A Alibaba Cloud protege a infraestrutura, enquanto os clientes garantem a segurança de suas instâncias do ECS, incluindo patches do sistema operacional, grupos de segurança e criptografia de dados.
Importância da segurança em cloud
A China implementou mais de 200 leis e regulamentos sobre segurança de rede e dados, incluindo a Lei de Cibersegurança e a Lei de Segurança de Dados, que impõem requisitos rigorosos à segurança de dados corporativos. Com a expansão da computação em cloud, as empresas mudaram o foco de como migrar para a cloud para como operar seus negócios na cloud de forma segura e contínua, tornando a segurança e a conformidade prioridades absolutas.
A segurança em cloud utiliza políticas, controles e tecnologias para proteger a infraestrutura, os dados e as aplicações contra ameaças internas e externas. Construir um ambiente de negócios seguro na cloud é uma responsabilidade compartilhada entre a Alibaba Cloud e os clientes. Os clientes devem compreender os riscos associados aos seus negócios na cloud e implementar proativamente controles de segurança para reduzir a carga operacional e minimizar possíveis perdas de ativos decorrentes de incidentes de segurança.
Modelo de responsabilidade compartilhada de segurança do ECS
O ECS é uma oferta de IaaS da Alibaba Cloud. A segurança é uma responsabilidade compartilhada entre a Alibaba Cloud e os clientes, com os seguintes limites:
A Alibaba Cloud é responsável pela segurança "da" cloud: A Alibaba Cloud protege a infraestrutura subjacente e os service que executam o ECS, incluindo hardware físico, service de software, dispositivos de rede e service de controle de gerenciamento.
Os clientes são responsáveis pela segurança "na" cloud: Os clientes protegem suas instâncias do ECS ao aplicar atualizações e patches do sistema operacional, proteger aplicações e ferramentas e configurar controles de acesso. Exemplos incluem configurar parâmetros de rede com base nas melhores práticas de segurança e atribuir permissões seguindo o princípio do menor privilégio.
A figura a seguir ilustra o modelo de responsabilidade compartilhada de segurança do ECS.
Responsabilidade da Alibaba Cloud: proteger a cloud
A Alibaba Cloud protege a cloud de baixo para cima em quatro camadas:
-
Segurança do data center: Os data centers da Alibaba Cloud atendem aos padrões Classe A da norma GB 50174 e aos padrões T3+ da norma TIA-942.
Recuperação de desastres: Os data centers utilizam detectores de fumaça e incêndio, fontes de alimentação duplas com sistemas redundantes e ar-condicionado de precisão em modo hot standby para manter temperatura e umidade constantes.
Gestão de pessoal: O acesso a áreas como salas de servidores, zonas de medição de energia e salas de armazenamento exige autenticação de dois fatores (como verificação de identidade e impressão digital). Áreas específicas utilizam gaiolas para isolamento físico. A Alibaba Cloud aplica rigorosos controles de gestão de contas, autenticação de identidade, autorização, separação de funções e gerenciamento de acesso.
Auditoria de O&M: Sistemas de monitoramento de segurança cobrem todas as áreas do data center. Operações de O&M em sistemas de produção exigem o uso de um Bastionhost. Uma plataforma centralizada de logs armazena todos os registros operacionais.
-
Segurança da infraestrutura física: A infraestrutura física abrange servidores físicos, dispositivos de rede e dispositivos de armazenamento. Sua segurança depende do próprio data center, complementada por medidas adicionais específicas para o modelo de cloud pública:
Destruição de dados: Seguindo o padrão NIST SP 800-88, a Alibaba Cloud apaga dados de mídias de armazenamento de forma segura. Ao término do service de cloud de um cliente, os ativos de dados são excluídos prontamente e as mídias de armazenamento passam por múltiplas limpezas.
Gestão de ativos de dispositivos de armazenamento: Cada componente de armazenamento recebe um identificador único de dispositivo de hardware para rastreamento preciso. Mídias de armazenamento não podem sair do data center ou de áreas de controle seguro, a menos que sejam apagadas com segurança ou destruídas fisicamente conforme os padrões estabelecidos.
Isolamento de rede: Redes de produção são isoladas de redes fora de produção. ACLs de rede impedem que redes de service de cloud acessem a rede física. Bastionhosts são implantados na borda da rede de produção. Engenheiros de O&M acessam a rede de produção apenas através de um Bastionhost com autenticação multifator (senha de conta de domínio e senha dinâmica).
-
Segurança do sistema de virtualização: A virtualização utiliza recursos de computação, armazenamento e rede para garantir o isolamento de recursos em ambientes multitenant. A Alibaba Cloud protege o hypervisor com cinco componentes: isolamento de tenants, hardening de segurança, detecção e correção de escape, hotpatching e apagamento de dados.
Hotpatching: A plataforma de virtualização suporta hotpatching, permitindo a aplicação de patches sem reiniciar o sistema.
Apagamento de dados: Após a liberação de uma instância, os dados na mídia de armazenamento subjacente são apagados com segurança.
-
Isolamento de tenants: A virtualização de hardware isola VMs em diferentes nós de computação no nível do sistema. Tenants não podem acessar recursos uns dos outros sem autorização.
Isolamento de computação: O sistema de gerenciamento é isolado das VMs dos clientes, e as VMs dos clientes são isoladas entre si.
Isolamento de rede: Cada rede virtual é isolada das demais redes.
Isolamento de armazenamento: Com uma arquitetura desacoplada de computação e armazenamento, uma VM só pode acessar o espaço em disco físico alocado a ela.
Hardening de segurança: O hypervisor e o sistema operacional/kernel do host passam por hardening. O software de virtualização é compilado e executado em um ambiente de execução confiável para garantir segurança de ponta a ponta.
Detecção e correção de escape: Algoritmos avançados de layout de VM impedem que uma VM maliciosa tenha como alvo uma máquina física específica. As VMs não conseguem sondar o ambiente do host físico. Comportamentos anormais são detectados e vulnerabilidades são corrigidas via hotpatches.
Segurança da plataforma de service de cloud: A plataforma de cloud fornece gerenciamento de contas e acesso a service, incluindo gestão de contas principais e usuários RAM, autenticação multifator para login, autorização de acesso granular e acesso seguro aos service da plataforma.
Responsabilidade do cliente: proteger recursos no ECS
Os clientes devem proteger suas instâncias do ECS aplicando patches do sistema operacional, definindo regras adequadas de grupo de segurança para evitar acessos não autorizados e utilizando criptografia de dados.
A Alibaba Cloud oferece as seguintes ferramentas de gerenciamento e configuração de segurança: