Marco Mattiucci
Email me
L'oracolo alle 2024-10-08 15:50:35 dice:
Un buon leader sa rimanere calmo quando infuria la tempesta.
INFORMATICA - CLOUD
...ma cos'è ufficialmente la nuvola?
Marzo 2012
Il NIST ha emesso (settembre 2011) il documento SP (Special Publication) 800-145 in cui fornisce una definizione ufficiale di Cloud Computing che va sicuramente studiata dato che il forensics sul cloud è in corso di definizione e non può essere delineato senza circoscrivere il concetto stesso di "cloud".
Ad integrazione di questa pagina, dedicata ad un documento standard nel settore, si può leggere anche Cloud Computing & Digital Forensics realizzata dallo scrivente alcuni mesi prima e di portata più generale.
Premessa
Scopo della presente pagina è trattare l'approccio di tale linea guida (SP 800-145). Punto di partenza essenziale è che "il cloud computing è un paradigma in evoluzione" i cui servizi e la cui organizzazione devono comunque trovare una collocazione di riferimento ed una tassonomia mediante le quali sia possibile capirsi l'un l'altro quando si usa tale termine (soprattutto nel digital forensics mi sento di aggiungere).
La definizione
Il Cloud Computing è un modello di elaborazione distribuita che consente "l'accesso condiviso e su richiesta, mediante rete, a risorse configurabili, delocalizzate ed economicamente convenienti". L'alto livello di automazione e l'indipendenza del sistema globale dal CSP (Cloud Service Provider) sono due caratteristiche essenziali del cloud system.
Il citato modello viene inquadrato come composto da:
- cinque caratteristiche essenziali;
- tre modelli di servizi;
- quattro modelli di sviluppo.
L'infrastruttura Cloud è l'insieme di hardware e software che implementa il citato modello e si può vedere come costruita su due livelli: (a) physical layer: le risorse realmente impiegate, ossia server, storage e network; (b) abstraction layer: le risorse che compaiono all'utente (virtualizzate).
Le cinque caratteristiche essenziali
On-demand self-service: le risorse possono essere ottenute dall'utente in maniera anche indiretta ma soprattutto automatica e senza interazione con il CSP (es. aumento dello storage o della capacità di elaborazione).
Broad Network Access: l'accesso alle risorse distribuite sfrutta la maggioranza dei protocolli di comunicazione più diffusi e non è limitata dalla piattaforma del client (cellulari, tablet, server,...).
Resource pooling: le risorse del CSP e principalmente elaborazione, memoria e banda di rete sono virtualizzazioni di risorse fisiche delocalizzate su diversi datacenter e nazioni. L'utente che riceve in assegnazione delle risorse virtualizzate non ha conoscenza della loro origine e le corrispondenti risorse fisiche che vi concorrono possono essere dinamicamente cambiate dal cloud system senza che l'utilizzatore finale avverta modifiche.
Rapid elasticity: sebbene le capacità che il cloud mette a disposizione dell'utente sembrano illimitate non lo sono affatto e vengono ridotte istante per istante (dinamicamente) al minimo essenziale per garantire la qualità stabilita del servizio.
Measured service: il CSP è potenzialmente in grado sia di misurare la qualità del servizio che offre che l'impiego effettivo di risorse da parte dell'utente.
I tre modelli di servizi
Software as a Service (SaaS): l'utente ha la possibilità di impiegare le applicazioni del CSP mediante l'infrastruttura cloud, senza doverle quindi necessariamente installare sulla propria macchina (client). La client interface si riduce quindi a leggeri software di visualizzazione (es. player) o navigazione (es. browser). L'utente ha la facoltà di accedere ad un limitato set di parametri di configurazione dei software che usa virtualmente al fine di renderli customizzati ma non deve preoccuparsi di aggiornamenti, impiego delle risorse hardware, impostazione del sistema operativo, ecc.
Platform as a Service (PaaS): l'utente ha la possibilità di impiegare un ambiente informatico che, su richiesta, può includere: un particolare sistema operativo, determinati linguaggi di programmazione, particolari librerie, driver, interfacce, ecc. In tal caso l'utente potrebbe inoltre procedere ad installare delle proprie applicazioni, a configurarle ed ottenerne ulteriori servizi rispetto a quanto pattuito con il CSP.
Infrastructure as a Service (IaaS): l'utente ha la possibilità di impiegare processing, storage e network. Ad esempio potrebbe avere più macchine su una rete virtualizzata dal cloud ed installare su ognuna di essere diversi sistemi operativi e propri applicativi. Potrebbe gestire limiti e privilegi in rete, sistemi di protezione come firewall ed IDS, il tutto su un hardware che è evanescente e delocalizzato (esisterebbe il servizio di firewalling e di instrusion detecting e non necessariamente il firewall e lo IDS, anche se questo non toglie che l'utente potrebbe decidere di installarsene dei propri). Attenzione al fatto che l'infrastruttura di IaaS NON corrisponde a quella del cloud in quanto IaaS è sempre un servizio per cui è frutto di virtualizzazione.
I quattro modelli di sviluppo
Private Cloud: l'infrastruttura cloud è nelle mani di un preciso responsabile sia tecnico che legale (ditta e/o persona fisica/giuridica) ed i servizi sono emessi dal cloud a precisi enti e solo ad essi.
Community Cloud: l'infrastruttura cloud è sostenuta da un gruppo di organizzazioni che condividono missione e particolari requisiti come la sicurezza e le politiche di gestione. Gli utenti abilitati ad usufruire dei servizi fanno parte di una classe di persone ed enti/ditte.
Public Cloud: l'infrastruttura cloud è sostenuta da ditte private, enti accademici e/o istituzionali. I servizi cloud disponibili sono venduti o resi disponibili (talvolta anche gratis) al pubblico (talvolta senza identificazione forte dell'utente).
Hybrid Cloud: l'infrastruttura cloud si compone da una o più tipologie delle precedenti. Queste mantengono le loro peculiarità ma si compongono così da generare una miriade di servizi finali, alcuni gratis, altri a pagamenti, alcuni sicuri e garantiti, altri assolutamente inaffidabili ma comunque con molto richiamo sul pubblico.
Conclusioni
La definzione vista, frutto per la maggior parte della SP 800-145, è piuttosto limitata rispetto al grande sviluppo ed eterogeneità che caratterizza il paradigma del cloud attualmente ma raccoglie quegli elementi che con certezza lo formano e che quindi sono imprescindibili nell'approccio ad esso, soprattutto se si considerano gli aspetti di indagine tecnica a scopo di PG.