[Segurança] Segurança em Cloud Computing

Eu vou ter a honra de participar da primeira edição do CNASI Courses & Training, onde darei um curso de 8 horas sobre segurança em Cloud Computing.

Quero compartilhar com todos uma lista de sites e artigos interessantes sobre segurança em Cloud Computing. Eu preparei esta lista para o curso, mas quero compartilhar ela com todos os leitores do meu blog.

• Principais sites sobre segurança na nuvem:
  
  • NIST Cloud Computing Project
    
    • NIST Cloud Computing Program
      
    • Useful Documents for Cloud Adopters
      
    • SP 800-146 - Draft Cloud Computing Synopsis and Recommendations (também conhecido como "NIST Definition of Cloud Computing")
    
    
  • Cloud Security Alliance (CSA) - A CSA tem 3 documentos extremamente úteis:
    
    • “Security Guidance for Critical Areas of Focus in Cloud Computing”
      
    • “Top Threats to Cloud Computing V1.0”
      
    • “CSA Cloud Controls Matrix V1”
    
    
  • A ENISA produziu um extenso relatório sobre segurança na nuvem, que merece ser lido: “Cloud Computing: Benefits, risks and recommendations for information security”
    
  • Trusted Cloud
    
  • Open Cloud Manifesto
    
  • Cloud Camp
  • Cloud Computing Journal
    
  • Microsoft Cloud Computing Security Wiki
    
  • CloudTweaks
    
  • Cloudline, da Wired(NOVO)
    
  
  
• Seguem alguns artigos e blog posts interessantes sobre segurança na nuvem, em português:
  
  • "Reflexões sobre a Cloud Security Alliance", artigo interessante do Cezar Taurion
    
  • Além do artigo acima, o portal iMasters tem uma seção repleta de artigos e notícias sobre Cloud Computing, que merece ser visitada.
    
  • "Como avaliar a qualidade do provedor de cloud computing"
  • “Invasão do Twitter e do Google Apps abre questões sobre segurança em nuvem”
    
  • “Quando e quais aplicações hospedar na nuvem?”
    
  • “Cuidados com lock-in em cloud computing”
    
  • “Computação em nuvem: o que pensar em segurança?”
    
  • “Segurança na computação em nuvem!”"
    
  • "Cloud computing: Desconhecimento e segurança afastam corporações no Brasil"
    
  • "Computação em nuvem é cada vez mais popular entre empresas [na América Latina], aponta IDC"
    
  • "IEEE vai desenvolver normas para integração na nuvem. Especialista diz que as regras são positivas"
    
  • "Indisponibilidade da Amazon evidencia riscos da nuvem" (um artigo sobre um problema na Amazon que tirou vários clientes do ar por alguns dias em Abril de 2011)
    
  
  
• Agora segue uma lista com alguns artigos e blog posts interessantes, em inglês:
  
  • “Risks of Cloud Computing"
    
  • Blog do Christopher Hoff (é bem interessante)
    
  • “On Privacy and Cloud Computing Challenges”
    
  • “Perils in the Privacy Cloud”
    
  • “Microsoft's top lawyer demands a cloud computing law”
    
  • “Cloud computing: Risks outweigh the benefits.”
    
  • “New Type of Cloud Computing Vulnerability?”
    
  • “Incidents raise questions about future of cloud computing”
    
  • “On our extended downtime, Amazon and what’s coming”
    
  • “Car Crash Triggers Amazon Power Outage”
    
  • “What to do if your cloud provider disappears”
    
  • “Craking as a Service (Caas)?”
    
  • “Can cloud services become credit-card botnets?”
    
  • “Amazon EC2 SIP Brute Force Attacks on Rise”
    
  • “ID Theft Gang Using Amazon's EC2 as Command and Control Server”
    
  • “US Treasury site hit by attack on cloud host”
  • "The Internet’s Fort Knox Problem"
  • "Top Ten Cloud Computing & Virtualization Myths"
  • "China building a city for cloud computing"
  • "The need for data encryption in the cloud"
  • "Why the Cloud Is Actually the Safest Place for Your Data"
    
  • "Lessons from the Amazon Cloud Outage" (um artigo sobre um problema na Amazon que tirou vários clientes do ar por alguns dias em Abril de 2011)
    
  • Artigo com estatísticas interessantes sobre a adoção de Cloud Computing: "Goldman Sachs: Shift toward cloud unstoppable"
    
  • Artigo "Mitos e “verdades” sobre Cloud Computing", do Cezar Taurion
    
  
  
• Seguem alguns artigos em espanhol também:
  
  • “La seguridad de los servicios cloud computing preocupa al 79% de los directivos españoles”
    “El 68% de los CIO europeos considera la seguridad como el principal inconveniente del cloud computing”
    
  • “5 lecciones sobre Cloud Security by Microsoft”
    
  • “Guía para la Seguridad en áreas críticas en Cloud Computing (ISMS Forum Spain)”
    
  • “Piden un marco legal internacional para la cloud”

O CNASI Courses & Training acontecerá na semana que vem, de 03 a 05 de agosto em São Paulo, e meu curso, chamado "Cloud Computing - Conhecendo os Novos Riscos", será no dia 05, quinta-feira. O material do curso foi baseado em mais de um ano acompanhando a evolução da discussão sobre segurança em ambientes de Cloud Computing, e que me permitiu dar palestras sobre esse tema em alguns eventos desde o ano passado.

Eu disponibilizei no SlideShare os slides da palestra sobre riscos em Cloud Computing no GTS do ano passado.

Cloud computing 20091124 gts

View more presentations from Anchises Moraes.

Observação: adicionado um artigo em 24/08

[Segurança] Quando profissionais de SI jogam futebol

A copa do mundo já acabou, mas neste ano teremos a primeira Hack Cup, que vai acontecer no dia 30 de Julho, em Las Vegas, junto com a Defcon.

A pergunta natural que vem na mente de todos deve ser: "ué, desde quando geek sabe jogar bola?". Como a resposta é óbvia ("Não, só no Playstation e olha lá"), vamos para a próxima: como seria uma seleção formada por profissionais de segurança?

Esta é uma ótima oportunidade para fazer uma divertida associação entre os diferentes tipos de profissionais de segurança da informação e os jogadores que normalmente vemos em uma partida de futebol. Na minha opinião (e graças também a uns comentários do amigo Rodrigo Montoro(Sp0oKeR) em uma lista de discussão recentemente), a escalação seria mais ou menos a seguinte:

• Security officers e CSOs (CISSPs): são os técnicos e os cartolas, eles são responsáveis por projetar as jogadas de ataque e as estratégias de defesa
  
• Os Analistas de Firewall são os goleiros do time
  
• Os Pesquisadodes de Vulnerabilidades ficam no meio campo procurando os pontos falhos e armando as jogadas
  
• Os PenTesters são os atacantes
  
• Os Auditores CISA seriam os juízes
  
• Os Analistas de IDS trabalham como bandeirinhas, alertando quando algo de errado acontece
  
• O pessoal que trabalha com análise de logs e forense vão fazer bico na TV para mostrar o tira-teima

O complicômetro nessa brincadeira toda é que "regulamento" vai ser chamado de "Política Corporativa de Segurança" e o CISSP só vai jogar se a bola for certificada :)

Esta brincadeira mostra a diversidade de papéis e funções diferentes que existem na carreira em segurança da informação. Assim como no futebol, um time não está completo nem conseguirá vencer seus adversários se não contar com uma equipe diversificada, equilibrada e que saiba trabalhar em conjunto. Para isso, a empresa deve contar com um gestor competente, que saiba fazer uma escalação apropriada e diversificada, motivando os seus "jogadores" e sabendo explorar o papel específico de cada um. Por exemplo, não dá para esperar que um bom atacante vá ser um bom goleiro, da mesma forma que um profissional que sabe criar exploits e descobrir vulnerabilidades não será, necessariamente, a melhor pessoa para definir como a empresa deve se defender.

E aí, o que você achou dessa escalação?