Azure et la sécurité

2. SEC2211 Azure et la sécurité 8 février 2011 Bernard OurghanlianCTO, CSO & DPE LeadMicrosoft France

3. Agenda • Introduction • Les préoccupations sécurité dans le Cloud • Le modèle de sécurité de la plateforme Azure • Introduction • Gestion • Services de calcul • Stockage • Identité et Accès • Menaces et Défenses • Ressources additionnelles

4. Agenda • Introduction • Les préoccupations sécurité dans le Cloud • Le modèle de sécurité de la plateforme Azure • Introduction • Gestion • Services de calcul • Stockage • Identité et Accès • Menaces et Défenses • Ressources additionnelles

5. La stratégie Microsoft Serveur et Cloud Plateforme Serveur Plateforme Service Cloud Privé ou Public Windows Azure platformappliance Microsoft Cloud Windows Azure Datacenter traditionnel Cloud privé ou public Windows Server Options dans les locaux Options hors des locaux (Privé ou Public) Windows Azure SQL Azure System Center Visual StudioWindows Azure Platform Appliance Hardware spécifique ( Serveur - Réseau –Stockage) Logiciel acquis comme un service Microsoft / Partenaire / Client délivre le service IT Windows Server SQL Server System Center Visual Studio Hardware traditionnel de Datacenter Choix du Hardware Logiciel acheté comme un produit Le Client / Partenaire délivre le service IT Commun Outils de Dev. Management Identité

6. Agenda • Introduction • Les préoccupations sécurité dans le Cloud • Le modèle de sécurité de la plateforme Azure • Introduction • Gestion • Services de calcul • Stockage • Identité et Accès • Menaces et Défenses • Ressources additionnelles

7. Les préoccupations de la sécurité dans le Cloud « Où sont stockées mes données ? » « Est-ce que le Cloud de Microsoft est « sécurisé ? » « Qui peut voir mes données ? » « Comment pouvez-vous assurer que les données de ma société « suivent les règles » ? » « Que se passerait-il si ?… » “Cloudy with a chance of Rain”, The Economist, 5 mars 2010 “What is holding IT managers back from going to the cloud is fear about security.”

8. Securité : un inhibiteur pour aller dans le Cloud Source: Enterprise And SMB Hardware Survey, NorthAmerica And Europe, Q3 2009, Forrester Research

9. La sécurité des données, l’intégrité des systèmes et la disponibilité sont les premières préoccupations du Cloud Source : Source: Enterprise And SMB Hardware Survey, NorthAmerica And Europe, Q3 2009, Forrester Research

10. La sécurité dans le Cloud : un changement de mentalité • Listes de contrôle d’accès réseau et pare-feu deviennent du filtrage de paquets sur des systèmes hôtes et des pare-feu virtuels • Réduction de la surface d’attaque, moindre privilège, authentification et contrôle des saisies de l’utilisateurs sont des préoccupations clés • Le chiffrement au niveau plateforme et réseau continuera de jouer un rôle mais les développeurs ont désormais une responsabilité accrue pour la conception de mécanismes de chiffrement au niveau applicatif

11. Modèles de sécuritéNiveau de contrôle et complexité variable Vous gérez Applications Applications Applications Applications Vous gérez Runtimes Runtimes Runtimes Runtimes Sécurité / Intégration Sécurité / Intégration Sécurité / Intégration Sécurité / Intégration SaaS Géré par le fournisseur Géré par le fournisseur Vous gérez Bases de données Bases de données Bases de données Bases de données Géré par le fournisseur Serveurs Serveurs Serveurs Serveurs PaaS Virtualisation Virtualisation Virtualisation Virtualisation HW Serveur HW Serveur HW Serveur HW Serveur IaaS Privé Stockage Stockage Stockage Stockage Réseau Réseau Réseau Réseau

12. Contrôle de la sécurité vs. économies d’échelleMoins de contrôle par le client et plus de confiance dans le fournisseur Sur Place IaaS Cloud Privé IaaS Cloud Public PaaS SaaS • Je paye pour héberger mon application en utilisant un HW virtuel que je spécifie • J’achète mon propre hardware et je gère mon propre Datacenter • Je paye pour héberger mon application en utilisant du hardware que je spécifie • Je paye pour héberger mon application sans spécifier le hardware • Je paye pour une application hébergée sans spécifier le hardware Niveau de contrôle Haut Bas Economie d’échelle Haut Bas

13. Agenda • Introduction • Les préoccupations sécurité dans le Cloud • Le modèle de sécurité de la plateforme Azure • Introduction • Gestion • Services de calcul • Stockage • Identité et Accès • Menaces et Défenses • Ressources additionnelles

14. Plateforme Windows Azure Plateforme Windows dans le Cloud Appli Cloud Azure Stockage Cloud Plateforme Connectée AppFabric

15. La plateforme Windows Azure • Expérience Développeur • Utilisation des compétences et des outils existants AppFabric AppFabric Management Données relationnelles Calcul Stockage Management Connectivité Contrôle d’accès CDN

16. Le Fabric Controller communique avec chaque serveur au sein de la Fabric. Il gère le système d’exploitation Windows Azure, surveille chaque application, décide où les nouvelles applications doivent s’exécuter et optimise l’utilisation du hardware. Architecture de Windows Azure Fabric Controller

17. Agenda • Introduction • Les préoccupations sécurité dans le Cloud • Le modèle de sécurité de la plateforme Azure • Introduction • Gestion • Services de calcul • Stockage • Identité et Accès • Menaces et Défenses • Ressources additionnelles

18. Sécurité de la gestion des Services • Les clients créent une souscription Azure en utilisant des crédentités Live ID • Les comptes de services hébergés et de stockage sont gérés à travers Live ID ou à l’aide d’une Service Management API (SMAPI) avec une paire de clés publiques/privées générées par l’utilisateur • Les FabricControllersmettent à jour et gèrent les nœuds de calcul et de stockage • Les Fabriccontrollers tournent sur un hardware séparé de celui qui exécute les services de calcul et de stockage • Les communications entre les FabricControllerset les nœuds gérés sont authentifiées et chiffrés en utilisant SSL

19. Agenda • Introduction • Les préoccupations sécurité dans le Cloud • Le modèle de sécurité de la plateforme Azure • Introduction • Gestion • Services de calcul • Stockage • Identité et Accès • Menaces et Défenses • Ressources additionnelles

20. Services de calcul avec Windows Azure 2 types de rôles : Web Role et WorkerRole Les applications Windows Azure sont construites avec des web roles, desworkerroles, ou une combinaison des deux déployée sur un ensemble d’instances. « Scale out » – non « up » – en répliquant les instances de travail en fonction des besoins. Permet aux applications de faire évoluer les utilisateurs et les capacités de traitement indépendamment. Chaque instance tourne dans sa propre VM (virtual machine), répliquée en fonction des besoins.

21. Le code client tourne au sein de machines virtuelles dédiées Les VM sont isolées grâce à un hyperviseur basé sur Hyper-V Tous les accès réseau et disques sont facilités par la machine virtuelle « racine » Hyperviseur et « bac à sable » Sécurité des services de calcul VM racine VM invité VM invité VM invité VM invité VM invité VM invité VM invité Hyperviseur basé sur Hyper-V • 1, 2, 4 ou 8 CPU, jusqu’à 14 GO de mémoire • Version customisée et renforcée de Windows Server 2008 • 3 disques virtuels • Un nombre limité de pilotes de périphériques • Connectivité réseau restreinte en utilisant le pare-feu de l’hôte Hyperviseur Réseau/Disque

22. Isolation au sein de Windows Azure • Non dépendant de la sécurité de Windows • Au lieu de cela, dépendant de la sécurité de l’hyperviseur et des drivers réseau et disque • La surface d’attaque est minimisée en acceptant quelques commandes et en ne supportant que quelques périphériques hardware • Les CPU physiques sont dédiés à des machines virtuelles particulières afin d’éviter les attaques par canaux auxiliaires (side-channelattacks) • Les disques invités sont des fichiers VHD au sein du système de fichier de l’OS racine • L’hyperviseur et l’OS racine implémente des filtres de paquets réseau afin de bloquer le trafic usurpé ou non autorisé en direction des VM

23. Les clients ne peuvent se voir donner de privilèges d’administration, le code s’exécute au sein d’un compte utilisateur sans privilège (évolution récente annoncé lors de la PDC 2010 pour pouvoir utiliser des privilèges d’administration) Niveau de confiance .NET Full ou Partial (défaut : Full) Accès libre au système de fichiers local mais pas de stockage local persistant Les rôles de services de calcul d’Azure • WORKER ROLE • Lancent leur propres requêtes vers des données ou des tâches depuis la file d’attente • Semblable à un « job batch » ou à un service Windows • WEB ROLE • Interagit avec l’utilisateur final ou des services web • Communique avec les workerroles directement ou via des files d’attente

24. Stockage évolutif et sécurisé Services de Stockage avec Windows Azure • Le stockage Windows Azure est une application gérée par le Fabric Controller • Les applications Windows Azure peuvent utiliser du stockage natif, MySQL au sein d’une VM ou SQL Azure • L’état d’une application est maintenu dans les services de stockage, de telle façon que les workerroles puissent être répliqués si nécessaire

25. Blobs, Tables, Queues et Drives QUEUES: Fournit du stockage fiable pour la délivrance de messages pour une application. DRIVES Un système de fichiers NTFS durable, partageable à travers les instances BLOBS Fournit une interface simple pour stocker les fichiers nommés ainsi que les métadonnées pour le fichier. TABLES: Fournit un stockage structuré. Une table est un ensemble d’entités qui contiennent un ensemble de propriétés.

26. Contrôle d’accès Sécurité du stockage Azure • Les données des utilisateurs sont stockées sur des hardwares différents, organisés en compte de stockage (storageaccounts) • L’accès aux données d’un compte spécifique n’est donné qu’aux entités disposant de la clé secrète pour ce compte • Les clés d’accès au stockage sont générées de façon aléatoire quand le compte de stockage est créé (ou plus tard à la demande de l’utilisateur) • Un compte de stockage peut avoir deux clés actives à n’importe quel instant afin de supporter le renouvellement de clé • L’accès aux données peut être protégé à travers un chiffrement SSL

27. Le design pattern du « portier » Patterns applicatifs pour l’accès au stockage Utilisateur Web avec des entrées potentiellement malfaisantes Frontend de stockage Azure • Service de surveillance / diagnostic • Web Role« maitre des clés » • Pas d’ IP publique • Full Trust • Dispose de la clé de stockage • Web Role« portier » • Adresse IP publique • Partial Trust • Pas d’information de clé de stockage Contenu de Stockage

28. Design Pattern « multi-clés » Patterns applicatifs pour accès au stockage Compte de stockage Frontend « A »: File d’attente de requêtes « indignes de confiance » Utilisateur Web avec des entrées potentiellement malfaisantes • Web Role indigne de confiance • Adresse IP publique • Full ou Partial Trust • Clé de stockage pour « A » Requêtes nettoyées • WorkerRoledigne de confiance • Pas d’IP publique • Full Trust • Clés de stockage pour « A » et « B » Requêtes filtrées Compte de stockage Frontend « B » : Stockage de confiance Contenu de Stockage

29. Les données sont répliquées au sein d’Azure vers trois nœuds physiques séparés pour une meilleure disponibilité Redondance et stockage sur place Fiabilité du stockage Azure Application Application X Stockage physique Azure Un client peut créer une application customisée pour extraire des données à destination de sauvegardes externes Stockage client chez lui

30. SQL Azure • Base de données relationnelles sous la forme d’un Service au sein d’Azure • Construit au dessus du moteur SQL Server • Un serveur logique par souscription Azure • Abstrait l’administration logique de l’administration physique • Traitement des données du côté serveur • Agrégation, Procédure stockées, Requêtes, Jointures, Tris, Vues, Index, etc. • Supporte le modèle de programmation familier T-SQL • Accessible à travers des API existantes • ADO .Net, ODBC, etc. • Outils disponibles et faciles à utiliser pour la migration de schéma et de données

31. Modèle d’authentification et d’autorisation Sécurité SQL Azure

32. Détails de l’authentification Sécurité SQL Azure

33. Authentification intégrée SQL (natif) et Windows Autorisation basée sur les utilisateurs et les rôles de la base de données Rôles serveur tels que serveradmin, securityadmin et dbcreator Accès via TDS + SSL sur le port TCP 1433 Pare-feu et blocage IP en utilisant le pare-feu hôte Support de chiffrement natif (TDE) SQL Server traditionnel vs. SQL Azure Authentification SQL (natif) seulement, pas d’authentification Windows Autorisation basée sur les utilisateurs et les rôles de la base de données Ajoute les rôles loginmanager et dbmanager dans Master DB pour simuler les rôles serveurs respectifs Access via TDS + SSL sur port TCP 1433 Pare-feu SQL Azure pour le blocage IP Pas de support de chiffrement natif Sécurité SQL Azure

34. Identité commune à travers les applications Identité et gestion d’accès Logon unique avec la plupart des fournisseurs d’identité sur Internet Utilise les identités et les groupes d’Active Directory à travers la fédération Intégration avec les systèmes tiers à travers les standards ouverts WS-* et SAML 2.0 Permet une expérience sans couture avec les autres applications d’entreprise liées à l’AD • WS-* and SAML Autres fournisseurs Active Directory Sur Place

35. Contrôle d’accès basé sur des revendications Access Control Services (AC) • Fournit des services sécurisés REST • Fonctionnalités clés • Ouvert à toutes les plateformes • Règles simples pour mapper les revendications à l’entrée vers les revendications à la sortie à travers des rôles locaux • Support pour OAuth WRAP et SWT • S’intègre avec AD Federation Services v2 • Tous les services web peuvent tirer parti de ces fonctionnalités avec une seule base de code, dans l’entreprise ou dans le Cloud

36. Menaces dans le Cloud • Les menaces traditionnelles existent toujours • Cross-site scripting (XSS), injection SQL • Attaques DNS, network flooding • Certaines menaces sont étendues • Respect de la vie privée à travers les questions d’emplacement et de ségrégation • Abus des accès privilégiés par les administrateurs • De nouvelles menaces sont introduites • Elévations de privilèges depuis les machines virtuelles vers le serveur hôte • Casser la frontière entre les VM • « Hyperjacking » – utilisation de rookits dans les VM ou les hôtes • Certaines anciennes menaces sont atténuées • La mise à jour est automatique et les instances sont déplacées vers des systèmes sécurisés • La résilience du Cloud améliore le basculement d’un service

37. Couches sécurité Windows Azure Approche de défense en profondeur • Couche • Défenses • Clés de stockage fortes pour le contrôle d’accès • Support SSL pour les transferts de données entre les partis • Données • Code .NET front-end s’exécutant en mode partial trust • Comptes Windows avec le moins de privilège possible • Version réduite de Windows Server 2008 • Frontières des hôtes rendues obligatoires par un hyperviseur externe • Application • Pare-feu rôle limitant le trafic vers les VM • VLAN et filtrage de paquets dans les routeurs • Hôte • Sécurité physique au niveau des meilleures pratiques • Certification ISO 27001 et SAS 70 Type II pour les processus Datacenter • Réseau • Physique

38. Défenses héritées par les Applications Azure • Usurpation • Falsification/ Divulgation Répudiation Déni de Service Elévation de Privilège • VLANs • Top of Rack Switches • Filtrage de paquets customisé • Renforcement VM switch • Services de certificats • Signatures pour les accès partagés • HTTPS • Protections canaux latéraux Surveillance Service de diagnostics • Infrastructure LB • Limitation de bande passante réseau • Protection DDoS sur les nœuds de stockage • Evolutivité configurable • Runtime en Partial Trust • Bac à sable hyperviseur customisé • Comptes de service virtuels

39. Processus d’assurance sécurité reconnu par l’industrie Approche prescriptive mais pratique Proactive – pas juste « une recherche de bugs » Elimination des problèmes de sécurité le plus tôt possible Résultats tangibles Protège les utilisateurs de Microsoft Azure en Réduisant le nombre de vulnérabilité Réduisant la sévérité des vulnérabilités Le Security Development Lifecycle (SDL) de Microsoft Sécurisé par conception Microsoft SecurityResponse Center Conception Best Practicesand Learning ProductDevelopment Incident Response Secure Design Final Security Review Secure Implementation Release Internal Testing Beta Testing Verification

40. Sécurité Datacenter Certifications de l’industrie • ISO/IEC 27001:2005 • SAS 70 Type I and Type II Sécurité Physique • Accès sécurisé 24x7 • Systèmes de contrôle d’accès biométriques • Surveillance vidéo • Capteurs de mouvement • Alarmes en cas d’atteinte à la sécurité

41. Microsoft se conforme à toutes les lois applicables concernant le transfert de données transfrontalières et notamment les exigences SafeHarbor Région choisie par le client lors de la création du service Emplacement des données Eastern Europe Amérique du nord Europe Asie West Europe North Central US East Asia South Central US South Asia

42. Accès aux données par les administrateurs Windows Azure Accès privilégiés • L’accès aux données client par les administrateurs de Microsoft obéit aux procédures suivantes : • Le consentement du client est requis quand un tel accès est nécessaire • Séparation des fonctions pour éviter les abus par un seul administrateur malveillant • L’accès est toujours traçable au niveau d’un utilisateur unique • Audits afin d’assurer que les accès non autorisés seront découverts

43. Tout dans une boite pour permettre le déploiement chez vous Emplacement des données, accès administrateur, accès et sécurité physique sous le contrôle du client Windows Azure Appliance Appliance Appliance Appliance CLOUD PUBLIC Entreprise Fournisseur de service Etat

44. Ressources supplémentaires • Windows Azure Security Overview • http://www.globalfoundationservices.com/security/documents/WindowsAzureSecurityOverview1_0Aug2010.pdf • Microsoft Compliance Framework for Online Services • http://www.globalfoundationservices.com/documents/MicrosoftComplianceFramework1009.pdf • Microsoft Security Development Lifecycle • http://www.microsoft.com/security/sdl

45. Questions ?