Modello di responsabilità condivisa: IaaS, PaaS, SaaS

I servizi cloud vengono erogati principalmente secondo tre modelli, ciascuno dei quali offre un diverso livello di astrazione. Infrastructure as a Service (IaaS) fornisce risorse di calcolo, archiviazione e rete allo stato grezzo. Platform as a Service (PaaS) aggiunge sistema operativo, middleware e ambienti di runtime. Software as a Service (SaaS) fornisce applicazioni completamente funzionali tramite Internet. Comprendere questi modelli è essenziale perché le responsabilità in materia di sicurezza differiscono notevolmente tra loro.

Il modello di responsabilità condivisa definisce quali attività di sicurezza sono di competenza del provider cloud e quali spettano al cliente. Il modello viene spesso riassunto così: il provider è responsabile della sicurezza del cloud (data center fisici, hypervisor, infrastruttura di rete), mentre il cliente è responsabile della sicurezza nel cloud (dati, gestione degli accessi, sicurezza delle applicazioni e configurazione). La mancata comprensione di questo confine è una delle principali cause degli incidenti di sicurezza nel cloud.

In IaaS, il cliente assume la maggior parte delle responsabilità di sicurezza. Il provider cloud protegge l'infrastruttura fisica, l'hypervisor e il tessuto di rete. Il cliente è responsabile di: installazione, applicazione delle patch e hardening del sistema operativo; configurazione del runtime e del middleware; sicurezza delle applicazioni; regole dei gruppi di sicurezza di rete; criteri IAM e gestione degli utenti; cifratura dei dati a riposo e in transito; configurazione per la conformità. IaaS offre il massimo controllo, ma richiede il massimo impegno in termini di sicurezza.

In PaaS, il provider assume la gestione del sistema operativo e del runtime. Il cliente non applica più le patch al sistema operativo né gestisce il middleware: queste attività sono svolte dal provider. Tuttavia, il cliente rimane responsabile di: sicurezza del codice applicativo (assenza di SQLi, XSS ecc.), classificazione e cifratura dei dati, gestione delle identità e degli accessi, configurazione dell'applicazione (variabili d'ambiente, gestione dei segreti) e sicurezza delle API. PaaS trasferisce parte dell'onere al provider, consentendo ai clienti di concentrarsi sulla logica applicativa.

In SaaS, il provider gestisce quasi tutto. Le principali responsabilità del cliente in materia di sicurezza sono: gestione degli accessi (chi dispone di account, applicazione dell'MFA, revisione delle autorizzazioni), governance dei dati (quali dati vengono caricati e per quanto tempo vengono conservati), sicurezza della configurazione (impostazioni di privacy, autorizzazioni di condivisione, integrazioni di terze parti) e conformità all'uso accettabile. Molte violazioni di SaaS derivano da impostazioni di condivisione configurate in modo errato o da autorizzazioni eccessive concesse ad app di terze parti, anziché da problemi del provider.

Alcuni controlli sono condivisi tra provider e cliente. Per esempio, la crittografia: il cloud provider può offrire servizi di crittografia (KMS, crittografia predefinita), ma il cliente deve abilitarli, configurare la gestione delle chiavi e scegliere algoritmi appropriati. Analogamente, per l'identità il provider fornisce strumenti IAM, ma il cliente deve configurare policy basate sul principio del privilegio minimo e imporre l'MFA. Presumere che il provider gestisca un controllo condiviso e non configurarlo è un errore comune e pericoloso.

Il modello di responsabilità condivisa fallisce più spesso a causa di una configurazione errata del cliente, non di errori del provider. Esempi classici: bucket S3 lasciati accessibili pubblicamente (violazione di Capital One del 2019, 100 milioni di record esposti), ruoli IAM con autorizzazioni eccessive che consentono l'escalation dei privilegi, security group con regole in ingresso 0.0.0.0/0 su porte sensibili e credenziali predefinite non modificate nei database distribuiti sul cloud. L'infrastruttura sottostante del provider era sicura; non lo era la configurazione del cliente.

Una sfida fondamentale del modello condiviso è la visibilità. Negli ambienti on-premises, i team di sicurezza controllano tutti i log. Nel cloud, i log dell'infrastruttura del provider potrebbero non essere accessibili. I clienti devono abilitare i servizi di logging nativi del cloud: AWS CloudTrail, Azure Monitor e GCP Cloud Audit Logs acquisiscono le chiamate API e le modifiche alla configurazione. Senza abilitare questi servizi, un'organizzazione non dispone di una traccia di audit che documenti chi ha fatto cosa nel proprio ambiente cloud — una grave lacuna di conformità e di analisi forense.

Quando le organizzazioni utilizzano Managed Service Provider (MSP) per gestire gli ambienti cloud, la responsabilità si divide tra tre soggetti. Il cliente deve assicurarsi che i contratti (SLA e DPA) definiscano chiaramente gli obblighi di sicurezza. Le app cloud di terze parti utilizzate tramite SaaS introducono ulteriore complessità: il consenso OAuth concesso a un'app eccessivamente permissiva dà a quell'app accesso ai dati dell'utente. Esaminare e verificare regolarmente i consensi OAuth di terze parti fa parte delle buone pratiche di sicurezza SaaS.

I requisiti di conformità non scompaiono perché i carichi di lavoro sono stati spostati nel cloud. HIPAA richiede un Business Associate Agreement (BAA) con i cloud provider che gestiscono PHI — AWS, Azure e GCP offrono tutti dei BAA. PCI-DSS richiede che l'ambiente cloud rientri nell'ambito della valutazione; le matrici di responsabilità condivisa dei provider documentano quali controlli PCI sono soddisfatti. Le organizzazioni devono comprendere cosa copre il provider rispetto a ciò che devono implementare autonomamente per superare gli audit.

Il modello di responsabilità condivisa ha rilevanza legale. I Terms of Service e gli Service Level Agreements (SLA) del cloud provider specificano le garanzie di disponibilità e le esclusioni. I Data Processing Agreements (DPA) previsti dal GDPR definiscono gli obblighi del responsabile del trattamento. Se si verifica una violazione a causa di un errore del provider, il cliente può ricorrere ai rimedi previsti dallo SLA. Se la violazione è dovuta a una configurazione errata del cliente, il provider non è responsabile. Comprendere i contratti è importante quanto comprendere i controlli tecnici.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che: il modello di responsabilità condivisa definisce gli obblighi di sicurezza del provider e del cliente in IaaS, PaaS e SaaS, i clienti hanno la maggior parte della responsabilità di sicurezza in IaaS e la minima in SaaS, ma sono sempre responsabili della gestione degli accessi e della governance dei dati e la configurazione errata del cliente — non un errore del provider — è la principale causa delle violazioni nel cloud. Ora esamineremo la sicurezza del cloud storage e i rischi di esposizione dei dati.