Elastic Desktop Service:Modelo de responsabilidade compartilhada do EDS

Importância da segurança em nuvem

A China introduziu mais de 200 leis e regulamentos sobre segurança de rede e dados, incluindo a Lei de Cibersegurança e a Lei de Segurança de Dados, que impõem requisitos rigorosos à segurança de dados corporativos. Com o crescimento da computação em nuvem, as empresas mudaram o foco de como migrar para a nuvem para como operar seus negócios de forma segura e contínua na nuvem, tornando a segurança e a conformidade prioridades máximas.

A segurança em nuvem utiliza políticas, controles e tecnologias para proteger a infraestrutura, os dados e as aplicações contra ameaças internas e externas. Construir um negócio seguro na nuvem é uma responsabilidade compartilhada entre a Alibaba Cloud e os clientes. Os clientes devem compreender os riscos de suas operações em nuvem e implementar proativamente controles de segurança para reduzir a carga operacional e minimizar possíveis perdas de ativos decorrentes de incidentes de segurança.

Modelo de responsabilidade compartilhada do EDS

O EDS é uma solução integrada de nuvem e dispositivo ponta a ponta da Alibaba Cloud. A Alibaba Cloud e os clientes compartilham as responsabilidades de segurança da seguinte forma:

• A Alibaba Cloud é responsável pela "segurança da nuvem": A Alibaba Cloud protege a infraestrutura subjacente e os serviços que executam o EDS, incluindo hardware físico, serviços de software, comunicações de rede e serviços de controle de gerenciamento.

• Os clientes são responsáveis pela "segurança na nuvem": Os clientes gerenciam a segurança dentro do EDS. Isso inclui configurar permissões de privilégio mínimo para subadministradores e usuários finais, definir políticas de cloud computer para controlar transferências de arquivos e acesso a sites, além de fazer backup dos dados do cloud computer.

Os diagramas a seguir detalham essas responsabilidades.

A Alibaba Cloud é responsável pela "segurança da nuvem"

A Alibaba Cloud garante a segurança da nuvem nas seguintes camadas, de baixo para cima:

• Segurança física

  • Gestão de pessoal: As suítes de data center, áreas de teste de energia e salas de armazenamento possuem separação por autenticação de dois fatores, como controle de acesso por impressão digital. Áreas específicas utilizam gaiolas para isolamento físico. A organização aplica gestão rigorosa de contas, autenticação de identidade, autorização, separação de funções e controles de acesso.

  • Recuperação de desastres do data center: Energia elétrica dupla, sistemas de energia redundantes, ar-condicionado de precisão com redundância em hot standby e detectores de fumaça/incêndio mantêm temperatura e umidade constantes, garantindo operações estáveis.

  • Auditoria de O&M: Todas as áreas do data center possuem monitoramento de segurança. O acesso aos sistemas de produção ocorre apenas por meio de um Bastionhost, e todas as operações são totalmente registradas e armazenadas em uma plataforma de log.

  • Gestão de ativos de dispositivos de armazenamento: A gestão de ativos é granular até o nível de componente individual de armazenamento. Cada componente recebe um identificador de hardware exclusivo para rastreamento preciso da mídia de armazenamento ou da menor unidade que a contém. Mídias de armazenamento não podem sair do data center ou de áreas seguras, a menos que sejam apagadas com segurança ou destruídas fisicamente conforme padrões estabelecidos.

  • Destruição de dados: As mídias de armazenamento são apagadas com segurança conforme o padrão NIST SP 800-88. Quando o serviço em nuvem de um cliente é encerrado, os ativos de dados são excluídos prontamente e as mídias de armazenamento passam por limpeza múltiplas vezes.

  • Isolamento de rede: As redes de produção e não produção são isoladas com segurança. ACLs de rede impedem que as redes de serviços em nuvem acessem a rede física. Um Bastionhost na borda da rede de produção exige autenticação multifator (senha de conta de domínio e senha dinâmica) para todo acesso de O&M.

• Segurança de hardware

  • Segurança de firmware de hardware: Os terminais WUYING suportam inicialização segura e atualizações de imagem do SO. Os pacotes de atualização são transmitidos por canais criptografados com tls, com verificações de assinatura e integridade no terminal.

    • Inicialização segura

      Os sistemas dos terminais WUYING suportam inicialização segura em plataformas arm e x86. A Inicialização Segura garante que o dispositivo carregue apenas firmware e sistemas operacionais conhecidos e confiáveis na inicialização, desde o nível de hardware até o carregamento do SO, prevenindo injeção de malware durante esse processo.

    • Verificação de integridade do sistema

      A inicialização segura abrange desde o firmware até o kernel do SO. O WUYING estende a cadeia de confiança para partições somente leitura, como system e vendor, usando Integrity Measurement Architecture (IMA) e DM-Verity, prevenindo adulterações maliciosas.

    • Reforço do kernel

      • Kernel Address Space Layout Randomization (KASLR): Randomiza o layout do espaço de endereços do kernel, dificultando ataques de reutilização de código e reduzindo a probabilidade de muitos ataques complexos.

      • Proteção de pilha: Insere verificações de segurança no stack frame para prevenir ataques de buffer overflow.

      • Data Execution Prevention (DEP): Distingue regiões de dados e código na memória, impedindo a execução de regiões de dados para mitigar ataques baseados em overflow.

  • Computação criptografada: Os terminais WUYING usam um Secure Element (SE) — um microcontrolador à prova de violação projetado especialmente para armazenar e processar informações sensíveis com segurança, amplamente utilizado em cenários financeiros e de pagamento. O SE resiste a ataques físicos e inclui um mecanismo criptográfico compatível com algoritmos AES, RSA e ECC.

  • Computação confiável:

    • Trusted Platform Module (TPM): Um microcontrolador dedicado que fornece segurança no nível de hardware conforme ISO/IEC 11889. Seu principal objetivo é estabelecer e manter uma Raiz de Confiança para dispositivos de computação. No WUYING, o TPM participa do processo de inicialização gerando e verificando Platform Configuration Registers (PCRs) para registrar o estado de software e hardware durante a inicialização, garantindo que não haja alterações não autorizadas. Ele também verifica a integridade do bootloader e da imagem do SO para prevenir injeção de malware.

    • Trusted Execution Environment (TEE/TrustZone): Uma arquitetura de segurança assistida por hardware que cria uma área de execução isolada fora do ambiente de computação geral (geralmente a CPU) para aplicações protegidas, separada do Rich Execution Environment (REE) que executa o SO e as aplicações do usuário.

    • Gestão de dispositivos: Cada terminal WUYING possui uma identidade confiável integrada, à prova de violação, não falsificável e globalmente única. A plataforma em nuvem WUYING usa essa identidade para registro, gestão e auditorias de segurança de dispositivos, prevenindo uso e acesso não autorizados. Dispositivos perdidos ou roubados podem ser adicionados à lista de bloqueios e apagados remotamente.

    • Verificação de integridade do sistema: O WUYING estende a cadeia de confiança além da inicialização segura para partições somente leitura, como system e vendor, usando IMA e DM-Verity, prevenindo adulterações maliciosas.

  • Segurança de virtualização

    • Isolamento de tenant: A virtualização de hardware isola máquinas virtuais em múltiplos nós de computação no nível do sistema. Tenants não podem acessar recursos uns dos outros.

      • Isolamento de computação: O sistema de gerenciamento é isolado das máquinas virtuais dos clientes, e as máquinas virtuais dos clientes são isoladas entre si.

      • Isolamento de rede: Cada rede virtual é isolada das demais redes.

      • Isolamento de armazenamento: A arquitetura possui computação e armazenamento desacoplados. Máquinas virtuais só podem acessar seu espaço em disco físico alocado.

    • Reforço de segurança: O hypervisor e o SO/kernel host passam por reforço de segurança. O software de virtualização é compilado e executado em um ambiente de execução confiável.

    • Detecção de escape: Algoritmos avançados de posicionamento de VM previnem que VMs maliciosas tenham como alvo hosts físicos específicos. VMs não podem sondar seu ambiente host. Comportamentos anormais acionam detecção e hotpatching.

    • Hotpatching: A plataforma de virtualização suporta tecnologia de hotpatching. O processo de correção não exige que os usuários reiniciem seus sistemas e não afeta suas operações comerciais.

    • Zeragem de dados: Após a liberação de um servidor de instância, uma operação confiável de apagamento de dados é executada em suas mídias de armazenamento originais para garantir a segurança dos dados do usuário.

    • Segurança do sistema de virtualização: A virtualização de computação, armazenamento e rede permite o isolamento de recursos multitenant no ambiente de nuvem.

  • Segurança e conformidade da plataforma em nuvem

    • Qualificações de conformidade da plataforma em nuvem: A Alibaba Cloud possui múltiplas qualificações de conformidade nacionais e internacionais para clientes em setores regulamentados. Documentos de conformidade estão disponíveis em Alibaba Cloud Trust Center.

    • Capacidades de conformidade da plataforma em nuvem: A Alibaba Cloud implementa padrões de conformidade internos e externos em sua plataforma e produtos, abrangendo segurança de infraestrutura, segurança de rede, segurança de identidade, segurança de host, segurança de dados e proteção de informações pessoais, além de segurança de produtos em nuvem.

    • Certificações de conformidade da plataforma em nuvem: A Alibaba Cloud detém mais de 140 certificações de segurança e conformidade em todo o mundo, verificadas por organizações terceirizadas independentes. Essas certificações ajudam os clientes a atender requisitos de conformidade regionais e específicos do setor.

  • Segurança de produtos em nuvem

    • Garantia de segurança de produto ponta a ponta: A Alibaba Cloud aplica princípios de defesa em profundidade e confiança zero durante todo o ciclo de vida do produto, utilizando medição de segurança automatizada e digital para garantir que os requisitos sejam atendidos em toda a plataforma e seus produtos.

    • Validação abrangente de Red Team/Blue Team: A Alibaba Cloud realiza exercícios adversários internos com intensidade de nível APT para identificar e corrigir vulnerabilidades. Um ecossistema externo de white-hat e um programa de recompensa por vulnerabilidades fornecem validação adicional por meio de testes de penetração de terceiros e mineração de vulnerabilidades.

    • Segurança de produtos de hardware terminal: O WUYING fornece proteções de segurança para terminais de hardware nas camadas de dispositivo, firmware e sistema:

      • Terminais de hardware usam identificadores de hardware integrados, não replicáveis e não falsificáveis para garantir a autenticidade e unicidade do dispositivo terminal. Dados de privacidade do usuário são criptografados com uma chave exclusiva por dispositivo. Interfaces de depuração e diagnóstico exigem autorização do usuário. Alguns terminais, como WUYING Apsara-Cube Pro e WUYING Ark Pro, suportam autenticação biométrica, incluindo reconhecimento facial e de impressão digital.

      • Terminais de hardware suportam inicialização segura e atualizações de imagem do SO. Pacotes de atualização são transmitidos por canais criptografados com tls, com verificações de assinatura e integridade.

      • O sistema do terminal suporta varredura de vulnerabilidades e correções para kernel e código de negócio. Arquivos e serviços principais do sistema incluem proteção contra adulteração e gestão rigorosa de permissões.

  Os clientes são responsáveis pela "segurança na nuvem"

  A Alibaba Cloud fornece ferramentas de gestão e configuração de segurança para ajudar os clientes a protegerem suas cargas de trabalho do EDS. As responsabilidades dos clientes incluem:

  • Gestão de identidade e acesso

  • Segurança de dados

  • Segurança de rede

  • Segurança de infraestrutura

  • Auditoria de logs