Segurança em serviços de banco de dados em nuvem: controles para acordos de níveis de serviços

Abstract

Computação em nuvem surgiu como meio para economia de recursos através do compartilhamento de estruturas em sistemas distribuídos. Dentre os diversos modelos de entrega de serviços em nuvem estão os bancos de dados. No entanto, em ambientes corporativos, a segurança das aplicações com bancos de dados em nuvem, torna-se uma preocupação. Desde 1997, trabalhos de pesquisa vêm sendo desenvolvidos com o objetivo de minimizar alguns dos diversos problemas de segurança apontados, principalmente os relativos aos requisitos de confidencialidade. Esta dissertação focaliza o problema de segurança que pode ser encontrado, quando se celebram acordos de níveis de serviço (SLA) e contratos de serviço para bancos de dados em nuvem. No sentido de averiguar a segurança e tratar riscos, é proposto a utilização de um framework conceitual construído com um conjunto de controles internos para orientar clientes e provedores no estabelecimento de níveis de segurança. Com a utilização deste framework, controles internos foram implantados em ambientes de laboratório para nuvens públicas e privadas. Estudos de caso e análise de vulnerabilidades foram realizados para verificação da segurança, permitindo obter importantes resultados, tais como: viabilizar a escolha de provedores de serviços que possuem os controle desejados; criar métricas para o monitoramento de serviços; adequar e utilizar o PCMONS (Private Cloud MONitoring System) para realizar o monitoramento; integrar controles aos contratos de serviços e fiscalizar acordos de níveis de serviços.<br>

Abstract : Cloud computing enables resource savings through IT infrastructure sharing in distributed systems. Databases are one of cloud service delivery models. However, application security in cloud databases is a concern in enterprise environments. Since 1997, scientific researches have been developed in or- der to minimize some of these security problems, especially those relating to confidentiality. This master thesis focuses on the security problem, which can be found when entering into service level agreements (SLA) and service contracts. In order to investigate the security levels and risk treatment, we have proposed the use of a conceptual framework built with a set of internal controls to guide clients and providers for establishing acceptable security levels. By using this framework, internal controls were implemented in laboratory environment for public and private clouds. Case studies and vulnerabilities analysis were executed in order to investigate the security assurance. Important results were achieved, such as: to guide the choice of service providers holding the desired controls; create metrics for monitoring services; adapt and use of PCMONS (Private Cloud MONitoring System) monitoring tool; include controls into service contracts and manage service level agreements.