Sicurezza e Grid Computing

Cosa ha cambiato la Grid? Workshop Commissione Calcolo e Reti INFN - 2

Cosa ha cambiato la Grid? Workshop Commissione Calcolo e Reti INFN - 3

Dunque: Workshop Commissione Calcolo e Reti INFN - 4

Un Esempio Recente Recentemente uno dei siti ha subito un attacco L'intruso e' riuscito a loggarsi su una macchina di public login utilizzando una password utente leggittima. E' poi riuscito a loggarsi su un server di una VO utilizzato per rinnovare e mantenere certificati proxy. E' stato inoltre installato uno scanner ssh. Il GARR CERT e' stato avvisato, OSG (Consorzio Grid Statunitense) e' stato avvisato, il ROC Italiano non e' stato avvisato. Utilizzando quei proxy e una UI l'intruso avrebbe potuto avere accesso alle risorse di calcolo e di storage di quella VO in molti siti In questo caso, l' “attacker” probabilmente non sapeva nemmeno cosa fossero quei proxy, ma in futuro....? Workshop Commissione Calcolo e Reti INFN - 5

Cosa dovremmo fare? Definire e migliorare i canali di comunicazione Dobbiamo predisporre dei canali di comunicazione precisi All'interno di ogni sito Tra i siti e gli altri ROC EGEE Propore soluzioni utili e linee guida per tutti i siti che ospitano servizi grid System monitoring and housekeeping Logging Access management Workshop Commissione Calcolo e Reti INFN - 6

Richieste di EGEE Livello di sito CSIRT email : Mailing list (contenente almeno due persone)‏ Security Contact/Officer : Una singola persona formalmente responsabile della sicurezza. Livello ROC ROC Security Contact/Officer : Una singola persona formalmente responsabile del coordinamento della sicurezza nel ROC La lista degli CSIRTS viene raggiunta attraverso: project-egee-security-csirts@cern.ch La lista dei Security Officers e' raggiunta attraverso: project-egee-security-contacts@cern.ch Entrambi i contatti devono essere specificati sul GOC database nella pagina del sito https://goc.gridops.org Workshop Commissione Calcolo e Reti INFN - 7

Procedura di Incident Response Workshop Commissione Calcolo e Reti INFN - 8

APM,Site CSIRT and Security Contact Deve sapere quali risorse sono “grid” o “non grid” Deve sapere chi deve essere contattato per problemi che coinvolgono i servizi grid Ogni sito deve definire un’ unica mailing list “grid-sec@site..” (questa verra' inclusa in project-egee-security-csirts@cern.ch)‏ Site CSIRT (grid-sec@site...) Dovrebbe includere anche gli amministratori delle risorse grid Deve informare l'APM degli avvisi provenienti da EGEE (se necessario)‏ Deve fornire supporto per la gestione degli incidenti Site Security Contact E' un membro del site CSIRT E' la persona di riferimento sul GOC per la sicurezza E' incluso in project-egee-security-contacts@cern.ch Deve coordinare le procedure di incident response e mantenere i contatti con EGEE Workshop Commissione Calcolo e Reti INFN - 9

Best Practice Attivita' interessanti del Security Group INFN riguardo: Logging Scanning Firewalling Sarebbe interessante provare queste soluzioni su farm grid ed eventualmente suggerirle a tutti i siti grid. Workshop Commissione Calcolo e Reti INFN - 10

Conclusioni Il Grid computing sta cambiando il modo in cui si accede e si usano le risorse Ora utenti esterni (potenzialmente sconosciuti) possono accedere alle risorse Ora gli utenti locali possono accedere in modo trasparente a risorse remote. Quello che succede nel sito puo' avere conseguenze altrove (e vice versa)‏ Migliorare e definire i canali di comunicazione, definire le persone coinvolte, conoscere gli interlocutori I siti sono gestiti in modo diverso Utile definire delle linee guida comuni per siti che ospitano risorse grid Utile condividere le esperienze (INFN Security Working Groups, GARR ..)‏ System monitoring Logging Access management Workshop Commissione Calcolo e Reti INFN - 11

Documenti EGEE Grid Security Policy (in work)‏ https://edms.cern.ch/document/428008 Grid Acceptable Use Policy (approved)‏ https://edms.cern.ch/document/428036 Grid Site Operation Policy (approved)‏ https://edms.cern.ch/document/726129 Site Registration Policy and Procedures (approved)‏ https://edms.cern.ch/document/503198 LCG Audit Requirements (approved but dated) https://edms.cern.ch/document/428037 LCG/EGEE Incident Handling and Response Guide (approved)‏ https://edms.cern.ch/document/428035 LCG/EGEE Incident Response Procedures (approved)‏ https://edms.cern.ch/document/867454 Workshop Commissione Calcolo e Reti INFN - 12