurité globale
La maturité de toute technologie est reliée en partie à son
niveau de sécurité.
La sécurité est une responsabilité partagée entre le fournisseur
et le consommateur.

Consolider la relation de confiance fournisseur/client

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 45


SÉCURITÉ CLOUD

Sécurité de Services

Sécurité de Plateforme

Septembre 2017
Sécurité Cloud

Sécurité d’Infrastructure

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 46


SÉCURITÉ CLOUD

Isolation

IaaS: Stockage,

Septembre 2017
mémoire, réseau,
SaaS: transaction PaaS: Service en cours, processeur:
effectuée sur la même demande d’API:
instance par des • Virtualisation
• Plateforme
locataires différents: • Ressource partagée
• API et SDK
• Réseau virtuel
• Application Web • Runtime
• Image VM
• Données • Framework
• Hyperviseur
• Multi-tenant • Multi-tenant
• Multi-tenant

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 47


SÉCURITÉ CLOUD

Communication externe
Sécurité de
communication Communication interne

Problèmes de
virtualisation
Défi de sécurité Problème de stockage

Septembre 2017
de données
Sécurité
Problème d’applications
architecturale Web et des API
Contrôle d’accès et de
gestion d’identité
Aspects contractuels Service Level Agrement
et légaux
Problèmes légaux

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 48


SÉCURITÉ CLOUD: COMMUNICATION EXTERNE

La communication externe est similaire à toute communication sur Internet.


Les problèmes de communication du Cloud sont de type déni de service,
homme au milieu, inondations basé sur IP Spoofing, écoute, etc.
Les solutions à ces problèmes sont généralement l’utilisation de:
• Secure Socket Layer (SSL/VPN)

Septembre 2017
• Protocole de sécurité IPSec (Internet)
• Cryptographies symétrique et asymétrique
• Détection et Prévention d’Intrusion
• Nettoyage de la circulation
• Certificats numériques, etc.

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 49


SÉCURITÉ CLOUD: COMMUNICATION INTERNE

Infrastructure de communication partagée

Septembre 2017
Réseau virtuel

Configuration de politiques de sécurité

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 50


SÉCURITÉ CLOUD: COMMUNICATION INTERNE

Infrastructure de communication partagée

o Les VMs situées sur le même serveur peuvent partager du CPU, mémoire, I/O, etc.
o Les utilisateurs sont accordés à l'accès super-utilisateur pour gérer leurs VMs .
La capacité d'accès permet à l'utilisateur malveillant d'acquérir des adresses IP

Septembre 2017
o
ou MAC du système et de faire un usage abusif sur les interfaces réseau d’IaaS.
o L'utilisateur malveillant ayant accès de super-utilisateur peut lancer des attaques
tels que Sniffing, Spoofing sur le réseau réel.
o En utilisant les canaux cachés, deux machines virtuelles peuvent communiquer
en contournant toutes règles défini par le module de sécurité du VMM

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 51


SÉCURITÉ CLOUD: COMMUNICATION INTERNE

Réseau virtuel
Les réseaux virtuels assurent l'interconnexion des machines virtuelles.
La plupart des hyperviseurs utilisent des réseaux virtuels pour relier les
machines virtuelles à communiquer directement et efficacement.
Plusieurs façons de configurer des réseaux virtuels: bridge, NAT,

Septembre 2017
HostOnly ou réseau privé.
Les mécanismes de protection et de sécurité du réseau physique, ne sont
pas capables de surveiller le réseau virtuel
un défi sérieux que les activités malveillantes au niveau d’une VM
peuvent aller au-delà de la surveillance offerte par les outils de sécurité.
A travers le réseau virtuel partagé entre machines virtuelles peut glisser
des attaques à savoir : Déni de Service (DoS), usurpation d'identité, etc.

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 52


SÉCURITÉ CLOUD: COMMUNICATION INTERNE

Configuration de politiques de sécurité


Les erreurs de configuration peuvent compromettre la sécurité des clients, des
applications, et des systèmes.
Les clients externalisent leurs applications et données avec la confiance que
leurs actifs sont en sécurité à l'intérieur du Cloud.

Septembre 2017
Les configurations doivent être robustes au moment du développement, et de
déploiement d’infrastructures Cloud, et s’adaptent avec les variations
ultérieures du réseau.
La migration des machines virtuelles, des données et des applications sur des
nœuds physiques, provoque un changement dans les modèles topologiques
et de circulation des trafics  nécessite une politiques de sécurité variées.
Toute faiblesse dans les configurations de sessions et de protocoles peut être
exploitée pour le détournement des sessions et l’obtention des données
sensibles d'utilisateurs.

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 53


SÉCURITÉ CLOUD: SÉCURITÉ ARCHITECTURALE

Données et Virtualisation
stockage

Septembre 2017
Contrôle
Applications et d’accès et
API gestion
d’identité

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 54


SÉCURITÉ CLOUD: VIRTUALISATION

Isolation de Partage
VM d’image
VM

Septembre 2017
Etalement Migration
de VM de VM

Rollback Problèmes
deVM d’hperviseur

Echappement
de VM

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 55


SÉCURITÉ CLOUD: ISOLATION DE VM

• Plusieurs VMs sur la même hôte doivent être logiquement isolées


pour éviter la violation des données
• Isolation de : stockage, mémoire et calcul
• Le Cloud introduit le partage de ressources, ce qui peut mener à

Septembre 2017
des attaques par canal auxiliaire ou canal caché entre les
machines virtuelles évoluant dans le même environnement
Différentes attaques matérielles ou logicielles pour écouter
ou perturber d’autres machines virtuelles

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 56


SÉCURITÉ CLOUD: PARTAGE D’IMAGE VM

Un utilisateur peut créer son propre image ou utiliser une image


partagée du répertoire de VMs ce qui fait naissance à des risques:
• Enquêter sur le code d’image pour chercher des points d’attaques

Septembre 2017
• Télécharger une image qui contient des logiciels malveillants qui
devient une source pour injecter des malwares dans le Cloud ou
contrôler les données et les activités d’usagers ce qui viole leurs privacy

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 57


SÉCURITÉ CLOUD: MIGRATION DE VM

Le fait de réallouer une VM à une autre machine physique


pour divers raison : équilibrage de la charge, tolérance aux
pannes, maintenance, etc.
Pendant la migration le contenu du VM est sur le réseau ce

Septembre 2017
qui peut conduire à des problèmes d’intégrité et de
confidentialité des données.
Le code VM sera aussi exposée au attaquant donc le module
de migration peut être redirigé vers une machine particulière
ou sous le contrôle d’un VMM précis.
Éteindre la VM en phase de transfert.

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 58


SÉCURITÉ CLOUD: MIGRATION DE VM
1. VM pré-créée vers la machine cible
2. Contenu de la mémoire copié vers le nouveau serveur via le réseau
3. Phase de transfert final
4. Suppression de la définition de l’ancienne VM après validation de la migration

Septembre 2017
Transfert Réseau

Hôte 1 Hôte 2
Stockage
partagé

Stockage

• Que se passe t il si je souhaite migrer une ou toutes les VMs du serveur 1 vers 2?

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 59


SÉCURITÉ CLOUD: ÉCHAPPEMENT DE VM

Cas ou VM ou utilisateur malicieux s’échappe du control de VMM


Machine d’évasion virtuelle: c’est un exploit dans lequel l'attaquant
exécute un code sur une machine virtuelle qui permet à son OS
d'interagir directement avec l'hyperviseur .

Septembre 2017
Un tel exploit permet de:
• Accéder au système d'exploitation hôte et toutes machines virtuelles en
cours d'exécution sur ce hôte.
• Rendre le VMM down.
• Accéder aux périphériques physiques du calcul et de stockage

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 60


SÉCURITÉ CLOUD: RETOUR ARRIÈRE DE VM

Reculer un système à un état antérieur peut conduire à une


situation où le système peut devenir défaillant
L’action rollback peut :

Septembre 2017
• Réexposer le système à des vulnérabilités.
• Réactiver des comptes ou mots de passe déjà supprimés.
• Utiliser des clés de chiffrement expirés.
• Réintroduire des vers ou des virus qui ont été précédemment retirés.

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 61


SÉCURITÉ CLOUD: PROBLÈMES D’HYPERVISEUR

Rôles du VMM : gestion, isolation, génération de ressource


virtuelles, etc.
Si le VMM est affecté, tous VMs sous son contrôle peut l’être

Septembre 2017
aussi et leurs métadonnées peuvent être exposées au
attaquants.
Le VMM peut engendrer un vecteur d’attaque vu qu’il y a
plusieurs points d’entré avec une complexité d’interconnexion.

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 62


SÉCURITÉ CLOUD: ÉTALEMENT DE VM

Situation dans laquelle un nombre de VMs sur le système hôte


ne cessent d’augmenter alors que la plupart des VMs
instanciées sont dans un état de repos.
Le nombre de VMs sur un réseau atteint un point où

Septembre 2017
l'administrateur ne peut plus gérer convenablement
Pour éviter l'étalement de VMs, l'administrateur doit définir et
appliquer un processus de déploiement de VMs et de créer
une bibliothèque de fichiers normalisés d'image VMs.
Les VMs qui sont sous-utilisées doivent être archivées.

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 63


SÉCURITÉ CLOUD : SÉCURITÉ ARCHITECTURALE

Données et
stockage
virtualisation

Septembre 2017
Contrôle
Applications et d’accès et
API gestion
d’identité

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 64


SÉCURITÉ CLOUD: DONNÉE/STOCKAGE

Intégrité et confidentialité des données

Septembre 2017
Recouvrement des données

Protection des media

Sauvegarde et Backup de données

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 65


SÉCURITÉ CLOUD: DONNÉE/STOCKAGE

Confidentialité, intégrité des données :


La force de la sécurité = celle du point le plus faible.
Violation des données peut se faire par des entités malicieuses ou non
malicieuses non-sécurisées.
Une attaque avec succès engendre un accès non-autorisé aux données de

Septembre 2017
tous les utilisateurs.
Les employées de SaaS peuvent aussi présenter des risques
Les données en cours de traitement peuvent également être exposées à
des risques de sécurité.
Si le processus de sauvegarde est externalisé à un tiers, le risque sera élargie.
La génération et la gestion des clés cryptographiques pour le Cloud n’est
pas totalement standardisées ce qui peut augmenter le risque potentiel

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 66


SÉCURITÉ CLOUD: DONNÉE/STOCKAGE
Recouvrement des données :
Dans le cas de ressource mémoire ou de calcul, un tiers peut utiliser le
recovery pour exploiter les données de l’utilisateur qui a utilisé les
ressources avant lui vu qu’elles sont partagées
Protection des media :
Si le fournisseur ne désinfecte pas les dispositifs convenablement, les

Septembre 2017
données peuvent être exposées au risque.
Destruction des unités de stockages physiques pour divers raison :
changement de disque, donnée inutile, résiliation de service, etc.
La multi-location peut aussi contribuer à des risques de désinfection
Sauvegarde et Backup de données :
Pour assurer la disponibilité, il faut faire un sauvegarde total, incrémentiel et
différentiel des données dans des SAN avec des techniques de clustering
et de merroring et utiliser des outils de recouvrement en cas de désastre.
Le backup doit être protégé d’accès non-autorisé ou de falsification
Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 67
SÉCURITÉ CLOUD: SÉCURITÉ ARCHITECTURALE

Applications et
API
virtualisation

Septembre 2017
Contrôle
Données et d’accès et
stockage gestion
d’identité

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 68


SÉCURITÉ CLOUD: APPLICATIONS ET API

Les applications Cloud possèdent les mêmes vulnérabilités que les


applications et les technologies web classiques.
Quelques risques :
• Injection (SQL, OS, LDAP,…)
• Cross-site Scripting (XSS)

Septembre 2017
• Sensitive Data Exposure
• Invalidated Redirects and Forwords, etc.
La sécurité des API utilisées influence la sécurité des applications et
des services Cloud.
Une API peut être considérée comme un guide utilisateur qui décrit
les détails sur les CSP, l'architecture et les fonctionnalités du Cloud.

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 69


SÉCURITÉ CLOUD: APPLICATIONS ET API

Les CSPs publient habituellement leurs API pour commercialiser


les caractéristiques de leurs solutions Cloud.
La publication d'API permet aux utilisateurs de connaître les
détails des composantes et les fonctions du Coud.

Septembre 2017
En plus, l'architecture Cloud dans une certaine mesure devient
exposée aux attaquants .
Les API vulnérables peuvent être gênantes pour le fournisseur et
les clients.
Les mises-à-jours fréquentes des API peuvent introduire des trous
de sécurité dans les applications.

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 70


SÉCURITÉ CLOUD: SÉCURITÉ ARCHITECTURALE

Contrôle
d’accès et
gestion
virtualisation d’identité

Septembre 2017
Données et Applications et
stockage API

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 71


SÉCURITÉ CLOUD: CONTRÔLE D’ACCÈS ET GESTION D’IDENTITÉ

Confidentialité et intégrité des données sont reliées à la gestion


d’identité et au contrôle d’accès.

Garder trace d’identités d’utilisateurs et de

Septembre 2017
contrôler l’accès non-autorisé aux informations

Gestion d’identité et contrôle d'accès Plus complexe dans un


environnement Cloud.
Le Cloud permet de traiter des utilisateurs d’organisations différentes
avec divers cadres d'authentification et d'autorisation, en même
temps et avec les mêmes ressources.

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 72


SÉCURITÉ CLOUD: CONTRÔLE D’ACCÈS ET GESTION D’IDENTITÉ
L’utilisation de systèmes d'authentification et d'autorisation évolués
et distincts de celui utilisés par l'organisation interne peut donner lieu
à des situations complexes.
Le Cloud a besoin d'un mécanisme dynamique de contrôle d'accès
stricte pour contrôler les opérations non-autorisées.
Mis-à-jour rapide des politiques de contrôle d'accès en cas où

Septembre 2017
un employé rejoint ou quitte le système.
Problèmes si la procédure de gestion d'identité et de contrôle
d'accès est faible:
• Déni de service par verrouillage de compte.
• Mécanismes de restauration de mot de passe.
• Vérification insuffisante d’autorisation d’accès.
• Faiblesse d’eXtensible Contrôle Markup Language (XACML).
• Attaques d'emballage XML, etc.
Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 73
SÉCURITÉ CLOUD: ASPECTS CONTRACTUELS ET LÉGAUX

Service Level Agreement


La sécurité dans le Cloud peut être définie dans un accord de niveau du
SLA afin de garantir un niveau de sécurité pour la livraison de services.
Cet accord de niveau de service peut être négocié et établi entre le CSP
et le CSU ou même inter-CSPs.

Septembre 2017
Il définit la sécurité mise en place contre les attaques malveillantes et les
pannes qui peuvent entrainer des problèmes de sécurité.
La spécification d’un niveau de sécurité mesurable dans le SLA est utile
pour améliorer la transparence et la confiance dans la relation entre le
CSU et le CSP.
Cet accord sur le niveau de sécurité spécifié dans un SLA peut être violé
suite à une attaque de sécurité visant les ressources du Cloud.

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 74


SÉCURITÉ CLOUD: ASPECTS CONTRACTUELS ET LÉGAUX

Si les données d'utilisateurs sont migrées vers des emplacements


ayant des lois différentes, il devient difficile de configurer les
politiques de sécurité conformément aux différentes juridictions.
Parfois, les données peuvent être présentes dans plus d'un

Septembre 2017
endroit ayant différentes lois relatives à la sécurité numérique.
En cas de litige, la question qui se pose : quelles lois seraient-elles
applicables ?

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 75


SÉCURITÉ CLOUD: ANALYSE DE LA SÉCURITÉ CLOUD

Exigences de sécurité
Disponibilité de données
Continuité de services
Fiabilité du réseau

Septembre 2017
Confidentialité du Privacy
Gestion d’identités
Résistance du système
Sécurité physique
Gestion d’incidents

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 76


SÉCURITÉ CLOUD: ANALYSE DE LA SÉCURITÉ CLOUD

Menaces de sécurité Cloud


1. Violation de données
2. Perte de données
3. Détournement de compte (Account hijacking)

Septembre 2017
4. API non sécurisées
5. Déni de service (DoS & DDoS)
6. Utilisateurs internes malveillants
7. Abus de service Cloud
8. Technologies de partage.

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 77


SÉCURITÉ CLOUD: ANALYSE DE LA SÉCURITÉ CLOUD

Attaques de sécurité Cloud


Man in the middle
DoS et DDoS
http flooding attack
UDP flood attack

Septembre 2017
TCP SYN flood attack
Evasion
Insider attack
SQL Injections
Cross-Site Scripting (XSS)
Wrapping attack
Botnets
Cyber Attaks
Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 78
SÉCURITÉ CLOUD: ANALYSE DE LA SÉCURITÉ CLOUD

Mécanismes de sécurité Cloud


Software and Process isolation
sHype (Mandatory Access Control)
Mirage Image Management System

Septembre 2017
Identity-Based Encryption
Homomorphic Cryptosystem
XACML/ SAML/ OpenID
VLAN, VPN, SSL.

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 79


Cloud Security Architecture

Back end

Septembre 2017
Front end

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 80


Cloud Security Architecture

Cloud provider
Cloud management
Cloud security
Cloud layer Cloud layer management Cloud service management
Service consumer portal and API

Cloud

Cloud service portal and API


Data/storage service
SAAS Application layer management security develop
er
Application and
Cloud consumer

PAAS Platform layer management


Cloud broker

API security

Septembre 2017
Business Operation Virtualization Contractua Cloud
IAAS Infrastructure layer
Service al Service security l and legal tools
management develop
Virtualization and Support Support security
Virtualization Physical er
abstraction management (BSS) (BSS) security
Infrastructure
Communicati
Infrastructure management on security Cloud
auditor
Facility Access security

Cloud carrier

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 81


CLOUD SECURITY ARCHITECTURE: ECHANGE

Sécurité d’accès via l’authentification forte des usagers, SSL/VPN, etc.


Codification et cryptage symétrique et asymétrique des données
échangées.
Signature numérique des données.

Septembre 2017
Enforcement et application des procedures, des règles, des méthodes
et des techniques de sécurité.
Application des droits liés aux profiles d’utilisateurs.

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 82


CLOUD SECURITY ARCHITECTURE: CONTENU

Clustering et mirroring
Mode de stockage :
 Direct Attach Storage (SATA, eSATA, PATA, SAS, SCSI, USB, Firewire)
 SAN - Storage Area Networks (iSCSI, Fiber Channel, SAS)

Septembre 2017
 NAS - Network Attached Storage (single storage device)
Sauvegarde Total, Incrémentielle et Différentielle.
Cryptage et codification du contenu.

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 83


CLOUD SECURITY ARCHITECTURE: COMPONENT

La sécurité d’architecture se fait via le développement et la


mise en place d’une stratégie de sécurité exhaustive.
Cette stratégie doit considérer le nécessaire en termes de:

Septembre 2017
• Matériels, de logiciels: firewalls, IDS, IPS, IPDS, serveurs de proxy et de
domaine, routeurs, Antivirus, Virtualisation, etc.
• Méthodes, règles et techniques de sécurité et de limitation d’accès:
ACL, DMZ, config avancées, logs, NAT/PAT, VLAN, VPN,SSL/VPN, etc.

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 84


Customer responsibilities

Customer responsibilities IaaS


Increase as Customers OS Config Mgmt
have more control over Anti-Malware
security measures SW Install Controls
OS specific Controls
PaaS etc.

Septembre 2017
Cloud
Software Licenses
Customer
Developer Testing
App Configuration Management Security
Software Development Lifecycle Responsibility
SaaS
Identifying data types
Ensuring data appropriate to system
User/Account Management
Personnel Controls

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 85


Cloud Provider Responsibilities

On-Premises Data Center Off-Premises Data Center


(Private Cloud) (Public Cloud)

Septembre 2017
Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 86
Cloud Provider Responsibilities

Septembre 2017
Cloud brokering & Federation Cloud Application Security Cloud Services Security Secure Virtualisation
•Secure Cloud Service Broker •Intelligent Protection •Secure Cloud service •Hypervisor level Malware
•Cloud federation & coalition •Accountable Management management Detection
management •Behaviour monitoring and •Secure data storage •Hypervisor level Intrusion
Malware detection service Prevention
•Virtual Patching •Hypervisor level Data
•Active Shielding Leakage Prevention

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 87


Modèles de contrôle d’accès

Attribute
Based Attribute Based
Role Encryption
Encryption
(ABE)

Septembre 2017
Trust Risk Ciphertext
Key Policy-ABE
Policy-ABE
(KP-ABE)
(CP-ABE)

Token

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 88


Modèles de contrôle d’accès

CP-ABE
Attribute
Based • Un utilisateur est décrit par un ensemble
Role Encryption d'attributs descriptifs
• Une

Septembre 2017
autorité délivre une clé privée
correspondante aux attributs d’utilisateurs
• Au cours du cryptage, le propriétaire de
Trust Risk données associe au texte chiffré une politique
d'accès
• Si les attributs d'un utilisateur satisfont la
politique d'accès, le texte chiffré sera décrypté.
Token

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 89


Modèles de contrôle d’accès

KP-ABE
Attribute
Based • Un utilisateur est décrit par une politique d’accès
Role Encryption
• une autorité délivre une clé privée

Septembre 2017
correspondante à une politique d’accès
• Au cours du cryptage, le propriétaire de donnée
associe au texte chiffré un ensemble d’attributs
Trust Risk descriptifs
• Si les attributs d'un utilisateur satisfont la
politique d'accès, le texte chiffré sera décrypté.

Token

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 90


Modèles de contrôle d’accès

Confidentialité

Privacy
ADVANTAGES

LIMITATIONS
Key Escrow

Résistance au

Septembre 2017
collision User/attribut
révocation
Granularité
Data Owner
overhead
Moindre privilège

Scalabitlité

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 91


Modèles de contrôle d’accès

Setup
Input: ,
CP-ABE Output : MSK, PK

Key-gen Encrypt

PK

Septembre 2017
Input: PK, MSK, S Input: PK, ,M
Output: Output: CT

Decrypt
Input: , ,
Output: ⊥

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 92


Modèles de contrôle d’accès

Dept.: CS, Mathematics, …


Type: PhD Stud, Master, …
CP-ABE Gender: Male, Female……
……

Septembre 2017
#

, , , ℎ
satisfies
M
AND Storage Server
(Untrusted)
!"ℎ, ℎ
CS OR

does not satisfy


PDH MASTER

#$

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 93
Modèle d’Authentication Forte

• Objectifs d’authentification:
 Confidentialité
 Intégrité
 Disponibilité

Septembre 2017
 Traçabilité
• Problème: Un seul facteur d’authentification
• Plusieurs techniques d’écoute : Keylogger, Espion pro, etc.

Login

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 94


Modèles d’Authentication Forte

• Solution : Authentification forte.


 Empreinte digitale
 Reconnaissance de l’iris

Septembre 2017
 Reconnaissance faciale

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 95


Modèles d’Authentication Forte

Radius Cisco ACS

RCDevs

Radiu

Septembre 2017
s
Switch 802.1x

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 96


Conclusion

Modèle de déploiement Modèle de service


privé SaaS
public
PaaS
communautaire

Septembre 2017
hybride IaaS

Problèmes liés au Cloud

Qualité de CAPEX &


Sécurité Integration Interoperability InterCloud Federation
service OPEX

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 97


Conclusion

La sécurité du Cloud implique des concepts tels que la sécurité


d’accès, d’échanges, et d’architectures ainsi que les stratégies de
contrôle déployées afin de protéger les données, les applications et
l’infrastructure d’un environnement Cloud afin de consolider la
relation de confiance fournisseur/client.

Septembre 2017
Mise en place de nouveaux mécanismes de sécurité

Echange et Gestion de Architecture et


Stockage Virtualisation
accès confiance équipement

Cloud Computing: Services, Architecture et Sécurité Septembres, 2017 98

Vous aimerez peut-être aussi