Baixar para ler offline
Carregado porAlexandre Freire
Embrace Any Cloud Securely
O documento discute a complexidade da migração para a nuvem e as responsabilidades de segurança em ambientes de nuvem, enfatizando que os clientes são responsáveis pela proteção de seus dados. Apresenta a importância de um planejamento cuidadoso ao adotar a nuvem, abordando a necessidade de automação e orquestração da segurança para lidar com os desafios de maior escala e riscos aumentados. Além disso, analisa as limitações dos provedores de nuvem em segurança e propõe estratégias para gerenciar esses riscos de forma eficaz.
Embrace Any Cloud Securely
- 1. 1 | ©2016, Palo Alto Networks. Confidential and Proprietary. Embrace Any Cloud, Securely. Alexandre Freire Brazil Enterprise Accounts & Energy Sector Industry Sales Engineer Sans GIAC Industrial Cybersecurity Professional | Sans GIAC Perimeter Protection Analyst Palo Alto Networks ww SCADA & Industrial Control Systems Tiger Team afreire@paloaltonetworks.com
- 2. JORNADA PARA NUVEMAO SEU PRÓPRIO RISCO INCREMENTO DE VALOR CONEXÕES INSEGURAS ACESSO NÃO AUTORIZADO ESCALABILIDADE CUSTOS OPERACIONAIS AMBIENTE SEGURO O SONHO DOURADO DE SIERRA NEVADA
- 3. Visão dos Líderesde TI • “Este é o trem que precisamos embarcar” • “TI é compreendida como lenta. Dias ou semanas para provisionar um servidor” • “O provedor de nuvem não pode fazer um trabalho de segurança melhor do que o nosso?”
- 4. Infraestrutura Cloud Compute StorageDatabase Networking Infraestrutura Global Regions Availability Zones Edge Locations Encryption Key Management Client & Server Encryption Proteção do Tráfego de Rede Plataforma, Aplicações, Gerenciamento de Identidade & Acesso Sistema Operacional, Rede & Firewall Conteúdo do Cliente Clientes são responsáveis pela segurança DENTRO da Cloud Provedor é responsável pela segurança da infraestrutura da CLOUD Ao contrário do que se pensa, você é responsável pelo resguardo de seus dados dentro da Nuvem Modelo de Responsabilidade Compartilhada
- 5. A jornada paraNuvem é mais comum do que nunca. Porém, tornar cada migração uma viagem sem planejamento, pode levar a erros catastróficos. INFRAESTRUTURA O que é movido para a Nuvem? O que deve ficar para trás? COMPLEXIDADE CUSTO Como a adição de um ambiente em Nuvem aumenta a complexidade operacional? A Nuvem pode ser efetivamente gerenciada a partir de um SOC tradicional? Como a presença de nuvem afeta os custos indiretos de segurança? A Nuvem é sempre a escolha mais econômica? SecOps estão preparados para lidar com incidentes específicos da nuvem? Os controles nativos de segurança são suficientes para evitar intrusão? SEGURANÇA Pergunta não feita é pergunta respondida
- 6. AWS/AZURE LIMITADO NENHUMNENHUMLIMITADO COMPLETO PALOALTO NETWORKS COMPLETO COMPLETO COMPLETO Segurança Nativa da Nuvem vs Palo Alto Networks Provedores de Cloud possuem limitações no provimento de recursos básicos para segurança.
- 7. Saber o quemigrar e o que reter nos modelos de infraestrutura tradicional pode ser uma decisão difícil. CONHEÇA ANTES DE IR NORMAS REGULATÓRIAS IMPACTO DE NEGÓCIOS ALINHAMENTO DO SETOR RISCOS
- 8. VOCÊ JÁ ESTÁSOB ATAQUE… O DUELO... A PRESENÇA NA NUVEM AUMENTA O NÍVEL DE RISCOS.
- 9. Dados de usuários $15K??? Privilégios Administrativos Recursospré-comprometidos para venda na Darkweb xDedic Marketplace mostra o perigo para os negócios
- 10. APRENDIZADOS DE SEGURANÇADO PASSADO.. Visibilidade fragmentada em visões ou produtos Perímetro reforçado contra ataques Múltiplos fabricantes provendo funções distintas Rede interna com segurança reflexão tardia
- 11. Perímetro menos definido Controlede visibilidade operacionalmente simples Endpoints protegidos contra ataques Soluções de Segurança em Plataforma APRENDIZADOS DE SEGURANÇA DO PASSADO MAIS RECENTE..
- 12. AS LIÇÕES DOPASSADO SÃO SUFICIENTES ?
- 13. “É apenas mais umnovo datacenter” ERRADO!!!
- 14. Responsabilidade Compartilhada Responsabilidade Única Software as aService(SaaS) Public Cloud(IaaS, PaaS) Apps & Data Private Cloud(NSX, ESX, HYPER-V, ACI) Gerenciar os riscos se tornou mais complexo… ..com surgimento de nuvens privadas, públicas, híbridas e Software as a Service (SaaS) …
- 15. Gerenciar os riscosse tornou mais complexo… .. infraestrutura através de software onde cada provedor de nuvem possuí suas particularidades …
- 16. Gerenciar os riscosse tornou mais complexo… .. infraestrutura através de software onde cada provedor de nuvem possuí suas particularidades …
- 17. AUTOMATIZE SEGURANÇA PARA ESCALABILIDADEDA NUVEM AUTOMATIZE SEGURANÇA PARA CARGAS DE TRABALHO TEMPORÁRIAS DEPLOYMENT REAL TIME API Orquestração da segurança na nuvem …Provimento de Segurança sem impactar dinamismo da cloud
- 18. INTERNET CLOUD CLOUDINTERNET Connection pastcapacity Arquiteturas tradicionais da nuvem requerem a criação manual de dispositivos de balanceamento de carga, como firewalls Palo Alto Networks e AWS podem criar automaticamente novos firewalls virtuais quando os mesmos estiverem sob aumento de carga Escalabilidade da nuvem – Diga adeus ao Capacity Planning …Crescimento automático da segurança de acordo com o incremento do workload.
- 19. Dynamic Address Groups …automatizara atualização de políticas para cargas de trabalho temporárias
- 20. Dynamic Address Groups …automatizara atualização de políticas para cargas de trabalho temporárias
- 21. 21 Contexto histórico: bomplanejamento da cidade Em muitos conceitos populares do oeste americano, o layout da cidade "uma rua" geralmente coloca a prisão perto do banco. Isso significa que um ladrão poderia ser preso enquanto roubava o banco, com apenas 100 metros de distância para o encarceramento.
- 22. VPC Subnet 3(Middleware) VPC Subnet 2 (Web Content) As zonas são divididas em grupos menores, mesmo que os ativos façam parte do departamento da mesma empresa Grupos de dispositivos que não precisam se comunicar são isolados. VPC Subnet 3 (Middleware) Network-facing VPC Bom planejamento de seu workload na nuvem pública … No mundo de rede definida pelo software, a segmentação pode ser uma commodity com as Arquiteturas de Próxima Geração
- 23. NÃO SEGMENTE SEM PROPÓSITO ESTABELEÇAUM OBJETIVO DESENHE EM TORNO DA SEGURANÇA CAPACIDADES DE ORQUESTRAÇÃO
- 24. 24 | ©2017, Palo Alto Networks. Confidential and Proprietary. Public Cloud (IaaS, PaaS) Software as a Service Private Cloud Datacenter Tradicional Força Móvel de Trabalho Datacenter Virtualizado Nuvem Privada Nuvens Públicas Provedores SAAS Proteção por completo exige Presença em todos os lugares Orquestração e Automatização de Processos Camada de proteção preventiva independende de local e workload. Cloud Híbrida Políticas, Relatórios e Visibilidade Contextual Centralizada Valor da Plataforma de Segurança da Palo Alto Networks ..Proteção consistente em todos os workloads
- 25. • Identificar osDrivers de Negócios • Definir o Modelo de Governança • Avalie a maturidade da nuvem 1 Faça um Self-Assessment • Identificar os Stakeholders • Legal • Finanças • Governança • Engenharia • IT 2 Envolver a equipe • Classificação de dados • Design de arquitetura • Avaliar controles de segurança • Preencher lacunas de controle • Implementar Loop de Feedback 3 Definir Processos Call to Action Por onde começar a proteger seu footprint de segurança na nuvem
- 26. INCREMENTO DE VALOR AMBIENTE SEGURO COMO OOESTE TRIUNFOU: ESCALABILIDADE Obrigado!! afreire@paloaltonetworks.com EMBRACE YOUR CLOUD SECURELY!
- 27. Prevention Zero-Day Reduce Risk Policy Visibility Remediation Detection Endpoint Data Center Mobility BYODManagement Vulnerability Responsive Exploit Anti-Malware Forensics Automation Private Cloud Public Cloud Performance Scalability Platform Segmentation Applications Users Control Agile Perimeter Integrated Support Web Security Command-&-Control Virtualization Ecosystem Context Correlation Services People Culture Safe Enablement Application Por que Palo Alto Networks?
Notas do Editor
- #3 Historical Context: In the middle of the nineteenth century, the discovery of gold in the Sierra Nevada mountains in California triggered a gold rush that would define an era. Ecstatic prospectors rushed into the area by the hundreds, convinced that they could find their fortune and change their lives. Today, corporations are moving to the Cloud in much the same way. This environment has become similar to those wild migrations - filled with promise, but with less security than a more traditional approach.
- #5 Os provedores de nuvem pública, como Amazon® Web Services (AWS®) e Microsoft® Azure®, deixam claro que a segurança é uma responsabilidade compartilhada. Neste modelo, o provedor é responsável por garantir que a plataforma esteja sempre disponível, disponível, atualizada e assim por diante. Na verdade, a maioria acredita que a infra-estrutura do datacentr global do fornecedor da nuvem é mais segura do que a sua. O que se perde, é o fato de você, o cliente, ser responsável por proteger suas próprias aplicações e dados em execução na nuvem pública. Este slide destaca a quebra da responsabilidade. Proteger suas cargas de trabalho na nuvem pública (mostrado em vermelho para maior clareza) não é diferente de protegê-los no local. Você está no controle total de segurança que deve implementar e deve tomar medidas para proteger seu conteúdo, seja esse cliente ou propriedade intelectual.
- #6 Questions such as these provide context to organizational stances for Cloud migration. Ignoring such concerns leads to inflated overhead costs, security incidents, and a loss of the very features which initially attract businesses to the Cloud Without a doubt, the advent of Cloud Computing has transformed IT at the enterprise level. The Cloud, especially Infrastructure-as-a-Service (IaaS) providers like Amazon, has become more than a place to store photos from your smart phone. Within the Cloud, an entire network can be built in an afternoon, complete with preconfigured servers, network routes, and applicable storage. What portions of infrastructure and IT should be moved to the Cloud? How do ever-increasing Cloud capabilities affect operational complexity? How can Cloud monitoring be accomplished effectively as a part of existing operations? Are default Cloud security settings sufficient? How does a Cloud presence affect security overhead costs? How do security incidents in the Cloud differ from traditional security incidents? How can an organization be sure its security is as effective within the Cloud as it is in the traditional network? From a business perspective, many questions need to be answered when considering a migration to the Cloud.
- #7 Questions such as these provide context to organizational stances for Cloud migration. Ignoring such concerns leads to inflated overhead costs, security incidents, and a loss of the very features which initially attract businesses to the Cloud Without a doubt, the advent of Cloud Computing has transformed IT at the enterprise level. The Cloud, especially Infrastructure-as-a-Service (IaaS) providers like Amazon, has become more than a place to store photos from your smart phone. Within the Cloud, an entire network can be built in an afternoon, complete with preconfigured servers, network routes, and applicable storage. What portions of infrastructure and IT should be moved to the Cloud? How do ever-increasing Cloud capabilities affect operational complexity? How can Cloud monitoring be accomplished effectively as a part of existing operations? Are default Cloud security settings sufficient? How does a Cloud presence affect security overhead costs? How do security incidents in the Cloud differ from traditional security incidents? How can an organization be sure its security is as effective within the Cloud as it is in the traditional network? From a business perspective, many questions need to be answered when considering a migration to the Cloud.
- #8 Knowing what to migrate and what to retain on traditional infrastructure models can be a difficult decision. Compounding this difficulty is the inability to clearly understand cost impact and usability tradeoffs. Can a given application meet availability requirements once it moves away from an on-premise infrastructure? Beyond simply operational concerns, other concerns can also arise, including bringing compliance to the new Cloud architecture, whether to move data storage to the Cloud (including potentially sensitive data and intellectual property), and even how to establish a secure Cloud connection. What's more, the historic divide between IT and Security staff sometimes creates significant delay in the process when the migration is driven by one side without input from the other. Be sure the migration does not violate any regulatory compliance standards Ensure the alignment of both the IT and security sectors before going forward with a migration Consider the benefits and drawbacks of moving business areas from capital investments to operational expense modelling, including impact on budgets Consider the risks of migrating certain types of data or applications to the public Cloud
- #9 A presença na nuvem aumenta o risco de segurança.. Outros tipos de riscos.. => Consider the impact of a Cloud administrator accessing a corporate AWS account on a compromised laptop. => Vazamento de dados do Bucket S3 da AWS You’re already under attack. What damage could this do? Loss of IP or confidential information Deleted AWS Instances or storage AWS Instances Become a Botnet Compromise of a main AWS Account means threat actors now have administrative access to everything within. This means that data can be exfiltrated, more credentials can be stolen, or the account can simply be deleted, destroying everything. Encrypt everything, at rest or in motion While potentially difficult in execution, this ensures maximum protection of sensitive information in the Cloud Protect your Encryption Keys Amazon offers CloudHSM for this purpose, but other solutions are available Do Not Use the Initial Encryption Key Instead, move it somewhere secure and create a second administrative access key. Ensure that management protocols like RDP are encrypted as well Ensure strong password policy is enforced Assign roles and configure role-based access Regardless of security area, ensure “least privilege” permissions Avoid using “allow all” firewall rules or traffic routes
- #10 Os provedores de nuvem pública, como Amazon® Web Services (AWS®) e Microsoft® Azure®, deixam claro que a segurança é uma responsabilidade compartilhada. Neste modelo, o provedor é responsável por garantir que a plataforma esteja sempre disponível, disponível, atualizada e assim por diante. Na verdade, a maioria acredita que a infra-estrutura do datacentr global do fornecedor da nuvem é mais segura do que a sua. O que se perde, é o fato de você, o cliente, ser responsável por proteger suas próprias aplicações e dados em execução na nuvem pública. Este slide destaca a quebra da responsabilidade. Proteger suas cargas de trabalho na nuvem pública (mostrado em vermelho para maior clareza) não é diferente de protegê-los no local. Você está no controle total de segurança que deve implementar e deve tomar medidas para proteger seu conteúdo, seja esse cliente ou propriedade intelectual.
- #11 Historical Context: The Sheriff and the Outlaw Entire genres of media, from books to films to video games, have spawned around the concept of the “Wild West,” a period in United States history notable for its brave lawmen sworn to uphold order in a land far more hospitable to those willing to do anything to succeed- the dastardly outlaw. In today’s world, security staff have internalized this narrative. Even the identifying terms for hackers, “white hats” (those who use their knowledge of hacking to benefit others) and “black hats” (threat actors with unlawful motives) come from movies about this time period. The beginning of the Internet was sometimes referred to as the “Wild West.” Security measures were minimal or nonexistent during those days. As a result, millions were lost to easily-prevented cyberattacks. By the time the Cloud came along, lessons had been learned. Natively, public Cloud providers ensure that security features are available to avoid creating another “Wild West.” Routing and communication rules exist to shape and control traffic between virtual subnets just as they do in on-premise environments, and user access controls establish which users have rights and access to which features.
- #12 Historical ContextControle de visibilidade operacionalmente simples: The Sheriff and the Outlaw Entire genres of media, from books to films to video games, have spawned around the concept of the “Wild West,” a period in United States history notable for its brave lawmen sworn to uphold order in a land far more hospitable to those willing to do anything to succeed- the dastardly outlaw. In today’s world, security staff have internalized this narrative. Even the identifying terms for hackers, “white hats” (those who use their knowledge of hacking to benefit others) and “black hats” (threat actors with unlawful motives) come from movies about this time period. The beginning of the Internet was sometimes referred to as the “Wild West.” Security measures were minimal or nonexistent during those days. As a result, millions were lost to easily-prevented cyberattacks. By the time the Cloud came along, lessons had been learned. Natively, public Cloud providers ensure that security features are available to avoid creating another “Wild West.” Routing and communication rules exist to shape and control traffic between virtual subnets just as they do in on-premise environments, and user access controls establish which users have rights and access to which features.
- #13 Security Architects know that native Cloud provider security can be very effective when properly configured. But is it enough? The built-in policies and controls Cloud vendors provide are created to provide best-effort security to remove the easiest ways to gain unauthorized access to customer data. But just like a sheriff with no deputies, no jail, and no supportive residents, there are still vulnerabilities there to be exploited. If a threat actor can slip in undetected, native controls within the Cloud can do little to mitigate the threat. These features need to be augmented by security that is on par with measures seen in traditional deployments. For best results, treat any Cloud deployment as if it rested at the perimeter of your corporate network. Place firewalls at the edge of the Cloud environment and, ideally, between connected VPCs as well Malware can be an issue here as well. Consider Cloud-based antimalware such as Palo Alto Networks Traps Traffic Inspection is just as important in the Cloud as elsewhere. Ensure any security solution can see into encrypted tunnels to root out threats Because of their focused uses, VPCs allow for slimmer routing tables. Use this advantage to limit traffic flow even further.
- #14 Things began to go wrong pretty early The app team had recently been formed and a new group of developers were focused on building the next-gen DevOps structure internally. App team was out of Arizona but the security team was in Chicago and had never met. No biggie – we’ve played the mediator before – no different here. However in this case, the Palo Alto Networks team at this client was part of the networking and DC team- they were down an engineer but their enterprise architect was taking his place for this project Unfortunately, he had never deployed anything in the cloud, but was insistent that ”this is easy, it’s just another data center!”
- #15 Os provedores de nuvem pública, como Amazon® Web Services (AWS®) e Microsoft® Azure®, deixam claro que a segurança é uma responsabilidade compartilhada. Neste modelo, o provedor é responsável por garantir que a plataforma esteja sempre disponível, disponível, atualizada e assim por diante. Na verdade, a maioria acredita que a infra-estrutura do datacentr global do fornecedor da nuvem é mais segura do que a sua. O que se perde, é o fato de você, o cliente, ser responsável por proteger suas próprias aplicações e dados em execução na nuvem pública. Este slide destaca a quebra da responsabilidade. Proteger suas cargas de trabalho na nuvem pública (mostrado em vermelho para maior clareza) não é diferente de protegê-los no local. Você está no controle total de segurança que deve implementar e deve tomar medidas para proteger seu conteúdo, seja esse cliente ou propriedade intelectual.
- #16 Os provedores de nuvem pública, como Amazon® Web Services (AWS®) e Microsoft® Azure®, deixam claro que a segurança é uma responsabilidade compartilhada. Neste modelo, o provedor é responsável por garantir que a plataforma esteja sempre disponível, disponível, atualizada e assim por diante. Na verdade, a maioria acredita que a infra-estrutura do datacentr global do fornecedor da nuvem é mais segura do que a sua. O que se perde, é o fato de você, o cliente, ser responsável por proteger suas próprias aplicações e dados em execução na nuvem pública. Este slide destaca a quebra da responsabilidade. Proteger suas cargas de trabalho na nuvem pública (mostrado em vermelho para maior clareza) não é diferente de protegê-los no local. Você está no controle total de segurança que deve implementar e deve tomar medidas para proteger seu conteúdo, seja esse cliente ou propriedade intelectual.
- #17 Os provedores de nuvem pública, como Amazon® Web Services (AWS®) e Microsoft® Azure®, deixam claro que a segurança é uma responsabilidade compartilhada. Neste modelo, o provedor é responsável por garantir que a plataforma esteja sempre disponível, disponível, atualizada e assim por diante. Na verdade, a maioria acredita que a infra-estrutura do datacentr global do fornecedor da nuvem é mais segura do que a sua. O que se perde, é o fato de você, o cliente, ser responsável por proteger suas próprias aplicações e dados em execução na nuvem pública. Este slide destaca a quebra da responsabilidade. Proteger suas cargas de trabalho na nuvem pública (mostrado em vermelho para maior clareza) não é diferente de protegê-los no local. Você está no controle total de segurança que deve implementar e deve tomar medidas para proteger seu conteúdo, seja esse cliente ou propriedade intelectual.
- #18 Accurate, actionable intelligence goes in Malware definitions Abnormal behaviors Duplicate logins Stolen Credentials Phishing Site Hits DNS Queries Abnormal Connection Locations (Geo-IP( [More?] Automation comes out Quarantine Halted Processes SOC Alerts Forensics Enablement Deception Tactics Just because threats are visible doesn’t mean they can be prevented. Even if Security Operations is aware of 10,000 current attacks, response to those is limited by head count, leaving intruders more time to succeed. The second component of visibility is to enable automatic threat response. Simply blocking a firewall port won’t do- today’s complex network applications demand more flexibility. Palo Alto Networks App-ID and Content-ID technologies allow threats to be identified by increasing visibility into the network traffic, but they also allow automatic controls to be placed around these identifying factors, meaning that no response is needed from SecOps. Cloud Security Considerations Apart from systems in the Cloud, define a solution for infected in-network assets and BYOD Outline an enforceable usage policy for Cloud administration and access Consider security solutions that not only operate in the Cloud but also integrate with on-premise solutions for enhanced visibility and control Control access to network assets through more than just port- look for solutions which can enforce policy based on application, user, or other factors Make sure Data Loss Prevention policies are available in the Cloud Endpoint solutions should be capable of prevention-based behavior that is non-invasive to user privacy in BYOD scenarios Without integration between Cloud and non-Cloud solutions, different security operations assets will be required for each area USE VISIBILIDADE PARA HABILITAR A AUTOMAÇÃO
- #27 Historical Context: The Law of the West One of the major themes in fiction about the American West is the concept of The Law. In many stories it is almost holy, with those who serve it being invincible engines of justice and those who oppose it depicted as lacking all honor and willing to commit even the most absurd acts in the name of profit. Security places that same reverence on the law, but in the world of data and logic, security means ensuring the laws cannot be broken rather than punishing those who transgress. Content: When considering a Cloud migration, many factors can influence what’s moved, how that move happens, and how secure the new environment will be. From conception to design, security must be a consideration in Cloud networks, and that security must go beyond the security natively available in Cloud providers today. Closing Statements: Some organizations can be deterred from Cloud adoption for a variety of factors, including security concerns, increased security overhead costs, and even perceived lack of true business need. But properly designed, a network extended into the Cloud can not only have positive impact to a business, it can even improve organizational security by driving adoption of advanced security capabilities which are ultimately leveraged throughout the organization. Whether you’ve been in the Cloud since the beginning or are only now considering its merits, remember: it’s not the Wild West anymore.