Modellen for delt ansvar: IaaS, PaaS, SaaS

Cloudtjenester leveres i tre primære modeller, som hver tilbyder et forskelligt abstraktionsniveau. Infrastructure as a Service (IaaS) leverer rå beregningskapacitet, lagerplads og netværk. Platform as a Service (PaaS) tilføjer operativsystem, middleware og runtime-miljøer. Software as a Service (SaaS) leverer fuldt funktionelle programmer over internettet. Det er vigtigt at forstå disse modeller, fordi sikkerhedsansvaret varierer markant mellem dem.

Modellen for delt ansvar definerer, hvilke sikkerhedsopgaver der påhviler cloududbyderen, og hvilke der påhviler kunden. Modellen opsummeres ofte sådan: Udbyderen er ansvarlig for sikkerheden i cloudmiljøet (fysiske datacentre, hypervisorer og netværksinfrastruktur), mens kunden er ansvarlig for sikkerheden i cloudmiljøet (data, adgangsstyring, applikationssikkerhed og konfiguration). Misforståelse af denne grænse er en væsentlig årsag til sikkerhedshændelser i cloudmiljøer.

I IaaS overtager kunden det største sikkerhedsansvar. Cloududbyderen sikrer den fysiske infrastruktur, hypervisoren og netværkslaget. Kunden er ansvarlig for: installation, patchning og hærdning af operativsystemet; konfiguration af runtime og middleware; applikationssikkerhed; regler for netværkssikkerhedsgrupper; IAM-politikker og brugeradministration; kryptering af data i hvile og under overførsel samt compliance-konfiguration. IaaS giver maksimal kontrol, men kræver også en maksimal sikkerhedsindsats.

I PaaS overtager udbyderen administrationen af operativsystem og runtime. Kunden skal ikke længere patche operativsystemet eller administrere middleware — det håndterer udbyderen. Kunden er dog stadig ansvarlig for: sikkerhed i applikationskoden (ingen SQLi, XSS osv.), dataklassifikation og kryptering, identitets- og adgangsstyring, applikationskonfiguration (miljøvariabler og håndtering af hemmeligheder) samt API-sikkerhed. PaaS flytter noget af arbejdet over til udbyderen, mens kunderne kan fokusere på applikationslogikken.

I SaaS administrerer udbyderen næsten alt. Kundens primære sikkerhedsansvar er: adgangsstyring (hvem der har konti, håndhævelse af MFA og gennemgang af tilladelser), datastyring (hvilke data der uploades, og hvor længe de opbevares), konfigurationssikkerhed (privatlivsindstillinger, delingstilladelser og integrationer med tredjeparter) samt overholdelse af regler for acceptabel brug. Mange SaaS-brud skyldes fejlkonfigurerede delingsindstillinger eller overdrevne tilladelser til apps fra tredjeparter snarere end fejl hos udbyderen.

Nogle kontroller er delte mellem udbyderen og kunden. Kryptering er et eksempel: Cloud-udbyderen tilbyder muligvis krypteringstjenester (KMS, standardkryptering), men kunden skal aktivere dem, konfigurere nøglehåndtering og vælge passende algoritmer. Det samme gælder identitet: Udbyderen leverer IAM-værktøjer, men kunden skal konfigurere politikker med mindst mulige privilegier og håndhæve MFA. Det er en almindelig og farlig fejl at antage, at udbyderen håndterer en delt kontrol, uden selv at konfigurere den.

Modellen for delt ansvar svigter oftest på grund af fejlkonfiguration hos kunden, ikke på grund af fejl hos udbyderen. Klassiske eksempler er S3-buckets, der er efterladt offentligt tilgængelige (Capital One-bruddet i 2019, hvor 100 millioner poster blev eksponeret), IAM-roller med for brede tilladelser, der muliggør privilegieeskalering, sikkerhedsgrupper med indgående regler for 0.0.0.0/0 på følsomme porte samt standardlegitimationsoplysninger, der ikke er ændret på databaser, som er implementeret i skyen. Udbyderens underliggende infrastruktur var sikker, men kundens konfiguration var ikke.

En vigtig udfordring ved den delte model er synlighed. I lokale miljøer har sikkerhedsteams kontrol over al logføring. I skyen er logfiler fra udbyderens infrastruktur muligvis ikke tilgængelige. Kunder skal aktivere cloud-native logføringstjenester: AWS CloudTrail, Azure Monitor og GCP Cloud Audit Logs registrerer API-kald og konfigurationsændringer. Uden at aktivere disse tjenester har en organisation ingen revisionsspor over, hvem der gjorde hvad i dens cloudmiljø – en væsentlig mangel i forbindelse med overholdelse af regler og kriminalteknisk undersøgelse.

Når organisationer bruger Managed Service Providers (MSP'er) til at drive cloudmiljøer, bliver ansvaret delt på tre parter. Kunden skal sikre, at kontrakter (SLA'er og DPA'er) tydeligt definerer sikkerhedsforpligtelserne. Tredjeparts-cloudapps, der tilgås via SaaS, øger kompleksiteten yderligere: Et OAuth-samtykke, der gives til en app med for brede tilladelser, giver appen adgang til dine data. Gennemgang og regelmæssig revision af tredjeparts OAuth-samtykker er en del af god sikkerhedshygiejne for SaaS.

Kravene til overholdelse af regler forsvinder ikke, fordi arbejdsbelastninger er flyttet til skyen. HIPAA kræver en Business Associate Agreement (BAA) med cloud-udbydere, der håndterer PHI – AWS, Azure og GCP tilbyder alle BAA'er. PCI-DSS kræver, at cloudmiljøet er omfattet af vurderingens anvendelsesområde; udbydernes matricer for delt ansvar dokumenterer, hvilke PCI-kontroller der er opfyldt. Organisationer skal forstå, hvad udbyderen dækker, og hvad de selv skal implementere for at bestå revisioner.

Modellen for delt ansvar har juridisk betydning. Cloud-udbyderens servicevilkår og Service Level Agreements (SLA'er) angiver garantier for tilgængelighed og undtagelser. Data Processing Agreements (DPA'er) under GDPR definerer databehandlerens forpligtelser. Hvis et brud opstår på grund af en fejl hos udbyderen, har kunden grundlag for retsmidler i henhold til SLA'en. Hvis bruddet skyldes fejlkonfiguration hos kunden, bærer udbyderen intet ansvar. Det er lige så vigtigt at forstå kontrakterne som de tekniske kontroller.

I denne lektion har du lært, at modellen for delt ansvar definerer udbyderens og kundens sikkerhedsforpligtelser på tværs af IaaS, PaaS og SaaS, at kunderne har det største sikkerhedsansvar i IaaS og det mindste i SaaS, men altid selv har ansvaret for adgangsstyring og datastyring, og at fejlkonfiguration hos kunden – ikke fejl hos udbyderen – er den hyppigste årsag til cloudbrud. Dernæst ser vi på sikkerhed i cloudlager og risikoen for dataeksponering.