docs/1_Architecture_Guides/1.2_Security_Blueprint/7_Connectivity/1.2.7.3_Cloud.md

   1 ---
   2 edit_link: ''
   3 title: Cloud
   4 origin_url: >-
   5   https://raw.githubusercontent.com/automotive-grade-linux/docs-sources/master/docs/security-blueprint/part-7/3-Cloud.md
   6 ---
   7
   8 <!-- WARNING: This file is generated by fetch_docs.js using /home/boron/Documents/AGL/docs-webtemplate/site/_data/tocs/architecture/master/security_blueprint-security-blueprint-book.yml -->
   9
  10 # Cloud
  11
  12 ## Download
  13
  14 - **authentication**: Authentication is the security process that validates the
  15   claimed identity of a device, entity or person, relying on one or more
  16   characteristics bound to that device, entity or person.
  17
  18 - **Authorization**: Parses the network to allow access to some or all network
  19 functionality by providing rules and allowing access or denying access based
  20 on a subscriber's profile and services purchased.
  21
  22 <!-- section-config -->
  23
  24 Domain                       | Object         | Recommendations
  25 ---------------------------- | -------------- | --------------------------------------
  26 Application-Cloud-Download-1 | authentication | Must implement authentication process.
  27 Application-Cloud-Download-2 | Authorization  | Must implement Authorization process.
  28
  29 <!-- end-section-config -->
  30
  31 --------------------------------------------------------------------------------
  32
  33 ## Infrastructure
  34
  35 - **Deep Packet Inspection**: **DPI** provides techniques to analyze the payload
  36   of each packet, adding an extra layer of security. **DPI** can detect and
  37   neutralize attacks that would be missed by other security mechanisms.
  38
  39 - A **DoS** protection in order to avoid that the Infrastructure is no more
  40   accessible for a period of time.
  41
  42 - **Scanning tools** such as **SATS** and **DAST** assessments perform
  43   vulnerability scans on the source code and data flows on web applications.
  44   Many of these scanning tools run different security tests that stress
  45   applications under certain attack scenarios to discover security issues.
  46
  47 - **IDS & IPS**: **IDS** detect and log inappropriate, incorrect, or anomalous
  48   activity. **IDS** can be located in the telecommunications networks and/or
  49   within the host server or computer. Telecommunications carriers build
  50   intrusion detection capability in all network connections to routers and
  51   servers, as well as offering it as a service to enterprise customers. Once
  52   **IDS** systems have identified an attack, **IPS** ensures that malicious
  53   packets are blocked before they cause any harm to backend systems and
  54   networks. **IDS** typically functions via one or more of three systems:
  55
  56   1. Pattern matching.
  57   2. Anomaly detection.
  58   3. Protocol behavior.
  59
  60 <!-- pagebreak -->
  61
  62 <!-- section-config -->
  63
  64 Domain                             | Object        | Recommendations
  65 ---------------------------------- | ------------- | ----------------------------------------------------------
  66 Application-Cloud-Infrastructure-1 | Packet        | Should implement a DPI.
  67 Application-Cloud-Infrastructure-2 | DoS           | Must implement a DoS protection.
  68 Application-Cloud-Infrastructure-3 | Test          | Should implement scanning tools like SATS and DAST.
  69 Application-Cloud-Infrastructure-4 | Log           | Should implement security tools (IDS and IPS).
  70 Application-Cloud-Infrastructure-5 | App integrity | Applications must be signed by the code signing authority.
  71
  72 <!-- end-section-config -->
  73
  74 --------------------------------------------------------------------------------
  75
  76 ## Transport
  77
  78 For data transport, it is necessary to **encrypt data end-to-end**. To prevent **MITM** attacks,
  79 no third party should be able to interpret transported data. Another aspect
  80 is the data anonymization in order to protect the leakage of private information
  81 on the user or any other third party.
  82
  83 The use of standards such as **IPSec** provides "_private and secure
  84 communications over IP networks, through the use of cryptographic security
  85 services, is a set of protocols using algorithms to transport secure data over
  86 an IP network._". In addition, **IPSec** operates at the network layer of the
  87 **OSI** model, contrary to previous standards that operate at the application
  88 layer. This makes its application independent and means that users do not need
  89 to configure each application to **IPSec** standards.
  90
  91 **IPSec** provides the services below :
  92
  93 - Confidentiality: A service that makes it impossible to interpret data if it is
  94   not the recipient. It is the encryption function that provides this service by
  95   transforming intelligible (unencrypted) data into unintelligible (encrypted)
  96   data.
  97 - Authentication: A service that ensures that a piece of data comes from where
  98   it is supposed to come from.
  99 - Integrity: A service that consists in ensuring that data has not been tampered
 100   with accidentally or fraudulently.
 101 - Replay Protection: A service that prevents attacks by re-sending a valid
 102   intercepted packet to the network for the same authorization.
 103   This service is provided by the presence of a sequence number.
 104 - Key management: Mechanism for negotiating the length of encryption keys
 105   between two **IPSec** elements and exchange of these keys.
 106
 107 An additional means of protection would be to do the monitoring between users
 108 and the cloud as a **CASB** will provide.
 109
 110 <!-- section-config -->
 111
 112 Domain                        | Object                                    | Recommendations
 113 ----------------------------- | ----------------------------------------- | ---------------------------------
 114 Application-Cloud-Transport-1 | Integrity, confidentiality and legitimacy | Should implement IPSec standards.
 115
 116 <!-- end-section-config -->