¿Por qué la seguridad en la nube es un desafío tan grande?

Personalmente, creo que los factores de riesgo de múltiples inquilinos en Cloud Computing están sobrevalorados en detrimento de los clientes de la nube que no se centran en los problemas reales: problemas de seguridad operativa con instancias alojadas en la nube y prácticas de gestión de usuarios deficientes con cuentas en la nube. Hemos estado involucrados en la respuesta a incidentes en la nube antes, y nunca he visto una violación de las tecnologías de múltiples inquilinos utilizadas de manera efectiva por un atacante.

Lo que he visto es una protección deficiente de las credenciales extremadamente poderosas que conducen a ataques de información privilegiada, así como la escalada de privilegios por parte de atacantes que se afianzan en una instancia alojada y usan secretos almacenados localmente para hacerse cargo de toda la infraestructura. Esto será especialmente cierto para los servicios web de Amazon siempre y cuando se usen las mismas credenciales para la consola y la interfaz SOAP que el acceso SimpleDB y SQS. Amazon está trabajando en algunas soluciones a este problema, pero aún no están disponibles en general.

Preocúpese por la seguridad de su propia aplicación y los sistemas operativos subyacentes (si los controla). Luego, preocúpese sobre dónde está almacenando todas sus credenciales en la nube y quién puede acceder a ellas. Piense en cómo despedirá a un administrador del sistema y cuánta confianza se le da a su sistema menos confiable. Después de resolver esos problemas, puede preocuparse por las vulnerabilidades de 0 días en Xen o AppEngine.

Algunas respuestas sólidas aquí de algunos buenos nombres en la industria. Veamos si puedo agregar un poco más …

Primero, un pequeño experimento mental:

• Supongamos que aloja su aplicación en uno de mis 1,000 servidores en la nube. Tengo root en todos ellos y tengo control total sobre la máquina. Si su negocio es lo suficientemente sensible como para pensar que voy a hacer volcados de memoria o crear imágenes de sus unidades, no use servidores compartidos en la nube, use servidores dedicados.
• Supongamos que aloja su aplicación en uno de los 1,000 servidores dedicados en mi centro de datos. No tengo root en ninguno de ellos, pero tengo acceso físico y soy dueño de la red. ¿Preocupado de que pueda extraer las unidades e imágenes, o oler la red? Tal vez deberías construir tu propio centro de datos.
• Entonces, ha construido un centro de datos en su oficina que alquila. Me acabo de mudar a la oficina de abajo, y, curiosamente, su alimentación eléctrica y de red pasan a través de un armario eléctrico en mi suite. ¿Preocupado de que pueda soltar su poder, oler su red o tal vez abrir algunas tejas para tener acceso a su espacio? Tal vez deberías comprar tu propio edificio de oficinas …
• Entonces eres el orgulloso propietario de un edificio de oficinas. ¡Bien hecho! Sunny California (estado), todos nosotros píos tecnológicos geniales, todo es genial. Pero su negocio necesita estar activo todo el tiempo, y siempre hay una amenaza de The Big One (terremoto, para ustedes extraños) por aquí. Probablemente debería comprar una oficina a más de 1000 millas al este, y establecer un sitio de recuperación de desastres allí.
• …
• Por lo tanto, su participación en el programa SpaceX (compañía) valió la pena fantásticamente. Trasladó su base de clientes a The Moon (astronomía), construyó un impresionante centro de datos con energía solar que se enfría al aprovechar el vacío en el espacio. No sabes por qué no lo hiciste antes. Recibes la noticia de que los marcianos han descubierto cómo montar bengalas solares y están a punto de atacar, ya que tu centro de datos está profanando el lugar sagrado de nacimiento de su Líder sin Miedo. Afortunadamente, estabas leyendo un documento técnico de Gartner (compañía) sobre un TCO más bajo para los centros de datos en Júpiter …

Primer punto, en caso de que no sea obvio: siempre habrá algo más de qué preocuparse. Calcule el nivel de riesgo que está dispuesto a aceptar, elabore un plan para lidiar con el resto y esté listo para ser ágil. Seguros, como se mencionó, es probablemente una buena cosa.

Segundo punto: La industria de la Seguridad de la Información desafortunadamente tiene una carga métrica de piratas informáticos que ganan dinero comercializando sus productos a través del miedo, la incertidumbre y la duda. Vaya a su lugar feliz y considere cuáles son realmente sus preocupaciones de seguridad. Lea la guía de Cloud Security Alliance sobre seguridad en la nube (descargo de responsabilidad, soy uno de los autores) o la evaluación de riesgos de seguridad de computación en la nube de ENISA.

En la mayoría de los casos, la seguridad de la información se trata de pereza y malas prácticas, no de vudú.

Para responder directamente a la pregunta: la seguridad en la nube es un gran desafío para las organizaciones porque es algo relativamente nuevo con lo que no han tenido que trabajar antes. Cuando las malas prácticas actuales y los recortes se migran a la nube junto con una aplicación heredada, se produce un desagradable efecto de amplificación.

El gran desafío es detenerse, considerar lo que uno está haciendo que podría no ser lo mejor (Alex Stamos dio un gran ejemplo: compartir las claves de autenticación de Amazon Web Services), comprender por qué eso ya no es bueno y llegar a un solución viable