Modellen for delt ansvar: IaaS, PaaS og SaaS

Skytjenester leveres i tre hovedmodeller, som hver tilbyr et ulikt abstraksjonsnivå. Infrastructure as a Service (IaaS) tilbyr rå databehandling, lagring og nettverk. Platform as a Service (PaaS) legger til operativsystem, mellomvare og kjøretidsmiljøer. Software as a Service (SaaS) leverer fullt funksjonelle applikasjoner over internett. Det er avgjørende å forstå disse modellene fordi sikkerhetsansvaret varierer betydelig mellom dem.

Modellen for delt ansvar definerer hvilke sikkerhetsoppgaver skyleverandøren er ansvarlig for, og hvilke som tilhører kunden. Modellen oppsummeres ofte slik: Leverandøren har ansvar for sikkerheten i skyen (fysiske datasentre, hypervisorer og nettverksinfrastruktur), mens kunden har ansvar for sikkerheten i skyen (data, tilgangsstyring, applikasjonssikkerhet og konfigurasjon). Misforståelser av denne grensen er en viktig årsak til sikkerhetshendelser i skyen.

I IaaS har kunden det største sikkerhetsansvaret. Skyleverandøren sikrer den fysiske infrastrukturen, hypervisoren og nettverksinfrastrukturen. Kunden har ansvar for: installasjon, oppdatering og herding av operativsystemet; konfigurasjon av kjøretidsmiljø og mellomvare; applikasjonssikkerhet; regler for nettverkssikkerhetsgrupper; IAM-retningslinjer og brukeradministrasjon; kryptering av data i hvile og under overføring; samt samsvarskonfigurasjon. IaaS gir maksimal kontroll, men krever også størst sikkerhetsinnsats.

I PaaS overtar leverandøren administrasjonen av operativsystemet og kjøretidsmiljøet. Kunden trenger ikke lenger å oppdatere operativsystemet eller administrere mellomvaren – leverandøren håndterer dette. Kunden har imidlertid fortsatt ansvar for: sikkerhet i applikasjonskoden (ingen SQLi, XSS osv.), dataklassifisering og kryptering, identitets- og tilgangsstyring, applikasjonskonfigurasjon (miljøvariabler og håndtering av hemmeligheter) samt API-sikkerhet. PaaS flytter deler av arbeidsbyrden til leverandøren, slik at kundene kan konsentrere seg om applikasjonslogikken.

I SaaS administrerer leverandøren nesten alt. Kundens viktigste sikkerhetsansvar er: tilgangsstyring (hvem som har kontoer, håndheving av MFA og gjennomgang av tillatelser), datastyring (hvilke data som lastes opp, og hvor lenge de oppbevares), konfigurasjonssikkerhet (personverninnstillinger, delingstillatelser og integrasjoner med tredjeparter) samt samsvar med retningslinjer for akseptabel bruk. Mange SaaS-databrudd skyldes feilkonfigurerte delingsinnstillinger eller for omfattende tillatelser for tredjepartsapper, snarere enn feil hos leverandøren.

Noen kontroller er delte mellom leverandøren og kunden. Kryptering er et eksempel: skyleverandøren kan tilby krypteringstjenester (KMS, standardkryptering), men kunden må aktivere dem, konfigurere nøkkelhåndtering og velge passende algoritmer. Det samme gjelder identitet: leverandøren tilbyr IAM-verktøy, men kunden må konfigurere policyer med minste privilegium og håndheve MFA. Det er en vanlig og farlig feil å anta at leverandøren håndterer en delt kontroll, og derfor ikke konfigurere den selv.

Modellen for delt ansvar svikter oftest på grunn av feilkonfigurering hos kunden, ikke på grunn av feil hos leverandøren. Klassiske eksempler er S3-bøtter som er gjort offentlig tilgjengelige (Capital One-bruddet i 2019, der 100 millioner poster ble eksponert), IAM-roller med for vide tillatelser som muliggjør rettighetseskalering, security groups med innkommende regler fra 0.0.0.0/0 på sensitive porter og standardlegitimasjon som ikke er endret i databaser distribuert i skyen. Leverandørens underliggende infrastruktur var sikker, men kundens konfigurasjon var det ikke.

En viktig utfordring i modellen for delt ansvar er synlighet. I lokale miljøer har sikkerhetsteam kontroll over all logging. I skyen er det ikke sikkert at logger fra leverandørens infrastruktur er tilgjengelige. Kunden må aktivere skybaserte loggingstjenester: AWS CloudTrail, Azure Monitor og GCP Cloud Audit Logs registrerer API-kall og konfigurasjonsendringer. Uten å aktivere disse tjenestene har en organisasjon ingen revisjonsspor som viser hvem som gjorde hva i skymiljøet — et alvorlig hull i både samsvar og etterforskning.

Når organisasjoner bruker Managed Service Providers (MSP-er) til å drifte skymiljøer, blir ansvaret delt mellom tre parter. Kunden må sørge for at kontrakter (SLA-er og DPA-er) tydelig definerer sikkerhetsforpliktelsene. Tredjepartsapper i skyen som aksesseres gjennom SaaS, tilfører ytterligere kompleksitet: OAuth-samtykke som gis til en app med for vide tillatelser, gir appen tilgang til dataene. Gjennomgang og regelmessig revisjon av tredjeparts OAuth-samtykker er en del av god sikkerhetshygiene for SaaS.

Samsvarskrav forsvinner ikke fordi arbeidsbelastninger flyttes til skyen. HIPAA krever en Business Associate Agreement (BAA) med skyleverandører som håndterer PHI — AWS, Azure og GCP tilbyr alle BAA-er. PCI-DSS krever at skymiljøet inngår i vurderingsomfanget. Leverandørenes matriser for delt ansvar dokumenterer hvilke PCI-kontroller som er ivaretatt. Organisasjoner må forstå hva leverandøren dekker, og hva de selv må implementere, for å bestå revisjoner.

Modellen for delt ansvar har juridisk betydning. Skyleverandørens Terms of Service og Service Level Agreements (SLA-er) angir garantier for tilgjengelighet og unntak. Data Processing Agreements (DPA-er) etter GDPR definerer databehandlerens forpliktelser. Hvis et brudd oppstår på grunn av en feil hos leverandøren, kan kunden ha grunnlag for krav i henhold til SLA-en. Hvis bruddet skyldes feilkonfigurering hos kunden, har leverandøren ikke noe ansvar. Det er like viktig å forstå kontraktene som å forstå de tekniske kontrollene.

I denne leksjonen lærte De at modellen for delt ansvar definerer leverandørens og kundens sikkerhetsforpliktelser på tvers av IaaS, PaaS og SaaS, at kundene har mest sikkerhetsansvar i IaaS og minst i SaaS, men alltid selv har ansvaret for tilgangsstyring og datastyring, og at feilkonfigurering hos kunden — ikke feil hos leverandøren — er den vanligste årsaken til brudd på skysikkerheten. Deretter skal vi se nærmere på sikkerhet i skylagring og risikoen for dataeksponering.