Javan Cloud Security 950526 (oCCc63)

Morteza Javan
Morteza JavanManager at Cloud Research Center (CRC), Founder of oCCc.ir em Cloud Research Center
‫در‬ ‫امنیت‬ ‫بر‬ ‫ای‬ ‫مقدمه‬‫ابری‬ ‫رایانش‬
‫جوان‬ ‫مرتضی‬
www.msjavan.ir
1
‫خدا‬ ‫نام‬ ‫به‬
http://crc.aut.ac.ir
‫ساده‬ ‫سناریوهای‬
• VM Delete / App Remove / Service Stop
• Server /VM Dump Memory
• Clone / Copy / Mount Disk
• Traffic Capture
• Change DNS
• Traffic Manipulation
2
‫اخیر‬ ‫رویدادهای‬ ‫بر‬ ‫مروری‬
3
4
‫ابری‬ ‫رایانش‬:‫پنجم‬ ‫همگانی‬ ‫صنعت‬...FULLSTACKSECURITY
Application
Data
Runtime / API
Middleware
OS
Virtualization
Hypervisor
Networking
Storage
Server
Business /
Process
5
‫مالحظات‬(‫غيرفني‬ ‫و‬ ‫فني‬)
‫نظارت‬ ‫و‬ ‫مدیریت‬ ‫کاهش‬
‫منابع‬ ‫روي‬ ‫بر‬ ‫کنترل‬ ‫کاهش‬
‫ها‬ ‫داده‬ ‫روي‬ ‫بر‬ ‫کنترل‬ ‫کاهش‬
‫وابستگي‬ ‫افزایش‬
‫و‬...
‫نفوذ‬ ‫های‬ ‫روش‬ ‫انواع‬ ‫از‬ ‫شمایی‬:
6
X
Data Center5
Data Center4
Data Center2
Data Center7
Data Center1
Data Center3
Data Center6
7
‫در‬ ‫پذیری‬ ‫آسیب‬ ‫اجرای‬VM
‫به‬ ‫نفوذ‬VM‫های‬
‫مجاور‬
‫شبکه‬ ‫به‬ ‫نفوذ‬
‫و‬ ‫فیزیکی‬ ‫میزبان‬
‫به‬ ‫دسترسی‬VM
‫دیگر‬ ‫های‬
‫آسیب‬‫های‬ ‫پذیری‬‫با‬ ،‫امنیتی‬‫است‬ ‫یافته‬ ‫افزایش‬ ‫سازی‬ ‫مجازی‬ ‫به‬ ‫گرایش‬ ‫افزایش‬
8
http://cve.occc.ir
9
DEMO
10
‫موردی‬ ‫مثال‬(DARPA)
11
• MRC
(Mission-Oriented Resilient Clouds)
• PROCEED
(Computation on Encrypted Data)
• CRASH
(Adaptive Secure Hosts)
• CBMEN
(Content-Based Mobile Edge Networking)
• CORONET
(Cloud-to-Cloud Connectivity)
‫امنیتی‬ ‫های‬ ‫محک‬ ‫و‬ ‫استانداردها‬
12
13
Please Notice Some of The Current Cloud Security Standards Limitations !
Cloud service
partner (CSN)
CSN:
Cloud
Auditor
CSN:
Cloud
service
developer
CSN:
Cloud
service
broker
Cloud service customer (CSC)
CSC: Service
Administer
and Security
CSC: Cloud
service user
CSC: Cloud
service
business
manager
CSC: Cloud
service
integrator
Cloud service provider (CSP)
CSP: Cloud
service
deployment
manager
CSP: Cloud
service
operations
manager
CSP: Cloud
service
manager
CSP: Cloud
service
business
manager
CSP: Inter-
cloud
provider
CSP: Customer
support and
care
representative
CSP: Service
security and
risk
manager
CSP:
Network
provider
ISO/IEC 17789: 2014
Cloud computing — Reference architecture
14
CSN:
Cloud
Auditor
CSP: Service
Security and
Risk
Manager
CSC: Service
Administer
and Security
FULLSTACKSECURITY
S
a
a
S
P
a
a
S
I
a
a
S
Application
Data
Runtime / API
Middleware
OS
Virtualization
Hypervisor
Networking
Storage
Server
Business /
Process
CSN:
Cloud
Auditor
CSP: Service
Security and
Risk
Manager
CSC: Service
Administer
and Security
16
Compliance Control
Regulatory Control
Privacy Impact
Encryption
Data at rest
/ in motion
Integrity Backup & Recovery
Policies
Change Management
Align Policies
& SLA
Risk Management Hardening
Compliance
Compatibility
Business Continuity
Monitoring &
Analysis
Vulnerabilities
Tenant Isolation
Personal & Physical
Security
IntegrationPrivacy & PII
Authorization &
Access Control
Network &
Communication
S
a
a
S
P
a
a
S
I
a
a
S
FULLSTACKSECURITY
Audit Interfaces
Assets and Inventory
Path & Update
Management
Authentication &
Identity Management
Application
Data
Runtime / API
Middleware
OS
Virtualization
Hypervisor
Networking
Storage
Server
Business /
Process
CSC: Cloud
Service
Customer
CSN:
Cloud
Auditor
CSP: Cloud
Service
Provider
17
‫مانیتورینگ‬ ‫مالحظات‬
FULLSTACKSECURITY
Application
Data
Runtime / API
Middleware
OS
Virtualization
Hypervisor
Networking
Storage
Server
Business /
Process
(‫سنتی‬ ‫مانیتورینگ‬ ‫های‬ ‫سیستم‬ ‫کارآیی‬ ‫عدم‬)
‫ابر‬ ‫در‬ ‫محاسبات‬ ‫و‬ ‫داده‬ ‫رمزنگاری‬
18
> Secure Storage
>Trusted Computing
‫مقررات‬ ‫تنظیم‬ ‫و‬ ‫نظارت‬
19
PaaSSaaSVisibility
&
Control
FULLSTACKSECURITY
Application
Data
Runtime / API
Middleware
OS
Virtualization
Hypervisor
Networking
Storage
Server
Business /
Process
HIPPA Compliant
‫انطباق‬ ‫و‬ ‫استانداردها‬ ‫رعایت‬‫امنیتی‬ ‫پذیری‬
ISMS ISO 27001
PCI DSS
SOC
FIPS
FedRAMP
...
20
Cloud Infrastructure
PCI Compliant
FULLSTACKSECURITY
Application
Data
Runtime / API
Middleware
OS
Virtualization
Hypervisor
Networking
Storage
Server
Business /
Process
‫کاری‬ ‫محکم‬ ‫مالحظات‬(Hardening)
•‫تصاویر‬‫مجازی‬ ‫ماشین‬(MI)‫الگوها‬ ‫و‬
•‫حذف‬‫در‬ ‫کاربر‬ ‫دخالت‬‫سرویس‬ ‫استقرار‬
•‫استانداردها‬‫امنیتی‬ ‫های‬ ‫محک‬ ‫و‬
•‫مختلف‬ ‫های‬ ‫الیه‬ ‫در‬ ‫امن‬ ‫های‬ ‫پیکربندی‬
•‫مختلف‬ ‫های‬ ‫درگاه‬ ‫بستن‬
•‫مختلف‬ ‫های‬ ‫الیه‬ ‫در‬ ‫رویداد‬ ‫ثبت‬ ‫و‬ ‫گیری‬ ‫گزارش‬
•‫میزبان‬ ‫سطح‬ ‫در‬ ‫آتش‬ ‫دیوارهای‬ ‫بکارگیری‬
•...
21
FULLSTACKSECURITY
Application
Data
Runtime / API
Middleware
OS
Virtualization
Hypervisor
Networking
Storage
Server
Business /
Process
‫رسانی‬ ‫روز‬ ‫به‬ ‫و‬ ‫ها‬ ‫وصله‬ ‫مدیریت‬
•‫افزار‬ ‫میان‬ ‫روزرسانی‬ ‫به‬
•‫میزبان‬ ‫عامل‬ ‫سیستم‬ ‫روزرسانی‬ ‫به‬(‫ناظر‬ ‫فوق‬)
•‫روزرسانی‬ ‫به‬‫عامل‬ ‫سیستم‬‫میهمان‬(‫ناهمگن‬)
•‫مجازی‬ ‫ماشین‬ ‫تصاویر‬ ‫و‬ ‫الگوها‬ ‫روزرسانی‬ ‫به‬
•‫های‬ ‫ماشین‬(‫مجازی‬)‫خاموش‬
•‫ابری‬ ‫سیستم‬ ‫اصلی‬ ‫اجزای‬
•‫نهایی‬ ‫سرویس‬ ‫افزاری‬ ‫نرم‬ ‫پشته‬
•‫مستاجرها‬ ‫سفارشی‬ ‫های‬ ‫نیازمندی‬
22
FULLSTACKSECURITY
Application
Data
Runtime / API
Middleware
OS
Virtualization
Hypervisor
Networking
Storage
Server
Business /
Process
Hypervisor
‫داده‬ ‫صحت‬ ‫مالحظات‬
23
•‫سيستم‬ ‫معماري‬ ‫گرفتن‬ ‫نظر‬ ‫در‬
•‫صحت‬ ‫بررسي‬ ‫هاي‬ ‫مدل‬
(‫آنالین‬/‫اي‬ ‫دوره‬)
•‫کارآیي‬‫سيستم‬
•‫داده‬ ‫نوع‬
Hypervisor
Hardware
‫بر‬ ‫نظارت‬ ‫سیستم‬
‫فایل‬ ‫جامعیت‬
‫های‬‫سیاست‬
‫نفوذ‬ ‫تشخیص‬
‫داده‬ ‫پایگاه‬
File
system
‫بر‬ ‫نظارت‬ ‫سیستم‬
‫فایل‬ ‫جامعیت‬
‫های‬‫سیاست‬
‫نفوذ‬ ‫تشخیص‬
‫داده‬ ‫پایگاه‬
File
system
‫بر‬ ‫نظارت‬ ‫سیستم‬
‫جامعیت‬‫فایل‬
‫داده‬ ‫پایگاه‬
‫های‬‫سیاست‬
‫نفوذ‬ ‫تشخیص‬
report
Dom0 VM1 VM2 ‫سیستم‬ ‫نام‬
‫در‬ ‫تغییر‬ ‫عدم‬‫تحت‬ ‫ماشین‬
‫نظارت‬
‫ای‬‫دوره‬ ‫بررسی‬‫بالدرنگ‬ ‫بررسی‬
Tripwire
XenFIT
VRFPS
RFIM
DFIM
NOPFIT
XenRIM
‫داده‬ ‫صحت‬ ‫از‬ ‫سناریوهایی‬/‫سرویس‬ ‫صحت‬/‫کار‬ ‫و‬ ‫کسب‬ ‫تداوم‬
24
‫الگو‬ ‫صحت‬
‫فرآیند‬ ‫صحت‬/‫پیکربندی‬
‫استقرار‬ ‫صحت‬
(‫سرویس‬)
‫داده‬ ‫صحت‬
‫اجزا‬ ‫صحت‬
CSN: Service Developer CSP: Service Manager CSP: Operations ManagerCSP: Deployment Manager
Scale
Out
‫ریسک‬ ‫مدیریت‬2009
25
Vendor Lock-in
Loss of Governance
Compliance Compatibility
Service Failure
Isolation Failure
Malicious Insider
•‫ها‬ ‫دارایی‬ ‫تحلیل‬
•‫ها‬ ‫ریسک‬ ‫تحلیل‬
•‫راهکار‬ ‫ارایه‬
‫ریسک‬ ‫مدیریت‬2012
26
Data protection
Loss of Governance
Malicious Insider / root access !
Risk from changes of jurisdiction
Management Interface Compromise
Isolation Failure
Insecure deletion of data
Subpoena
Compromise of Service Engine
Lock-in
27
• Risk Analysis Case Study: Fax.ir
• Lock in
• Loss of Governance
• Supply chain failure
• Isolation Failure
• Malicious Insider
• Data leakage
• Insecure deletion of data
• DOS
Simple Example (Fax.ir)
28
Critical Research !
29
• Visit http://cvedetails.com/
• Visit http://cve.occc.ir/
• Find the vulnerabilities related to cloud and virtualization tools (KVM / Openstack / …)
• Select one of vulnerabilities and describe it in the class
TOP 10
StrategicTechnologyTrends
30
The Device Mesh
3D Printing
Materials
Ambient User
Experience
Autonomous Agents
andThings
Information of
Everything
Advanced Machine Learning
AdaptiveSecurity
Architecture
IoT Architecture
and Platforms
Advanced System
Architecture
Mesh App and
ServiceArchitecture
2016
Gartner, Oct 2015
‫باران‬ ‫و‬ ‫ابر‬
31
http://crc.aut.ac.ir
1 de 30

Recomendados

پردازش ابری و امنیت سایبری por
پردازش ابری و امنیت سایبریپردازش ابری و امنیت سایبری
پردازش ابری و امنیت سایبریAmin Younesi
256 visualizações57 slides
mobile cloud Security and challenges por
mobile cloud Security and challengesmobile cloud Security and challenges
mobile cloud Security and challengesRoshanak Ramezani
326 visualizações36 slides
Cloud security por
Cloud securityCloud security
Cloud securityHassan Kooshkaki
753 visualizações47 slides
oCCc_24_Cloud_Design_Patterns por
oCCc_24_Cloud_Design_PatternsoCCc_24_Cloud_Design_Patterns
oCCc_24_Cloud_Design_PatternsMorteza Javan
1.1K visualizações9 slides
آشنایی با رایانش ابری por
آشنایی با رایانش ابریآشنایی با رایانش ابری
آشنایی با رایانش ابریNasser Ghanemzadeh
2.3K visualizações32 slides
Cloud computing por
Cloud computingCloud computing
Cloud computingbehzad abbasi
319 visualizações10 slides

Mais conteúdo relacionado

Mais procurados

درآمدی بر رایانش ابری por
درآمدی بر رایانش ابریدرآمدی بر رایانش ابری
درآمدی بر رایانش ابریNasser Ghanemzadeh
2.9K visualizações29 slides
Cloud Computing por
Cloud ComputingCloud Computing
Cloud ComputingMohammad Amin Amjadi
368 visualizações27 slides
رایانش ابری و کارآفرینی اینترنتی por
رایانش ابری و کارآفرینی اینترنتیرایانش ابری و کارآفرینی اینترنتی
رایانش ابری و کارآفرینی اینترنتیNasser Ghanemzadeh
1.5K visualizações43 slides
Cloud ofthings por
Cloud ofthingsCloud ofthings
Cloud ofthingsamin salehzadeh
258 visualizações31 slides
cloud services for libraries por
cloud services for librariescloud services for libraries
cloud services for librariesmahboubeh ghorbani
31 visualizações144 slides
کنترل و مدیریت منابع زیرساخت ابر با تمرکز بر روی منابع شبکه ای por
کنترل و مدیریت منابع زیرساخت ابر با تمرکز بر روی منابع شبکه ایکنترل و مدیریت منابع زیرساخت ابر با تمرکز بر روی منابع شبکه ای
کنترل و مدیریت منابع زیرساخت ابر با تمرکز بر روی منابع شبکه ایMuhammad Bayat
340 visualizações33 slides

Mais procurados(6)

درآمدی بر رایانش ابری por Nasser Ghanemzadeh
درآمدی بر رایانش ابریدرآمدی بر رایانش ابری
درآمدی بر رایانش ابری
Nasser Ghanemzadeh2.9K visualizações
رایانش ابری و کارآفرینی اینترنتی por Nasser Ghanemzadeh
رایانش ابری و کارآفرینی اینترنتیرایانش ابری و کارآفرینی اینترنتی
رایانش ابری و کارآفرینی اینترنتی
Nasser Ghanemzadeh1.5K visualizações
Cloud ofthings por amin salehzadeh
Cloud ofthingsCloud ofthings
Cloud ofthings
amin salehzadeh258 visualizações
cloud services for libraries por mahboubeh ghorbani
cloud services for librariescloud services for libraries
cloud services for libraries
mahboubeh ghorbani31 visualizações
کنترل و مدیریت منابع زیرساخت ابر با تمرکز بر روی منابع شبکه ای por Muhammad Bayat
کنترل و مدیریت منابع زیرساخت ابر با تمرکز بر روی منابع شبکه ایکنترل و مدیریت منابع زیرساخت ابر با تمرکز بر روی منابع شبکه ای
کنترل و مدیریت منابع زیرساخت ابر با تمرکز بر روی منابع شبکه ای
Muhammad Bayat340 visualizações

Destaque

مفاهیم رایانش ابری por
مفاهیم رایانش ابریمفاهیم رایانش ابری
مفاهیم رایانش ابریAli Aboutalebi
2K visualizações21 slides
Cloud Computing por
Cloud ComputingCloud Computing
Cloud ComputingMilad Rahimi
536 visualizações35 slides
حریم خصوصی در رایانش ابری por
حریم خصوصی در رایانش ابریحریم خصوصی در رایانش ابری
حریم خصوصی در رایانش ابریAhmad Darki
3.9K visualizações40 slides
Cloud computing por
Cloud computingCloud computing
Cloud computingarichoana
4K visualizações25 slides
Cloud backup by Mostafa Roshani por
Cloud backup by Mostafa RoshaniCloud backup by Mostafa Roshani
Cloud backup by Mostafa RoshaniMostafa Roshani
120 visualizações6 slides
آزادی و محرمانگی در رایانش همراه por
آزادی و محرمانگی در رایانش همراهآزادی و محرمانگی در رایانش همراه
آزادی و محرمانگی در رایانش همراهجشنوارهٔ روز آزادی نرم‌افزار تهران
481 visualizações13 slides

Destaque(20)

مفاهیم رایانش ابری por Ali Aboutalebi
مفاهیم رایانش ابریمفاهیم رایانش ابری
مفاهیم رایانش ابری
Ali Aboutalebi2K visualizações
Cloud Computing por Milad Rahimi
Cloud ComputingCloud Computing
Cloud Computing
Milad Rahimi536 visualizações
حریم خصوصی در رایانش ابری por Ahmad Darki
حریم خصوصی در رایانش ابریحریم خصوصی در رایانش ابری
حریم خصوصی در رایانش ابری
Ahmad Darki3.9K visualizações
Cloud computing por arichoana
Cloud computingCloud computing
Cloud computing
arichoana4K visualizações
Cloud backup by Mostafa Roshani por Mostafa Roshani
Cloud backup by Mostafa RoshaniCloud backup by Mostafa Roshani
Cloud backup by Mostafa Roshani
Mostafa Roshani120 visualizações
Cloud Computing and Business por Morteza Javan
Cloud Computing and BusinessCloud Computing and Business
Cloud Computing and Business
Morteza Javan914 visualizações
Cloud Security and Risk Management por Morteza Javan
Cloud Security and Risk ManagementCloud Security and Risk Management
Cloud Security and Risk Management
Morteza Javan671 visualizações
رایانش ابری por Ali Ghaeni
 رایانش ابری رایانش ابری
رایانش ابری
Ali Ghaeni1.1K visualizações
ERP Systems on Cloud Computing por Saeid Kourehpazasl
ERP Systems on Cloud ComputingERP Systems on Cloud Computing
ERP Systems on Cloud Computing
Saeid Kourehpazasl632 visualizações
Qualitative Research 4 bahman taherkhani por bahman
Qualitative Research 4 bahman taherkhaniQualitative Research 4 bahman taherkhani
Qualitative Research 4 bahman taherkhani
bahman515 visualizações
What's cloud por Nadi Ya
What's cloudWhat's cloud
What's cloud
Nadi Ya343 visualizações
آموزش برنامه نویسی R و نرم افزار R Studio بخش ششم | فرادرس por faradars
 آموزش برنامه نویسی R و نرم افزار R Studio بخش ششم | فرادرس آموزش برنامه نویسی R و نرم افزار R Studio بخش ششم | فرادرس
آموزش برنامه نویسی R و نرم افزار R Studio بخش ششم | فرادرس
faradars274 visualizações
Wireless Sensor Network por pouriya70
Wireless Sensor NetworkWireless Sensor Network
Wireless Sensor Network
pouriya70438 visualizações
امنیت شبکه por arichoana
امنیت شبکهامنیت شبکه
امنیت شبکه
arichoana5.4K visualizações
Social impact assessment (SIA), روش تحقیق ارزیابی تاثیر اجتماعی، اتا por Yaser Derakhshan
Social impact assessment (SIA), روش تحقیق ارزیابی تاثیر اجتماعی، اتاSocial impact assessment (SIA), روش تحقیق ارزیابی تاثیر اجتماعی، اتا
Social impact assessment (SIA), روش تحقیق ارزیابی تاثیر اجتماعی، اتا
Yaser Derakhshan843 visualizações

Similar a Javan Cloud Security 950526 (oCCc63)

Oracle database firewall por
Oracle database firewallOracle database firewall
Oracle database firewallAskar Adibi
61 visualizações34 slides
Vm ware ha-ver-0.0.1 por
Vm ware ha-ver-0.0.1Vm ware ha-ver-0.0.1
Vm ware ha-ver-0.0.1pdnsoftco
733 visualizações6 slides
Vm ware ha-ver-0.0.1 por
Vm ware ha-ver-0.0.1Vm ware ha-ver-0.0.1
Vm ware ha-ver-0.0.1pdnsoftco
346 visualizações6 slides
توسعه امن نرم افزار por
توسعه امن نرم افزارتوسعه امن نرم افزار
توسعه امن نرم افزارMohammad Hamidi Esfahani
1.9K visualizações65 slides
Proxmox por
ProxmoxProxmox
ProxmoxYashar Esmaildokht
309 visualizações91 slides
مجازي سازي، مجازى سازى por
مجازي سازي، مجازى سازىمجازي سازي، مجازى سازى
مجازي سازي، مجازى سازىmarketingfarkhad
1.8K visualizações7 slides

Similar a Javan Cloud Security 950526 (oCCc63)(20)

Oracle database firewall por Askar Adibi
Oracle database firewallOracle database firewall
Oracle database firewall
Askar Adibi61 visualizações
Vm ware ha-ver-0.0.1 por pdnsoftco
Vm ware ha-ver-0.0.1Vm ware ha-ver-0.0.1
Vm ware ha-ver-0.0.1
pdnsoftco733 visualizações
Vm ware ha-ver-0.0.1 por pdnsoftco
Vm ware ha-ver-0.0.1Vm ware ha-ver-0.0.1
Vm ware ha-ver-0.0.1
pdnsoftco346 visualizações
مجازي سازي، مجازى سازى por marketingfarkhad
مجازي سازي، مجازى سازىمجازي سازي، مجازى سازى
مجازي سازي، مجازى سازى
marketingfarkhad1.8K visualizações
رایانش ابری por Shiraz LUG
رایانش ابریرایانش ابری
رایانش ابری
Shiraz LUG135 visualizações
Cloud Computing and Cloud Services por Saeid Bostandoust
Cloud Computing and Cloud ServicesCloud Computing and Cloud Services
Cloud Computing and Cloud Services
Saeid Bostandoust84 visualizações
SIEM and SOC por Abolfazl Naderi
SIEM and SOCSIEM and SOC
SIEM and SOC
Abolfazl Naderi4.2K visualizações
Web Application Security Test por Saeid Sadeghi
Web Application Security TestWeb Application Security Test
Web Application Security Test
Saeid Sadeghi127 visualizações
Windows server security por mojtaba_sji
Windows server securityWindows server security
Windows server security
mojtaba_sji7 visualizações
شناسایی بات نت های Fast-Flux با استفاده از تحلیل ناهنجاری DNS por Mahdi Sayyad
شناسایی بات نت های Fast-Flux با استفاده از تحلیل ناهنجاری DNSشناسایی بات نت های Fast-Flux با استفاده از تحلیل ناهنجاری DNS
شناسایی بات نت های Fast-Flux با استفاده از تحلیل ناهنجاری DNS
Mahdi Sayyad1.6K visualizações
برنامه مدیریت ارتباط با مشتری مایکروسافت CRM por Javad Pourhosaini
برنامه مدیریت ارتباط با مشتری مایکروسافت CRMبرنامه مدیریت ارتباط با مشتری مایکروسافت CRM
برنامه مدیریت ارتباط با مشتری مایکروسافت CRM
Javad Pourhosaini386 visualizações
راهنماي راه اندازی سرویس Golden Gate Microservices por Mojtaba Khandan
راهنماي  راه اندازی سرویس Golden Gate  Microservicesراهنماي  راه اندازی سرویس Golden Gate  Microservices
راهنماي راه اندازی سرویس Golden Gate Microservices
Mojtaba Khandan47 visualizações
Microservices Workshop Part 1 por Masoud Bahrami
Microservices Workshop Part 1Microservices Workshop Part 1
Microservices Workshop Part 1
Masoud Bahrami324 visualizações
Applying event driven architecture to mobile computing por Mehdi Rizvandi
Applying event driven architecture to mobile computingApplying event driven architecture to mobile computing
Applying event driven architecture to mobile computing
Mehdi Rizvandi373 visualizações

Mais de Morteza Javan

معرفی رشته مهندسی کامپیوتر و فناوری اطلاعات por
معرفی رشته مهندسی کامپیوتر و فناوری اطلاعاتمعرفی رشته مهندسی کامپیوتر و فناوری اطلاعات
معرفی رشته مهندسی کامپیوتر و فناوری اطلاعاتMorteza Javan
496 visualizações45 slides
معرفی جامعه آزاد رایانش ابری ایران - نگارش 931030 por
 معرفی جامعه آزاد رایانش ابری ایران - نگارش 931030 معرفی جامعه آزاد رایانش ابری ایران - نگارش 931030
معرفی جامعه آزاد رایانش ابری ایران - نگارش 931030Morteza Javan
734 visualizações1 slide
Cloud Computing Book (Persian) por
Cloud Computing Book (Persian)Cloud Computing Book (Persian)
Cloud Computing Book (Persian)Morteza Javan
809 visualizações23 slides
Taxonomy report issue-1_2014_q4 por
Taxonomy report issue-1_2014_q4Taxonomy report issue-1_2014_q4
Taxonomy report issue-1_2014_q4Morteza Javan
2.1K visualizações1 slide
oCCc 25: Open Source and Government Best Practices por
oCCc 25: Open Source and Government Best PracticesoCCc 25: Open Source and Government Best Practices
oCCc 25: Open Source and Government Best PracticesMorteza Javan
1.2K visualizações11 slides
oCCc Rasad No1 por
oCCc Rasad No1oCCc Rasad No1
oCCc Rasad No1Morteza Javan
1K visualizações9 slides

Mais de Morteza Javan(8)

معرفی رشته مهندسی کامپیوتر و فناوری اطلاعات por Morteza Javan
معرفی رشته مهندسی کامپیوتر و فناوری اطلاعاتمعرفی رشته مهندسی کامپیوتر و فناوری اطلاعات
معرفی رشته مهندسی کامپیوتر و فناوری اطلاعات
Morteza Javan496 visualizações
معرفی جامعه آزاد رایانش ابری ایران - نگارش 931030 por Morteza Javan
 معرفی جامعه آزاد رایانش ابری ایران - نگارش 931030 معرفی جامعه آزاد رایانش ابری ایران - نگارش 931030
معرفی جامعه آزاد رایانش ابری ایران - نگارش 931030
Morteza Javan734 visualizações
Cloud Computing Book (Persian) por Morteza Javan
Cloud Computing Book (Persian)Cloud Computing Book (Persian)
Cloud Computing Book (Persian)
Morteza Javan809 visualizações
Taxonomy report issue-1_2014_q4 por Morteza Javan
Taxonomy report issue-1_2014_q4Taxonomy report issue-1_2014_q4
Taxonomy report issue-1_2014_q4
Morteza Javan2.1K visualizações
oCCc 25: Open Source and Government Best Practices por Morteza Javan
oCCc 25: Open Source and Government Best PracticesoCCc 25: Open Source and Government Best Practices
oCCc 25: Open Source and Government Best Practices
Morteza Javan1.2K visualizações
oCCc Rasad No1 por Morteza Javan
oCCc Rasad No1oCCc Rasad No1
oCCc Rasad No1
Morteza Javan1K visualizações
Occc overview por Morteza Javan
Occc overviewOccc overview
Occc overview
Morteza Javan477 visualizações
oCCc_22 por Morteza Javan
oCCc_22oCCc_22
oCCc_22
Morteza Javan730 visualizações

Javan Cloud Security 950526 (oCCc63)

  • 1. ‫در‬ ‫امنیت‬ ‫بر‬ ‫ای‬ ‫مقدمه‬‫ابری‬ ‫رایانش‬ ‫جوان‬ ‫مرتضی‬ www.msjavan.ir 1 ‫خدا‬ ‫نام‬ ‫به‬ http://crc.aut.ac.ir
  • 2. ‫ساده‬ ‫سناریوهای‬ • VM Delete / App Remove / Service Stop • Server /VM Dump Memory • Clone / Copy / Mount Disk • Traffic Capture • Change DNS • Traffic Manipulation 2
  • 4. 4 ‫ابری‬ ‫رایانش‬:‫پنجم‬ ‫همگانی‬ ‫صنعت‬...FULLSTACKSECURITY Application Data Runtime / API Middleware OS Virtualization Hypervisor Networking Storage Server Business / Process
  • 5. 5 ‫مالحظات‬(‫غيرفني‬ ‫و‬ ‫فني‬) ‫نظارت‬ ‫و‬ ‫مدیریت‬ ‫کاهش‬ ‫منابع‬ ‫روي‬ ‫بر‬ ‫کنترل‬ ‫کاهش‬ ‫ها‬ ‫داده‬ ‫روي‬ ‫بر‬ ‫کنترل‬ ‫کاهش‬ ‫وابستگي‬ ‫افزایش‬ ‫و‬...
  • 6. ‫نفوذ‬ ‫های‬ ‫روش‬ ‫انواع‬ ‫از‬ ‫شمایی‬: 6 X Data Center5 Data Center4 Data Center2 Data Center7 Data Center1 Data Center3 Data Center6
  • 7. 7 ‫در‬ ‫پذیری‬ ‫آسیب‬ ‫اجرای‬VM ‫به‬ ‫نفوذ‬VM‫های‬ ‫مجاور‬ ‫شبکه‬ ‫به‬ ‫نفوذ‬ ‫و‬ ‫فیزیکی‬ ‫میزبان‬ ‫به‬ ‫دسترسی‬VM ‫دیگر‬ ‫های‬
  • 8. ‫آسیب‬‫های‬ ‫پذیری‬‫با‬ ،‫امنیتی‬‫است‬ ‫یافته‬ ‫افزایش‬ ‫سازی‬ ‫مجازی‬ ‫به‬ ‫گرایش‬ ‫افزایش‬ 8 http://cve.occc.ir
  • 10. 10
  • 11. ‫موردی‬ ‫مثال‬(DARPA) 11 • MRC (Mission-Oriented Resilient Clouds) • PROCEED (Computation on Encrypted Data) • CRASH (Adaptive Secure Hosts) • CBMEN (Content-Based Mobile Edge Networking) • CORONET (Cloud-to-Cloud Connectivity)
  • 12. ‫امنیتی‬ ‫های‬ ‫محک‬ ‫و‬ ‫استانداردها‬ 12
  • 13. 13 Please Notice Some of The Current Cloud Security Standards Limitations !
  • 14. Cloud service partner (CSN) CSN: Cloud Auditor CSN: Cloud service developer CSN: Cloud service broker Cloud service customer (CSC) CSC: Service Administer and Security CSC: Cloud service user CSC: Cloud service business manager CSC: Cloud service integrator Cloud service provider (CSP) CSP: Cloud service deployment manager CSP: Cloud service operations manager CSP: Cloud service manager CSP: Cloud service business manager CSP: Inter- cloud provider CSP: Customer support and care representative CSP: Service security and risk manager CSP: Network provider ISO/IEC 17789: 2014 Cloud computing — Reference architecture 14 CSN: Cloud Auditor CSP: Service Security and Risk Manager CSC: Service Administer and Security FULLSTACKSECURITY S a a S P a a S I a a S Application Data Runtime / API Middleware OS Virtualization Hypervisor Networking Storage Server Business / Process
  • 15. CSN: Cloud Auditor CSP: Service Security and Risk Manager CSC: Service Administer and Security 16 Compliance Control Regulatory Control Privacy Impact Encryption Data at rest / in motion Integrity Backup & Recovery Policies Change Management Align Policies & SLA Risk Management Hardening Compliance Compatibility Business Continuity Monitoring & Analysis Vulnerabilities Tenant Isolation Personal & Physical Security IntegrationPrivacy & PII Authorization & Access Control Network & Communication S a a S P a a S I a a S FULLSTACKSECURITY Audit Interfaces Assets and Inventory Path & Update Management Authentication & Identity Management Application Data Runtime / API Middleware OS Virtualization Hypervisor Networking Storage Server Business / Process CSC: Cloud Service Customer CSN: Cloud Auditor CSP: Cloud Service Provider
  • 16. 17 ‫مانیتورینگ‬ ‫مالحظات‬ FULLSTACKSECURITY Application Data Runtime / API Middleware OS Virtualization Hypervisor Networking Storage Server Business / Process (‫سنتی‬ ‫مانیتورینگ‬ ‫های‬ ‫سیستم‬ ‫کارآیی‬ ‫عدم‬)
  • 17. ‫ابر‬ ‫در‬ ‫محاسبات‬ ‫و‬ ‫داده‬ ‫رمزنگاری‬ 18 > Secure Storage >Trusted Computing
  • 18. ‫مقررات‬ ‫تنظیم‬ ‫و‬ ‫نظارت‬ 19 PaaSSaaSVisibility & Control FULLSTACKSECURITY Application Data Runtime / API Middleware OS Virtualization Hypervisor Networking Storage Server Business / Process
  • 19. HIPPA Compliant ‫انطباق‬ ‫و‬ ‫استانداردها‬ ‫رعایت‬‫امنیتی‬ ‫پذیری‬ ISMS ISO 27001 PCI DSS SOC FIPS FedRAMP ... 20 Cloud Infrastructure PCI Compliant FULLSTACKSECURITY Application Data Runtime / API Middleware OS Virtualization Hypervisor Networking Storage Server Business / Process
  • 20. ‫کاری‬ ‫محکم‬ ‫مالحظات‬(Hardening) •‫تصاویر‬‫مجازی‬ ‫ماشین‬(MI)‫الگوها‬ ‫و‬ •‫حذف‬‫در‬ ‫کاربر‬ ‫دخالت‬‫سرویس‬ ‫استقرار‬ •‫استانداردها‬‫امنیتی‬ ‫های‬ ‫محک‬ ‫و‬ •‫مختلف‬ ‫های‬ ‫الیه‬ ‫در‬ ‫امن‬ ‫های‬ ‫پیکربندی‬ •‫مختلف‬ ‫های‬ ‫درگاه‬ ‫بستن‬ •‫مختلف‬ ‫های‬ ‫الیه‬ ‫در‬ ‫رویداد‬ ‫ثبت‬ ‫و‬ ‫گیری‬ ‫گزارش‬ •‫میزبان‬ ‫سطح‬ ‫در‬ ‫آتش‬ ‫دیوارهای‬ ‫بکارگیری‬ •... 21 FULLSTACKSECURITY Application Data Runtime / API Middleware OS Virtualization Hypervisor Networking Storage Server Business / Process
  • 21. ‫رسانی‬ ‫روز‬ ‫به‬ ‫و‬ ‫ها‬ ‫وصله‬ ‫مدیریت‬ •‫افزار‬ ‫میان‬ ‫روزرسانی‬ ‫به‬ •‫میزبان‬ ‫عامل‬ ‫سیستم‬ ‫روزرسانی‬ ‫به‬(‫ناظر‬ ‫فوق‬) •‫روزرسانی‬ ‫به‬‫عامل‬ ‫سیستم‬‫میهمان‬(‫ناهمگن‬) •‫مجازی‬ ‫ماشین‬ ‫تصاویر‬ ‫و‬ ‫الگوها‬ ‫روزرسانی‬ ‫به‬ •‫های‬ ‫ماشین‬(‫مجازی‬)‫خاموش‬ •‫ابری‬ ‫سیستم‬ ‫اصلی‬ ‫اجزای‬ •‫نهایی‬ ‫سرویس‬ ‫افزاری‬ ‫نرم‬ ‫پشته‬ •‫مستاجرها‬ ‫سفارشی‬ ‫های‬ ‫نیازمندی‬ 22 FULLSTACKSECURITY Application Data Runtime / API Middleware OS Virtualization Hypervisor Networking Storage Server Business / Process Hypervisor
  • 22. ‫داده‬ ‫صحت‬ ‫مالحظات‬ 23 •‫سيستم‬ ‫معماري‬ ‫گرفتن‬ ‫نظر‬ ‫در‬ •‫صحت‬ ‫بررسي‬ ‫هاي‬ ‫مدل‬ (‫آنالین‬/‫اي‬ ‫دوره‬) •‫کارآیي‬‫سيستم‬ •‫داده‬ ‫نوع‬ Hypervisor Hardware ‫بر‬ ‫نظارت‬ ‫سیستم‬ ‫فایل‬ ‫جامعیت‬ ‫های‬‫سیاست‬ ‫نفوذ‬ ‫تشخیص‬ ‫داده‬ ‫پایگاه‬ File system ‫بر‬ ‫نظارت‬ ‫سیستم‬ ‫فایل‬ ‫جامعیت‬ ‫های‬‫سیاست‬ ‫نفوذ‬ ‫تشخیص‬ ‫داده‬ ‫پایگاه‬ File system ‫بر‬ ‫نظارت‬ ‫سیستم‬ ‫جامعیت‬‫فایل‬ ‫داده‬ ‫پایگاه‬ ‫های‬‫سیاست‬ ‫نفوذ‬ ‫تشخیص‬ report Dom0 VM1 VM2 ‫سیستم‬ ‫نام‬ ‫در‬ ‫تغییر‬ ‫عدم‬‫تحت‬ ‫ماشین‬ ‫نظارت‬ ‫ای‬‫دوره‬ ‫بررسی‬‫بالدرنگ‬ ‫بررسی‬ Tripwire XenFIT VRFPS RFIM DFIM NOPFIT XenRIM
  • 23. ‫داده‬ ‫صحت‬ ‫از‬ ‫سناریوهایی‬/‫سرویس‬ ‫صحت‬/‫کار‬ ‫و‬ ‫کسب‬ ‫تداوم‬ 24 ‫الگو‬ ‫صحت‬ ‫فرآیند‬ ‫صحت‬/‫پیکربندی‬ ‫استقرار‬ ‫صحت‬ (‫سرویس‬) ‫داده‬ ‫صحت‬ ‫اجزا‬ ‫صحت‬ CSN: Service Developer CSP: Service Manager CSP: Operations ManagerCSP: Deployment Manager Scale Out
  • 24. ‫ریسک‬ ‫مدیریت‬2009 25 Vendor Lock-in Loss of Governance Compliance Compatibility Service Failure Isolation Failure Malicious Insider •‫ها‬ ‫دارایی‬ ‫تحلیل‬ •‫ها‬ ‫ریسک‬ ‫تحلیل‬ •‫راهکار‬ ‫ارایه‬
  • 25. ‫ریسک‬ ‫مدیریت‬2012 26 Data protection Loss of Governance Malicious Insider / root access ! Risk from changes of jurisdiction Management Interface Compromise Isolation Failure Insecure deletion of data Subpoena Compromise of Service Engine Lock-in
  • 26. 27 • Risk Analysis Case Study: Fax.ir • Lock in • Loss of Governance • Supply chain failure • Isolation Failure • Malicious Insider • Data leakage • Insecure deletion of data • DOS
  • 28. Critical Research ! 29 • Visit http://cvedetails.com/ • Visit http://cve.occc.ir/ • Find the vulnerabilities related to cloud and virtualization tools (KVM / Openstack / …) • Select one of vulnerabilities and describe it in the class
  • 29. TOP 10 StrategicTechnologyTrends 30 The Device Mesh 3D Printing Materials Ambient User Experience Autonomous Agents andThings Information of Everything Advanced Machine Learning AdaptiveSecurity Architecture IoT Architecture and Platforms Advanced System Architecture Mesh App and ServiceArchitecture 2016 Gartner, Oct 2015