Status and challenges of security in distributed compu6ng - - PowerPoint PPT Presentation

Status ¡and ¡challenges ¡of ¡security ¡ in ¡distributed ¡compu6ng ¡

Sebas&an ¡Lopienski ¡

CERN ¡Deputy ¡Computer ¡Security ¡Officer ¡

¡

(with ¡input ¡from ¡S.Lueders ¡and ¡R.Wartel) ¡

¡

ISGC ¡2011, ¡台北 台湾 ¡

Fancy ¡learning ¡some ¡Chinese? ¡

¡ ¡ ¡woman ¡

¡

¡ ¡security ¡

¡ ¡(woman ¡under ¡a ¡roof) ¡

女 ¡ 安 ¡

Status ¡and ¡challenges ¡of ¡security ¡ in ¡distributed ¡compu6ng ¡

Sebas&an ¡Lopienski ¡

CERN ¡Deputy ¡Computer ¡Security ¡Officer ¡

¡

(with ¡input ¡from ¡S.Lueders ¡and ¡R.Wartel) ¡

¡

ISGC ¡2011, ¡台北 台湾 ¡

Outline ¡

• Why ¡we ¡are ¡aMacked ¡
• Typical ¡aMacks ¡ ¡
• … ¡and ¡defense ¡
• More ¡on ¡virtualiza&on ¡
• … ¡and ¡cloud ¡compu&ng ¡

4 ¡

Why ¡we ¡are ¡aMacked? ¡

5 ¡

Global ¡aMen&on ¡

“I'm ¡contac6ng ¡you ¡due ¡several ¡security ¡flaws ¡in ¡the ¡ structure ¡about ¡the ¡Large ¡Hadron ¡Collider, ¡including ¡the ¡ website ¡wich ¡seems ¡to ¡be ¡connected ¡somehow ¡with ¡the ¡ core ¡of ¡the ¡system ¡and/or ¡the ¡LHC ¡itself. ¡[…] ¡We ¡are ¡ interested ¡in ¡solve ¡this ¡issue, ¡and ¡cover ¡this ¡with ¡the ¡ press ¡if ¡it ¡wouldn't ¡represent ¡an ¡issue ¡for ¡you.” ¡

6 ¡

How ¡serious ¡are ¡the ¡risks? ¡

Did ¡you ¡no&ce ¡ ¡ electricity ¡cables ¡ inside ¡the ¡pool? ¡

7 ¡

SSH ¡aMacks… ¡since ¡2008 ¡

Unpatched ¡ machine? ¡ Escalate ¡ ¡ to ¡root ¡ Install ¡ a ¡rootkit ¡ Steal ¡users’ ¡ creden&als ¡ AMack ¡other ¡ hosts/sites ¡

8 ¡

Patching ¡

Unpatched ¡ machine? ¡ Escalate ¡ ¡ to ¡root ¡ Install ¡ a ¡rootkit ¡ Steal ¡users’ ¡ creden&als ¡ AMack ¡other ¡ hosts/sites ¡

9 ¡

Vulnerability ¡management ¡

Unpatched ¡ machine? ¡ Escalate ¡ ¡ to ¡root ¡ Install ¡ a ¡rootkit ¡ Steal ¡users’ ¡ creden&als ¡ AMack ¡other ¡ hosts/sites ¡

¡ Cri&cal ¡vulnerabili&es: ¡ CVE-­‑2009-­‑2692 ¡ ¡ CVE-­‑2009-­‑2698 ¡ ¡ CVE-­‑2009-­‑3547 ¡ CVE-­‑2010-­‑3081 ¡ CVS-­‑2011-­‑1017 ¡

• etc. ¡

… ¡all ¡allow ¡for ¡privilege ¡escala&on ¡ ¡ BTW: ¡is ¡all ¡that ¡sobware ¡needed? ¡ ¡

10 ¡

Protect ¡and ¡detect ¡

Unpatched ¡ machine? ¡ Escalate ¡ ¡ to ¡root ¡ Install ¡ a ¡rootkit ¡ Steal ¡users’ ¡ creden&als ¡ AMack ¡other ¡ hosts/sites ¡

¡ Increased ¡sophis&ca&on ¡ ¡

• e.g. ¡debug ¡register ¡(Phalanx ¡2.5f) ¡
• common ¡checkers ¡(rkhunter, ¡chrootkit) ¡don’t ¡detect ¡them ¡

11 ¡

BeMer ¡authen&ca&on ¡needed ¡

Unpatched ¡ machine? ¡ Escalate ¡ ¡ to ¡root ¡ Install ¡ a ¡rootkit ¡ Steal ¡users’ ¡ creden&als ¡ AMack ¡other ¡ hosts/sites ¡

Authen&ca&on ¡is ¡hard ¡when ¡users ¡are ¡many ¡and ¡distributed ¡

• and ¡SSH ¡passwords ¡or ¡keys ¡are ¡not ¡enough! ¡

¡ One-­‑&me ¡passwords ¡(OTP) ¡

• Yubikeys ¡to ¡be ¡used ¡at ¡CERN? ¡
• other: ¡SMS, ¡dedicated ¡OTP ¡mobile ¡apps ¡

Mul&factor ¡authN: ¡something ¡you ¡know ¡+ ¡something ¡you ¡have ¡ ¡ In ¡the ¡future: ¡Federated ¡iden&&es ¡across ¡HEP ¡labs ¡ ¡

12 ¡

Collabora&on ¡is ¡crucial ¡

Unpatched ¡ machine? ¡ Escalate ¡ ¡ to ¡root ¡ Install ¡ a ¡rootkit ¡ Steal ¡users’ ¡ creden&als ¡ AMack ¡other ¡ hosts/sites ¡

¡ Collabora&on ¡between ¡sites ¡-­‑ ¡ sharing: ¡ ¡

• vulnerability ¡advisories ¡
• incident ¡informa&on ¡
• good ¡prac&ces ¡
• tools ¡
• policies ¡
• etc. ¡

13 ¡

Web ¡applica&on ¡security ¡

• Vulnerable ¡Web ¡applica&on ¡are ¡oben ¡aMacked ¡
• What ¡to ¡do? ¡

– patch/update ¡(for ¡external ¡sobware) ¡ – train ¡developers ¡(for ¡in-­‑house ¡sobware) ¡ – limit ¡exposure ¡ – harden ¡servers ¡ – use ¡Web ¡applica&on ¡firewalling ¡ – perform ¡Web ¡applica&on ¡scanning ¡

14 ¡

Web ¡applica&on ¡scanning ¡

15 ¡

Virtualiza&on ¡

• Complexity ¡doesn’t ¡help ¡security… ¡

¡

but ¡from ¡the ¡network ¡point ¡of ¡view, ¡ ¡ a ¡VM ¡is ¡just ¡another ¡host ¡

• Images ¡trusted ¡or ¡provided ¡by ¡users? ¡ ¡

Image ¡distribu&on? ¡Patching? ¡Traceability? ¡Forensics? ¡

16 ¡

Cloud ¡Compu&ng ¡

From ¡www.cloudtweaks.com ¡/ ¡David ¡Fletcher ¡ 17 ¡

Experiences ¡with ¡cloud ¡services ¡

• AngelsAndDemons.cern.ch ¡

– incident? ¡no ¡access ¡to ¡logs ¡

• cern.service-­‑now.com ¡

– but ¡behind ¡CERN ¡SSO ¡

• gmail.com ¡

– some ¡prefer ¡it ¡ ¡

• ver ¡CERN ¡mailboxes ¡

– … ¡and ¡make ¡us ¡ ¡ par&ally ¡blind ¡

18 ¡

Clouds ¡and ¡security ¡

From ¡www.cloudtweaks.com ¡/ ¡David ¡Fletcher ¡ 19 ¡

20 ¡

Loss of

• wnership

Loss of availability Loss of guarantees Still 100% responsible for security

(Commercial) ¡clouds ¡and ¡security ¡

Can ¡we ¡use ¡security ¡tools ¡in ¡the ¡cloud? ¡

21 ¡

IaaS, ¡PaaS, ¡SaaS… ¡Crime ¡aaS? ¡

22 ¡

23 ¡

Conclusions ¡

• Grid ¡and ¡cloud ¡compu&ng ¡
• ffer ¡increased ¡produc&vity ¡
• … ¡but ¡security ¡risks ¡ ¡

must ¡not ¡be ¡neglected ¡ ¡

• A ¡lot ¡of ¡challenges ¡ahead ¡

– increased ¡sophis&ca&on ¡

• f ¡vulnerabili&es ¡& ¡aMacks ¡

– OTP, ¡mul&factor ¡authN, ¡ federated ¡iden&&es ¡ – virtualiza&on/image ¡security ¡ – cloud ¡security ¡

Thank ¡you ¡/ ¡谢谢 ¡

¡ ¡ ¡ ¡ ¡ ¡

¡

¡

¡ ¡ ¡ ¡Any ¡ques&ons? ¡

hMp://www.flickr.com/photos/calavera/65098350 ¡

24 ¡