Fragen & Antworten zu: Sicherheit & Security in der bwCloud
Was bedeutet "Sicherheit" in der bwCloud?[faq_sicherheit_1]
Mit dem Begriff "Sicherheit" beziehen wir uns in der bwCloud auf die Sicherheit und Sicherung der gesamten Betriebsumgebung. Die bwCloud Infrastruktur ist eine gemeinsam genutzte Umgebung, d.h. verschiedene Benutzerinnen und Benutzer teilen sich dieselbe Hardware. Aus diesem Grund muss die bwCloud Betriebsgruppe darauf achten, dass allen Benutzerinnen und Benutzern die Ressourcen zur Verfügung stehen und das es möglichst zu keine Beeinträchtigungen durch Einzelne kommt.
Sicherheit, bwCloud, Betriebsumgebung
Werden von der bwCloud Betriebsgruppe individuelle Instanzen abgesichert?[faq_sicherheit_2]
Nein, die bwCloud Betriebsgruppe konzentriert sich bei den Sicherungsmaßnahmen ausschließlich auf die Sicherstellung des Betriebs der bwCloud Infrastruktur und aller damit zusammenhängenden Komponenten. Einzelne oder individuelle Instanzen werden von der bwCloud Betriebsgruppe nicht gesichert ("gemanagd").
Die jeweiligen Benutzerinnen und Benutzer der virtuellen Maschinen sind für den sicheren Betrieb ihrer VMs alleine verantwortlich. Ab dem Zeitpunkt, abdem eine neue VM gestartet worden ist, obliegt es daher ganz dem Benutzer bzw. der Benutzerin, für den sicheren Betrieb der virtuellen Maschine zu sorgen. Wir empfehlen daher, unmittelbar nach dem Start einer neuen virtuellen Maschine zunächst ein Systemupdate durchzuführen. Dazu loggen Sie sich per SSH in die virtuelle Maschine ein und führen den jeweiligen Befehl zum Update des Betriebssystems aus.
Individuelle Sicherungsmaßnahmen, Start VM, Systemupdate
Was ist ein "Sicherheitsvorfall"?[faq_sicherheit_3]
Die bwCloud Betriebsgruppe erhält regelmäßig aus verschiedenen Quellen Hinweise, wenn sich einzelne virtuelle Maschinen innerhalb der bwCloud auffällig verhalten. In manchen Fällen weisen diese Hinweise auf sicherheitskritische Vorfälle bzw. Situationen hin, beispielsweise dann, wenn Dritte in eine laufende Instanz eingebrochen sind. In diesen Fällen sprechen wir von "Sicherheitsvorfällen".
Da die bwCloud Betriebsgruppe den ordnungsgemäßen Betrieb der gesamten bwCloud Infrastruktur sicherstellen muss, werden solche Sicherheitsvorfälle unmittelbar nach Bekanntwerden mit einem standardisierten Prozess untersucht. Dazu wird zuerst der Besitzer bzw. die Besitzerin der virtuellen Maschine ermittelt. Diese werden über den gemeldeten Hinweis umgehend informiert. Gleichzeitig werden die betroffenen virtuellen Maschine(n) angehalten, um mögliche Störungen zu beenden. Gemeinsam mit dem Besitzer bzw. der Besitzerin der betroffenen Maschine(n) werden anschließend die weiteren Schritte zur Lösung erarbeitet und durchgeführt.
Beachten Sie: https://www.bw-cloud.org/de/bwcloud_scope/terms_conditions#no_go
Sicherheitsvorfall, Security incident, kritisch, sicherheitskritisch, Instanz anhalten
Was mache ich, wenn ich befürchte, gehackt worden zu sein?[faq_sicherheit_4]
Falls sich die eigenen VMs "komisch" verhalten, kann es sein, dass sie gehackt wurden. In diesem Fall bitte die folgenden Schritte durchführen:
- In das OpenStack Dashboard einloggen (Quicklink: https://portal.bw-cloud.org)
- Das OpenStack Dienstpasswort ändern (Quicklink: https://bw-cloud.org/q/3rFV)
- Die betroffenen Instanzen anhalten - nicht löschen!
- Uns ein Ticket schreiben (Quicklink: http://bw-cloud.org/q/t) Wichtige Informationen: Welche Instanzen sind möglicherweise betroffen? Wie lässt sich das "merkwürdige" Verhalten beschreiben? Welche Maßnahmen sind bereits durchgeführt worden? Wir werden uns umgehend mit Ihnen in Verbindung setzen und die Situation klären.
Verhalten, Verdacht, Hacker, Angriff
Werden von der bwCloud Betriebsgruppe die laufenden Instanzen beispielsweise durch sogenannte "penetration tests" geprüft?[faq_sicherheit_5]
Nein, die laufenden Instanzen werden nicht auf offene Ports oder andere Merkmale hin geprüft. Allerdings wird die gesamte bwCloud Betriebsumgebung überwacht - beispielsweise werden im Bereich des Netzwerkmonitorings die aktuellen Up- und Downstreams überwacht. Sollte sich hier der Netzwerkverkehr sprunghaft, deutlich und atypisch über das normale Maß verändern, wird dies auf Ebene der Knoten- und OpenStack-Überwachung geprüft.
Wir schauen allerdings nicht in die virtuellen Maschinen hinein!
Automatisch, Tests, penetration tests, Netzwerkmonitoring
Wie sieht es dann mit der Sicherheit (= Integrität) meiner Daten in der bwCloud aus?[faq_sicherheit_6]
Sowohl die Laufzeitumgebung (Root disk) einer virtuellen Maschine als auch der angebundene Speicher ("attached storage") werden bei uns im CEPH-Speicher abgelegt. Dieser ist so organisiert, dass jede Information auf drei verschiedenen Festplatten abgelegt wird (Redundanzlevel 3). Damit sind die Daten gegen einen Hardwareausfall ziemlich gut geschützt. Darüberhinaus werden die Daten der virtuellen Maschinen (sowohl Root disk als auch attachd storage) nicht weiter gesichert! Bitte sorgen Sie also für eine entsprechende Sicherung der Daten.
Generell wird die bwCloud wird als "Best-Effort Ressource" betrieben. Das bedeutet: Um hohe
Performance eine entsprechende Festspeichermenge bieten zu können, ist keine hohe Redundanz eingebaut. In bestimmten
Szenarien (Softwarefehler CEPH, mehrere Platten fallen aus) ist deshalb keine Wiederherstellung möglich ist, weshalb alle wertvollen Daten auf
entsprechenden externen Speichersystemen gesichert werden sollten - genauso wie alle relevanten Konfigurationen, die zur Wiederherstellung der Maschine
benötigt werden.
Das System ist darauf optimiert, ad-hoc eine größere Zahl neuer
Maschinen hosten zu können, die unter Umständen nur recht kurz leben
(Tests, On-demand Compute, Kurs von zwei Wochen Länge, ...)
Redundanz, CEPH, attached storage, root disk, Hardwareausfall
Meine Dienste sollen nur für meine Endgeräte erreichbar sein![faq_sicherheit_7]
Sichern Sie Ihre Dienste in der bwCloud gegen Zugriffe vor Anderen mittels Sicherheitsgruppen ab. Ein Passwortschutz alleine ist nicht ausreichend. Die Umlenkung von Diensten auf Nicht-Standardports erhört den Schutz kaum.
Geben Sie den Port ihrer Instanz nur für die notwendigen IP-Adressen frei. Diese Anleitung ist der Umgang mit Sicherheitsgruppen beschrieben.
Das Betreiben von ungesicherten Diensten oder Diensten mit Schwachstellen ist auch unter richtiger Zugriffsbeschränkung mit Sicherheitsgruppen nicht zulässig.
netzwerk, port, zugang, sicherheit
